WWDC26: Nieuwe functies voor apparaatbeheer

Netwerkconfiguraties

Met de nieuwe netwerkconfiguraties die beschikbaar zijn in declaratief apparaatbeheer is het mogelijk om consistente netwerkregels toe te passen op apparaten op elk groot platform. Dankzij de voordelen van declaratief apparaatbeheer kunnen IT-teams inloggegevens als een declaratief onderdeel voor authenticatiedoeleinden verstrekken, en hoeven ze de inloggegevens niet meer in hetzelfde profiel te bundelen. Hierdoor verloopt het bijwerken van deze inloggegevens voor IT-teams en gebruikers automatisch en naadloos en kunnen dezelfde inloggegevens worden gebruikt in verschillende netwerkconfiguraties.

Configuratieprofielen als declaratieve onderdelen

Als een verouderd profiel wordt verstrekt, moet de URL momenteel naar de voorziening voor apparaatbeheer verwijzen en wordt de toegang geverifieerd met het identiteitscertificaat van het apparaat.

Om een soepele overgang mogelijk te maken, ondersteunt declaratief apparaatbeheer het implementeren van verouderde profielen als configuraties.

Op apparaten met iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 en watchOS 27 kunnen verouderde profielen als declaratieve onderdelen worden afgeleverd. Dit biedt extra flexibiliteit bij het bepalen waar de profielen worden gehost en hoe apparaten zich authenticeren bij het ophalen van de profielen. Declaratief apparaatbeheer heeft ook ingebouwde integriteitsverificatie om ervoor te zorgen dat het gedownloade onderdeel niet is gewijzigd.

Nadat de configuratie is toegepast, wordt het profiel vanaf de URL gedownload door het apparaat. IT-teams kunnen dit configureren met behulp van de nieuwe sleutel ProfileAssetReference, die beschikbaar is in de volgende configuraties:

Verhoogde vereisten voor netwerkbeveiliging

Op apparaten met iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 en watchOS 27 worden door bepaalde systeemprocessen strengere vereisten voor netwerkbeveiliging (TLS) afgedwongen. Deze nieuwe vereisten kunnen ertoe leiden dat verbindingen mislukken als de voorziening voor apparaatbeheer niet aan de vereisten voldoet. Dit geldt voor de processen die betrokken zijn bij activiteiten met betrekking tot apparaatbeheer, geautomatiseerde apparaatinschrijving, installatie van configuratieprofielen, installatie van apps en software-updates. Voorzieningen voor apparaatbeheer moeten minimaal TLS 1.2 ondersteunen en gebruikmaken van versleutelingssuites en certificaten die voldoen aan de nieuwe vereisten voor ATS (App Transport Security).

Zie het Apple Support-artikel Je netwerkomgeving voorbereiden op strengere beveiligingsvereisten voor meer informatie over de betreffende processen, vereisten en de manier waarop je storingen in beheerde omgevingen kunt opsporen en diagnosticeren.

Zie Preventing Insecure Network Connections in de Apple Developer-documentatie voor meer informatie over ATS en de nieuwe vereisten.

Verbeterde statusrapportage

Inschrijving en apparaat­conditie

Het controleren van de inschrijvingsstatus van apparaten is een belangrijk onderdeel van apparaatbeheer. Momenteel moet een voorziening voor apparaatbeheer gebruikmaken van MDM-verzoeken (Mobile Device Management), waardoor er vertraging en serverbelasting ontstaat zonder dat de nauwkeurigheid in realtime wordt gegarandeerd.

Op apparaten met iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 en watchOS 27 zijn nieuwe statusonderdelen beschikbaar die proactief informatie over een apparaat verstrekken:

• mdm.enrollment-type: Hiermee wordt het inschrijvingstype van het apparaat aangegeven:

  • Onder toezicht: Voor een inschrijving onder toezicht

  • Apparaat: Voor apparaatinschrijving

  • Gebruiker: Voor gebruikersinschrijving

• mdm.is-awaiting-configuration: Dit onderdeel wordt geretourneerd wanneer het apparaat in de configuratie-assistent wacht op de voorziening voor apparaatbeheer.

