Aktuální informace o správě zařízení z konference WWDC 26

Síťové konfigurace

Nové síťové konfigurace dostupné v deklarativní správě zařízení umožňují aplikovat konzistentní síťové zásady na zařízeních ve všech hlavních platformách. Díky výhodám deklarativní správy zařízení mohou IT týmy zadávat přihlašovací údaje jako deklarativní položku pro účely ověřování totožnosti namísto jejich seskupení v témže profilu. To IT týmům a uživatelům umožňuje provádět automatickou a plynulou obnovu těchto přihlašovacích údajů a také použití stejných přihlašovacích údajů v různých síťových konfiguracích.

Konfigurační profily jako deklarativní prostředky

Pokud je v současné době uveden starší profil, musí URL odkazovat na službu správy zařízení a totožnost při přístupu se ověřuje pomocí certifikátu identity zařízení.

Aby byl přechod plynulý, deklarativní správa zařízení podporuje nasazování starších profilů jako konfigurací.

Na zařízeních se systémem iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 a watchOS 27 lze starší profily předávat jako deklarativní prostředky. To umožňuje větší flexibilitu ohledně toho, kde jsou tyto profily umístěné a jak se ověřuje totožnost zařízení, než je mohou načíst. Deklarativní správa zařízení má navíc vestavěnou funkci ověřování integrity, která pomáhá zajistit, že nedojde k úpravám stažených prostředků.

Po použití dané konfigurace zařízení stáhne profil ze zadané adresy URL. IT týmy můžou tento krok nakonfigurovat pomocí nového klíče ProfileAssetReference, který je k dispozici v následujících konfiguracích:

Zvýšené požadavky na zabezpečení sítě

Na zařízeních se systémem iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 a watchOS 27 si vybrané systémové procesy vynutí přísnější požadavky na zabezpečení sítě (TLS). Tyto nové požadavky mohou způsobit, že pokud je služba správy zařízení nedokáže splnit, připojení se nezdaří. Dotčené procesy souvisejí s činnostmi z oblasti správy zařízení, automatické registrace zařízení, instalace konfiguračních profilů, instalace aplikací a softwarových aktualizací. Služby pro správu zařízení musejí podporovat minimálně zabezpečení TLS 1.2 s použitím šifrovacích sad a certifikátů, které splňují nové požadavky na zabezpečení přenosu aplikací (ATS).

Další podrobnosti o dotčených procesech, požadavcích a o tom, jak auditovat a diagnostikovat neúspěšné operace ve spravovaných prostředích, najdete v článku podpory Apple Připravte vaše síťové prostředí na přísnější požadavky na zabezpečení.

Další podrobnosti o ATS a nových požadavcích najdete v dokumentaci pro vývojáře Apple v části Preventing Insecure Network Connections (Blokování nezabezpečených síťových připojení).

Vylepšení přehledů informací o stavu

Registrace a stav zařízení

Klíčovou součástí správy zařízení je sledování stavu registrace zařízení. Služba správy zařízení musí v současné době využívat dotazy správy mobilních zařízení (MDM), které způsobují latenci a zatížení serveru, aniž by nabízely přesnost v reálném čase.

V systémech iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 a watchOS 27 jsou k dispozici nové položky týkající se stavu, které poskytují proaktivní informace o zařízení:

• mdm.enrollment-type: Tato položka udává typ registrace zařízení, který může být následující:

  • Pod dohledem: Pro registraci s dohledem

  • Zařízení: Pro registraci zařízení

  • Uživatel: Pro registraci uživatelů

• mdm.is-awaiting-configuration: Tato hodnota je vrácena, když zařízení čeká v Průvodci nastavením na službu správy zařízení.

• mdm.is-return-to-service: Tato položka udává, zda je zařízení nakonfigurované pro návrat do služby se zachováním aplikací.

• mdm.is-shared-ipad: Tato volba určuje, zda je iPad nakonfigurovaný jako sdílený iPad.

• mdm.push-magic a mdm.push-token: Obsahují podrobnosti o vlastnostech služby Apple Push Notification service (APNs) potřebných pro správu zařízení.

• device.system.health (pouze pro iPhone a iPad): Tato část poskytuje informace o stavu a pravosti hardwarových komponent, jako je základní pásmo, fotoaparát, Face ID, Touch ID, NFC a Ultra‑Wideband.

Režim blokování

Režim blokování je volitelná, extrémní ochrana, která je určená pro několik málo jedinců, kteří z důvodů svého postavení nebo aktivit můžou být cílem některých z nejsofistikovanějších digitálních útoků. Pokud jsou tito jednotlivci součástí organizace, IT tým může chtít zajistit, aby byl na jejich zařízeních zapnutý režim blokování, a sledovat jeho stav.

