Opdateringer til enhedsadministration fra WWDC26

Netværkskonfigurationer

Nye netværkskonfigurationer, der er tilgængelige i deklarationsbaseret enhedsadministration, gør det muligt at anvende ensartede netværkspolitikker på enheder på tværs af alle større platforme. Takket være fordelene ved deklarationsbaseret enhedsadministration kan it-afdelinger levere godkendelsesoplysninger som deklarationsbaserede ressourcer til godkendelsesformål i stedet for at pakke dem i den samme profil. Dette gør fornyelser af disse godkendelsesoplysninger automatiserede og problemfri for IT-afdelinger og brugere og giver også mulighed for at bruge de samme godkendelsesoplysninger på tværs af forskellige netværkskonfigurationer.

Konfigurationsprofiler som deklarative aktiver

I øjeblikket skal URL-adressen gå til tjenesten til enhedsadministration, og adgang godkendes med enhedens identitetscertifikat, hvis en ældre profil angives.

Deklarationsbaseret enhedsadministration understøtter implementering af ældre profiler som konfigurationer for at sikre en glidende overgang.

På enheder med iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 og watchOS 27 kan ældre profiler leveres som deklarationsbaserede ressourcer. Dette giver yderligere fleksibilitet med hensyn til, hvor disse profiler hostes, og hvordan enhederne godkendes til at hente dem. Deklarationsbaseret enhedsadministration har også indbygget integritetsverifikation, der hjælper med at sikre, at det overførte aktiv ikke ændres.

Når konfigurationen anvendes, henter enheden profilen fra URL-adressen. It-afdelinger kan konfigurere dette ved hjælp af den nye nøgle ProfileAssetReference, der er tilgængelig i følgende konfigurationer:

Øgede krav til netværkssikkerhed

På enheder med iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 og watchOS 27 gennemtvinger udvalgte systemprocesser strengere krav til netværkssikkerhed (TLS). Disse nye krav kan medføre, at forbindelser mislykkes, hvis tjenesten til enhedsadministration ikke opfylder dem. De berørte processer er dem, der er involveret i aktiviteter relateret til enhedsadministration, automatisk enhedstilmelding, installation af konfigurationsprofiler, installation af apps og softwareopdateringer. Tjenester til enhedsstyring skal som minimum understøtte TLS 1.2 ved hjælp af ciphersuites og certifikater, der opfylder de nye krav til App Transport Security (ATS).

Du kan få flere oplysninger om berørte processer, krav og om, hvordan du overvåger og diagnosticerer fejl i administrerede miljøer, i Apple-supportartiklen Forbered dit netværksmiljø til strengere sikkerhedskrav.

Du kan få flere oplysninger om ATS og de nye krav i under Preventing Insecure Network Connections i Apple Developer-dokumentationen.

Forbedringer af statusrapportering

Tilmelding og enhedens tilstand

Overvågning af enheders tilmeldingsstatus er en nøglekomponent i enhedsadministration. I øjeblikket skal en tjeneste til enhedsadministration bruge forespørgsler om administration af mobile enheder (MDM), hvilket medfører forsinkelse og serverbelastning uden at give nøjagtighed i realtid.

På enheder med iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 og watchOS 27 er der nye statusemner tilgængelige, som giver proaktiv information om enheden:

• mdm.enrollment-type: Dette rapporterer enhedens tilmeldingstype, som kan være:

  • Under tilsyn: Ved tilmelding under tilsyn

  • Enhed: Til enhedstilmelding

  • Bruger: Til brugertilmelding

• mdm.is-awaiting-configuration: Dette returneres, når enheden venter på tjenesten til enhedsadministration i Indstillingsassistent.

• mdm.is-return-to-service: Dette angiver, om en enhed er konfigureret til Tilbage til brugstilstand med bevarelse af apps.

• mdm.is-shared-ipad: Dette angiver, om en iPad er konfigureret som en Delt iPad.

• mdm.push-magic og mdm.push-token: Disse giver oplysninger relateret til egenskaberne til Apples tjeneste til push-notifikationer (APNs), der kræves til enhedsadministration.

• device.system.health (kun iPhone og iPad): Dette giver indsigt i status og ægtheden af hardwarekomponenter som baseband, kamera, Face ID, Touch ID, NFC og ultrabredbånd.

Nedlukningstilstand

Nedlukningstilstand er en valgfri, ekstrem form for beskyttelse, som er udviklet til de meget få, som i kraft af hvem de er, eller hvad de laver, kan blive udsat for personlige angreb vha. nogle af de mest avancerede digitale trusler. Hvis disse personer er en del af en organisation, kan det være en god idé, at IT-afdelingen sørger for, at Nedlukningstilstand er slået til på deres enheder, og overvåger status.

