Aktualizácie správy zariadení predstavené na konferencii WWDC26

Konfigurácie siete

Nové konfigurácie siete dostupné v deklaratívnej správe zariadení umožňujú aplikovať konzistentné pravidlá siete na zariadeniach v každej hlavnej platforme. Vďaka výhodám deklaratívnej správy zariadení môžu IT tímy poskytnúť prihlasovacie údaje ako deklaratívne aktívum na účely autentifikácie namiesto toho, aby ich združili v tom istom profile. Týmto spôsobom sa zautomatizuje a zjednoduší obnovovanie daných prihlasovacích údajov pre IT tímy a užívateľov a rovnaké prihlasovacie údaje je možné používať v rôznych konfiguráciách siete.

Konfiguračné profily ako deklaratívne aktíva

V súčasnosti platí, že ak je poskytnutý starší profil, URL musí odkazovať na službu správy zariadení a prístup je autentifikovaný certifikátom identity zariadenia.

Aby sa zabezpečil plynulý prechod, deklaratívna správa zariadení podporuje nasadzovanie starších profilov ako konfigurácií.

Na zariadeniach so systémami iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 a watchOS 27 môžu byť staršie profily doručené ako deklaratívne aktíva. Tým sa zabezpečí dodatočná flexibilita, pokiaľ ide o to, kde sú tieto profily hostené a ako sa zariadenia autentifikujú, aby ich získali. Deklaratívna správa zariadení má tiež vstavané overenie integrity, ktoré zaisťuje, že stiahnuté aktívum nie je upravené.

Keď sa konfigurácia použije, zariadenie stiahne profil z URL. IT tímy ho môžu nakonfigurovať pomocou nového kľúča ProfileAssetReference, ktorý je dostupný v nasledujúcich konfiguráciách:

Zvýšené požiadavky na bezpečnosť siete

Na zariadeniach so systémami iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 a watchOS 27 vybrané systémové procesy vynucujú prísnejšie požiadavky na zabezpečenie siete (TLS). Tieto nové požiadavky môžu spôsobiť zlyhanie pripojení, ak ich služba správy zariadení nespĺňa. Týka sa to procesov, ktoré sú zapojené do aktivít súvisiacich so správou zariadení, automatizovanou registráciou zariadení, inštaláciou konfiguračných profilov, inštaláciou apiek a aktualizáciami softvéru. Služby správy zariadení musia minimálne podporovať TLS 1.2 pomocou šifrovacích sád a certifikátov, ktoré spĺňajú nové požiadavky App Transport Security (ATS).

Ďalšie podrobnosti o ovplyvnených procesoch, požiadavkách a o tom, ako auditovať a diagnostikovať zlyhania v spravovaných prostrediach, nájdete v článku podpory Apple Príprava sieťového prostredia na prísnejšie bezpečnostné požiadavky.

Ďalšie podrobnosti o ATS a nových požiadavkách nájdete v téme Preventing Insecure Network Connections (Zabránenie nezabezpečeným sieťovým pripojeniam) v dokumentácii pre vývojárov Apple.

Vylepšenia hlásenia stavu

Registrácia a zdravie zariadenia

Monitorovanie stavu registrácie zariadení je kľúčovou súčasťou správy zariadení. V súčasnosti musí služba správy zariadení používať žiadosti správy mobilných zariadení (MDM), ktoré spôsobujú oneskorenie a zaťaženie servera, pričom neposkytujú presnosť v reálnom čase.

Na zariadeniach so systémom iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 a watchOS 27 sú k dispozícii nové položky stavu, ktoré poskytujú proaktívne informácie o zariadení:

• mdm.enrollment-type: Táto položka informuje o type registrácie zariadenia, ktorá môže byť:

  • Pod dohľadom: pre registráciu pod dohľadom

  • Zariadenie: pre registráciu zariadenia

  • Užívateľ: pre registráciu užívateľa

• mdm.is-awaiting-configuration: Táto položka sa vráti, keď zariadenie čaká v Sprievodcovi nastavením na službu správy zariadení.

• mdm.is-return-to-service: Táto položka udáva, či je zariadenie nakonfigurované pre funkciu Návrat do služby so zachovaním apiek.

