Aggiornamenti di gestione dei dispositivi presentati alla WWDC26

Configurazioni di rete

Le nuove configurazioni di rete disponibili nella gestione dei dispositivi dichiarativa consentono di applicare politiche di rete coerenti su tutti i dispositivi di tutte le principali piattaforme. Grazie ai vantaggi della gestione dei dispositivi dichiarativa, i team IT possono fornire una credenziale come risorsa dichiarativa per scopi di autenticazione invece di includerla nello stesso profilo. In questo modo, il rinnovo di tali credenziali è automatizzato e fluido per i team IT e gli utenti. Inoltre, consente di utilizzare le stesse credenziali in diverse configurazioni di rete.

Profili di configurazione come risorse dichiarative

Attualmente, se viene fornito un profilo legacy, l’URL deve puntare al servizio di gestione dei dispositivi e l’accesso viene autenticato con il certificato di identità del dispositivo.

Per garantire una transizione agevole, la gestione dei dispositivi dichiarativa supporta l’implementazione dei profili erede come configurazioni.

Su dispositivi con iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 e watchOS 27, i profili legacy possono essere distribuiti come risorse dichiarative. Questo consente maggiore flessibilità per quanto riguarda il luogo in cui sono ospitati i profili e il modo in cui i dispositivi si autenticano per recuperarli. Inoltre, la gestione dei dispositivi dichiarativa dispone di una verifica di integrità integrata per garantire che il contenuto scaricato non venga modificato.

Quando la configurazione viene applicata, il dispositivo scarica il profilo dall’URL. I team IT possono configurare questa opzione utilizzando la nuova chiave ProfileAssetReference disponibile nelle seguenti configurazioni:

Aumento dei requisiti di sicurezza della rete

Su dispositivi con iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 e watchOS 27, alcuni processi di sistema impongono requisiti più severi in termini di sicurezza di rete (TLS). I nuovi requisiti potrebbero causare l’interruzione delle connessioni se il servizio di gestione dei dispositivi non li soddisfa. I processi interessati sono quelli coinvolti nelle attività relative alla gestione dei dispositivi, alla registrazione automatica dei dispositivi, all’installazione dei profili di configurazione, all’installazione delle app e agli aggiornamenti del software. I servizi di gestione dei dispositivi devono supportare almeno TLS 1.2 utilizzando suite di crittografia e certificati conformi ai nuovi requisiti App Transport Security (ATS).

Per ulteriori dettagli sui processi interessati, sui requisiti e su come eseguire audit e diagnosi dei malfunzionamenti negli ambienti gestiti, consulta l’articolo del Supporto Apple Preparare l’ambiente di rete per requisiti di sicurezza più rigorosi.

Per ulteriori dettagli su ATS e sui nuovi requisiti, consulta Preventing Insecure Network Connections nella documentazione di Apple Developer.

Miglioramenti alla creazione dei rapporti sullo stato

Registrazione e integrità dei dispositivi

Il monitoraggio dello stato di registrazione è una componente fondamentale della gestione dei dispositivi. Attualmente, un servizio di gestione dei dispositivi deve utilizzare le query di gestione dei dispositivi mobili (MDM), che introducono latenza e carico del server senza fornire una precisione in tempo reale.

Su dispositivi con iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 e watchOS 27 sono disponibili nuovi elementi di stato che forniscono informazioni proattive su un dispositivo:

• mdm.enrollment-type: indica il tipo di registrazione del dispositivo, che può essere:

  • Con supervisione: per una registrazione supervisionata

  • Dispositivo: per la registrazione del dispositivo

  • Utente: per la registrazione dell’utente

• mdm.is-awaiting-configuration: viene restituito quando il dispositivo è in attesa del servizio di gestione dei dispositivi in Impostazione Assistita.

• mdm.is-return-to-service: indica se un dispositivo è configurato per il rientro in servizio con conservazione delle app.

• mdm.is-shared-ipad: indica se un iPad è configurato come iPad condiviso.

• mdm.push-magic e mdm.push-token: forniscono i dettagli relativi alle proprietà del servizio di notifiche push di Apple (APNs) richieste per la gestione dei dispositivi.

• device.system.health (solo per iPhone e iPad): consente di ottenere informazioni sullo stato e sull’autenticità di componenti hardware come il modem, la fotocamera, Face ID, Touch ID, NFC e la banda ultralarga.

