支持这些功能的版本（除非另有说明）：“Frontline Starter”和“Frontline Standard”；商务新手版、商务标准版和商务 Plus 版；企业标准版和企业 Plus 版；教育基础版、教育标准版、教与学升级版、教育 Plus 版和教育端点管理升级；Essentials、Enterprise Essentials和Enterprise Essentials Plus；G Suite 基本版和 G Suite 商务版；Cloud Identity 免费版和 Cloud Identity 专业版。比较您的版本
作为管理员，您可以决定用户在受管理的 iPhone 和 iPad 上使用工作账号的方式。例如，您可以禁止将受管理应用中的数据复制到不受管理的应用（数据保护）、停用某些应用，以及控制哪些工作数据可以同步到设备内置的 iOS 应用。
查找设置
准备工作：如果您需要为此设置设定部门或团队，请参阅添加组织部门。
-
-
在管理控制台中，依次点击“菜单”图标
设备
移动设备和端点
- 点击一个设置类别和一项设置。请参阅下文了解这些设置。
- （可选）要将设置应用于某个部门或团队，请在侧边选择一个组织部门。显示具体方法
- 启用或停用该设置。
-
点击保存。或者，您也可以针对 组织部门 点击覆盖。
如果之后要恢复继承的值，请点击继承。
更改最长可能需要 24 小时才会生效，但通常不需要这么久。了解详情
iOS 设置索引
基本移动设备管理
数据保护适用于那些使用基本或高级移动设备管理功能的设备。
高级移动设备管理
支持此功能的版本：“Frontline Starter”和“Frontline Standard”；商务 Plus 版；企业标准版和企业 Plus 版；教育标准版、教育 Plus 版和教育端点管理升级；“Enterprise Essentials”和“Enterprise Essentials Plus”；G Suite 基本版和 G Suite 商务版；Cloud Identity 专业版。 比较您的版本
要使用这些设置，请为 iOS 设备设置高级移动设备管理。
部分设置仅适用于受监管的公司自有设备：
| 所有使用高级管理功能的 iOS 设备 | 仅限受监管的公司自有 iOS 设备 |
|---|---|
|
|
Apple 证书
Apple 推送通知服务创建并管理组织的 Apple Push Certificate。首次设置 Google 端点管理时，您需要设置 Apple Push Certificate。证书即将到期时，您可以续订现有证书。
请尽早续订证书，以免您的 iOS 用户需要重新注册设备。您无法续用已过期的证书。
关联组织的 Apple 商务管理或 Apple 校园教务管理账号，以便管理公司自有的 iOS 设备。您可以了解如何设置公司自有 iOS 设备管理服务。移动设备管理 (MDM) 服务器令牌即将到期时，您可以续订该令牌。
Apple 批量购买计划 (VPP)
您可批量购买应用，并将其分发到组织中的 iOS 设备。您需将 Apple 商务管理或 Apple 校园教务管理与您的 Google Workspace 或 Cloud Identity 账号相关联。您可以购买应用许可，并使用内容令牌将其与您的账号同步。有关详情，请参阅通过 Apple VPP 分发 iOS 应用。
账号配置（仅限 Google Workspace）
Google 账号 - 自动推送配置启用自定义推送配置后，此设置将无法使用。
自动将用户的 Google Workspace 电子邮件、日历和联系人同步到其设备上对应的内置 iOS 应用。勾选推送 Google 账号配置对应的复选框后，可实现以下功能：
- 将 Google Workspace 电子邮件与 Apple“邮件”应用同步。
- 将 Google Workspace 日历活动与 Apple“日历”应用同步。
- 将 Google Workspace 联系人与 Apple“通讯录”应用同步。
- 允许用户在 iOS“通讯录”应用中搜索您单位的目录。
