정책 - Apple

Apple 정책

Apple 정책은 Cerberus Enterprise가 MDM을 통해 Apple 기기에 적용하는 관리 설정을 정의합니다. 이러한 설정은 대시보드의 Apple 정책 편집기에서 구성합니다.

시작하기 전에

Apple 기기 관리를 위해서는 Apple Management(APNs)가 구성되어 있어야 합니다. 필요한 경우 Apple Management 설정(APNs) 페이지를 읽어 보십시오.

Apple 정책 편집기 열기

대시보드에서 정책을 열고 새 Apple 정책 만들기를 클릭하십시오. 기존 Apple 정책을 편집하려면 정책 표에서 해당 행을 클릭하십시오.

편집기 레이아웃

Apple 정책 편집기는 확장 가능한 섹션 집합으로 구성됩니다. 페이지 상단에서는 항상 다음을 편집할 수 있습니다:

정책 섹션

아래 섹션은 현재 Apple 정책 편집기에서 사용할 수 있는 패널과 일치합니다. 저장된 정책을 열면 설정이 변경된 섹션은 이미 열려 있고 나머지는 닫혀 있습니다:

Apple 정책 편집기의 많은 옵션에는 요구 사항 및 지원되는 OS 버전을 설명하는 도구 설명이 포함되어 있습니다.

저장, 삭제 및 연결된 기기

정책 저장을 사용하여 변경 사항을 적용하십시오. 보류 중인 편집이 없거나 라이선스가 만료된 경우 버튼이 비활성화됩니다.

기존 정책을 편집할 때 페이지에는 정책 삭제 동작도 표시됩니다. 편집기 하단에 연결된 기기 목록이 표시되어 현재 정책을 사용 중인 기기 수를 확인할 수 있습니다.

다음 페이지

앱 및 프로필

이 섹션에서는 Apple 기기의 관리형 애플리케이션과 계정 페이로드를 구성하는 방법을 설명합니다.

앱 관리

앱 관리 패널에는 앱 관련 일반 제한과 관리형 앱 목록이 모두 포함되어 있습니다.

일반 앱 제한

관리형 앱

애플리케이션 추가를 사용하여 정책에 앱을 추가합니다. 각 관리형 앱은 카드로 표시됩니다. 카드를 확장하여 설정을 편집하고 삭제 작업으로 앱을 제거할 수 있습니다.

앱 선택 목록에는 각 앱의 사용 가능한 라이선스와 전체 라이선스가 표시됩니다. 무료 앱에는 무제한이 표시되며, Apple이 무제한 라이선스를 제공합니다. 앱은 정책에 한 번만 추가할 수 있습니다. 정책에 이미 있는 앱과 동일한 App Store ID 또는 번들 ID를 가진 앱은 거부되며, 동일한 앱을 두 번 나열한 정책도 저장 시 거부됩니다.

앱 선택 목록에는 Apple Business 라이브러리의 앱이 표시됩니다. 앱을 추가하려면 Apple Business에서 Apps & Services → Apps & Books → App Store를 열고 앱을 검색한 후 View를 클릭합니다. 무료 앱은 Add를 클릭하고 All current and future(또는 Apps and Books 토큰의 조직 단위)를 Organizational Units에서 선택한 다음 Add를 클릭하고 Review를 클릭해 확인합니다. 유료 앱은 가격을 클릭하고 Managed Licenses를 License Type으로 선택한 후(교환 코드는 Cerberus Enterprise에서 사용할 수 없음), Apps and Books 토큰의 Organizational Unit을 선택하고 Licenses 수를 입력한 다음(주문당 최대 1,000개) Review를 클릭하고 구매합니다. 먼저 Settings → Payments & Billing → Apps & Services → Payment Methods에서 결제 방법을 설정해야 합니다. 그러면 앱이 앱 선택 목록에 표시됩니다.

개인 기기의 앱(User Enrollment)

User Enrollment으로 등록된 개인 iPhone 및 iPad에는 일련번호가 없으므로, 기기에 로그인된 Managed Apple Account의 사용자 라이선스로 정책의 App Store 앱을 받습니다. Cerberus는 해당 계정을 Apps and Books에 등록하고 무료 앱을 포함하여 라이선스를 직접 할당합니다. Managed Apple Account와 Apps and Books 토큰은 동일한 Apple Business 조직에 속해야 합니다. 유료 앱은 계정당 라이선스 하나를 사용하며, 해당 계정의 모든 개인 기기가 이를 공유합니다.

자세한 내용은 Apple 계정 기반 등록을 참조하세요.