• mdm.is-return-to-service: Hiermee wordt aangegeven of een apparaat is geconfigureerd voor 'Terug naar gebruiksklaar' met appbehoud.

• mdm.is-shared-ipad: Hiermee wordt aangegeven of een iPad is geconfigureerd als gedeelde iPad.

• mdm.push-magic en mdm.push-token: Deze onderdelen bevatten informatie over de eigenschappen van APNs (Apple Push Notification service) die nodig zijn voor apparaatbeheer.

• device.system.health (alleen iPhone en iPad): Hiermee krijg je inzicht in de status en authenticiteit van hardwarecomponenten zoals de basisband, camera, Face ID, Touch ID, NFC en ultra-wideband.

Isolatiemodus

De isolatiemodus is een extreme, optionele beveiliging die speciaal is ontworpen voor de zeer weinige gebruikers die, vanwege wie ze zijn of wat ze doen, persoonlijk doelwit kunnen zijn van enkele van de meest geraffineerde digitale bedreigingen. Als dergelijke gebruikers deel uitmaken van een organisatie, wil het IT-team mogelijk controleren of de isolatiemodus is ingeschakeld voor hun apparaten en de status hiervan bewaken.

Op onder toezicht geplaatste apparaten met iOS 27, iPadOS 27, macOS 27 en watchOS 27 kunnen voorzieningen voor apparaatbeheer zich abonneren op het nieuwe statusonderdeel security.lockdown-mode dat proactief de status van de isolatiemodus van een apparaat rapporteert.

Configuratie van plug-in voor webmateriaalfilter

In het onderwijs en het bedrijfsleven is veel behoefte aan materiaalfilters. Hiermee kunnen IT-teams een beheerde browserervaring bieden en ongewenste webpagina's blokkeren. iOS, iPadOS, macOS en visionOS beschikken over frameworks waarmee oplossingen voor het filteren van webmateriaal kunnen worden geïntegreerd in het besturingssysteem, zodat webverkeer kan worden gefilterd.

Op apparaten met iOS 27, iPadOS 27, macOS 27 en visionOS 27 kunnen de benodigde instellingen worden geïmplementeerd met de configuratie com.apple.configuration.webcontent-filter.plugin. Hiermee kunnen organisaties profiteren van de mogelijkheden van declaratief apparaatbeheer in dit beheerdomein.

Verzamelen van AppleCare-logs

Het verzamelen van loginformatie van apparaten om een AppleCare-incident te ondersteunen is een veelvoorkomende en belangrijke stap om bepaald gedrag te diagnosticeren. Momenteel is meestal fysieke toegang tot het apparaat en medewerking van de gebruiker vereist. Het proces is vaak tijdrovend en omslachtig, vooral als gebruikers reizen of zich in een ander gebouw bevinden.

Op apparaten met iOS 27, iPadOS 27, macOS 27 en tvOS 27 kunnen IT-teams op afstand logverzameling starten en annuleren op onder toezicht geplaatste apparaten met behulp van twee nieuwe MDM-commando's:

• TriggerEnhancedLogCollection: Hiermee wordt op afstand een sessie voor logverzameling gestart. Voor dit commando moet een token worden opgegeven dat door AppleCare is verstrekt. Nadat de logs zijn aangemaakt, worden ze automatisch naar Apple geüpload en aan het AppleCare-ticket gekoppeld.

• CancelEnhancedLogCollection: Hiermee wordt een actieve sessie beëindigd.

Afhankelijk van het apparaat en de status ervan kan het IT-team een interactief of niet-interactief token aanvragen als onderdeel van een AppleCare-ticket om de sessie voor het verzamelen van logs op het apparaat te autoriseren. Aanvullende informatie over sessies:

• Tijdens een interactieve sessie voor het verzamelen van logs wordt de gebruiker om toestemming gevraagd. De gebruiker kan onmiddellijk toestemming geven voor het verzamelen en uploaden, ervoor kiezen om de informatie te bekijken voordat deze wordt geüpload of de verzameling van logs annuleren.

• Wanneer niet-interactieve logverzameling wordt gebruikt, wordt een melding weergegeven op het apparaat en worden logs op de achtergrond verzameld en geüpload.

