WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
Deploy Apple devices using zero-touch

Deploy Apple devices using zero-touch

WWDC 2020Device ManagementBusiness
观看原视频

Highlight

Apple 展示了内部零触摸部署流程：设备从供应链直发员工，首次开机经 Apple Business Manager、MDM 和 APNs 自动完成注册、应用分发与安全配置。

核心内容

过去发一台公司电脑，IT 往往要拆箱、装系统、做镜像、建账号、装软件，再把机器交给员工。远程办公突然扩大时，这条流程会变成瓶颈：设备在 IT 手里排队，员工在家等机器，安全策略也很难在第一时间落到设备上。

Apple 在这场 session 里讲自己的做法。设备购买后，序列号、采购订单和购买日期通过经销商流程进入 Apple Business Manager。组织先把设备分配到默认 MDM 服务器，设备第一次启动时进入 Setup Assistant，然后在激活和注册过程中接收初始管理配置。

这个流程的目标很直接：设备可以从供应链直接寄到员工家里。用户只需要完成必要的设置，企业应用、Wi-Fi、VPN、邮件日历、FileVault 等安全项由 MDM 推送。Apple 在演讲中给出的内部规模是每位 MDM 管理员管理 20,000 台设备。

疫情期间，这个能力变成真实的业务连续性工具。Apple 把新 Mac 直接寄给无法带走办公设备的员工，员工开机后通过零触摸注册恢复工作。如果没有这套流程，IT 需要逐台配置，受影响员工会停工更久。

详细内容

1. 设备如何进入组织的管理链路

（03:32）零触摸部署从采购开始。经销商把设备记录发送给 Apple Business Manager，记录里包含序列号、采购订单、购买日期等信息。Apple Business Manager 根据 Reseller ID 把设备放进组织账号，再按组织的默认目标分配给 MDM 服务器。

purchase from reseller
  -> reseller sends device details to Apple Business Manager
  -> Apple Business Manager assigns device to the organization's MDM target
  -> Setup Assistant starts enrollment on first boot
  -> MDM applies pre-stage profiles and management settings

关键点：

  • purchase from reseller 是链路入口，设备信息不需要 IT 手动录入到每台机器。
  • Apple Business Manager assigns device 让组织在员工开机前就决定设备属于哪个 MDM 环境。
  • Setup Assistant starts enrollment 把注册动作放到首次启动流程中，用户不需要额外安装管理工具。
  • MDM applies pre-stage profiles 对应演讲中的预置配置，初始配置会在设备设置期间下发。

2. APNs 与代理网络

（05:40）演讲提到 macOS 10.15.4 和 iOS 13.4 起，APNs 支持代理配置。对默认拒绝出站流量的企业网络，这一点很关键，因为 MDM 与设备之间的管理通信依赖 Apple Push Notification service（APNs，Apple 推送通知服务）。

PAC file specifies web proxy
  -> APNs traffic uses the proxy
  -> MDM can reach devices on proxy-enabled networks
  -> APNs payload remains encrypted and cannot be inspected

关键点：

  • PAC file specifies web proxy 说明代理发现可以来自代理自动配置文件。
  • APNs traffic uses the proxy 是这次提到的新网络能力，方便受管网络放行管理流量。
  • MDM can reach devices 解决默认拒绝网络里 MDM 指令无法稳定抵达设备的问题。
  • payload remains encrypted 保留了 APNs 通信的安全边界，网络设备不能检查其中数据。

3. Setup Assistant 应该留下哪些步骤

（09:31）零触摸部署不等于把所有选择都交给系统。Apple 的做法是跳过不必要的 Setup Assistant 屏幕，同时保留本地账号创建、密码要求等关键步骤。用户仍然知道设备被组织管理，并在注册屏幕看到自定义 MDM 提示。

Setup Assistant design
  keep: language, network, local account, secure password
  skip: nonessential screens that slow deployment
  show: custom MDM enrollment notification
  finish: install required apps and security profiles

关键点：

  • keep 代表不能省掉的用户输入，尤其是本地账号和密码策略。
  • skip 对应演讲中减少设置屏幕的做法，目的是真正缩短开箱到桌面的时间。
  • show 让用户明确知道设备正在加入组织管理，符合 Apple 强调的透明性。
  • finish 是注册完成后的落地动作，应用和安全配置应该在用户到达桌面前后就绪。

4. 应用、身份与安全策略的落地顺序

（10:58）设备进入 MDM 后，Apple 会自动安装业务关键 App，配置邮件、日历、VPN 和内部无线网络。用户登录 Single Sign-On（SSO，单点登录）客户端后，MDM 还能根据 LDAP 组和用户角色给设备下发不同的配置、策略、应用和设置。

