¶ Регистрация устройства не проходит
Эта страница поможет, если не открывается страница регистрации, профиль не скачивается или не устанавливается, устройство не появляется в Ринго или после регистрации не появился агент.
Регистрация состоит из нескольких последовательных шагов (см. Как устроен Ринго → регистрация). Сначала определите, на каком шаге она остановилась: от этого зависит, что проверять. Проще всего это сделать по логу backend:
docker logs roll-deploy-backend --since 30m 2>&1 \
| grep -E 'enroll/auth|GET /mdm/enroll|mdm/enroll/profile|/scep|mdm\.Authenticate|mdm\.TokenUpdate|device\.enroll|Agent connected'
Так выглядит успешная регистрация Mac в Ринго 3.0.5 (строки сокращены):
"POST /enroll/auth HTTP/1.1" 200 ← вход на странице регистрации
"GET /mdm/enroll HTTP/1.1" 200 ← профиль скачан
"POST /mdm/enroll/profile HTTP/1.1" 200 ← устройство начало установку
"GET /scep?operation=GetCACert&message=Device%20Management%20Identity%20Certificate" 200
"POST /scep?operation=PKIOperation HTTP/1.1" 200 ← выдан сертификат устройства
Emit event (mdm.event) with data: [udid: …; topic mdm.Authenticate; status: null]
Emit event (mdm.event) with data: [udid: …; topic mdm.TokenUpdate; status: null]
Emit event (device.enroll.mdm) with data: {"udid":"…"} ← устройство под управлением MDM
Apple MDM command queued [UDID: …; Command type: InstallProfile] ← профиль агента и первые команды
AgentGateway | info | Agent connected, udid: …
Emit event (device.enroll.agent) with data: {"udid":"…"} ← агент зарегистрирован
| Последняя запись в логе | На каком шаге остановилась регистрация |
|---|---|
Записей нет или только GET /enroll |
Шаг 1: вход или скачивание профиля. |
GET /mdm/enroll, но нет POST /mdm/enroll/profile |
Шаг 2: установка профиля не началась. |
POST /mdm/enroll/profile с кодом 402 |
Лицензия исчерпана. |
POST /mdm/enroll/profile с кодом 401 или 400 |
Сервер не выдал профиль MDM: код регистрации в профиле истёк (он действует 90 дней) или не прошла проверка подписи запроса устройства. Скачайте профиль заново. |
Запросы к /scep, но нет PKIOperation или mdm.Authenticate |
Шаг 2: установка прервалась на получении сертификата. |
mdm.Authenticate, но нет mdm.TokenUpdate |
Шаг 3. |
device.enroll.mdm, но нет Agent connected |
Шаг 4. |
device.enroll.agent |
Регистрация завершена. |
На Mac те же шаги видны в системном журнале (см. Диагностика на устройстве → ошибка установки профиля).
¶ Частые причины
- Исчерпана лицензия. В логе есть
POST /mdm/enroll/profileс кодом 402. - Страница регистрации закрыта на прокси тем же ограничением
allow/deny, что и веб-интерфейс. - Устройство не может подключиться к
/scepили/mdm/checkinиз своей сети. - Профиль скачан со старым адресом сервера после смены домена Ринго.
¶ Лицензия исчерпана
Откройте Настройки → Лицензия. Для компьютеров и мобильных устройств отдельно указаны срок («Срок действия до…») и количество устройств («Всего устройств добавлено: N. Осталось: M»).
В Ринго 3.x лимит проверяется, когда устройство начинает установку профиля: если лимит исчерпан, сервер отвечает на POST /mdm/enroll/profile кодом 402, и профиль не устанавливается. Удалите неиспользуемые устройства или обратитесь в поддержку (support@ringomdm.ru), чтобы расширить лицензию.
Если регистрация не удалась, Mac показывает окно с ошибкой
<InternalError:1>. Текст ошибки не называет причину: найдите в логе backend код ответа наPOST /mdm/enroll/profile. Если такого запроса в логе нет, он не дошёл до Ринго.
¶ Шаг 1. Страница регистрации и скачивание профиля
Пользователь открывает https://<домен>/enroll (кнопка «Привязать» в интерфейсе), входит и скачивает файл enroll.mobileconfig. Проверьте доступность страницы из сети устройства:
curl -s -o /dev/null -w '%{http_code}\n' https://<домен>/enroll # 200
curl -s -X POST -H 'Content-Type: application/json' -d '{}' https://<домен>/enroll/auth # 400 «Username should not be empty»
curl -s -o /dev/null -w '%{http_code}\n' https://<домен>/mdm/enroll # 401 без входа — ожидаемый ответ
- Код
403,404или HTML-страница прокси. Пути/enrollили/mdm/enrollне опубликованы на прокси либо закрыты ограничением для веб-интерфейса. Эти пути должны быть доступны из всех сетей, где находятся устройства. - Вход не выполняется (
POST /enroll/authвозвращает401и{"is_authorized":false}). На странице регистрации входят учётной записью Ринго (системный пользователь) или учётной записью LDAP; при первом входе пользователь LDAP создаётся в Ринго автоматически. Возможные причины отказа: неверный логин или пароль, недоступен сервер LDAP (см. Настройки → Настройки LDAP), требуется двухфакторная аутентификация, а у пользователя она не настроена. Обязательность 2FA задаётся в разделе Настройки → Двухфакторная аутентификация или в настройках самого пользователя. Для суперадминистратора 2FA при регистрации не требуется. - Вход выполнен, но профиль не скачался. После входа профиль можно скачать в течение 15 минут. Если это время прошло, войдите снова.
