公司通知下周 MAC 电脑统一安装 MDM 企业管理

[ShikiSuen]

接到通知：所有用于工作的苹果电脑，不管是公司还是自己带的电脑，只要用于工作，下周统一重装并安装 MDM 管理，加入 MDM 之后自己无法退出，现在通知自己备份好数据，等待重装。
MDM 之后电脑没有管理员密码，只有普通用户的权限。所有需要管理员权限的功能全部不能操作，包括系统更新和安装第三方 App ，自己只能安装 App Store 里的软件，安装其他软件需要提交 OA 审批再由 IT 远程安装，感觉非常麻烦。
想问一下这种情况有人遇到过吗？电脑使用上会有什么太大影响吗？

[naminokoe]

请公司给你配一台电脑专用于工作

[VikingX]

那就用公司电脑咯，除非你想被监视

[devinww]

如果是公司的电脑，没的说，如果是自己的电脑，有点过分。

[sagaxu]

骡马还自带石磨啊

[izzy27]

在私人电脑上装这种软件就废了。。

[hfJ433]

这种情况下，肯定使用公司提供的电脑啦，如果公司要你带自己的电脑，那你就收公司使用费折旧费

[HFX3389]

那就用公司的电脑呗

[ShikiSuen]

@HFX3389
@hfJ433 公司提供电脑，但是自己带电脑每个月有补贴，公司电脑配置不如自己带的电脑。主要是想问一下没有管理员的情况下使用会有什么影响吗？

[yyzh]

你的一切都在监控底下了还关心管理员干啥啊

[Tumblr]

能够考虑集中管理，这是游击队走向正规军的第一步，站在管理的角度看，这是个好现象。

[zhandouji2023]

@ShikiSuen 下月开始用公司的电脑。反正补贴是按月给的。

[guoooo00oohao]

就用公司电脑安装呗，自己的设备不要用于工作。

[shutongxinq]

苹果免费的 MDM 只是第一步，后续应该上 jamf 之类的方案才正确

[silentsky]

补贴多吗 那就再买一台

[Maboroshii]

想要补贴就用把电脑丢公司用不就行了，自己再买一台新电脑

[EVJohn]

弄一台带 mdm 的便宜 Mac ，用魔法打败魔法

[zhandouji2023]

@EVJohn 好主意

[amundsen]

一定让公司提供，这玩意开了等于透明

[HeyBoy2077]

区区碎银几两，朋友大可不必啊

[nuevepicos]

自己的电脑安装 MDM ，开玩笑……

因此，让公司提供工作电脑。

[danbai]

我只知道 ideadebug 是需要管理员权限的

[petershaw22]

一定要 MacOS 吗？可以 window 的话，自己买个 SSD ，装 window to go 办公。

[saranz]

公司通过技术手段保护自己的无形资产无可厚非，个人保护自己的非公隐私也是必要的。
所以，让公司配电脑！

[geelaw]

@ShikiSuen #8 没有管理员权限是小问题，大问题是安装 MDM 后电脑上的所有资料和活动对公司都是公开的。推荐还是用公司电脑，因为 MDM 的污染似乎不容易清除，抹掉电脑也不一定使它脱离 MDM （类似于抹掉电脑也不会自动解除 Apple ID 和它的关联），见 https://forums.macrumors.com/threads/any-way-to-wipe-corporate-mdm-rights-from-my-computer.2308871/

[intoext]

@ShikiSuen 别稀罕这仨瓜俩枣的。 就用公司电脑

[ErZhou]

看你心不心疼自己数据呗

[shervy]

这还用问吗，肯定不能自己电脑给公司装啊，霸王规定。
你要装可以，给我配一台电脑。

[murmur]

赶紧让公司配电脑啊，这有什么可以商量的吗

[itisqiang]

换个 Windows 电脑

[kokutou]

lz 大公司啊
就是因为那个 sk 海力士被偷了资料的新闻被某个领导看见了吧

[shuang930225]

补贴多久够买一台电脑的？一年回本都算划算的

[ShikiSuen]

@intoext
@murmur 问了公司 IT ，只有 M1 Max 32g 内存，我自己的是 M3 Max 128g 内存，我让他们去采购新电脑了，不知道能不能批下来。

[wangybsyuct]

遇到这种情况，一定是公司配电脑，朋友在外企就是这种情况，windows 笔记本，为了碎银几两，这样做是正常的，又不是原则问题，自己无法安装软件。你那边还有商量的余地，毕竟还可以申请 IT 远程安装。

[MrSheng]

