上周帮一个朋友处理公司的设备问题，他说有个销售离职，不仅带走了存在个人苹果 ID 里的所有客户资料，还把公司配的 iPhone 远程锁定了。IT 部门折腾了三天才解锁设备，期间好几个意向客户联系不上，直接损失了十几万。
这种事其实很多公司都遇到过，大部分企业刚起步的时候，为了省事让员工用自己的个人苹果 ID 办公，等到团队做大了，各种问题就全冒出来了。今天就跟大家聊聊，怎么用苹果官方的方案，把企业苹果 ID 管起来，从根源上解决这些麻烦。
一、员工用个人 ID 办公，这 5 个坑一定要避开
很多人觉得，不就是一个账号吗，用谁的不一样？真不一样，这几个坑踩一个就够你头疼的。
第一个是数据泄露。员工用自己的 ID 存公司文件，万一他的 ID 被盗，或者手机丢了，里面的合同、报价单、客户信息全都会泄露。之前就有公司因为员工 ID 被盗，竞争对手拿到了所有投标底价，直接丢了几百万的项目。
第二个是资产流失。员工离职的时候，如果不主动退出 ID，公司的设备就相当于还在他手里。他可以随时远程锁定设备，或者删除上面的所有数据。更麻烦的是，有些员工走了之后联系不上，设备直接就废了。
第三个是效率低。公司要装办公软件，技术人员要一个一个帮员工下载安装，几十台设备要花一整天。系统更新也是一样，每个人自己更，进度不一样，经常出现软件不兼容的问题。
第四个是合规问题。现在数据安全法管得越来越严，公司的核心数据存在员工个人 ID 里，本身就不符合监管要求。万一出了数据泄露事故，企业要承担全部责任。
第五个是管理乱。如果每个员工都自己买应用，报销的时候就会很乱，根本算不清公司在软件上花了多少钱，而且有些应用买了之后只能个人用，换个员工就得重新买，浪费很多钱。
二、苹果官方的解决方案
其实苹果早就给企业准备了专门的管理工具，叫 Apple Business Manager，简称 ABM。很多人不知道这个东西，还在到处找第三方管理软件。
ABM 是苹果免费给企业用的平台，专门用来管理企业苹果 ID 和苹果设备。它和个人 ID 最大的区别就是，账号的所有权是公司的，不是员工个人的。员工入职的时候，公司给他创建一个 ID，离职的时候直接收回就行。
用 ABM 管理企业苹果 ID，好处特别多。你可以在后台统一创建和禁用员工 ID，不用再一个个帮员工注册。所有应用都由公司统一购买，批量推送到员工设备上，不用员工自己花钱。员工离职的时候，一键就能擦除设备上的公司数据，设备还能给下一个人用。而且所有操作都有日志记录，谁什么时候做了什么，都能查得到。
很多人会问，ABM 和第三方 MDM 工具哪个好？其实 ABM 本身就包含了基础的设备管理功能，对于大部分中小企业来说完全够用，而且它是免费的，第三方工具一般按设备收费，一年下来要花不少钱。如果你的公司有特殊的管理需求，可以在 ABM 的基础上再搭配第三方 MDM 工具。
三、手把手教你注册和设置 Apple Business Manager
注册 Apple Business Manager 其实很简单，准备好企业营业执照、法人信息和一个公司域名的邮箱就行。注意不能用 QQ 邮箱、163 邮箱这些免费邮箱，苹果不认可。
打开苹果商务管理的官网，按照提示填写企业信息，然后完成电话验证和邮件验证。一般一个工作日就能审核通过。审核通过之后，你就可以设置管理员账号了。建议至少设置两个管理员，防止一个人离职了账号登不上。
接下来就是添加员工，创建托管苹果 ID。你可以下载苹果提供的 CSV 模板，把所有员工的信息填进去，批量导入后台。然后给每个员工设置对应的权限，普通员工就给基础权限，部门负责人可以设成部门管理员，这样他们就能管理自己部门的员工了。
设备添加也很方便。如果是新设备，直接从苹果授权经销商那里买，告诉他们你的 ABM 账号，设备会自动注册到你的 ABM 里。员工拿到设备之后，开机激活的时候直接登录自己的托管 ID 就行，不用 IT 人员手动设置。已经在使用的旧设备也可以手动添加到 ABM 里，按照后台的提示操作就行。
最后就是批量部署应用。在 ABM 的应用商店里找到你需要的应用，批量购买，然后创建部署策略，选择要推送到哪些设备或者哪些部门。应用会自动下载安装到员工的设备上，不用员工做任何操作。
四、企业苹果 ID 管理的几个实用技巧
权限管理方面，只给员工必要的权限，不要给所有人管理员权限，不然很容易出问题。可以按部门分级管理，让部门管理员负责自己部门的员工，减轻总部 IT 的负担。
数据安全方面，一定要强制所有员工开启两步验证，并且设置复杂的密码。定期备份企业数据，设置好数据保留策略。远程擦除功能要慎用，擦除之前一定要确认设备上没有重要的个人数据。
员工离职的时候，按照这个流程来：先禁用员工的托管 ID，然后远程擦除设备上的公司数据，最后回收设备。如果员工突然离职，联系不上了，可以直接在后台锁定设备，防止数据泄露。
成本控制方面，批量购买应用的时候有折扣，买的越多折扣越大。不用的 ID 和设备要及时回收，重新分配给新员工，避免浪费。
五、常见问题解答
免费的，没有任何隐藏费用。
可以，员工可以在设备上同时登录个人 ID 和企业 ID，个人应用和企业应用是分开的。
是的，只要企业 ID 还在，应用就可以一直使用，员工离职也不会影响。
个人购买的应用不能直接转移到企业 ID，需要在企业 ID 里重新购买。
六、总结
用个人 ID 办公，看起来省事，实际上会给企业带来很多安全隐患和管理麻烦。现在越来越多的企业开始意识到这个问题，转向使用官方的企业苹果 ID 管理方案。
如果你公司也在用苹果设备，并且遇到了上面说的这些问题，建议尽快注册一个 ABM 账号，慢慢把设备和 ID 都迁移过去。刚开始可能会花一点时间，但从长远来看，能帮你省很多事，也能避免很多不必要的损失。