แยกข้อมูลงานและข้อมูลส่วนตัวในอุปกรณ์ iOS

รุ่นที่รองรับฟีเจอร์นี้ ได้แก่ Frontline Starter, Frontline Standard และ Frontline Plus; Business Plus; Enterprise Standard และ Enterprise Plus; Education Standard, Education Plus และ Endpoint Education Upgrade; Enterprise Essentials และ Enterprise Essentials Plus; G Suite Basic และ G Suite Business; Cloud Identity Premium เปรียบเทียบรุ่นของคุณ

ในฐานะผู้ดูแลระบบ คุณสามารถจัดการข้อมูลทั้งหมดในอุปกรณ์ iOS ส่วนตัวของผู้ใช้หรือเฉพาะข้อมูลงานได้ การลงทะเบียนผู้ใช้ Apple จะแยกข้อมูลงานและข้อมูลส่วนตัวในอุปกรณ์ iOS เพื่อให้คุณควบคุมข้อมูลงานในอุปกรณ์ได้อย่างเต็มที่ในขณะที่ผู้ใช้ยังคงรักษาความเป็นส่วนตัวในเรื่องข้อมูลส่วนตัวของตนเองได้

เปรียบเทียบตัวเลือกการลงทะเบียนอุปกรณ์ iOS

โดยเลือกระหว่างการลงทะเบียนอุปกรณ์และการลงทะเบียนผู้ใช้สำหรับอุปกรณ์ iOS แบบ BYOD (นำอุปกรณ์มาใช้เอง) การลงทะเบียนแต่ละประเภทจะมีชุดฟีเจอร์ให้ใช้แตกต่างกัน

• ใช้การลงทะเบียนผู้ใช้หากต้องการรักษาความปลอดภัยให้กับข้อมูลงานในอุปกรณ์และปกป้องความเป็นส่วนตัวของผู้ใช้ในเรื่องข้อมูลส่วนตัว
• ใช้การลงทะเบียนอุปกรณ์เพื่อให้ควบคุมอุปกรณ์ได้มากขึ้น รวมถึงความสามารถในการล้างข้อมูลอุปกรณ์

ฟีเจอร์การจัดการมือถือ	การลงทะเบียนอุปกรณ์	การลงทะเบียนผู้ใช้
กำหนดค่าบัญชีเพื่อเข้าถึงข้อมูลงานในแอป iOS ในตัว	✔	✔
ติดตั้งและกำหนดค่าแอป	✔	✔
กำหนดให้ต้องใช้รหัสผ่านสำหรับอุปกรณ์	✔	✔
ดูคลังของแอปงาน	✔	✔
นำเฉพาะข้อมูลงานออก	✔	✔
กำหนดให้ตั้งรหัสผ่านที่รัดกุม	✔
เข้าถึงคลังแอปส่วนตัว	✔
ล้างข้อมูลทั้งหมดในอุปกรณ์จากระยะไกล (รวมถึงข้อมูลส่วนตัว)	✔

ข้อควรทราบก่อนที่จะเริ่มต้น

• การลงทะเบียนผู้ใช้ได้รับการรองรับในอุปกรณ์ส่วนตัวที่ใช้ iOS 15.5 ขึ้นไป แต่จะใช้กับอุปกรณ์ของบริษัทไม่ได้

หมายเหตุ: วิธีการลงทะเบียนผู้ใช้ตามโปรไฟล์แบบเดิม (รองรับใน iOS 15.5 ขึ้นไป) จะไม่ได้รับการรองรับในอุปกรณ์ที่ใช้ iOS 18 ขึ้นไปอีกต่อไป

• เตรียมรายละเอียดการลงชื่อเข้าใช้สำหรับทั้งคอนโซลผู้ดูแลระบบของ Google และ Apple Business Manager หรือ Apple School Manager ขององค์กร
• เปิดการจัดการอุปกรณ์เคลื่อนที่ขั้นสูงสำหรับหน่วยขององค์กรที่จะใช้อุปกรณ์
• ตั้งค่า Apple Volume Purchase Program (VPP) เพื่อกระจายแอปงานไปยังผู้ใช้

ขั้นตอนที่ 1: ลิงก์ Apple Business Manager กับ Google Workspace

การลิงก์ Apple Business Manager หรือ Apple School Manager กับ Google Workspace จะช่วยให้ผู้ใช้ใช้ชื่อผู้ใช้ Google Workspace เป็น Apple ID ที่มีการจัดการได้ โดยสามารถใช้รายละเอียดดังกล่าวเพื่อลงชื่อเข้าใช้อุปกรณ์ iOS คุณต้องมีใบอนุญาตสำหรับแอป Google Device Policy และแอปอื่นๆ ที่ต้องการเผยแพร่ไปยังอุปกรณ์ของผู้ใช้ที่ลงทะเบียนไว้ วิธีลิงก์ Apple Business Manager กับ Google Workspace มีดังนี้