MDM enrollment completes
  -> install business-critical apps
  -> configure Mail, Calendar, VPN, and Wi-Fi
  -> read identity through SSO and LDAP groups
  -> scope profiles, policies, apps, and settings by role

关键点：

  • install business-critical apps 适合放自动安装队列，确保员工打开桌面后能立刻工作。
  • configure Mail, Calendar, VPN, and Wi-Fi 对应演讲中的基础生产力配置。
  • read identity through SSO and LDAP groups 把用户身份变成管理条件。
  • scope profiles 让不同部门、岗位或安全等级拿到不同策略，避免一套配置覆盖所有设备。

5. 失联、离职和不合规设备怎么处理

（13:20）演讲列出几类安全处置：移除 MDM 配置资料、只删除特定配置或 provisioning profile、远程抹掉 Mac、远程锁定设备。这些动作都要求设备有网络连接才能接收命令。

if device is lost, stolen, out of policy, or user leaves
  option A: remove the MDM configuration profile
  option B: remove selected configuration and provisioning profiles
  option C: remotely wipe the Mac
  option D: send remote lock command

关键点：

  • option A 会结束设备与 MDM 的关系，同时移除 MDM 安装的账号和设置。
  • option B 保持设备受管，只清理需要删除的配置，设备回到合规状态后不必重新注册。
  • option C 用于永久删除媒体和数据。
  • option D 适合设备丢失时先锁住访问入口，管理员设置解锁密码。

6. App 分发不依赖个人 Apple ID

（14:46）Apple 使用 VPP 和 MDM 把 App 分配到设备，而不是要求用户先配置 Apple ID 或接受邀请。对大量设备，macOS 内容缓存还能在本地缓存 App、系统更新和其他 Apple 内容。

device-based app management
  -> assign apps through Apple Business Manager and MDM
  -> install apps without a user's Apple ID
  -> use macOS content caching for large fleets
  -> prepare for managed apps in macOS Big Sur

关键点：

  • device-based app management 适合共享设备、新员工设备和没有个人 Apple ID 的场景。
  • install apps without a user's Apple ID 减少入职首日的账号阻塞。
  • content caching 能降低大规模装机和系统更新带来的外网压力。
  • managed apps in macOS Big Sur 是演讲提到的后续方向，IT 可以防止关键 App 被移除。

核心启发

1. 做一个远程入职设备包

  • 做什么：为新员工准备一套自动注册、自动装 App、自动配置网络和安全策略的 Mac 发放流程。
  • 为什么值得做：这场 session 的核心场景就是设备直发到员工，首次开机后进入 MDM 并完成必要配置。
  • 怎么开始：先在 Apple Business Manager 里确认设备能分配到 MDM，再把 Setup Assistant 跳过项、预置配置、业务关键 App 做成一个最小策略组。

2. 做一个代理网络下的 MDM 连通性检查

  • 做什么：为受管网络建立 APNs 代理连通性检查清单。
  • 为什么值得做：演讲明确提到 APNs 可通过 PAC 指定的 Web 代理通信，适合默认拒绝出站流量的行业网络。
  • 怎么开始：和网络团队确认 PAC URL 的发现方式，用配置资料下发代理设置，再验证设备能接收 MDM 指令。

3. 做一个按身份分层的配置策略

  • 做什么：让不同 LDAP 组或用户角色收到不同的应用、配置资料和安全策略。
  • 为什么值得做：Apple 的内部流程会通过 SSO 客户端取得用户信息，并用 LDAP 组和角色确定管理范围。
  • 怎么开始：先选一个部门做试点，把邮件、VPN、Wi-Fi、FileVault 和应用安装拆成可复用策略，再按组做 scope。

4. 做一个不合规设备的响应剧本

  • 做什么：把丢失、被盗、离职、不合规四类情况写成 MDM 操作剧本。
  • 为什么值得做：演讲列出的远程锁定、远程抹掉、移除配置资料和保留 MDM 关系清理配置，对应不同风险级别。
  • 怎么开始：为每类事件规定触发条件、审批人、MDM 命令和用户沟通模板，并在测试设备上演练。

5. 做一个设备级 App 分发基线

  • 做什么：把业务关键 App 改成设备级分配，减少用户 Apple ID 对部署流程的影响。
  • 为什么值得做：演讲说明 VPP 和 MDM 可以把 App 直接分发到设备，适合大规模部署和共享设备。
  • 怎么开始：在 Apple Business Manager 中购买或分配 App，把必须安装和自助安装分成两组，再为大规模网络启用 macOS 内容缓存。

关联 Session

评论

GitHub Issues · utterances