@sagaxu #4
神金，自己带工具干活的行业多了去了，用个电脑就格外娇贵了？

[hlwjia]

这种情况肯定让公司配，公司肯定也会配的。就是能不能有那么高配置的，估计就要看争取了，如果是大公司，压根不 care 每人 1 、2 万电脑的。

[UncleBrandy]

M1 MAX 32G 能满足你工作需求的话也可以啦，毕竟公司规定，你不执行也不行，M3 MAX 辅助就好

[jgh004]

@MrSheng 不是娇贵， 是贱，把资本家惯出毛病了。

[jgh004]

当兵打仗还得自己买枪是吧

[chuck1in]

MDM 是个什么东西。

[ShikiSuen]

@UncleBrandy M1 应该也能用，用的没那么爽了，但是也没办法，能批下来就换高配，不行就用 M1 。

[UncleBrandy]

@ShikiSuen #40 是啊，屋檐下只能低低头了，只要给的钱还算可以，就忍忍了~

[murmur]

@ShikiSuen 你们公司没有测试集群么，要那么大内存，自己在电脑上跑 k8s ？

[MrSheng]

@jgh004 #37
什么毛病，你找个装修队，啥工具都让你提供，你会用？你只会换个装修队，然后吐槽之前的不专业。

[murmur]

@MrSheng 你入职医院还得自己带 CT 和磁共振的吗

装修队没老板，人家自己就是老板，你有啊

[murmur]

@chuck1in 就是企业管理，相当于把你电脑交给企业控制，跟 windows 域控差不多

[DAM]

@sagaxu 赛博木工就是自己带工具

[jgh004]

@MrSheng 认清自己的地位，你是给人打工的，不是老板接工程！

[Twins666]

@ShikiSuen 既然自己带电脑有补贴，那也可以理解为自己带的这台就是公司的电脑，遵守公司的规矩就行了。自己用的电脑另外买！

[yangzzzzzz]

如果只是苹果官方的 mdm 跑个命令就能屏蔽，要是有后台监控的那种 建议用公司电脑。

[ShikiSuen]

@yangzzzzzz 好像叫 jamf 的远程管理，有些软件也能禁止（虚拟机、微信），功能很多的。

[ndxxx]

能不能方便报一下公司名字

[NoobPhper]

啥公司 说下

[rejectall]

飞连的 MDM 吗？

[Subfire]

搞些 ARK 配合其他工具, 把这玩意儿干掉. 设置一下, 让它重装也装不上, 重装次数多了别人也烦, 最后就懒得管你电脑了. Mac 没试过, Windows 上亲测过

[terryl]

这种情况一定使用公司电脑，后续上其他管理方案的时候就更加麻烦了。

[wu67]

讲真, 如果工作用的个人电脑上没存自己的什么隐私资料或者可以快速备份然后删除, 那装一下也不是不可以. (但是大部分人的使用习惯应该都做不到吧?)

反正自从上家公司有个外包项目要求装深信服之后, 我现在的办公用的个人电脑都是把重要个人资料全部存‘文档’那个目录, 遇到有装管理软件要求的, 我直接把这个目录备份然后删掉再把微信卸了清除就行了, 反正没其他什么隐私文件

[ouqihang]

好比这里偶尔就有人问怎么突破公司网络限制。

[leonshaw]

补贴合适就当卖给公司了

[haha1903]

装一个 Profile （ Intune ） 就能解决的问题，你们公司非常要 MDM 。
非傻即坏

[initadm]

@MrSheng #34 原来你真的姓神 怪不得用户名是 MrSheng

[psklf]

@MrSheng #34 搞笑 我工作这么多年 我自己都没电脑。公司没电脑我干不了活。

[psklf]

@ShikiSuen #8 请用公司电脑谢谢

[492]

@MrSheng #43 你是装修队的小工，而不是装修队的工头，你小工自带工具吗？

[byte10]

MDM 应该是可以关闭的 ，以后离职了，或者你想拿回去，应该可以找管理员卸载掉的。

[imsoso]

恭喜你们公司越来越正规化了
实际上安装系统是保护员工
因为一旦出事，自带电脑是很难脱离关系的
但是装了监控系统，员工背锅的可能性就小了。

[lushifu]

@ShikiSuen #50 Jamf 是吧😃看来要定期更换登录密码了😃
不过我司是反过来的，App Store 全封，但是网上下 dmg 没问题。系统更新也可以自己搞
直接用公司的电脑吧，省事。

[ShikiSuen]

@Subfire
@ouqihang 干不过行政手段，后台掉线脱管出现两次直接开除了，自己违规一点赔偿都没有。

[ShikiSuen]