• mdm.is-shared-ipad: Táto položka určuje, či je iPad nakonfigurovaný ako Zdieľaný iPad.

• mdm.push-magic a mdm.push-token: Tieto položky poskytujú podrobnosti o vlastnostiach služby APNs (Apple Push Notification service), ktoré sa vyžadujú pre správu zariadení.

• device.system.health (len iPhone a iPad): Táto položka poskytuje prehľad o stave a pravosti hardvérových komponentov, ako sú základné pásmo, kamera, Face ID, Touch ID, NFC a Ultra-Wideband.

Režim blokovania

Režim blokovania je voliteľný, extrémny typ ochrany. Je navrhnutý pre veľmi malú skupinu ľudí, ktorí sa môžu z dôvodu toho, kým sú alebo čo robia, osobne stať cieľom mimoriadne sofistikovaných digitálnych hrozieb. Ak sú takíto jednotlivci súčasťou organizácie, IT tím by mal zabezpečiť, aby bol na ich zariadeniach zapnutý režim blokovania, a monitorovať stav.

Na zariadeniach pod dohľadom so systémami iOS 27, iPadOS 27, macOS 27 a watchOS 27 môžu služby správy zariadení odoberať novú položku stavu security.lockdown-mode, ktorá proaktívne hlási stav režimu blokovania zariadenia.

Konfigurácia doplnku filtra webového obsahu

Filtrovanie obsahu je bežnou potrebou vo vzdelávacích inštitúciách a firemnom prostredí. Filtrovanie obsahu možňuje IT tímom poskytovať spravované prehliadanie webu a blokovať nechcené webové stránky. Systémy iOS, iPadOS, macOS a visionOS ponúkajú frameworky, ktoré umožňujú riešeniam na filtrovanie webového obsahu integrovať sa do operačného systému a filtrovať webové prenosy.

Na zariadeniach so systémami iOS 27, iPadOS 27, macOS 27 a visionOS 27 je možné nasadiť potrebné nastavenia pomocou konfigurácie com.apple.configuration.webcontent-filter.plugin, ktorá organizáciám umožňuje využívať možnosti deklaratívnej správy zariadení v tejto doméne správy.

Zhromažďovanie záznamov AppleCare

Zhromažďovanie informácií zo záznamov zariadení predstavuje bežný a dôležitý krok pri diagnostike určitého správania v rámci prípadu AppleCare. V súčasnosti si takýto krok zvyčajne vyžaduje fyzický prístup k zariadeniu a spoluprácu užívateľa a často ide o časovo náročný a ťažkopádny proces, najmä keď užívatelia cestujú alebo sa nachádzajú v inej budove.

Na zariadeniach so systémami iOS 27, iPadOS 27, macOS 27 a tvOS 27 môžu IT tímy na diaľku spustiť a zrušiť zhromažďovanie záznamov na zariadeniach pod dohľadom pomocou dvoch nových príkazov MDM:

• TriggerEnhancedLogCollection: Tento príkaz spustí reláciu vzdialeného zhromažďovania záznamov a vyžaduje zadanie tokenu poskytnutého službou AppleCare. Záznamy sú po vytvorení automaticky odoslané spoločnosti Apple a pripojené k prípadu AppleCare.

• CancelEnhancedLogCollection: Tento príkaz ukončí aktívnu reláciu.

V závislosti od zariadenia a jeho stavu môže IT tím v rámci požiadavky na podporu AppleCare požiadať o interaktívny alebo neinteraktívny token na autorizáciu relácie zhromažďovania záznamov na zariadení. Ďalšie informácie o relácii:

• Interaktívna relácia zhromažďovania záznamov vyzve užívateľa na udelenie súhlasu. Užívateľ môže súhlasiť so zhromažďovaním a okamžitým odosielaním, rozhodnúť sa pre kontrolu informácií pred ich odoslaním alebo zrušiť zhromažďovanie záznamov.

• Keď sa používa neinteraktívne zhromažďovanie záznamov, zariadenie zobrazí hlásenie a záznamy zhromažďuje a odosiela na pozadí.

