应用与描述文件

本节介绍如何为 Apple 设备配置受管应用和账户负载。

应用管理

应用管理面板包含与应用相关的常规限制以及受管应用列表。

常规应用限制

• 允许 App Clip
• 允许安装应用
• 允许移除应用
• 允许自动下载应用
• 允许隐藏应用
• 允许锁定应用
• 允许 App 内购买
• 允许修改默认浏览器
• 允许信任企业应用

受管应用

使用添加应用将应用添加到政策。每个受管应用都会显示为一张卡片。您可以展开卡片以编辑其设置，并使用删除操作移除该应用。

• App Store ID：受管应用的 App Store 标识符。
• Bundle ID：应用包标识符。
• 安装行为：控制应用必须保持安装，还是可以由用户安装/移除。
• 分配：许可证类型，由 Cerberus 为每台设备选择：公司设备使用设备许可证，个人 iPhone 和 iPad（用户注册）使用 Managed Apple Account 的用户许可证。该字段无法更改。
• VPP 许可证：通过 App Store 安装时使用的 VPP 许可证类型。

应用选择列表会显示每个应用的可用许可证和总许可证。免费应用会显示无限制：Apple 为其提供无限许可证。一个应用只能添加到政策一次：如果应用的 App Store ID 或 Bundle ID 与政策中已有的应用相同，则会被拒绝；保存时列出同一应用两次的政策也会被拒绝。

应用选择列表会显示您的 Apple Business 资料库中的应用。要添加应用，请在 Apple Business 中打开Apps & Services → Apps & Books → App Store，搜索该应用并点击View。对于免费应用，点击Add，选择All current and future（或Organizational Units中与您的 Apps and Books 令牌对应的组织单位），点击Add，然后Review并确认。对于付费应用，点击其价格，选择Managed Licenses作为License Type（Cerberus Enterprise 无法使用兑换代码），选择您的 Apps and Books 令牌的Organizational Unit，输入Licenses数量（每个订单最多 1,000 个），然后Review并购买。必须先通过Settings → Payments & Billing → Apps & Services → Payment Methods设置付款方式。随后应用会显示在应用选择列表中。

个人设备上的应用（用户注册）

使用用户注册注册的个人 iPhone 和 iPad 没有序列号，因此它们会获得政策中 App Store 应用，并使用设备上登录的 Managed Apple Account 的用户许可证。Cerberus 会自行向 Apps and Books 注册该账户并分配许可证，包括免费应用。Managed Apple Accounts 和 Apps and Books 令牌必须属于同一个 Apple Business 组织。付费应用每个账户使用一个许可证，由该账户的所有个人设备共享。

• 正在等待用户许可证：只有在 Apple 确认许可证后（通常在几分钟内），应用才会发送到设备。设备的应用程序面板会显示原因。
• 用户许可证失败：Apple 无法分配许可证，例如付费应用已无剩余许可证。请在 Apple Business 中添加许可证，然后使用再次请求；Cerberus 也会每天自行重试。
• 安装提示：iOS 会在安装每个应用前询问用户。如果用户取消，应用会显示正在等待用户批准安装；再次请求会再次显示提示。
• 释放：从政策中移除应用，或取消注册该账户的最后一台个人设备，都会移除应用并释放其许可证，除非同一账户的另一台已注册设备仍需要它。

有关详细信息，请参阅Apple 账户驱动注册。

受管配置

受管配置会按照应用供应商的文档说明为应用提供其设置（例如服务器地址或账户名称）。在政策中打开该应用，然后点击添加受管配置。它会发送到运行iOS 或 iPadOS 18.4 或更高版本的 iPhone 和 iPad，以及运行macOS 27 或更高版本的 Mac；目前不会发送到 Apple Vision Pro。应用必须支持受管配置：不读取它的应用会忽略它。应用面板会在应用名称旁边显示键的数量。

