Richtlinien - Apple

Apple-Richtlinien

Apple-Richtlinien definieren Verwaltungseinstellungen, die Cerberus Enterprise über MDM auf Apple-Geräte anwendet. Diese Einstellungen werden im Dashboard im Apple-Richtlinieneditor konfiguriert.

Bevor Sie beginnen

Die Apple-Geräteverwaltung erfordert, dass Apple Management (APNs) konfiguriert ist. Bei Bedarf lesen Sie die Seite Apple Management setup (APNs).

Apple-Richtlinieneditor öffnen

Öffnen Sie im Dashboard Richtlinien und klicken Sie auf Neue Apple-Richtlinie erstellen. Um eine vorhandene Apple-Richtlinie zu bearbeiten, klicken Sie auf ihre Zeile in der Richtlinientabelle.

Layout des Editors

Der Apple-Richtlinieneditor ist als eine Reihe ausklappbarer Bereiche organisiert. Oben auf der Seite können Sie immer Folgendes bearbeiten:

Richtlinienbereiche

Die folgenden Abschnitte entsprechen den aktuell im Apple-Richtlinieneditor verfügbaren Bereichen. Wenn Sie eine gespeicherte Richtlinie öffnen, sind die Abschnitte mit geänderten Einstellungen bereits geöffnet, die übrigen bleiben geschlossen:

Viele Optionen im Apple-Richtlinieneditor enthalten einen Tooltip, der Anforderungen und unterstützte OS-Versionen dokumentiert.

Speichern, löschen und zugeordnete Geräte

Verwenden Sie Richtlinie speichern, um Ihre Änderungen anzuwenden. Die Schaltfläche ist deaktiviert, wenn keine ausstehenden Änderungen vorhanden sind oder wenn die Lizenz abgelaufen ist.

Wenn Sie eine vorhandene Richtlinie bearbeiten, zeigt die Seite außerdem die Aktion Richtlinie löschen an. Der Editor kann unten eine Liste Zugeordnete Geräte anzeigen, damit Sie sehen, wie viele Geräte derzeit die Richtlinie verwenden.

Nächste Seiten

Apps & Profile

Dieser Abschnitt dokumentiert, wie verwaltete Anwendungen und Kontonutzlasten für Apple-Geräte konfiguriert werden.

App-Verwaltung

Das Panel App-Verwaltung enthält sowohl allgemeine appbezogene Einschränkungen als auch eine Liste verwalteter Apps.

Allgemeine App-Einschränkungen

Verwaltete Apps

Verwenden Sie Anwendung hinzufügen, um der Richtlinie eine App hinzuzufügen. Jede verwaltete App wird als Karte angezeigt. Sie können die Karte aufklappen, um ihre Einstellungen zu bearbeiten, und die App über die Löschaktion entfernen.

Die App-Auswahlliste zeigt die verfügbaren und die gesamten Lizenzen jeder App an. Kostenlose Apps zeigen Unbegrenzt: Apple stellt ihnen unbegrenzte Lizenzen bereit. Eine App kann einer Richtlinie nur einmal hinzugefügt werden: Eine App mit derselben App Store-ID oder Bundle-ID wie eine bereits in der Richtlinie enthaltene App wird abgelehnt, ebenso eine Richtlinie, die dieselbe App zweimal auflistet, wenn Sie sie speichern.

Die App-Auswahlliste zeigt die Apps Ihrer Apple Business-Mediathek. Um eine App hinzuzufügen, öffnen Sie in Apple Business Apps & Services → Apps & Books → App Store, suchen Sie nach der App und klicken Sie auf View. Klicken Sie bei einer kostenlosen App auf Add, wählen Sie All current and future (oder die Organisationseinheit Ihres Apps and Books-Tokens) in Organizational Units, klicken Sie auf Add und dann auf Review und bestätigen Sie. Klicken Sie bei einer kostenpflichtigen App auf ihren Preis, wählen Sie Managed Licenses als License Type (Einlösecodes können von Cerberus Enterprise nicht verwendet werden), wählen Sie die Organizational Unit Ihres Apps and Books-Tokens, geben Sie die Anzahl der Licenses ein (bis zu 1.000 pro Bestellung) und klicken Sie dann auf Review und kaufen Sie. Eine Zahlungsmethode muss zuvor unter Settings → Payments & Billing → Apps & Services → Payment Methods eingerichtet werden. Die Apps erscheinen dann in der App-Auswahlliste.

Apps auf privaten Geräten (Benutzerregistrierung)

Private iPhones und iPads, die mit Benutzerregistrierung registriert wurden, haben keine Seriennummer. Daher erhalten sie die App Store-Apps der Richtlinie mit einer Benutzerlizenz des auf dem Gerät angemeldeten Managed Apple Account. Cerberus registriert das Konto bei Apps and Books und weist die Lizenzen selbst zu, auch für kostenlose Apps. Die Managed Apple Accounts und das Apps and Books-Token müssen zur selben Apple Business-Organisation gehören. Eine kostenpflichtige App verwendet eine Lizenz pro Konto, die von allen privaten Geräten dieses Kontos gemeinsam genutzt wird.

Einzelheiten finden Sie unter Kontobasierte Apple-Registrierung.