1. เปิด Apple Business Manager หรือ Apple School Manager แล้วลงชื่อเข้าใช้ด้วย Apple ID สำหรับธุรกิจ
2. ที่ด้านซ้ายล่าง ให้เลือกชื่อ Preferences Managed Apple Accounts
3. ถัดจาก Federated Authentication ให้คลิก Edit
4. เลือก Google Workspace Connect แล้วลงชื่อเข้าใช้ด้วยบัญชีผู้ดูแลระบบ Google Workspace
5. เลือกช่องข้างสิทธิ์ที่ขอแต่ละรายการ แล้วคลิก Continue Done
6. ถัดจาก Domains ให้คลิก Edit
7. ข้างโดเมนที่ยืนยันแล้ว ให้คลิก Federate
8. คลิก Directory Sync ทางด้านซ้าย แล้วเปิดใช้ Google Workspace Sync

ขั้นตอนที่ 2: รับใบอนุญาตแอปสำหรับ Google Device Policy

คุณต้องมีใบอนุญาตสำหรับแอปนโยบายด้านอุปกรณ์ และแอปอื่นๆ ที่ต้องการเผยแพร่ไปยังอุปกรณ์ของผู้ใช้ที่ลงทะเบียนไว้ โปรดดูรายละเอียดที่หัวข้อเผยแพร่แอป iOS ด้วย Apple VPP

ขั้นตอนที่ 3: เลือกประเภทการลงทะเบียน

ก่อนเริ่มต้น: หากคุณมีอุปกรณ์ที่มีข้อกำหนดการลงทะเบียนที่แตกต่างกัน ให้ตั้งค่าหน่วยขององค์กรสำหรับการลงทะเบียนแต่ละประเภท ตัวอย่างเช่น อุปกรณ์ของบริษัทจะมีการลงทะเบียนอุปกรณ์ ดังนั้นโปรดตรวจสอบว่าอุปกรณ์อยู่ในหน่วยขององค์กรที่มีการเลือกการลงทะเบียนอุปกรณ์หรือตัวเลือกของผู้ใช้ โปรดดูรายละเอียดที่หัวข้อเพิ่มหน่วยขององค์กร

1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู อุปกรณ์ มือถือและปลายทาง การตั้งค่า iOS

   ไปที่ iOS

   ต้องมีสิทธิ์ของผู้ดูแลระบบการจัดการมือถือ

2. คลิก Enrollment
3. (ไม่บังคับ) หากต้องการใช้การตั้งค่ากับแผนกหรือทีม ให้เลือกหน่วยขององค์กรที่ด้านข้าง
4. เลือกตัวเลือก (1 ตัวเลือกต่อหน่วยขององค์กร) ดังนี้
   • (ค่าเริ่มต้น) หากต้องการจัดการข้อมูลงานและข้อมูลส่วนตัวในอุปกรณ์ iOS ส่วนตัว ให้เลือก Device Enrollment
   • หากต้องการจัดการเฉพาะข้อมูลงานในอุปกรณ์ส่วนตัว ให้เลือก User Enrollment
     หากต้องการใช้การตั้งค่าเฉพาะกับอุปกรณ์ใหม่เท่านั้น ให้เลือกช่อง Allow Device Enrollment for existing users
   • หากต้องการให้ผู้ใช้เลือกประเภทการลงทะเบียน ให้เลือก User's choice
     • หากผู้ใช้เลือกการลงทะเบียนอุปกรณ์ ผู้ใช้จะต้องติดตั้งแอป Google นโยบายด้านอุปกรณ์ และโปรไฟล์การกำหนดค่า โปรดดูรายละเอียดที่หัวข้อติดตั้งแอป Google นโยบายด้านอุปกรณ์
     • หากเลือกการลงทะเบียนผู้ใช้ ให้ไปที่ขั้นตอนที่ 5 (ต่อไปในหน้านี้) เพื่อดูขั้นตอนการลงทะเบียนอุปกรณ์
5. คลิกบันทึก หรือคลิกลบล้างสำหรับหน่วยขององค์กร