Na zařízeních pod dohledem, na nichž je nainstalovaný systém iOS 27, iPadOS 27, macOS 27 nebo watchOS 27, se služby správy zařízení můžou přihlásit k odběru nové stavové položky security.lockdown-mode, která proaktivně hlásí stav režimu blokování zařízení.

Konfigurace plug‑inu filtru webového obsahu

Filtrování obsahu je běžnou potřebou ve vzdělávacím a podnikovém prostředí. IT týmům umožňuje zajistit řízené procházení webu a blokovat nežádoucí webové stránky. Systémy iOS, iPadOS, macOS a visionOS nabízejí frameworky, které umožňují integrovat řešení pro filtrování webového obsahu s operačním systémem a filtrovat webový provoz.

Na zařízeních se systémy iOS 27, iPadOS 27, macOS 27 a visionOS 27 lze potřebná nastavení nasadit pomocí konfigurace com.apple.configuration.webcontent-filter.plugin, která organizacím umožňuje využívat deklarativní správu zařízení v této doméně správy.

Shromažďování protokolů AppleCare

Shromažďování informací z protokolů ze zařízení pro podporu případu AppleCare je běžným a důležitým krokem k diagnostice určitého chování. V současné době to obvykle vyžaduje fyzický přístup k zařízení a spolupráci uživatele a často jde o časově náročný a komplikovaný proces – zejména když uživatelé cestují nebo se nacházejí v jiné budově.

Na zařízeních s iOS 27, iPadOS 27, macOS 27 a tvOS 27 mohou IT týmy na zařízeních pod dohledem vzdáleně spouštět a rušit shromažďování protokolů pomocí dvou nových příkazů MDM:

• TriggerEnhancedLogCollection: Spustí se vzdálená relace shromažďování protokolů a bude nutné zadat token poskytnutý službou AppleCare. Po vytvoření jsou protokoly automaticky nahrány na servery společnosti Apple a připojeny k lístku AppleCare.

• CancelEnhancedLogCollection: Tím se aktivní relace ukončí.

V závislosti na zařízení a jeho stavu může IT tým v rámci lístku AppleCare požádat o interaktivní nebo neinteraktivní token k autorizaci relace pro shromažďování protokolů na zařízení. Další informace o relaci jsou následující:

• Interaktivní relace shromažďování protokolů vyzve uživatele k udělení souhlasu. Uživatel může okamžitě shromažďování a odesílání údajů odsouhlasit, zvolit si kontrolu informací před odesláním nebo naopak shromažďování protokolů zrušit.

• Když se používá neinteraktivní shromažďování protokolů, zařízení zobrazí oznámení a pak shromažďuje a odesílá údaje protokolů na pozadí.

• Počítače Mac vždy využívají interaktivní sběr protokolů. Zařízení iPhone a iPad vyžadují interaktivní shromažďování protokolů, pokud je nakonfigurovaný účet (například App Store, iCloud, Mail atd.) nebo je na zařízení nastaven kód. Apple TV a sdílený iPad vždy využívají neinteraktivní sběr protokolů.

Kromě toho jsou informace o shromažďování protokolů k dispozici v nových deklarativních stavových položkách:

• enhanced-logging.status: Zobrazuje, zda byl sběr protokolů zahájen, dokončen nebo zrušen, zda zařízení čeká na souhlas uživatele a zda probíhá nahrávání.

• enhanced-logging.timestamp: Hlásí časové razítko poslední změny stavu.

• enhanced-logging.applecare-token: Podává hlášení o zadaném tokenu AppleCare.

Obnovení zálohy

Na zařízeních se systémem iOS 27, iPadOS 27 nebo visionOS 27 se už údaje pro správu zařízení ze zálohy neobnovují. Tento oddíl zahrnuje profil registrace, konfiguraci správy a stav dohledu. Zařízení, která se zobrazují v Apple School Manageru nebo službě Apple Business, se po obnovení zařízení automaticky registrují pomocí funkce Automatická registrace zařízení, což zajišťuje, že namísto zastaralé konfigurace ze zálohy obdrží aktuální stav správy.

Pokud spravovaná aplikace není při zrušení registrace označena jako určená k odstranění, její data budou obnovena. Služby správy zařízení mohou převzít správu těchto dat tak, že se po obnovení nainstalují odpovídající spravované aplikace.

Vylepšení funkce Return to Service (návrat do služby)

Dále jsou uvedena vylepšení funkce Return to Service.

