MotionPro 与 MDM 系统集成：企业级设备管理与应用分发
为什么 MotionPro 需要 MDM 集成
MotionPro 的企业应用商店、数据容器、客户端证书等能力，单独使用时功能有限。只有与移动设备管理（MDM）系统配合时，才能真正发挥企业级的管控优势——证书下发、应用批量推送、远程擦除、设备合规检查等功能都依赖 MDM 的底层能力。
MotionPro 与 MDM 的集成点
| 功能 | MDM 扮演的角色 | MotionPro 扮演的角色 |
|---|---|---|
| 客户端证书下发 | 通过 SCEP 自动为受管设备申请和推送证书 | 在首次登录后加载证书进行 mTLS 认证 |
| VPN 配置推送 | 把网关地址、端口、认证类型等配置批量推送到受管设备 | 从系统 MDM 配置里读取 VPN 配置，用户无需手动填写 |
| 企业应用批量分发 | 批量把 MotionPro 和其他企业应用推送到设备 | 接收推送后在受管设备上安装 |
| 远程数据擦除 | IT 远程触发擦除指令 | MotionPro 容器接收指令后清空企业数据 |
| 设备合规检查 | 检查设备是否越狱/Root、是否开启加密、密码复杂度 | MotionPro 登录前查询 MDM 的合规状态，不合规则拒绝连接 |
| 配置合规 | 强制 MotionPro 必须使用特定参数（如禁止 SSTP、强制 VNIC） | 启动时从 MDM 读取受管配置，忽略用户本地修改 |
支持的 MDM 平台
根据 Array Networks 官方文档，MotionPro 与以下 MDM 平台有集成：
| MDM 平台 | 集成深度 |
|---|---|
| Microsoft Intune | 最深——MotionPro 支持 Intune 的 Managed App 机制，可通过 Intune 的应用保护策略（APP）控制 MotionPro 容器行为 |
| VMware Workspace ONE (AirWatch) | 深度集成——支持证书下发、配置推送、远程擦除 |
| Jamf Pro | macOS/iOS 专用，支持受管 Mac 和 iPhone/iPad 的证书和配置管理 |
| 其他 MDM（MobileIron、Sophos 等） | 通过 SCEP 和通用 MDM API 进行基础集成 |
Microsoft Intune 集成详解
Intune 是 MotionPro 集成最深度的 MDM 平台，核心机制是 Managed App / App Protection Policy (APP)：
Intune APP 能控制 MotionPro 哪些行为
- MotionPro 容器内的数据不被备份到 iCloud
- MotionPro 容器与其他 App 之间禁止数据交换（剪贴板、文件分享、"用其他 App 打开"）
- MotionPro 容器内的文件必须加密
- MotionPro 用户会话可以设置超时时间（如 30 分钟无操作自动清除）
- IT 可以触发选择性擦除（只擦除 MotionPro 容器，不影响设备其他数据）
Intune 的 VPN 配置推送
IT 可以在 Intune 里配置 MotionPro 的 VPN 参数：
- 网关地址和端口
- 认证类型
- 是否启用证书认证
- 客户端配置文件
这些配置通过 Apple 的 VPN Configuration Framework 推送到受管 iOS/macOS 设备上。MotionPro 启动时会自动加载系统配置，用户打开应用就能用，不需要手动填网关地址。
对普通用户的影响
如果你的 MotionPro 是通过 MDM 部署的：
- 应用安装、VPN 配置、证书全部自动完成，用户不需要做任何手动配置
- 但部分功能可能被 MDM 限制：比如不能把 MotionPro 容器里的文件用微信发给自己、不能用个人账号登录
- 如果设备丢失，IT 可以通过 MDM 远程擦除 MotionPro 容器数据，不会碰设备上的个人数据
- 设备如果越狱/Root 了，MotionPro 可能无法连接（Intune 会标记设备不合规）
MDM vs 自助安装
| 维度 | MDM 部署 | 用户自助安装 |
|---|---|---|
| 配置复杂度 | 低（自动配置） | 高（手动填网关、证书等） |
| 安全管控 | 高 | 低 |
| 灵活性 | 低（IT 定好策略，用户无法修改） | 高（用户可控） |
| 适用场景 | 公司配发设备（COPE） | BYOD 个人设备 |