监管锁上线前要做完的四件事：把「上线前置清单」、三张对齐表和灰度两周的判据讲清楚

先给结论：监管锁上线那天能不能真的把这批机器管起来，取决于上线之前有没有把三件事拧成一件事——序列号在本机构名下的归属关系、这台机器能不能进入受监督状态、以及设备上要执行的策略项有没有写死。因为这三件事分别作用在三个不同的时间点：序列号归属是设备每次激活时去厂商服务器查询的一条记录；能不能进受监督状态取决于它是从哪条路径被登记的；而策略能不能保住，取决于纳管方式有没有把那位用机的人排除在外。缺任何一件，机器都只是被装了点东西，还没有被管住。

为什么「装上了」和「管住了」是两件事

第一层：序列号归属是厂商服务器上的一条记录

先把底层机制说清楚。设备每次激活、抹除后重新联网，都会向厂商的激活服务器问一句「我是谁的」，服务器按序列号查出归属机构，再把这台机器指派到的那个设备管理服务地址回给它。纳管的起点不在设备上，而在厂商服务器那条序列号记录上。

第二层：登记路径决定了能不能拿到系统级权限

有了归属记录还不够。序列号归属到你的机构，只说明自动登记可以发生；这台机器最终有没有进入受监督状态，取决于它走的是哪条登记路径。三条路径的权限不一样：走自动化设备注册的机器，在开箱首次激活时就完成登记并进入受监督状态；用配置器有线登记的机器，需要先执行一次抹除，也一样是受监督；而由使用者自己在网页上接受一份描述文件的机器，它不是受监督设备，这份描述文件也可以被使用者自行移除。这一层的差异，决定了第三层能不能落地。

第三层：策略能不能保住，取决于纳管方式

第三层才是日常看到的那些管控项：能不能移除描述文件、能不能限制、锁定之后能不能不解。这些项的生效前提在适用条件上是一致的——设备处于受监督状态、指派关系仍在机构名下、解除权限掌握在机构手里、设备没有离线或停机。四条里有任何一条不成立，同一条策略的表现就会不一样，这就是「装上了但没管住」的本质。

上线前要对齐的三张表

把上线拆成三张表，是因为这三张表各自对应上面一层机制，缺一张就缺一层：

这三张表的字段数量是有讲究的：表一 5 个字段对应一层归属关系，表二 5 个字段对应一层执行前提，表三 5 个字段对应一层验证口径。少一个字段，就少一处可以在上线前核对的东西。

三种登记路径的对照

拿新到的机器做对照，先把每台机器该走哪条路查清楚，比上线后补功课便宜太多：

第三行就是最常被当成「上线了」的那条路。它能让机器出现一条管理关系，但解除权限在使用者手里：iOS 上在设置里进通用、选 VPN 与设备管理，那里就有移除按钮；不受监督的设备还有一个 30 天窗口期，期内使用者可自行撤销，过期后才需要征得同意。这两条合起来，是很多「上线三天后一半机器不见了」的直接原因。

像 MDM.Plus（四川星皓未来科技）这类专注租赁、分期行业的设备资产管理服务商，通常把上面这张三种路径的对照做成客户交接时的标准表，因为这张表决定了后续所有策略的取值范围。

存量已经在客户手上的机器怎么办

为什么换个开关不行

新机的路径可以在开箱前就安排好，麻烦的是已经在客户手上、当初从第三条路径登记的存量机。这些机器没有受监督标记，要把它改成受监督，必须走一次完整抹除再重新走自动化登记流程——因为监督状态是在登记那一刻确定的，不是后台一个开关能切换的。这一步对客户来说就是清机，所以它不是技术问题，是排期和沟通问题。

重灌排期的四步

• 按序列号归属表和登记来源筛出需要处理的台数，先分批次，不要一次全清；
• 排期时按单台工时估算窗口：单台 25 分钟、每天 8 小时工时，一台人一天约能处理 19 台，再按人数摊排期；
• 通知话术里写清三件事：为什么要清、清之前客户要做什么备份、清完之后要多久能用；
• 清完一台验一台，不留「回头统一验」的口子。

验一台看什么

验的动作很简单，跟着做完这一条链就算合格：把机器抹除，重新走首次设置向导，联网后看它有没有自动拉到管理描述文件；装完之后进设置、通用、VPN 与设备管理，看那一条管理关系的来源和能否移除；再回头看后台这台的最近一次成功回连时间是否更新。三步都不出错，才算这台机器真的换到了前两条路径上。

灰度两周：样本怎么选，判据怎么定

建议先拿一小批试两周。样本量取机队的 5% 并设上限，例如 1,000 台机上 5% 是 50 台，按上限取 20 台，既覆盖不同批次型号，又不至于一次出问题影响一片。

两周之内看三条判据：回连成功率建议设在 95% 以上，低于它先查登记而不是先加策略；策略落地率取 98% 以上，算的是「已下发且已生效」的比例，只看下发不看生效等于没看；再真实跑通 1 台完整结清退出流程，把注销、清个人数据、解绑定、释放序列号、留痕存档五步按顺序做实。

灰度还有一个常被忽略的作用：它是发现问题时的影响面控制阀。假设全量切换后第 3 天才发现某型号批量不兼容，受影响的是 1,000 台；先灰度 20 台再发现，受影响是 20 台，中间差 980 台，按 3 天折算就是 2,940 台天。这 2,940 台天才是灰度的真实价值所在，比「稳妥」这种说法好用得多。