Verwaltete Konfiguration

Eine verwaltete Konfiguration gibt einer App ihre Einstellungen (zum Beispiel eine Serveradresse oder einen Kontonamen), so wie der Hersteller der App sie dokumentiert. Öffnen Sie die App in der Richtlinie und klicken Sie auf Verwaltete Konfiguration hinzufügen. Sie wird an iPhones und iPads mit iOS oder iPadOS 18.4 oder höher und an Macs mit macOS 27 oder höher gesendet; an Apple Vision Pro wird sie noch nicht gesendet. Die App muss verwaltete Konfigurationen unterstützen: Eine App, die sie nicht liest, ignoriert sie. Das App-Panel zeigt die Anzahl der Schlüssel neben dem App-Namen an.

App-Optionen

Jede App der Richtlinie (App Store- und benutzerdefinierte Apps) hat diese Optionen. Gerätestandard überlässt die Wahl dem Gerät. Geräte, die eine Option nicht unterstützen, erhalten sie nicht; die App wird dennoch installiert.

Mac App Store-Apps

Die App-Auswahlliste zeigt die Plattformen jeder App (iPhone/iPad, Mac, Apple TV, Vision); eine App, die nur für Mac existiert, zeigt ihr Mac-Symbol. Eine App, die nur für Mac existiert, gilt beim Hinzufügen für Macs. Eine App Store-App ohne Mac-Version wird nicht an Macs gesendet: Die Richtlinie zeigt unter Gilt für „Diese App hat keine Mac-Version: Sie wird nicht an Macs gesendet“. Macs erhalten App Store-Apps anhand ihrer App Store-ID, sodass Apps mit einer anderen Bundle-ID auf dem Mac korrekt installiert werden.

Cerberus Enterprise App

Cerberus installiert seine Cerberus Enterprise-App auf jedem iPhone und iPad mit iOS oder iPadOS 18.4 oder neuer, mit oder ohne Richtlinie. Die App teilt den Gerätestandort und empfängt Benachrichtigungen und Live-Ortungsanforderungen. Sie wird als Erforderlich mit einer Gerätelizenz aus Apps and Books (einer Benutzerlizenz auf privaten Geräten) installiert, sodass der Benutzer sie nicht löschen kann.

Benutzerdefinierte Apps

Benutzerdefinierte Apps sind Ihre eigenen iPhone- und iPad-Apps (.ipa-Dateien), die ohne den App Store verteilt werden. Exportieren Sie die App in Xcode für die Enterprise-Verteilung (Apple Developer Enterprise Program: Sie installiert sich auf jedem Gerät) oder die Ad Hoc-Verteilung (Sie installiert sich nur auf den Geräten, die in ihrem Bereitstellungsprofil registriert sind). App Store-Builds können nicht hochgeladen werden.

Klicken Sie auf Benutzerdefinierte App hinzufügen, um die benutzerdefinierten Apps Ihrer Organisation zu öffnen. App hochladen fügt eine .ipa-Datei hinzu (bis zu 2 GB). Wählen Sie eine App aus und klicken Sie auf Zur Richtlinie hinzufügen. Die Liste zeigt die Version, die Art der Signierung, die Anzahl der Geräte im Profil von Ad-hoc-Apps und das Ablaufdatum des Bereitstellungsprofils.

Mac-Pakete

Die benutzerdefinierten Apps akzeptieren auch Mac-Installer-Pakete (.pkg-Dateien). Das Paket muss ein Distributionspaket sein, das mit productbuild erstellt wurde (ein Komponentenpaket, das nur mit pkgbuild erstellt wurde, wird abgelehnt), und mit einem Developer ID Installer-Zertifikat signiert sein. Es wird empfohlen, es zu notarisieren und das Ticket anzuheften (notarytool und stapler). Nicht signierte Pakete, nach der Signierung geänderte Pakete und mit anderen Zertifikaten signierte Pakete werden abgelehnt.

Laden Sie die .pkg-Datei mit App hochladen hoch und fügen Sie sie der Richtlinie hinzu: Sie erscheint unter Mac-Pakete. iPhones und iPads ignorieren sie.

Macs mit macOS 26 oder neuer (überwacht, was auch manuell registrierte Macs einschließt, aber nicht User Enrollment) erhalten das Paket als Deklaration: Der Mac lädt es herunter, installiert es, wiederholt den Vorgang bei Bedarf und aktualisiert es selbstständig und meldet seinen Status. Ältere Macs und als verwaltete Apps installierte Pakete erhalten es mit einem MDM-Befehl, in jeder macOS-Version. Ein Mac, der auf macOS 26 aktualisiert wird, wechselt selbstständig zur Deklaration; er installiert jedes Paket möglicherweise noch einmal. Dasselbe kann passieren, wenn ein Mac zu einer anderen Richtlinie wechselt, die dasselbe Paket enthält.

Konten

Das Fenster Konten ermöglicht Ihnen die Konfiguration von Konten, die auf verwaltete Geräte angewendet werden. Es enthält außerdem einen Schalter für die Einschränkung der Kontomodifikation.

Einschränkung

Konten hinzufügen

Verwenden Sie Google-Konto hinzufügen oder Mail-Konto hinzufügen, um Konto-Payloads zur Richtlinie hinzuzufügen. Jedes Konto erscheint als Karte mit seinen Konfigurationsfeldern.