• Op Macs wordt altijd interactieve logverzameling gebruikt. Voor iPhones en iPads is interactieve logverzameling vereist als een account (bijvoorbeeld App Store, iCloud of Mail) is geconfigureerd of als een toegangscode is ingesteld op het apparaat. Op Apple TV's en gedeelde iPads wordt altijd niet-interactieve logverzameling gebruikt.

Informatie over het verzamelen van logs is bovendien beschikbaar in nieuwe declaratieve statusonderdelen:

• enhanced-logging.status: Hiermee wordt aangegeven of een logverzameling gestart, voltooid of geannuleerd is, of het apparaat op toestemming van de gebruiker wacht en of een upload bezig is.

• enhanced-logging.timestamp: Hiermee wordt de tijdstempel van de laatste statuswijziging weergegeven.

• enhanced-logging.applecare-token: Hiermee wordt informatie over het verstrekte AppleCare-token weergegeven.

Terugzetten van back‑ups

Op apparaten met iOS 27, iPadOS 27 en visionOS 27 wordt apparaatbeheerinformatie niet langer teruggezet vanaf een back‑up. Dit geldt voor het inschrijvingsprofiel, de beheerconfiguratie en de toezichtstatus. Apparaten die in Apple School Manager of Apple Business voorkomen, worden automatisch ingeschreven via automatische apparaatinschrijving nadat het apparaat is hersteld, zodat ze de huidige beheerstatus ontvangen in plaats van een verouderde configuratie vanaf de back‑up.

Als een beheerde app niet is gemarkeerd voor verwijdering bij uitschrijving, worden de gegevens ervan hersteld. Voorzieningen voor apparaatbeheer kunnen het beheer van deze gegevens overnemen door de bijbehorende beheerde app na het terugzetten te installeren.

Verbeteringen in 'Terug naar gebruiksklaar'

Hieronder worden de verbeteringen in de functie 'Terug naar gebruiksklaar' beschreven.

Nieuwe poging tot automatische inschrijving

Wanneer een apparaat het commando 'Terug naar gebruiksklaar' ontvangt, is het momenteel zo dat het opnieuw wordt ingesteld en vervolgens wordt geprobeerd het in te schrijven bij een specifieke voorziening voor apparaatbeheer. In bepaalde gevallen, bijvoorbeeld bij tijdelijke netwerkproblemen of bij fouten in de voorziening voor apparaatbeheer, kan de inschrijving mislukken, waardoor het apparaat wordt gewist maar niet wordt ingeschreven.

Op iPhones en iPads met iOS 27 en iPadOS 27 is de nieuwe sleutel ShouldRetryEnrollment aan het woordenboek ReturnToService van het commando EraseDevice toegevoegd om deze situatie te verbeteren. Wanneer deze sleutel op TRUE is ingesteld, probeert het apparaat zich automatisch opnieuw in te schrijven met een toenemend tijdsinterval (tot vijf minuten) als de eerste poging is mislukt.

Taal en regio instellen

Op iPhones en iPads met iOS 27 en iPadOS 27 kunnen IT-teams de taal en regio van een apparaat instellen in het profiel voor geautomatiseerde apparaatinschrijving. Dit biedt meer flexibiliteit tijdens het proces voor 'Terug naar gebruiksklaar', omdat IT-teams tijdens het opnieuw instellen de gewenste landinstelling op het apparaat kunnen instellen. Anders wordt de eerder geselecteerde optie toegepast. De taal en regio kunnen worden ingesteld met twee nieuwe sleutels in het inschrijvingsprofiel voor apparaatbeheer:

• language: Definieert de taal die moet worden ingesteld met behulp van de ISO 639-1-code van twee letters.

• region: Definieert de regio die moet worden ingesteld met behulp van de ISO 3166-1-code van twee letters.

'Terug naar gebruiksklaar' starten

Op iPhones en iPads met iOS 27 en iPadOS 27 die zijn geconfigureerd voor 'Terug naar gebruiksklaar' met appbehoud, zijn er nieuwe opties om het proces 'Terug naar gebruiksklaar' te starten.

