Aggiornamenti sulla gestione delle app presentati alla WWDC26
Nota: le funzionalità descritte in questa pagina sono versioni preliminari e potrebbero essere incomplete, modificate o rimosse prima del rilascio finale.
Il contenuto seguente è elencato in ordine di versioni del sistema operativo, quindi in base al numero di sistemi operativi interessati:
Gestione per l’avvio di app e binari
I team IT potrebbero aver bisogno di controllare quali app possono essere utilizzate su dispositivi iOS, iPadOS, tvOS, visionOS supervisionati e su binari sui Mac supervisionati, ad esempio per soddisfare i requisiti di conformità.
Su dispositivi supervisionati con iOS 27, iPadOS 27, tvOS 27 e visionOS 27, la nuova configurazione com.apple.configuration.app.settings contiene le chiavi AllowedApps e DeniedApps, che possono essere utilizzate per implementare le regole di avvio delle app su tali piattaforme.
Sui Mac supervisionati con macOS 27, una nuova configurazione com.apple.configuration.app.settings utilizza il framework di estensione per la sicurezza degli endpoint per fornire una gestione granulare e flessibile dei binari autorizzati all’esecuzione. Questi possono essere binari autonomi o incorporati in un pacchetto di app. La maggior parte dei binari inclusi nel sistema operativo firmato e sigillato è sempre consentita.
I team IT possono utilizzare la chiave AlwaysAllowManagedApps per consentire automaticamente l’esecuzione delle app gestite. Si tratta di app distribuite utilizzando la configurazione com.apple.configuration.app.managed o utilizzando il flag InstallAsManaged impostato su VERO nel comando InstallApplication. Questo può contribuire a ridurre i costi di manutenzione del gruppo di regole.
Nota: se l’avvio di un binario dell’app è bloccato, il dispositivo mostra all’utente un avviso. Se il binario è presente in entrambi gli elenchi, il dispositivo ne blocca l’avvio.
Le chiavi e le informazioni associate sono elencate nella tabella seguente.
Chiave | Scopo | Criteri di corrispondenza | Comportamento |
|---|---|---|---|
| Elenco di elementi consentiti per iOS, iPadOS, tvOS, visionOS | ID pacchetto | Solo le app elencate possono essere avviate. Le app non elencate non possono essere avviate. |
| Elenco di elementi non consentiti per iOS, iPadOS, tvOS, visionOS | ID pacchetto | Nessuna delle app elencate può essere avviata. Le app non elencate possono essere avviate. Nota: l’avvio delle clip web può essere sottoposto a restrizioni quando |
| Definire cosa può essere eseguito su macOS | Hash CD, ID team (opzionale: percorso, stato, ID accesso) | Solo i binari elencati possono essere eseguiti. I binari non elencati non possono essere eseguiti. |
| Definire cosa non può essere eseguito su macOS | CD hash, ID team, ID firma (opzionale: percorso, stato) | I binari elencati non possono essere eseguiti. I binari non elencati possono essere eseguiti. |
Importante: Il profilo com.apple.applicationaccess.new per gestire le app autorizzate a essere avviate è deprecato in macOS 27.
Aggiornamenti del consenso per la privacy
Per le app
Attualmente, garantire che le app distribuite in un’organizzazione dispongano dell’accesso necessario alle funzioni sensibili per la privacy può essere un processo lungo che introduce anche attriti per l’utente, poiché i messaggi vengono visualizzati in momenti inopportuni senza una selezione di default. Ciò può comportare scelte errate, flussi di lavoro delle app interrotti e chiamate di supporto non necessarie.
Su dispositivi supervisionati con iOS 27, iPadOS 27 e macOS 27, una nuova chiave Privacy nella configurazione com.apple.configuration.app.settings consente ai team IT di fornire le autorizzazioni delle app predefinite necessarie.
