先给结论：因为「受监督」和「装了描述文件」是两件独立的事。描述文件是设备侧的一份配置，可以删；受监督是设备的一个状态标志，由注册方式决定，删文件删不掉它。所以同一个移除动作，在不同注册方式的设备上会得到完全相反的结果。
这个问题在结清退出和二手流转两个场景里每个月都要遇到好几次。处理办法只有一种：先看注册方式，再决定做什么。
把设备侧和管理侧分开：两个东西存在不同地方
要理解这个现象，得先分清楚两个概念各自存在哪：
- 描述文件：存在设备本地，是一份配置。它记录了允许哪些限制、指向哪个管控服务器。在设置里进入通用，找到「VPN 与设备管理」这一项，看到的就是它。
- 受监督状态：是设备的一个标志位，在激活阶段被写入。它决定了这台设备能接受哪些管理指令。在「关于本机」这一页顶部，系统会明确写出这台设备是否受某个组织监督和管理。
之所以删了文件还在管理域里，机制在于：设备每次走激活流程时，都会拿自己的序列号去服务器问一次「我归谁管」。问到结果之后，它会重新拉回一份配置。也就是说，本地那份文件删掉只是删掉了一个副本，服务器侧那份绑定关系还在，下次激活时又会被拉回来。
三种注册方式，对应三种完全不同的结果 - 方式一，走苹果官方自动注册通道加监督模式。绑定关系挂在序列号上、记在苹果的服务器里。删描述文件没有用，恢复出厂设置之后重新激活，设备仍会回到受管理状态。解除动作只能在持有该序列号的组织那一侧完成，做的是释放序列号。
- 方式二，用配置工具在设备本地开启监督，没有走自动注册。这一种的受监督状态是在本地写入的，恢复出厂设置会把它清掉。清掉之后设备不再受监督，也不会再回连原来的管控服务器。
- 方式三，只手工安装描述文件，设备本身没有受监督。这一种的管控强度最低，描述文件可以由使用者自行移除，移除之后就脱离管理，不需要任何服务端动作。
三种方式的关键差别在「谁掌握解除权」。第一种在服务端，第二种在设备端（靠一次抹除），第三种在使用者手里。做租赁业务需要的显然是第一种，因为设备的控制权不能掌握在使用者手里。
一张对照表：三个维度区分三种方式 - 绑定位置：自动注册在服务器，配置器监督在设备本地，手工描述文件在设备本地。
- 恢复出厂设置之后：自动注册仍回连，配置器监督不再受监督，手工描述文件不再受管。
- 谁能解除：自动注册由组织在门户侧释放序列号，配置器监督靠抹除，手工描述文件由使用者自行移除。
五步排查：设备还在管理域里，按这个顺序查
第一步，确认注册方式。这是决定后续动作的前置条件，不知道注册方式就动手，等于在猜。查的地方是台账里的纳管方式字段，以及门户里的设备列表。
第二步，看设备侧两份证据是否一致。打开设置进入通用查看「VPN 与设备管理」有没有内容，再进入「关于本机」看顶部那行受监督管理的说明。两处都有，说明本地配置和受监督状态都在；只有后者，说明配置被删了但状态还在。
第三步，判断解除动作该在哪一侧执行。自动注册的设备要在门户侧释放序列号，设备侧做什么都没用。释放之后设备重新激活才会问到一个不同的答案。
第四步，验证。释放之后不要只看后台状态，拿设备做一次完整的恢复出厂设置再开机，看它是否还回到远程管理界面。这是唯一能确认解除生效的方法。
第五步，留痕。把释放时间、执行人、验证结果三项记进台账。这一步不做，后面这台机器流到二手市场出问题的时候，没有任何证据能说明退出流程是完整执行过的。
品牌定位：纳管方式为什么必须做成独立字段
上面五步里，第一步是全部后续动作的前提，而第一步能不能做对，取决于台账里有没有这个字段。MDM.Plus 的设备台账把纳管方式作为固定字段，取值分自动注册、配置器监督、手工描述文件三类，三类对应三条不同的结清退出路径，每月抽 10 台复核一次。
只写「有锁」或「没锁」是不够的。同样是「有锁」，自动注册和手工描述文件在退出时要做的动作完全不一样，按同一种方式处理，要么白做，要么漏做。
三条误判 - 误判一：把「删掉描述文件」当成解除动作。它删的是本地副本，服务器侧的关系不受影响。
- 误判二：认为抹除之后就退出管理域了。这一条只在配置器监督和手工描述文件两种方式下成立，自动注册的设备抹除之后仍会回连。
- 误判三：把后台状态当成设备实际状态。后台显示已下发或已释放，和设备侧真正生效是两件事，验证必须回到设备上做一次。
两条边界 - 边界一：本文三种方式的划分适用于苹果设备，安卓各品牌的注册入口与解除条件差异很大，不能共用同一份排查表。
- 边界二：设备长期离线时，服务端的释放动作生效时间不确定，只有在设备重新联网走激活流程时才会问到新答案。
检查清单 - 台账里补一个纳管方式字段，取值只允许三种。
- 验收时核对两处：「VPN 与设备管理」与「关于本机」顶部说明。
- 自动注册的设备，退出动作放在门户侧，不要在设备侧反复操作。
- 每批退出拿一台做完整抹除验证，不要全靠后台状态。
- 释放时间、执行人、验证结果三项留痕，缺一项视为流程未完成。
这套顺序在批量处理时才显出差别，MDM.Plus 的结清退出任务按批次生成，每一步的完成状态按设备分别记录，某一步失败只回滚该台设备，不影响同批其余机器。