Kontozugangsdaten von Benutzern

Sowohl Google- als auch Mail-Konto-Karten bieten einen Schalter Kontozugangsdaten von Benutzern. Wenn aktiviert, wendet das System die Kontozugangsdaten pro Benutzer an. Wenn deaktiviert, geben Sie die Kontoidentität in der Richtlinie ein.

Felder für Google-Konten

Felder für Mail-Konten

Mail-Konten umfassen Identitätsfelder sowie die Konfiguration des Posteingangs- und Postausgangsservers. Hostnamen sind erforderlich.

Posteingangsserver

Postausgangsserver

S/MIME-Optionen

Für Mail-Konten können Sie auch das S/MIME-Verschlüsselungs- und Signierungsverhalten konfigurieren.

Verschlüsselung

Signierung

Konto- und Einschränkungsoptionen enthalten Tooltips im Dashboard, die Voraussetzungen und unterstützte Betriebssystemversionen dokumentieren.

Kiosk und Home-Bildschirm

Der Abschnitt Kiosk und Home-Bildschirm des Apple-Richtlinieneditors sperrt Geräte in eine App, wählt aus, welche Apps geöffnet werden dürfen, ordnet den Home-Bildschirm an und fügt Websitesymbole hinzu. Jede Einstellung wird auf den Geräten als Konfigurationsprofil installiert.

Apple wendet die meisten dieser Einstellungen nur auf überwachte iPhones und iPads an (Geräte, die mit Automated Device Enrollment registriert oder mit Apple Configurator vorbereitet wurden). Andere Geräte erhalten sie nicht. Webclips funktionieren auch auf nicht überwachten iPhones und iPads. Macs erhalten keine dieser Einstellungen.

Apps auswählen

Apps werden anhand ihrer Bundle-ID identifiziert. Geben Sie den Namen einer App ein, um sie aus den integrierten Apple Apps und den Apps der Richtlinie auszuwählen, oder geben Sie eine beliebige Bundle-ID ein, zum Beispiel com.example.app.

Einzelapp-Modus

Das Gerät führt nur die ausgewählte App aus: Benutzer können nicht zum Home-Bildschirm zurückkehren oder andere Apps öffnen. Installieren Sie die App zuerst mit der Richtlinie. Das Gerät verlässt den Einzelapp-Modus, wenn Sie die Einstellung deaktivieren oder die App entfernen.

Erlaubte und blockierte Apps

Mit Nur einige Apps erlauben verschwindet jede App, die nicht in der Liste steht, von den Geräten, einschließlich der Apps der Richtlinie. Einstellungen und auf dem iPhone Telefon bleiben immer erhalten.

Layout des Home-Bildschirms

Ordnen Sie das Dock und die Seiten des Home-Bildschirms an. Fügen Sie Apps, App-Ordner und die Webclips der Richtlinie hinzu, indem Sie mit Hinzufügen zu den Ort auswählen, und ziehen Sie die Symbole, um sie zwischen dem Dock und den Seiten zu verschieben. Klicken Sie auf einen Ordner, um seinen Namen und seine Apps zu ändern.

Benutzer können die Symbole nicht verschieben oder Apps vom Home-Bildschirm entfernen. Apps, die nicht im Layout enthalten sind, werden auf den Seiten nach den von Ihnen definierten angezeigt. Ein iPhone zeigt vier Symbole im Dock. Benutzer können Apps, die nicht Erforderlich sind, weiterhin im Speicherbildschirm der Einstellungen löschen. Um dies zu verhindern, deaktivieren Sie Entfernen von Apps erlauben in der App-Verwaltung.

Webclips

Ein Webclip ist ein Symbol auf dem Home-Bildschirm, das eine Website öffnet. Legen Sie die Bezeichnung und die URL und optional ein Bild fest (PNG oder JPEG, auf ein Quadrat zugeschnitten).

Mitteilungseinstellungen

Wählen Sie aus, wie die Geräte die Mitteilungen einiger Apps anzeigen: ob sie erlaubt sind, wo sie erscheinen (Sperrbildschirm, Mitteilungszentrale, CarPlay), Badges, Töne, kritische Warnungen, Bannerstil, Gruppierung und Vorschauen. Benutzer können diese Einstellungen nicht ändern.

Sperrbildschirmnachricht

Eine Nachricht, die unten auf dem Sperrbildschirm angezeigt wird, zum Beispiel wen man anrufen soll, wenn das Gerät gefunden wird, und eine Inventarnummer. Beide können die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten: Eine Variable ohne Wert für das Gerät bleibt leer.

Code

Der Abschnitt Codeeinstellungen steuert die Anforderungen an den Gerätecode und die damit verbundenen Sicherheitsregeln (zum Beispiel Mindestlänge und Komplexität). Auf einem Mac (macOS 13 oder neuer, nicht mit User Enrollment) gelten die Regeln für das Anmeldepasswort der Benutzer.

Optionen

Im Apple-Richtlinieneditor werden Codeoptionen mit einer Mischung aus Schaltern und Zahlenfeldern konfiguriert. Viele Felder enthalten Tooltips, die unterstützte Betriebssystemversionen und Überwachungsanforderungen angeben.