• 键：每一行都有一个键、一个类型和一个值。类型包括文本、整数、十进制数、布尔值、日期、文本列表和整数列表。键区分大小写且必须唯一。添加键会添加一行；移除配置会移除所有键。
• 变量：文本和文本列表值可以包含 $EMAIL$、$USERNAME$、$FULLNAME$、$SERIAL$ 和 $UDID$，它们会被替换为每台设备及其用户的值。没有值的变量（例如没有用户的设备上的 $EMAIL$）会留空，系统日志会说明这一点。当用户的详细信息更改时，设备会获得新值；对于从 Google Directory 同步的用户，这些值会在下次更改政策或设备时更新。
• 导入配置：打开或粘贴应用供应商为 MDM 发布的文件，然后点击读取。AppConfig 规范文件（specfile.xml）会列出应用支持的每个键及其描述、类型、默认值和允许值：选择要导入的键（具有默认值的键已预先选中），并在导入后填写其他键。如果规范文件属于另一个应用，会出现警告。属性列表（整个属性列表或仅其 <dict>）会按原样导入。然后选择是替换当前键还是添加到其中。不支持嵌套字典、数据值以及包含混合或未知类型的列表，它们会被列为已跳过。Apple 不会发布应用的配置键，因此如果供应商的文档中没有该文件，请向他们索取。复制为 plist会按设备接收时的原样复制配置，此时变量尚未替换。
• 限制：每个应用最多 200 个键；键最多 255 个字符；文本值最多 4,096 个字符；列表最多 200 个项目，每个项目最多 1,024 个字符；日期介于 1970 和 9999 之间；每个应用总共 64 KB。
• 不适用于密码：配置只会发送到为其构建的设备，日志仅显示键名称和类型，但仪表板管理员可以读取这些值，而且设备下载配置的地址会随值变化，因此容易猜测的值（布尔值或小数字）可能会被推断出来。请勿在受管配置中放置密码或其他机密信息。
• 状态：当设备报告应用未接受其配置时，设备的应用程序面板会在应用旁边显示配置未接受。这不会使设备不合规。设备无法下载配置则会使设备不合规。

应用选项

政策中的每个应用（App Store 应用和自定义应用）都有这些选项。设备默认值将选择权留给设备。不支持某个选项的设备不会获得该选项；应用仍会安装。

• 自动更新：App Store 设置，始终或从不。iOS、iPadOS、macOS 和 visionOS 26 或更高版本。对于自定义应用，App Store 设置的行为与“从不”相同。
• 通过蜂窝网络下载：App Store 设置，始终或从不，用于自动安装和更新。仅适用于运行 iOS 或 iPadOS 26 或更高版本的受监管 iPhone 和 iPad。
• 备份应用数据：应用数据是否会包含在设备备份中。不适用于 Mac。
• 用户可以隐藏应用和用户可以锁定应用：iOS 和 iPadOS 18.1 或更高版本，在受监管设备上强制执行。不允许锁定也会阻止隐藏。允许隐藏应用和允许锁定应用限制适用于所有应用。
• 在需要客户 PIN 的 Tap to Pay 交易后锁定设备：仅限 iPhone。
• 关联域名：与应用关联的域名（例如用于通用链接或密码自动填充），最多 50 个。请输入纯主机名，例如 www.example.com，不要包含 applinks:、通配符或 ?mode=。不适用于 Mac。
• 直接验证域名：设备直接检查域名的站点关联文件，而不是通过 Apple 的服务器。仅对无法从互联网访问的内部域名启用此功能。
• 移除：以必需方式安装的应用无法由用户移除。

Mac App Store 应用

应用选择列表会显示每个应用的平台（iPhone/iPad、Mac、Apple TV、Vision）；仅适用于 Mac 的应用会显示其 Mac 图标。仅适用于 Mac 的应用在添加时会应用到 Mac。没有 Mac 版本的 App Store 应用不会发送到 Mac：政策会在适用于下显示“此应用没有 Mac 版本：不会发送到 Mac”。Mac 会通过其 App Store ID 获取 App Store 应用，因此在 Mac 上 Bundle ID 不同的应用也能正确安装。

Cerberus Enterprise 应用

Cerberus 会在每台 iPhone 和 iPad 上安装其 Cerberus Enterprise 应用（要求 iOS 或 iPadOS 18.4 或更高版本），无论是否有政策。该应用会共享设备位置，并接收通知和实时跟踪请求。它以 必需 方式安装，并使用来自 Apps and Books 的设备许可证（个人设备上为用户许可证），因此用户无法删除它。

