WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
What's new in managing Apple devices

What's new in managing Apple devices

Device ManagementmacOSiOSBusiness
观看原视频

Highlight

macOS 14、iOS 17 和 iPadOS 17 在设备管理方面带来多项增强：自动化设备注册（ADE）可在 Setup Assistant 阶段强制启用 FileVault 和最低系统版本要求；Platform SSO 扩展支持登录窗口创建本地账户、SmartCard 认证和组权限映射；iOS/iPadOS 新增 Return to Service 流程让被抹掉的设备自动重新注册。

核心内容

企业 IT 管理员面临一个持续难题：如何在设备到达用户手中之前就确保安全和合规配置到位。以前 Mac 的自动化设备注册（ADE）虽然能简化初始化流程，但 FileVault 加密、系统版本检查等关键安全步骤只能在注册完成后进行，留下一个”安全窗口期”。

macOS 14 改变了这个局面。MDM 现在可以在 Setup Assistant 阶段就要求启用 FileVault，IT 管理员可以选择展示恢复密钥给用户，或将其托管到 MDM 服务器。同时，MDM 可以设置最低操作系统版本——版本不够的设备会自动引导用户完成系统更新，然后再继续注册流程。

另一个长期痛点是网络问题。以前 Mac 在初始设置时如果没有联网，ADE 注册会被跳过，之后只显示一个通知提醒用户注册。很多用户忽略这个通知，导致设备长期处于未管理状态。macOS 14 改为全屏 Setup Assistant，给用户两个选择：立即继续注册，或延迟最多 8 小时。

身份认证方面，macOS Ventura 引入的 Platform SSO 让企业用户通过一次身份提供商（IdP）认证即可访问所有企业服务。今年这个能力进一步扩展：登录窗口可以直接用企业凭证创建本地账户；SmartCard 可用于登录和解锁屏幕保护程序；IdP 中的用户组可以直接映射到本地权限（标准用户、管理员或自定义组）。

iOS 和 iPadOS 也有重要更新。Return to Service 功能让被抹掉的设备在重新激活时自动重新注册到 MDM，无需人工干预。这对设备回收、转售或丢失后找回的场景非常有价值。

详细内容

macOS ADE 增强

（03:22）macOS 14 允许 MDM 在 Setup Assistant 阶段要求启用 FileVault：

  • IT 管理员可以配置是否在 Setup Assistant 中展示 FileVault 恢复密钥
  • 也可以选择将恢复密钥托管到 MDM 服务器，不展示给用户
  • 这是在用户首次登录之前就完成的，消除了安全窗口期

（04:13）最低操作系统版本要求：

  • MDM 在发送注册配置文件时可以指定最低 OS 版本
  • 设备请求注册配置文件时，如果版本不够，MDM 返回 JSON 403 响应
  • 系统自动引导用户完成系统更新，重启后继续 Setup Assistant
  • 整个过程自动化，不需要 IT 管理员手动介入

（04:45）未联网场景的处理改进：

  • 以前：未联网时跳过 ADE，之后只显示通知提醒
  • 现在：联网后启动全屏 Setup Assistant
  • 用户选择”继续”立即完成注册，或选择”稍后”延迟最多 8 小时
  • 用户随时可以手动进入系统设置完成注册

Platform SSO 扩展

（06:40）Platform SSO 在 macOS 14 中新增多项能力：

登录窗口创建本地账户：

  • 用户首次开机时，在登录窗口直接用企业凭证（如 Azure AD、Okta）认证
  • 系统自动创建对应的本地账户
  • 需要配置共享设备密钥（Shared Device Key）和 Bootstrap Token 支持

SmartCard 认证：

  • SmartCard 可用于登录窗口认证
  • 也可用于屏幕保护程序解锁
  • 适合有高安全要求的企业环境

组权限映射：

  • 身份提供商中的用户组可以直接映射到本地 macOS 权限
  • 支持映射到标准用户、管理员或自定义本地组
  • 权限变更在 IdP 端修改后自动同步到 Mac

网络授权：

  • 非本地用户（如通过 Platform SSO 登录的用户）可以在权限提示中使用
  • 适合临时访客或共享设备场景
  • 注意：涉及 SecureToken 的操作仍需要本地用户

iOS/iPadOS Return to Service

（14:30）Return to Service 解决设备被抹掉后的重新注册问题：

  • 设备被抹掉后，在激活流程中自动重新注册到原来的 MDM
  • 不需要人工干预，不需要重新扫描配置二维码
  • 适用于设备回收、转售前重置、丢失后找回等场景
  • 需要在 ADE 配置中启用此选项

Apple Configurator 自动化

（18:00）Apple Configurator 新增自动化能力：

  • 支持通过 Shortcuts App 创建自动化流程
  • 可以批量执行设备配置、应用安装、监督状态设置等操作
  • 减少手动操作步骤，提高大规模部署效率

核心启发

  1. 构建企业设备自助注册门户

    • 利用 ADE 增强和 Platform SSO，做一个 Web 门户让员工自助完成设备初始化
    • 为什么值得做：减少 IT 工单量，员工拿到新设备后无需联系 IT 即可自动完成配置
    • 怎么开始：在 MDM 中配置 ADE 和 Platform SSO，制作内部文档指导员工开机流程

  2. 做一个 MDM 合规状态仪表盘

    • 利用声明式设备管理（Declarative Device Management）的实时状态报告，构建可视化仪表盘
    • 为什么值得做：IT 管理员可以实时看到哪些设备 FileVault 未启用、系统版本过旧、未注册等
    • 怎么开始：接入 MDM 的 DDM 状态端点，用 SwiftUI 或 Web 技术构建仪表盘界面

  3. 开发设备回收自动化工具

    • 利用 Return to Service 和 Apple Configurator Shortcuts 自动化，构建设备回收流水线
    • 为什么值得做：企业每年有大量设备退役和回收，手动处理效率低且容易出错
    • 怎么开始：用 Apple Configurator 的 Shortcuts 集成批量抹掉设备，确保 Return to Service 配置正确

关联 Session

评论

GitHub Issues · utterances