På enheder under tilsyn med iOS 27, iPadOS 27, macOS 27 og watchOS 27 kan tjenester til enhedsadministration abonnere på et nyt security.lockdown-mode-statusemne, der proaktivt rapporterer om status for Nedlukningstilstand på en enhed.

Konfiguration af plugin til webindholdsfilter

Filtrering af indhold er et almindeligt behov i undervisnings- og virksomhedsmiljøer. Det giver it-afdelinger mulighed for at tilbyde en administreret browseroplevelse og blokere uønskede websider. iOS, iPadOS, macOS og visionOS tilbyder frameworks, der gør det muligt for løsninger til filtrering af webindhold at integrere med operativsystemet og filtrere webtrafik.

På enheder med iOS 27, iPadOS 27, macOS 27 og visionOS 27 kan de nødvendige indstillinger implementeres ved hjælp af konfigurationen com.apple.configuration.webcontent-filter.plugin, som giver organisationer mulighed for at drage fordel af funktioner til deklarationsbaseret enhedsadministration i dette administrationsdomæne.

Indsamling af AppleCare-logarkiver

Indsamling af logoplysninger fra enheder for at understøtte en AppleCare-sag er et almindeligt og vigtigt trin i diagnosticeringen af en bestemt virkemåde. I øjeblikket kræver det normalt fysisk adgang til enheden og brugerens samarbejde og er ofte en tidskrævende og besværlig proces, især når brugerne rejser eller befinder sig i en anden bygning.

På enheder med iOS 27, iPadOS 27, macOS 27 og tvOS 27 kan it-afdelinger starte og annullere indsamling af logarkiver på afstand på enheder under tilsyn ved hjælp af to nye MDM-kommandoer:

• TriggerEnhancedLogCollection: Dette starter en fjernindsamling af logarkiver og kræver angivelse af et token, der leveres af AppleCare. Når logarkiverne er oprettet, bliver de automatisk overført til Apple og vedhæftet AppleCare-henvendelsen.

• CancelEnhancedLogCollection: Dette afslutter en aktiv session.

Afhængigt af enheden og dens status kan IT-afdelingen anmode om et interaktivt eller ikke-interaktivt token som en del af en AppleCare-henvendelse for at godkende sessionen med logindsamling på enheden. Yderligere oplysninger om sessionen er følgende:

• En interaktiv logindsamlingssession beder brugeren om samtykke. Brugeren kan give samtykke til indsamling og overførsel med det samme, vælge at gennemse oplysningerne, før de overføres, eller annullere indsamlingen af logarkiver.

• Når der bruges ikke-interaktiv indsamling af logarkiver, vises en notifikation på enheden, og logarkiver indsamles og overføres i baggrunden.

• Mac-computere bruger altid interaktiv logindsamling. iPhone- og iPad-enheder kræver en interaktiv indsamling af logarkiver, hvis en konto (f.eks. App Store, iCloud, Mail osv.) er konfigureret, eller en adgangskode er indstillet på enheden. Apple TV og Delt iPad bruger altid ikke-interaktiv indsamling af logarkiver.

Derudover findes der oplysninger om indsamlingen af logarkiver i nye deklarationsbaserede statusemner:

• enhanced-logging.status: Dette viser, om en indsamling af logarkiver er startet, afsluttet eller afbrudt, om enheden venter på samtykke fra brugeren, og om en overførsel er i gang.

• enhanced-logging.timestamp: Dette rapporterer tidsstemplet for den seneste statusændring.

• enhanced-logging.applecare-token: Dette rapporterer om det angivne AppleCare-token.

Gendannelse af sikkerhedskopi

På enheder med iOS 27, iPadOS 27 og visionOS 27 gendannes der ikke længere oplysninger om enhedsadministration fra en sikkerhedskopi. Dette omfatter tilmeldingsprofilen, administrationskonfigurationen og tilsynsstatus. Enheder, der vises i Apple School Manager eller Apple Business, tilmeldes automatisk via automatisk enhedstilmelding efter gendannelse af enheden, så de får den aktuelle administrationstilstand i stedet for en forældet konfiguration fra sikkerhedskopien.

Hvis en administreret app ikke er markeret til at blive fjernet ved afmelding, gendannes dens data. Tjenester til enhedsadministration kan overtage administrationen af disse data ved at installere den tilsvarende administrerede app efter gendannelsen.