Automatické opakování registrace

Když v současné době zařízení obdrží příkaz Return to Service (návrat do služby), provede reset a pokusí se zaregistrovat do konkrétní služby správy zařízení. V některých případech, například při dočasných problémech se sítí nebo při chybách služby správy zařízení, může registrace selhat, takže zařízení zůstane vymazané, ale neregistrované.

Na iPhonech a iPadech se systémem iOS 27, resp. iPadOS 27 je pro snazší řešení těchto situací navržen nový klíč ShouldRetryEnrollment ve slovníku ReturnToService příkazu EraseDevice. Je‑li tento klíč nastaven na TRUE, zařízení automaticky opakuje registraci s prodlouženou časovou prodlevou (až pět minut), pokud se počáteční pokus nezdaří.

Nastavení jazyka a oblasti

Na iPhonech a iPadech se systémem iOS 27, resp. iPadOS 27 mají IT týmy možnost nastavit jazyk a oblast zařízení v profilu pro automatickou registraci zařízení. To během procesu návratu do služby poskytuje větší flexibilitu, protože IT týmy mohou během resetování nastavit na zařízení požadované místní nastavení. V opačném případě se použije dříve vybraná volba. Jazyk a oblast lze v profilu registrace ve službě správy zařízení nastavit pomocí dvou nových klíčů:

• language: Definuje požadovaný jazyk pomocí dvoupísmenného kódu ISO 639-1.

• region: Definuje požadovanou oblast pomocí dvoupísmenného kódu ISO 3166-1.

Spuštění funkce Návrat do služby

Na iPhonech a iPadech se systémem iOS 27, resp. iPadOS 27 nakonfigurovaných pro funkci Return to Service (návrat do služby) s ponecháním aplikací jsou k dispozici nové volby pro spuštění procesu Return to Service

Buď můžou uživatelé spustit Return to Service (návrat do služby) z Ovládacího centra, anebo můžou IT týmy pomocí klíče SharedDeviceConfiguration.TemporarySessionTimeout v příkazu Settings nastavit automatické spuštění funkce Return to Service po uplynutí určité doby nečinnosti (v sekundách).

Když je Návrat do služby zahájen z Ovládacího centra, zařízení provede přihlášení ReturnToService u služby správy zařízení za účelem získání potřebných informací o registraci. Údaj může také obsahovat nový klíč ShouldRetryEnrollment.

Vynucení softwarových aktualizací

Na zařízeních se systémem iOS 27, iPadOS 27 a visionOS 27 může IT tým na zařízeních pod dohledem vynutit aktualizaci softwaru, když zařízení obdrží příkaz erase pro Return to Service (návrat do služby). Služba správy zařízení musí během registrace vrátit odezvu 403, která obsahuje informace o požadované verzi operačního systému v zařízení. Zařízení pak automaticky provede aktualizaci softwaru a pokračuje v procesu Return to Service (návrat do služby).

Změna termínu Asistenta Wi‑Fi

Na zařízeních se systémem iOS 27 a iPadOS 27 se výraz „Asistent Wi-Fi“ změní na „Posílené připojení“. Klíč WiFiAssistPolicy ve službě správy zařízení v NetworkUsageRules.SIMRulesItem se NEMĚNÍ.

Konfigurace ukládání obsahu do mezipaměti

Služba ukládání obsahu do mezipaměti v systému macOS urychluje stahování softwaru distribuovaného společností Apple a dat, která si uživatelé ukládají na iCloudu. Funguje na principu uchovávání obsahu, který už byl do zařízení Apple stažen dříve. Uložený obsah se v Macu ukládá do mezipaměti obsahu, kde je k dispozici ke stažení dalšími zařízeními bez nutnosti znovu jej přenášet z internetu.

Na Macu pod dohledem s macOS 27 může IT tým nakonfigurovat ukládání obsahu do mezipaměti prostřednictvím deklarativní správy zařízení. Všechny klíče, které byly dříve dostupné ve starším profilu, obsahuje nová konfigurace com.apple.configuration.content-cache.settings.

Kromě toho jsou k dispozici nové deklarativní stavové položky, které se odesílají předplatitelské službě správy zařízení:

• content-cache.info: Obecné informace o mezipaměti obsahu, například o dostupném a využitém úložném prostoru, stavu a zatížení mezipaměti.

• content-cache.status: Podrobnější informace o stavu registrace, IP adresách, stavu hlášení a zjištěných chybách.

• content-cache.parents: Seznam a stav nadřazených mezipamětí obsahu.

