Updates für die App-Verwaltung in der WWDC26
Hinweis: Bei den auf dieser Seite beschriebenen Funktionen handelt es sich um Vorabversionen, die vor der endgültigen Veröffentlichung unvollständig sein, geändert oder entfernt werden können.
Der folgende Inhalt ist nach Betriebssystemversionen und dann nach der Anzahl der betroffenen Betriebssysteme geordnet.
Steuerungen zum Starten von Apps und Binärdateien
IT-Teams müssen möglicherweise die Kontrolle darüber haben, welche Apps auf betreuten iOS-, iPadOS-, tvOS- und visionOS-Geräten und welche Binärdateien auf betreuten Mac-Computern verwendet werden dürfen, um beispielsweise Compliance-Anforderungen zu erfüllen.
Auf betreuten Geräten mit iOS 27, iPadOS 27, tvOS 27 und visionOS 27 enthält eine neue Konfiguration vom Typ com.apple.configuration.app.settings die Schlüssel AllowedApps und DeniedApps, mit denen App-Startregeln auf diesen Plattformen implementiert werden können.
Auf betreuten Mac-Computern mit macOS 27 verwendet eine neue com.apple.configuration.app.settings-Konfiguration das Endpoint Security-Erweiterungsframework, um eine granulare und flexible Verwaltung von ausführbaren Binärdateien bereitzustellen. Dabei kann es sich um eigenständige Binärdateien oder um in ein App-Bundle eingebundene Binärdateien handeln. Die meisten Binärdateien, die im signierten und versiegelten Betriebssystem enthalten sind, sind immer erlaubt.
IT-Teams können den Schlüssel AlwaysAllowManagedApps verwenden, um die Ausführung verwalteter Apps automatisch zu erlauben. Dies sind Apps, die mithilfe der Konfiguration com.apple.configuration.app.managed oder mithilfe des InstallAsManaged-Flags, das im Befehl InstallApplication auf TRUE gesetzt ist, bereitgestellt werden. Dadurch kann der Wartungsaufwand für den Regelsatz reduziert werden.
Hinweis: Wird das Starten einer App-Binärdatei blockiert, wird Benutzer:innen eine Mitteilung angezeigt. Wenn sie in beiden Listen angezeigt wird, blockiert das Gerät das Starten.
Die Schlüssel und die zugehörigen Informationen sind in der folgenden Tabelle aufgelistet.
Schlüssel | Verwendungszweck | Übereinstimmungskriterien | Verhalten |
|---|---|---|---|
| Erlaubnisliste für iOS, iPadOS, tvOS, visionOS | Paket-ID | Nur aufgelistete Apps können gestartet werden. Nicht aufgelistete Apps können nicht gestartet werden. |
| Ablehnungsliste für iOS, iPadOS, tvOS, visionOS | Paket-ID | Alle aufgelisteten Apps können nicht gestartet werden. Nicht aufgelistete Apps können gestartet werden. Hinweis: Das Starten von Webclips kann eingeschränkt werden, wenn |
| Definiere, was auf macOS ausgeführt werden kann | CD-Hash, Team-ID (optional: Pfad, Status, Signier-ID) | Nur aufgelistete Binärdateien können ausgeführt werden. Nicht aufgelistete Binärdateien können nicht ausgeführt werden. |
| Definiere, was nicht auf macOS ausgeführt werden darf | CD-Hash, Team-ID, Signier-ID (optional: Pfad, Status) | Aufgelistete Binärdateien können nicht ausgeführt werden. Nicht aufgelistete Binärdateien können ausgeführt werden. |
Wichtig: Das Profil com.apple.applicationaccess.new zum Verwalten der Apps, die gestartet werden dürfen, ist in macOS 27 als veraltet markiert.
Updates für Datenschutzzustimmungen
Für Apps
Derzeit kann es zeitaufwendig sein, sicherzustellen, dass Apps, die in einer Organisation bereitgestellt werden, den erforderlichen Zugriff auf datenschutzrelevante Funktionen haben. Dies kann auch zu Reibungspunkten bei Benutzer:innen führen, da Meldungen zu ungünstigen Zeiten ohne Standardauswahl angezeigt werden. Dies kann zu falschen Auswahlmöglichkeiten, fehlerhaften App-Workflows und unnötigen Support-Anrufen führen.
Auf betreuten Geräten mit iOS 27, iPadOS 27 und macOS 27 ermöglicht ein neuer Privacy-Schlüssel in der Konfiguration com.apple.configuration.app.settings IT-Teams, die erforderlichen App-Berechtigungen bereitzustellen.