Forbedringer til Tilbage til brugstilstand

Følgende er forbedringer til funktionen Tilbage til brugstilstand.

Forsøg igen med automatisk tilmelding

I øjeblikket nulstilles enheden, når den modtager kommandoen Tilbage til brugstilstand, og forsøger at tilmelde sig en bestemt tjeneste til enhedsadministration. I visse tilfælde, f.eks. under kortvarige netværksproblemer eller ved fejl i tjenesten til enhedsadministration, kan tilmeldingen mislykkes, så enheden bliver slettet, men ikke tilmeldt.

På iPhone- og iPad-enheder med iOS 27 og iPadOS 27 er en ny ShouldRetryEnrollment-nøgle i ReturnToService-ordbogen for kommandoen EraseDevice designet til at hjælpe med at forbedre disse situationer. Hvis denne nøgle indstilles til TRUE, forsøger enheden automatisk at tilmelde sig igen med en stigende tidsforsinkelse (op til fem minutter), hvis det første forsøg mislykkes.

Indstil sprog og område

På iPhone- og iPad-enheder med iOS 27 og iPadOS 27 kan it-afdelinger indstille enhedens sprog og område i profilen Automatisk enhedstilmelding. Dette giver yderligere fleksibilitet under processen Tilbage til brugstilstand, da it-afdelinger kan indstille den ønskede lokalitet på enheden under en nulstilling. Ellers anvendes det tidligere valgte valg. Sproget og området kan indstilles med to nye nøgler i tilmeldingsprofilen til enhedsadministration:

• sprog: Definerer det sprog, der skal indstilles, ved hjælp af ISO 639-1-koden med to bogstaver.

• område: Definerer det område, der skal indstilles, ved hjælp af ISO 3166-1-koden med to bogstaver.

Start Tilbage til brugstilstand

På iPhone- og iPad-enheder med iOS 27 og iPadOS 27, der er konfigureret til Tilbage til brugstilstand med bevarelse af apps, er der nye muligheder for at starte processen Tilbage til brugstilstand.

Brugere kan enten starte Tilbage til brugstilstand fra Kontrolcenter, eller it-afdelinger kan bruge nøglen SharedDeviceConfiguration.TemporarySessionTimeout i kommandoen Settings til at konfigurere Tilbage til brugstilstand til automatisk at starte efter et angivet tidsrum uden aktivitet (i sekunder).

Når Tilbage til brugstilstand startes fra Kontrolcenter, foretager enheden en ReturnToService-indtjekning hos tjenesten til enhedsadministration for at hente de nødvendige tilmeldingsoplysninger. Oplysningerne kan også omfatte den nye nøgle ShouldRetryEnrollment.

Gennemtvingelse af softwareopdatering

På enheder med iOS 27, iPadOS 27 og visionOS 27 kan it-afdelinger gennemtvinge softwareopdateringer på en enhed, der er under tilsyn, når den modtager sletningskommandoen Tilbage til brugstilstand. Tjenesten til enhedsadministration skal returnere et 403-svar under tilmeldingen, som indeholder oplysninger om den påkrævede operativsystemversion på enheden. Enheden udfører derefter automatisk softwareopdateringen og fortsætter med Tilbage til brugstilstand.

Ændring af termen Hjælp til Wi-Fi

På enheder med iOS 27 og iPadOS 27 ændres udtrykket “Hjælp til Wi-Fi” til “Hjælp til forbindelse”. Nøglen WiFiAssistPolicy til enhedsadministration i NetworkUsageRules.SIMRulesItem ændres IKKE.

Konfiguration af indlæsning af indhold i buffer

Indlæsning af indhold i buffer er en tjeneste i macOS, der gemmer indhold, som lokale Apple-enheder allerede har hentet, hvilket gør det hurtigere at hente software distribueret af Apple og data, som brugerne opbevarer i iCloud. Det gemte indhold opbevares i en indholdsbuffer på Mac og kan hentes af andre enheder, så de ikke behøver at hente det fra internettet.

På en Mac under tilsyn med macOS 27 kan it-afdelinger konfigurere indlæsning af indhold i buffer ved hjælp af deklarationsbaseret enhedsadministration. Den nye konfiguration com.apple.configuration.content-cache.settings har alle de nøgler, der tidligere var tilgængelige i den ældre profil.

Derudover findes der nye deklarationsbaserede statusemner, som sendes til en tilmeldt tjeneste til enhedsadministration:

• content-cache.info: Generelle oplysninger om indholdsbufferen, f.eks. tilgængelig og brugt lagerplads, status og bufferbelastning.