Gebruikers kunnen 'Terug naar gebruiksklaar' starten vanuit het bedieningspaneel of IT-teams kunnen de sleutel SharedDeviceConfiguration.TemporarySessionTimeout in het commando Settings configureren om 'Terug naar gebruiksklaar' automatisch te laten starten na een opgegeven periode van inactiviteit (in seconden).

Wanneer 'Terug naar gebruiksklaar' vanuit het bedieningspaneel wordt gestart, voert het apparaat een ReturnToService-check‑in uit bij de voorziening voor apparaatbeheer om de benodigde inschrijvingsinformatie op te halen. Deze informatie kan ook de nieuwe sleutel ShouldRetryEnrollment bevatten.

Afdwinging van software-updates

Op apparaten met iOS 27, iPadOS 27 en visionOS 27 kunnen IT-teams software-updates afdwingen op een onder toezicht geplaatst apparaat wanneer het apparaat het commando erase van 'Terug naar gebruiksklaar' ontvangt. De voorziening voor apparaatbeheer moet tijdens de inschrijving een 403-reactie retourneren die informatie bevat over de vereiste besturingssysteemversie op het apparaat. Het apparaat voert vervolgens automatisch de software-update uit en gaat verder met 'Terug naar gebruiksklaar'.

Wijziging van term 'Wifi-assistentie'

Op apparaten met iOS 27 en iPadOS 27 wordt de term 'Wifi-assistentie' gewijzigd in 'Assistentie met connectiviteit'. De sleutel WiFiAssistPolicy voor apparaatbeheer in NetworkUsageRules.SIMRulesItem verandert NIET.

Configuratie voor materiaalcaching

Materiaalcaching is een voorziening in macOS die het downloaden versnelt van software die door Apple wordt gedistribueerd en van gegevens die gebruikers in iCloud bewaren doordat materiaal dat al op lokale Apple apparaten is gedownload, in de cache wordt bewaard. Het bewaarde materiaal wordt opgeslagen in een materiaalcache op een Mac en kan door andere apparaten worden opgevraagd zonder dat daarvoor een internetverbinding nodig is.

Op onder toezicht geplaatste Macs met macOS 27 kunnen IT-teams materiaalcaching configureren met behulp van declaratief apparaatbeheer. De nieuwe configuratie com.apple.configuration.content-cache.settings bevat alle sleutels die voorheen beschikbaar waren in het verouderde profiel.

Daarnaast zijn er nieuwe declaratieve statusonderdelen beschikbaar die naar de voorziening voor apparaatbeheer worden verzonden waarbij het apparaat is ingeschreven:

• content-cache.info: Algemene informatie over de materiaalcache, zoals beschikbare en gebruikte opslagruimte, status en cachedruk.

• content-cache.status: Meer gedetailleerde informatie over de registratiestatus, IP-adressen, rapportagestatus en aangetroffen fouten.

• content-cache.parents: De lijst en status van bovenliggende materiaalcaches.

• content-cache.peers: De lijst en status van peermateriaalcaches.

De Mac kan ook regelmatig informatie verzenden naar een willekeurig HTTPS-eindpunt dat is opgegeven in de sleutel ManagementStatusTarget. Hiervoor wordt het tijdsinterval gebruikt dat is gedefinieerd in de sleutel ManagementReportingInterval. Zo kun je aangepaste bewakingsoplossingen en dashboards maken, waarmee je meer inzicht krijgt in het gebruik van de voorziening voor materiaalcaching.

Om de verbinding met het ontvangende HTTP-eindpunt te beveiligen, biedt ManagementSecurityConfig drie opties:

• no-cert: Er wordt geen validatie uitgevoerd van het TLS-certificaat van de server (hiermee kun je bijvoorbeeld ook onversleutelde HTTP-verzoeken versturen voor testdoeleinden).

• signedByCACert: Het servercertificaat wordt gevalideerd bij een certificaatautoriteit die door het apparaat wordt vertrouwd.

• specificServerCert: Het certificaat van de voorziening moet overeenkomen met het servercertificaat dat in het onderdeel ManagementStatusCertificateReference is opgegeven.

De materiaalcache verstuurt de huidige cachestatus als tekst met een JSON-structuur via een HTTPS POST-verzoek en voegt een serverGUID toe, die kan worden gebruikt om meerdere verzoeken aan dezelfde server toe te wijzen.

