Apple Business Manager：企業派發裝置與 App
總 iLab學校總務長日常操作・基本設定・長輩教學・概念整理企業客戶來門市最常開口的不是「哪台 Mac 比較好」，而是「我一次要發三十台給新報到的員工，能不能不要每台都坐下來慢慢設定 Apple ID」。答案是可以，而且這正是 Apple Business Manager（ABM）存在的理由。
簡單講，ABM 是企業 Apple 部署的總控台。它做兩件事：一是讓 Mac 開箱接上網路就自動受你的 MDM 管理，員工完全不用手動裝任何東西，這靠的是 Device Enrollment Program（DEP，現在官方叫 Automated Device Enrollment）；二是讓你大量買 App、靜默推送到指定裝置，這靠 Volume Purchase Program（VPP）。整套跑起來，員工不需要自己的 Apple ID，也不用輸入信用卡，IT 從頭掌控到尾。
下面就照實際部署的順序走一遍。
先把 ABM 帳號開起來
在動手之前，手邊要先有三樣東西：公司的 D-U-N-S 編號（台灣是透過鄧白氏申請，沒有的話得先去辦）、一組公司的 Apple ID（拜託不要拿某個 IT 同事的個人帳號來用，後面會很麻煩），還有一台已經架好的 MDM 伺服器，Jamf Pro、Microsoft Intune、Mosyle 這幾家挑一個都行。
帳號本身的申請不難。到 business.apple.com 點「立即開始」，填入 D-U-N-S 編號，剩下就是等 Apple 審核，通常 2 到 5 個工作天。過了之後用公司的 Managed Apple ID 登入，後台就是你的了。
這裡有一件事我每次都會特別叮嚀客戶：ABM 管理員帳號一定要開雙重認證，而且驗證手機別綁在某個人身上，用公司共用的 IT 信箱會穩很多。原因很現實，這個帳號要是被鎖住，是沒辦法自己遠端解開的，得直接打去 Apple 企業支援處理，中間整個部署都會卡住。
讓 ABM 跟你的 MDM 互相信任
帳號開好，下一步是把 ABM 和 MDM 牽起來。進 ABM 後台，側欄找「裝置管理設定」，再進「MDM 伺服器」，按「新增 MDM 伺服器」。
名稱隨你取，能一眼認出來就好，像是「Jamf-Prod」這種。MDM 伺服器 URL 要去 MDM 後台拿，以 Jamf 來說是 https://yourorg.jamfcloud.com/mdm/ServerURL。接著的動作是雙向交換憑證：先從 ABM 下載一份 .pem 憑證上傳到 MDM，再從 MDM 下載一個 Token 上傳回 ABM。兩邊對上了，信任關係就建立了。
要記住的是，這個 Token 每年都會到期，過期之後新裝置就沒辦法自動受管。我的建議很土法煉鋼但有效：直接在行事曆上設個提醒，到期前一個月跳出來，免得某天突然發現整批新機都綁不上。
DEP：員工開箱，IT 零操作
DEP 的價值，用一句話講就是「員工開機，Mac 自己就連回公司」。一開機接上網路，它會去 Apple 伺服器查自己屬於哪個組織、該抓哪台 MDM 的設定，整段過程員工不用下載任何描述檔。
要走到這一步，裝置得先進到你的 ABM 名下，而怎麼進去，跟你從哪買的有關：
| 購買來源 | 加入方式 |
|---|---|
| Apple 官方 / Apple 直營 | 購買時附上公司 ABM 帳號，出廠就預設綁定 |
| 授權經銷商（如 iLab） | 請經銷商提供訂單號，到 ABM → 裝置 → 以訂單號匯入 |
| 已有舊機 | 用 Apple Configurator 2 手動掃入（限企業自有機） |
實務上最順的是買的時候就講清楚。台灣的 Apple 授權經銷商（AAR）可以幫你把新機直接歸到你的 ABM 帳戶，但前提是購機前就要把 ABM Organization ID 給對方。要是當下忘了講、事後才補，通常還得多等個 1 到 2 天才會掛進來，趕著發機的時候那一兩天會很煎熬。
裝置進到 ABM 之後，要指派給哪台 MDM。後台進「裝置」，選取那些 Mac，右側按「指派」，挑你的目標 MDM 伺服器就好。如果你不想以後每批新機都手動指派一次，可以在「設定」→「裝置管理設定」裡選 Mac 平台，設一個預設 MDM 伺服器，往後進來的新機就自動歸位。
ABM 這端設好了，真正決定員工開機看到什麼的，是 MDM 端的 PreStage Enrollment。以 Jamf Pro 為例，路徑是 Computers → PreStage Enrollments → 新增。幾個關鍵欄位值得花心思：
Name: Corp-Mac-2026
MDM Removable: 關閉（員工不得自行移除 MDM）
Await Configuration: 開啟（Setup Assistant 結束前先等 MDM 推送完）
Account Settings: 建立本機管理員帳號（留給 IT 用）
Skip Setup Panes: 勾掉不需要的步驟，像 iCloud 登入、螢幕使用時間
設定填完，到 Scope 指定對應的裝置序號，或乾脆 All Devices。之後員工開箱、接上網路，Mac 會自己跑去 Apple 伺服器查 DEP，抓到設定後進入你客製過的 Setup Assistant，走完就直接受 MDM 管理。整段下來員工沒碰到任何一個 IT 設定，這就是企業要的效果。