• 一次性设置：将免费应用添加到您的资料库一次。在 Apple Business 中，打开Apps & Services → Apps & Books → App Store，搜索 "Cerberus Enterprise"，点击View，然后Add，选择All current and future（位于Organizational Units中），点击Add，然后Review并确认。如果应用显示Manage，则表示它已在您的资料库中：打开它并检查其组织单位是否为All current and future units。在此之前，仪表板会显示横幅，设备会将应用显示为未安装。请参阅账户设置。
• 不在政策中：该应用无法添加到政策。它会在应用选择列表中被禁用，并会作为自定义应用被拒绝（相同的 Bundle ID）。已列出它的政策在打开时该条目会被移除：保存政策以确认。
• 不安装于：运行低于 18.4 的 iOS 或 iPadOS 的设备。共享 iPad 支持安装，但应用功能尚未在那里验证。
• 个人设备：在使用用户注册的 iPhone 和 iPad 上，也会安装该应用，并显示安装提示，且使用 Managed Apple Account 的用户许可证。它会接收来自您组织的消息，并且除非政策开启 个人设备上的位置和地理围栏 且用户允许，否则不会访问位置。
• 保持安装：如果 Apps and Books 令牌过期或应用离开您的资料库，应用会保留在设备上，设备页面会显示 Apps and Books 需要处理。只有在 24 小时后应用中仍不在您的资料库中时，它才会被移除。

自定义应用

自定义应用是您自己的 iPhone 和 iPad 应用（.ipa 文件），不经 App Store 分发。在 Xcode 中，将应用导出为Enterprise分发（Apple Developer Enterprise Program：可安装到每台设备）或Ad Hoc分发（仅安装到其描述文件中注册的设备）。无法上传 App Store 构建版本。

点击添加自定义应用打开您组织的自定义应用。上传应用会添加一个 .ipa 文件（最大 2 GB）。选择一个应用并点击添加到政策。列表会显示版本、签名类型、ad hoc 应用描述文件中的设备数量以及描述文件的到期日期。

• 新版本：上传具有相同 Bundle ID 的应用。它会替换以前的版本，使用该应用的政策的设备会更新该应用。
• 要求：运行 iOS 17.2 或更高版本的 iPhone 和 iPad。无法安装该应用的设备不会获得它：例如 iPhone 上的仅 iPad 应用、低于应用要求的旧版 iOS、不在 ad hoc 应用描述文件中的设备，或已过期的描述文件。
• 到期：当描述文件过期时，应用将无法再打开。请在到期日期之前上传使用新描述文件签名的版本。
• 保留的 Bundle ID：Bundle ID 为 Cerberus Enterprise 应用（com.lsdroid.Cerberus.Enterprise）的自定义应用无法添加到政策，因为 Cerberus 会自行安装该应用。
• 删除：先将该应用从其政策中移除；随后设备会将其删除。

Mac 软件包

自定义应用还接受 Mac 安装包（.pkg 文件）。该安装包必须是使用 productbuild 构建的分发包（仅使用 pkgbuild 制作的组件包会被拒绝），并使用 Developer ID Installer 证书签名。建议对其进行公证并附加票据（notarytool 和 stapler）。未签名的安装包、签名后更改过的安装包以及使用其他证书签名的安装包都会被拒绝。

使用上传应用上传 .pkg 文件，并将其添加到政策中：它会显示在Mac 软件包下。iPhone 和 iPad 会忽略它。

运行 macOS 26 或更高版本的 Mac（受监管，包括手动注册的 Mac，但不包括用户注册）会以声明形式获取该安装包：Mac 会自行下载、安装、重试和更新它，并报告其状态。较旧的 Mac，以及作为受管理应用安装的安装包，会通过 MDM 命令获取，适用于任何 macOS 版本。升级到 macOS 26 的 Mac 会自行改用声明；它可能会再次安装每个安装包。当 Mac 迁移到另一个包含相同安装包的政策时，也可能发生同样的情况。

