移动设备管理

定义

移动设备管理指一套用来集中管理移动终端的软件与流程，管理对象包括智能手机、平板电脑，在许多方案中还包括笔记本电脑与物联网设备^[1][2]。其目标是让管理员在受管设备上强制实施安全与使用政策，避免未经授权的访问接触企业网络和数据^[2]。

作为一项技术类别，移动设备管理常被视为更宽泛的企业移动管理(Enterprise Mobility Management，EMM)体系的组成部分，后者把设备管理、移动应用管理、内容和身份管理归入同一范围^[1][3]。当同一套思路扩展到个人电脑、服务器与物联网终端时，业界多称之为统一端点管理(Unified Endpoint Management，UEM)^[3]。

原理

典型的移动设备管理系统由两部分构成：一部分是部署在组织机房或云端的服务器管理控制台，管理员在其中创建配置与合规规则；另一部分是安装在终端上的管理代理，负责接收并执行这些规则^[1]。控制台把策略推送给代理，代理再调用操作系统内置的编程接口把策略施加到设备上^[1]。

设备接入管理需要先完成注册，注册会在设备上建立一个管理授权关系，此后系统才能下发配置、分发应用或执行远程操作^[4]。在 Android 平台，管理功能由设备政策控制器应用承担，它依据注册方式以设备所有者或资料所有者等模式运行，前者可管控整台设备，后者只作用于工作资料^[5]。下图概括了这一交互过程：

flowchart LR

A[管理控制台<br/>策略与合规规则] -->|推送配置| B[终端管理代理 DP\C]

B --> C[操作系统管理接口]

C --> D[设备设置 应用 数据]

D -->|上报清单与状态| A

为区分工作与个人用途，现代方案普遍采用数据隔离的做法：设备上划出受管的工作区域，管理策略只对这部分生效，个人应用与文件不受管控^[5]。远程擦除也相应分为两种粒度，一种清除设备上全部数据，另一种只删除企业数据而保留个人内容^[4]。

发展历程

移动设备管理的雏形出现在21世纪初，最初用于让组织掌控进入 workplace 的第一批智能终端与个人数字助理^[1]。早期方案依赖用户识别模块卡和用户主动发起的操作步骤，可扩展性有限^[1]。

在标准化层面，第一代设备管理技术是 开放移动联盟(OMA)推出的客户端配置规范，它只能把设置从服务器单向推送到终端，无法主动查询设备状态^[6]。随后出现的 OMA 设备管理规范建立了基于 IP 会话的双向通信，通过管理对象与管理树的层次结构描述设备能力，并能适应蜂窝网、Wi-Fi 等多种承载网络^[6]。

2007 年首款 iPhone 推出后，个人终端大量进入工作场景，自带设备办公逐渐成为普遍做法，对专门管理工具的需求随之上升^[1]。苹果在 iOS 初版中采用以配置文件而非用户权限为核心的管理方式，只有受信任的管理方案才能与系统深度交互，这一架构后来也延伸到桌面操作系统^[3]。

2014 年，Gartner 提出企业移动管理这一整合性术语，把设备管理、应用管理等原本独立的类别归并到一起^[3]。同年 Android 5.0 起在系统中提供原生的设备管理能力，Google 也采纳了相应的管理模型^[5][3]。此后管理范围继续向个人电脑与物联网终端扩展，形成统一端点管理的形态^[3]。

应用

企业移动办公是最主要的应用场景。管理员可以批量下发电子邮件、Wi-Fi、虚拟专用网等连接配置，使员工在设备注册后即获得可用的工作环境^[7]。应用分发也是常见功能，企业可通过公共应用商店或自建渠道推送内部应用，并以黑白名单限制非办公软件的安装^[8]。

在自带设备办公场景中，方案通常为企业设备与员工个人设备分别设定策略，对后者仅管理隔离出的工作资料^[1][5]。零售、物流、医疗与制造业则把管理用于自助终端、手持设备与加固型终端，这类设备往往被锁定到单一或一组应用^[5][8]。

设备丢失或失窃时的处置是另一类典型用途。管理员可远程锁定设备、定位其位置，必要时擦除设备数据或仅清除企业数据^[1][4]。地理围栏等功能可在设备出现在异常位置时触发告警^[1]。

局限

管理权限受操作系统开放程度约束。移动系统不会像个人电脑那样授予应用管理员级权限，管理接口能做的事情取决于系统厂商提供的接口范围。因此常规方案无法获取通话记录、短信与通讯录，也无法读取个人应用内部的数据。

以设备为中心的管理容易与员工隐私期待产生张力。在自带设备办公环境中，组织需要在保护企业数据与不越界查看个人内容之间取得平衡，管理范围过宽会削弱员工接受度^[1]。这也是管理粒度后来向应用层和数据层细分的原因之一^[3]。

技术落地还面临异构环境的难题。工作场所往往同时存在多种操作系统与设备类型，方案若不兼容多样终端，就难以覆盖全部设备^[9]。此外，仅靠设备级接口难以完成脚本执行、灵活修补、基于风险的漏洞管理等任务，需要额外部署代理应用或与其他工具集成来补足^[3]。

参见

• 企业移动管理 —— 整合设备、应用与内容管理的更大框架，移动设备管理是其组成部分。

• 统一端点管理 —— 把同一套管理思路扩展到个人电脑、服务器和物联网终端。

• 自带设备办公 —— 员工使用个人终端处理工作，推动了移动设备管理的普及。

• Android —— 提供原生设备管理接口与工作资料隔离机制的移动操作系统。

• Gartner —— 提出企业移动管理等术语的研究与咨询机构。