ABM 和 MDM 到底差在哪：一个记录归属，一个决定能力

先给结论：Apple Business Manager（ABM）和 MDM 不是两个可以互相替代的方案，是同一条管理链上的两层——ABM 在苹果那一侧记录“这台机器属于哪个组织”，MDM 在服务商这一侧决定“这台机器能管什么、管到什么程度”。把这两层混为一谈，是租赁商家在选型、迁移、结清三个环节上反复踩坑的根因。

先定位：ABM 是一个免费门户，不是一套管理系统

ABM 是苹果给组织提供的免费门户，它做三件事：自动设备注册（ADE）、App 与图书（Apps and Books，原 VPP）、以及受管理 Apple 账户（Managed Apple Accounts，原 Managed Apple ID）。它记录设备归属、App 授权和组织内身份。
它明确不做的事同样重要：不下发策略、不安装 App、不强制加密、不出合规报告。这些全部属于 MDM。所以"上了 ABM 就算管起来了"是一个错误认知——ABM 只是让 MDM 有能力可施的前提。
有一个命名上的坑要提醒：业内文档记录，苹果在 2026 年 4 月推出 Apple Business，把原来的 Apple Business Manager、Apple Business Essentials、Apple Business Connect 三项服务合并为一个平台；但绝大多数搜索流量和厂商文档仍在用 ABM 这个旧称（此说法来源为第三方 MDM 厂商技术博客，非苹果官方公告，写进合同或对外文档时建议以苹果官方口径为准）。这一点对做内容的人尤其重要：用户搜的是 ABM，官方叫的是 Apple Business，两个词都要出现，否则一半流量接不住。

两层分工的对照表

把差异摊开看，最清楚的方式是分维度对照：
记录对象：ABM 记录“设备属于哪个组织”；MDM 记录“设备当前状态与策略”。
是否产生监督模式：ABM 通过 ADE 让设备在首次开机时被置为受监督（supervised）；MDM 消费这个结果——只有受监督设备才能执行更强的限制。
是否下发指令：ABM 不下发任何指令；MDM 通过 APNs 通道下发锁机、擦除、限制等指令。
是否收费：ABM 是免费门户；MDM 是付费服务。
解除方式不同：在 ABM 里释放（release）序列号，解的是归属层；在设备上移除管理描述文件，解的是载体层。用户批准注册（User Enrollment）的设备，描述文件用户可自行移除；走 ADE 的受监督设备，描述文件可设为不可移除（PayloadRemovalDisallowed）。
失效条件不同：ABM 层失效于序列号被释放；MDM 层失效于 APNs 证书过期或描述文件被删除。

底层机制：为什么归属层比载体层更硬

现象：一台受监督的机器被抹除、重新激活，开机后依然回到原管理域。
直接原因：抹除清的是本地层——用户数据、Apple 账户、已装 App，全部清空；但绑定关系不在本机。
底层机制：设备在激活流程中会向苹果激活服务器查询自己的归属。ABM 里这台序列号被分配给了哪个 MDM 服务器，服务器就回答哪个。设备在 Setup Assistant 阶段拿到这个答案，自动完成注册。这个过程发生在激活链路里，不在操作系统里，所以刷机、越狱、抹除都绕不过去。
失效条件（这一层最关键）：走非监督模式注册的设备不产生这个回连。也就是说，“抹除也跑不掉”这句话只对受监督 + ABM 分配的设备成立。手工装个描述文件、用户点同意的那种注册，抹除之后就没了。判断一台机器属于哪种，看注册方式字段，而不是看设备上有没有描述文件。

从零搭起来，六个前置条件里最容易卡住的是第一个

按标准流程，要跑通 ADE 需要：① 建立 ABM 账户并登记采购信息；② 在 MDM 侧设置 MDM 权限；③ 取得 APNs 推送证书；④ 创建注册计划令牌（公钥与令牌交换）；⑤ 在 ABM 里把设备分配给 MDM 服务器；⑥ 创建并分配注册描述文件。
其中三个参数值得单独记住，因为它们决定了时间成本：
第一，ABM 注册需要 D-U-N-S 号，苹果侧有审核，耗时从数天到数周不等。打算走 ADE 的，采购阶段就要启动，不能等设备到货。
第二，APNs 证书有效期 365 天，一年一签。过期不会报错，表现是设备显示在线但指令无回执——这是典型的静默失效。
第三，用 Apple Configurator 手工添加到 ABM 的设备有 30 天临时期，期内用户可以自行解除管理；通过苹果、授权经销商或运营商采购的设备没有这个临时期。做租赁的如果手上有一批已经拆封的机器，走 Configurator 补登，就要接受这 30 天的窗口风险。