Code-Schalter

Zahlenfelder

Einschränkungen

Die Abschnitte „Einschränkungen“ steuern, welche Betriebssystemfunktionen auf verwalteten Apple-Geräten erlaubt sind. Im Apple-Richtlinieneditor werden diese Optionen als gruppierte Bedienfelder mit mehreren Schaltern dargestellt.

Die Schalter der Bereiche App-Verwaltung und Netzwerk werden auf den Seiten Apps & Profile und Netzwerk der Apple-Richtlinien beschrieben.

Viele Einschränkungen werden nur in bestimmten Betriebssystemversionen unterstützt und erfordern möglicherweise überwachte Geräte. Verwenden Sie die Tooltips im Dashboard für verbindliche Anforderungen.

Auf Geräten mit User Enrollment (persönliche Geräte, die durch Anmelden mit einem Arbeitskonto registriert wurden) werden die Einschränkungen, die Apple dort nicht zulässt, nicht gesendet. Wenn keine der Einschränkungen der Richtlinie gilt, erhalten diese Geräte kein Einschränkungsprofil. Der Richtlinieneditor zeigt an, wie viele Einschränkungen nicht für Geräte mit User Enrollment gelten.

Sicherheit

Multimedia

Mobilfunk

Mobilfunk-APN

Mobilfunk-APN legt den Zugangspunktnamen (APN) fest, den Ihnen Ihr Mobilfunkanbieter gegeben hat, zum Beispiel für ein privates oder geschäftliches Mobilfunknetz. Legen Sie den Zugangspunktnamen sowie, falls der Anbieter sie verlangt, die Authentifizierung (PAP oder CHAP), den Benutzernamen (Variablen wie $EMAIL$ sind erlaubt), das Passwort, die IP-Versionen (auch beim Roaming), einen Proxy-Server mit seinem Port und XLAT464 fest. Aktivieren Sie APN anhängen nur, wenn der Anbieter Ihnen einen separaten APN für die Verbindung zum Netzwerk gibt.

Ein falscher APN lässt die Geräte ohne mobile Daten zurück: Testen Sie die Einstellungen zuerst auf einem Testgerät mit einer SIM des Anbieters.

System und Benutzeroberfläche

Apple-Apps und -Dienste

Siri und Apple Intelligence

iCloud

Konten (Einschränkung)

Das Konten-Panel enthält sowohl eine Einschränkung als auch (optional) eine Kontokonfiguration. Mit dem Schalter für die Einschränkung legen Sie fest, ob der Benutzer Systemkonten ändern darf.

Netzwerk

Der Abschnitt Netzwerk des Apple-Richtlinieneditors konfiguriert Wi-Fi-Netzwerke und VPNs auf den Geräten, installiert Zertifikate und schränkt Konnektivitätsfunktionen wie AirDrop und Bluetooth ein. Jedes Wi-Fi-Netzwerk, VPN und Zertifikat wird als eigenes Konfigurationsprofil installiert, das Sie auf dem Gerät unter Einstellungen > Allgemein > VPN & Geräteverwaltung (Mac: Systemeinstellungen > Allgemein > Geräteverwaltung oder Datenschutz & Sicherheit > Profile unter macOS 13 und 14) und im Bereich Profile, Zertifikate und Sicherheit der Geräteseite sehen können.

Zertifikate stammen von der Seite Zertifikate: Importieren Sie sie zuerst dort. Die Richtlinie verweist nur auf sie, daher wird ein Zertifikat nie in die Richtlinie kopiert.

Einschränkungen

Wi-Fi-Netzwerke

Klicken Sie auf Wi-Fi-Netzwerk hinzufügen und füllen Sie aus:

Unternehmensnetzwerke (802.1X)

Aktivieren Sie Unternehmen (802.1X), wenn Benutzer sich mit ihren eigenen Zugangsdaten oder einem Zertifikat anstelle eines gemeinsam genutzten Passworts authentifizieren.

VPN

Klicken Sie auf VPN hinzufügen, um ein IKEv2- oder Cisco-IPSec-VPN zu konfigurieren, das in iOS, iPadOS und macOS integriert ist (keine VPN-App erforderlich).

Verbindung

Testen Sie ein Immer-an- oder Bei-Bedarf-VPN zuerst auf einem Testgerät: Wenn der Server nicht erreichbar ist, hat das Gerät möglicherweise keine Verbindung.

Globaler Proxy, verschlüsseltes DNS und Webinhaltsfilter

Diese Einstellungen gelten für den gesamten Datenverkehr des Geräts. Aktivieren Sie sie mit ihrem Schalter.

Ein falscher Proxy- oder DNS-Server kann die Geräte ohne Verbindung zurücklassen: Testen Sie die Einstellungen zuerst auf einem Testgerät.

Zertifikate

Klicken Sie auf Zertifikat hinzufügen, um ein Zertifikat separat zu installieren: eine Zertifizierungsstelle, der Safari und die Apps vertrauen müssen, oder eine von Apps verwendete Identität. Die Zertifikate eines Wi-Fi-Netzwerks oder eines VPNs müssen hier nicht hinzugefügt werden.