Zie de declaration to configure the content caching service in de Apple Developer-documentatie voor meer informatie over de structuur (Engelstalig).

Nieuwe visionOS-beperkingen

IT-teams hebben meer controle over Apple Vision Pro-apparaten met visionOS 27 die onder toezicht staan dankzij nieuwe beperkingen:

• allowBluetoothModification: Voorkomt dat gebruikers de instellingen voor Bluetooth aanpassen.

• allowChat: Beperkt het gebruik van iMessage.

IT-teams kunnen ook allowListedAppBundleIDs en blockedAppBundleIDs gebruiken, maar moeten ook beginnen met de overgang naar declaratief beheer voor het starten van apps. Beide beperkingen zijn aangemerkt als verouderd in visionOS 27.

Intelligentie, Siri en toetsenbordbeheer

Apple moderniseert het beheer van intelligente systemen die op het apparaat beschikbaar zijn door functies van verouderde payloads met MDM-beperkingen te verplaatsen naar configuraties voor declaratief apparaatbeheer. Deze migratie maakt het beleid duidelijker, verhoogt de flexibiliteit bij het toepassen van de configuraties en biedt een gestroomlijnd pad om beheermogelijkheden te vinden. De volgende instellingen zijn beschikbaar via een moderne declaratieve configuratie:

• Apple Intelligence

• Externe intelligentie

• Siri

• Toetsenbord

Instellingen voor Apple Intelligence

Op onder toezicht geplaatste apparaten met iOS 26.4, iPadOS 26.4, macOS 26.4 en visionOS 26.4 of nieuwer, kunnen IT-teams de configuratie com.apple.configuration.intelligence.settings gebruiken om wel of niet Apple Intelligence-functies op het hele apparaat toe te staan, waaronder:

• AllowGenmoji: Genmoji

• AllowImagePlayground: Image Playground

• AllowWritingTools: Schrijfhulp

• AllowImageWand: Beeldpenseel (iOS, iPadOS, visionOS)

Naast deze instellingen voor het hele apparaat kunnen IT-teams ook het volgende configureren:

• App-specifieke intelligentiefuncties voor Mail, Notities en Safari

• Apple Intelligence-rapport

• Resultaten van gepersonaliseerd handschrift (alleen iOS, iPadOS)

• Samenvatting met visuele intelligentie (alleen iOS, iPadOS)

• Dicteren en vertalen alleen verwerken op het apparaat (alleen iOS, iPadOS)

Op onder toezicht geplaatste apparaten met iOS 27, iPadOS 27, macOS 27 en visionOS 27 bepaalt de nieuwe sleutel Apps.Calendar.AllowNaturalLanguageEditing in de configuratie com.apple.configuration.intelligence.settings of een gebruiker agenda-activiteiten kan invoeren op basis van natuurlijke taal wanneer de sleutel is ingesteld op FALSE.

Instellingen voor externe intelligentie

Organisaties kunnen op onder toezicht geplaatste apparaten met iOS 26.4, iPadOS 26.4, macOS 26.4 en visionOS 26.4 of nieuwer geïntegreerde externe intelligentievoorzieningen beheren met behulp van de configuratie com.apple.configuration.external-intelligence.settings. Hiermee kunnen IT-teams externe intelligentievoorzieningen toestaan of beperken en het inloggen bij deze voorzieningen regelen.

Beperkingen van de afdwingbaarheid in de eerste seedversies van de 27.0-besturingssystemen zijn gedocumenteerd in het gedeelte met bekende problemen in de notities bij de seedversies op AppleSeed voor IT.