Modalità di isolamento

La modalità di isolamento è una forma di protezione estrema e facoltativa progettata per i pochi utenti che, a causa della loro identità o del loro lavoro, potrebbero essere il bersaglio di sofisticate minacce digitali. Se tali persone fanno parte di un’organizzazione, il team IT potrebbe voler assicurarsi che la modalità di isolamento sia attivata sui loro dispositivi e monitorarne lo stato.

Su dispositivi supervisionati con iOS 27, iPadOS 27, macOS 27 e watchOS 27, i servizi di gestione dei dispositivi possono iscriversi a un nuovo elemento di stato security.lockdown-mode che segnala in modo proattivo lo stato della modalità di isolamento di un dispositivo.

Configurazione plugin filtro contenuti web

Il filtro dei contenuti è una necessità comune in ambito didattico e aziendale. Consente ai team IT di offrire un’esperienza di navigazione gestita e bloccare le pagine web indesiderate. iOS, iPadOS, macOS e visionOS offrono framework che consentono alle soluzioni di filtraggio dei contenuti web di integrarsi con il sistema operativo e filtrare il traffico web.

Su dispositivi con iOS 27, iPadOS 27, macOS 27 e visionOS 27, è possibile distribuire le impostazioni necessarie utilizzando la configurazione com.apple.configuration.webcontent-filter.plugin, che consente alle organizzazioni di beneficiare delle funzionalità di gestione dei dispositivi dichiarativa in questo dominio di gestione.

Raccolta di log di AppleCare

Raccogliere le informazioni di log dai dispositivi per supportare un caso AppleCare è un passaggio comune e importante per diagnosticare un determinato comportamento. Attualmente, di solito è necessario l’accesso fisico al dispositivo e la collaborazione dell’utente. Inoltre, il processo è spesso lungo e complicato, specialmente quando gli utenti si spostano o si trovano in un altro edificio.

Su dispositivi con iOS 27, iPadOS 27, macOS 27 e tvOS 27, i team IT possono avviare e annullare la raccolta dei log da remoto sui dispositivi supervisionati utilizzando due nuovi comandi MDM:

• TriggerEnhancedLogCollection: avvia una sessione di raccolta di log remoti e richiede la specifica di un token fornito da AppleCare. Dopo la creazione, i log vengono caricati automaticamente su Apple e allegati al ticket AppleCare.

• CancelEnhancedLogCollection: termina una sessione attiva.

A seconda del dispositivo e del suo stato, il team IT può richiedere un token interattivo o non interattivo come parte di un ticket AppleCare per autorizzare la sessione di raccolta dei log sul dispositivo. I dettagli aggiuntivi della sessione sono i seguenti:

• Una sessione di raccolta log interattiva richiede il consenso all’utente. L’utente può acconsentire alla raccolta e al caricamento immediatamente, scegliere di rivedere le informazioni prima di caricarle o annullare la raccolta dei log.

• Quando viene utilizzata la raccolta log non interattiva, il dispositivo visualizza una notifica e raccoglie e carica i log in background.

• I computer Mac usano sempre la raccolta di log interattiva. I dispositivi iPhone e iPad richiedono la raccolta dei log interattiva se un account (per esempio App Store, iCloud, Mail e così via) è configurato o se è impostato un codice sul dispositivo. Apple TV e iPad condiviso utilizzano sempre la raccolta di log non interattiva.

Inoltre, le informazioni sulla raccolta dei log sono disponibili nei nuovi elementi di stato dichiarativi:

• enhanced-logging.status: indica se è stata avviata, completata o annullata una raccolta di log, se il dispositivo è in attesa del consenso dell’utente e se è in corso un caricamento.

• enhanced-logging.timestamp: riporta data e ora dell’ultimo cambiamento di stato.

• enhanced-logging.applecare-token: riporta il token AppleCare fornito.

Ripristino di un backup

Su dispositivi con iOS 27, iPadOS 27 e visionOS 27, i dispositivi non recuperano più le informazioni sulla gestione del dispositivo dal backup. Ciò include il profilo di registrazione, la configurazione di gestione e lo stato di supervisione. I dispositivi visualizzati in Apple School Manager o Apple Business si registrano automaticamente tramite la registrazione automatica dopo il ripristino, garantendo che ricevano lo stato di gestione corrente anziché una configurazione non aggiornata dal backup.

Se un’app gestita non è contrassegnata per la rimozione al momento dell’annullamento della registrazione, i relativi dati vengono ripristinati. I servizi di gestione dei dispositivi possono assumere il controllo della gestione di questi dati installando l’app gestita corrispondente dopo il ripristino.

Miglioramenti di “Rientro in servizio”

Di seguito trovi i miglioramenti apportati alla funzionalità “Rientro in servizio”.