   หากในภายหลังต้องการกู้คืนค่าที่รับช่วงมา ให้คลิกรับค่า

ขั้นตอนที่ 4: ตั้งค่าการลงทะเบียนผู้ใช้ตามบัญชี

ต้องดำเนินการสำหรับอุปกรณ์ iOS 18 ขึ้นไป โดยไม่บังคับสำหรับอุปกรณ์ iOS 17 และรุ่นก่อนหน้า

ตั้งค่าการลงทะเบียนผู้ใช้ที่อิงตามบัญชีเพื่อให้ผู้ใช้ลงทะเบียนอุปกรณ์ส่วนตัวในแอปการตั้งค่า iOS ได้ หากต้องการตั้งค่าการลงทะเบียนที่อิงตามบัญชี คุณต้องกำหนดค่า Service Discovery โดยโฮสต์ข้อมูลการลงทะเบียนในเว็บเซิร์ฟเวอร์ ซึ่งจะช่วยให้ Apple เรียกข้อมูลจากการจัดการอุปกรณ์ปลายทางของ Google ได้

กำหนดค่าการค้นหาบริการ

1. กำหนดเอกสาร JSON Service Discovery

   {
      "Servers": [
       {
          "BaseURL":"https://ios-mdm.google.com/userenrollment/enroll",
          "Version":"mdm-byod"
       }
      ]
   }
   

2. กำหนดค่าเว็บโฮสติ้งเพื่อแสดงเอกสาร JSON จากตำแหน่งต่อไปนี้

    https://YOUR_DOMAIN/.well-known/com.apple.remotemanagement 

   สำคัญ

   • ตรวจสอบว่ามีการตั้งค่าส่วนหัว Content-Type ในการตอบกลับ HTTP เป็น application/json
   • ใบรับรอง SSL สำหรับเว็บเซิร์ฟเวอร์ต้องออกโดยผู้ออกใบรับรองที่เชื่อถือได้ และมีชื่อโดเมนที่สมบูรณ์ในตัวเอง (FQDN) เดียวกันกับการตั้งค่าโดเมนที่ยืนยันแล้วในขั้นตอนที่ 1 (ก่อนหน้านี้ในหน้านี้)
   • การกำหนดค่า Service Discovery ต้องโฮสต์ในเซิร์ฟเวอร์ที่รองรับคำขอ GET ผ่าน HTTPS

3. ตรวจสอบการกำหนดค่า Service Discovery โดยเรียกใช้คำสั่งต่อไปนี้

   curl -I https://YOUR_DOMAIN/.well-known/com.apple.remotemanagement

   ตรวจสอบว่าเว็บเซิร์ฟเวอร์ที่แสดงไฟล์ JSON สามารถจัดการพารามิเตอร์ของ URL เพิ่มเติมได้ ซึ่ง iOS บางเวอร์ชันอาจแนบพารามิเตอร์ต่อไปนี้ไปกับคำขอ GET ของ HTTP

   • user-identifier - ตัวระบุบัญชีผู้ใช้ (เช่น email@example.com)
   • model-family - ตระกูลรุ่นของอุปกรณ์ (เช่น iPhone หรือ iPad)

   คำสั่งควรพิมพ์คำตอบที่คล้ายกับตัวอย่างต่อไปนี้

   HTTP/2 200  content-type: application/json
   last-modified: Wed, 30 Oct 2024 19:14:12 GMT
   accept-ranges: bytes
   date: Fri, 27 Dec 2024 18:40:36 GMT
   content-length: 138
   

การกำหนดค่านี้ช่วยให้อุปกรณ์ iOS ค้นหาเซิร์ฟเวอร์การลงทะเบียนการจัดการปลายทางของ Google ได้ในระหว่างกระบวนการลงทะเบียนที่อิงตามบัญชี หลังจากที่ผู้ใช้ป้อนอีเมลของบัญชี Apple ที่มีการจัดการแล้ว อุปกรณ์จะดำเนินการต่อไปนี้

1. อุปกรณ์จะดึงชื่อโดเมนจากบัญชี Apple ที่มีการจัดการ
2. อุปกรณ์จะส่งคำขอ HTTP ไปยังเว็บเซิร์ฟเวอร์ที่โฮสต์ข้อมูลการลงทะเบียน

ตัวอย่าง
หากผู้ใช้ Dana ลงชื่อเข้าใช้อุปกรณ์ด้วย Apple ID ที่มีการจัดการ ซึ่งได้แก่ dana@example.com

• อุปกรณ์จะแยก example.com และใช้กระบวนการ Service Discovery เพื่อส่งคำขอ HTTPS สำหรับข้อมูลการลงทะเบียนที่โฮสต์อยู่ที่ https://example.com/.well-known/com.apple.remotemanagement
• อุปกรณ์จะระบุการจัดการปลายทางของ Google จากการกำหนดค่า Service Discovery และเริ่มการลงทะเบียน