• Počítače Mac vždy používajú interaktívne zhromažďovanie záznamov. Zariadenia iPhone a iPad vyžadujú interaktívne zhromažďovanie záznamov, ak je nakonfigurovaný účet (napríklad App Store, iCloud, Mail atď.) alebo je na zariadení nastavený kód. Apple TV a Zdieľaný iPad vždy používajú neinteraktívne zhromažďovanie záznamov.

Informácie o zhromažďovaní záznamov sú navyše k dispozícii v nových deklaratívnych položkách stavu:

• enhanced-logging.status: Zobrazuje, či sa zhromažďovanie záznamov začalo, skončili alebo bolo zrušené, či zariadenie čaká na súhlas užívateľa a či prebieha odosielanie.

• enhanced-logging.timestamp: Udáva časovú značku poslednej zmeny stavu.

• enhanced-logging.applecare-token: Táto položka uvádza poskytnutý token AppleCare.

Obnova zo zálohy

Na zariadeniach so systémami iOS 27, iPadOS 27 a visionOS 27 už zariadenia neobnovujú informácie o správe zariadení zo zálohy. K týmto informáciám patria registračný profil, konfigurácia správy a stav dohľadu. Zariadenia, ktoré sa zobrazia v Apple School Manageri alebo Apple Business, sa po obnove zariadenia automaticky zaregistrujú pomocou funkcie Automatická registrácia zariadenia, vďaka čomu nadobudnú aktuálny stav správy namiesto zastaranej konfigurácie zo zálohy.

Ak nejaká spravovaná apka nie je pri zrušení registrácie označená na odstránenie, jej dáta sa obnovia. Správu týchto dát môžu prevziať služby správy zariadení, a to inštaláciou príslušnej spravovanej apky po obnove.

Vylepšenia funkcie Návrat do služby

Nižšie sú uvedené vylepšenia funkcie Návrat do služby.

Automaticky opakovaný pokus o registráciu

Momentálne platí, že keď zariadenie dostane príkaz na návrat do služby, resetuje sa a pokúsi sa zaregistrovať do konkrétnej služby správy zariadení. V niektorých prípadoch, napríklad počas prechodných problémov so sieťou alebo pri výskyte chýb služby správy zariadení, môže registrácia zlyhať a zariadenie zostane vymazané, ale nezaregistrované.

Na zariadeniach iPhone a iPad so systémami iOS 27 a iPadOS 27 je nový kľúč ShouldRetryEnrollment v slovníku ReturnToService príkazu EraseDevice navrhnutý tak, aby pomáhal predchádzať tejto situácii. Keď je tento kľúč nastavený na hodnotu TRUE, zariadenie sa bude automaticky znovu pokúšať o registráciu s narastajúcim časovým oneskorením (až do piatich minút), ak počiatočný pokus zlyhá.

Nastavenie jazyka a regiónu

Na zariadeniach iPhone a iPad so systémami iOS 27 a iPadOS 27 môžu IT tímy nastaviť jazyk a oblasť zariadenia v profile automatickej registrácie zariadení. Tým získaju dodatočnú flexibilitu pre proces návratu zariadenia do služby, pretože IT tímy môžu počas resetovania nastaviť na zariadení požadované miestne nastavenia. V opačnom prípade sa použije predtým vybraná možnosť. Jazyk a oblasť možno nastaviť pomocou dvoch nových kľúčov v registračnom profile správy zariadení:

• language: Definuje jazyk, ktorý sa má nastaviť, pomocou dvojpísmenového kódu ISO 639-1.

• region: Definuje oblasť, ktorá sa má nastaviť, pomocou dvojpísmenového kódu ISO 3166-1.

Spustenie funkcie Návrat do služby

Na zariadeniach iPhone a iPad so systémami iOS 27 a iPadOS 27, ktoré sú nakonfigurované pre Návrat do služby so zachovaním apiek, sú k dispozícii nové možnosti spustenia procesu Návrat do služby.

Užívatelia môžu spustiť Návrat do služby z Ovládacieho centra, prípadne IT tímy môžu pomocou kľúča SharedDeviceConfiguration.TemporarySessionTimeout v príkaze Settings nakonfigurovať Návrat do služby tak, aby sa automaticky spustil po uplynutí určitého obdobia nečinnosti (v sekundách).