Nuovo tentativo di registrazione automatica

Attualmente, quando un dispositivo riceve il comando “Rientro in servizio”, viene ripristinato e tenta di registrarsi con un servizio di gestione dei dispositivi specifico. In alcuni casi, ad esempio durante problemi temporanei di rete o in caso di errori del servizio di gestione dei dispositivi, la registrazione può non andare a buon fine, lasciando il dispositivo cancellato ma non registrato.

Su iPhone e iPad con iOS 27 e iPadOS 27, è stata aggiunta una nuova chiave ShouldRetryEnrollment nel dizionario ReturnToService del comando EraseDevice, progettata per migliorare tali situazioni. Quando questa chiave è impostata su VERO, il dispositivo riprova automaticamente la registrazione con un ritardo sempre maggiore (fino a cinque minuti) se il tentativo iniziale non va a buon fine.

Impostazione di lingua e zona

Su iPhone e iPad con iOS 27 e iPadOS 27, i team IT possono impostare la lingua e la zona del dispositivo nel profilo di registrazione automatica dei dispositivi. Questo consente maggiore flessibilità durante il processo di “Rientro in servizio”, dato che i team IT possono impostare le impostazioni locali preferite sul dispositivo durante un ripristino. In caso contrario, viene applicata la scelta selezionata in precedenza. È possibile impostare lingua e zona con due nuove chiavi nel profilo di registrazione al servizio di gestione dei dispositivi:

• language: definisce la lingua da impostare utilizzando il codice ISO 639-1 di due lettere.

• region: definisce la zona da impostare utilizzando il codice ISO 3166-1 di due lettere.

Avviare “Rientro in servizio”

Su dispositivi iPhone e iPad con iOS 27 e iPadOS 27 configurati per “Rientro in servizio” con conservazione delle app, sono disponibili nuove opzioni per avviare il processo di “Rientro in servizio”.

Gli utenti possono avviare “Rientro in servizio” dal Centro di Controllo oppure i team IT possono utilizzare la chiave SharedDeviceConfiguration.TemporarySessionTimeout nel comando Settings per configurare “Rientro in servizio” in modo che venga avviato automaticamente dopo un periodo di inattività impostato (in secondi).

Quando “Rientro in servizio” viene avviato dal Centro di Controllo, il dispositivo esegue una verifica ReturnToService con il servizio di gestione dei dispositivi per recuperare le informazioni di registrazione necessarie. Le informazioni possono includere anche la nuova chiave ShouldRetryEnrollment.

Imposizione degli aggiornamenti software

Su dispositivi con iOS 27, iPadOS 27 e visionOS 27, i team IT possono imporre aggiornamenti software su un dispositivo supervisionato quando riceve un comando erase di “Ritorno al servizio”. Il servizio di gestione dei dispositivi deve restituire una risposta 403 durante la registrazione che includa informazioni sulla versione del sistema operativo richiesta sul dispositivo. Successivamente, il dispositivo esegue automaticamente l’aggiornamento del software e continua con “Ritorno al servizio”.

Modifica del termine “Assistenza Wi-Fi”

Su dispositivi con iOS 27 e iPadOS 27, il termine “Assistenza Wi-Fi” sarà cambiato in “Assistente connettività”. La chiave WiFiAssistPolicy della gestione dei dispositivi in NetworkUsageRules.SIMRulesItem NON cambierà.

Configurazione della cache dei contenuti

La cache dei contenuti è un servizio in macOS che accelera il download del software distribuito da Apple e dei dati salvati dagli utenti su iCloud archiviando i contenuti che i dispositivi locali hanno già scaricato. Il contenuto salvato viene archiviato in una cache dei contenuti sul Mac e può essere recuperato dagli altri dispositivi senza doverlo scaricare da internet.

Su un Mac supervisionato con macOS 27, i team IT possono configurare la cache dei contenuti utilizzando la gestione dei dispositivi dichiarativa. La nuova configurazione com.apple.configuration.content-cache.settings include tutte le chiavi precedentemente disponibili nel profilo legacy.

Inoltre, sono disponibili nuovi elementi di stato dichiarativi inviati a un servizio di gestione dei dispositivi a cui ci si è iscritti:

• content-cache.info: informazioni generali sulla cache dei contenuti, come lo spazio di archiviazione disponibile e utilizzato, lo stato e la pressione della cache.

• content-cache.status: informazioni più dettagliate sullo stato di registrazione, sugli indirizzi IP, sullo stato del rapporto e sugli errori riscontrati.

• content-cache.parents: l’elenco e lo stato delle cache padre dei contenuti.