Siri-instellingen

Op onder toezicht geplaatste apparaten met iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 en watchOS 26.4 of nieuwer en tvOS 27 kunnen IT-teams de configuratie com.apple.configuration.siri.settings gebruiken om het volgende te beheren:

• Siri wel of niet toestaan op het hele apparaat (iOS, iPadOS, macOS, tvOS, visionOS)

• Siri-toegang beheren wanneer het apparaat vergrendeld is (iOS, iPadOS, watchOS)

• Wel of niet toestaan dat Siri gebruikersmateriaal verwerkt (iOS, iPadOS, watchOS)

• Filteren van grof taalgebruik in Siri-antwoorden afdwingen (iOS, iPadOS, macOS)

Toetsenbordinstellingen

Op onder toezicht geplaatste apparaten met iOS 26.4, iPadOS 26.4 en macOS 26.4 of nieuwer kunnen IT-teams de configuratie com.apple.configuration.keyboard.settings gebruiken om het volgende te beheren:

• Dicteerfunctie

• Definities opzoeken

• Toetsenbordsuggesties voor wiskunde

• Tekstsuggesties (alleen iOS, iPadOS)

• Vegen om te typen (alleen iOS, iPadOS)

• Opdrachten voor tekstvervanging (alleen iOS, iPadOS)

• Tekstcorrectie: automatische correctie, spellingcontrole (alleen iOS, iPadOS)

File Provider-beheer

Organisaties hebben in macOS 26.4 of nieuwer extra controle over File Provider-extensies. Ze kunnen bepalen tot welke volumes File Provider-extensies toegang hebben en hoe ze gegevens synchroniseren. Hiermee wordt de bestaande optie uitgebreid met de mogelijkheid om te bepalen hoe File Provider-extensies gegevens uit de mappen 'Bureaublad' en 'Documenten' van de gebruiker kunnen synchroniseren.

Deze functies bieden organisaties die bedrijfsoplossingen voor bestandsbeheer gebruiken meer gedetailleerde controle, terwijl de beveiligingsgrenzen rondom gegevensvolumes behouden blijven.

Met de payload com.apple.fileproviderd kunnen IT-teams:

• Algemene gegevenssynchronisatie door File Provider-extensies wel of niet toestaan.

  Opmerking: Als je synchronisatie uitschakelt, wordt ook de synchronisatie van gegevens in 'Bureaublad' en 'Documenten' uitgeschakeld.

• Bepalen of File Provider-extensies kunnen synchroniseren met locaties op versleutelde externe opslag die is geformatteerd met APFS.

• Synchronisatie en externe synchronisatie beperken tot afzonderlijke File Provider-extensies in goedgekeurde apps.

• Opgeven voor welke apps de bijbehorende File Provider-extensie standaard is ingeschakeld.

Beheerde migratie-assistent

Op Macs met macOS 26.4 of nieuwer wordt met de beheerde migratie-assistent het overzetten van gegevens tussen Macs tijdens het uitvoeren van de configuratie-assistent geoptimaliseerd, waardoor organisaties controle hebben over welke gegevens naar een nieuwe Mac worden overgezet, zonder dat gebruikers deze beslissingen hoeven te nemen.

De migratie-assistent selecteert de snelste overdrachtsmethode voor de migratie. Opties zijn onder meer peer-to-peer wifi, infrastructuur-wifi, ethernet of Thunderbolt. De migratie-assistent controleert ook regelmatig of er tijdens de migratie een snellere optie beschikbaar komt.

IT-teams kunnen het migratieproces aanpassen en stroomlijnen door het volgende op te geven:

• RequiredPaths: Welke submappen en bestanden in de thuismap van de gebruiker moeten worden gemigreerd.

• ExcludedPaths: Welke submappen en bestanden niet moeten worden gemigreerd.

• ExcludedAccounts: Welke gebruikersaccounts niet worden aangeboden voor migratie.

• ShouldMigrateSecurityPrivacySettings: Of privacy-instellingen op systeemniveau moeten worden gemigreerd.

Zie Beheerde migratie-assistent voor macOS voor meer informatie.

Verwijdering van commando's voor software-updates

Zoals vorig jaar aangekondigd, werkt verouderd software-updatebeheer niet meer in alle 27.0-besturingssystemen. Dit zijn:

• Commando's voor software-updates

• Verzoeken voor software-updates

• Instellingen voor aanbevolen frequentie

• Beperkingen voor software-updates, zoals uitstel en beveiligings­verbeteringen op de achtergrond

IT-teams moeten declaratief software-updatebeheer gebruiken om updates op apparaten te configureren en af te dwingen. Deze methode biedt meer transparantie voor gebruikers en meer controle.

Zie de Device Management documentation in de Apple Developer-documentatie voor meer informatie (Engelstalig).