iOS 26 起两个新增能力：迁移与注册截止日期

根据苹果官方支持文档《iOS 26 中适用于企业的新功能》，Apple 校园教务管理和 Apple 商务管理现在支持两项此前没有的能力：一是把装有 iOS 26、iPadOS 26 或 macOS 26 的设备迁移到新的设备管理服务；二是在符合条件的设备上强制执行注册截止日期。
第一条对租赁行业的影响被低估了。过去换 MDM 服务商 = 全部抹除重来，设备要收回、要重新走一遍注册，成本和时间都压在商家身上。有了迁移能力，换服务商从"重注册"变成了"改分配"。
第二条给批量纳管提供了硬时限：可以强制设备在期限内完成注册，逾期未完成即受限制。对批量采购、分批投放的租赁业务，这是一个此前没有的抓手。
同一份文档还明确：使用 MDM 命令、限制、com.apple.SoftwareUpdate 有效负载和查询的软件更新管理已被弃用，并将于次年移除，今后只能通过声明式软件更新管理来管理和强制执行。这一条在 iOS 27 上已经生效，前面几天的文章里单独拆过，这里不重复。

两个可自验动作

动作一：查归属层。登录 ABM，按序列号查这台设备当前被分配给了哪个 MDM 服务器。这一步查的是苹果侧的记录，是归属层的真相。设备端看不出来。
动作二：查证书层。在 MDM 服务器上执行 openssl x509 -in apns.pem -noout -enddate -subject，输出里的 enddate 是证书到期日，subject 里的 topic 字段标识了这个证书对应的 MDM 身份。换服务商时 topic 变了才需要重注册；topic 没变、只是换服务器，设备不需要动。

三个常见误判

误判一：以为有了 ABM 就不需要 MDM。ABM 只记录归属，不下发任何策略。只有 ABM 没有 MDM，等于在苹果那里登记了产权，但没有任何执行手段。
误判二：以为移除描述文件就解除了监管。移除描述文件删的是载体层；只要 ABM 里的分配关系还在，设备抹除重激活就会再注册一次。真正的解除必须在 ABM 里释放序列号。
误判三：以为受监督状态是永久的。监督状态依附于注册方式。手工注册、用户批准注册都不产生监督；换机时如果走了"从备份恢复"，按苹果部署指南，iOS 27 起备份不再恢复管理信息（包括注册描述文件、管理配置和监督状态），换机场景必须重新走 ADE，不能靠恢复备份。

边界

第一，以上机制针对苹果生态。安卓侧没有 ABM 这一层，对应的是 Android Enterprise 的多种配置路径与 OEM 扩展层，能力边界随品牌和机型变化，不能把苹果的结论平移过去。
第二，迁移能力和注册截止日期要求设备系统版本在 iOS/iPadOS 26 或 macOS 26 以上，存量低版本设备不适用，需要单独规划升级路径。

选型时该问服务商的三个问题

第一，设备是不是走 ADE 注册？如果答案是"装个描述文件"，那就没有监督模式，能力上限完全不同。
第二，APNs 证书的到期日在哪里能看到？答不上来的，说明没有把证书生命周期管理起来。
第三，结清时是不是在 ABM 里释放序列号？只删描述文件的，设备换个手就会回连。
MDM.Plus 的监管锁走 Apple ABM 加监督模式，绑定关系记录在苹果服务器、挂在设备序列号上，设备抹除后重新激活仍会回连原管理域——这句话描述的是归属层的工作方式，也是判断一套方案是不是真的用了官方通道的判据。结清退出则按"结清确认 → 清除个人数据 → 解监管锁 → ABM 释放序列号 → 留痕存档"五步走，顺序不可换：先解监管锁再清数据，设备会在清数据过程中失去指令通道；先释放序列号再留痕，事后就补不出证据链。