• content-cache.peers: l’elenco e lo stato delle cache dei contenuti peer.

Il Mac può anche inviare informazioni a intervalli regolari a un punto di accesso HTTPS arbitrario specificato nella chiave ManagementStatusTarget, utilizzando l’intervallo di tempo definito dalla chiave ManagementReportingInterval. Questo consente di creare soluzioni di monitoraggio e dashboard personalizzate, fornendo informazioni più approfondite sull’utilizzo del servizio di cache dei contenuti.

Per proteggere la connessione all’endpoint HTTP di ricezione, ManagementSecurityConfig offre tre opzioni:

• no-cert: nessuna convalida del certificato TLS del server (consente anche di effettuare richieste HTTP in chiaro, ad esempio per scopi di test).

• signedByCACert: il certificato del server viene validato rispetto a un’autorità di certificazione considerata attendibile dal dispositivo.

• specificServerCert: il certificato del servizio deve corrispondere al certificato del server fornito nella risorsa ManagementStatusCertificateReference.

La cache dei contenuti invia lo stato corrente della cache come testo formattato in JSON utilizzando una richiesta HTTPS POST e include una chiave serverGUID, che può essere usata per attribuire più richieste allo stesso server.

Per maggiori informazioni sul formato, consulta la dichiarazione per configurare il servizio di cache dei contenuti nella documentazione di Apple Developer.

Nuove restrizioni di visionOS

Su dispositivi con visionOS 27, i team IT ottengono un controllo aggiuntivo sui dispositivi Apple Vision Pro supervisionati con nuove restrizioni:

• allowBluetoothModification: impedisce all’utente di modificare le impostazioni del Bluetooth.

• allowChat: limita l’uso di iMessage.

I team IT possono anche utilizzare allowListedAppBundleIDs e blockedAppBundleIDs, ma devono iniziare a passare alla gestione dichiarativa per il lancio delle app. Entrambe le restrizioni sono deprecate in visionOS 27.

Gestione di Apple Intelligence, Siri e tastiera

Apple sta modernizzando la gestione dei sistemi intelligenti disponibili sul dispositivo trasferendo le funzionalità dai payload delle restrizioni MDM legacy alle configurazioni di gestione dei dispositivi dichiarativa. Questa migrazione offre una maggiore chiarezza sulle intenzioni delle policy, una maggiore flessibilità nella scelta del momento in cui applicare le configurazioni e un percorso più snello per individuare le funzionalità di gestione. Le seguenti impostazioni sono disponibili tramite configurazione dichiarativa moderna:

• Apple Intelligence

• Intelligenza esterna

• Siri

• Tastiera

Impostazioni di Apple Intelligence

Sui dispositivi supervisionati con iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 o versioni successive, i team IT possono utilizzare la configurazione com.apple.configuration.intelligence.settings per consentire o negare le funzionalità di Apple Intelligence a livello di dispositivo, incluse:

• AllowGenmoji: Genmoji

• AllowImagePlayground: Image Playground

• AllowWritingTools: Strumenti di scrittura

• AllowImageWand: “Bacchetta immagini” (iOS, iPadOS, visionOS)

Oltre a queste impostazioni applicabili a tutto il dispositivo, i team IT possono anche controllare:

• Funzionalità di intelligenza specifiche per le app Mail, Note e Safari

• Resoconto Apple Intelligence

• Risultati di scrittura a mano personalizzata (solo iOS, iPadOS)

• Riepilogo dell’intelligenza visiva (solo iOS, iPadOS)

• Elaborazione su dispositivo per dettatura e traduzione (solo iOS, iPadOS)

Su dispositivi supervisionati con iOS 27, iPadOS 27, macOS 27 e visionOS 27, una nuova chiave Apps.Calendar.AllowNaturalLanguageEditing nella configurazione com.apple.configuration.intelligence.settings controlla se un utente può creare eventi del calendario utilizzando il linguaggio naturale quando la chiave è impostata su FALSO.

Impostazioni di intelligenza esterna

Su dispositivi supervisionati con iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 o versioni successive, le organizzazioni possono gestire le integrazioni di intelligenza esterna utilizzando la configurazione com.apple.configuration.external-intelligence.settings. In questo modo, i team IT possono consentire o limitare i servizi di intelligenza esterni e controllare l’accesso al login per questi servizi.

Le limitazioni all’applicazione nelle prime 27.0 versioni preliminari del sistema operativo sono documentate tra i problemi noti nelle relative note di versione preliminare su AppleSeed for IT.