Al primo avvio di un’app, il dispositivo genera un unico messaggio di consenso per tutte le autorizzazioni necessarie con i valori di default gestiti e il pulsante Consenti visualizzato di default. Questo aiuta gli utenti a scegliere l’opzione corretta. Il messaggio mostra anche il nome dell’organizzazione, il nome dell’app e una giustificazione fornita dall’organizzazione come parte della configurazione. Se l’utente seleziona Consenti, vengono applicati i valori di default e non vengono visualizzati ulteriori messaggi. Se l’utente seleziona “Non ora”, vengono visualizzati i messaggi standard per componente.
Le organizzazioni possono impostare i seguenti permessi di default per app:
Accessibility: accesso alla tecnologia assistiva
Bluetooth: abbinamento periferiche e dispositivi
Camera: acquisizione video
Dictation: input trascrizione vocale
LocalNetwork: accesso ai dispositivi della rete locale
Location: dati sulla posizione
LocationAccuracy: posizione esatta o approssimativa
Microphone: acquisizione audio
Importante: Le chiavi corrispondenti nel profilo com.apple.TCC.configuration-profile-policy sono deprecate in iOS 27, iPadOS 27 e macOS 27.
Per i siti web di Safari
Su dispositivi supervisionati con iOS 27, iPadOS 27 e macOS 27, i team IT possono:
Applicare lo stesso modello di consenso raggruppato sulla privacy ai siti web in Safari, risolvendo il problema del sovraccarico di richieste per gli strumenti web aziendali e riducendo le scelte errate degli utenti sui dispositivi gestiti.
Usare la nuova chiave
Privacynella configurazionecom.apple.configuration.safari.settingsper definire i valori predefiniti dei permessi di privacy dei siti web.
È inoltre possibile impostare i seguenti permessi di default individualmente per ogni pagina web a cui si accede tramite Safari:
Camera: acquisizione video
Microphone: acquisizione audio
Le pagine web sono definite da:
Un dominio specifico, ad esempio melardclothing.com. I valori di default dei permessi si applicano solo a quel sito web.
Un dominio con carattere jolly, ad esempio *.melardclothing.com, che utilizza un singolo carattere “*” come prefisso. I valori di default dei permessi si applicano al dominio esatto e a tutti i sottodomini, ad esempio www.melardclothing.com.
Safari usa il modello più preciso quando più modelli corrispondono a un sito web.
Esenzioni per le valutazioni delle app
Su iPhone e iPad con iOS 26.1, iPadOS 26.1 o versioni successive, le organizzazioni possono esentare app specifiche dalle restrizioni di classificazione basate sull’età. I team IT possono fornire una matrice di ID pacchetto utilizzando la chiave di restrizione ratingAppsExemptedBundleIDs.
Successivamente, il sistema operativo esonera queste app dalle limitazioni del controllo parentale e dalle restrizioni di classificazione. Questa funzionalità è particolarmente utile per istituti didattici o per specifici casi d’uso aziendali in cui alcune app, a prescindere dalla classificazione per età, sono essenziali per le funzioni organizzative. iOS e iPadOS combinano queste esenzioni con quelle fornite da app di controllo parentale, inclusa “Tempo di utilizzo”, utilizzando le regole di combinazione per intersezione.
Framework ManagedApp su macOS
Le app su macOS 27 possono ora implementare il framework ManagedApp. Questo framework, già disponibile su iOS, iPadOS e visionOS, può essere utilizzato per distribuire in modo sicuro configurazioni e informazioni segrete specifiche delle app (ad esempio, identità, password e certificati legati all’hardware). I team IT possono personalizzare il comportamento di un’app e snellire l’esperienza utente. A seconda del tipo di app, usa quanto segue:
App che utilizzano il framework ManagedApp: usa
com.apple.configuration.app.managedApp legacy che non utilizzano il framework ManagedApp: salva il file .plist MDMv1 come risorsa
com.apple.asset.datae utilizzaLegacyAppConfigAssetReferenceper farvi riferimento.I tipi di contenuto
com.apple.asset.datasupportati sono:application/plistapplication/x-plistapplication/xmltext/xml
Nota: dopo che com.apple.configuration.app.managed è in uso, i comandi MDM per la configurazione delle app non sono disponibili.