관리형 구성

관리형 구성은 앱 공급업체가 문서화한 방식대로 앱에 설정(예: 서버 주소 또는 계정 이름)을 제공합니다. 정책에서 앱을 열고 관리형 구성 추가를 클릭하세요. 이 구성은 iOS 또는 iPadOS 18.4 이상이 설치된 iPhone 및 iPad와 macOS 27 이상이 설치된 Mac으로 전송되며, Apple Vision Pro에는 아직 전송되지 않습니다. 앱이 관리형 구성을 지원해야 하며, 이를 읽지 않는 앱은 무시합니다. 앱 패널에는 앱 이름 옆에 키 수가 표시됩니다.

앱 옵션

정책의 각 앱(App Store 및 사용자 지정 앱)에는 이러한 옵션이 있습니다. 기기 기본값은 선택을 기기에 맡깁니다. 옵션을 지원하지 않는 기기에는 해당 옵션이 적용되지 않지만 앱은 계속 설치됩니다.

Mac App Store 앱

앱 선택 목록에는 각 앱의 플랫폼(iPhone/iPad, Mac, Apple TV, Vision)이 표시되며, Mac 전용 앱은 Mac 아이콘이 표시됩니다. Mac 전용 앱은 추가하면 Mac에 적용됩니다. Mac 버전이 없는 App Store 앱은 Mac으로 전송되지 않으며, 정책의 적용 대상 아래에 "이 앱에는 Mac 버전이 없으므로 Mac으로 전송되지 않습니다"가 표시됩니다. Mac은 App Store ID로 App Store 앱을 받으므로 Mac에서 번들 ID가 다른 앱도 올바르게 설치됩니다.

Cerberus Enterprise 앱

Cerberus는 Cerberus Enterprise 앱을 iOS 또는 iPadOS 18.4 이상이(가) 설치된 모든 iPhone 및 iPad에 정책 유무와 관계없이 설치합니다. 앱은 기기 위치를 공유하고 알림 및 실시간 추적 요청을 받습니다. 필수로 설치되며 Apps and Books의 기기 라이선스(개인 기기에서는 사용자 라이선스)를 사용하므로 사용자가 삭제할 수 없습니다.

사용자 지정 앱

사용자 지정 앱은 App Store 없이 배포되는 조직의 iPhone 및 iPad 앱(.ipa 파일)입니다. Xcode에서 Enterprise 배포용으로 앱을 내보내거나(Apple Developer Enterprise Program: 모든 기기에 설치됨) Ad Hoc 배포용으로 내보냅니다(해당 프로비저닝 프로필에 등록된 기기에만 설치됨). App Store 빌드는 업로드할 수 없습니다.

사용자 지정 앱 추가를 클릭하여 조직의 사용자 지정 앱을 엽니다. 앱 업로드는 .ipa 파일(최대 2GB)을 추가합니다. 앱을 선택하고 정책에 추가를 클릭합니다. 목록에는 버전, 서명 유형, Ad Hoc 앱 프로필의 기기 수, 프로비저닝 프로필 만료 날짜가 표시됩니다.

Mac 패키지

사용자 지정 앱은 Mac 설치 패키지(.pkg 파일)도 지원합니다. 패키지는 productbuild로 빌드한 배포 패키지여야 하며(pkgbuild로만 만든 구성 요소 패키지는 거부됨), Developer ID Installer 인증서로 서명해야 합니다. 공증하고 티켓을 스테이플링하는 것(notarytool 및 stapler)을 권장합니다. 서명되지 않은 패키지, 서명 후 변경된 패키지, 다른 인증서로 서명된 패키지는 거부됩니다.

앱 업로드로 .pkg 파일을 업로드하고 정책에 추가하세요. 그러면 Mac 패키지 아래에 표시됩니다. iPhone과 iPad는 이를 무시합니다.

macOS 26 이상을 실행하는 Mac(감독됨, 수동으로 등록한 Mac 포함, 사용자 등록 제외)은 패키지를 선언으로 받습니다. Mac이 스스로 다운로드, 설치, 재시도, 업데이트하고 상태를 보고합니다. 구형 Mac과 관리형 앱으로 설치된 패키지는 모든 macOS 버전에서 MDM 명령으로 받습니다. macOS 26으로 업그레이드된 Mac은 자동으로 선언 방식으로 전환되며, 각 패키지를 한 번 더 설치할 수 있습니다. Mac이 동일한 패키지가 포함된 다른 정책으로 이동할 때도 같은 일이 발생할 수 있습니다.

계정

계정 패널에서는 관리형 기기에 적용되는 계정을 구성할 수 있습니다. 계정 수정에 대한 제한 토글도 포함되어 있습니다.

제한

계정 추가

정책에 계정 페이로드를 추가하려면 Google 계정 추가 또는 메일 계정 추가를 사용하세요. 각 계정은 구성 필드와 함께 카드로 표시됩니다.

