MacBook bị MDM là máy đã được một công ty, trường học hoặc tổ chức đăng ký vào hệ thống quản lý thiết bị (Mobile Device Management) thông qua Apple Business Manager hoặc Apple School Manager. Mỗi lần cài lại macOS và kết nối mạng, máy sẽ hiện màn hình "Remote Management" đòi đăng nhập tài khoản của tổ chức đó. Chỉ tổ chức sở hữu máy mới gỡ được đăng ký này. Khi mua MacBook cũ, nên kiểm tra MDM trước khi trả tiền.
| Tình huống | Ý nghĩa | Việc nên làm | Rủi ro |
|---|---|---|---|
| Màn hình Remote Management hiện khi cài đặt máy | Máy thuộc một tổ chức | Yêu cầu người bán nhờ tổ chức gỡ máy khỏi Apple Business Manager | Không gỡ được thì máy luôn bị quản lý |
| Có hồ sơ (profile) trong mục Device Management | Máy đang bị quản lý hoặc cài profile | Hỏi người bán, xem profile của ai | Profile có thể giới hạn tính năng, theo dõi máy |
| Người bán nói máy "đã bypass MDM" | Màn hình MDM bị né tạm | Không nên mua nếu cần dùng lâu dài | Có thể hiện lại sau khi cập nhật, cài lại |
| Lệnh kiểm tra trả về "No" | Không đăng ký MDM | Kiểm tra tiếp Activation Lock | Thấp |
MDM hoạt động thế nào
Các tổ chức mua Mac số lượng lớn thường gắn số serial của máy vào tài khoản Apple Business Manager (ABM) hoặc Apple School Manager. Theo tài liệu triển khai của Apple, những máy này dùng Automated Device Enrollment: khi bật lần đầu hoặc sau khi xoá sạch và kết nối mạng, máy tự hỏi máy chủ của Apple, thấy mình thuộc tổ chức nào và tự đăng ký vào hệ thống quản lý của tổ chức đó.
Đăng ký này gắn với số serial trên máy chủ của Apple, không nằm trên ổ cứng. Vì vậy xoá ổ, cài lại macOS hay thay ổ đều không gỡ được. Chỉ tổ chức sở hữu vào ABM và "release" (giải phóng) máy thì đăng ký mới mất.
Khi máy đang bị quản lý, tổ chức có thể:
- Cài và gỡ ứng dụng từ xa.
- Chặn tính năng, cấu hình Wi-Fi, VPN, chứng chỉ.
- Khoá máy, xoá máy từ xa.
- Xem thông tin thiết bị.
Máy dính MDM đến từ đâu
- Máy công ty thanh lý nhưng bộ phận IT chưa gỡ khỏi ABM.
- Máy nhân viên nghỉ việc mang theo.
- Máy trường học, máy thuê.
- Máy xách tay từ nước ngoài, nguồn gốc không rõ.
Máy dính MDM thường được bán rẻ hơn hẳn máy cùng đời. Mức giá rẻ bất thường là một dấu hiệu nên kiểm tra kỹ.
Cách kiểm tra MacBook có bị MDM không
- Xem mục Device Management. Mở System Settings > General > Device Management (macOS Sequoia trở lên). Trên macOS Sonoma và cũ hơn, vào System Settings > Privacy & Security > Profiles. Nếu thấy hồ sơ của một công ty, trường học, máy đang bị quản lý.
- Dùng lệnh trong Terminal. Mở Terminal và gõ
profiles status -type enrollment. Kết quả có hai dòng. "Enrolled via DEP: No" và "MDM enrollment: No" nghĩa là máy không đăng ký. Nếu "Enrolled via DEP: Yes", máy đã gắn với Apple Business Manager hoặc Apple School Manager. - Xoá máy và cài lại thử. Cách chắc nhất khi mua: yêu cầu người bán xoá máy (System Settings > General > Transfer or Reset > Erase All Content and Settings), rồi bạn tự cài đặt lại từ đầu có kết nối Wi-Fi. Nếu có màn hình Remote Management hiện tên tổ chức, máy dính MDM.
- Kiểm tra Activation Lock cùng lúc. Sau khi xoá, nếu máy đòi Apple Account của chủ cũ, máy đang bị khoá kích hoạt, là chuyện khác với MDM nhưng cũng nghiêm trọng.
"Bypass MDM" có an toàn không
Một số nơi bán máy "đã bypass MDM", tức là dùng thủ thuật để né màn hình Remote Management khi cài đặt. Đăng ký trên máy chủ Apple vẫn còn. Những rủi ro thường gặp:
- Màn hình MDM hiện lại sau khi cập nhật macOS lớn, xoá máy hoặc cài lại.
- Tổ chức sở hữu vẫn có thể khoá hoặc xoá máy nếu máy từng đăng ký lại.
- Không được Apple hỗ trợ khi cần bảo hành, cài lại.
- Máy có thể là tài sản của tổ chức chưa được thanh lý hợp pháp.
Cách hợp lệ duy nhất là tổ chức sở hữu release máy khỏi Apple Business Manager hoặc Apple School Manager. Với máy đăng ký qua Apple Configurator, Apple có thời gian 30 ngày để người dùng tự chọn rời khỏi quản lý, quá thời gian đó thì phải qua tổ chức.
Đã lỡ mua máy dính MDM thì làm gì
- Liên hệ người bán yêu cầu thông tin tổ chức và nhờ họ gỡ máy khỏi ABM. Có hoá đơn thanh lý càng tốt.
- Nếu biết tổ chức, liên hệ bộ phận IT của họ kèm số serial và giấy tờ mua bán.
- Trả lại máy nếu người bán không giải quyết được.
- Apple không gỡ MDM thay cho tổ chức, kể cả khi bạn có hoá đơn mua lại.
Câu hỏi thường gặp
Macbook bị dính mdm là gì?
Là máy đã được một tổ chức đăng ký quản lý từ xa qua hệ thống của Apple. Máy vẫn dùng được nhưng tổ chức có thể kiểm soát, và màn hình Remote Management sẽ hiện mỗi khi cài lại máy.
Macbook bị quản lý từ xa có dùng bình thường được không?
Nếu tổ chức vẫn đang quản lý, họ có thể giới hạn tính năng, cài phần mềm, khoá hoặc xoá máy. Nếu đã bypass, máy có thể chạy bình thường một thời gian nhưng không chắc chắn lâu dài.
Macbook bị activation lock có giống MDM không?
Không. Activation Lock gắn máy với Apple Account cá nhân của chủ cũ thông qua Find My. Chủ cũ gỡ được bằng cách xoá máy khỏi tài khoản của họ trên iCloud.com hoặc ứng dụng Find My. MDM gắn máy với tổ chức, phải để tổ chức gỡ.
Macbook bị bypass là gì?
Là máy đã được né màn hình khoá (MDM hoặc Activation Lock) bằng thủ thuật, không gỡ được khoá gốc trên máy chủ Apple. Máy bypass có thể bị khoá lại khi cập nhật hoặc cài lại macOS.