Zertifikatoptionen

Client-Zertifikate (.p12), die mit der alten RC2-Verschlüsselung geschützt sind, können nicht auf Apple-Geräten installiert werden. Exportieren Sie sie vor dem Importieren erneut mit 3DES- oder AES-Verschlüsselung.

Sicherheit

Profile, die Passwörter oder private Schlüssel enthalten, werden nur an das Gerät gesendet, für das sie erstellt wurden: Das Gerät muss seine Anforderung mit seinem Verwaltungszertifikat signieren. Passwörter und Zertifikate werden nicht in den Protokollen geschrieben.

Softwareupdates

Der Bereich Softwareupdates des Apple-Richtlinieneditors hält die Geräte auf dem neuesten Stand: Er kann eine bestimmte OS-Version bis zu einer Frist verlangen und steuern, wie die Geräte Updates herunterladen und installieren.

Erforderliche OS-Updates

Klicken Sie auf Erforderliches Update hinzufügen, um eine OS-Version zu verlangen. Das Gerät lädt das Update herunter, informiert den Benutzer über die Frist und installiert es bei Fristablauf, falls der Benutzer es nicht vorher erledigt hat. Geräte, die diese Version oder eine neuere bereits ausführen, ignorieren es. Erfordert iOS und iPadOS 17 oder macOS 14.

Das Gerät meldet den Fortschritt des Updates (Download, Installation, Fehler) im Bereich Gerätestatus der Geräteseite.

Softwareupdate-Einstellungen

Aktivieren Sie Softwareupdate-Einstellungen für iPhone und iPad oder Softwareupdate-Einstellungen für Mac, um die Updates auf diesen Geräten zu steuern. Wenn ein Schalter ausgeschaltet ist, behalten die Geräte ihre eigenen Einstellungen. Erfordert iOS und iPadOS 18 oder macOS 15: Ältere Geräte ignorieren diese Einstellungen.

Ein Update von der Geräteseite aus installieren

Der Bereich Gerätestatus eines Geräts listet die dafür verfügbaren Updates auf. Verwenden Sie Nach Updates suchen, um die Liste vom Gerät anzufordern, und Installieren, um ein Update jetzt zu installieren oder es herunterzuladen und den Benutzer installieren zu lassen. Dies funktioniert auf überwachten iPhones und iPads sowie auf Macs. Apple entfernt diese Befehle in iOS, iPadOS und macOS 27: Verwenden Sie in diesen Versionen die erforderlichen Updates der Richtlinie.

macOS

Der Abschnitt macOS des Apple-Richtlinieneditors verwaltet die Sicherheits-, Datenschutz- und Anmeldeeinstellungen der Macs: FileVault, Firewall, Gatekeeper, Bildschirmschoner und Sperre, externe und Netzwerkspeicher, Bildschirmfreigabe, Datenschutzberechtigungen, Anmeldeobjekte sowie die System- und Kernel-Erweiterungen, die geladen werden dürfen. Er installiert außerdem Konfigurationsdateien von Systemdiensten und Hintergrundaufgaben. Die anderen Geräte der Richtlinie erhalten diese Einstellungen nicht. Aktivieren Sie eine Einstellung, um sie zu verwalten; solange sie deaktiviert ist, behalten die Benutzer ihre eigenen Auswahlmöglichkeiten.

Die meisten Einstellungen werden auf dem Mac als Konfigurationsprofile installiert und sind in Systemeinstellungen > Allgemein > Geräteverwaltung sichtbar. FileVault, Datenschutzberechtigungen, Anmeldeobjekte und die Erweiterungseinstellungen erfordern eine vom Benutzer genehmigte MDM: Auf einem Mac, der mit der Registrierungs-URL oder dem QR-Code registriert wurde, genehmigt der Benutzer das Registrierungsprofil in den Systemeinstellungen. Die Geräteseite zeigt dies im Feld Vom Benutzer genehmigte MDM. Wenn der Benutzer es später genehmigt, erhält der Mac diese Einstellungen automatisch.

FileVault

FileVault verschlüsselt die Festplatte des Macs. Ist diese Einstellung aktiviert, werden Benutzer aufgefordert, FileVault mit ihrem Passwort zu aktivieren, und der Mac sendet seinen persönlichen Wiederherstellungsschlüssel an Cerberus Enterprise, verschlüsselt mit einem Schlüssel, der nur Ihrer Organisation gehört. Der Schlüssel wird im Feld FileVault der Geräteseite angezeigt und geändert (siehe Gerätebefehle). Die Einstellung erfordert macOS 13 oder neuer und eine vom Benutzer genehmigte MDM; ohne vom Benutzer genehmigte MDM wird der Mac nicht aufgefordert, FileVault zu aktivieren, aber wenn ein Benutzer es aktiviert, wird sein Schlüssel gespeichert.

Ein Mac, der bereits verschlüsselt war, als er die Einstellung erhielt, behält seinen aktuellen Schlüssel, den Cerberus Enterprise nicht erhält: Der Schlüssel wird erst gespeichert, nachdem der Benutzer FileVault deaktiviert und erneut aktiviert hat (mit deaktivierter Option „Deaktivieren von FileVault verhindern“). Das Deaktivieren der Einstellung oder das Entfernen des Macs aus der Verwaltung deaktiviert FileVault nicht, und der gespeicherte Schlüssel funktioniert weiterhin. Die Einstellung kann nicht gespeichert werden, wenn der Server nicht für die Speicherung von Wiederherstellungsschlüsseln konfiguriert ist.