用户可以在 Google 移动应用（推荐）或 iOS 应用中查看电子邮件和日历活动。有关详情，请参阅注册我的 iOS 设备。
如果您不希望用户在 Apple“邮件”应用中访问自己的邮件，请停用 IMAP 访问。日历活动和联系人仍然会同步到 iOS 应用。有关详情，请参阅启用和停用 POP 和 IMAP 访问权限。如果您停用了 IMAP 访问权限，请告知用户他们无法再将 Google Workspace 邮件同步到 Apple“邮件”应用，因为他们可能不会在设备上收到相应通知。此外，当 IMAP 处于停用状态时，如果用户尝试使用其 Google 账号登录 Apple 的“邮件”应用，则登录会失败且无任何提示。
如果您启用了 Google 账号设置，则使用已注册管理服务的设备的用户会收到通知，要求他们为自己的 Google Workspace 账号添加密码。用户可以通过 Google 移动应用（例如 Google Device Policy 应用）登录自己的 Google Workspace 账号，从而注册新设备。
Google Workspace 电子邮件、日历和联系人均可通过设备进行管理。因此，如果您屏蔽设备或移除账号，用户的 Google Workspace 电子邮件、日历活动和联系人也会从设备上移除，而且会停止同步。
选择自动推送配置后，此设置将无法使用。
启用此设置后，系统会自动将 Google 日历同步到用户设备的 iOS“日历”应用中。
如果您决定使用该设置，Google Workspace 日历活动将无法完全通过设备进行管理。如果您远程擦除设备或账号，Google Workspace 日历活动就会停止同步，而且所有现有活动都会从设备上移除。但是，如果您屏蔽设备，或者设备处于待审批状态，那么日历活动仍会同步到设备，而且现有活动也会保留在设备上。
您启用此设置后，用户需要生成并输入应用专用密码，而不是使用自己的 Google Workspace 密码。然后，Google Workspace 活动会同步到 iOS“日历”应用中。用户可以关闭此同步功能。有关详情，请参阅注册我的 iOS 设备。
您停用 CalDAV 设置后，用户仍然可以手动添加他们的日历。
如果 Google 账号设置处于启用状态，此设置将无法使用。
启用此设置后，系统会自动将 Google 通讯录同步到用户设备的 iOS“通讯录”应用中。通过此设置，用户还可以在 iOS 通讯录应用中搜索贵组织的目录。
如果您决定使用此设置，Google Workspace 联系人将无法完全通过设备进行管理。如果您远程擦除设备或账号，用户的联系人就会停止同步，而且现有联系人也会从设备上移除。但是，如果您屏蔽设备，或者设备处于待审批状态，那么联系人仍然会同步到设备。
您启用 CardDAV 设置后，用户需要生成并输入应用专用密码，而不是使用自己的 Google Workspace 密码。然后，Google Workspace 联系人就会同步到 iOS“通讯录”应用。用户可以关闭此同步功能。有关详情，请参阅注册我的 iOS 设备。
如果您仅与应用和 API 共享已公开的目录数据，那么用户将无法搜索您组织的目录。有关详情，请参阅允许第三方应用访问目录数据。
如果您停用 CardDAV 设置，用户仍然可以手动添加联系人。
注册
- 设备注册 -（默认）贵组织拥有对设备的完全控制权，包括擦除设备中的所有数据。您可以查看设备上的工作应用清单，并要求用户设置安全系数高的设备密码。
- 用户注册 - 将 iOS 设备上的工作数据和个人数据分开，这样您就可以完全控制设备上的工作数据，而用户则可以保持其个人数据的私密性。如果您想将此设置仅应用于新设备，请勾选允许现有用户注册设备复选框。
- 用户选择 -（仅限新设备注册）让用户在向设备添加工作账号时选择注册类型。
锁定屏幕
控制中心允许用户在设备处于锁定状态时访问和更改控制中心中的设置。用户只需滑动屏幕，便可通过控制中心访问相关设置和应用（例如 Wi-Fi、Apple 隔空投送和相机）。
要禁止在锁定屏幕上访问控制中心，请取消选中允许在锁定屏幕上显示“控制中心”对应的复选框。
