用MDM远程管理iPhone和iPad

今天给老妈用的iPad因为输入密码次数太多，所以被锁死了，只能用iTunes来重置下系统。由于老妈家离得远，跑来跑去好麻烦。于是为了避免此类事件再次发生，仔细在网上查了资料看看如何远程管理iOS设备。

MDM简介

iOS支持MDM（Mobile Device Managment），也就是所谓的移动设备管理。具体的做法是通过在系统中安装配置文件（Profiles）的方式实现对iOS设备的管理。

MDM配置文件可以自己在mac电脑上用Apple Configurator 2安装；但是为了能够远程管理，需要使用第三方的MDM服务来安装，后面会具体叙述如何选择第三方的MDM服务。

MDM配置文件相当于一份管理合同，在iOS设备上接受某个MDM配置文件的时候，会让你选择是否同意并接受该配置文件。如果同意，则表示接受该合同。如果MDM配置文件来自第三方的MDM服务，则表示接受该第三方的服务。

既然是一份合同，那么就算接受了某个MDM配置之后，在这个iOS设备上主动删除该MDM配置文件，也就是接触管理合同。所以一个比较合适的比方是把MDM当成一个管家，请他来管理家庭事务。

MDM还支持一种监管模式（Supervised Mode），有了这种监管模式，“管家”可以有更大的权限，比如使用 MDM 管理激活锁和丢失模式。这种方式就像你家里有小孩需要管家照看，所以管家必须被赋予更大的权力，在必要的时候代替父母行使监管权力。

因为监管模式的MDM权限非常高，所以配置方式比较特别，需要重置iOS设备，来指定一个特定的监管机构，可以参考开始使用受监督的 iPhone、iPad 或 iPod touch。指定监管机构可以通过Apple Configurator 2来完成，过程很简单，这边有一个英文文档供参考Supervise an iOS device with Apple Configurator 2。

需要注意的是，当一个iOS设备设置为受监管的时候，如果这个设备接受了来自该监管机构的MDM配置文件，那么就会把非常高的权力赋给这个监管机构，这个监管机构可以通过MDM服务器做抹除iOS设备上的数据的操作（差不多相当于生杀大权了）。

关于DEP和VPP

在MDM的基础之上，DEP（Device Enrollment Program）和 VPP（Volume Purchase Program）帮你更方便得管理大量iOS设备。DEP主要是帮助自动安装MDM配置，VPP主要是帮助自动安装APP。对于管理设备数目少的情况，倒不是很需要DEP，手动一次性配置一下也不太麻烦。但是没有了VPP就稍微有点麻烦了，VPP最大的好处是可以在不需要Apple ID的情况下推送APP；没有了它，只能推送免费的APP，而且推送安装的时候还需要在iOS上确认才行。

DEP和VPP的使用是有门槛的，一是它们主要面对机构，所以可能需要以企业的名义登记使用；二是目前这两个服务只在某些国家开放，在上榜的二十多个国家之中，中国竟然不在其中，无语。

MDM服务商选择

要想远程管理iOS设备，必须提供一个远程服务器的URL地址，并把iOS设备关联到该URL地址上。如果不自己开发远程服务器的话，可以选择第三方的MDM服务提供商。国内和国外都有不少MDM提供商，其中部分大厂的产品，比如

• VMware的AireWatch
• IBM的MaaS
• Microsoft的Intune
• Cisco的Meraki
• ……

这些大厂的产品主要是给企业用户使用的，大都价格不菲，而且没有免费的套餐。倒是有一些小厂，虽然提供的功能不及大厂的产品，但是使用简单，而且一般会允许你管理一定数量的设备却不收钱。我调研了一些小厂之后主要把目标集中在下面两个MDM服务商：

• ManageEngine的Mobile Device Management Plus，简称MDM Plus
• Jamf提供两种服务，分别是Jamf Pro和Jamf Now

由于ManageEngine和Jamf所提供的服务都是基于iOS的MDM框架，功能大同小异，下面主要从适用性上做对比。

一般来说，除了提供MDM服务以外，厂商还会打包提供一些额外的服务，帮助企业管理移动设备。所以，基于MDM之上，集合了额外服务的解决方案叫做EMM（Enterprise Mobility Management ）。像Jamf的Jamf Now就是提供MDM服务的，而高级版的Jamf Pro就是提供EMM服务的。反之，ManageEngine的MDM Plus则是EMM服务，囊括MDM功能。

那么如何选择呢，首先看价格。Jamf Pro提供的是EMM服务，然后是按用户收费的，这就被我排除在名单之外了。Jamf Now提供MDM服务，可以免费管理3个设备。虽然看起来有点吝啬，但还是满足我的需求的。ManageEngine的MDM Plus则比较大方，直接可以免费管理25个设备，超过才收费。

另外从功能上。Jamf专注于iOS设备的管理，而ManageEngine的MDM Plus可以管理iOS、安卓以及Windows设备，功能更强大。

然后可是，正是由于ManageEngine的MDM Plus提供了更丰富的功能，它的界面操作起来略显复杂，比较适合企业的IT管理人员。最终我还是选择了界面简洁，功能专一，但是有点抠的Jamf Now，用来管理我爸妈的设备足够足够了。

也想使用Jamf Now的朋友可以帮我点击一下这个推荐链接，让我多点额度哦。

总结

选择给爸妈使用iPhone是因为既划算又省心。目前在iPhone X的打压下，多款iPhone的价格已经下降到一个很有性价比的程度。我在淘宝上入手了一个水货的iPhone SE也就1500，除了屏幕小一点，性能和稳定性秒杀其他二线手机品牌。然后我又做了一些设置：

• iPhone本身的字体可以调得很大，老年人看无障碍。设计的好的App会考虑到系统的字体设置，会相应得把字体放大，老人使用起来也没有问题。反观一些国产的App，完全没有考虑到这方面需求，就喜欢把很多内容堆积到界面上，导致既复杂又看不清，很难搞懂怎么用。
• 父母iPhone上使用的Apple Id是我自己账户的子Id，除了可以帮助他们管管通讯录之类的小任务，更重要的是支持Parental Control，他们购买App或者其他内容是需要经过我的账户批准的，这样就可以防止父母被那些无良的链接欺骗了。
• 一开始就通过Apple Configurator 2把限制他们在iPhone上做毁灭性操作，比如把重置iPhone，删除系统APP，注销Apple Id这些功能全部都给关了，这样他们就可以随意把玩而不出问题。就算出了问题，可以后续通过MDM服务远程来补救，比如把密码输错锁死的iPhone解锁，把删掉的App重新装上，等等。

洋洋洒洒写了这么多，无非是想让父母能够好好用上智能手机。不让父母在这个智能时代落伍，是真正对老人好的事，也是我辈需要努力的事。