사용자의 계정 자격 증명

Google 및 메일 계정 카드에는 모두 사용자의 계정 자격 증명 토글이 있습니다. 활성화하면 시스템이 사용자별로 계정 자격 증명을 적용합니다. 비활성화하면 정책에 계정 ID를 직접 입력합니다.

Google 계정 필드

메일 계정 필드

메일 계정에는 ID 필드와 수신/발신 서버 구성이 포함됩니다. 호스트 이름은 필수입니다.

수신 서버

발신 서버

S/MIME 옵션

메일 계정의 경우 S/MIME 암호화 및 서명 동작도 구성할 수 있습니다.

암호화

서명

계정 및 제한 옵션에는 대시보드에 필수 조건과 지원되는 OS 버전을 설명하는 도구 설명이 포함됩니다.

키오스크 및 홈 화면

키오스크 및 홈 화면 섹션은 기기를 하나의 앱에 고정하고, 열 수 있는 앱을 선택하고, 홈 화면을 정렬하고, 웹 사이트 아이콘을 추가합니다. 각 설정은 구성 프로필로 기기에 설치됩니다.

Apple은 이러한 설정 대부분을 감독되는 iPhone 및 iPad(Automated Device Enrollment로 등록되었거나 Apple Configurator로 준비된 기기)에만 적용합니다. 다른 기기에는 적용되지 않습니다. 웹 클립은 감독되지 않은 iPhone 및 iPad에서도 작동합니다. Mac에는 이러한 설정이 적용되지 않습니다.

앱 선택

앱은 번들 ID로 식별됩니다. 앱 이름을 입력하여 내장 Apple 앱과 정책의 앱에서 선택하거나, com.example.app 같은 번들 ID를 직접 입력하세요.

단일 앱 모드

기기는 선택한 앱만 실행합니다. 사용자는 홈 화면으로 돌아가거나 다른 앱을 열 수 없습니다. 먼저 정책으로 앱을 설치하세요. 설정을 끄거나 앱을 제거하면 기기가 단일 앱 모드에서 벗어납니다.

허용 및 차단된 앱

일부 앱만 허용을(를) 사용하면 목록에 없는 모든 앱이 기기에서 사라지며, 정책의 앱도 마찬가지입니다. 설정 및 iPhone의 경우 전화는 항상 유지됩니다.

홈 화면 레이아웃

홈 화면의 Dock과 페이지를 정렬합니다. 추가 위치로 위치를 선택하여 앱, 앱 폴더, 정책의 웹 클립을 추가하고, 아이콘을 드래그하여 Dock과 페이지 사이에서 이동하세요. 폴더를 클릭하면 이름과 앱을 변경할 수 있습니다.

사용자는 아이콘을 이동하거나 홈 화면에서 앱을 제거할 수 없습니다. 레이아웃에 없는 앱은 정의한 페이지 뒤의 페이지로 이동합니다. iPhone은 Dock에 아이콘 네 개를 표시합니다. 사용자는 설정의 저장 공간 화면에서 필수가 아닌 앱을 여전히 삭제할 수 있습니다. 이를 방지하려면 앱 관리에서 앱 제거 허용을(를) 끄세요.

웹 클립

웹 클립은 홈 화면에서 웹 사이트를 여는 아이콘입니다. 레이블과 URL, 선택적으로 이미지(PNG 또는 JPEG, 정사각형으로 자름)를 설정하세요.

알림 설정

일부 앱의 알림이 기기에 표시되는 방식을 선택하세요. 허용 여부, 표시 위치(잠금 화면, 알림 센터, CarPlay), 배지, 사운드, 중요 알림, 배너 스타일, 그룹화, 미리보기 등입니다. 사용자는 이러한 설정을 변경할 수 없습니다.

잠금 화면 메시지

잠금 화면 하단에 표시되는 메시지(예: 기기를 찾았을 때 연락할 사람)와 자산 태그입니다. 둘 다 $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$, $UDID$ 변수를 포함할 수 있으며, 기기에 값이 없는 변수는 비워 둡니다.

암호

암호 설정 섹션은 기기 암호 요구 사항과 관련 보안 규칙(예: 최소 길이 및 복잡성)을 제어합니다. Mac(macOS 13 이상, 사용자 등록 제외)에서는 이러한 규칙이 사용자의 로그인 비밀번호에 적용됩니다.

옵션

Apple 정책 편집기에서 암호 옵션은 토글과 숫자 필드를 조합하여 구성합니다. 많은 필드에 지원되는 OS 버전과 감독 요구 사항을 나타내는 도구 설명이 있습니다.