允许用户在锁定的设备上打开通知中心。用户只需在屏幕上从上向下滑动，便可通过通知中心查看近期提醒（例如日历活动或未接电话）。
要禁止用户在锁定的设备上打开通知中心，请取消选中允许在锁定屏幕上显示“通知”视图对应的复选框。不过，用户仍然可以看到收到的新通知。
允许用户在设备处于锁定状态时查看“今天”视图。用户只需在屏幕上从左向右滑动便可打开“今天”视图，该视图会显示今天的摘要信息。这些信息可能包含敏感的日历活动名称和电子邮件主题行。
要禁止在锁定屏幕上显示“今天”视图，请取消选中允许在锁定屏幕上显示“今天”视图对应的复选框。
数据共享
如要使用其中大部分设置，您必须为 iOS 设备设置高级移动设备管理功能。不过，您无需设置高级移动设备管理功能就可以使用数据操作设置。
数据操作支持此功能的版本：Frontline Standard；企业标准版和企业 Plus 版；教育标准版、教育 Plus 版和教育端点管理升级；Cloud Identity 专业版。 比较您的版本
允许用户在 iOS 设备上与组织外部人员共享 Google Workspace 数据。开启此功能后，您可以使用数据渗漏防护设置来防止意外数据泄露。不过，这些设置无法防范所有可能的数据渗漏方法（例如通过 Apple 看图查询功能进行复制、进行屏幕截图或使用翻译扩展程序）。如要防止用户对外共享 Google Workspace 数据，请选择不允许用户执行对外共享 Google Workspace 数据的操作。
重要提示：某些文件可能会在非 Google Workspace 应用中打开，因此不受数据保护的约束。
如需了解详情，请参阅防止 iOS 设备上意外发生数据泄露。
允许用户信任并非通过 Apple App Store 或 Google Device Policy 应用安装的企业应用。
如果您允许用户信任未知来源的应用（已勾选对应的复选框），则当用户首次打开来自未知来源的应用时，会在设备上收到该应用的开发者不可信的通知。用户可以在设备设置中将应用开发者设为“受信任”。如果用户信任开发者，他们就可以安装同一开发者的其他应用，并立即打开这些应用。
要禁止用户信任应用开发者，请取消选中允许用户信任新的企业应用开发者。如果您取消选中该复选框，则在该设置应用到设备前，用户信任的任何应用开发者仍会保持受信任状态。用户可以安装并打开同一开发者开发的更多应用。
通过此设置，用户可以在非受管应用中使用不受管理的账号打开工作文件和链接，还可以使用 Apple 隔空投送共享文件和链接。
要让用户只能在受管理应用中使用受管理的账号打开工作文件、附件和链接，请取消选中允许在非受管应用中打开创建自受管理的应用的内容对应的复选框。例如，您可以禁止用户在个人应用中使用工作账号打开机密电子邮件附件。
如果您禁止用户在非受管应用中打开工作文件和链接，仍可以允许他们使用 Apple 隔空投送共享这些内容。要禁止用户使用隔空投送共享文件，请取消选中允许使用隔空投送共享通过受管理的应用创建的内容对应的复选框。
允许受管理的应用使用 Apple iCloud 存储数据。存储在 iCloud 的数据会一直保留，直到设备用户将其移除。
要禁止用户将工作应用数据存储在 iCloud 中，请取消选中允许受管理的应用在 iCloud 中存储数据对应的复选框。但用户仍然可以使用 iCloud 存储个人数据。
通过此设置，用户可以在受管理的应用中使用受管理的账号打开个人文档、附件和链接。
要禁止用户在受管理的应用中打开个人文档或链接，请取消选中允许在受管理的应用中打开创建自非受管应用的内容对应的复选框。在这种情况下，用户仅能在非受管应用中使用个人账号打开个人文档和链接。
允许受管理的应用使用移动流量上网。如果您允许受管理的应用使用移动流量进行同步，则还可以决定是否允许相应应用在漫游时同步数据。要禁止受管理的应用在漫游时同步，请取消选中允许受管理的应用在漫游时进行同步。
要禁止受管理的应用随时使用移动流量，请取消选中允许受管理的应用使用移动流量进行同步对应的复选框。
备份和 iCloud 同步
注意：iOS 设备用户需要授予相关权限，才能使用这些设置进行自动备份和同步。