• content-cache.status: Mere detaljerede oplysninger om registreringsstatus, IP-adresser, rapportstatus og fejl, der er opstået.

• content-cache.parents: Listen med og status for overordnede indholdsbuffere.

• content-cache.peers: Listen med og status for peer-indholdsbuffere.

Mac-computeren kan også regelmæssigt sende oplysninger til et vilkårligt HTTPS-slutpunkt, der er angivet i nøglen ManagementStatusTarget, vha. det tidsinterval, der er defineret af nøglen ManagementReportingInterval. Dette giver mulighed for særlige overvågningsløsninger og dashboards, der giver bedre indsigt i, hvordan tjenesten til indlæsning af indhold i buffer bruges.

For at sikre forbindelsen til det modtagende HTTP-slutpunkt tilbyder ManagementSecurityConfig tre muligheder:

• no-cert: Ingen validering af serverens TLS-certifikat (dette tillader også almindelige HTTP-anmodninger, f.eks. til testformål).

• signedByCACert: Servercertifikatet valideres mod en certifikatmyndighed, som enheden har tillid til.

• specificServerCert: Certifikatet til tjenesten skal stemme overens med det servercertifikat, der er angivet i aktivet ManagementStatusCertificateReference.

Indholdsbufferen sender den aktuelle bufferstatus som JSON-formateret tekst ved hjælp af en HTTPS POST-anmodning og inkluderer en serverGUID, som kan bruges til at tildele flere anmodninger til den samme server.

Du kan få flere oplysninger om formatet under declaration to configure the content caching service i Apple Developer-dokumentationen.

Nye visionOS-begrænsninger

På enheder med visionOS 27 får it-afdelinger yderligere kontrol over Apple Vision Pro-enheder, der er under tilsyn, med nye begrænsninger:

• allowBluetoothModification: Forhindrer brugerne i at ændre indstillinger til Bluetooth.

• allowChat: Begrænser brugen af iMessage.

It-afdelinger kan også bruge allowListedAppBundleIDs og blockedAppBundleIDs, men bør begynde at skifte til deklarationsbaseret administration til at starte apps. Begge begrænsninger er udfaset i visionOS 27.

Intelligens, Siri og tastaturstyring

Apple moderniserer administrationen af intelligente systemer, der er tilgængelige på enheden, ved at flytte funktioner fra ældre payloads med MDM-begrænsninger til konfigurationer til deklarationsbaseret enhedsadministration. Denne overførsel giver en tydeligere hensigt med politikkerne, øget fleksibilitet i forhold til, hvornår konfigurationerne skal anvendes, og en strømlinet vej til at finde administrationsfunktioner. Følgende indstillinger er tilgængelige via moderne deklarationsbaseret konfiguration:

• Apple Intelligence

• Ekstern intelligens

• Siri

• Tastatur

Indstillinger til Apple Intelligence

På enheder under tilsyn med iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 og nyere versioner kan it-afdelinger bruge konfigurationen com.apple.configuration.intelligence.settings til at tillade eller nægte Apple Intelligence-funktioner på tværs af enheden, herunder:

• AllowGenmoji: Genmoji

• AllowImagePlayground: Image Playground

• AllowWritingTools: Skriveværktøjer

• AllowImageWand: Billedmagi (iOS, iPadOS, visionOS)

Ud over disse indstillinger på tværs af enheder kan it-afdelinger også styre:

• Appspecifikke intelligensfunktioner til Mail, Noter og Safari

• Rapport over Apple Intelligence

• Resultater for personligt tilpasset håndskrift (kun iOS, iPadOS)

• Resume af visuel intelligens (kun iOS, iPadOS)

• Kun behandling på enheden til diktering og oversættelse (kun iOS, iPadOS)

På enheder under tilsyn med iOS 27, iPadOS 27, macOS 27 og visionOS 27 styrer en ny Apps.Calendar.AllowNaturalLanguageEditing-nøgle i konfigurationen com.apple.configuration.intelligence.settings, om en bruger kan oprette kalenderbegivenheder ved hjælp af input med naturligt sprog, når nøglen er indstillet til FALSE.

Indstillinger til ekstern intelligens

På enheder under tilsyn med iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 eller en nyere version kan organisationer administrere integrationer af ekstern intelligens ved hjælp af konfigurationen com.apple.configuration.external-intelligence.settings. Dette giver it-afdelinger mulighed for at tillade eller begrænse eksterne intelligenstjenester og kontrollere adgangen til login for disse tjenester.

Begrænsninger for håndhævelse i de første seedversioner af 27.0-operativsystemet er dokumenteret under kendte problemer i de relevante seednoter på AppleSeed for IT.

