Đưa iPhone và iPad vào quản lý

1. Luôn cầnChứng chỉ đẩyKhông có thì lệnh không tới máy.
2. Chọn chế độGiám sát hay thườngQuyết định quyền hạn trên máy.
3. Đưa máy vàoABM / Configurator / QR4 phương thức triển khai thiết bị.
4. Sau khi vàoCấu hình & AppGán Wi-Fi, hạn chế và cấp app.

VN-MDM quản lý iPhone và iPad bằng hồ sơ của Apple cài trên máy. Người dùng không cần cài thêm một ứng dụng quản lý riêng. Để điều khiển được thiết bị, chứng chỉ đẩy (Push & certificates) bắt buộc phải ở trạng thái Configured.

Thứ tự nên làm

1. Đăng nhập bảng điều khiển.

2. Mở bánh răng Settings, nhóm Apple, mục Push & certificates. Dòng Status cần là Configured. Đây là chứng chỉ giúp VN-MDM đánh thức máy và gửi lệnh. Chưa có chứng chỉ thì máy đăng ký xong vẫn không nhận lệnh.

   

3. Tìm hiểu và chọn chế độ quản lý (Giám sát hoặc Không giám sát) cùng phương thức đưa máy vào ở các mục bên dưới.

4. Đăng ký máy theo phương thức đã chọn. Xong, máy xuất hiện ở Devices với trạng thái Enrolled.

5. Gán Wi-Fi, hạn chế, mật khẩu màn hình hoặc ứng dụng. Xem Hồ sơ cấu hình, Chính sách thiết bị và Ứng dụng.

Hai chế độ quản lý trên Apple

Khi đưa thiết bị vào VN-MDM, máy sẽ hoạt động ở một trong hai chế độ với mức độ kiểm soát rất khác nhau:

1. Chế độ Giám sát (Supervised) — Dành cho thiết bị của công ty

Đây là chế độ quản trị cao nhất của Apple dành cho thiết bị thuộc toàn quyền sở hữu của tổ chức, cho phép áp dụng các chính sách nghiêm ngặt nhất:

• Kiểm soát Wi-Fi tuyệt đối: Cho phép ép máy chỉ kết nối 1 mạng Wi-Fi công ty duy nhất (chặn hoàn toàn việc bấm kết nối vào Wi-Fi lạ hoặc điểm phát sóng cá nhân), đồng thời khóa luôn bật Wi-Fi (người dùng không thể gạt tắt Wi-Fi trong Cài đặt hay Trung tâm điều khiển).
• Chống gỡ quản lý MDM: Khóa cứng hồ sơ quản trị. Người dùng không thể tự ý gỡ bỏ hồ sơ MDM trong phần Cài đặt.
• Tính năng quản trị nâng cao: Cho phép bật Chế độ thất lạc (Lost Mode) định vị máy khi bị mất, khóa máy từ xa, xóa trắng máy từ xa (Wipe), cài ứng dụng âm thầm không cần Apple ID trên máy, đổi tên máy, đổi hình nền, tắt kho ứng dụng App Store.
• Quy tắc bắt buộc: Thiết bị bắt buộc phải được xóa trắng (Factory Reset) lúc bắt đầu kích hoạt thì mới đưa vào chế độ Giám sát được. Không thể chuyển một máy đang dùng dở sang Supervised mà không xóa máy.

2. Chế độ Không giám sát (Unsupervised) — Dành cho máy cá nhân (BYOD)

Phù hợp cho thiết bị cá nhân của nhân viên hoặc máy đang sử dụng bình thường mà tổ chức không muốn hoặc không tiện xóa trắng dữ liệu. Người dùng chỉ cần mở liên kết trên Safari hoặc quét mã QR là hoàn tất cài đặt mà không mất dữ liệu cũ.

