MDM là gì?
MDM (Mobile Device Management — quản lý thiết bị di động) là phần mềm cho phép doanh nghiệp cấu hình, giám sát và bảo mật điện thoại, máy tính bảng của tổ chức tập trung và từ xa. Thay vì cầm từng chiếc iPhone để cài WiFi, cài ứng dụng và đặt mật khẩu, người quản trị chỉ cần thao tác một lần trên bảng điều khiển và lệnh sẽ được gửi tới toàn bộ thiết bị.
Với thiết bị Apple, MDM không phải là một ứng dụng bên thứ ba can thiệp vào hệ điều hành. Đây là một giao thức chính thức do Apple xây dựng sẵn trong iOS, iPadOS, macOS và tvOS. Nhờ vậy, thiết bị được quản lý vẫn nhận cập nhật hệ điều hành bình thường, không cần jailbreak và không ảnh hưởng đến bảo hành.
MDM là "chìa khóa quản trị" mà Apple mở ra cho doanh nghiệp: bạn được phép ra lệnh cho thiết bị mình sở hữu, nhưng vẫn bị giới hạn để không xâm phạm dữ liệu riêng tư của người dùng.
MDM hoạt động như thế nào?
Cơ chế vận hành của MDM trên thiết bị Apple gồm bốn bước:
- Đăng ký thiết bị (enrollment). Thiết bị nhận và tin cậy một hồ sơ quản lý (MDM profile) trỏ về máy chủ MDM của doanh nghiệp.
- Gửi tín hiệu qua APNs. Khi quản trị viên bấm một lệnh, máy chủ MDM không gọi trực tiếp vào thiết bị mà gửi tín hiệu đánh thức qua Apple Push Notification service (APNs).
- Thiết bị chủ động kết nối về. Nhận được tín hiệu, thiết bị tự liên lạc với máy chủ MDM để lấy danh sách lệnh đang chờ — nhờ cơ chế này, thiết bị không cần mở cổng mạng nào ra ngoài.
- Thi hành và báo cáo. Thiết bị thực hiện lệnh (cài app, áp cấu hình, khóa máy…) rồi trả kết quả về để hệ thống cập nhật trạng thái.
Thiết bị phải có kết nối Internet (WiFi hoặc di động). Nếu máy đang tắt hoặc mất mạng, lệnh sẽ được xếp hàng chờ và tự động thi hành ngay khi thiết bị online trở lại.
Một hệ thống MDM gồm những gì?
| Thành phần | Vai trò |
|---|---|
| Máy chủ MDM | Nơi quản trị viên đăng nhập, tạo nhóm thiết bị, soạn chính sách và gửi lệnh. |
| APNs (chứng chỉ đẩy của Apple) | Kênh Apple dùng để đánh thức thiết bị. Chứng chỉ này phải được gia hạn mỗi năm. |
| Hồ sơ cấu hình (Configuration Profile) | Tệp chứa các thiết lập: WiFi, VPN, email, DNS, chứng chỉ, giới hạn tính năng, mật khẩu. |
| Apple Business Manager (ABM) | Cổng doanh nghiệp của Apple để đăng ký thiết bị tự động và mua ứng dụng số lượng lớn. |
| Thiết bị được quản lý | iPhone, iPad, Mac, Apple TV đã đăng ký vào hệ thống MDM. |
Các hình thức triển khai MDM
Mức độ kiểm soát mà bạn có được phụ thuộc trực tiếp vào cách thiết bị được đăng ký. Đây là điểm nhiều doanh nghiệp bỏ qua khi chọn giải pháp.
1. Đăng ký thủ công qua đường link (Device Enrollment)
Người dùng mở một liên kết trên thiết bị, tải và cài hồ sơ quản lý. Cách này nhanh, áp dụng được cho máy đang sử dụng và không cần chuẩn bị gì đặc biệt. Hạn chế: người dùng có thể tự xóa hồ sơ quản lý trong phần Cài đặt, và thiết bị thường ở trạng thái không được giám sát nên một số quyền cao cấp bị khóa.