• content-cache.peers: Seznam a stav partnerských mezipamětí obsahu.

Mac může také pravidelně odesílat informace do libovolného koncového bodu HTTPS určeného klíčem ManagementStatusTarget s použitím časového intervalu definovaného klíčem ManagementReportingInterval. To umožňuje vytvářet vlastní řešení pro sledování a řídicí panely, které poskytují podrobnější informace o tom, jak se služba ukládání obsahu do mezipaměti využívá.

Pro zabezpečení připojení k přijímajícímu koncovému bodu HTTP ManagementSecurityConfig nabízí tři možnosti:

• no-cert: Žádné ověřování certifikátu TLS serveru (to také umožňuje například pro účely testování odesílat běžné požadavky HTTP).

• signedByCACert: Certifikát serveru se ověřuje vůči certifikační autoritě (CA), které zařízení důvěřuje.

• specificServerCert: Certifikát služby musí odpovídat certifikátu serveru předanému v rámci prostředku ManagementStatusCertificateReference.

Mezipaměť obsahu odesílá aktuální stav mezipaměti jako text ve formátu JSON prostřednictvím požadavku HTTPS POST a obsahuje položku serverGUID, kterou lze použít k přiřazení více požadavků k témuž serveru.

Další informace o formátu najdete v části popisující deklaraci pro konfiguraci služby ukládání obsahu do mezipaměti v dokumentaci pro vývojáře Apple.

Nová omezení ve visionOS

Na zařízeních s visionOS 27 získávají IT týmy další možnosti pro ovládání zařízení Apple Vision Pro pod dohledem díky novým omezením:

• allowBluetoothModification: Brání uživateli ve změnách nastavení rozhraní Bluetooth.

• allowChat: Omezuje používání služby iMessage.

IT týmy mohou také používat položky allowListedAppBundleIDs a blockedAppBundleIDs, ale pro účely spouštění aplikací by měly začít přecházet na deklarativní správu. Obě omezení jsou v systému visionOS 27 zastaralá.

Inteligentní funkce, Siri a správa klávesnice

Apple modernizuje správu inteligentních systémů dostupných v zařízení přesunem funkcí ze starších datových částí omezení MDM do konfigurací deklarativní správy zařízení. Tento přenos dat nabízí přehlednější realizaci záměrů, větší flexibilitu při uplatňování konfigurací a přímočařejší cestu k vyhledání funkcí správy. Prostřednictvím moderní deklarativní konfigurace jsou k dispozici následující volby nastavení:

• Apple Intelligence

• Externí inteligence

• Siri

• Klávesnice

Volby nastavení Apple Intelligence

Na zařízeních pod dohledem se systémem iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 nebo novějším může IT tým prostřednictvím konfigurace com.apple.configuration.intelligence.settings povolit nebo zakázat funkce Apple Intelligence pro celé zařízení, například:

• AllowGenmoji: Genmoji

• AllowImagePlayground: Image Playground

• AllowWritingTools: Psací nástroje

• AllowImageWand: Obrázková hůlka (iOS, iPadOS, visionOS)

Kromě těchto nastavení pro všechna zařízení mohou IT týmy ovládat také:

• Inteligentní funkce v aplikacích Mail, Poznámky a Safari

• Zpráva o funkci Apple Intelligence

• Výsledky osobního rukopisu (pouze iOS, iPadOS)

• Souhrn inteligentních vizuálních funkcí (pouze iOS, iPadOS)

• Zpracování diktování a překladů pouze v zařízení (pouze iOS a iPadOS)

Na zařízeních pod dohledem se systémem iOS 27, iPadOS 27, macOS 27 nebo visionOS 27 lze pomocí nového klíče Apps.Calendar.AllowNaturalLanguageEditing v konfiguraci com.apple.configuration.intelligence.settings určit, zda může uživatel vytvářet události v kalendáři pomocí příkazů v přirozeném jazyce (když je klíč nastaven na hodnotu FALSE).

Volby nastavení externí inteligence

Na zařízeních pod dohledem se systémem iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 nebo novějším můžou organizace prostřednictvím konfigurace com.apple.configuration.external-intelligence.settings spravovat integrace externí inteligence. Umožňuje IT týmům povolit nebo omezit externí inteligenční služby a řídit přihlašovací přístup k těmto službám.

Omezení vynucování v počátečních betaverzích 27.0 operačního systému jsou zdokumentována v oddílu Známé problémy v příslušných poznámkách k betaverzím na AppleSeed pro IT.