@wu67 下周是要 IT 统一格式化重装系统，环境什么的都没，现在要把私人的东西存到其他地方，一个文件都不给留。

[neptuno]

这种公司一般不缺钱，申请高配 mac ，配置高了，软件少一点也能接受吧，至少编译时间少了

[alexhx]

可以参考我之前的帖子，https://v2ex.com/t/1017434

[yyzh]

@alexhx 公司电脑会记录上报你什么时候连了什么网络.你这样的拉个报表看到直接联系人事让你走人

[pandachow]

哈哈哈，我一直自费买 macbook ，装 MDM ，干公司的活儿。。

[wxw752]

@jgh004 #47 多打两年工，就觉得自己是包工头啦？

[nuomi196500]

如果公司这样要求，可以要求公司配备 Mac 。个人电脑是私人财产，公司无权在上面安装任何东西

[EndlessMemory]

这搞得好难受

[nuomi196500]

@MrSheng 装修队的工具可没有监控，记录几点几分下铲，几点几分砌墙，而且装修是公司和公司的合作外包，装修工头自己就是老板，工头底下带的人也是工头发工具的

[fredweili]

带资进组，带电脑上班，MDM 意味着电脑没有任何隐私了，这能同意？

[weeei]

是你们的 MDM 限制太多了。但是 MDM 也有好处，可以直接接触激活锁，避免离职员工忘记退出又找不到人的尴尬困境

[JoeDH]

感觉是在逼你们自离了

[jjx]

只有 M1 Max 32g 内存，我自己的是 M3 Max 128g 内存，我让他们去采购新电脑了


看了这句, 大家还回复啥, 别来调戏我们了

[easymbol]

直接用公司的电脑，因不顺手导致的进度慢了也是公司的责任，非自身原因

[alexhx]

@yyzh 再看仔细点啊，我是用自己的电脑接了热点，公司电脑就只用公司的网

[HTML001]

@MrSheng #34 需要程序员自带电脑才能工作的公司，是有多拉跨？

[uiosun]

> 自己带电脑每个月有补贴
> 公司电脑配置不如自己带的电脑

@ShikiSuen 就是公司的电脑，只是你自己买，公司分期给你而已，别想那么多

真需要干自己的事情 / 不想被监控，自己买个电脑

[zzhaolei]

让公司提供电脑。提供的性能不行就不行，反正是给公司干活，性能不行是公司愿意的。

反正我不会接受在自己电脑上装这种东西。除非一个月能补贴好几千:-)

[ihwbunny]

其实你们公司用 Jamf 说明公司高层还是很重视的，公司也是下了功夫的，也是有财力的。那就不要自带了啊。

看了上面的回复，有的人因为没有用过，对 MDM 会有一些误解。至少两种 Apple 机器：公司买的和个人拥有的。公司购买时，买设备的代理，会根据你司在 Apple 注册的公司张哈，将机器的序列号硬件 UUID 等都会在 Apple 的服务器中注册在你司的账号下，而个人购买的不会被注册。这个是后面遇到 MDM 管理的关键区别。

公司的机器在购买后，会在公司的 ABM/ASM 系统中出现，管理员只要把新机器挪到 MDM 服务器中，这台机器就跑不了了。每当这台机器联网、系统重装或恢复等等，macOS 都会与 Apple 的服务联系，并获得注册信息，如果是被注册的就会被记录下来，这个就是所谓的激活过程。当系统第一次安装成功，如果注册为企业的机器，当进入启动设置助理的时候，就会从 Aple 的服务器下载很多的信息，并做好多动作，比如设置第一个管理员账户，安装管理软件，安装 Profiles ，当完成初始设置后，一般来说，在第一次登录后，还会安装公司为此台机器设定的配置和软件安装。
从这个过程来说，如果是购买时注册为企业设备，就“无法”绕过后面的启动设置助理中的步骤。而之所以，用打引号的“无法”，是因为，虽然无法规避，但是在后续是可能 MDM 卸载并把所有的管理都删除掉的--比较麻烦，而且需要了解公司都安装了哪些的管理手段（比如软件）。如果你们没有强制开启或者不支持 MDM 不支持 FileVault2 key 的 escrow ，自己开启并记住 Personal Recovery Key ，这个是关键。不过，Jamf 的确是支持的。

如果是个人拥有的，重装之后，就不会自动接收 MDM 的管理，而是需要自己手动访问公司给你的网址，下载初始的 MDM Profile ，安装确认后，后续的就跟启动设置助理中的步骤一样了。删除卸载 MDM 也是差不多，不过有本地管理员权限就简单多了，其实抹盘重装系统更放心。

