Giám sát không ABM
Đưa iPhone vào chế độ giám sát bằng Apple Configurator khi không có Apple Business Manager và không có ADE. Hồ sơ hạn chế chỉ tắt mục xóa trắng trong Cài đặt. Prepare hoặc Erase trên Configurator vẫn xóa được máy, và máy không bị kéo lại.
Trước khi prepare
Settings → Apple → Push certificate phải là Configured.
Settings → Apple → ADE settings, khối Enrollment identity phải là Generated. Không tải khóa lên Apple Business Manager. Không bấm Regenerate identity khi đã có máy đang dùng.
Settings → Apple → Configuration profiles. Tạo hồ sơ loại Restrictions, Status Active. Tắt Allow Erase All Content and Settings. Camera, cài ứng dụng, chụp màn hình và AirDrop để bật nếu người dùng vẫn dùng máy bình thường. Tên hồ sơ trong ảnh lab là Trả góp — cấm xóa trắng. Bạn đặt tên khác cũng được.
Giám sát bằng Apple Configurator
Cắm iPhone đã mở khóa vào Mac có Apple Configurator. Lần đầu máy hỏi tin cậy máy tính thì đồng ý. Prepare xóa sạch dữ liệu. Làm bước này trước khi trên máy có dữ liệu cần giữ.
Chọn máy, bấm Prepare. Prepare with là Manual Configuration. Bật Supervise devices. Bật Allow devices to pair with other computers nếu sau này Mac khác của bạn cũng cần cắm máy. Tắt mục đó nếu không muốn Mac lạ ghép nối sau khi bấm Tin cậy — Mac của bạn phải có identity giám sát. Tắt Add to Apple School Manager or Apple Business Manager.
Không thêm máy vào Apple Business Manager. Tên tổ chức trên dòng máy phía sau là lần prepare cũ. Màn Enroll in MDM Server: chọn Do not enroll in MDM. Hồ sơ quản lý cài sau bằng Safari.
Không chọn máy chủ MDM ở bước này. Nếu thấy màn đăng nhập Apple Business Manager, bấm Skip.
Skip. Tình huống này không dùng tài khoản Apple Business Manager. Tạo tổ chức. Chỉ bắt buộc tên — tên này hiện trên máy. Xuất identity giám sát: Settings → Organizations, chọn tổ chức, Export Supervision Identity. Cất file và mật khẩu. Mac quản trị dùng file này để gỡ hồ sơ sau. Mac khác không cần file này để Erase.
Bấm Prepare. Nếu máy đã prepare rồi, Configurator hỏi Erase. Erase xóa toàn bộ nội dung. Xong khi cột Is Supervised là Yes.
Client1 là tên tổ chức trong lần thử. Bạn đặt tên tổ chức của mình. Is Supervised phải là Yes.
Đưa máy vào panel
Trên iPhone, đi hết màn hình chào và nối Wi-Fi.
Settings → Apple → Manual enrollment → New token. Status Active. Sao chép link, mở bằng Safari trên iPhone, cho phép tải hồ sơ, rồi cài VN-MDM Device Management. Cảnh báo chưa ký là bình thường.
Devices: máy Enrolled và có badge Supervised. Thiếu Supervised thì Prepare chưa đúng.
Tắt xóa trắng trong Cài đặt
Mở máy → Send command → Install Configuration Profile → chọn hồ sơ Restrictions vừa tạo → Run now → Send.
Một máy. Run now rồi Send. Số lệnh bị ẩn trên ảnh là của máy giám sát trong lần thử, không phải con số cố định. Nhiều máy: trên dòng hồ sơ bấm Assign to group, Target type là Entire customer, rồi Assign.
Gán cho toàn bộ máy đã đăng ký của khách hàng này. Tab Commands: đợi Acknowledged. Pending nghĩa là máy chưa lấy lệnh. Để máy có Wi-Fi rồi tải lại trang. Đừng gửi lần hai khi dòng cũ vẫn Pending.
Trên iPhone: Cài đặt → Cài đặt chung → VPN và quản lý thiết bị → hồ sơ → Giới hạn. Phải thấy dòng không cho phép xóa nội dung và cài đặt.
Hồ sơ hạn chế đã xuống máy. Cài đặt → Cài đặt chung → Chuyển hoặc Đặt lại iPhone. Dòng Xóa tất cả nội dung và cài đặt hiện nhưng không bấm được.
Chỉ mục trong Cài đặt bị tắt. Đây không phải khóa trước Configurator.
Những gì cách này không chặn
Cùng màn quản lý vẫn có nút Xóa Quản lý. Bấm nút đó thì hồ sơ hạn chế cũng mất, và mục xóa trắng trong Cài đặt bấm được trở lại.
Không có ADE thì nút này còn. Safari và Configurator đều từ chối hồ sơ đăng ký đánh dấu không gỡ được. Cắm máy sang Mac khác có Apple Configurator, không nhập tổ chức và không có certificate. Sau khi iPhone bấm Tin cậy, Mac đó vẫn Erase được. Xóa xong máy hết giám sát và không enroll lại.
Tắt Allow devices to pair with other computers lúc Prepare thì Mac lạ không ghép nối sau Tin cậy. Chế độ phục hồi trên máy tính vẫn xóa được máy.
Khi thôi quản lý
Cắm máy vào Mac đã có identity giám sát của đúng tổ chức.
Apple Configurator: Actions → Remove → Profiles. Gỡ hồ sơ quản lý và hồ sơ hạn chế. Ảnh và tin nhắn còn trên máy.
Trên panel, máy rời Enrolled. Sau đó mới Delete dòng máy. Hộp thoại nói rõ việc này không khôi phục cài đặt gốc.
Dòng máy được giám sát trong Giới thiệu còn đến khi người dùng tự xóa trắng. Lúc đó mục xóa trắng đã bấm được vì hồ sơ hạn chế đã gỡ.
Câu hỏi thường gặp
- Safari báo hồ sơ MDM phải xóa được, hoặc Configurator báo profile invalid?
- Đừng đánh dấu hồ sơ đăng ký là không gỡ được. Cài link Manual enrollment bình thường. Việc tắt xóa trắng trong Cài đặt là hồ sơ Restrictions riêng, gửi sau khi máy đã Enrolled.
- Xóa dòng máy trên panel là máy hết quản lý?
- Không. Delete chỉ xóa dòng trong danh sách. Hồ sơ trên iPhone còn đến khi gỡ trên máy.
- Vì sao Mac không có certificate vẫn Erase được?
- Certificate giám sát không chặn Erase. Hồ sơ hạn chế chỉ làm mờ mục xóa trắng trong Cài đặt. Erase trên Configurator và chế độ phục hồi không đi qua mục đó.