IOS MDM流程

http://www.mbaike.net/ios/1552.html

一、MDM资料下载：

BH_US_11_Schuetz_InsideAppleMDM_WP.pdf（MDM流程及资料最全的PDF文档）

二、MDM流程整理：

1、创建和部署https（SSL）服务器，文档参见（Create https web server）：

（1）、申请IOS开发MDM需要的https（SSL）证书和密钥

（2）、部署https（SSL）服务器环境

我们这里使用的是Nginx和Jetty搭建的https web服务器。

2、生成mobileconfig配置文件（MDM Enrollment Profile）：

生成mobileconfig文件需要注意两个URL地址：Server URL 和 Check In URL两个地址需要配置成https服务器上两个RestFull方法为PUT的地址，例如：https://www.mbaike.net:8443/mdm/server/123456789 和 https://www.mbaike.net:8443/mdm/checkin/123456789（注意请求的Method要配置成PUT）；
具体参见：配置描述文件mobileconfig的生成及注意事项

3、安装mobileconfig配置文件：

mobile配置文件安装时会执行两部操作，即Authenticate和Token Update。

（1）、Authenticate：

当IOS设备安装mobileconfig文件时, 设备会马上去连接MDM server（即我们配置的https服务器上部署的程序），第一步是通过“Check In URL”发送一个“Authenticate”的请求信息，设备会将“UDID”，即“Universal Device Identifier”和推送通知的“Topic”信息。

如下就是设备请求服务器checkin方法，将下面的xml格式的数据发送给MDM Server：

——————————————————————-

PUT: /checkin

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"

"http://www.apple.com/DTDs/PropertyList-1.0.dtd">

<plist version="1.0">

<dict>

<key>MessageType</key>

<string>Authenticate</string>

<key>Topic</key>

<string>com.example.mdm.pushcert</string>

<key>UDID</key>

<string> [ redacted ] </string>

</dict>

</plist>

——————————————————————-

请求后，MDM Server只需要发送一个空的xml格式的文件给设备（Device）就行了，代码如下：

——————————————————————-

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST 1.0//EN"

"http://www.apple.com/DTDs/PropertyList-1.0.dtd">

<plist version="1.0">

<dict>

</dict>

</plist>

——————————————————————-

（2）、Token Update：

完成了设备的认证，接下来设备再次请求服务器的，通过“Check In URL”发送一个“TokenUpdate”的请求信息，具体的代码如下：

——————————————————————-

PUT: /checkin

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"

"http://www.apple.com/DTDs/PropertyList-1.0.dtd">

<plist version="1.0">

<dict>

<key>MessageType</key>

<string>TokenUpdate</string>

<key>PushMagic</key>

<string> [ redacted uuid string ] </string>

<key>Token</key>

<data> [ 32 byte string, base64 encoded, redacted ] </data>

</data>

<key>Topic</key>

<string>com.example.mdm.pushcert</string>

<key>UDID</key>

<string> [ redacted ] </string>

<key>UnlockToken</key>

<data>

[ long binary string encoded in base64, redacted ]

</data>

</dict>

</plist>

——————————————————————-

这里，我们需要获取几个有用的数据：PushMagic、Token、Topic、UDID、UnlockToken 这几个参数都很重要，一定要在服务器保存好。

我们收到这样的数据后，我们不需要返回一个空的xml格式的文件，我们只需要返回一个“200”状态就行了。（Again, the server doesn’t need to provide any response beyond a simple blank plist. Once this is complete, the server retains copies of the tokens, and the device is now fully enrolled.）

具体参见：安装mobileconfig配置描述文件及完成Authenticate和Token Update功能

4、发送MDM推送信息到apple的APNS推送服务器：

在完成MDM推送证书文件后，我们现在需要向APNS服务器发送一个推送命令来告诉设备，MDM服务器需要连接设备发送MDM命令了。我们通过java-apns jar组件来完成信息的发送，发送的具体内容例如：

{"aps":{},"mdm":"996ac527-9993-4a0a-8528-60b2b3c2f52b"}

具体参见：MDM推送证书的生成及java-apns组件的测试代码编写

5、通过MDM推送证书向设备发送锁屏命令：

发送锁屏命令时，我们需要在推送一个类似：{"aps":{},"mdm":"996ac527-9993-4a0a-8528-60b2b3c2f52b"} 这样的命令时，我们需要在服务器保存一条和锁屏相关的数据，设备受到推送消息时，会向MDM Server的Server URL发送一个状态“Status”为“Idle”的数据xml数据，MDM server收到这样的状态后。MDM server调用数据，返回一个如下格式的锁屏命令（The DeviceLockcommand requires no parameters,
and is simply the following:）：

——————————————————————-

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST 1.0//EN"

"http://www.apple.com/DTDs/PropertyList-1.0.dtd">

<plist version="1.0">

<dict>

<key>Command</key>

<dict>

<key>RequestType</key>

<string>DeviceLock</string>

</dict>

<key>CommandUUID</key>

<string></string>

</dict>

</plist>

——————————————————————-

设备执行成功后，会返回给服务器的Server URL地址一个如下的数据（When this is provided to the device, as the response to the Status: Idle command, the device immediately locks. The response from the device is the standard acknowledgement message:）：

——————————————————————-

PUT: /server

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"

"http://www.apple.com/DTDs/PropertyList-1.0.dtd">

<plist version="1.0">

<dict>

<key>Status</key>

<string>Idle</string>

<key>UDID</key>

<string> [ redacted ] </string>

</dict>

</plist>

——————————————————————-

这样的数据，就表示设备执行完成。

具体参见：

（1）、通过APNS发送MDM的锁屏命令

（2）、通过APNS发送MDM的恢复出厂设置命令

（3）、通过APNS发送MDM的查询设备信息的命令

三、MDM相关说明：

1、这里只是简单说明了MDM过程，具体的过程参见：基于IOS上MDM技术相关资料整理及汇总

2、我们这边的MDM Server使用JAVA作为服务器端开发语言，Jetty作为 web application容器，前端使用nginx作为前端代理；