Những việc quản trị viên LÀM ĐƯỢC ở chế độ Không giám sát:

• Khóa màn hình từ xa (Lock Device): Quản trị viên có thể gửi lệnh khóa màn hình điện thoại từ xa ngay lập tức khi phát hiện nghi vấn bảo mật hoặc khi người dùng để quên máy.
• Xóa máy từ xa (Initialize Device / Wipe): Cho phép gửi lệnh xóa sạch toàn bộ dữ liệu trên thiết bị từ xa trong trường hợp bị mất cắp hoặc khi nhân viên nghỉ việc đột xuất.
• Xóa mật khẩu màn hình (Clear Passcode): Giúp người dùng mở khóa máy khi vô tình quên mật mã màn hình mà không cần restore lại máy.
• Bắt buộc đặt mật khẩu màn hình (Passcode Policy): Ép máy phải đặt mật khẩu khóa màn hình theo tiêu chuẩn bảo mật (độ dài tối thiểu, độ phức tạp, thời gian khóa tự động).
• Tự động cấu hình Wi-Fi, VPN và Email công việc: Đẩy sẵn cấu hình Wi-Fi công ty (tự động kết nối khi đến văn phòng), cấu hình VPN và hòm thư doanh nghiệp (Exchange/IMAP) mà nhân viên không cần cài đặt thủ công.
• Cấp phát và gỡ bỏ ứng dụng công ty: Phân phối ứng dụng nội bộ hoặc từ App Store xuống máy (máy sẽ hiện thông báo hỏi người dùng đồng ý cài đặt), và chủ động gỡ bỏ ứng dụng đó khi cần.
• Kiểm kê thông tin máy: Xem thông tin phần cứng, phiên bản iOS, danh sách hồ sơ cấu hình và danh sách ứng dụng đã cài đặt.
• Đổi chuyển vùng (Change Roaming Settings): Bật hoặc tắt chuyển vùng thoại và dữ liệu trên iPhone. Không cần máy giám sát.

Những giới hạn so với chế độ Giám sát:

• Người dùng có thể tự gỡ bỏ quản lý bất cứ lúc nào: Người cầm máy vào Cài đặt → Cài đặt chung → Quản lý VPN & Thiết bị và bấm Xóa quản lý mà không cần quản trị viên phê duyệt.
• Không thể cấm tắt Wi-Fi và không thể ép 1 Wi-Fi: Quản trị viên chỉ có thể đẩy cấu hình mạng Wi-Fi để máy tự kết nối, nhưng người dùng vẫn có thể tắt Wi-Fi hoặc chuyển sang mạng Wi-Fi khác tùy ý.
• Không hỗ trợ Chế độ thất lạc (Lost Mode): Không thể bật định vị GPS cưỡng chế khi máy bị mất.
• Không thể khởi động lại/tắt máy từ xa, đổi tên, hoặc đặt hình nền: Các lệnh Restart Device, Shut Down Device, Change Device Name và Setting Wallpaper đều yêu cầu máy Giám sát. Hộp lệnh ẩn chúng.

Bốn phương thức đưa máy vào hệ thống

Tùy theo nguồn gốc máy (mua qua đại lý ủy quyền hay mua lẻ) và tài khoản công ty có sẵn, bạn chọn một trong bốn cách sau:

Cách 1: Đăng ký tự động qua Apple Business Manager (ABM / ADE) — Tốt nhất cho máy công ty

• Chế độ đạt được: Supervised (Có giám sát).
• Làm từ xa được không: Có, làm từ xa 100%.
• Cách thực hiện: Khi công ty mua máy qua các đại lý ủy quyền của Apple (FPT, Viettel, Thế Giới Di Động, ShopDunk…), đại lý sẽ đẩy danh sách số serial máy thẳng vào tài khoản ABM của công ty. Quản trị viên gán hồ sơ ADE trên VN-MDM. Nhân viên ở bất cứ đâu khi bóc hộp máy mới hoặc bấm Xóa tất cả nội dung và cài đặt trên máy cũ, lúc nối Wi-Fi màn hình sẽ hiện thông báo Quản lý từ xa và máy tự động vào hệ thống. Xem chi tiết tại ABM là gì và Nối ADE.

Cách 2: Quét bằng Apple Configurator trên iPhone (iOS 16+) — Cho máy mua lẻ

• Chế độ đạt được: Supervised (được bổ sung vào ABM).
• Làm từ xa được không: Không, cần thao tác vật lý trực tiếp.
• Cách thực hiện: Dành cho trường hợp công ty mua máy lẻ trôi nổi ngoài cửa hàng (chưa được đại lý gán vào ABM), nhưng công ty đã có tài khoản ABM. Người quản trị cài app Apple Configurator từ App Store lên iPhone của mình và đăng nhập tài khoản ABM của tổ chức. Máy của nhân viên được xóa trắng về màn hình Xin chào (Hello), chọn ngôn ngữ và mạng Wi-Fi cho đến màn hình hiển thị quả cầu mây màu xanh chuyển động. Người quản trị đưa camera iPhone của mình lại gần quét quả cầu mây đó để đưa máy vào ABM của tổ chức.

