Apps y perfiles

Esta sección documenta cómo configurar aplicaciones gestionadas y cargas útiles de cuentas para dispositivos Apple.

Gestión de aplicaciones

El panel Gestión de aplicaciones contiene tanto restricciones generales relacionadas con las aplicaciones como una lista de aplicaciones gestionadas.

Restricciones generales de aplicaciones

• Permitir clips de apps
• Permitir la instalación de aplicaciones
• Permitir la eliminación de aplicaciones
• Permitir descargas automáticas de aplicaciones
• Permitir ocultar aplicaciones
• Permitir bloquear aplicaciones
• Permitir compras dentro de la aplicación
• Permitir cambiar el navegador predeterminado
• Permitir confiar en apps empresariales

Aplicaciones gestionadas

Usa Añadir aplicación para añadir una aplicación a la política. Cada aplicación gestionada se muestra como una tarjeta. Puedes expandir la tarjeta para editar sus ajustes y quitar la aplicación con la acción de eliminar.

• ID de App Store: el identificador de App Store de la aplicación gestionada.
• ID de paquete: el identificador de paquete de la aplicación.
• Comportamiento de instalación: controla si la aplicación debe permanecer instalada o si el usuario puede instalarla o quitarla.
• Asignación: el tipo de licencia que Cerberus elige para cada dispositivo: una licencia de dispositivo en dispositivos de la empresa, una licencia de usuario de la cuenta de Apple gestionada en iPhone y iPad personales (inscripción de usuario). El campo no se puede cambiar.
• Licencia VPP: tipo de licencia VPP usada para la instalación a través del App Store.

La lista de selección de aplicaciones muestra las licencias disponibles y totales de cada aplicación. Las aplicaciones gratuitas muestran Ilimitadas: Apple les da licencias ilimitadas. Una aplicación solo se puede añadir una vez a una política: se rechaza una aplicación con el mismo ID de App Store o ID de paquete que otra ya incluida en la política, y también se rechaza una política que enumera la misma aplicación dos veces al guardarla.

La lista de selección de aplicaciones muestra las aplicaciones de tu biblioteca de Apple Business. Para añadir una aplicación, en Apple Business abre Apps & Services → Apps & Books → App Store, busca la aplicación y haz clic en View. Para una aplicación gratuita, haz clic en Add, selecciona All current and future (o la unidad organizativa de tu token de Apps and Books) en Organizational Units, haz clic en Add y luego en Review y confirma. Para una aplicación de pago, haz clic en su precio, elige Managed Licenses como License Type (Cerberus Enterprise no puede usar códigos de canje), selecciona la Organizational Unit de tu token de Apps and Books, introduce el número de Licenses (hasta 1000 por pedido) y luego Review y compra. Primero se debe configurar un método de pago en Settings → Payments & Billing → Apps & Services → Payment Methods. Después, las aplicaciones aparecen en la lista de selección de aplicaciones.

Aplicaciones en dispositivos personales (inscripción de usuario)

Los iPhone y iPad personales inscritos con la inscripción de usuario no tienen número de serie, por lo que reciben las aplicaciones del App Store de la política con una licencia de usuario de la cuenta de Apple gestionada con la que se ha iniciado sesión en el dispositivo. Cerberus registra la cuenta en Apps and Books y asigna las licencias por sí mismo, incluidas las aplicaciones gratuitas. Las cuentas de Apple gestionadas y el token de Apps and Books deben pertenecer a la misma organización de Apple Business. Una aplicación de pago usa una licencia por cuenta, compartida por todos los dispositivos personales de esa cuenta.

• Esperando una licencia de usuario: la aplicación se envía al dispositivo solo después de que Apple confirme su licencia, normalmente en pocos minutos. El panel Aplicaciones del dispositivo muestra el motivo.
• Error en la licencia de usuario: Apple no pudo asignar la licencia, por ejemplo porque una aplicación de pago no tiene licencias disponibles. Añade licencias en Apple Business y luego usa Solicitar de nuevo; Cerberus también lo vuelve a intentar por sí mismo cada día.
• Aviso de instalación: iOS pregunta al usuario antes de instalar cada aplicación. Si el usuario cancela, la aplicación muestra Esperando a que el usuario apruebe la instalación; Solicitar de nuevo vuelve a mostrar el aviso.
• Liberación: quitar la aplicación de la política, o anular la inscripción del último dispositivo personal de la cuenta, elimina la aplicación y libera su licencia, a menos que otro dispositivo inscrito de la misma cuenta aún la necesite.

Para obtener más información, consulta Inscripción de Apple basada en la cuenta.

Configuración gestionada

Una configuración gestionada proporciona a una aplicación sus ajustes (por ejemplo, una dirección de servidor o un nombre de cuenta), tal como los documenta el proveedor de la aplicación. Abre la aplicación en la política y haz clic en Añadir configuración gestionada. Se envía a iPhone y iPad con iOS o iPadOS 18.4 o posterior y a Mac con macOS 27 o posterior; aún no se envía a Apple Vision Pro. La aplicación debe admitir la configuración gestionada: una aplicación que no la lee la ignora. El panel de la aplicación muestra el número de claves junto al nombre de la aplicación.