Beim ersten Start einer App generiert das Gerät eine einzelne konsolidierte Eingabeaufforderung für alle erforderlichen Berechtigungen mit den verwalteten Standardeinstellungen und der Taste „Erlauben“, die standardmäßig angezeigt wird. Dadurch wird die Auswahl der richtigen Option erleichtert. Die Eingabeaufforderung zeigt außerdem den Namen der Organisation, den App-Namen und eine Begründung an, die die Organisation im Rahmen der Konfiguration bereitgestellt hat. Wenn Benutzer:innen die Option „Erlauben“ auswählen, werden die Standardeinstellungen angewendet und es werden keine weiteren Eingabeaufforderungen angezeigt. Wenn Benutzer:innen „Nicht jetzt“ auswählen, werden die standardmäßigen Eingabeaufforderungen für die einzelnen Komponenten angezeigt.
Organisationen können die folgenden Standardberechtigungen für jede App festlegen:
Bedienungshilfen: Zugriff auf unterstützende Technologien
Bluetooth: Koppeln von Peripheriegeräten und Geräten
Kamera: Videoaufnahme
Diktierfunktion: Sprach-zu-Text-Eingabe
LocalNetwork: Zugriff auf Geräte im lokalen Netzwerk
Ort: Standortdaten
LocationAccuracy: Genauer oder ungefährer Standort
Mikrofon: Audioaufnahme
Wichtig: Die entsprechenden Schlüssel im Profil com.apple.TCC.configuration-profile-policy sind in iOS 27, iPadOS 27 und macOS 27 als veraltet markiert.
Für Websites in Safari
IT-Teams können auf betreuten Geräten mit iOS 27, iPadOS 27 und macOS 27 Folgendes tun:
Wende dasselbe konsolidierte Datenschutz-Einwilligungsmodell auf Websites in Safari an, um die Ermüdung durch Aufforderungen bei webbasierten Unternehmens-Tools zu verringern und falsche Benutzerauswahlen auf verwalteten Geräten zu reduzieren.
Verwende den neuen
Privacy-Schlüssel in der Konfigurationcom.apple.configuration.safari.settings, um die Standardeinstellungen für die Zugriffsrechte für den Datenschutz von Websites zu definieren.
Zudem können sie die folgenden Standardberechtigungen für jede einzelne über Safari aufgerufene Webseite individuell festlegen:
Kamera: Videoaufnahme
Mikrofon: Audioaufnahme
Webseiten werden durch folgende Merkmale definiert:
Eine bestimmte Domain, z. B. melardclothing.com. Die Standardberechtigungen gelten nur für diese Website.
Eine Wildcard-Domain, z. B. „*.melardclothing.com“, bei der ein einzelnes „*“-Zeichen als Präfix verwendet wird. Die Standardberechtigungen gelten für die exakte Domain und alle Unterdomains, z. B. www.melardclothing.com.
Safari verwendet das genaueste Muster, wenn mehrere Muster zu einer Website passen.
Ausnahmen für App-Bewertungen
Bei iPhone- und iPad-Geräten mit iOS 26.1, iPadOS 26.1 oder neuer können Organisationen bestimmte Apps von altersabhängigen Einschränkungen befreien. IT-Teams können eine Reihe von Paket-IDs mithilfe des Einschränkungsschlüssels ratingAppsExemptedBundleIDs bereitstellen.
Das Betriebssystem befreit diese Apps dann von den Beschränkungen der Kindersicherung und den Altersfreigaben. Diese Funktion ist besonders für Bildungseinrichtungen oder bestimmte geschäftliche Anwendungsfälle nützlich, bei denen bestimmte Apps für organisatorische Funktionen unerlässlich sind, obwohl sie eine andere Altersfreigabe haben. iOS und iPadOS kombinieren diese Ausnahmen mit allen, die von Kindersicherungs-Apps wie „Bildschirmzeit“ bereitgestellt werden, unter Verwendung von Schnittmengen-Kombinationsregeln.
ManagedApp-Framework in macOS
Apps in macOS 27 können nun das ManagedApp-Framework implementieren. Dieses Framework, das bereits auf iOS, iPadOS und visionOS verfügbar ist, kann verwendet werden, um app-spezifische Konfigurationen und Geheimnisse (beispielsweise hardwaregebundene Identitäten, Passwörter und Zertifikate) auf sichere Weise bereitzustellen. IT-Teams können das Verhalten einer App anpassen und das Benutzererlebnis optimieren. Verwende je nach App-Typ Folgendes:
Apps, die das ManagedApp-Framework verwenden: Verwende
com.apple.configuration.app.managedVeraltete Apps, die das ManagedApp-Framework nicht verwenden: Speichere die MDMv1-.plist-Datei als
com.apple.asset.data-Asset und referenziere sie mitLegacyAppConfigAssetReference.Unterstützte Inhaltstypen für
com.apple.asset.datasind:application/plistapplication/x-plistapplication/xmltext/xml
Hinweis: Nachdem com.apple.configuration.app.managed verwendet wird, sind MDM-Befehle zur App-Konfiguration nicht mehr verfügbar.