文档同步允许用户启用或停用将 iOS 设备上的文档和数据同步到 iCloud 的功能。如果允许，系统会将用户的不同 iOS 应用中的数据存储在 iCloud 中，并在用户受支持的 iOS 设备间进行同步。
要禁止用户使用 iCloud 进行设备同步，请取消选中允许用户通过 iCloud 同步文档和数据对应的复选框。
对于 iOS 13 及更高版本的设备，该设置仅适用于受监管的公司自有设备。对于 iOS 12 及更低版本的设备，该设置适用于所有使用高级管理功能的设备。
勾选此设置后，系统会强制为备份到 Apple iTunes 的所有内容加密。用户将自己的 iOS 设备备份到 iTunes 后，会在 iTunes 设备“摘要”页面中看到加密本地备份或给 iPhone 备份加密对应的复选框处于选中状态，且无法取消选中。
首次启用备份加密时，iTunes 会要求用户输入密码。加密的备份内容会储存在用户的计算机上，用户需要输入密码才能恢复 iOS 设备。
要允许用户在备份设备时不加密备份的内容，请取消选中要求加密备份内容对应的复选框。
允许用户每天通过 Wi-Fi 自动将其 iOS 设备上的内容备份到 iCloud。在 iCloud 备份期间，您必须开启然后锁定 iOS 设备，并将设备连接到电源。
如要禁止将设备内容备份到 iCloud，请取消选中允许用户通过 iCloud 备份设备对应的复选框。
允许用户使用 iCloud 钥匙串。用户使用 iCloud 钥匙串时，其用户名、密码和信用卡号码均将采用 256 位高级加密标准 (AES) 存储在 iCloud 上。这些数据会在用户受支持的 iOS 设备之间同步。
要禁止用户使用 iCloud 钥匙串，请取消选中允许用户通过 iCloud 同步钥匙串。
照片
我的照片流允许将用户相机胶卷中的照片同步到 iCloud 中的“我的照片流”。取消选中相应复选框即可执行以下操作：
- 将“我的照片流”中的照片从设备上清除。
- 停止将相机胶卷中的照片同步到“我的照片流”。
- 禁止通过设备查看在照片流中分享的照片和视频。
注意：如果相应照片和视频没有其他副本，就可能会被永久删除。
允许用户将自己的照片和视频存储在 iCloud 中，以便通过任一设备访问。
要禁止使用 iCloud 照片图库，请取消选中允许使用“iCloud 照片图库”对应的复选框。任何未从 iCloud 照片图库完全下载到设备上的照片都会从设备上移除。
允许用户向 iCloud 中的共享相簿添加照片和视频。该设置也允许用户邀请他人在共享相簿中添加照片、视频和评论。
要禁止用户订阅或发布共享相簿，请取消选中允许使用“iCloud 照片共享”功能对应的复选框。
高级安全设置
屏幕截图允许用户保存屏幕截图或录像。
要禁止屏幕截图，请取消选中允许屏幕截图和屏幕录制对应的复选框。
允许用户使用 Siri。要禁止使用 Siri，请取消选中允许使用 Siri。
如果您允许用户使用 Siri，也可以决定是否允许 Siri 在设备处于锁定状态时回复用户。要禁止在锁定的设备上使用 Siri，请取消选中允许在锁定屏幕上使用 Siri 对应的复选框。
允许用户从手腕上取下 Apple Watch 设备后不需要将其解锁便能直接使用。
要让手表在从用户手腕上取下时自动锁定，请取消选中允许在未检测手腕的情况下使用 Apple Watch 对应的复选框。用户将 Apple Watch 从手腕上取下后，仍然可以通过密码或配对的 iPhone 将其解锁。
允许用户使用 Apple 接力在设备之间发送应用数据，以便在一台设备上开始工作，然后在另一台设备上继续工作。例如，用户可以使用 iPad 上的 Safari 开始阅读某个文档，然后再继续使用 iPhone 上的 Safari 阅读该文档。
要禁止使用接力，请取消选中允许使用接力对应的复选框。
Safari
允许使用 Safari（仅限受监管的公司自有设备）允许用户在 Safari 中通过自动填充功能完成在线表单。勾选此复选框后，Apple Safari 就会记住用户在表单中输入的信息，例如姓名、地址、电话号码或电子邮件地址。之后，相应信息就会自动填充到在线表单中。