2. Đăng ký tự động qua ABM/ADE (trước đây gọi là DEP)
Automated Device Enrollment (ADE) dành cho thiết bị doanh nghiệp mua qua kênh chính hãng và được gán vào tài khoản Apple Business Manager. Khi bật máy lần đầu (hoặc sau khi khôi phục), thiết bị tự nhận cấu hình từ máy chủ MDM ngay trong bước thiết lập ban đầu.
- Hồ sơ quản lý có thể đặt thành không thể xóa — người dùng không tự tháo được.
- Thiết bị được giám sát (supervised), mở ra toàn bộ nhóm quyền quản trị cao cấp.
- Reset máy cũng không thoát khỏi quản lý: bật lên là lại vào hệ thống.
3. Đăng ký bằng Apple Configurator
Dùng máy Mac kết nối cáp với thiết bị để đưa máy vào trạng thái giám sát, kể cả với máy mua lẻ không qua ABM. Phù hợp khi doanh nghiệp đã có sẵn thiết bị nhưng vẫn muốn mức kiểm soát cao.
4. User Enrollment cho thiết bị cá nhân (BYOD)
Dành cho trường hợp nhân viên dùng máy riêng cho công việc. Hệ thống chỉ quản lý phần dữ liệu và ứng dụng công việc, tách biệt hoàn toàn khỏi dữ liệu cá nhân. Doanh nghiệp không xóa được dữ liệu cá nhân, ngược lại nhân viên cũng không truy cập được dữ liệu công ty sau khi rời tổ chức.
Supervised và Unsupervised khác nhau ra sao?
| Khả năng | Không giám sát | Được giám sát (Supervised) |
|---|---|---|
| Đẩy cấu hình WiFi, VPN, email, DNS | Có | Có |
| Cài / gỡ ứng dụng do MDM quản lý | Có | Có |
| Khóa máy, xóa dữ liệu từ xa | Có | Có |
| Ẩn / hiện ứng dụng, chặn App Store | Không | Có |
| Chế độ Kiosk (chỉ chạy một ứng dụng) | Không | Có |
| Chặn xóa hồ sơ quản lý | Không | Có |
| Lấy vị trí thiết bị ở chế độ Lost Mode | Không | Có |
| Khởi động lại / tắt nguồn từ xa | Không | Có |
| Bỏ qua Activation Lock khi thu hồi máy | Không | Có (qua ABM) |
Nếu thiết bị thuộc sở hữu doanh nghiệp và dùng cho công việc, hãy ưu tiên đưa máy vào trạng thái supervised. Đây là yếu tố quyết định bạn có thực sự kiểm soát được thiết bị hay không.
MDM làm được những gì?
Cấu hình và triển khai
- Đẩy cấu hình WiFi, DNS, VPN, email, lịch, danh bạ, chứng chỉ bảo mật cho hàng loạt máy.
- Cài đặt, cập nhật, gỡ ứng dụng theo nhóm thiết bị; mua và phân phối app qua Apps and Books của ABM.
- Đặt hình nền, tên thiết bị, thêm web clip (biểu tượng mở nhanh trang nội bộ).
- Yêu cầu hoặc trì hoãn cập nhật iOS theo lịch của doanh nghiệp.
Bảo mật và kiểm soát
- Bắt buộc mật khẩu mở máy theo độ phức tạp quy định, tự khóa sau thời gian nhàn rỗi.
- Chặn cài ứng dụng ngoài, chặn App Store, Safari, AirDrop, camera hoặc iCloud (thiết bị supervised).
- Chỉ cho phép chạy đúng một ứng dụng ở chế độ Kiosk — rất hữu ích cho iPad thu ngân, máy gọi món, máy tra cứu.
- Khóa máy, xóa mật mã, xóa sạch dữ liệu từ xa khi thiết bị thất lạc hoặc nhân viên nghỉ việc.
Giám sát và báo cáo
- Kiểm kê thiết bị: model, số serial, IMEI, phiên bản iOS, dung lượng còn trống, mức pin.
- Danh sách ứng dụng đã cài, trạng thái tuân thủ chính sách, thời điểm online gần nhất.