Nastavení Siri

Na zařízeních pod dohledem se systémem iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4, watchOS 26.4 nebo novějším nebo se systémem tvOS 27 může IT tým prostřednictvím konfigurace com.apple.configuration.siri.settings spravovat následující:

• Globálně zapnout nebo vypnout Siri (iOS, iPadOS, macOS, tvOS, visionOS)

• Ovládání přístupu k Siri, když je zařízení zamknuté (iOS, iPadOS, watchOS)

• Povolení nebo omezení zpracování uživatelského obsahu Siri (iOS, iPadOS, watchOS)

• Vynucené filtrování vulgárních výrazů v odpovědích Siri (iOS, iPadOS, macOS)

Nastavení Klávesnice

Na zařízeních pod dohledem se systémem iOS 26.4, iPadOS 26.4, macOS 26.4 nebo novějším může IT tým prostřednictvím konfigurace com.apple.configuration.keyboard.settings spravovat následující:

• Diktování

• Vyhledávání definic

• Návrhy matematické klávesnice

• Prediktivní text (jen iOS a iPadOS)

• Psaní přejížděním (pouze iOS a iPadOS)

• Zkratky pro nahrazování textu (jen iOS a iPadOS)

• Oprava textu: automatická oprava, kontrola pravopisu (pouze iOS, iPadOS)

Správa poskytovatelů souborů

Na Macu se systémem macOS 26.4 nebo novějším získávají organizace další kontrolu nad rozšířeními poskytovatelů souborů. Mohou definovat, ke kterým svazkům mají rozšíření poskytovatelů souborů přístup a jak synchronizují data. To rozšiřuje stávající možnosti a umožňuje definovat, jak mohou rozšíření poskytovatele souborů synchronizovat data z uživatelových složek Plocha a Dokumenty.

Tyto funkce umožňují organizacím, které používají řešení pro správu podnikových souborů, podrobnější kontrolu při zachování bezpečnostních hranic kolem datových svazků.

Prostřednictvím datové části com.apple.fileproviderd mohou IT týmy:

• Povolit nebo zakázat synchronizaci dat obecně pro rozšíření poskytovatelů souborů.

  Poznámka: Vypnutím synchronizace se vypne také synchronizace dat ze složek Plocha a Dokumenty.

• Určit, zda můžou rozšíření poskytovatelů souborů synchronizovat data do umístění na šifrovaném externím úložišti formátovaném jako APFS.

• Individuálně omezit synchronizaci a externí synchronizaci do rozšíření poskytovatelů souborů pouze ve schválených aplikacích.

• Vybrat, které aplikace budou mít ve výchozím nastavení povoleno rozšíření Poskytovatel souborů.

Průvodce spravovaným přenosem dat

Na Macu se systémem macOS 26.4 nebo novějším dokáže Průvodce spravovaným přenosem dat zjednodušit přenos (migraci) dat z jednoho Macu na jiný během Průvodce nastavením a umožňuje organizacím řídit, která data se na nový Mac přenesou, aniž by se musely spoléhat na rozhodnutí uživatelů.

Průvodce přenosem dat vybere nejlepší volbu přenosu dat z hlediska rychlosti. Na výběr je přímé připojení Wi‑Fi, infrastrukturní Wi‑Fi, Ethernet nebo Thunderbolt. Průvodce přenosem dat během přenosu také často kontroluje, zda není k dispozici rychlejší volba.

Přenos dat můžou IT týmy přizpůsobit a zefektivnit zadáním následujících údajů:

• RequiredPaths: Podsložky a soubory v domovské složce uživatele, které je potřeba přenést.

• ExcludedPaths: Podsložky a soubory, které mají být z přenosu vyloučeny.

• ExcludedAccounts: Uživatelské účty, které nemají být nabízeny k přenosu.

• ShouldMigrateSecurityPrivacySettings: Zda se mají přenést nastavení soukromí na úrovni systému.

Další informace viz Průvodce spravovaným přenosem dat pro macOS.

Odstranění příkazu k aktualizaci softwaru

Loni oznámená správa starších aktualizací softwaru už není ve všech operačních systémech 27.0 funkční. Týká se to následujících položek:

• Příkazy aktualizace softwaru

• Dotazy na aktualizace softwaru

• Doporučená nastavení kadence

• Omezení aktualizací softwaru (například odklady) a vylepšení zabezpečení na pozadí

IT týmům se doporučuje ke konfiguraci a vynucování aktualizací na zařízeních používat deklarativní správu softwarových aktualizací, která nabízí větší transparentnost pro uživatele a lepší kontrolu.

Další informace najdete v oddílech s dokumentací ke správě zařízení v dokumentaci Apple Developer.