WWDC Quick Look 💓 By SwiftGGTeam
中文 EN 日本語
What’s new in Apple device management and identity

What’s new in Apple device management and identity

商业与教育
观看原视频

Highlight

Apple Business Manager 与 Apple School Manager 首次开放 API，并新增设备管理迁移、Vision Pro Return to Service、Platform SSO 进入 Setup Assistant、用 iPhone 或 Apple Watch 一碰登录 Mac 的 Tap to Login。

核心内容

过去十年，IT 管理员要把一批 Apple 设备从一个 MDM 服务器搬到另一个 MDM 服务器，几乎只有两条路：要么全员手动迁移，要么把设备整个抹掉重装。学校并购、从本地 MDM 切换到云端、更换厂商，都要赌一次大规模停机。Apple Business Manager 和 Apple School Manager 的设备清单也只能通过浏览器查看，IT 团队想做自动化盘点，只能爬网页。这种状态显然撑不住越来越大的舰队。

WWDC25 的这场 Session 把这两个痛点一次解决。新功能 device management migration 允许 IT 在 ABM/ASM 中直接把 iPhone、iPad、Mac 重新分配到新的 MDM 服务器，并设置截止日期；到期前用户会收到通知，到期后系统自动启动迁移流程，新 MDM 自动接管 Activation Lock 并通过 bootstrap token 轮转 FileVault 密钥。同时 Apple 第一次为 ABM/ASM 提供 REST API，覆盖设备清单查询、MDM 服务分配、批量活动状态等端点。再叠加 Vision Pro 的 Return to Service、Platform SSO 进入 Setup Assistant、以及让医生护士用员工卡碰一下就能登录 Mac 的 Tap to Login，整套方案都在围绕一个目标——把”分钟级人工操作”压成”秒级自动化”。

详细内容

Session 围绕四个板块展开：Apple 服务、设备管理、应用管理、身份集成（01:00）。

Apple 服务：Managed Apple Account 与 ABM/ASM API

01:30 起讲 Managed Apple Account。今年管理员可以下载域名下所有个人 Apple Account 的列表，去通知用户更新账号；账号更新后将获得新的 app notarization 服务。Access Management 进一步扩展，允许阻止个人 Apple Account 登录组织拥有的设备，覆盖 Setup Assistant 与系统设置，且不依赖 MDM（02:23）。

设备清单新增 Activation Lock 状态、设备存储、IMEI/EID、release 设备的释放人和时间，并将在年内加入 iPhone/iPad 的 Bluetooth/Wi-Fi MAC 地址、AppleCare 覆盖信息（03:13）。最重要的是 03:48 宣布的 ABM/ASM API：管理员或 Site Manager 创建 API 账户、生成并下载 Private API Key，即可调用一组初始端点查询设备、分配 MDM 服务、获取批量活动状态。调用形态如下：

GET /v1/orgDevices?filter[serialNumber]=F2LXXXXXXXXX HTTP/1.1
Host: api-business.apple.com
Authorization: Bearer <signed-jwt-from-private-api-key>
Accept: application/json

关键点：

  • GET /v1/orgDevices 是 ABM/ASM Services API 的设备清单端点，可按序列号、型号、活动状态过滤，替代过去只能在网页上查看的设备列表。
  • Host: api-business.apple.com 对应 Apple Business Manager；Apple School Manager 使用对应的 api-school.apple.com 域名。
  • Authorization 头携带由 Private API Key 签名的短期 JWT；Private API Key 必须由 Administrator 或 Site Manager 在 ABM/ASM 网页里生成并下载，不会再次显示。
  • 配套的 POST /v1/mdmServerTokens、POST /v1/orgDevices/assign 等端点用于把设备批量分配到指定的 MDM 服务器，并用 GET /v1/orgDeviceActivities/{id} 跟踪批量活动状态。

Vision Pro 也接入 Apple Configurator for iPhone：在 Vision Pro 处于 Setup Assistant 时把 iPhone 靠近，配对码出现并输入即可加进组织（05:00）；同时 visionOS 开始支持跳过 Setup Assistant 面板。账户驱动注册新增了 service discovery URL 的兜底方案——如果设备在域名上找不到 well-known endpoint，会自动去 ABM/ASM 询问，由 MDM 服务器配置默认分配（05:55）。

06:38 介绍 device management migration：在 ABM/ASM 里把设备重新分配到新 MDM，可设迁移截止时间；到期未操作则系统自动迁移并由新 MDM 接管 Activation Lock、通过 bootstrap token 轮转 FileVault 密钥。Apple 强调要把新旧配置尽量对齐，并使用 await device configured 在退出注册流程之前完成所有应用的重装。

