What's new in managing Apple devices
System & Services 进阶 25m

Apple 设备管理新特性

What's new in managing Apple devices

2020年6月24日

在 Apple 官方观看视频

一句话判断

如果你是 IT 管理员或 MDM 服务商，这场 Session 汇总了 2020 年 Apple 设备管理的全部更新——从 User Enrollment 到新的管控 Payload。

这场 Session 讲了什么

这场 Session 是面向 IT 管理员和 MDM（移动设备管理）服务商的年度更新汇总。Apple 每年都会在 WWDC 中介绍设备管理领域的新能力，2020 年的更新尤其重要，因为企业远程办公的需求急剧增加。

演讲者首先回顾了 Apple 设备管理的整体架构——Apple Business Manager / Apple School Manager 作为设备注册入口，MDM 服务器通过 APNs 推送配置策略，设备上的 Profile 系统执行这些策略。然后详细介绍了每个组件的 2020 年更新。

最重要的更新是 User Enrollment 的增强。User Enrollment 是为 BYOD（Bring Your Device）场景设计的——员工的个人设备可以注册企业管理，但企业只能管理”工作分区”中的数据，不能触碰个人数据。2020 年 User Enrollment 增加了对更多 Payload 的支持，包括 VPN、邮件和 Web Clip。

Session 还介绍了新的 MDM Payload：Software Update 可控性（延迟系统更新）、新的 Restrictions（限制 USB 驱动器、限制密码重置）、以及 macOS 上的 FileVault 管理增强。演讲者还讨论了 Apple Silicon Mac 的管理差异——由于引导流程和安全架构的变化，一些 MDM 功能在 Apple Silicon 上有不同行为。

值得深挖的点

  • BYOD 场景下的隐私边界：User Enrollment 的核心理念是企业只能管理自己部署的内容（App、数据、配置），不能触碰员工的个人数据（照片、消息、个人 App）。这对企业 IT 政策设计有深远影响——你不能再用 MDM 来监控员工位置或查看他们的浏览历史。
  • macOS 上的 Bootstrap Token：这是一个新的安全机制，用于在 Apple Silicon Mac 上为 MDM 提供管理员级别的操作能力。没有 Bootstrap Token，很多 MDM 操作在 Apple Silicon Mac 上无法执行。理解这个机制对于 macOS 设备管理至关重要。

代码片段

<!-- MDM Payload 示例：延迟系统更新 -->
<dict>
    <key>PayloadType</key>
    <string>com.apple.applicationaccess</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>enforcedSoftwareUpdateDelay</key>
            <integer>30</integer>  <!-- 延迟 30 天推送系统更新 -->
            <key>forceDelayedSoftwareUpdates</key>
            <true/>
        </dict>
    </array>
</dict>
<!-- 限制 USB 存储设备的 Payload -->
<dict>
    <key>PayloadType</key>
    <string>com.apple.systempolicy.control</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>allowUSBStorage</key>
            <false/>  <!-- 禁止使用 USB 存储设备 -->
            <key>allowExternalStorageDevices</key>
            <false/>
        </dict>
    </array>
</dict>
# 使用命令行获取 Bootstrap Token（Apple Silicon Mac）
# 在 MDM 注册过程中，设备会自动生成 Bootstrap Token
# MDM 服务器可以通过以下命令操作：

# 获取 Bootstrap Token
profiles show -type enrollment

# 使用 Bootstrap Token 提升权限
# MDM 服务器通过 InstallEnterpriseApplication 命令
# 安装需要管理员权限的应用时自动使用 Token

最佳实践

  • BYOD 场景优先使用 User Enrollment 而非 Device Enrollment，尊重员工隐私
  • 使用 Software Update Delay 控制系统更新的部署节奏，先在测试组验证再全量推送
  • Apple Silicon Mac 上确保 Bootstrap Token 正确配置，否则很多管理功能无法使用
  • 定期审计 MDM 策略，删除不再需要的限制，避免策略膨胀
  • 利用 Apple Business Manager API 自动化设备注册和分配

还有什么值得关注

  • Apple 的 MDM 规范文档每年更新，是 MDM 服务商的必读材料
  • 搭配 “Deploy Apple devices using zero-touch” 一起看，可以理解从设备采购到管理的完整流程
  • macOS 的管理能力正在逐步向 iOS 看齐，但仍有差异需要关注
WWDC 2020