Siri-indstillinger

På enheder under tilsyn med iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4, watchOS 26.4 eller en nyere version og tvOS 27 kan it-afdelinger bruge konfigurationen com.apple.configuration.siri.settings til at administrere følgende:

• Tillad eller afvis Siri globalt (iOS, iPadOS, macOS, tvOS, visionOS)

• Kontroller Siri-adgang, når enheden er låst (iOS, iPadOS, watchOS)

• Tillad eller afvis Siri-behandling af indhold, der er oprettet af brugeren (iOS, iPadOS, watchOS)

• Gennemtving filtrering af anstødeligt sprog i Siri-svar (iOS, iPadOS, macOS)

Tastaturindstillinger

På enheder under tilsyn med iOS 26.4, iPadOS 26.4, macOS 26.4 eller en nyere version kan it-afdelinger bruge konfigurationen com.apple.configuration.keyboard.settings til at administrere følgende:

• Diktering

• Definitionsopslag

• Tastaturforslag til matematik

• Forslag til tekst (kun iOS, iPadOS)

• Skub for at skrive (kun iOS, iPadOS)

• Genveje til tekstudskiftning (kun iOS, iPadOS)

• Tekstkorrektion: automatisk rettelse, stavekontrol (kun iOS, iPadOS)

Administration af arkivleverandører

Organisationer får yderligere kontrol over File Provider-udvidelser på en Mac med macOS 26.4 eller en nyere version. De kan definere, hvilke enheder File Provider-udvidelser kan få adgang til, og hvordan de synkroniserer data. Dette udvider den eksisterende mulighed for at definere, hvordan File Provider-udvidelser kan synkronisere data fra brugerens mapper Skrivebord og Dokumenter.

Disse funktioner giver organisationer, der bruger løsninger til virksomhedsfilhåndtering, mere detaljeret kontrol, samtidig med at der opretholdes sikkerhedsgrænser omkring datamængder.

Med data til com.apple.fileproviderd kan it-afdelinger:

• Tillad eller afvis datasynkronisering generelt for File Provider-udvidelser.

  Bemærk: Hvis du slår synkronisering fra, bliver synkronisering af data fra Skrivebord og Dokumenter også slået fra.

• Definer, om File Provider-udvidelser kan synkroniseres til lokaliteter på krypterede eksterne lagringsenheder, der er formateret med APFS.

• Begræns synkronisering og ekstern synkronisering til kun udvidelser til arkivleverandører i godkendte apps.

• Vælg, hvilke apps der skal have deres File Provider-udvidelse aktiveret som standard.

Administreret overførselsassistent

På en Mac med macOS 26.4 eller en nyere version forenkler Administreret overførselsassistent overførsel af data fra Mac til Mac under Indstillingsassistent, så organisationer kan styre, hvilke data der overføres til en ny Mac, uden at det er nødvendigt at stole på, at brugerne træffer disse beslutninger.

Overførselsassistent vælger den bedste overførselsmulighed baseret på hastighed. Mulighederne omfatter peer-to-peer-Wi-Fi, infrastruktur-Wi-Fi, Ethernet og Thunderbolt. Overførselsassistent kontrollerer også ofte, om en hurtigere mulighed bliver tilgængelig under overførslen.

It-afdelinger kan tilpasse og forenkle overførslen ved at angive:

• RequiredPaths: Hvilke undermapper og arkiver i brugerens hjemmemappe der skal overføres.

• ExcludedPaths: Hvilke undermapper og arkiver der skal udelukkes.

• ExcludedAccounts: Hvilke brugerkonti der ikke tilbydes til overførsel.

• ShouldMigrateSecurityPrivacySettings: Om indstillinger til anonymitet på systemniveau overføres.

Du kan få flere oplysninger i Administreret overførselsassistent til macOS.

Fjernelse af kommando til softwareopdatering

Administration af ældre softwareopdateringer, som blev annonceret sidste år, fungerer ikke længere i alle 27.0-operativsystemer. Dette inkluderer:

• Kommandoer til softwareopdatering

• Forespørgsler om softwareopdatering

• Indstillinger til anbefalet kadence

• Begrænsninger for softwareopdateringer, f.eks. udsættelser og sikkerhedsforbedringer i baggrunden

It-afdelinger bør bruge deklarationsbaseret administration af softwareopdateringer til at konfigurere og gennemtvinge opdateringer på enheder med større gennemsigtighed for brugeren og mere kontrol.

Du kan få flere oplysninger under Device Management documentation i Apple Developer-dokumentationen.