Impostazioni di Siri

Su dispositivi supervisionati con iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4, watchOS 26.4 o versioni successive e tvOS 27, i team IT possono utilizzare la configurazione com.apple.configuration.siri.settings per gestire quanto segue:

• Consentire o negare Siri a livello globale (iOS, iPadOS, macOS, tvOS, visionOS)

• Controllare l’accesso a Siri quando il dispositivo è bloccato (iOS, iPadOS, watchOS)

• Consentire o negare a Siri di elaborare contenuti generati dall’utente (iOS, iPadOS, watchOS)

• Imporre il filtro volgarità per le risposte di Siri (iOS, iPadOS, macOS)

Impostazioni Tastiera

Su dispositivi supervisionati con iOS 26.4, iPadOS 26.4, macOS 26.4 o versioni successive, i team IT possono usare la configurazione com.apple.configuration.keyboard.settings per gestire quanto segue:

• Dettatura

• Ricerca definizione

• Suggerimenti della tastiera matematica

• Testo predittivo (solo iOS, iPadOS)

• “Scorri per scrivere” (solo iOS, iPadOS)

• Comandi rapidi di sostituzione testo (solo iOS, iPadOS)

• Correzione testo: correzione automatica, controllo ortografico (solo iOS, iPadOS)

Gestione di “Provider file”

Sui Mac con macOS 26.4 o versione successiva, le organizzazioni ottengono un controllo aggiuntivo sulle estensioni di “Provider file”. Possono definire a quali volumi le estensioni di “Provider file” possono accedere e come sincronizzare i dati. Questa opzione estende quella esistente per definire come le estensioni di “Provider file” possono sincronizzare i dati dalle cartelle Scrivania e Documenti dell’utente.

Queste funzionalità consentono alle organizzazioni che utilizzano soluzioni di gestione dei file aziendali di avere un controllo più dettagliato mantenendo i confini di sicurezza attorno ai volumi di dati.

Utilizzando il payload com.apple.fileproviderd, i team IT possono:

• Consentire o negare la sincronizzazione dati in generale per le estensioni di “Provider file”.

  Nota: disattivando la sincronizzazione, verrà disattivata anche la sincronizzazione dei dati da Scrivania e Documenti.

• Definire se le estensioni di “Provider file” possono sincronizzarsi con le posizioni su archivi esterni formattati APFS e crittografati.

• Limitare individualmente la sincronizzazione e la sincronizzazione esterna alle estensioni di “Provider file” solo all’interno delle app approvate.

• Scegliere quali app hanno l’estensione di “Provider file” abilitata di default.

Assistente Migrazione gestito

Sui Mac con macOS 26.4 o versione successiva, Assistente Migrazione gestito semplifica la migrazione dei dati da Mac a Mac durante l’esecuzione di Impostazione Assistita, consentendo alle organizzazioni di controllare quali dati vengono trasferiti su un nuovo Mac senza fare affidamento sulle decisioni degli utenti.

Assistente Migrazione gestito seleziona l’opzione di trasferimento più veloce per la migrazione. Tra le opzioni disponibili, la connessione diretta tramite Wi-Fi, infrastruttura Wi-Fi, Ethernet e Thunderbolt. Inoltre, Assistente Migrazione controlla frequentemente se, durante la migrazione, diventa disponibile un’opzione più veloce.

I team IT possono personalizzare e semplificare l’esperienza di migrazione specificando:

• RequiredPaths: Quali sottocartelle e file sono richiesti per la migrazione all’interno della cartella Home dell’utente.

• ExcludedPaths: Quali sottocartelle e file escludere.

• ExcludedAccounts: Quali account utente non offrire per la migrazione.

• ShouldMigrateSecurityPrivacySettings: Se le impostazioni di privacy a livello di sistema vengono trasferite.

Per ulteriori informazioni, consulta Assistente Migrazione gestito per macOS.

Rimozione dei comandi di aggiornamento software

L’anno scorso è stato annunciato che la gestione degli aggiornamenti software legacy non funzionerà più su tutti i sistemi operativi 27.0. Questo include:

• Comandi di aggiornamento software

• Richieste di aggiornamento software

• Impostazioni di cadenza consigliata

• Restrizioni sugli aggiornamenti software, come le posticipazioni e i miglioramenti di sicurezza in background

I team IT devono utilizzare la gestione dichiarativa degli aggiornamenti software per configurare e applicare gli aggiornamenti sui dispositivi, garantendo maggiore trasparenza agli utenti e più controllo.

Per ulteriori informazioni, consulta la documentazione sulla gestione dei dispositivi nella documentazione di Apple Developer.