想做得更徹底也行。如果你希望員工開機就直接進桌面、連 Setup Assistant 都不要看到，可以在 PreStage 把所有 Setup Pane 全部略過，再搭 Jamf Connect 讓員工用公司的 IdP（Okta、Azure AD 那類）帳號直接登入 Mac，不用本機帳號、也不用 Apple ID。這套對人數多、又想統一身分管理的公司特別合用。
VPP：一次買幾百份 App，自己悄悄裝好
裝置管好了，接著是 App。VPP 讓你大量採購、靜默派發，員工那邊一樣什麼都不用做。
起手式是去 ABM「設定」→「App 與書籍」按「啟用」，然後下載一份 VPP Token（副檔名 .vpptoken）。提醒一句，這個 Token 跟前面 MDM 那個一樣，每年到期，一併設進你的行事曆提醒裡。
把 Token 匯進 MDM。Jamf Pro 的路徑是 Settings → Global Management → Volume Purchasing → Upload，貼上 Token。匯好之後，你在 ABM 買的 App 授權就會同步到 Jamf。
買 App 本身很直覺：ABM → App 與書籍，搜你要的，例如 Microsoft 365 或 PDF Expert，填數量，購買。這裡有個個人帳號做不到的好處值得知道——ABM 買的授權是可轉讓的，員工離職你可以把授權收回來，再分配給新人。對流動率高的單位來說，這筆帳長期省下來不少。
真正要小心、選錯會回頭重來的，是授權模式。VPP 有兩種：
| 模式 | 適合情境 | 說明 |
|---|---|---|
| 裝置型授權 | 共用機、展示機、kiosk | 不需要員工 Apple ID，App 直接裝在裝置上 |
| 使用者型授權 | 個人配發機 | 需要員工 Managed Apple ID，App 跟著帳號走 |
老實說，大部分企業情境我都會直接建議走裝置型授權。理由是它不依賴員工個人的 Apple ID，IT 管控乾淨很多，員工換機、離職也少一堆綁定要解。除非你真的有「App 要跟著人走、人到哪台機器都要有」的需求，才需要碰使用者型。
設定推送，回到 Jamf Pro：Computers → Policies → 新建 Policy → Packages（或 Mac App Store Apps）→ 選 App → Scope 指定目標電腦群組 → Trigger 設 Check-in，存檔。下一次 Mac Check-in（預設 15 分鐘一輪），指定的 App 就會靜默裝好，員工桌面上自己冒出來，全程不用他動手。
想確認到底裝沒裝好，用終端機看
部署完不放心，最快的查法是直接看 enrollment 狀態。IT 可以遠端用 SSH 或 Jamf Remote 跑這幾條：
# 確認 MDM enrollment 狀態
profiles status -type enrollment
# 列出裝置目前所有設定檔
profiles list -all
# 手動觸發 MDM Check-in（讓裝置立刻抓最新指令）
sudo profiles renew -type enrollment
正常受管的機器，輸出大概長這樣：
Enrolled via DEP: Yes
MDM enrollment: Yes (User Approved)
如果是幾十上百台要一起查，別傻傻一台一台 SSH 進去。搭 Jamf Pro 的 Remote Commands，或者自己用 SSH 配 parallel-ssh 把命令一次推出去，省事很多。
兩個門市最常被追問的狀況
「機器已經開箱、Setup Assistant 也跑完了，現在才想走 DEP，還救得回來嗎？」
正規流程確實是買之前就綁好 ABM 才走得了 DEP。但已經開箱的機器不是完全沒救，有兩條補救路。一是拿 Apple Configurator 2（要實體接觸到那台機器），在 iPad 或 Mac 上執行「Add to Organization」把它掃進 ABM。二是乾脆在 MDM 端做 User Approved MDM Enrollment，讓員工手動安裝設定描述檔——但這條路 MDM 的控制力會弱掉，員工自己就能把它移除，而且得一台一台來。講白了，真的要乾淨，還是等下次換機時重新走 DEP 最省心。
「VPP App 明明買了，授權卻沒同步進 MDM，是哪裡卡住？」
先回 ABM → App 與書籍，看那個 App 的購買狀態是「可使用」還是「待處理」，待處理就是還沒入帳，等一下。狀態正常卻還是不見，到 Jamf Pro → Settings → Volume Purchasing → 點「Edit」→ 手動按「Sync」強制重新同步。再不行，多半是 Token 過期了——ABM 後台 Token 旁邊就有到期日，過了就重新下載一份，回 MDM 把舊的替換掉。九成的同步問題都是這三步裡的某一步。
ABM 這套東西設定一次、後面省一整年，但第一次上手細節真的多，憑證交換、PreStage、授權模式哪個沒對好，整批機器就卡在開機畫面。如果你的公司正準備一次採購一批 Mac，又不想自己摸著石頭過河，iLab 是 Apple 授權的校園與企業體驗門市，可以在你下單前就幫忙把機器歸進 ABM、對好部署流程，不用事後補綁多等那一兩天。要評估該配哪種機型、買多少量，先到 /choose 用選機小幫手抓個方向，或直接來店跟我們聊你的部署情境。