WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
What's new in device management

What's new in device management

WWDC 2024
观看原视频

Highlight

Apple Vision Pro 正式支持 Automated Device Enrollment 零接触部署，Apple Business Manager 新增远程关闭 Activation Lock 能力，软件更新管理推出统一的配置声明替代分散的 MDM 命令。

核心内容

Apple 的设备管理生态在今年迎来了一系列重要更新，核心围绕两个痛点展开：一是让新设备更容易部署，二是让被锁设备更容易回收。

第一个痛点来自 Apple Vision Pro 的企业部署。企业采购头显设备后，管理员仍然需要手动开机、完成 Setup Assistant、手动注册 MDM，这个过程与 iPhone/Mac 的零接触部署体验脱节。visionOS 2.0 解决了这个问题——Automated Device Enrollment 现已支持 Vision Pro，设备开箱即可在 Setup Assistant 中自动完成 MDM 注册，无需物理触碰设备。

第二个痛点是 Activation Lock 带来的设备回收难题。设备被擦除或锁定后，Activation Lock 能防止未授权使用，但有时锁会被无意保留，导致设备无法重新配置。之前 IT 团队只能联系 Apple Support 或让用户手动解锁。Apple Business Manager 现在支持远程关闭 Activation Lock，无论锁是由组织设置的还是用户个人设置的（包括用户在 MDM 注册前用个人 Apple Account 开启的锁）都可以一键关闭。

身份管理方面，Managed Apple Account 的域名捕获流程被简化。组织现在无需连接 Identity Provider 就能捕获使用自己域名的 Apple Account，用户可以选择将现有账号直接转换为 Managed Apple Account，而不再被迫改名。

平台管理方面，软件更新管理迎来了统一的配置声明（declaration），替代了之前分散的多个 legacy MDM 命令和 profile。新声明支持管理 Beta 更新、通知行为控制等功能，并提供了更强的可见性。Safari 扩展现在也可以通过 MDM 统一管理，允许 IT 定义哪些扩展可用、是否默认开启、以及可访问的域名。

详细内容

Apple Vision Pro 设备管理

visionOS 2.0 将 Apple Vision Pro 纳入了 Automated Device Enrollment 生态（01:47）。组织采购 Vision Pro 并关联 Apple Customer Number 后，设备会出现在 Apple Business Manager 中。Device Assignment API 现已包含 Vision Pro 的值类型。

visionOS 管理模型与 iPhone/iPad 高度一致，支持三种注册方式：

  • Device Enrollment：用户使用 Managed Apple Account 在 Settings > VPN & Device Management 手动注册
  • User Enrollment：同样使用 Managed Apple Account，但适用于用户自带设备场景
  • Automated Device Enrollment（visionOS 2.0 新增）：零接触部署，在 Setup Assistant 中自动完成注册，同时启用监督模式

visionOS 2.0 大幅扩展了管理能力，现在支持大部分 MDM payload 和配置，包括：

  • Passcode policy、Domains、Web Content Filter 等 payload
  • DeviceConfigured、DeviceLock、Settings 子命令等 MDM 命令
  • Managed Open-In 限制、账号修改限制、allowCamera 限制等

由于 Vision Pro 是相机中心设备，allowCamera 限制做了重新设计——用户截图时只捕获活动窗口，背景会被移除（15:04）。

Activation Lock 远程管理

Apple Business Manager 和 Apple School Manager 现在支持远程关闭 Activation Lock（03:58）：

  • 支持设备：iPhone、iPad、Mac、Apple Watch 和 Vision Pro
  • 前提条件：设备必须属于组织
  • 支持场景：组织设置的锁和用户个人设置的锁均可关闭

对于 Mac 设备，这意味着即使用户在 MDM 注册前用个人 Apple Account 开启了 Activation Lock，组织也能远程关闭（04:25）。

软件更新管理统一声明

iOS/iPadOS 18 和 macOS 15 引入了新的 Software Update Settings 配置声明（07:28），替代了所有 legacy MDM 软件更新管理命令、profile 和限制。新声明支持：

  • 更改通知行为，仅在强制时间前一小时显示通知
  • 管理 Beta 更新，支持 Public Beta 和 AppleSeed for IT

Beta 更新管理流程如下（08:49）：

  1. Apple Business Manager 或 Apple School Manager 的管理员在 beta.apple.com/it 注册 AppleSeed for IT
  2. 系统为组织和种子期生成唯一 token
  3. MDM 通过 OS beta enrollment tokens endpoint 端点发现可用程序（需 OAuth 认证）
  4. MDM 获取 program tokens 并用于设备注册

Beta 更新配置示例（09:37）：

{
  "BetaUpdates": {
    "betaPrograms": ["public-seed", "it-seed"],
    "publicBeta": "enabled",
    "notificationTime": "3600"
  }
}

关键点说明：

  • betaPrograms 数组指定可用的 Beta 程序类型
  • publicBeta 控制是否启用公开 Beta
  • notificationTime 以秒为单位设置强制执行前的通知时间

