mdm

理解 macOS 的 MDM 注册路径、配置描述文件下发与用户批准状态。

补充说明

MDM（Mobile Device Management）让组织通过设备管理服务向 Mac 下发配置描述文件、限制、证书、Wi-Fi 与 VPN 参数、软件更新策略和 FileVault 设置。Mac 上的 mdmclient 负责与 MDM 服务通信，profiles 命令用于查看注册与描述文件状态。需要先建立一个边界认识：从 macOS 11 起，profiles 工具不能再安装配置描述文件，安装和批准应在系统设置的设备管理界面完成，命令行主要负责查询、移除和重新触发注册。

注册路径主要有两类。ADE（Automated Device Enrollment，自动化设备注册）面向组织所有的 Mac，设备在设置助理阶段通过 Apple Business Manager 或 Apple School Manager 关联到 MDM，通常处于受监督状态，管理从开箱或重新部署时就开始。另一类是手动或基于描述文件的 Device Enrollment：用户拿到注册描述文件后自行安装；从 macOS 11 起，经本地管理员批准的这种注册也会让 Mac 进入受监督状态，具体仍以设备管理控制台的设备记录为准。还有基于账户的注册方式，入口和流程不同，但最终同样会建立 MDM 通道，并可能区分工作数据与个人数据。

“用户批准”（User Approved）是 macOS 上最容易被忽略的一环。手动注册时，MDM 描述文件需要由用户在系统设置中确认；较新的系统入口通常在“通用 > 设备管理”，旧系统的入口可能在“描述文件”或“隐私与安全性”附近。判断依据不是控制台显示“已注册”，而是 profiles status -type enrollment 输出里是否带有 (User Approved)。缺少这个标记时，设备可能只完成了登记，FileVault 恢复密钥托管、部分安全与隐私控制、软件更新管理等需要更高权限的能力可能不生效，表现为“策略已下发但机器没反应”。

描述文件“已安装”和“已生效”也是两件事。描述文件有用户范围和设备范围，root 才能看到设备级配置；同一 PayloadIdentifier 的旧描述文件可能覆盖或冲突；部分载荷要求重新登录、重启，或依赖安全令牌、FileVault 用户身份和网络签入。排查时应同时看 profiles 的安装列表、系统设置里的管理界面、MDM 控制台的最后签入时间，以及 mdmclient 日志，不要只盯一个界面。

还要区分两类描述文件：注册描述文件建立设备与 MDM 的信任关系，配置描述文件承载具体设置。移除注册描述文件时，基于该注册下发的配置描述文件、设置和受管理应用通常会一起消失；受监督设备还可以通过策略禁止用户移除注册。MDM 下发也不是“服务器一推就到”：服务通过 Apple Push Notification service 唤醒设备，设备再向 MDM 服务签入、取命令并回传结果。因此控制台的“命令已排队”不等于“设备已执行”，要看最后签入时间、命令回执和设备侧状态。

影响范围：sudo profiles remove -all 或旧式 sudo profiles -D 会删除设备上的全部配置描述文件，可能连同 Wi-Fi、VPN、证书和 MDM 注册一起移除，导致设备失联或无法再接收策略；受监督设备还可能被策略禁止移除注册。profiles renew -type enrollment 会重新触发 ADE 注册检查，man page 明确提示该调用可能被限流为每 23 小时 10 次。前置条件：先在测试机验证，保留本地管理员、恢复密钥、MDM 控制台权限和可用的网络通道；不要在没有替代管理入口的生产机上直接移除注册。恢复方式：重新安装注册描述文件并在系统设置中批准，或由 MDM 控制台重新下发；ADE 设备可用 profiles renew 重试，必要时按组织流程重新注册。

常用示例

# 1. 查看 MDM 注册状态；输出中的 (User Approved) 是关键
% sudo profiles status -type enrollment

# 2. 列出设备级描述文件；root 加 -all 才能看到设备范围
% sudo profiles list -all

# 3. 查看描述文件的展开信息，核对标识符、载荷和安装状态
% sudo profiles show -all

# 4. 查看 ADE 注册配置；-cached 只读本地缓存，避免触发限流
% sudo profiles show -type enrollment -cached

# 5. 重新触发 ADE 注册检查；有频率限制，不要用脚本循环重试
% sudo profiles renew -type enrollment

# 6. 观察 mdmclient 近期日志，确认设备是否签入、命令是否失败
% sudo log show --last 30m --predicate 'process == "mdmclient"' --style compact

易错点与排错

• 控制台显示已注册，但 profiles status -type enrollment 没有 (User Approved)：手动注册没有完成用户批准，或批准被取消。先在系统设置的设备管理界面确认，再检查 MDM 控制台的合规状态；ADE 设备可重新触发注册，但不要反复执行 profiles renew。
• 在新系统上照旧教程执行 profiles -I -F xxx.mobileconfig：该工具已不能安装描述文件，命令会失败或行为与预期不符。改用系统设置的设备管理入口，或让 MDM 下发；命令行只做查询、移除和续期。
• 描述文件显示已安装，设置却没生效：先确认是用户范围还是设备范围，再用 profiles show -all 核对 PayloadIdentifier、载荷内容和安装时间。旧描述文件重复、载荷冲突、需要重启或重新登录，都会造成“看起来装了但没生效”。
• 设备长时间不签入：检查 APNs 与 MDM 服务是否可达、代理或防火墙是否拦截、MDM 服务器证书是否过期、设备时间是否正确。profiles renew 有频率限制，频繁重试反而会进入限流窗口，应结合 mdmclient 日志和控制台最后签入时间判断。
• FileVault 策略下发后没有启用：FileVault 需要安全令牌，Apple silicon 上还涉及卷所有者身份；延迟启用要等用户登录或注销后才会提示。恢复密钥托管还依赖用户批准的 MDM，具体状态用 fdesetup status 和 fdesetup list -extended 交叉确认。
• 把“移除描述文件”当万能排错：移除会同时丢掉 Wi-Fi、VPN、证书和注册关系，可能让远程设备彻底失联。只在测试机或有本地恢复通道的设备上操作，并先记录描述文件标识符和 MDM 注册信息。
• 描述文件设置了移除密码或被监督策略锁定：普通用户和管理员都可能无法直接移除，profiles remove 会失败。此时不要反复尝试或用删除钥匙串等方式绕过，应让 MDM 控制台撤销对应配置，或按组织流程解除监督。
• profiles show -type enrollment 偶发失败或提示稍后再试：该查询可能被限流，脚本里优先使用 -cached 读取本地缓存，并把重新获取安排在维护窗口，而不是把它当作实时健康检查。

相关命令

• filevault — 托管恢复密钥、用户批准与加密状态。
• security — 描述文件中的证书、身份与钥匙串。
• launchctl — 登录会话、后台服务与任务加载。
• csrutil — 系统完整性保护与管理能力的边界。
• macOS 心智模型 — 信任链、TCC 与权限分层。
• macOS 学习路径 — 系统与安全的学习顺序。

参考链接

• Apple Platform Deployment
• Apple Developer: Device Management

读完自测

合上页面，先回答，再展开对照。

1. profiles status -type enrollment 显示已注册，但没有 (User Approved)，这意味着什么？下一步做什么？
2. 描述文件显示已安装，设置却没有生效，应该按什么顺序排查？
3. 为什么在新系统上不能用 profiles -I 安装描述文件？应该改用哪些入口？