Luồng ABM

Nối dịch vụ MDM

Làm bằng tài khoản quản trị của Apple Business, không phải người chỉ gán máy.

1. Settings → Apple → Push certificate phải là Configured. Enrollment identity phải là Generated.

2. Khối Public key certificate: bấm Generate & download hoặc Download PEM khi trạng thái đã là Generated.

   

3. Apple Business: Devices → Management Services → thêm dịch vụ bên ngoài. Đặt tên. Tải file PEM lên. Để trống Allow this service to release devices nếu việc nhả máy khỏi tổ chức phải do người trên Apple Business làm, không do dịch vụ MDM tự làm.

   

4. Bước 2: Download Service Token, rồi Done.

   

5. Trên panel, khối ADE server token: tải file .p7m lên. Trạng thái chuyển Configured. Ghi ngày Token expires.

   

6. Bấm Validate. Connection là OAuth configured. Rồi Full fetch hoặc Diff sync. Toast báo sync xong.

   

Người chỉ gán máy

1. People → Add a user. Tạo Managed Apple Account. Không dùng Apple ID cá nhân.

   

2. Vai trò tùy chỉnh, không chọn Administrator. Lần thử dùng vai trò Device Enrollment Operator.

   

3. Trong quyền Devices, bật xem dịch vụ và thêm máy bằng Apple Configurator, và bật gán máy vào dịch vụ. Tắt Release devices from the organization. Tắt tạo, sửa, xóa dịch vụ MDM.

   

Gán serial vào dịch vụ

1. Người này đăng nhập Apple Business. Devices → Inventory, chọn máy, Assign Device Management. Chọn đúng dịch vụ vừa nối. Add Deadline để trống nếu không đặt hạn enroll. Continue.

   

2. Máy mua lẻ chưa có trong tổ chức thì phải thêm bằng Apple Configurator trước, rồi mới gán dịch vụ. Máy thêm theo cách đó có 30 ngày người cầm máy tự nhả khỏi tổ chức, tính từ lúc gán và enroll thành công.

3. Trên panel, View ADE devices. Serial xuất hiện. Profile status là Empty khi chưa có hồ sơ ADE gán cho serial đó. Cột MDM là Enrolled nếu máy đã check-in từ trước.

   

Hồ sơ lúc bật máy

1. Settings → Apple → ADE profiles → New profile. Bật Supervised device. Tắt Allow MDM profile removal. Allow host pairing tùy bạn có cần cắm USB hay không. Có thể bật Default auto-assign profile để serial chưa có hồ sơ nhận hồ sơ này sau lần sync.

   

2. Sau khi lưu, danh sách hiện dòng Supervised và nhãn Auto-assign nếu đã đặt mặc định.

   

3. Hồ sơ này không đổi máy đang dùng ngay. Máy nhận lúc Setup Assistant: máy mới, hoặc vừa xóa trắng, khi serial vẫn được gán dịch vụ.

Trên máy và trên panel

1. Xóa trắng máy lab, nối Wi-Fi. Màn Remote Management không có nút bỏ qua.

2. Trang máy trên panel có badge Enrolled và Supervised.

   

3. Trong Cài đặt của iPhone, hồ sơ quản lý không có nút xóa quản lý khi hồ sơ ADE tắt Allow MDM profile removal và máy enroll qua Setup Assistant.

4. Xóa trắng lần nữa trong khi serial còn gán dịch vụ: máy lại dừng ở Remote Management và enroll lại.

Bỏ máy khỏi dịch vụ

1. Người chỉ gán máy: Unassign Device Management. Không có quyền Release.

2. Máy đang mở vẫn còn quản lý cho đến lần xóa trắng. Sau khi bỏ gán, lần xóa trắng không còn Remote Management. Serial vẫn nằm trong tổ chức. Gán lại dịch vụ thì lần xóa trắng sau sẽ vào lại.

3. Nhả hẳn khỏi tổ chức là Release, làm bằng tài khoản quản trị. Làm Release trước, rồi mới xóa trắng, rồi Delete dòng trên panel. Delete không xóa dữ liệu máy.

Câu hỏi thường gặp

Vì sao xóa trắng vẫn bị kéo lại?

Serial còn được gán dịch vụ MDM và còn hồ sơ ADE. Đó là việc của luồng này. Muốn lần xóa trắng ra máy thường thì bỏ gán hoặc Release trước khi xóa.

Mac khác Erase có thoát được không?

Không, nếu serial vẫn được gán. Máy bật lên lại gặp Remote Management. Không có ADE thì cùng thao tác đó thoát hẳn.

Token hết hạn thì sao?

Tải token mới từ cùng dịch vụ trên Apple Business và tải lên lại. Không bấm Regenerate & download trừ khi bạn sẽ tải khóa PEM mới lên dịch vụ đó.