Weitere Informationen findest du im ManagedApp Framework in der Apple Developer-Dokumentation.
App-Beglaubigungen in macOS
Ein zentraler Bestandteil einer Zero-Trust-Architektur ist die Gewährleistung, dass nur vertrauenswürdige iPhone- und iPad-Apps eine Verbindung zu einem Backend-Dienst herstellen können. Apple stellt das DeviceCheck-Framework zur Verfügung, mit dem App-Entwicklungsteams die Integrität von Apps überprüfen können, wenn diese mit Backend-Diensten verbunden werden. Dadurch kann betrügerischem Verhalten, Missbrauch von APIs und modifizierten App-Versionen entgegengewirkt werden.
Auf einem Mac mit macOS 27 ist die App-Beglaubigung für Mac-Apps verfügbar. „App-Beglaubigung“ erstellt hardwareunterstützte kryptografische Schlüssel in der Secure Enclave und verwendet Apple-Server, um Beglaubigungen zu erstellen, die App- und Systemeigenschaften enthalten. Wenn eine App eine Verbindung zu einem Backend-Dienst herstellt, überprüft der Dienst die Authentizität der App mithilfe von Beglaubigungen und akzeptiert nur gültige, signierte Anfragen.
Weitere Informationen findest du in der WWDC26-Session Secure your apps with App Attest.
Verhaltenssteuerung beim Entfernen eines Pakets
Auf einem Mac mit macOS 27 können IT-Teams steuern, was mit Paketdateien geschieht, wenn ein verwaltetes Paket entfernt wird. Dadurch wird sichergestellt, dass unerwünschte Daten und Dateien auf Geräten entfernt werden, wenn sie nicht mehr benötigt werden. Ein neuer UninstallBehavior-Schlüssel in der Konfiguration com.apple.configuration.package verwendet ein Wörterbuch mit einem booleschen Unterschlüssel Remove (Standardwert: FALSE), um das Verhalten beim Entfernen von Dateien festzulegen. IT-Teams können den Schlüssel Remove vor der Installation auf TRUE setzen, sodass macOS während der Installation eines Pakets alle Dateien aufzeichnet und diese Dateien entfernt werden, wenn IT-Teams die Konfiguration vom Gerät entfernen.
Wichtig: Folgendes ist zu beachten:
Der Schlüssel
Removemuss vor der Installation des Pakets aufTRUEgesetzt werden. Die Anwendung auf ein bereits installiertes Paket hat keine Auswirkung. macOS kann das Dateimanifest nicht rückwirkend erstellen.Änderungen an Skripten nach der Installation werden nicht verfolgt.
Änderungen an lokalen Dateien nach der Installation werden nicht verfolgt.
Entfernen der Bedienungshilfen-Verwaltung
Auf einem Mac mit macOS 26.2 wurde die Möglichkeit, den Zugriff auf eine App über das Bedienungshilfen-Subsystem durch ein com.apple.TCC.configuration-profile-policy-Profil zu erlauben, als veraltet markiert und in macOS 27 entfernt. Apple hat das macOS-Sicherheitsmodell weiterentwickelt, um modernere und sicherere Methoden für die Verwaltung von App-Berechtigungen zu integrieren. Wenn die Verwaltung des Bedienungshilfen-Zugriffs erforderlich ist, verwende den Schlüssel Privacy in com.apple.configuration.app.settings.
Unterstützung für Intel-basierte Mac-Computer
macOS 26 ist die letzte macOS-Version, die Intel-basierte Mac-Computer vollständig unterstützt. Alle Mac-Computer mit macOS 26.4 (oder neuer) zeigen eine Pop-up-Mitteilung an, um die Benutzer:innen transparent über die Veraltung zu informieren, wenn eine Anwendung mit Rosetta gestartet wird. Diese proaktive Kommunikation hilft IT-Teams und Benutzer:innen, App-Kompatibilität und Übergänge rechtzeitig zu planen. IT-Teams können die Einschränkung allowRosettaUsageAwareness verwenden, um diese Mitteilung auf Geräten zu unterdrücken, die über die automatische Geräteregistrierung, die Geräteregistrierung über Accounts und die Geräteregistrierung über Profile registriert wurden.
Apple wird drei Jahre lang weiterhin Software-Sicherheitsupdates für Mac-Computer mit Intel-Prozessor bereitstellen. Rosetta wird als allgemeines Kompatibilitätstool bis macOS 27 weiterverwendet. Darüber hinaus wird ein Teil der Rosetta-Funktionalität beibehalten, der ältere, nicht mehr gepflegte Spiele unterstützt (die auf Intel-basierten Frameworks beruhen). Organisationen mit Intel-basierten Mac-Computern sollten jetzt mit der Planung des Übergangs beginnen.
Weitere Informationen findest du unter About the Rosetta translation environment in der Apple Developer-Dokumentation.