我们希望在组织内部部署 iPad。我们希望能够为用户安装应用程序，这可以通过移动设备管理完成。但是，我们不希望用户能够购买应用程序，因为这些应用程序可以通过他们的内部购买帐户购买。以这种方式购买的应用程序不应允许离开组织，但用户可以在他们的个人 Apple 帐户上购买应用程序，这样他们就可以在其他设备上使用它，即使他们使用组织购买帐户购买了该应用程序。
我找不到禁止在 iOS 设备上购买应用程序的方法，无论是通过本地限制还是通过移动设备管理。我似乎能做的就是：
- 限制安装所有应用程序（不可接受，因为这样我们就无法将应用程序推送到设备）
- 在所有设备上设置组织 iCloud 帐户，并限制在本地更改帐户设置（不可接受，因为需要输入密码才能接受 MDM 推送的应用安装）
有没有办法只阻止应用程序购买？是否有提供此功能的 MDM 套件？
答案1
实现此目的的方法是生成多个没有信用卡关联的 AppleID，最终用户无法访问这些 ID，并使用 MDM（可能还有配置器）将配置文件推送到设备。只要最终用户不知道 AppleID 的密码，他们就根本无法访问应用商店，并且授权该 ID 的应用将无法在其他地方运行。
然后你需要阻止用户修改/删除该配置文件，这实际上是一个棘手的部分。Apple 的 IOS MDM 框架支持在配置文件上使用密码锁等，但并非所有 MDM 都将其明确（或可能）化。你可以使用受监督的配置器来做到这一点，但你必须亲自操作每台设备。
这是一份有些过时的 MDM 提供商列表。 这或许是一个很好的起点。
以下是批量生成AppleID的链接：
http://www.enterpriseios.com/wiki/Batch_Apple_ID_Creator
如果您正在运行 BYOD 配置（而不是您提供设备），我认为这会更加困难，但并非不可能（某些 MDM 支持设备上的策略代理）。
以下是配置文件中可用参数的链接（需要 Apple 开发者注册）。这应该可以让你了解什么是可能的： https://developer.apple.com/library/ios/featuredarticles/iPhoneConfigurationProfileRef/Introduction/Introduction.html
我没有 Apple Developer Enterprise 帐户，因此无法访问完整的 MDM API 文档。
答案2
目前 iOS 中没有可以按照您希望的方式阻止它的界面。
答案3
Apple 将终端用户放在第一位。对他们来说，终端用户体验比管理员的控制更重要。事实上，如果您在 iOS 上使用 MDM，终端用户可以总是决定他们不需要任何设备管理并删除您的配置文件并安装任何他们想要的东西..
我认为这种说法是错误的，而且是唯一可行的方法：
限制安装所有应用程序（不可接受，因为这样我们就无法将应用程序推送到设备）
使用一些 MDM 解决方案所具有的“企业应用商店”。
那是，如果你确实想做出限制。因为这无论如何都没有多大意义，因为用户可以做任何他们想做的事情。
它真正适用于 iOS 设备的唯一方式是通过策略。不基于软件的策略。您可以通过在 MDM 服务中设置触发器来“监管”这一点（如果您的 MDM 服务支持该功能），为不允许的应用程序设置触发器，这些应用程序将对不合规的设备采取操作。例如，发送警告，然后如有必要，删除其公司电子邮件、wifi 和其他设置，这些设置是将其用于其预期用途所必需的。或者擦除设备，他们会立即到达您的支持台。
不要忘记向 Apple 提交错误报告，也许有一天他们会同意这是他们的错误，而不是功能问题。
答案4
联系 APPLE 设立公司账户。无需花钱购买应用程序。任何需要为其企业账户购买合法应用程序的人都应该自行在外部购买，或者使用人力资源部门拥有的 iPad 购买。该购买可以通过正常的报销程序处理。然后，应用程序可以转移到他们的官方公司 iPad 上。
解决用户 iPad 上安装“未批准”应用的问题：不要阻止，而要检查。要提到公司会定期对 iPad 进行突击检查，检查是否安装了未批准的应用。就像人们在笔记本电脑上安装自己的软件一样，不要担心阻止，因为人们可以绕过这些软件，所以这样做毫无意义。相反，要威胁检查，并偶尔进行检查，以让用户感到敬畏。