- Nhật ký thao tác của quản trị viên và lịch sử lệnh đã gửi tới từng thiết bị.
- Bật Lost Mode để khóa máy, hiển thị thông báo trên màn hình khóa, phát âm thanh và truy vấn vị trí (với thiết bị supervised).
MDM không làm được gì?
Đây là phần quan trọng để doanh nghiệp đặt kỳ vọng đúng và để nhân viên yên tâm. Apple thiết kế giao thức MDM với ranh giới rõ ràng, không một giải pháp MDM nào vượt qua được:
- Không đọc được nội dung tin nhắn, iMessage, cuộc gọi hay email cá nhân.
- Không xem được hình ảnh, video, ghi chú hay tệp cá nhân trong máy.
- Không lấy được mật khẩu, dữ liệu trong Keychain hay mã xác thực hai lớp.
- Không xem được lịch sử duyệt web hay nội dung trong các ứng dụng của bên thứ ba.
- Không ghi âm, không quay màn hình, không theo dõi vị trí liên tục theo thời gian thực (vị trí chỉ truy vấn được khi bật Lost Mode trên máy supervised).
- Không xem được nội dung bên trong ứng dụng cá nhân như Zalo, Facebook, ngân hàng.
Nếu một nhà cung cấp quảng cáo có thể đọc tin nhắn, xem ảnh hoặc theo dõi vị trí liên tục trên iPhone thông qua MDM, đó không phải MDM đúng nghĩa. Những giải pháp như vậy thường yêu cầu can thiệp sâu vào thiết bị và tiềm ẩn rủi ro pháp lý cùng bảo mật.
Doanh nghiệp được gì khi dùng MDM?
- Giảm mạnh thời gian cấu hình. Chuẩn bị 100 thiết bị mới từ vài ngày rút xuống còn vài phút.
- Bảo vệ dữ liệu khi mất thiết bị. Khóa và xóa dữ liệu ngay lập tức thay vì bất lực chờ đợi.
- Chuẩn hóa vận hành nhiều chi nhánh. Mọi máy đều có cùng ứng dụng, cùng cấu hình, cùng chính sách.
- Kiểm soát mục đích sử dụng. Thiết bị công việc không bị dùng để chơi game hay lướt mạng xã hội trong giờ làm.
- Minh bạch tài sản. Biết chính xác đang có bao nhiêu máy, ai đang giữ, tình trạng thế nào.
- Bàn giao nhân sự gọn gàng. Nhân viên nghỉ việc — thiết bị được xóa và cấu hình lại cho người mới trong ít phút.
Doanh nghiệp nào nên dùng MDM?
MDM phát huy hiệu quả rõ nhất khi doanh nghiệp sở hữu thiết bị và giao cho nhiều người sử dụng:
- Chuỗi bán lẻ, siêu thị, cửa hàng: iPad thu ngân, máy kiểm kho, máy tra giá.
- Nhà hàng, quán cà phê, khách sạn: iPad gọi món, máy order tại bàn, màn hình phục vụ khách.
- Giao vận, logistics: thiết bị theo tài xế và shipper, cần định vị và khóa nhanh khi cần.
- Trường học, trung tâm đào tạo: iPad học tập cần chặn nội dung không phù hợp và khôi phục cấu hình theo kỳ.
- Doanh nghiệp cấp máy cho nhân viên: chuẩn hóa email, VPN, chứng chỉ, chính sách mật khẩu.
- Đơn vị cho thuê hoặc bán trả góp thiết bị: quản lý máy đang lưu hành và xử lý khi khách quá hạn thanh toán.
MDM, EMM và UEM khác nhau thế nào?
| Khái niệm | Phạm vi quản lý | Phù hợp với |
|---|---|---|
| MDM Mobile Device Management | Quản lý ở mức thiết bị: cấu hình, chính sách, ứng dụng, khóa/xóa. | Phần lớn doanh nghiệp Việt Nam quản lý iPhone, iPad công ty. |
| EMM Enterprise Mobility Management | MDM cộng thêm quản lý ứng dụng (MAM), quản lý nội dung (MCM) và định danh người dùng. | Doanh nghiệp có nhiều ứng dụng nội bộ và mô hình BYOD. |
| UEM Unified Endpoint Management | Quản lý mọi điểm cuối: di động, máy tính Windows/macOS, thiết bị IoT trên một nền tảng. | Tổ chức lớn với hạ tầng thiết bị đa dạng. |
Trên thực tế, đa số doanh nghiệp bắt đầu từ MDM cho thiết bị di động — nơi rủi ro mất máy và chi phí cấu hình thủ công lớn nhất — rồi mở rộng dần khi cần.