암호 토글

숫자 필드

제한

제한 섹션은 관리형 Apple 기기에서 허용되는 OS 기능을 제어합니다. Apple 정책 편집기에서 이러한 옵션은 여러 토글이 있는 그룹 패널로 제공됩니다.

앱 관리 및 네트워킹 패널의 토글은 Apple 정책의 앱 및 프로필 및 네트워킹 페이지에 설명되어 있습니다.

많은 제한은 특정 OS 버전에서만 지원되며 감독되는 기기가 필요할 수 있습니다. 정확한 요구 사항은 대시보드의 도구 설명을 참조하세요.

사용자 등록 기기(회사 계정으로 로그인하여 등록한 개인 기기)에는 Apple이 허용하지 않는 제한이 전송되지 않습니다. 정책의 제한 중 적용되는 것이 없으면 이러한 기기에는 제한 프로필이 제공되지 않습니다. 정책 편집기에는 사용자 등록 기기에 적용되지 않는 제한 수가 표시됩니다.

보안

멀티미디어

셀룰러

셀룰러 APN

셀룰러 APN: 통신사에서 제공한 액세스 포인트 이름(APN)을 설정합니다. 예를 들어 사설 또는 업무용 모바일 네트워크에 사용합니다. 액세스 포인트 이름과, 통신사에서 요구하는 경우 인증(PAP 또는 CHAP), 사용자 이름($EMAIL$ 같은 변수 허용), 비밀번호, IP 버전(로밍 시 포함), 프록시 서버와 해당 포트 및 XLAT464를 설정하세요. 통신사에서 네트워크 연결용으로 별도 APN을 제공하는 경우에만 APN 연결을 켜세요.

잘못된 APN은 기기의 셀룰러 데이터를 끊습니다. 먼저 통신사의 SIM이 있는 테스트 기기에서 설정을 사용해 보세요.

시스템 및 사용자 인터페이스

Apple 앱 및 서비스

Siri 및 Apple Intelligence

iCloud

계정 (제한)

계정 패널에는 제한과 (선택적으로) 계정 구성이 모두 포함됩니다. 제한 토글은 사용자가 시스템 계정을 수정할 수 있는지 여부를 제어합니다.

네트워킹

Apple 정책 편집기의 네트워킹 섹션에서는 기기의 Wi-Fi 네트워크와 VPN을 구성하고, 인증서를 설치하며, AirDrop 및 Bluetooth와 같은 연결 기능을 제한합니다. 각 Wi-Fi 네트워크, VPN 및 인증서는 자체 구성 프로필로 설치되며, 기기의 설정 > 일반 > VPN & 기기 관리(Mac: 시스템 설정 > 일반 > 기기 관리, 또는 macOS 13 및 14에서는 개인 정보 보호 및 보안 > 프로필) 및 기기 페이지의 프로필, 인증서 및 보안 패널에서 확인할 수 있습니다.

인증서는 인증서 페이지에서 가져옵니다. 먼저 해당 페이지에서 가져오세요. 정책은 인증서를 참조만 하므로 정책에 인증서가 복사되지 않습니다.

제한

Wi-Fi 네트워크

Wi-Fi 네트워크 추가를 클릭하고 다음을 입력하세요:

엔터프라이즈 네트워크(802.1X)

사용자가 공유 비밀번호 대신 자체 자격 증명이나 인증서로 인증하는 경우 엔터프라이즈(802.1X)를 켜세요.

VPN

VPN 추가를 클릭하여 iOS, iPadOS, macOS에 내장된 IKEv2 또는 Cisco IPSec VPN을 구성하세요(VPN 앱 필요 없음).

연결

상시 연결 또는 요청 시 VPN은 먼저 테스트 기기에서 테스트하세요. 서버에 연결할 수 없으면 기기가 연결되지 않을 수 있습니다.

전역 프록시, 암호화된 DNS 및 웹 콘텐츠 필터

이 설정은 기기의 모든 트래픽에 적용됩니다. 해당 토글로 켜세요.

잘못된 프록시나 DNS 서버는 기기를 연결 불가 상태로 만들 수 있습니다. 먼저 테스트 기기에서 설정을 사용해 보세요.

인증서

인증서 추가를 클릭하여 인증서를 단독으로 설치하세요. Safari와 앱이 신뢰해야 하는 인증 기관이거나 앱이 사용하는 ID입니다. Wi-Fi 네트워크나 VPN의 인증서는 여기에 추가할 필요가 없습니다.

인증서 옵션

이전 RC2 암호화로 보호된 클라이언트 인증서(.p12)는 Apple 기기에 설치할 수 없습니다. 가져오기 전에 3DES 또는 AES 암호화로 다시 내보내세요.

보안

비밀번호나 개인 키가 포함된 프로필은 해당 프로필이 만들어진 기기에만 전송됩니다. 기기는 관리 인증서로 요청에 서명해야 합니다. 비밀번호와 인증서는 로그에 기록되지 않습니다.