Firewall

Gatekeeper

Gatekeeper prüft die Apps, bevor sie geöffnet werden. Wählen Sie aus, ob die Macs nur Apps aus dem App Store oder auch Apps identifizierter Entwickler öffnen. Bei deaktiviertem Gatekeeper kann jede App geöffnet werden, auch nicht signierte oder beschädigte. Unter macOS 15 oder neuer können Sie außerdem auswählen, ob Benutzer aufgefordert werden, blockierte Malware an Apple zu senden.

Bildschirmschoner und Sperre

Starten Sie den Bildschirmschoner nach einer gewissen Inaktivitätszeit, und fordern Sie das Passwort an, wenn der Bildschirmschoner startet oder das Display in den Ruhezustand wechselt, sofort oder nach einer Verzögerung. Eine Einstellung, die auf Nicht verwaltet belassen wird, bleibt die Wahl des Benutzers.

Externer und Netzwerkspeicher

Erlauben, schreibgeschützt machen oder blockieren Sie den externen Speicher (USB-Laufwerke, SD-Karten, externe Festplatten) und den Netzwerkspeicher (Dateifreigaben) der Macs. Erfordert macOS 15 oder neuer.

Bildschirmfreigabe

Einschränkungen für Personen, die sich mit der Bildschirmfreigabe mit diesen Macs verbinden: Kopieren von Dateien vom oder auf den Mac, Hochleistungsverbindungen und die Anzahl virtueller Displays. Das Aktivieren der Bildschirmfreigabe bleibt die Wahl des Benutzers. Erfordert macOS 14 oder neuer.

Datenschutzberechtigungen

Gewähren oder verweigern Sie Apps den Zugriff, den Benutzer andernfalls in den Systemeinstellungen > Datenschutz & Sicherheit erlauben würden, zum Beispiel Vollständiger Festplattenzugriff für eine Backup-App, oder verweigern Sie einer App den Zugriff auf die Kamera. Wählen Sie für jede Berechtigung:

Anmeldeobjekte und Hintergrundobjekte

Die Anmeldeobjekte und Hintergrundobjekte, die den Regeln entsprechen, werden verwaltet: Sie werden ohne Nachfrage ausgeführt, und Benutzer können sie nicht in den Systemeinstellungen > Allgemein > Anmeldeobjekte deaktivieren. Eine Regel entspricht der Entwicklerteam-ID einer App, ihrer Bundle-ID oder der Bezeichnung eines Launch-Daemons oder -Agents (auch anhand ihres ersten Teils). Erfordert macOS 13 oder neuer.

Systemerweiterungen

Systemerweiterungen sind die moderne Möglichkeit für Apps, macOS zu erweitern: Netzwerkfilter und VPNs, Endpoint-Security-Agenten und -Treiber. Ist diese Einstellung aktiviert, werden die Systemerweiterungen der aufgeführten Entwicklerteams ohne Nachfrage beim Benutzer geladen. Erfordert macOS 10.15 oder neuer und eine vom Benutzer genehmigte MDM.

Unter macOS 11.3 und neuer deaktiviert das Entfernen dieser Einstellung die Systemerweiterungen, die sie erlaubt hat, zum Beispiel einen Sicherheitsagenten oder einen Netzwerkfilter. Dies geschieht, wenn die Einstellung deaktiviert wird, wenn die Richtlinie gelöscht wird und wenn der Mac zu einer Richtlinie ohne sie wechselt. Der Editor fordert vor dem Deaktivieren der Einstellung eine Bestätigung an.

Kernel-Erweiterungen (Legacy)

Kernel-Erweiterungen sind die ältere, veraltete Möglichkeit, macOS zu erweitern: Bevorzugen Sie Systemerweiterungen, wenn der Anbieter sie anbietet. Die Kernel-Erweiterungen der aufgeführten Teams (jede Erweiterung eines Teams oder nur die aufgeführten Bundle-IDs) werden nach einem Neustart ohne Nachfrage beim Benutzer geladen. Erfordert macOS 10.13.2 oder neuer und eine vom Benutzer genehmigte MDM.

Auf Macs mit Apple silicon reicht ein Profil allein nicht aus: Jemand muss den Mac in recoveryOS starten, im Startup-Sicherheitsdienstprogramm „Reduzierte Sicherheit“ auswählen und die Benutzerverwaltung von Kernel-Erweiterungen identifizierter Entwickler erlauben. Der Mac benötigt möglicherweise außerdem ein in Cerberus Enterprise hinterlegtes Bootstrap Token, um sie zu genehmigen (siehe das Feld „Bootstrap Token“ auf der Geräteseite).

Mac-Dateien

Die Dienstkonfigurationsdateien und die Hintergrundaufgaben verwenden Dateien, die Sie in die Mac-Dateien Ihrer Organisation hochladen: ZIP-Archive und Eigenschaftslisten (.plist) bis zu 20 MB. Laden Sie sie hoch, prüfen Sie, wo sie verwendet werden, oder löschen Sie sie über die Schaltfläche Mac-Dateien des macOS-Abschnitts oder über Datei auswählen in einer Einstellung. Eine von einer Richtlinie verwendete Datei kann nicht gelöscht werden. Um eine Datei zu ändern, laden Sie die neue Version hoch und wählen Sie sie in der Richtlinie aus: Die Macs laden sie erneut herunter.

