用途
本技能是一份面向初创团队和小型团队的移动设备管理（MDM）实践指南，目标是帮助团队完成公司设备的注册、安全加固与日常管理，覆盖 macOS、Windows、iOS 和 Android，从零接触式入职到远程擦除。
何时使用 MDM
资料给出以下判断标准：团队规模超过约 10 人时，手动配置笔记本不再可扩展；存在 SOC 2、HIPAA、ISO 27001 或客户安全问卷等合规要求，需要证明终端已加密并打补丁；远程/混合办公无法走到工位修复配置或验证磁盘加密；存在承包商或 BYOD 设备，需要分离企业数据与个人数据并在离职时撤销访问；网络安全保险承保方和投资方尽职调查要求提供终端管理证据。若团队不足 10 人且全员在办公室，简单清单加配置管理工具（Ansible）可能够用，但建议尽早规划 MDM 以便扩展时注册顺畅。
主要能力
- 平台选型对比：列出 Jamf Pro（macOS/iOS 机群，按设备/年，非开源，Apple 集成最深、原生 DEP/ADE）、Microsoft Intune（Windows + M365 环境，随 M365 E3/E5 捆绑，非开源，Azure AD + Autopilot 无缝）、Kandji（macOS 优先的初创，按设备/年，非开源，预置合规模板、快速部署）、Mosyle（教育与中小企业 Apple，按设备/年，非开源，Apple School/Business Manager 集成）、Fleet（跨平台、工程主导，免费开源/付费云，开源，osquery 驱动、GitOps 友好、API 优先）、SimpleMDM（小型纯 Apple 团队，按设备/月，非开源，界面简单、上手快）。并给出决策启发式：团队 < 50 且工程主导且多操作系统考虑 Fleet；macOS 为主且合规要求重考虑 Kandji 或 Jamf；Windows 为主且已在 M365 考虑 Intune；否则按操作系统组合评估 Fleet 或 Kandji。
- Fleet 自托管部署：提供 Docker Compose 配置（MySQL 8.0、Redis 7、fleetdm/fleet:v4.47.0）、TLS 证书生成、
fleet prepare db与fleet setup初始化管理员、fleetctl安装与登录、生成 macOS pkg 与 Windows msi 安装包、osquery 策略示例（FileVault、BitLocker、防火墙、操作系统版本）。 - macOS 注册：Apple Business Manager（ABM）自动化设备注册流程、手动 MDM 描述文件注册、通过配置描述文件强制 FileVault、通过命令启用防火墙。
- Windows 注册：Azure AD Join + Intune 自动注册、Windows Autopilot 硬件哈希收集、通过组策略或 Intune 强制 BitLocker、Windows 防火墙基线。
- 跨平台安全策略：密码/口令要求（macOS 配置描述文件、Intune Graph API JSON）、屏幕锁定强制、加密强制汇总表（macOS FileVault、Windows BitLocker、Linux LUKS、iOS 原生、Android 原生及验证命令）。
- 软件部署：macOS 使用 Homebrew Bundle（Brewfile 示例含核心工具、安全、开发、通信类应用）、Windows 使用 winget 导入 JSON 清单、自动更新强制（macOS defaults 与 softwareupdate、Windows 注册表）。
- osquery 合规检查：提供磁盘加密、防火墙、操作系统版本、管理员用户、未加密可移动驱动器、屏幕锁定超时、自动更新等查询语句，适用于 Fleet、独立 osquery 或任何兼容平台。
- 远程擦除与锁定：Fleet 的
fleetctl mdm lock、fleetctl mdm erase及 API 调用示例。
使用方式
资料以命令、配置文件和查询语句为主，用户需按自身环境替换域名、密码、证书路径等占位符。Fleet 部署需先准备 TLS 证书，再启动 Docker Compose 服务并初始化数据库与管理员账户，随后通过 fleetctl 生成安装包分发到终端。策略通过 YAML 文件用 fleetctl apply -f 应用。
适用场景
适合初创团队和小型团队的 IT 管理员或工程负责人，在团队扩张、合规审计、远程办公、承包商/BYOD 管理、保险或投资尽调等场景下建立终端管理能力。
限制
资料未提供各平台的具体价格、免费额度、部署规模上限、性能指标或支持的操作系统版本细节；部分内容（如 Windows 远程擦除章节）在提供的资料中不完整。实际使用前需查阅各平台官方文档确认最新信息。