Cách 3: Chuẩn bị bằng Apple Configurator trên máy Mac (Cáp USB) — Khi chưa có tài khoản ABM

• Chế độ đạt được: Supervised (Giám sát cục bộ).
• Làm từ xa được không: Không, phải cắm cáp USB vào máy Mac.
• Cách thực hiện: Dành cho doanh nghiệp chưa đăng ký được tài khoản Apple Business Manager (chưa có mã D-U-N-S) nhưng vẫn muốn thiết bị bị khóa chặt chẽ ở chế độ Giám sát. Cắm iPhone/iPad vào MacBook bằng cáp USB, mở phần mềm Apple Configurator trên máy Mac, bấm Prepare, chọn Supervise devices. Máy sẽ được xóa trắng và trở thành máy Supervised. Sau đó, quét mã QR đăng ký thủ công để đưa máy vào VN-MDM.

Cách 4: Đăng ký thủ công qua Link Safari hoặc Mã QR — Nhanh, không xóa máy

• Chế độ đạt được: Unsupervised (Không giám sát — trừ khi máy đã được Supervise từ trước ở Cách 3).
• Làm từ xa được không: Có, gửi link qua tin nhắn hoặc cho nhân viên quét mã QR.
• Cách thực hiện: Vào Settings → Apple → Manual enrollment, tạo mã New token rồi gửi link hoặc cho quét mã QR bằng trình duyệt Safari. Người dùng tải hồ sơ về và bấm Cài đặt trong Cài đặt của máy. Máy giữ nguyên dữ liệu đang dùng. Xem chi tiết tại Đăng ký thủ công.

So sánh 4 phương thức triển khai

Nút Enroll device

Trên Dashboard hoặc Devices, bấm Enroll device. Menu hỏi bạn đang thêm loại máy nào.

Cột trái Settings → Apple là gì

Bạn không cần mở hết các mục ngay. Bảng này để biết mục nào phục vụ việc nào.

Câu hỏi thường gặp

Tôi có thể chỉ cho phép nhân viên kết nối 1 mạng Wi-Fi và cấm tắt Wi-Fi không?

Có, nhưng bắt buộc máy phải ở chế độ Giám sát (Supervised) (Cách 1, Cách 2 hoặc Cách 3). Sau khi máy vào quản lý, bạn gán một hồ sơ cấu hình chứa thông tin Wi-Fi công ty và bật hạn chế chỉ cho phép mạng chỉ định đồng thời bắt buộc luôn bật Wi-Fi. Nếu máy đăng ký thủ công ở chế độ Không giám sát (Cách 4), hệ điều hành iOS không cho phép áp dụng các hạn chế này.

Có thể đưa máy vào chế độ Giám sát từ xa được không?

Chỉ làm được từ xa nếu số serial của máy đã được khai báo trong Apple Business Manager (Cách 1). Khi đó nhân viên chỉ cần tự bấm Xóa tất cả nội dung và cài đặt trên máy. Nếu máy mua lẻ bên ngoài chưa có trong ABM, không thể làm từ xa 100% mà bắt buộc phải có thao tác vật lý trực tiếp bằng Apple Configurator (Cách 2 hoặc Cách 3).

Máy đang có dữ liệu của nhân viên thì có cách nào vào Supervised mà không mất dữ liệu không?

Không. Cơ chế bảo mật của Apple bắt buộc mọi thiết bị muốn chuyển sang Supervised đều phải xóa trắng máy để đảm bảo người dùng biết rõ máy đang được chuyển giao cho doanh nghiệp quản trị. Cần hướng dẫn người dùng sao lưu dữ liệu quan trọng lên iCloud hoặc máy tính trước khi thực hiện.

Chưa có tài khoản Apple Business Manager thì làm thế nào để có Supervised?

Dùng Cách 3: Cắm máy vào máy Mac và chạy phần mềm Apple Configurator miễn phí để Prepare máy sang chế độ Supervise devices. Cách này không đòi hỏi phải có tài khoản ABM hay mã D-U-N-S.

Mac có nằm trong các bài này không?

Menu Apple dùng chung cho iPhone, iPad và Mac. Các bài đợt này viết cho iPhone và iPad. Thao tác riêng trên Mac sẽ có sau.