将受管理的 App 分发到 Apple 设备
使用设备管理服务安装的 App 称为受管理的 App。它们通常包含敏感性信息，并且相对于用户下载的 App 来说，你对受管理的 App 具有更多的控制权。
受管理的 App 可使用设备管理服务远程安装，包括使用 App 特定的配置和用于自定义 App 用户体验的密钥。
安装受管理的 App
设备管理服务可使用以下方法安装 App：
声明式 App 管理（iOS 17.2、iPadOS 17.2、macOS 26、visionOS 2.4 或更高版本）
InstallApplication命令
为 App 使用的声明式 App 管理具有更高优先级，且会导致针对相同 App 的命令失效。为方便过渡，使用 InstallApplication 命令安装的 App 可转换为使用声明式 App 管理进行管理。
【重要事项】开始安装通过 Apple 校园教务管理或 Apple 商务管理的“App 和图书”部分购买的 App 前，设备管理服务需要分配基于设备或基于用户的许可证。
声明式 App 管理可让设备自主安装 App，并使用状态报告提供详细分析。你还可以使用激活谓词为 App 安装时间定义规则。例如，仅当设备上应用了对应网络中继配置且设定了密码时，设备才会安装需要安全连接的 App。
通过声明式 App 管理，App 可定义为必需或可选。必需 App 会在设备上自动安装并保持已安装状态。可选 App 会在用户请求时按需安装。设备管理服务开发者可使用 ManagedAppDistribution 框架创建专属 App，用于处理此类可选 App 的安装。
对于受监督设备，App 会静默安装。对于其他设备，用户会看到批准安装的提示。
iPhone、iPad、Apple TV 和 Apple Vision Pro 设备上安装的 App 始终受管理。在 Mac 上，使用声明式 App 管理安装的 App 也会受管理，对于其他 App，设备管理服务可针对每个 App 定义管理状态。
安装特定版本的 App
App Store 中 App 的最新可用版本通常会安装。通过声明式 App 管理，你还可定义要安装的特定 App 版本。App Store 会保留之前的 App 版本，除非开发者确定移除。
若要在配置中指定版本，需使用 App 的 ExternalVersionIdentifier。
接管 App 时，本地安装的版本会自动更新为配置中指定的版本。如果本地安装的版本比指定版本新，会向设备管理服务返回错误。
ManagedAppDistribution 框架
将 App 许可证分配到设备或用户并应用对应的声明式 App 配置后，便可使用统一界面通过 ManagedAppDistribution 框架发起 App 安装。此框架可由设备管理服务实施，且无需设备管理服务执行额外操作即可在设备上进行安装。它还向用户提供了透明可视的进度和快速响应的体验。
配置受管理的 App
组织通常需要根据用户特定需求，甚至是针对特定用户群组来自定义 App 的用户体验。
ManagedApp 框架
对于运行 iOS 18.4、iPadOS 18.4、visionOS 2.4 或更高版本的设备，你可以使用安全方式将 App 特定的配置和密钥（如密码、证书和身份）部署到采用 ManagedApp 框架的受管理 App 中。这可让你通过声明式 App 管理自定义 App 的行为、简化用户体验和增强安全性。示例包括：
为特定设备或用户预配置受管理的 App 或 App 扩展。
使用自动预置的身份进行认证和签名。
安全地接收 API 访问令牌。
获取用于自定义信任的证书（锁定证书）。
使用硬件绑定密钥和管理式设备证明进行强设备认证。
有关更多信息，请参阅 Apple 开发者网站上的 ManagedApp 框架。
App 属性
在 iPhone、iPad 和 Apple Vision Pro 上，你可以定义要应用到 App 的额外属性：
阻止受管理的 App 备份数据：受管理的 App 数据不会备份到“访达”或 iCloud。设备管理服务移除 App，然后用户重新安装 App 的情况下，禁止备份有助于防止恢复受管理的 App 数据。
定义“网络中继”或“为 App 单独设置 VPN”：将 App 分配到用于为 App 流量建立隧道的“网络中继”或“为 App 单独设置 VPN”配置。
允许隐藏或锁定 App：在运行 iOS 18 和 iPadOS 18 或更高版本的 iPhone 和 iPad 设备上，用户可选择隐藏甚至锁定 App。对于受管理的 App，你可以限制这些功能。阻止用户锁定 App 同时还会阻止用户隐藏该 App。