Per ulteriori informazioni, consulta il framework ManagedApp nella documentazione di Apple Developer.
Attestazione delle app su macOS
Garantire che solo le app di iPhone e iPad attendibili si connettano a un servizio backend è un componente chiave di un’architettura zero-trust. Apple ha fornito il framework DeviceCheck per consentire alle aziende di sviluppo di verificare l’integrità delle app quando si connettono ai servizi backend. Questo può aiutare a difendersi da frodi, abusi di API e modifica delle app.
Sui Mac con macOS 27, “Attestazione delle app” è disponibile per le app per il Mac. “Attestazione delle app” crea chiavi crittografiche supportate dall’hardware nella Secure Enclave e utilizza i server Apple per generare attestazioni che incorporano le proprietà di app e sistema. Quando un’app si connette a un servizio backend, il servizio verifica l’autenticità dell’app tramite attestazioni e accetta solo richieste valide e firmate.
Per ulteriori informazioni, guarda la sessione della WWDC26 Secure your apps with App Attest.
Controllo del comportamento di disinstallazione del pacchetto
Sui Mac con macOS 27, i team IT possono controllare cosa succede ai file di pacchetto quando viene rimosso un pacchetto gestito. Questo aiuta a garantire che i dati e i file indesiderati vengano rimossi dai dispositivi quando non sono più necessari. Una nuova chiave UninstallBehavior nella configurazione com.apple.configuration.package accetta un dizionario con una sottochiave booleana Remove (il valore predefinito è FALSO) per specificare il comportamento di rimozione dei file. I team IT possono impostare la chiave Remove su VERO prima dell’installazione in modo che macOS registri tutti i file durante l’installazione di un pacchetto e li rimuova quando i team IT rimuovono la configurazione dal dispositivo.
Importante: I seguenti sono punti importanti da considerare:
La chiave
Removedeve essere impostata suVEROprima dell’installazione del pacchetto. L’applicazione a un pacchetto già installato non ha alcun effetto. macOS non può costruire retroattivamente il file manifest.Le modifiche allo script post-installazione non vengono rilevate.
Le modifiche ai file locali effettuate dopo l’installazione non vengono monitorate.
Rimozione della gestione dell’accessibilità
Sui Mac con macOS 26.2, la possibilità di concedere l’accesso a un’app tramite il sottosistema Accessibilità attraverso un profilo com.apple.TCC.configuration-profile-policy è stata deprecata e verrà rimossa in macOS 27. Apple ha evoluto il modello di sicurezza di macOS in modo che adotti metodi più moderni e sicuri per la gestione delle autorizzazioni delle app. Se è richiesto il controllo dell’accesso di accessibilità, usa la chiave Privacy in com.apple.configuration.app.settings.
Supporto per i Mac con processore Intel
macOS 26 è l’ultima versione di macOS con supporto completo per i Mac basati su processori Intel. Tutti i Mac con macOS 26.4 o versione successiva mostrano una notifica a comparsa per informare in modo trasparente gli utenti sulla deprecazione quando viene avviata un’applicazione che utilizza Rosetta. Questa comunicazione proattiva aiuta i team IT e gli utenti a valutare la compatibilità delle app e pianificare la transizione con largo anticipo. I team IT possono utilizzare la restrizione allowRosettaUsageAwareness per sopprimere questa notifica sui dispositivi registrati tramite la registrazione automatica dei dispositivi, quella basata su account e quella basata su profilo.
Apple continuerà a fornire aggiornamenti software di sicurezza per i computer Mac basati su Intel per tre anni. Rosetta continuerà a essere uno strumento di compatibilità per uso generico fino a macOS 27. Oltre a ciò, verrà mantenuta una parte delle funzionalità di Rosetta che supporta i titoli di giochi più vecchi non più aggiornati, che usano framework basati su Intel. Le organizzazioni che dispongono di Mac con chip Intel dovrebbero iniziare a pianificare la transizione.
Per ulteriori informazioni, consulta About the Rosetta translation environment nella documentazione di Apple Developer.