• 新版本：上传具有相同安装包标识符的安装包。它会替换之前的版本，使用它的政策中的 Mac 会安装新版本。
• 已跳过的 Mac：macOS 版本低于安装包要求的 Mac，以及对于仅为 Apple silicon 构建的安装包而言的 Intel Mac。设备页面会将该安装包显示为已跳过，并说明原因；之前安装的版本会保留在 Mac 上。
• 安装：必需（默认）会在 Mac 上安装该安装包；可选会使该安装包在 Mac 上可用但不安装。macOS 26 不会在“系统设置”或 App Store 中向用户显示可选安装包（已在 macOS 26.3 上测试），因此必须由 Mac 上的应用或脚本安装它们；仅当你已有此类应用或脚本时才选择“可选”。此设置适用于运行 macOS 26 或更高版本的 Mac；较旧的 Mac 始终会安装该安装包。作为受管理应用安装的安装包无法使用此选项。
• 安装包离开政策时移除其文件（macOS 27 或更高版本）：当安装包从政策中移除时，运行 macOS 27 或更高版本的 Mac 会删除它安装的文件。此选项默认关闭。在较旧的 Mac 上，文件会保留。作为受管理应用安装的安装包无法使用此功能。
• 作为受管理应用安装：为政策中的某个安装包开启此选项，以将其应用作为受管理应用安装（macOS 11 或更高版本，不适用于用户注册）。随后 macOS 会在安装失败时报告，MDM 可以移除该应用。应用必须直接安装在“应用程序”文件夹中，使用 Developer ID Application 证书签名并经过公证；在 macOS 11 到 13 上，安装包必须只包含该应用（不能有其他文件或脚本）。自定义应用会显示哪些安装包符合条件。当无法在 Mac 上应用此选项时，安装包会照常安装在该 Mac 上，设备页面会说明原因。
• 受管理应用的移除选项：安装包从政策中移除时移除应用（默认开启）和Mac 离开管理时移除应用。移除应用还会删除其数据。如果用户已经安装了同一个应用，该副本会变为受管理应用并被一并移除。
• 移除：MDM 命令无法卸载安装包。对于作为受管理应用安装的安装包，从政策中移除它会移除该应用（当该选项开启时）；它的其他文件和安装包收据会保留。开启移除安装包文件的安装包会从运行 macOS 27 或更高版本的 Mac 上移除。其他安装包：从政策中移除它们只会停止新的安装，文件会保留在 Mac 上。被跳过的 Mac（例如在新版本需要更新的 macOS 之后）在安装包仍位于政策中时会保留该应用；此时从政策中移除安装包也会将其移除。请手动移除 Mac 上残留的文件（例如使用安装包自带卸载程序），并运行 sudo pkgutil --forget <identifier> 以清除安装包收据。
• 设备上的状态：Mac 的“应用程序”面板会将政策中的每个安装包显示为排队中、已接受（Mac 已接受该命令）、已下载、已安装（仅适用于包含应用的安装包，且在 Mac 上找到这些应用时）或失败（并显示错误）。macOS 不会报告通过命令发送的安装包的安装情况，因此对于不含应用的安装包，“已下载”是最后的状态。当 macOS 报告应用无法安装或已从 Mac 上移除时，作为受管理应用安装的安装包也会变为“失败”。重新安装会再次将安装包发送到 Mac。
• 使用声明时的状态：以声明形式交付的安装包会显示声明标签以及 Mac 报告的状态：排队中、可用（用户尚未安装的可选安装包）、等待用户操作、下载中、安装中、已安装或失败（并说明原因，例如下载或安装失败，或 Mac 拒绝了声明）。随政策移除文件标签会标记那些在离开政策时由运行 macOS 27 的 Mac 移除其文件的安装包。重新安装仅在失败后出现，用于请求 Mac 重试；当 Mac 拒绝了声明时不会提供。

账户

账户面板可让你配置应用于受管理设备的账户。它还包含一个用于账户修改的限制开关。

限制

• 允许修改账户：禁用后，用户无法修改 Apple 账户和互联网账户等账户。

添加账户

使用添加 Google 账户或添加邮件账户将账户有效负载添加到政策中。每个账户会以卡片形式显示，并带有其配置字段。

来自用户的账户凭据

Google 和邮件账户卡片都提供一个来自用户的账户凭据开关。启用后，系统会按用户分别应用账户凭据。禁用后，你需要在政策中输入账户身份。

Google 账户字段

• 显示名称：向用户显示的账户名称。
• Google 电子邮件地址：用户的电子邮件地址。
• 全名：用户的全名。

邮件账户字段

邮件账户包括身份字段以及接收/发送服务器配置。主机名为必填项。

• 显示名称：向用户显示的邮件账户名称。
• 电子邮件地址：用户的电子邮件地址。
• 全名：用户的全名。

接收服务器

• 服务器类型：邮件协议（例如 IMAP 或 POP）。
• 认证方法：服务器的认证方法。
• IMAP 路径前缀：仅当服务器类型为 IMAP 时显示。
• 主机名：必填。
• 端口：服务器端口（1–65535）。

发送服务器

• 认证方法
• 主机名：必填。
• 端口：服务器端口（1–65535）。

S/MIME 选项

对于邮件账户，你还可以配置 S/MIME 加密和签名行为。

加密

• S/MIME 加密
• 身份可由用户覆盖
• 启用单封邮件开关
• 可由用户覆盖

签名

• S/MIME 签名
• 身份可由用户覆盖
• 可由用户覆盖

账户和限制选项在仪表板中包含工具提示，用于记录先决条件和支持的操作系统版本。