关联域和直接下载：为 App 配置关联域，并定义设备是否可对关联域使用直接下载。
分配内容过滤器或 DNS 代理：将特定内容过滤器或 DNS 代理配置分配到 App。
将 App 分配到蜂窝网络片区（仅限 iPhone 和 iPad）：将 App 配置为使用特定蜂窝网络片区。有关更多信息，请参阅 Apple 设备对 5G 网络切片的支持。
允许 Tap to Pay（仅限 iPhone）：对于运行 iOS 16.4 或更高版本的设备，在前台运行的支付 App 可被标记为在 Tap to Pay 交易期间安全使用。设定时，将设备交由客户输入卡片 PIN 码进行每次交易后，需要用户通过面容 ID、触控 ID 或密码来解锁其设备。
允许通过蜂窝网络下载（仅限 iPhone 和 iPad 以及声明式 App 管理）：指示设备下载或更新 App 时使用蜂窝网络的方式。你可以允许下载任何大小，阻止使用蜂窝网络，或者遵循 App Store 设置。此设置不会应用到用户发起的操作。
对于使用 InstallApplication 命令在 iOS 14、iPadOS 14 和 Apple tvOS 14 或更高版本上安装的 App，还有额外的一项设置可用。
将 App 标记为不可移除：你可以将受管理的 App 标记为不可移除。这将允许用户重新排列其 App、安装新 App 以及删除其他 App，但阻止移除对执行任务至关重要的受管理 App。用户尝试删除或卸载受管理的 App 时，该过程会被阻止并显示提醒。不可移除的受管理的 App 确保了组织中用户的设备上始终有所需的 App。
声明式 App 管理会自动将必需 App 标记为不可移除。
将未受管理的 App 转换为受管理的 App
如果用户已安装 App，设备管理服务可接管该 App。在受监督设备上，此操作无需用户交互便可执行，对于其他设备，用户需要正式接受管理。账户驱动型注册不支持 App 转换。
更新受管理的 App
设备管理服务可控制受管理的 App 如何更新。
通过声明式 App 管理更新 App
使用声明式 App 管理部署的 App 可通过两种方式更新：
使用自动 App 更新
安装未指定版本或指定更高 App 版本的新配置。如果未指定版本，可用的最新版本将安装。
更新行为设置可用于定义 App 更新方式：
自动：设备定期（通常每 24 小时）在 App Store 或清单文件中检查新版本，并自动将 App 更新到最新版本。
永不：设备永不自动更新 App。
App Store 设置：设备使用对应商店的设置，且永不自动更新企业内部专有 App。
在 iPhone、iPad 和 Apple Vision Pro 上，App 会在设备锁定时更新。macOS 则会按需提示用户退出 App。
【注】如果配置中指定了特定 App 版本，设备会忽略更新行为配置并停用自动 App 更新。
使用 App 安装命令更新 App
如果 App 是使用命令安装，设备管理服务会定期在 App Store 或清单文件中检查新版本，然后向设备发送安装 App 命令以更新 App。此检查操作也应用于自定义 App。分配到设备的 App 仅在设备管理服务发送 App 安装命令时才会更新；App Store 中不会向用户显示 App 更新通知。
如果设备受监督，更新会静默应用，除非 App 正在前台运行，此时用户会看到更新相关提示。在未受监督的设备上，用户需要批准或取消更新。
移除受管理的 App
受管理的 App 可从设备上移除：
由设备管理服务远程执行（通过移除 App 配置或发送移除应用程序命令）。
当用户从设备管理服务中取消注册设备时。
取消注册也会移除已应用的 App 配置及其关联 App。
如果 App 是使用 App 安装命令安装，可设定属性定义取消注册时是否移除 App。
从账户驱动型注册取消注册时始终会移除受管理的 App。
在 iPhone、iPad 和 Apple Vision Pro 上，移除 App 会同时移除数据容器中其关联的数据。
撤销 App 许可证
设备管理服务可为分配到设备或用户的 App 撤销许可证。
为使用声明式 App 管理安装的 App 撤销许可证
如果设备管理服务为使用声明式 App 管理安装的 App 撤销了 App 许可证，该 App 会被移除。
为使用 App 安装命令安装的 App 撤销许可证
如果设备管理服务撤销了 App 许可证但未将其移除，在该 App 运行回执检查前其仍保持可用。
App 停用后将无法再启动并会通知用户，但该 App 仍保留在设备上且其数据也会保留。用户购买副本后，才能再次使用 App。