소프트웨어 업데이트

Apple 정책 편집기의 소프트웨어 업데이트 섹션은 기기를 최신 상태로 유지합니다. 특정 OS 버전을 기한까지 요구할 수 있고, 기기가 업데이트를 다운로드하고 설치하는 방식을 제어할 수 있습니다.

필수 OS 업데이트

필수 업데이트 추가를 클릭하여 OS 버전을 요구하십시오. 기기는 업데이트를 다운로드하고 사용자에게 기한을 알리며, 사용자가 그 전에 설치하지 않으면 기한에 설치합니다. 이미 해당 버전 이상을 실행하는 기기는 이를 무시합니다. iOS 및 iPadOS 17 또는 macOS 14가 필요합니다.

기기는 기기 페이지의 기기 상태 패널에 업데이트 진행 상황(다운로드, 설치, 실패)을 보고합니다.

소프트웨어 업데이트 설정

iPhone 및 iPad용 소프트웨어 업데이트 설정 또는 Mac용 소프트웨어 업데이트 설정을 켜서 해당 기기의 업데이트를 제어하십시오. 토글이 꺼져 있으면 기기는 자체 설정을 유지합니다. iOS 및 iPadOS 18 또는 macOS 15가 필요합니다. 이전 기기는 이러한 설정을 무시합니다.

기기 페이지에서 업데이트 설치

기기의 기기 상태 패널에는 해당 기기에 사용 가능한 업데이트가 나열됩니다. 업데이트 확인을 사용하여 기기에 목록을 요청하고, 설치를 사용하여 지금 설치하거나 다운로드하여 사용자가 설치하도록 하십시오. 이 기능은 감독된 iPhone 및 iPad와 Mac에서 작동합니다. Apple은 iOS, iPadOS 및 macOS 27에서 이러한 명령을 제거합니다. 해당 버전에서는 정책의 필수 업데이트를 사용하십시오.

macOS

macOS 섹션은 Mac의 보안, 개인 정보 보호, 로그인 설정을 관리합니다: FileVault, 방화벽, Gatekeeper, 화면 보호기 및 잠금, 외부 및 네트워크 저장 공간, 화면 공유, 개인 정보 보호 권한, 로그인 항목, 로드가 허용되는 시스템 및 커널 확장입니다. 또한 시스템 서비스와 백그라운드 작업의 구성 파일을 설치합니다. 정책의 다른 기기에는 이러한 설정이 적용되지 않습니다. 설정을 관리하려면 켜세요. 꺼져 있는 동안 사용자는 자신의 선택을 유지합니다.

대부분의 설정은 구성 프로필로 Mac에 설치되며, 시스템 설정 > 일반 > 기기 관리에서 확인할 수 있습니다. FileVault, 개인 정보 보호 권한, 로그인 항목, 확장 설정에는 사용자가 승인한 MDM이 필요합니다. 등록 URL이나 QR 코드로 등록한 Mac에서는 사용자가 시스템 설정에서 등록 프로필을 승인합니다. 기기 페이지의 사용자 승인 MDM 필드에 표시됩니다. 사용자가 나중에 승인하면 Mac이 이러한 설정을 자동으로 받습니다.

FileVault

FileVault는 Mac의 디스크를 암호화합니다. 이 설정을 켜면 사용자에게 비밀번호로 FileVault를 켜라는 메시지가 표시되고, Mac은 조직에만 속한 키로 암호화된 개인 복구 키를 Cerberus Enterprise에 보냅니다. 키는 기기 페이지의 FileVault 필드에서 확인하고 변경할 수 있습니다(기기 명령 참조). 이 설정에는 macOS 13 이상과 사용자 승인 MDM이 필요합니다. 사용자 승인 MDM이 없으면 Mac에 FileVault를 켜라는 메시지가 표시되지 않지만, 사용자가 켜면 해당 키가 저장됩니다.

설정을 받을 때 이미 암호화되어 있던 Mac은 현재 키를 유지하며, Cerberus Enterprise는 이 키를 받지 않습니다. 사용자가 FileVault를 껐다가 다시 켜야("FileVault 끄기 방지" 끔) 키가 저장됩니다. 설정을 끄거나 Mac을 관리에서 제거해도 FileVault는 꺼지지 않으며 저장된 키는 계속 작동합니다. 서버가 복구 키를 저장하도록 구성되지 않은 경우 설정을 저장할 수 없습니다.