设备管理：声明式扩展、Safari、Apple Intelligence、Return to Service

08:17 起讨论软件更新。声明式设备管理的软件更新今年扩展到 visionOS 和 tvOS，同时旧的基于 MDM 的软件更新管理被宣布弃用，未来会移除。

Safari 管理迎来新声明：可声明书签、设置默认主页，并把原本散落在 restrictions payload 里的 Safari 设置统一迁移到声明式设备管理（08:59）。Apple Intelligence 的 writing tools、notification summaries、image playground 等限制项也都同步到 visionOS（09:25）。

Return to Service 是这一段的重头戏（09:47）。iPhone 与 iPad 现在能在 reset 时保留托管应用：用户数据照常擦除，应用本身留下来，下次开机不必重新下载。启用方式是在 cloud configuration 中设置一个新 key，并配合 await device configured，进入 awaiting configuration 状态时安装需要保留的应用，释放设备时系统会拍快照；下次重置后通过 InstallApplication 命令或 ManagedApp declaration 接管这些应用。

iPhone/iPad 的 Return to Service cloud configuration 大致结构如下：

{
  "ReturnToService": {
    "Enabled": true,
    "MDMServerURL": "https://mdm.example.com/checkin",
    "WiFiProfileData": "<base64-encoded-mobileconfig>",
    "PreserveApps": true,
    "AwaitDeviceConfigured": true
  }
}

关键点：

  • ReturnToService.Enabled 打开重置后自动重新注册到原 MDM 的流程，不再需要管理员人工接管。
  • MDMServerURL 与 WiFiProfileData 让设备一开机就能联网回到目标 MDM 服务器。
  • PreserveApps: true 就是这次新增的”app preservation”开关；用户数据照常擦除，但已安装的托管 app 保留在设备上。
  • AwaitDeviceConfigured: true 把设备卡在 awaiting configuration 状态，等 MDM 通过 InstallApplication 或 ManagedApp declaration 接管需要保留的 app，再 DeviceConfigured 释放设备；释放瞬间系统对当前已安装应用拍快照，作为下一轮重置后的恢复目标。

Vision Pro 也正式获得 Return to Service（10:51）：控制中心新增 “Reset for Next User” 选项，按下后有 10 秒缓冲让用户摘下设备；锁屏状态下按一下 Digital Crown 也能触发重置。

杂项更新还包括 iPad 的电池健康信息、设置默认信息与电话应用、按 SIM 限制 Messaging 与 FaceTime、临时允许 AirPods 和 Beats、网络中继 profile 支持 FQDN、新的 Network Extension URL Filtering API（11:42）。

应用管理：按 app 控制更新、macOS 接入声明式分发

12:18 进入应用管理。iOS 与 iPadOS 的 managed app configuration 现在可以按 app 设定更新行为——强制或禁用自动更新、把 app 锁定在指定版本、限制蜂窝下载，并通过 status channel 实时回传安装进度与版本信息。iOS 18.4、iPadOS 18.4 已正式把 managed apps 移出 beta，visionOS 2.4 加入 required apps 支持。

macOS Tahoe 起，App Store 应用、自定义应用与 package 都可通过声明式设备管理部署（13:28），可标记为 required 或 optional，状态通过 status channel 回传；ManagedAppDistribution framework 今年晚些时候将在 Mac 上支持，让 MDM 厂商构建自服务应用商店。

一个最小化的 com.apple.configuration.managed-app declaration 示例：

{
  "Type": "com.apple.configuration.managed-app",
  "Identifier": "com.example.config.workapp",
  "Payload": {
    "AppStoreID": "1234567890",
    "Assignment": { "Type": "Required" },
    "UpdateBehavior": "EnforceAutomatic",
    "VersionPin": "5.2.0",
    "CellularDownloadsAllowed": false,
    "Configuration": {
      "apiBaseURL": "https://api.example.com",
      "tenantID": "acme-prod"
    }
  }
}

关键点：

  • Type: com.apple.configuration.managed-app 表示这是声明式设备管理中的”托管应用”声明；macOS Tahoe 起 Mac 也支持这一族 declaration，覆盖 App Store app、custom app、package。
  • Assignment.Type: Required 让设备进入注册后自动安装；改成 Optional 则进入 MDM 自服务应用商店、由用户主动选择。
  • UpdateBehavior + VersionPin 对应”按 app 控制更新”的能力：可以强制自动更新，也可以把应用钉死在某个版本上，便于先在小范围验证再放量。
  • CellularDownloadsAllowed: false 限制蜂窝下载，避免大体积更新跑满员工流量；安装进度与最终版本通过声明式的 status channel 回传给 MDM 服务器。
  • Configuration 字典就是历来的 managed app configuration，会被 app 通过 UserDefaults 或新的 ManagedApp framework 读取。

iOS 18.4、iPadOS 18.4、visionOS 2.4 引入新的 ManagedApp framework（13:52）。它让组织安全地向 app 推送配置——设置、密码、证书、身份；演讲列出的典型用例包括定制 app 体验、安全获取 API access token、添加自定义信任证书，以及访问硬件绑定密钥获得设备状态的强证明。详细内容参见 Session 203。