要禁止在 Safari 中使用自动填充，请取消选中允许在 Safari 中自动填充对应的复选框。
对于 iOS 13 及更高版本的设备，该设置仅适用于受监管的公司自有设备。对于 iOS 12 及更低版本的设备，该设置适用于所有使用高级管理功能的设备。
当用户使用 Safari 访问疑似欺诈网站时发送警告。
要关闭欺诈网站警告功能，请取消选中为 Safari 强制启用欺诈网站警告功能对应的复选框。
允许在 Safari 中使用 JavaScript（用于网站中的按钮、表单或其他内容）。
要禁止在 Safari 中使用 JavaScript，请取消选中允许在 Safari 中使用 JavaScript 对应的复选框。如果您禁用 JavaScript，部分网站将无法正常运行。
允许当用户在 Safari 中访问或关闭网页时打开弹出式窗口。弹出式窗口通常用于显示广告。但是，部分网站会使用弹出式窗口来显示重要内容。
要禁止显示弹出式窗口，请取消选中允许在 Safari 中显示弹出式窗口对应的复选框。
允许 Safari 访问的所有网站、第三方和广告客户在设备上存储 Cookie 和其他数据。
要禁止在设备上存储 Cookie 和其他数据，请取消选中在 Safari 中接受 Cookie 对应的复选框。如果您关闭 Cookie，某些网站可能无法正常运行。
公司自有 iOS 设备设置
仅限公司自有设备
设备注册设置 - 允许配对要求使用 iOS 12 及更低版本设备的用户安装 MDM 配置文件。iOS 13 及更高版本的设备一律需要安装 MDM 配置文件。
要允许使用 iOS 12 及更低版本设备的用户跳过配置文件安装，请取消选中需要 MDM 配置文件对应的复选框。在这种情况下，设备将不受适用于受监管的公司自有设备的设置约束，而只受其他高级管理设置约束。
设备功能
仅限受监管的公司自有设备（诊断功能除外）
AirDrop- 要停用通过隔空投送分享密码的功能，请转到身份验证
- 要禁止用户使用隔空投送共享在受管理应用中创建的文件，请转到数据共享
网络
仅限受监管的公司自有设备
如果您对 Wi-Fi 网络和移动数据有限制，请确保贵单位的网络设置至少允许一个 Wi-Fi 网络。否则，设备可能无法同步政策，并最终导致所有用户被锁定。
应用和服务
仅限受监管的公司自有设备
安装应用- 用户无法访问 App Store。
- 在其他设备上购买的应用无法自动下载。
- Google Device Policy 应用以及通过 Device Policy 应用安装的任何应用（不包括专用 iOS 应用）不会自动更新。
- 用户仍然可以通过 Google Device Policy 应用下载允许的应用。
- 取消选中允许用户从 App Store 安装应用对应的复选框，即可禁止用户使用 App Store。用户仍然可以通过 Google Device Policy 应用下载允许的应用。
- 取消选中允许通过其他设备购买的应用自动下载复选框，即可禁止通过其他设备购买的应用自动下载。
Apple 应用
仅限受监管的公司自有设备
FaceTime身份验证
仅限受监督的公司自有设备
进行身份验证以使用自动填充功能连接
仅限受监管的公司自有设备
主机配对- 允许通过 iBeacon 查找 AirPrint 打印机 - 取消选中后，可防范通过 AirPrint 蓝牙 Beacon 进行的网上诱骗攻击。禁止 iBeacon 后，设备仍可通过同一个 Wi-Fi 网络检测 AirPrint 打印机。
- 允许“钥匙串”存储 AirPrint 凭据 - 取消选中后，可防止“钥匙串”存储 AirPrint 的用户名和密码。
- 允许使用不受信任的证书进行 AirPrint 连接 - 取消选中后，用户需要拥有受信证书才能进行 TLS 打印。
键盘和词典
仅限受监管的公司自有设备
键盘自动改正功能需要更多移动设备设置？
“Google”、Google Workspace 以及相关标志和徽标是 Google LLC 的商标。其他所有公司名和产品名是其各自相关公司的商标。
