Ich kann immer ein iPhone wenigstens als "privates Gerät" anmelden: wenn ich eine Google-App (z.B. Gmail) lade und mich mit dem Google Workplace-Konto anmelde bekomme ich zwangsläufig die Google Device Policy App vorgeschlagen (-> Zertifikat installieren -> im Google Admin genehmigen...).

Wenn das iPhone dann genehmigt ist und mir im Google Admin auch für den Nutzer angezeigt wird kann ich auf dem iPhone aber immer noch machen was ich möchte: z.B. iCloud nutzen, obwohl die Nutzung von iCloud im Google Admin (bei "iOS Einstellungen") deaktiviert ist.