방화벽

Gatekeeper

Gatekeeper는 앱을 열기 전에 검사합니다. Mac이 App Store 앱만 열지, 식별된 개발자의 앱도 열지 선택하세요. Gatekeeper를 끄면 서명되지 않았거나 손상된 앱을 포함해 모든 앱을 열 수 있습니다. macOS 15 이상에서는 차단된 악성 코드를 Apple에 보내도록 사용자에게 요청할지도 선택할 수 있습니다.

화면 보호기 및 잠금

일정 시간 동안 활동이 없으면 화면 보호기를 시작하고, 화면 보호기가 시작되거나 디스플레이가 잠들 때 즉시 또는 지연 후 비밀번호를 요청합니다. 관리되지 않음으로 남겨 둔 설정은 사용자의 선택으로 유지됩니다.

외부 및 네트워크 저장 공간

Mac의 외부 저장 공간(USB 드라이브, SD 카드, 외장 디스크)과 네트워크 저장 공간(파일 공유)을 허용, 읽기 전용으로 설정 또는 차단합니다. macOS 15 이상이 필요합니다.

화면 공유

화면 공유로 이 Mac에 연결하는 사람의 제한: Mac에서 파일 복사 또는 Mac으로 파일 복사, 고성능 연결, 가상 디스플레이 수입니다. 화면 공유 켜기는 사용자의 선택으로 유지됩니다. macOS 14 이상이 필요합니다.

개인 정보 보호 권한

사용자가 시스템 설정 > 개인 정보 보호 및 보안에서 허용할 앱 접근 권한을 부여하거나 거부합니다. 예를 들어 백업 앱에 전체 디스크 접근 권한을 주거나 앱의 카메라 접근을 거부합니다. 각 권한에 대해 선택하세요:

로그인 및 백그라운드 항목

규칙과 일치하는 로그인 항목과 백그라운드 항목은 관리됩니다. 묻지 않고 실행되며, 사용자는 시스템 설정 > 일반 > 로그인 항목에서 이를 끌 수 없습니다. 규칙은 앱의 개발자 팀 ID, 번들 ID 또는 실행 데몬이나 에이전트의 레이블(첫 부분으로도 가능)과 일치합니다. macOS 13 이상이 필요합니다.

시스템 확장

시스템 확장은 앱이 macOS를 확장하는 현대적인 방법입니다: 네트워크 필터 및 VPN, 엔드포인트 보안 에이전트 및 드라이버. 이 설정을 켜면 나열된 개발자 팀의 시스템 확장이 사용자에게 묻지 않고 로드됩니다. macOS 10.15 이상과 사용자 승인 MDM이 필요합니다.

macOS 11.3 이상에서는 이 설정을 제거하면 허용했던 시스템 확장(예: 보안 에이전트나 네트워크 필터)이 꺼집니다. 설정을 끄거나, 정책을 삭제하거나, Mac이 이 설정이 없는 정책으로 이동할 때 발생합니다. 편집기는 설정을 끄기 전에 확인을 요청합니다.

커널 확장(레거시)

커널 확장은 macOS를 확장하는 더 오래되고 지원 중단된 방법입니다. 공급업체가 제공하는 경우 시스템 확장을 선호하세요. 나열된 팀의 커널 확장(팀의 모든 확장 또는 나열된 번들 ID만)은 재시작 후 사용자에게 묻지 않고 로드됩니다. macOS 10.13.2 이상과 사용자 승인 MDM이 필요합니다.

Apple silicon Mac에서는 프로필만으로는 충분하지 않습니다. 누군가 Mac을 recoveryOS로 시작하고, 시동 보안 유틸리티에서 보안 감소를 선택하고, 식별된 개발자의 커널 확장에 대한 사용자 관리를 허용해야 합니다. 커널 확장을 승인하려면 Cerberus Enterprise에 에스크로된 Bootstrap Token도 필요할 수 있습니다(기기 페이지의 Bootstrap Token 필드 참조).

Mac 파일

서비스 구성 파일과 백그라운드 작업은 조직의 Mac 파일에 업로드한 파일을 사용합니다. zip 아카이브와 속성 목록(.plist), 최대 20MB입니다. macOS 섹션의 Mac 파일 버튼이나 설정의 파일 선택으로 업로드하고, 사용 위치를 확인하거나 삭제하세요. 정책에서 사용 중인 파일은 삭제할 수 없습니다. 파일을 변경하려면 새 버전을 업로드하고 정책에서 선택하세요. 그러면 Mac이 다시 다운로드합니다.

서비스 구성 파일

zip 아카이브에서 시스템 서비스의 구성 파일을 설치합니다. 기본 서비스는 SSH 서버(sshd), sudo, PAM, 프린트(CUPS), Apache 웹 서버, bash, zsh, 스마트 카드 로그인 및 인증입니다. com.example.service 같은 역방향 DNS 식별자로 자체 서비스를 사용할 수도 있으며, macOS의 관리형 구성 파일 라이브러리에서 파일을 찾습니다. 각 서비스에는 하나의 설정이 있을 수 있습니다. macOS 14 이상이 필요합니다.

