咨询Apple Business Manager(ABM)所用API及设备自动移除方案

• ABM没有独立于Apple官方部署服务体系之外的单独API，你能合法调用的官方接口就是整合后的Apple Business Manager 官方API集，早年ABM还叫DEP（设备注册计划）的时候接口是和教育版ASM（Apple School Manager）共用的，现在已经拆分出独立的ABM接口域名和鉴权体系了。
• 要实现自动移除设备的功能，第一步先在ABM后台开通API权限：用具备设备管理权限的管理员账号登录后台，在「设置」-「设备管理」板块找到API访问入口，生成服务端调用需要的客户端ID、私钥和认证凭证，所有接口都走OAuth 2.0鉴权，请求头必须携带有效的access_token，没有绕过鉴权的调用方式，不要用网上逆向出来的非官方接口，很容易触发风控导致企业ABM账号被封禁。
• 移除设备对应的是设备生命周期管理类接口，调用时传入设备唯一序列号即可（IMEI/MEID也可作为匹配字段，但序列号匹配准确率最高），有两个硬性限制要提前确认：
  • 只有企业通过Apple授权经销商、运营商正式采购并录入到你所属ABM账户下的设备，才能通过API执行移除操作，员工自行加入ABM的自备设备，管理员没有权限通过API移除
  • 如果设备已经下发了不可移除的监管配置，接口会直接返回403权限错误，必须先清除设备上的强制监管锁配置才能执行移除
• 实际开发对接的时候几个常见坑提前规避：
  • access_token默认有效期为1小时，要提前做自动刷新逻辑，不要等请求返回鉴权失败再刷新，容易出现批量操作中途断流
  • 设备移除操作不可逆，调用移除接口前一定要先调用设备查询接口，校验设备当前绑定的MDM服务器、设备运行状态，避免误删仍在使用的设备
  • 批量移除接口单次请求最多支持传入1000个设备序列号，超过阈值需要拆分为多批请求，否则接口会直接返回参数错误
  • 接口返回的业务错误码要单独做逻辑分支，比如设备不存在、设备已被移出、当前账号无操作权限这类场景不要无脑重试，否则很容易触发接口频控限制

实操建议：如果你当前的运维体系已经对接了合规的MDM（移动设备管理）厂商服务，绝大多数主流MDM都已经封装好了ABM设备移除的相关能力，直接调用MDM侧的开放接口比从头对接ABM原生API成本低很多，也不用自行维护鉴权凭证、证书更新的相关逻辑。

内容的提问来源于stack exchange，提问作者it_enthusiast2022