Keď sa Návrat do služby spustí z Ovládacieho centra, zariadenie vykoná ReturnToService registráciu v službe správy zariadení na získanie potrebných registračných informácií. Informácie môžu obsahovať aj nový kľúč ShouldRetryEnrollment.

Vynútenie softvérových aktualizácií

Na zariadeniach so systémami iOS 27, iPadOS 27 a visionOS 27 môžu IT tímy vynútiť aktualizácie softvéru na zariadení pod dohľadom, keď zariadenie dostane príkaz erase pre Návrat do služby. Služba správy zariadení musí počas registrácie vrátiť odpoveď 403, ktorá obsahuje informácie o verzii operačného systému požadovanej na zariadení. Zariadenie potom automaticky vykoná aktualizáciu softvéru a pokračuje funkciou Návrat do služby.

Zmena výrazu Asistent Wi-Fi

Na zariadeniach so systémami iOS 27 a iPadOS 27 sa výraz „Asistent Wi-Fi“ zmení na „Asistent pripojenia“. Kľúč správy zariadení WiFiAssistPolicy v NetworkUsageRules.SIMRulesItem sa NEZMENÍ.

Konfigurácia ukladania obsahu do medzipamäte

Ukladanie obsahu do medzipamäte je služba v rámci systému macOS, ktorá urýchľuje sťahovanie softvéru distribuovaného spoločnosťou Apple a dát, ktoré majú užívatelia v iCloude, tým, že ukladá obsah, ktorý lokálne Apple zariadenia už predtým stiahli. Uložený obsah sa uchováva v obsahovej medzipamäti na Macu a je k dispozícii na prevzatie pre ostatné zariadenia bez toho, aby sa pripájali na internet.

Na Macu so systémom macOS 27, ktorý je pod dohľadom, môžu IT tímy pomocou deklaratívnej správy zariadení nakonfigurovať ukladanie obsahu do medzipamäte. Nová konfigurácia com.apple.configuration.content-cache.settings obsahuje všetky kľúče, ktoré boli predtým dostupné v staršom profile.

Okrem toho sú k dispozícii nové deklaratívne položky stavu, ktoré sa odosielajú do prihlásenej služby správy zariadení:

• content-cache.info: Všeobecné informácie o obsahovej medzipamäti, ako napríklad dostupné a použité úložisko, stav a tlak na medzipamäť.

• content-cache.status: Podrobnejšie informácie o stave registrácie, IP adresách, stave hlásenia a zistených chybách.

• content-cache.parents: Zoznam a stav nadradených obsahových medzipamätí.

• content-cache.peers: Zoznam a stav partnerských obsahových medzipamätí.

Mac môže tiež pravidelne odosielať informácie na ľubovoľný HTTPS koncový bod uvedený v kľúči ManagementStatusTarget na základe časového intervalu definovaného kľúčom ManagementReportingInterval. To umožňuje prispôsobenie riešení a panelov monitorovania, čo poskytuje širší prehľad o tom, ako sa používa služba ukladania do medzipamäte.

Na zabezpečenie pripojenia k prijímajúcemu HTTP koncovému bodu ponúka ManagementSecurityConfig tri možnosti:

• no-cert: Žiadne overenie TLS certifikátu servera (umožňuje napríklad aj jednoduché HTTP požiadavky na účely testovania).

• signedByCACert: Certifikát servera je overený voči certifikačnej autorite (CA), ktorej zariadenie dôveruje.

• specificServerCert: Certifikát služby musí zodpovedať certifikátu servera, ktorý bol poskytnutý v rámci aktíva ManagementStatusCertificateReference.

Obsahová medzipamäť odosiela aktuálny stav medzipamäte ako text formátovaný v JSON pomocou požiadavky HTTPS POST a obsahuje serverGUID, ktorý možno použiť na priradenie viacerých požiadaviek k tomu istému serveru.

Viac informácií o formáte nájdete v téme Declaration to configure the Content Caching service (Deklarácii na konfiguráciu služby ukladania obsahu do medzipamäte) v dokumentácii pre vývojárov Apple.