기본 서비스는 아카이브의 파일만 사용하고 자체 파일(예: sshd의 /etc/ssh)은 무시합니다. 전체 구성을 디스크 루트에서 시작하는 폴더에 넣어 아카이브에 포함하세요(예: etc/ssh/sshd_config). 파일은 Mac에서 읽기 전용이며 설정과 함께 제거됩니다. 먼저 한 Mac에서 아카이브를 테스트하세요. 잘못된 sudo 또는 PAM 구성은 사용자가 로그인하거나 관리자 권한을 사용하지 못하게 할 수 있습니다.

백그라운드 작업

launchd가 시작하는 백그라운드에서 실행되는 프로그램과 스크립트입니다. 사용자는 이를 끌 수 없으며 설정과 함께 제거됩니다. macOS 15 이상이 필요합니다. 각 작업에 대해 선택하세요:

작업에는 프로그램 또는 하나 이상의 속성 목록이 필요합니다. 파일이 변경되면 Mac이 작업을 다시 시작합니다.

위치 및 지오펜스

Apple 정책 편집기의 위치 및 지오펜스 섹션에서는 사이트나 창고 같은 영역을 정의합니다. Cerberus Enterprise 앱이 설치된 iPhone 및 iPad는 이러한 영역에 들어가거나 나갈 때 이를 보고하며, 이벤트 규칙이 이에 반응할 수 있습니다. 이메일 보내기, 기기 잠금 또는 비활성화, 다시 활성화 등입니다.

지오펜스 필드

새 항목을 만들려면 지오펜스 추가를 사용하세요. 정책에는 최대 지오펜스 10개를 포함할 수 있으며, 이름은 정책 내에서 고유해야 합니다. 각 지오펜스에는 다음 필드가 포함됩니다:

각 지오펜스에는 지도 미리보기가 있습니다. 저장된 지오펜스의 중심과 반경은 잠겨 있으므로 지도의 잠금 버튼을 사용하여 변경하세요. 다른 버튼은 지도를 영역이나 현재 위치로 이동합니다.

정책을 저장하면 Cerberus Enterprise가 정책의 iPhone 및 iPad에 새 지오펜스를 가져오도록 요청합니다. 보통 몇 분이 걸리지만, iOS는 저전력 모드나 네트워크 연결 없음 등의 상황에서 이를 지연할 수 있습니다. 앱이 아직 최신 지오펜스를 적용하지 않았으면 기기 페이지에 표시됩니다.

요구 사항

지오펜스는 Cerberus Enterprise 앱이 설치된 iPhone 및 iPad에서 작동합니다. Mac은 이를 무시합니다. 기기에서:

개인 기기의 위치 및 지오펜스, 섹션 상단에서 기본적으로 꺼져 있습니다. 꺼져 있는 동안 Cerberus는 개인 기기(사용자 등록)의 위치를 수집하지 않으며, 해당 기기의 지오펜스 이벤트가 생성되지 않고, 기기 페이지에서 위치 찾기나 실시간 추적을 제공하지 않습니다. 이 옵션을 켜면 정책의 개인 기기가 회사 기기처럼 위치와 지오펜스 이벤트를 공유하지만, 사용자가 Cerberus Enterprise 앱에 대해 위치를 허용한 경우에만 그렇습니다. 앱은 iOS가 요청하기 전에 사용자에게 이를 설명합니다. 조직은 사용자에게 알리고 직원 위치에 관한 현지 규정을 준수할 책임이 있습니다. 분실 모드와 MDM 위치 요청은 개인 기기에서 절대 사용할 수 없습니다(Apple이 허용하지 않음).

저전력 모드에서도 지오펜스는 계속 작동하지만, iOS가 영역을 벗어났음을 더 늦게, 덜 정확한 위치로 보고하며, 정책 변경 후 새 지오펜스를 가져오는 것을 앱이 다시 실행될 때까지(예: 다음 경계 통과 시 또는 사용자가 앱을 열 때) 몇 시간 지연할 수 있습니다.

이벤트가 도착하는 방식

iOS는 앱에 대해 해당 영역을 감시하고 기기가 경계를 넘으면 앱이 열려 있지 않아도 앱을 깨웁니다. 이벤트는 경계를 넘은 후 몇 분 뒤에 도착할 수 있으며, 작은 영역이나 짧은 방문은 놓칠 수 있습니다. iOS는 기기가 경계를 상당히 지나 이동하고 한동안 그곳에 머물러야 하기 때문입니다.