当公司想将它卖给个人的时候，从自己的机器列表中移除就可以了。这样就跟个人购买的一样了，抹盘重装系统就好了。但是，一旦移除就无法再把它添加进来了。问题是，这种机器，如果被恶意锁了，因为没有发票，就无法恢复了。可能只有当零件卖了，所以，要谨慎买这类机器。

安装 app ，Jamf 是有个 Self Service 的安装公司定制 app 的功能，它类似 Apple 的 App Store 。当然，自己下载放在桌面也是可以用的，不过 Jamf 会搜集所有的信息并同步到 Jamf 服务器中的，如果公司管理严格，看到你用了不是公司的 app 的，会有麻烦的。还有，访问的网站、登出、重启、什么软件使用多少时间等，都会搜集的。既然都 MDM 了，就按部就班来吧。以后有空可以上传截图看看都有啥信息。

既然是刚刚使用，Jamf 的设置肯定有很多的不周之处，功能使用也不会太顺利和周全，多于 IT 支持交流吧。好处是，有问题，可以理直气壮地 blame IT 部门了。

[liuliancao]

装 linux

[MrSheng]

@murmur #44
@jgh004 #47
@492 #63
@nuomi196500 #76
@initadm #60
@psklf #61
@HTML001 #83
@DAM #46

感谢各位老板的打醒，现在已经深刻认识到错误了。我立马就提离职去！！！！

[murmur]

@MrSheng 有啥离职的，这就是合规管理，如果公司不做防泄露和 IT 资产管理，出了问题公司可以担很大责任的

[Francost]

@ShikiSuen 正常使用没有任何问题，但凡涉及到软件下载和安装，就需要输入管理员密码了，还有，你的开机密码可能一个月就需要更换一次，如果是 jamf 的话，他有自带的 machub 可以去下载集团内部认可的软件。其次，你的更新升级只有等集团内部下放才行，系统的升级不再是你打开设置自己升级就可以的。不过如果是小蜜蜂（ kandji ）的话，系统好像是可以自己更新的

[jimmyczm]

用公司电脑，这种软件监控的很详细的

[holulu]

安装 MDM 就变成公司财产了，只能让公司配电脑，不可能用自己的电脑。

[chencanying007]

叫他提供电脑吧，傻子吧

[vincent7245]

"公司提供电脑，但是自己带电脑每个月有补贴"
咸鱼买个便宜的二手的带公司去用，而且只在公司用，既保证了隐私又拿到了补助，前提是在电脑生命周期内 补助 > 买电脑的钱

[BeyondBouds]

我想知道怎么确定电脑是否被安装了 MDM...
公司给的 mac ，我没注意过，给我时是新的，我自己注册的
但是这个 MDM 好像能通过 NFC 蓝牙之类的安装？
就像新生产的 iPhone 不开机升级系统一样？
而且我有好几次发现，第二天上班时我电脑被人动过，
我一般下班时会拔掉电源，外接显示器线，盒盖
但是有几次上班电脑盖没合上，电源线也插上了
以前我下班都是点下睡眠，盒盖 离开公司
我最近才发现，睡眠这个不保险，短时间内开盖不需要输入密码就能进去.所以我现在下班直接就锁定了....

[hongchends1]

这说明公司规范化了，要么使用公司电脑，要么让公司给钱

[yyzh]

@BeyondBouds 重置系统第一次开机在设定界面连 wifi 之后如果出你们公司信息就是监管机.另外也可以看描述文件,正常是空的.

[ihwbunny]

@BeyondBouds
“而且我有好几次发现，第二天上班时我电脑被人动过，
我一般下班时会拔掉电源，外接显示器线，盒盖
但是有几次上班电脑盖没合上，电源线也插上了”
这个认为的，跟 MDM 没关呀

“我自己注册的”是注册的 Apple ID 还是公司给的注册步骤？

“这个 MDM 好像能通过 NFC 蓝牙之类的安装？” 通过网络

“电脑是否被安装了 MDM...”
一是从系统设置中的 Profiles 中查，另外命令行：
profiles status -type=enrollment
但是，这些方法只能说当前的 macOS 系统状态，不能 100%说这台机器是否是注册为企业设备，目前没有更好的办法，只有重装系统第一次联网+启动的时候，才能知道。

[KoreaFish]

用公司的吧，自己的電腦不要搞這些

[GuluMashimaro]

突然想到好多年前面试过一家小软件公司，电脑上有屏幕监控，一共三个员工，其中一个员工专门看别人的屏幕。。。😂很尬