Nové obmedzenia pre visionOS

Na zariadeniach s visionOS 27 získajú IT tímy vďaka novým obmedzeniam dodatočnú kontrolu nad zariadeniami Apple Vision Pro pod dohľadom:

• allowBluetoothModification: Bráni užívateľom upravovať nastavenia Bluetooth.

• allowChat: Obmedzuje používanie iMessage.

IT tímy môžu tiež používať allowListedAppBundleIDs a blockedAppBundleIDs, ale na spúšťanie apiek by mali začať prechádzať na deklaratívnu správu. Obe obmedzenia už nie sú podporované v systéme visionOS 27.

Správa Intelligence, Siri a klávesnice

Apple modernizuje správu inteligentných systémov dostupných v zariadení presunutím funkcií zo starších objemov dát s MDM obmedzeniami do konfigurácií deklaratívnej správy zariadení. Táto migrácia poskytuje jasnejší zámer pravidiel, väčšiu flexibilitu toho, kedy použiť konfigurácie, a zjednodušenú cestu k nájdeniu možností správy. Nasledujúce nastavenia sú dostupné prostredníctvom modernej deklaratívnej konfigurácie:

• Apple Intelligence

• Externá inteligencia

• Siri

• Klávesnica

Nastavenia Apple Intelligence

Na zariadeniach pod dohľadom so systémami iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 alebo novšími môžu IT tímy použiť konfiguráciu com.apple.configuration.intelligence.settings na povolenie alebo zakázanie funkcií Apple Intelligence v rámci celého zariadenia vrátane:

• AllowGenmoji: Genmoji

• AllowImagePlayground: Image Playground

• AllowWritingTools: Nástroje na písanie

• AllowImageWand: Palička na obrázky (iOS, iPadOS, visionOS)

Okrem týchto nastavení pre celé zariadenie môžu IT tímy ovládať aj:

• Inteligentné funkcie špecifické pre apky Mail, Poznámky a Safari

• Hlásenie o funkciách Apple Intelligence

• Výsledky personalizovaného rukopisu (len iOS a iPadOS)

• Súhrny vizuálnej inteligencie (len iOS a iPadOS)

• Spracovanie diktovania a prekladu len na zariadení (len iOS a iPadOS)

Na zariadeniach so systémami iOS 27, iPadOS 27, macOS 27 a visionOS 27, ktoré sú po dohľadom, nový kľúč Apps.Calendar.AllowNaturalLanguageEditing v konfigurácii com.apple.configuration.intelligence.settings určuje, či užívateľ môže vytvárať udalosti v kalendári pomocou vstupu v prirodzenom jazyku, keď je kľúč nastavený na hodnotu FALSE.

Nastavenia externej inteligencie

Na zariadeniach so systémami iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 alebo novšími, ktoré sú pod dohľadom, môžu organizácie spravovať integráciu externých systémov inteligencie pomocou konfigurácie com.apple.configuration.external-intelligence.settings. To umožňuje IT tímom povoliť alebo obmedziť externé služby inteligencie a kontrolovať prihlasovanie k týmto službám.

Obmedzenia vynucovania v počiatočných verziách operačného systému 27.0 sú zdokumentované v časti Známe problémy v príslušných poznámkach k verzii na portáli AppleSeed pre IT.

Nastavenia Siri

Na zariadeniach so systémom iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4, watchOS 26.4 alebo novším a tvOS 27, ktoré sú pod dohľadom, môžu IT tímy použiť konfiguráciu com.apple.configuration.siri.settings na správu nasledujúcich položiek:

• Globálne povolenie alebo zakázanie Siri (iOS, iPadOS, macOS, tvOS, visionOS)

• Ovládanie prístupu k Siri, keď je zariadenie zamknuté (iOS, iPadOS, watchOS)

• Povolenie alebo zakázanie spracovania obsahu generovaného užívateľom cez Siri (iOS, iPadOS, watchOS)

• Vynucovanie filtrovania nevhodných slov v odpovediach Siri (iOS, iPadOS, macOS)

Nastavenia Klávesnice

Na zariadeniach so systémom iOS 26.4, iPadOS 26.4, macOS 26.4 alebo novším, ktoré sú pod dohľadom, môžu IT tímy použiť konfiguráciu com.apple.configuration.keyboard.settings na správu nasledujúcich položiek:

• Diktovanie

• Vyhľadávanie definícií

• Návrhy matematickej klávesnice

• Prediktívny text (len iOS a iPadOS)

• Písanie ťahaním prsta (len iOS a iPadOS)

• Skratky pre nahrádzania textu (len iOS a iPadOS)

• Oprava textu: automatická oprava, kontrola pravopisu (len iOS a iPadOS)

Správa poskytovateľa súborov

Na Macu so systémom macOS 26.4 alebo novším získajú organizácie dodatočnú kontrolu nad rozšíreniami poskytovateľa súborov. Môžu napríklad definovať, ku ktorým oddielom majú rozšírenia poskytovateľa súborov prístup a ako synchronizujú dáta. Tým sa rozširuje existujúca možnosť definovať, ako môžu rozšírenia poskytovateľa súborov synchronizovať dáta z užívateľských priečinkov Plocha a Dokumenty.

Tieto funkcie umožňujú organizáciám, ktoré používajú podnikové riešenia na správu súborov, podrobnejšiu kontrolu so zachovaním bezpečnostných hraníc v súvislosti s dátovými oddielmi.

Pomocou objemu dát com.apple.fileproviderd môžu IT tímy:

• Povoliť alebo odmietnuť všeobecnú synchronizáciu dát pre rozšírenia poskytovateľa súborov.

  Poznámka: Vypnutím synchronizácie sa tiež vypne synchronizácia dát z priečinkov Plocha a Dokumenty.

• Určovať, či rozšírenia poskytovateľa súborov môžu synchronizovať dáta do umiestnení na šifrovanom externom úložisku s formátovaním APFS.

• Samostatne obmedziť synchronizáciu a externú synchronizáciu na rozšírenia poskytovateľa súborov len v schválených apkách.

• Vybrať apky, ktoré majú predvolene povolené rozšírenie poskytovateľa súborov.

Spravovaný Sprievodca migráciou

Na Macu so systémom macOS 26.4 alebo novším spravovaný Sprievodca migráciou zjednodušuje migráciu dát z Macu do Macu počas Sprievodcu nastavením, čím organizáciám umožňuje kontrolovať, aké dáta sa prenesú do nového Macu, bez toho, aby o tom rozhodovali užívatelia.

Sprievodca migráciou na základe rýchlosti vyberie najlepšiu možnosť prenosu pre migráciu. Medzi tieto možnosti patria priame Wi-Fi, infraštruktúrne Wi-Fi, Ethernet alebo Thunderbolt. Sprievodca migráciou tiež často kontroluje, či je počas migrácie k dispozícii rýchlejšia možnosť.

Proces migrácie môžu IT tímy prispôsobiť a zefektívniť špecifikovaním týchto možností:

• RequiredPaths: ktoré podpriečinky a súbory v domovskom priečinku užívateľa je potrebné migrovať.

• ExcludedPaths: ktoré podpriečinky a súbory majú byť z migrácie vylúčené.

• ExcludedAccounts: ktoré užívateľské účty nemajú byť ponúkané na migráciu.

• ShouldMigrateSecurityPrivacySettings: či sa majú migrovať nastavenia súkromia na úrovni systému.

Viac informácií nájdete v téme Spravovaný sprievodca migráciou pre macOS.

Odstránenie príkazu na aktualizáciu softvéru

Minulý rok bolo oznámené, že správa starších softvérových aktualizácií už nefunguje vo všetkých operačných systémoch verzie 27.0. Zahŕňa to:

• Príkazy na aktualizáciu softvéru

• Žiadosti o aktualizáciu softvéru

• Odporúčané nastavenia kadencie

• Obmedzenia aktualizácií softvéru, ako napríklad odklady a vylepšenia bezpečnosti na pozadí

IT tímy by mali na konfiguráciu a vynucovanie aktualizácií na zariadeniach používať deklaratívnu správu aktualizácií softvéru, ktorá poskytuje zvýšenú transparentnosť pre užívateľov a väčšiu kontrolu.

Ďalšie informácie nájdete v dokumentácii k správe zariadení v dokumentácii pre vývojárov Apple.