¶ Шаг 2. Установка профиля
Профиль устанавливается на устройстве: на macOS — Системные настройки → Основные → Управление устройством → «MDM Enroll Profile» → «Установить» (потребуется пароль администратора Mac), на iOS — Настройки → «Профиль загружен».
| Что видно | Причина |
|---|---|
| «SCEP‑сервер по адресу <домен> был недоступен или не отвечал» | Устройство не дождалось ответа от /scep: путь закрыт, сервер не отвечает или прервалась связь. |
| Ошибка сертификата сервера | Прокси не отдаёт промежуточный сертификат (неполная цепочка), сертификат истёк или на устройстве не установлен корпоративный корневой сертификат. |
Профиль не устанавливается, сервер отвечает на POST /mdm/enroll/profile кодом 402 |
Исчерпана лицензия (см. выше). |
| Ошибка SCEP | Путь /scep закрыт или отвечает не Ринго, а, например, прокси. |
Проверьте доступность из сети устройства:
curl -s "https://<домен>/scep?operation=GetCACaps" # POSTPKIOperation SCEPStandard Renewal SHA-1 SHA-256 AES DES3
curl -s -X PUT https://<домен>/mdm/checkin # {"message":"Отсутствует тело mdm запроса",…}
Если GetCACaps вернул HTML-страницу или пустой ответ, на прокси нет блока location /scep.
Профиль подключает устройство к адресу, записанному в нём (PUBLIC_URL сервера). Если адрес Ринго изменился, а профиль скачан раньше, скачайте его заново. Если PUBLIC_URL на сервере не обновлён, см. Сервер → смена домена.
¶ Шаг 3. Устройство появляется в Ринго
Профиль установлен, но через 2–3 минуты устройства всё ещё нет в списке.
- В логе есть
mdm.Authenticate, но нетmdm.TokenUpdate. Второй запрос на/mdm/checkinне дошёл до сервера. Возможная причина — WAF, который не разрешает методPUTили тип содержимогоapplication/x-apple-aspen-mdm-checkin(см. Сеть → WAF). На Mac это видно по коду ответа на запрос[MDM_TokenUpdate](см. Диагностика на устройстве → ответы сервера). - В логе нет даже
mdm.Authenticate. Запрос не дошёл до backend. Найдите в логе прокси запросPUT /mdm/checkin. - iOS: на устройстве уже установлен профиль другого MDM. Установить второй профиль MDM нельзя.
¶ Шаг 4. Установка агента (macOS)
После регистрации Ринго сам отправляет на Mac профиль агента («RINGO Agent Configuration Profile») и команду установки агента, после чего агент подключается к серверу.
- В логе есть
device.enroll.mdm, но нетAgent connected. Профиль агента и установка агента доставляются MDM-командами. Проверьте их статус на вкладке Управление → Команды (см. Команды MDM и профили). Если профиль доставлен, см. Агент на macOS → шаг 1. - В логе агента на Mac есть
Agent configuration not found, waiting for configuration profile... Профиль агента не доставлен. - Пакет агента не загружается с
/agent/bundle. Причина может быть в WAF, DPI или ограничении размера на прокси (пакет весит около 800 КБ, в 3.0.5 — 814 718 байт). Проверьте загрузку:curl -s -o /dev/null -w '%{http_code} %{size_download}\n' https://<домен>/agent/bundle.
¶ Bootstrap Token не передан
Bootstrap Token нужен для некоторых функций macOS: выдачи Secure Token и установки обновлений на Mac с Apple silicon. При регистрации Mac передаёт его автоматически, если у вошедшего пользователя есть Secure Token. В логе backend при этом появляется topic mdm.SetBootstrapToken. Проверьте состояние на Mac:
sudo profiles status -type bootstraptoken
# profiles: Bootstrap Token supported on server: YES
# profiles: Bootstrap Token escrowed to server: YES
Если указано escrowed to server: NO, передайте токен вручную. Команда запросит имя и пароль пользователя с Secure Token:
sudo profiles install -type bootstraptoken
Не указывайте пароль в самой команде (
-password '…'): он сохранится в истории командной строки.
¶ Редкие причины
- Истекает сертификат устройства (через год после регистрации). Срок указан в поле «Сертификат энролл профиля истечет» в карточке устройства. До этой даты отправьте устройству команду «Обновить профиль MDM»: оно получит новый сертификат на год. Чтобы находить такие устройства заранее, используйте смарт-группу по критерию «Сертификат энролл профиля истечет». Критерий «Требуется обновление MDM-профиля» для этого не подходит: он считает год от даты регистрации, а не от срока сертификата.
- В логе есть запись
Missing UnlockToken in token update event(уровень warn). Для macOS это нормально и на регистрацию не влияет.
¶ Если проблема не решена
Обратитесь в техническую поддержку (см. Обращение в поддержку).
Проверено на Ринго 3.0.5, октябрь 2026. Тексты ошибок — Справочник ошибок, термины — Термины.