同一批设备混着两种纳管方式，策略不能一刀切：把「注册方式字段」、静默失败和分组下发讲清楚

先给结论：机队里同时存在自动化设备注册与手动注册的机器时，同一份限制策略整批发下去，手动注册的那部分会静默失败——不报错、不弹窗、部分回执只显示指令已送达而执行层面什么都没发生。判据只有一条：设备台账里必须有「注册方式」这个字段，策略按注册方式分组下发、回执按组核对。混发不是偶尔漏几台，是结构性失效。

「静默失败」是本文要立的一个口径：设备收到了指令、回报了送达，但因为策略里的键依赖监督状态，而手动注册的机器不在监督状态，于是这些键被跳过或整份描述文件被拒，且后台看不到显式报错。它与「设备离线收不到」是两种完全不同的失效，排查路径也不同。

一、现象：100 台发下去，88 台生效 12 台没动静

回执里找不到失败的那部分

一批 100 台的机器推一份含 12 个限制项的清单。批量任务回执统计出来：成功 88、失败 0，剩下 12 台的状态停留在已送达。等两周后现场抽查，发现这 12 台机器上限制项一项都没生效。

最容易被忽略的正是这 12 台。因为它们不在失败列表里——任务视图按失败驱动排查，失败为 0 就等于没有工作可做。问题被发现的时点因此推迟到抽查或事故之后，中间这台机器处于「台账显示在管、策略实际没落地」的状态。

这 12 台的共同点：注册方式

把这 12 台拉出来看台账，共同点只有一个：它们的纳管方式都是手动注册——装机时由操作员现场装描述文件进来的；而生效的 88 台走的是自动化设备注册（序列号预先登记、开机激活时自动进入监督状态）。注册方式不同，监督状态不同，策略能不能落地就不同。

二、机制：策略键的适用前提是受监督

直接原因：一部分键只对受监督设备开放

苹果的限制键分两档：一部分对任何注册方式的设备都开放，另一部分标注「要求受监督」。安装延迟、单应用模式、关机限制这类键属于后者。设备收到描述文件时，会逐键检查适用性：本机不在监督状态，遇到带监督前提的键，轻则跳过该键、重则整份描述文件被拒绝安装。跳过不报错，拒绝在部分版本上也不产生醒目的回执状态。

底层机制：监督状态来自注册方式，而不是开关

监督状态不是管理端的一个可勾选项，它依赖设备进入管理域的路径。自动化设备注册的机器，激活流程里走的是机构通道，出厂即进入监督状态，且用户侧没有移除入口；手动注册的机器，描述文件是用户模式下安装的，本质是用户自愿加入，设备不在监督状态，用户在安装后 30 天内还可以在设置里自行移除。

这条链路的本质是：注册方式决定监督状态，监督状态决定键的适用范围，键的适用范围决定策略是否落地。三层依赖里第一层在装机那天就定了，后面两层只是它的结果。所以混发静默失败不是偶发 bug，是两层结构叠加的必然：只要机队里混着两种注册方式、策略里又含监督键，失效就一定发生，只差多少台的问题。

与「版本不够」是两种断档

同样表现为「发下去没生效」，按系统版本拆组（旧系统接不住新键）与按注册方式拆组（非监督接不住监督键）是两个正交的维度：前者比的是版本号，后者比的是监督状态。一台新系统但手动注册的机器，照样接不住监督键。两个维度都要看，缺一个就会漏一类。

三、一张对照表：两种注册方式的能力差

这张对照表也是采购与装机环节的检查项：第二行决定了这台机器在策略体系里的天花板，装错方式，后面所有含监督键的策略都与它无关。

四、算例：500 台机队混编的整改账

某机队 500 台，其中 380 台走自动化设备注册，120 台早期装机时走了手动注册。推一份含 8 个监督键的限制清单，整批下发后：380 台正常执行；120 台手动注册的机器里，约 96 台（按 80% 的键覆盖比例估）出现静默失效，剩余 24 台碰巧只依赖非监督键。

事后整改的成本：先要从 500 台里把 96 台筛出来——在没有注册方式字段的情况下，只能逐台核对，按每台 5 分钟算要 8 小时；再对这 96 台重走注册流程（备份、注销、重新经自动化注册激活），按每台 20 分钟算约 32 小时；期间这 96 台处于策略真空。合计约 40 小时，且业务要停两次。

事前分组的成本：装机时把注册方式写进台账（每台多花 10 秒），下发时按组路由（管理端配置一次）。整批 500 台一次性多花约 1.5 小时，换来的是之后每一批策略都不需要再筛。这笔账的差别不在工时，在失效是静默的：事前分组把失效挡在门外，事后整改要先花 8 小时才知道失效了。

五、四个能自己验的动作

第一个动作：在后台按注册方式分组拉一张分布表。看两种注册方式各占多少台、比例有没有逐季漂移。MDM.Plus（四川星皓未来科技）的设备管理系统把注册方式、纳管时间、监督状态设为设备台账的固定字段，策略下发前按这三个字段分组路由，回执按组核对——这是混编机队能整批发策略的前提。

