Java iOS MDM 策略

Question

我有一个管理 iOS 设备的 mdm 服务器。 我们已经完成了在设备上安装 mdm 配置文件的所有步骤。此外，我们还应用了适用于设备和 Wi-Fi 等配置的所有策略。

问题 1： 当我们将“allowAppRemoval”发送为 false 时，设备不应用此策略，这会引发设备不合规，因为此策略正在发送到设备但设备没有承认这一政策。配置的 MDM 参考文档确实提到此策略可用。 它描述为：可选。当为 false 时，禁止从 iOS 设备上删除应用程序。

但在应用策略后说我已将 allowCamera 和 allowAppRemoval 都发送为 false 并尝试使用“限制”命令获取设备上应用的所有策略。限制仅返回相机策略和所有依赖项，但根本不通知 allowAppRemoval。

iOS 是否有可能不支持此政策？我在 iOS 7.1 上工作。 有很多帖子确实报告了这个问题，但没有一个提供任何解决方案或合理的答案。

“更新 1”： 下面是传递给设备的限制有效负载内容，其中 allowAppRemoval 为 false

<key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadDescription</key>
            <string>MDM Policies</string>
            <key>PayloadDisplayName</key>
            <string>Restrictions</string>
            <key>PayloadIdentifier</key>
            <string>com.version1.mdm3.configuration.restrictions1</string>
            <key>PayloadOrganization</key>
            <string></string>
            <key>PayloadType</key>
            <string>com.apple.applicationaccess</string>
            <key>PayloadUUID</key>
            <string>BB35B1B3-9944-4C43-AD36-27176362AB2A</string>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>allowAppRemoval</key>
            <false/>
        </dict>
    </array>

此有效负载作为配置文件安装。以下是控制台日志

Polling MDM server https://mdm-server-url/location for next command.
 mdmd[1120] <Notice>: (Note ) MDM: Transaction completed. Status: 200
 mdmd[1120] <Notice>: (Note ) MDM: Attempting to perform MDM request: InstallProfile
 profiled[1121] <Notice>: (Note ) MC: Checking for MDM installation...
 profiled[1121] <Notice>: (Note ) MC: ...finished checking for MDM installation.
 profiled[1121] <Notice>: (Note ) MC: Beginning profile installation...
 profiled[1121] <Error>: MKBDeviceLockAssertion: MKBDeviceLockAssertion (asserttype:3)
 profiled[1121] <Error>: MKBDeviceGetGracePeriod: MKBDeviceGetGracePeriod() => (0,0,0)
 profiled[1121] <Error>: MKBDeviceGetGracePeriod: MKBDeviceGetGracePeriod() => (0,0,0)
 profiled[1121] <Error>: get_longlongvalue_for_key: failed to get GracePeriod
 profiled[1121] <Error>: get_longlongvalue_for_key: failed to get MaxLifetime
 profiled[1121] <Error>: MKBDeviceSetGracePeriod: MKBDeviceSetGracePeriod(-1,5,-1)
 profiled[1121] <Error>: MKBDeviceSetGracePeriod: MKBDeviceSetGracePeriod: from AKS 0
 keybagd[46] <Error>: 0x243000 __update_system_keybag_block_invoke: Updating System Keybag
 keybagd[46] <Error>: 0x243000 KBUpdateSystemKeyBag: Got opaqueStuff from ondisk keybag
 profiled[1121] <Notice>: (Note ) MC: Profile com.version1.mdm3.configuration installed.
 keybagd[46] <Error>: 0x243000 KBUpdateSystemKeyBag: Saved new keybag with result 2371352
 profiled[1121] <Error>: __MKBAssertionFinalize: __MKBAssertionFinalize(0x17d93b50)
 mdmd[1120] <Notice>: (Note ) MDM: Command Status: Acknowledged

安装配置文件后，设备上的限制有效负载显示为：“不指定任何限制”

问题 2： 是否有可以阻止删除 MDM 有效负载的策略。我们为每个有效负载提供了“PayloadRemovalDisallowed”属性，当设置为 true 时，我们无法删除设备上安装的配置文件。但这仅在设备上安装配置文件时执行一次。 我的情况有点不同。我想要一个策略，在需要时可以将其设置为 true，这将不允许删除 mdm 配置文件，并且当设置为 false 时，mdm 配置文件适用于删除。 我也参考了所有有关此的文档，我们可以拥有一个受监督的设备，但这不是必需的。 简单来说，我们是否有像 allowCamera 这样的策略，当设置为 false 时会阻止相机，反之亦然。我根本不想更改设备上安装的 mdm 有效负载。如果这需要客户端实现，那么我们也可以跳过它。

希望我说清楚了。 谢谢。

Answer 1

问题1。

我不知道。看起来你不仅仅是一个这样问的人： https://discussions.apple.com/thread/4244061?start=0&tstart=0

您是否检查了控制台以查看任何错误/警告？

一个疯狂的想法。可能此限制仅适用于受监督的设备。他们可能只是忘记在文档中提及它。

问题 2。

你做不到。它可以是可移动的（适用于非受监管或受监管的设备）或不可移动的（仅限受监管的设备）。

Answer 2

查看 Apple Configurator v. 1.6，allowAppRemoval 的设置仅适用于受监督的设备。我很确定通过 MDM 拥有受监督设备的唯一方法是让设备注册 DEP（Apple 的设备注册计划）。

至于 MDM 有效载荷可移除问题，正如 Victor 所说，设备必须受到监督。同样，DEP 是 MDM 有效负载的唯一选项。