WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
管理 Apple 设备的新特性

管理 Apple 设备的新特性

App StoreDistribution & MarketingBusiness & Education
观看原视频

管理 Apple 设备的新特性

Highlight

macOS Monterey 为 Mac 带来了”抹掉所有内容和设置”功能，Apple silicon 和 T2 Mac 可通过 MDM 一键恢复出厂状态；iOS 15 合并了 VPN 与设备管理设置页，并新增 Required App 和 Managed Pasteboard 等企业数据保护能力。

核心内容

过去一年，工作方式发生了前所未有的变化——从办公室到厨房餐桌，再到客厅沙发。Apple 的硬件、软件和服务始终在背后支撑这种灵活性。对于 IT 管理员和 MDM 开发者来说，这意味着需要在隐私、用户自主权和行政控制之间找到更好的平衡点。

这场 session 是 Apple 设备管理领域的年度总览，覆盖了 iOS 15、iPadOS 15 和 macOS Monterey 的 MDM 新能力。从设置界面的重新设计，到 Apple silicon Mac 的远程锁定和密码恢复，再到抹掉所有内容并设置的一键恢复功能，每一个改动都指向同一个目标：让大规模设备管理更简单、更安全。

详细内容

iOS/iPadOS 15：设置界面改版与 Required App

iOS 15 将”VPN”和”设备管理”合并为一个统一的”VPN & 设备管理”入口（02:38）。用户可以在这个页面全面了解设备的管理状态，包括已安装的配置文件、管理账户和 VPN 配置。

对于非受监督设备，应用安装需要用户确认——用户可能拒绝。iOS 15 引入了 Required App 机制（03:25），允许在 MDM 注册时指定一个必须在非受监督设备上安装的应用：

// Required App 配置
1. 在 MDM profile 中添加 iTunes Store ID
2. 确保应用有设备或用户许可证
3. 发送 InstallApplication 命令
4. 添加 managed app 属性防止用户卸载

用户在 MDM 注册时已同意安装该应用，因此无需额外确认。这解决了企业关键应用（如 MDM agent）在非受监督设备上的部署难题。

Managed Pasteboard：控制剪贴板数据流动

Managed Open-In 控制数据是否能在托管应用和非托管应用之间流动。iOS 15 新增了 requireManagedPasteboard 限制（04:26），将这一控制扩展到剪贴板：

  • 系统应用（Calendar、Notes、Mail、Files）自动遵守该限制
  • 第三方应用无需额外改动即可适配
  • 粘贴被阻止时，用户会看到”Paste Not Allowed”提示
  • 提示中的组织名称可通过 OrganizationInfo Settings 命令自定义

Shared iPad 的 Temporary Session

Shared iPad 传统上需要 Managed Apple ID。iOS 14.5 引入的 Temporary Session 让任何人都能使用共享 iPad（05:28），注销时所有数据（Safari 历史、修改的设置、新增文件）都会被删除。

SharedDeviceConfiguration Settings 命令新增三个配置（05:52）：

Key作用
TemporarySessionOnly限制只能使用临时会话登录
TemporarySessionTimeout临时会话自动注销的超时时间
UserSessionTimeout用户会话自动注销的超时时间

按电源键或 Home 键会重置计时器，避免在活跃使用时意外注销。

macOS Monterey：System Extensions 管理改进

macOS 11.3 起，安装 System Extension payload 会自动激活待批准的系统扩展；移除 payload 则会停用该扩展（08:19）。macOS Monterey 新增 RemovableSystemExtension，允许应用自行停用其系统扩展——这在没有管理员用户的部署场景中特别有用（08:37）。

对于 Kernel Extensions，macOS Big Sur 要求重启以修改 kext。Monterey 在 RestartDevice 命令中增加了两个选项（09:03）：

  • KextPaths：指定操作系统尚未发现的内核扩展路径，允许 MDM 安装应用并加载 kext，无需用户先启动应用
  • NotifyUser：向用户显示重启通知，点击后执行优雅重启

AllowNonAdminUserApprovals key 允许标准用户完成内核扩展的安装（09:43）。

Apple silicon Mac 的远程管理增强

Apple silicon Mac 的 DeviceLock 命令现在支持发送六位 PIN、消息和电话号码（11:08），设备会重启并显示这些信息，与所有 Mac 型号实现功能对等。

更关键的是 SetRecoveryLock 和 VerifyRecoveryLock 命令（11:43）：

  • 设置恢复密码，阻止未授权进入恢复模式
  • 密码只能由 MDM 设置和移除
  • 用户从 MDM 注销时，恢复密码自动移除
  • MDM 设置新密码时需要知道现有密码
  • 设备抹掉时，DeviceLock PIN 和 Recovery Password 都会被清除

建议将 Recovery Lock 与 Activation Lock 配合使用，为设备 fleet 提供最佳安全保护。

抹掉所有内容和设置（Return to Service）

macOS Monterey 为 Mac 引入了 iOS 风格的”抹掉所有内容和设置”（12:32）。通过 MDM 发送 EraseDevice 命令即可一键恢复出厂状态：

  • 支持 Apple silicon Mac 和 T2 安全芯片的 Mac
  • 多分区设备会在当前系统卷重启到设置助理，其他卷被抹掉
  • Apple silicon 设备还会重置恢复模式中修改的安全设置
  • 可通过 allowEraseContentAndSettings 限制阻止用户自行执行此操作
// EraseDevice 命令行为
发送 EraseDevice → 抹掉所有用户数据 → 重启到设置助理 → 准备分配给下一个用户

Apple TV 的 TV Remote payload 更新

tvOS 15 出于安全考虑不再通过 Bonjour 广播 MAC 地址（06:32）。TV Remote payload 新增 TVDeviceName key，与 TVDeviceID 配合使用，通过设备名称过滤 Remote widget 中的 Apple TV，防止非预期的配对尝试。

核心启发

  1. 利用 Return to Service 简化设备流转：对 Apple silicon 和 T2 Mac 配置 EraseDevice 命令，设备回收时一键恢复出厂状态，无需手动重装系统。

  2. 为 Apple silicon Mac 配置 Recovery Lock：结合 SetRecoveryLock 和 Activation Lock，防止设备丢失后被进入恢复模式修改安全设置。

  3. 在非受监督设备上使用 Required App：对于 BYOD 场景，在注册 profile 中指定 MDM agent 为 Required App，确保关键应用始终可用。

  4. 启用 Managed Pasteboard 保护企业数据：对涉及敏感数据的企业应用，设置 requireManagedPasteboard 限制，防止通过剪贴板泄露到个人应用。

  5. 关注 Declarative Device Management：这场 session 提到的多个改进（如软件更新管理）都在向声明式管理演进，建议评估现有 MDM 工作流向 DDM 迁移的可行性。

关联 Session

评论

GitHub Issues · utterances