โปรดดูข้อมูลเพิ่มเติมเกี่ยวกับกระบวนการ Service Discovery ได้ที่เอกสารประกอบเกี่ยวกับการค้นหาเซิร์ฟเวอร์การตรวจสอบสิทธิ์จากเว็บไซต์ Apple Developer

ขั้นตอนที่ 5: ให้ผู้ใช้ลงทะเบียนอุปกรณ์ของตนเอง

หากต้องการลงทะเบียนอุปกรณ์ iOS สำหรับการจัดการ โปรดให้ผู้ใช้ดำเนินการต่อไปนี้

1. หากอุปกรณ์ของผู้ใช้มีการลงทะเบียนเพื่อรับการจัดการแล้ว ให้ผู้ใช้ยกเลิกการลงทะเบียนบัญชี Google Workspace จากแอปนโยบายด้านอุปกรณ์ จากนั้นถอนการติดตั้งแอป โปรดดูรายละเอียดที่หัวข้อจัดการแอปนโยบายด้านอุปกรณ์
2. เลือกตัวเลือกต่อไปนี้
   • หากคุณตั้งค่าการลงทะเบียนผู้ใช้ตามบัญชี (ก่อนหน้านี้ในบทความนี้) ให้ผู้ใช้แตะ Settings General VPN & Device Management Sign In to Work or School Account แล้วลงชื่อเข้าใช้ด้วยบัญชี Workspace ของตนเอง
   • หรืออีกวิธีคือให้ผู้ใช้ลงชื่อเข้าใช้ด้วยบัญชีงานในแอป Gmail ที่ติดตั้งจาก Apple App Store
3. ทำตามข้อความแจ้งที่ปรากฏเพื่อติดตั้งโปรไฟล์การกำหนดค่า ผู้ใช้อาจต้องไปที่แอปการตั้งค่า iOS เพื่อติดตั้งโปรไฟล์ที่ดาวน์โหลด ระบบจะติดตั้งแอป Google นโยบายด้านอุปกรณ์ โดยอัตโนมัติ
4. ผู้ใช้ต้องลงชื่อเข้าใช้ด้วยแอปนโยบายด้านอุปกรณ์หลังจากดาวน์โหลดแล้ว โปรดดูรายละเอียดที่หัวข้อตั้งค่าอุปกรณ์ส่วนตัว
5. ติดตั้งแอปที่มีการจัดการจากแอปนโยบายด้านอุปกรณ์ หากมีการทำเครื่องหมายแอปเป็นต้องใช้ในแอปนโยบายด้านอุปกรณ์ ผู้ใช้จะต้องถอนการติดตั้งแอป แล้วติดตั้งอีกครั้งจากแอปนโยบายด้านอุปกรณ์ โปรดดูรายละเอียดที่หัวข้อดาวน์โหลดแอปงานที่ได้รับอนุมัติในอุปกรณ์ iOS

หมายเหตุ

• เนื่องด้วยเหตุผลด้านความเป็นส่วนตัว การจัดการอุปกรณ์ปลายทางของ Google จึงไม่สามารถอ่านรายการแอปที่ติดตั้งในอุปกรณ์ที่ผู้ใช้ลงทะเบียนไว้ได้ หากผู้ใช้ยังไม่ได้ติดตั้งแอปที่มีการจัดการจากแอปนโยบายด้านอุปกรณ์ เราจะไม่ทราบได้ว่ามีการติดตั้งแอปจาก App Store โดยไม่มีการจัดการไว้แล้วหรือไม่ หากแอปอยู่ในอุปกรณ์อยู่แล้ว ผู้ใช้จะต้องถอนการติดตั้งแอปก่อนจึงจะติดตั้งจากแอปนโยบายด้านอุปกรณ์ได้ โปรดดูรายละเอียดเพิ่มเติมเกี่ยวกับการปกป้องความเป็นส่วนตัวของผู้ใช้ได้ในเอกสารประกอบของ Apple
• ระบบจะไม่ส่งการแจ้งเตือนทางอีเมลเกี่ยวกับการอนุมัติของผู้ดูแลระบบสำหรับการลงทะเบียนผู้ใช้ Apple คุณต้องตรวจสอบและอนุมัติอุปกรณ์ด้วยตนเองโดยใช้รายการอุปกรณ์ที่รอดำเนินการ

หัวข้อที่เกี่ยวข้อง

จัดการแอปบนอุปกรณ์เคลื่อนที่สำหรับองค์กร