앱이 실행될 수 없는 경우(예: 기기 잠금 해제 전 재시작 후) 서버는 앱이 보낸 위치에서 경계 통과를 나중에 감지합니다. 앱이 감지하든 서버가 감지하든 각 통과는 이벤트 규칙을 한 번만 트리거합니다.

앱이 몇 시간 동안 서버에 연결하지 않으면 서버는 iOS에 앱을 깨워 지오펜스를 다시 확인하도록 요청합니다. iOS는 이러한 요청을 보장하지 않습니다.

기기 페이지

기기 페이지의 지오펜스 탭은 위치 지도 패널에서 기기의 전환을 표시합니다. 정책에 활성 지오펜스가 있으면 상태 줄에서 기기에서 지오펜싱이 작동하는지, 또는 작동하지 않는 이유를 알려 줍니다: 앱이 서버에 연결하지 않았거나 업데이트가 필요함, 위치 접근 권한이 항상이 아님, 정확한 위치 또는 백그라운드 앱 새로 고침이 꺼져 있음, 앱이 마지막으로 설정을 보고했을 때 저전력 모드가 켜져 있었음, 또는 앱이 아직 최신 지오펜스를 적용하지 않음.

지오펜스 전환과 위치는 90일 동안 보존되며, 이보다 오래된 데이터는 매일 밤 자동으로 삭제됩니다. 등록된 각 기기의 최신 위치는 항상 보존되므로 지도에 계속 표시됩니다.

제한 사항

지오펜스 이벤트에 대응하려면 기기가 지오펜스에 입장 또는 기기가 지오펜스에서 퇴장에 대한 이벤트 규칙을 만드세요. 이벤트 규칙을 참조하세요.

계정

Apple 정책 편집기의 계정 섹션은 iPhone, iPad, Mac에 메일, Exchange, Google, 캘린더, 연락처, 디렉터리 계정을 추가합니다. 계정 추가를 클릭하고 유형을 선택하세요. 이 섹션에는 계정 수정 허용 제한(감독된 기기)도 포함되어 있습니다.

Mac(macOS 13 이상)에서는 관리에 등록된 사용자, 일반적으로 Mac을 등록한 사용자의 세션에 로그인되어 있을 때 계정이 설치됩니다. 기기 페이지에는 이러한 사용자가 Mac 사용자 아래에 계정 상태와 함께 나열됩니다. 기기 사용자로부터 이메일 주소를 가져오는 계정은 Cerberus Enterprise에서 Mac에 할당된 사용자를 사용합니다.

공통 설정

계정 유형

S/MIME

메일 및 Exchange 계정은 S/MIME(iOS 17 이상)으로 메시지에 서명하고 암호화할 수 있습니다. 각 계정에 대해 인증서 페이지의 인증서, 기기 사용자의 인증서 또는 SCEP 서버에서 요청한 인증서 중 하나를 선택합니다. 사용자가 이를 끄고 다른 인증서를 선택할 수 있도록 허용할 수 있으며, 암호화의 경우 각 메시지에 스위치를 표시할 수 있습니다.

보안

비밀번호와 인증서는 기기로 전송되는 설정의 일부가 아닙니다. 각 기기는 관리 인증서로 요청에 서명하여 Cerberus Enterprise에서 자체 자격 증명을 다운로드합니다. 이들은 로그에 기록되지 않습니다.

규정 준수 규칙

Apple 정책 편집기의 규정 준수 규칙 섹션은 정책의 기기에 대한 요구 사항을 설정합니다. 규칙을 위반한 기기는 즉시 규정 미준수 상태가 됩니다. 기기 페이지의 기기가 규정을 준수하지 않는 이유에 이유가 표시되고, 기기 목록에도 규정 미준수로 표시됩니다. 정책의 설정을 기기에 적용할 수 없는 경우에도 기기는 규정 미준수 상태가 됩니다.

규칙

규칙은 기기가 상태를 보낼 때, 정책이 저장될 때, 그리고 매시간 확인됩니다. 상태를 알 수 없는 기기(예: FileVault를 아직 보고하지 않은 Mac)는 규칙을 위반하지 않습니다.

기기 차단

기기가 계속 규정을 준수하지 않으면 차단을 켜고 며칠 후에 차단할지 설정하세요(0이면 즉시 차단). 감독되는 iPhone 및 iPad는 설정한 메시지와 함께 분실 모드로 전환됩니다. 다른 기기는 한 번 잠기며, Mac은 재시작 후 PIN을 요청합니다. PIN은 명령 기록의 명령 세부 정보에 표시됩니다.

알림을 받거나 다른 방식으로 대응하려면 기기가 규정 미준수 상태가 됨에 대한 이벤트 규칙을 만드세요. 그러면 이유도 함께 제공됩니다.