7 tiêu chí chọn nhà cung cấp MDM
- Dùng giao thức MDM chính thức của Apple. Không jailbreak, không cài phần mềm can thiệp hệ điều hành.
- Hỗ trợ Apple Business Manager và ADE. Đây là điều kiện để đạt mức kiểm soát cao nhất và chống reset máy.
- Đưa được thiết bị vào trạng thái supervised. Nếu thiếu, bạn sẽ không dùng được Kiosk, ẩn app hay chặn xóa hồ sơ.
- Nhóm thiết bị và phân quyền quản trị. Chuỗi nhiều chi nhánh cần quản trị viên riêng cho từng khu vực.
- Hỗ trợ kỹ thuật bằng tiếng Việt, phản hồi nhanh. Sự cố thiết bị thường phát sinh ngay trong giờ bán hàng.
- Chi phí minh bạch theo số thiết bị. Cần biết rõ phí khởi tạo, phí duy trì và chi phí khi mở rộng.
- Cam kết về dữ liệu. Dữ liệu được lưu ở đâu, ai truy cập được, quy trình khi kết thúc hợp đồng.
ZENTRA đáp ứng đầy đủ bảy tiêu chí trên. Bạn có thể xem chi tiết tính năng, tham khảo quy trình triển khai hoặc so sánh các gói dịch vụ.
Câu hỏi thường gặp về MDM
MDM có làm chậm máy hay hao pin không?
Không đáng kể. MDM chỉ thức dậy khi có lệnh từ quản trị viên nên hầu như không tiêu tốn tài nguyên. Thiết bị vận hành như bình thường và vẫn nhận cập nhật iOS từ Apple.
Người dùng có tự xóa được quản lý MDM không?
Với thiết bị đăng ký thủ công, người dùng có thể xóa hồ sơ trong phần Cài đặt. Với thiết bị đăng ký qua Apple Business Manager (ADE), hồ sơ quản lý có thể đặt thành không thể xóa và việc reset máy cũng không thoát khỏi hệ thống.
MDM có xem được tin nhắn Zalo hay hình ảnh trong máy không?
Không. Giao thức MDM của Apple không cho phép truy cập nội dung tin nhắn, hình ảnh, mật khẩu hay dữ liệu bên trong ứng dụng của bên thứ ba. MDM chỉ quản lý cấu hình, ứng dụng và chính sách thiết bị.
MDM định vị được thiết bị không?
Được, nhưng có điều kiện: thiết bị phải ở trạng thái supervised và được bật chế độ Lost Mode. Đây là cơ chế do Apple quy định nhằm bảo vệ quyền riêng tư — MDM không theo dõi vị trí liên tục khi máy đang sử dụng bình thường.
Doanh nghiệp cần chuẩn bị gì để bắt đầu dùng MDM?
Cần danh sách thiết bị, một tài khoản Apple Business Manager (nên có, không bắt buộc) và xác định các chính sách muốn áp dụng. Phần khởi tạo hệ thống, chứng chỉ APNs và cấu hình ban đầu do ZENTRA thực hiện.
Thiết bị Android có quản lý được không?
Giao thức MDM của Apple chỉ áp dụng cho thiết bị Apple. Với Android, cơ chế tương đương là Android Enterprise. Nếu doanh nghiệp dùng cả hai nền tảng, hãy trao đổi để ZENTRA tư vấn phương án phù hợp.
Gọi 0393 338 332 hoặc để lại thông tin — ZENTRA sẽ phân tích số lượng thiết bị, mô hình vận hành và đề xuất cấu hình phù hợp, miễn phí.