Dienstkonfigurationsdateien

Installiert die Konfigurationsdateien eines Systemdienstes aus einem ZIP-Archiv. Die integrierten Dienste sind der SSH-Server (sshd), sudo, PAM, Drucken (CUPS), der Apache-Webserver, bash, zsh, Smartcard-Anmeldung und Autorisierung. Sie können auch einen eigenen Dienst mit einer Reverse-DNS-Kennung wie com.example.service verwenden: Er findet die Dateien über die Bibliothek der verwalteten Konfigurationsdateien von macOS. Jeder Dienst kann eine Einstellung haben. Erfordert macOS 14 oder neuer.

Ein integrierter Dienst verwendet nur die Dateien des Archivs und ignoriert seine eigenen Dateien, zum Beispiel /etc/ssh für sshd: Legen Sie die gesamte Konfiguration im Archiv in Ordnern ab, die vom Stammverzeichnis der Festplatte ausgehen (zum Beispiel etc/ssh/sshd_config). Die Dateien sind auf dem Mac schreibgeschützt und werden mit der Einstellung entfernt. Testen Sie das Archiv zuerst auf einem Mac: Eine falsche sudo- oder PAM-Konfiguration kann Benutzer daran hindern, sich anzumelden oder Administratorrechte zu verwenden.

Hintergrundaufgaben

Programme und Skripte, die im Hintergrund ausgeführt und von launchd gestartet werden. Benutzer können sie nicht deaktivieren, und sie werden mit der Einstellung entfernt. Erfordert macOS 15 oder neuer. Wählen Sie für jede Aufgabe:

Eine Aufgabe benötigt die Programme oder mindestens eine Eigenschaftsliste. Wenn sich die Dateien ändern, starten die Macs die Aufgabe neu.

Standort und Geofences

Der Abschnitt Standort und Geofences des Apple-Richtlinieneditors definiert Bereiche, zum Beispiel einen Standort oder ein Lager. iPhones und iPads mit der Cerberus Enterprise-App melden, wenn sie einen dieser Bereiche betreten oder verlassen, und Ereignisregeln können darauf reagieren: eine E-Mail senden, das Gerät sperren oder deaktivieren oder es wieder aktivieren. Macs verwenden keine Geofences.

Geofence-Felder

Verwenden Sie Geofence hinzufügen, um einen neuen Eintrag zu erstellen. Eine Richtlinie kann bis zu 10 Geofences enthalten, und ihre Namen müssen innerhalb der Richtlinie eindeutig sein. Jeder Geofence enthält diese Felder:

Jeder Geofence hat eine Kartenvorschau. Mittelpunkt und Radius eines gespeicherten Geofence sind gesperrt: Verwenden Sie die Sperrschaltfläche auf der Karte, um sie zu ändern. Die anderen Schaltflächen zentrieren die Karte auf den Bereich oder auf Ihren aktuellen Standort.

Wenn Sie die Richtlinie speichern, fordert Cerberus Enterprise die iPhones und iPads der Richtlinie auf, die neuen Geofences abzurufen. Dies dauert normalerweise einige Minuten, aber iOS kann es verzögern, zum Beispiel im Energiesparmodus oder ohne Netzwerkverbindung. Die Geräteseite zeigt an, wenn die App die neuesten Geofences noch nicht angewendet hat.

Voraussetzungen

Geofences funktionieren auf iPhones und iPads mit der Cerberus Enterprise App. Macs ignorieren sie. Auf dem Gerät:

Standort und Geofences auf persönlichen Geräten, oben im Abschnitt, ist standardmäßig deaktiviert. Solange es deaktiviert ist, erfasst Cerberus den Standort persönlicher Geräte (User Enrollment) nicht, ihre Geofence-Ereignisse werden nicht erzeugt, und ihre Geräteseite bietet weder „Standort ermitteln“ noch Live-Tracking an. Wenn Sie es aktivieren, teilen persönliche Geräte der Richtlinie ihren Standort und ihre Geofence-Ereignisse wie Firmengeräte, jedoch nur, wenn der Benutzer den Standort für die Cerberus Enterprise App erlaubt; die App erklärt dies dem Benutzer, bevor iOS fragt. Ihre Organisation ist dafür verantwortlich, Benutzer zu informieren und lokale Vorschriften zum Mitarbeiterstandort einzuhalten. Der Modus „Verloren“ und die MDM-Standortanfrage sind auf persönlichen Geräten nie verfügbar (Apple erlaubt sie nicht).

Im Energiesparmodus funktionieren Geofences weiterhin, aber iOS meldet das Verlassen eines Bereichs später und mit einem weniger präzisen Standort und kann das Abrufen neuer Geofences nach einer Richtlinienänderung um Stunden verzögern, bis die App erneut ausgeführt wird (zum Beispiel beim nächsten Übertritt oder wenn der Benutzer sie öffnet).