身份集成：Platform SSO 进 Setup Assistant、Authenticated Guest Mode、Tap to Login

14:50 转到身份。今天的 Platform SSO 注册必须在 Mac 完成本地账号设置之后才进行；今年 Platform SSO 直接进入 Setup Assistant，在 Automated Device Enrollment 时弹出 Platform SSO pane，必须用 IdP 完成认证才能继续——成功登录后 SSO 进行已认证的 MDM 注册，如果 IdP 与 Managed Apple Account 联邦化，还会同时登入 Managed Apple Account；本地账号被创建，密码与 IdP 同步或使用 Secure Enclave-backed key，账号头像也可从 IdP 同步。

16:08 推出 Authenticated Guest Mode，专为共享设备设计：用户在 Mac 登录窗口直接用云身份（密码或 SmartCard）登录，需要联网；登录后可以使用 SSO 直通各 app 和站点；登出时会话内全部用户数据被擦除。配合 Platform SSO 与 Auto Advance，新设备开机后可以静默完成 Platform SSO 注册和 MDM 注册，直接停在登录窗口。

17:15 是这场最亮眼的功能 Tap to Login。已经把企业卡、校园卡放进 Apple Wallet 的组织，可以让用户用 iPhone 或 Apple Watch 在外接 NFC 读卡器上一碰即登录配置了 Authenticated Guest Mode 的 Mac。凭据以 Access Key 形式由一个 iPhone app 写入 Wallet pass，存放于 Secure Enclave，硬件加密、防提取防篡改；Express Mode 让设备无需唤醒解锁。SwiftConnect 等已经在做员工/学生卡的开发者正在接入 Access Key 的下发。

核心启发

  • 做什么：在 ABM/ASM 中先锁定域，再分阶段做账号捕获与联邦认证。

    • 为什么值得做：阻止个人 Apple Account 登录公司设备，是 Managed Apple Account 价值落地的前置条件，否则后续 app notarization、Apple Intelligence 限制都难以全员覆盖。
    • 怎么开始：在 ABM/ASM 设置 Lock Domain，下载域内个人 Apple Account 列表通知整改；启用 Access Management 阻止个人 Apple Account 登入组织设备；最后接入 IdP 完成联邦化。

  • 做什么：用 device management migration 替代抹机式 MDM 切换。

    • 为什么值得做：Activation Lock 与 FileVault key 都能由新 MDM 通过 bootstrap token 自动接管，对终端用户几乎无感，是历来最干净的迁移路径。
    • 怎么开始：把新旧 MDM 的 declarative configuration 对齐到尽量一致；为迁移设置截止日期；在新 MDM 启用 await device configured，直到所有应用重装完成再退出注册流程。

  • 做什么：在零售、医院、学校的共享 iPhone/iPad/Vision Pro 上启用 Return to Service 并保留托管应用。

    • 为什么值得做：网络受限场景里，每次重置不再重新下载几个 GB 的工作 app，新用户的等待时间从分钟级压到秒级。
    • 怎么开始：cloud configuration 设新 key 并启用 await device configured；进入 awaiting configuration 时通过 InstallApplication 或 ManagedApp declaration 装好需要保留的 app，再释放设备让系统拍快照。

  • 做什么：把 Mac 部署改造成 Platform SSO + Auto Advance 自动化。

    • 为什么值得做：Setup Assistant 阶段就完成 Platform SSO 与 MDM 注册，新员工开机即可登录，IT 不必再走”先建本地账号再注册 SSO”的两段流程。
    • 怎么开始：在 MDM 中开启 Platform SSO 注册并配合 Auto Advance；联邦化 IdP 与 Managed Apple Account，让 SSO 同时把用户登入 Managed Apple Account；为共享设备配置 Authenticated Guest Mode。

  • 做什么：让 app 接入 ManagedApp framework，向 IT 暴露安全配置入口。

    • 为什么值得做：MDM 可以安全下发 API token、自定义信任证书、硬件绑定密钥，这是 managed app configuration 难以做到的，能直接换来企业客户。
    • 怎么开始：在 iOS 18.4 / iPadOS 18.4 / visionOS 2.4 SDK 接入 ManagedApp framework，定义需要由 IT 推送的设置、密码、证书、身份；阅读 Session 203 了解 API 形态。

关联 Session

评论

GitHub Issues · utterances