Automated Device Enrollment 期间，MDM 可以返回 HTTP 403 响应强制特定 Beta 版本，响应体包含 RequireBetaProgram 字典（10:05）。

Safari 扩展管理

Safari 扩展现在可以通过 MDM 在 iOS、iPadOS 和 macOS 上统一管理（11:07）。新配置支持：

  • 定义允许的扩展列表，用户可开关
  • 控制扩展是否始终开启或始终关闭
  • 按域名和子域名配置扩展网站访问权限
  • 所有功能适用于 Safari 私密浏览

Mac 管理增强

服务配置文件安装现在支持可执行文件（15:40），管理员可以将 IT 管理工具和脚本安装在防篡改位置，仍使用 zip archive 格式交付。Launchd 配置文件也可以通过 background task services 配置安装。

外部存储管理引入了新的磁盘管理配置（16:19），IT 管理员可以：

  • 允许或禁止外部/网络存储
  • 限制挂载为只读卷

该配置替代了之前废弃的 media management payload，后者将在未来版本中移除。

Platform SSO 扩展了身份提供商认证的应用范围（16:48）：

  • IdP 认证现在可以解锁 FileVault
  • 登录策略可以要求跨 FileVault、登录窗口和锁屏进行 IdP 认证
  • 添加了 HPKE 等更强安全选项

Platform SSO 配置示例（17:27）：

{
  "PlatformSSO": {
    "Extension": {
      "BundleIdentifier": "com.example.sso_extension",
      "TeamIdentifier": "EXAMPLE123"
    },
    "ExtensionType": "loginwindow-sso",
    "LoginWindow": {
      "Enable": true,
      "Mode": "allow"
    },
    "FileVault": {
      "Enable": true,
      "Policy": "attempt-authentication"
    },
    "UnlockPolicy": "require-authentication",
    "AllowOfflineGracePeriod": true,
    "OfflineGracePeriod": 72,
    "AllowTouchIDOrWatchForUnlock": true
  }
}

关键点说明：

  • FileVault.Policy 设置为 “attempt-authentication” 时优先尝试 IdP 认证，服务器不可用时回退到本地凭据
  • UnlockPolicy 设置为 “require-authentication” 使锁屏解锁更严格
  • AllowOfflineGracePeriod 和 OfflineGracePeriod 控制离线宽限期时长
  • AllowTouchIDOrWatchForUnlock 允许生物识别和 Watch 代替 IdP 认证

iPhone 和 iPad 管理增强

蜂窝网络相关新增两个限制（18:42）：

  • forcePreserveESIMOnErase：防止擦除设备时移除 eSIM
  • allowESIMOutgoingTransfers：控制 eSIM 是否可转移到新设备

用户可以通过长按二维码或点击链接自行配置 eSIM（19:04）。

iOS/iPadOS 18 支持最多 5 个 Private Cellular Network payload，可配置多达 5 个私有 5G 或 LTE 网络（19:29）。如果 network slicing 和 per-app VPN 同时配置，托管应用流量会路由到指定的 5G 网络切片，同时保留 VPN 好处。

应用锁定和隐藏功能可被组织管理（20:05）：

  • 在监督设备上限制所有应用的锁定和隐藏
  • 对托管应用进行按应用控制
  • 隐藏应用时也会锁定它，因此限制锁定也会限制隐藏

教育工具增强

Easy Student Sign-In 和 Classroom 的 Unmanaged Nearby Classes 功能现在可在 Apple School Manager 的 Access Management 中配置（22:18）。

Schoolwork 3.0 引入了新的评估和评分工作流（22:42）：

  • 教师可以通过扫描或导入文档发送评估，支持 Pages、Numbers、Keynote、Google Suite 文档和 PDF
  • 教师可以为文档评分，按问题分析学生表现

Assessment Mode 新增多应用模式支持（23:20），包括备忘录、电子表格、辅助应用、编码应用，以及 iPad 新的计算器应用。计算器应用支持 Assessment Mode 和 MDM 配置，可以关闭科学计算器模式或 Math Notes（23:53）。

核心启发

  • 将 Apple Vision Pro 纳入零接触部署流程：为什么值得做——Vision Pro 设备单价高，手动部署效率低且易出错。怎么开始——在 Apple Business Manager 中将 Vision Pro 与组织关联，使用 visionOS 2.0 的 Automated Device Enrollment 配置，在 Setup Assistant 中启用 Remote Management。

  • 清理闲置的 Activation Lock 设备：为什么值得做——被锁设备无法重新配置，占用企业资产。怎么开始——登录 Apple Business Manager，在设备列表中选择被锁设备，使用”Turn Off Activation Lock”菜单远程关闭锁定，无需联系 Apple Support 或用户操作。

  • 使用统一软件更新声明管理 Beta 测试：为什么值得做——新声明支持从第一个 Beta 版本开始实施分阶段测试和推出。怎么开始——在 AppleSeed for IT 注册组织，获取 token，在新的 Software Update Settings 声明中配置 Beta 字典，结合延期选项实现分阶段部署。

关联 Session

评论

GitHub Issues · utterances