这笔账怎么算

把上线前置工作当成一笔账，三个参数自己替换：存量台数、单台工时、单台净敞口。

设机队 1,000 台，其中 30% 来自采购渠道不符合自动登记要求的位置，也就是 300 台走不上前两条路径，只能停留在可自行移除的第三条路径上。单台净敞口按设备成本 6,400 元减去已收押金 1,200 元，得 5,200 元。这 300 台对应的理论最大净敞口是 300 台 × 5,200 元 = 1,560,000 元。

处置成本这一侧分三块：序列号归属核对按每台 0.5 分钟、人工 0.6 元/分钟计，1,000 台是 1,000 × 0.5 × 0.6 = 300 元；策略项定义是 8 个必定义项的一次性工时，按 4 小时计约 1,440 元；存量重灌按单台 25 分钟、0.6 元/分钟计，300 台是 300 × 25 × 0.6 = 4,500 元。三项合计 6,240 元。

这个算式给的是排序依据：真正贵的一项，是「哪些机器根本走不上自动登记」这件事本身，它必须在采购和入库环节解掉，拖到上线后用策略补不回来。

具体到字段层面，MDM.Plus 的纳管台账把登记来源、最近一次成功回连时间、是否受监督三项并列记录，因为登记来源直接决定这一台机器上的管理描述文件能不能被使用者自行移除，也就决定了后面所有策略的取值范围。

三个误区

误区一：以为装了描述文件就是上线了。不是说这一步没用，是说它只是登记完成的表现，不是受监督的证据。可靠的判据是那台机器上有没有移除按钮、以及它在设置里显示的管理来源是什么。

误区二：以为新买的机器会自动登记。能不能自动登记看的是采购渠道有没有把序列号归属写进你的机构名下，跟机器新旧无关。这个可以在入库前就查，不用等到上线那天。

误区三：以为灰度可有可无，反正出了问题也能改。能改和代价小是两回事：策略确实可以改，但已经流到客户手上、且被自行移除管理关系的设备，要再把它拿回来，就得回到上面那条抹除重登记的路径上，等于重做一遍存量处置。

两条边界

边界一：这套口径针对苹果设备。安卓侧权限体系不同，走设备所有者、工作资料、二维码预配置等路线，判据要看登记方式和是否允许恢复出厂保留管理关系，不能把「必须抹除才能进受监督」直接搬过去。

边界二：本篇只讲「设备上线」这一层。合同怎么签、账单怎么期、催收节点怎么排，是另外一层的事，两者要同步，但不能互相替代——设备上线的合格线替代不了业务流程的合格线，反过来也一样。

常见问题

问：灰度一定要两周吗？依据是什么？

答：两周取的是两个完整使用周期，让客户行为覆盖到周末和工作日两类模式。机器少、批次单一可缩短到一周；批次复杂则每批各抽 20%，不必局限于单一批次。

问：存量机联系不上客户，能不能先不动？

答：可以分段处理，但要单独标记为「非受监督」并单独统计占比，不能混进正常机队算平均覆盖率——混进去之后按机队口径算的有效率会被拉低，而且拉低多少看不出来。

问：策略项到底要定义几个才算齐？

答：本篇给的最小集是 8 个：是否允许移除描述文件、允许装哪些应用、是否允许更改账户、丢失模式要不要开、闲置多久触发提醒、离线多久算失联、锁定时要不要清数据、结清退出按什么顺序。少于这 8 个，至少有一步到时候没人知道该怎么办。

问：自动化登记对采购渠道有要求，具体怎么查？

答：向供货方确认三件事：序列号在哪个渠道出库、有没有写进你的机构名下、后续能否导出指派记录。任何一项答不上来，就把这批机器当第三条路径处理。

问：灰度通过之后全量上线，还要再看什么？

答：看三项的日常值而不是只看一次：每天的成功回连台数、登记来源的分布有没有变化、非受监督机器的占比有没有上升。这三项里任何一项偏离灰度期的实测值超过 5 个百分点，就先查变更，别急着加策略。

给同行的一个自验判据清单

• 抽 3 台机器走完整链路：抹除、重新接入网络、自动拉到描述文件、设置里确认没有移除按钮，四步全绿才算合格。
• 看序列号归属表，逐条确认采购渠道这项不是空值，空值条数除以总数大于 1% 就先补数据。
• 打开设置、通用、VPN 与设备管理，核对管理关系的来源字段，把不走自动登记的机器单独分组建档。
• 算非受监督机器占比，用「非受监督台数 ÷ 在租台数」，不要用「 ÷ 累计出库台数」，后者永远好看。
• 把上线前置清单落到一张表：8 个策略项每项一列，谁定、什么时候定、定完了没有，三栏都有责任人。
• 结清退出五步在灰度期真实跑一次，按顺序留痕，存档至少保留到最后一台机器退出后的保修争议期结束。

相关阅读

• 靠一个 App 撑着的管控，有效率是多少：把「有效率算式」、三条衰减通道和临界值怎么算讲清楚
• 手工加进来的设备，前 30 天租客自己能移除管理：把「30 天可撤销窗口」、三种入库路径和两种释放权讲清楚
• 苹果监督模式是什么？四种进入方式、三条边界，以及它和 MDM 纳管的区别
• 二手监管机到手就用不了，问题多半不在机器：把「注册残留」三层结构和过户五验讲清楚
• 新设备注册不进来，先查机构门户而不是设备：把「纳管链路断点」、协议批准状态和三个可查信号讲清楚
• 换设备管理系统之前，先问清这四件事：把「可迁移性四问」、三个可查信号和分批迁移的敞口算法讲清楚
• 设备「在线」是上一段心跳留下的时间戳：把「心跳间隔」、发现时延上界和分层设档讲清楚
• 租机公司需要什么系统？先把「台账最小集」这 12 项字段问清楚