Wie Ereignisse eintreffen

iOS überwacht die Bereiche für die App und weckt sie, wenn das Gerät eine Grenze überschreitet, auch wenn die App nicht geöffnet ist. Ereignisse können einige Minuten nach dem Übertritt eintreffen, und ein kleiner Bereich oder ein kurzer Besuch kann verpasst werden: iOS benötigt eine gewisse Strecke, die das Gerät über die Grenze hinaus zurücklegt, und einen längeren Aufenthalt dort.

Wenn die App nicht ausgeführt werden kann, zum Beispiel nach einem Neustart, bevor das Gerät entsperrt ist, erkennt auch der Server den Übertritt später anhand der von der App gesendeten Standorte. Jeder Übertritt löst die Ereignisregeln einmal aus, unabhängig davon, ob die App oder der Server ihn erkennt.

Wenn die App den Server mehrere Stunden lang nicht kontaktiert hat, bittet der Server iOS, sie zu wecken, damit sie ihre Geofences erneut prüfen kann. iOS garantiert diese Anforderungen nicht.

Geräteseite

Auf der Geräteseite zeigt die Registerkarte Geofence des Bedienfelds Standortkarte die Übertritte des Geräts an. Wenn die Richtlinie aktive Geofences enthält, teilt eine Statuszeile mit, ob die Geofence-Funktion auf dem Gerät funktioniert oder warum nicht: Die App hat den Server nicht kontaktiert oder muss aktualisiert werden, der Standortzugriff ist nicht auf Immer gesetzt, Präziser Standort oder Hintergrundaktualisierung ist deaktiviert, der Energiesparmodus war aktiviert, als die App ihre Einstellungen zuletzt gemeldet hat, oder die App hat die neuesten Geofences noch nicht angewendet.

Geofence-Übergänge und Standorte werden 90 Tage lang aufbewahrt, ältere Daten werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auf den Karten bleibt.

Einschränkungen

Um auf Geofence-Ereignisse zu reagieren, erstellen Sie eine Ereignisregel für Gerät betritt einen Geofence oder Gerät verlässt einen Geofence. Siehe Ereignisregeln.

Konten

Der Abschnitt Konten des Apple-Richtlinieneditors fügt E-Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten zu iPhone, iPad und Mac hinzu. Klicken Sie auf Konto hinzufügen und wählen Sie den Typ. Der Abschnitt enthält außerdem die Einschränkung Kontenänderung erlauben (überwachte Geräte).

Auf einem Mac (macOS 13 oder höher) werden die Konten in der Sitzung der für die Verwaltung registrierten Benutzer installiert – in der Regel der Benutzer, der den Mac registriert hat –, wenn diese angemeldet sind. Die Geräteseite listet diese Benutzer unter Mac-Benutzer mit dem Status ihrer Konten auf. Konten, die die E-Mail-Adresse vom Gerätebenutzer übernehmen, verwenden den in Cerberus Enterprise dem Mac zugewiesenen Benutzer.

Allgemeine Einstellungen

Kontotypen

S/MIME

E-Mail- und Exchange-Konten können Nachrichten mit S/MIME signieren und verschlüsseln (iOS 17 oder höher). Wählen Sie für jedes Konto das Zertifikat: eines von der Seite Zertifikate, das Zertifikat des Gerätebenutzers oder eines, das von einem SCEP-Server angefordert wird. Sie können dem Benutzer erlauben, es zu deaktivieren, ein anderes Zertifikat zu wählen und für die Verschlüsselung einen Schalter für jede Nachricht anzuzeigen.

Sicherheit

Passwörter und Zertifikate sind nicht Teil der an die Geräte gesendeten Einstellungen: Jedes Gerät lädt seine eigenen Anmeldedaten von Cerberus Enterprise herunter und signiert die Anfrage mit seinem Verwaltungszertifikat. Sie werden nicht in den Protokollen gespeichert.

Compliance-Regeln

Der Abschnitt Compliance-Regeln des Apple-Richtlinieneditors legt Anforderungen für die Geräte der Richtlinie fest. Ein Gerät, das eine Regel verletzt, ist sofort nicht konform: Die Geräteseite zeigt unter Warum das Gerät nicht konform ist den Grund an, und die Geräteliste zeigt es als nicht konform an. Ein Gerät ist auch dann nicht konform, wenn eine Einstellung der Richtlinie darauf nicht angewendet werden kann.

Regeln

Eine Regel wird geprüft, wenn das Gerät seinen Status sendet, wenn die Richtlinie gespeichert wird und jede Stunde. Ein Gerät, dessen Status unbekannt ist (zum Beispiel ein Mac, der FileVault noch nicht gemeldet hat), verletzt die Regel nicht.

Sperren des Geräts

Aktivieren Sie Das Gerät sperren, wenn es weiterhin nicht konform ist und legen Sie fest, nach wie vielen Tagen (0 sperrt sofort). Überwachte iPhones und iPads wechseln mit der von Ihnen festgelegten Nachricht in den Modus „Verloren“. Die anderen Geräte werden einmal gesperrt; ein Mac startet neu und fragt nach einer PIN, die in den Details des Befehls im Befehlsverlauf angezeigt wird.

Um benachrichtigt zu werden oder auf andere Weise zu reagieren, erstellen Sie eine Ereignisregel für Gerät wird nicht konform: Sie erhält auch die Begründungen.