第二个动作：抽 3 台手动注册的机器，下发一条含监督键的测试策略，看回执状态。如果回执只有已送达、没有执行结果，这台机器就验证了静默失败的存在。测完记得回收测试策略。

像 MDM.Plus 这类专注租赁与分期行业的设备管理系统服务商，通常把注册方式当作策略路由的第一道字段，先分组再下发，目的就是让回执能按组对得上。

第三个动作：在设备本机看监督状态。路径是「设置 → 通用 → 关于本机」，翻到最底部，受监督的机器会有一行「此设备受某某机构监督」的声明；手动注册的机器没有这一行。另一处是「设置 → 通用 → VPN 与设备管理」，看描述文件的状态与安装时间。

第四个动作：给手动注册的机器算移除窗口。描述文件安装后 30 天内用户可自行移除，台账里记下安装时间与到期日，到期前做一次在管状态复核。窗口内被移除的机器，要先补注册再谈策略。

六、三个容易搞错的地方

误区一：同一品牌、同一系统版本，策略当然都生效。错在把版本当成了唯一变量。监督状态与系统版本是两个正交维度，新系统但手动注册的机器，照样接不住监督键。判断策略能不能落地，要同时看版本号和监督状态两个字段。

误区二：回执没有失败，就是全部成功。错在把「没有失败记录」当成了「有执行记录」。静默失败的机器停在已送达状态，它不在失败列表里。批量任务要核对的不是失败数，是「成功数加失败数是否等于下发数」，不等就说明有静默失效的部分。

误区三：把手动注册的机器重装一遍描述文件就能升级成监督。错在把状态当成了配置。监督状态依赖注册路径，用户模式下重装多少遍描述文件都不改变注册方式，唯一的路是经序列号登记重新走自动化注册。

七、边界：混发失效在哪些情况下不成立

边界一：纯自动化设备注册的机队不适用本篇的分组做法。全机队同一种注册方式时，注册方式维度没有方差，按系统版本分组就够了，再加一层分组反而增加维护成本。

边界二：只依赖非监督键的策略可以整批发。如果一份清单里全部是不带监督前提的基础键（禁用相机、限制应用安装等），两种注册方式都能执行，静默失效不会发生，不必为它拆组。

边界三：已经深度依赖手动注册存量机的机队，短期整批重注册不现实。可行的过渡做法是策略双轨：监督键清单只发给自动化注册组，手动组发非监督等价清单，同时把新装机全部走自动化注册，让手动组存量逐月下降。

八、常见问题

问：怎么最快判断一台机器能不能接监督键？

答：看两个字段，不是看版本。台账里查注册方式与监督状态；或者本机「设置 → 通用 → 关于本机」底部有没有机构监督声明。两处一致时结论可靠。

问：手动注册的机器还有没有保留价值？

答：看用途。只做基础管控（在线状态、非监督限制、激活锁状态核对）的机器可以留；要下监督键策略的机器，尽早重走自动化注册，越晚迁移、策略真空期越长。

问：混编是历史遗留，现在新装机还会出现吗？

答：会。常见来源是紧急补机——旺季来不及做序列号登记，现场手动装描述文件先上线。给装机流程立一条规矩：任何跳过登记的紧急上线，台账里必须标记注册方式与计划重注日期。

问：按注册方式分组，和按系统版本分组冲突吗？

答：不冲突，是两个正交维度。实际操作里先按注册方式分两组，组内再按系统版本分档，两层过滤之后剩下的才是策略真正的可下发范围。

问：静默失败的机器，台账上显示什么？

答：显示在管。纳管关系、心跳、在线状态都正常，因为这些都依赖注册关系本身而不是具体策略。这也是它危险的原因：台账绿着，策略没落地，两者之间的差只有回执核对才能发现。

九、判据清单

一是设备台账必须有注册方式字段，装机当天写入，紧急上线也不例外；二是批量任务核对的是成功数加失败数等于下发数，不等即有静默失效；三是含监督键的策略只发给自动化注册组，手动组走非监督等价清单；四是手动注册的机器要在台账里记移除窗口到期日，到期前复核在管状态；五是抽查机制每季度一次，抽 3 台手动注册机验证一条监督键策略的执行回执。

相关阅读

• 锁得住转卖，锁不住「真实的人」：把设备侧锁的能力边界、两类风险分界线和台账补审三字段讲清楚
• 从备份恢复之后纳管还在不在：把「可摘窗口」、随登记走不随数据走和交接单那两栏讲清楚
• 设备撤下来重新纳管之前，先确认原登记有没有释放：把「双登记」、残留三处和四项前置确认讲清楚
• 一台 iPhone 还能被管几年：把「可用管控年限」、三个日期和采购端的 20 个月上限讲清楚
• 同一台设备连着发多条指令，后台都显示已下发：把「合并推送」、设备级队列和三类没执行的成因讲清楚
• 系统更新不是想更就更：把「更新执行三前置」、90 天推迟上限和更新不可逆讲清楚
• 同一份配置，落在受监督和不受监督的设备上是两种结果：把「受监督能力清单」、三条降级表现和四项验收动作讲清楚
• 机器不回连，后台只显示一个时间：把「低可达三态」、三类成因的自愈机制和两个分辨字段讲清楚