将受管理的 App 分发到 Apple 设备
根据组织的不同，你可能需要控制分发给用户的 App 如何连接内部资源，以及在用户离开组织时如何处理数据安全问题。你可使用设备管理服务以无线方式分发免费、付费以及自定义 App，并管理数据流，从而在组织安全性和用户个性化之间取得适当平衡。
受管理的 App
使用设备管理服务安装的 App 称为受管理的 App。它们通常包含敏感性信息，并且相对于用户下载的 App 来说，你对受管理的 App 具有更多的控制权。
受管理的 App 可从设备上移除：
通过设备管理服务（远程）。
当用户从设备管理服务中取消注册设备时。
在 iPhone、iPad 和 Apple Vision Pro 上，移除 App 会同时移除数据容器中其关联的数据。如果设备管理服务在 iPhone、iPad 或 Apple Vision Pro 上撤销 App 许可证但未将其移除，该 App 在设备上仍可使用 30 天。如果 App 开发者执行回执检查，该 App 可能提前停用。在 Mac 上，App 仍保持可用直至回执检查发生。
App 停用后将无法再启动并会通知用户，但该 App 仍保留在设备上且其数据也会保留。用户购买副本后，才能再次使用 App。
受管理的 App 的访问限制和功能
受管理的 App 可拥有以下功能和访问限制，由此提供更强的安全性和更好的用户体验：
从设备管理服务取消注册：指定当用户从设备管理服务取消注册时，是否在设备上保留受管理的 App 及其数据。
转换 App：将未受管理的 App 转换为受管理的 App。
如果设备受监督且设备管理服务请求转换，那么将未受管理的 App 转换为受管理的 App 无需用户交互。如果设备未受监督，用户需要正式接受管理。用户注册不支持 App 转换。
App 版本更新：定期检查 App Store 中所发布 App 的最新版本，然后将安装 App 命令发送到设备以更新 App。此检查操作也应用于自定义 App。通过设备管理服务安装和管理且分配到设备的 App 需要由该服务更新；App Store 中不会向用户显示 App 更新通知。
允许 Tap to Pay (iOS)：对于运行 iOS 16.4 或更高版本的设备，在前台运行的支付 App 可被标记为在 Tap to Pay 交易期间安全使用。设定时，将设备交由客户输入卡片 PIN 码进行每次交易后，需要用户通过面容 ID、触控 ID 或密码来解锁其设备。
使用“被管理的打开方式”访问限制（iOS、iPadOS）：你可以从三种功能中选取一种来保护你组织的 App 数据：
允许被管理的目的位置中包含来自未被管理的来源中的文稿。实施此访问限制可帮助防止用户的个人来源和账户打开组织内部被管理的目的位置中的文稿。例如，此访问限制可防止用户在组织的 PDF App 中打开随机网页的 PDF。
允许未被管理的目的位置中包含来自被管理的来源中的文稿。实施此访问限制可帮助防止组织内部被管理的来源和账户打开用户个人目的位置中的文稿。这可防止用户使用任何个人 App 打开组织内部被管理的电子邮件账户中的机密电子邮件附件。
被管理的粘贴板。对于运行 iOS 15 和 iPadOS 15 或更高版本的设备，此访问限制有助于控制在受管理的目的位置和未受管理的目的位置之间粘贴内容。实施以上访问限制时，粘贴内容被设计为遵循第三方或第一方 App（如“日历”、“文件”、“邮件”和“备忘录”）之间的“被管理的打开方式”边界。当使用此访问限制且内容超过被管理的边界时，App 也不能从粘贴板请求项目。对于运行 iOS 16 和 iPadOS 16.1 或更高版本的设备，受管理的域也包括在此边界内。
将 App 标记为不可移除（iOS、iPadOS）：对于运行 iOS 14 和 iPadOS 14 或更高版本的设备，你可以将受管理的 App 标记为不可移除。以前管理员必须完全锁定主屏幕并阻止删除所有 App，这限制了用户管理自己 App 的能力。用户可继续重新排列其 App、安装新 App 以及删除已安装的其他 App。管理员可将对执行任务至关重要的受管理的 App 标记为不可移除。用户尝试删除或卸载受管理的 App 时，该过程会被阻止并显示提醒。不可移除的受管理的 App 确保了组织中用户的设备上始终有所需的 App。
阻止受管理的 App 备份数据 (macOS)：你可以帮助阻止受管理的 App 将数据备份到“访达”（macOS 10.15 或更高版本）、iTunes（macOS 10.14 或更低版本）或者 iCloud。设备管理服务移除 App，然后用户重新安装 App 的情况下，禁止备份有助于防止恢复受管理的 App 数据。
使用 App 配置设置：App 开发者可标识出配置设置，这些设置可在 App 安装为受管理的 App 之前或之后进行设定。例如，开发者可以指定一个 SkipIntro 设置，让 App 作为受管理的 App 时跳过介绍屏幕。
使用设备管理服务可读取的 App 反馈设置：App 开发者可标识出设备管理服务可读取的 App 设置。例如，开发者可以指定一个
DidFinishSetup键，设备管理服务可以通过查询此键来确定 App 是否已正确启动和设置。从 Safari 浏览器下载受管理的文稿：如果 Safari 浏览器中的下载项源自受管理的域，那么该下载项视为受管理的文稿。例如，用户从受管理的域下载了 PDF，那么该 PDF 需要符合所有受管理的文稿设置。有关更多信息，请参阅被管理的域示例。
阻止受管理的 App 将数据储存在 iCloud 中：用户在未受管理的 App 中创建的数据仍可储存在 iCloud 中。
【注】某些选项并非在所有设备管理服务中都可用。若要了解哪些选项适用于你的设备，请参阅开发者的设备管理服务文稿。
配置受管理的 App
组织通常需要根据用户特定需求，甚至是针对特定用户群组来自定义 App 的用户体验。
在运行 iOS 18.4、iPadOS 18.4、visionOS 2.4 或更高版本的设备上，组织可使用安全方式将 App 特定的配置和密钥（如密码、证书和身份）部署到采用 ManagedApp 框架的受管理 App 中。这允许组织使用 com.apple.configuration.app.managed 配置来自定义 App 的行为、简化用户体验和增强安全性。示例包括：
为特定设备或用户预配置受管理的 App 或 App 扩展。
使用自动预置的身份进行认证和签名。
安全地接收 API 访问令牌。
获取用于自定义信任的证书（锁定证书）。
使用硬件绑定密钥和管理式设备证明进行强设备认证。
有关更多信息，请参阅 Apple 开发者网站上的 ManagedApp 框架。
受管理的图书
你还可以使用设备管理服务分发自己创建的受管理图书、EPUB 图书和 PDF。
设备管理服务分发的 EPUB 图书和 PDF 与其他受管理的文稿具有相同的属性。你可以在需要时更新为较新版本、仅与其他受管理的 App 共享，或使用管理式 Apple 账户通过电子邮件发送。设备管理服务还可防止用户备份受管理的图书。尽管你将这些图书分配给了用户，但它们只会出现在设备管理服务分配给这些用户的 iPhone 和 iPad 设备上。
【注】Apple Vision Pro 上不支持受管理的图书。
限制第三方键盘
iOS 和 iPadOS 支持可应用到第三方键盘扩展上的“被管理的打开方式”规则。这些规则可防止未受管理的键盘出现在受管理的 App 中。