• Claves: cada fila tiene una clave, un tipo y un valor. Los tipos son Texto, Entero, Número decimal, Booleano, Fecha, Lista de texto y Lista de enteros. Las claves distinguen entre mayúsculas y minúsculas y deben ser únicas. Añadir clave añade una fila; Eliminar configuración elimina todas las claves.
• Variables: los valores de Texto y Lista de texto pueden contener $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ y $UDID$, sustituidos por los valores de cada dispositivo y de su usuario. Una variable sin valor (por ejemplo, $EMAIL$ en un dispositivo sin usuario) se deja vacía, y los registros del sistema lo indican. Cuando cambian los datos de un usuario, los dispositivos reciben los nuevos valores; para los usuarios sincronizados desde Google Directory, los valores se actualizan en el siguiente cambio de la política o del dispositivo.
• Importar una configuración: abre o pega el archivo que publica el proveedor de la aplicación para MDM y luego haz clic en Leer. Un archivo de especificación AppConfig specfile (specfile.xml) enumera todas las claves que admite la aplicación con su descripción, tipo, valor predeterminado y valores permitidos: selecciona las claves que quieres importar (las que tienen un valor predeterminado ya están seleccionadas) y completa las demás después de la importación. Aparece una advertencia cuando el archivo de especificación corresponde a otra aplicación. Una lista de propiedades (una lista de propiedades completa o solo su <dict>) se importa tal cual. Después, elige si quieres reemplazar las claves actuales o añadirlas. Los diccionarios anidados, los valores de datos y las listas con tipos mixtos o desconocidos no son compatibles y se enumeran como omitidos. Apple no publica las claves de configuración de las aplicaciones, así que pide el archivo al proveedor cuando no esté en su documentación. Copiar como plist copia la configuración tal como la recibe el dispositivo, antes de que se sustituyan las variables.
• Límites: hasta 200 claves por aplicación; claves de hasta 255 caracteres; valores de texto de hasta 4096 caracteres; listas de hasta 200 elementos de hasta 1024 caracteres cada uno; fechas entre 1970 y 9999; 64 KB por aplicación en total.
• No para contraseñas: la configuración se envía solo al dispositivo para el que se crea y los registros muestran solo los nombres y tipos de las claves, pero los administradores del panel de control pueden leer los valores, y la dirección desde la que el dispositivo la descarga cambia con los valores, por lo que un valor fácil de adivinar (un booleano o un número pequeño) podría deducirse de ella. No incluyas contraseñas ni otros secretos en una configuración gestionada.
• Estado: cuando el dispositivo informa de que la aplicación no aceptó su configuración, el panel Aplicaciones del dispositivo muestra Configuración no aceptada junto a la aplicación. No marca el dispositivo como incumplidor. Una configuración que el dispositivo no puede descargar sí lo marca como incumplidor.

Opciones de la aplicación

Cada aplicación de la política (del App Store y personalizadas) tiene estas opciones. Predeterminado del dispositivo deja la elección al dispositivo. Los dispositivos que no admiten una opción no la reciben; la aplicación se sigue instalando.

• Actualizaciones automáticas: ajuste del App Store, Siempre o Nunca. iOS, iPadOS, macOS y visionOS 26 o posterior. Para las aplicaciones personalizadas, el ajuste del App Store se comporta como Nunca.
• Descargas por red móvil: ajuste del App Store, Siempre o Nunca, para las instalaciones y actualizaciones automáticas. Solo iPhone y iPad supervisados con iOS o iPadOS 26 o posterior.
• Hacer copia de seguridad de los datos de la aplicación: si los datos de la aplicación se incluyen en las copias de seguridad del dispositivo. No en Mac.
• El usuario puede ocultar la aplicación y El usuario puede bloquear la aplicación: iOS y iPadOS 18.1 o posterior, aplicado en dispositivos supervisados. No permitir el bloqueo también impide ocultarla. Las restricciones Permitir ocultar aplicaciones y Permitir bloquear aplicaciones se aplican a todas las aplicaciones.
• Bloquear el dispositivo después de las transacciones de Tap to Pay que necesitan el PIN del cliente: solo iPhone.
• Dominios asociados: los dominios a los que se asocia la aplicación (por ejemplo, para enlaces universales o autorrelleno de contraseñas), hasta 50. Introduce nombres de host simples como www.example.com, sin applinks:, comodines ni ?mode=. No en Mac.
• Verificar los dominios directamente: el dispositivo comprueba el archivo de asociación de sitios de los dominios directamente en lugar de a través de los servidores de Apple. Actívalo solo para dominios internos a los que no se pueda acceder desde internet.
• Eliminación: las aplicaciones instaladas como Obligatorias no las puede quitar el usuario.

Aplicaciones del Mac App Store

La lista de selección de aplicaciones muestra las plataformas de cada aplicación (iPhone/iPad, Mac, Apple TV, Vision); una aplicación que solo existe para Mac muestra su icono de Mac. Una aplicación que solo existe para Mac se aplica a los Mac cuando la añades. Una aplicación del App Store sin versión para Mac no se envía a los Mac: la política muestra "Esta aplicación no tiene versión para Mac: no se envía a los Mac" en Se aplica a. Los Mac reciben las aplicaciones del App Store por su ID de App Store, por lo que las aplicaciones con un ID de paquete diferente en Mac se instalan correctamente.

Aplicación Cerberus Enterprise

Cerberus instala su app Cerberus Enterprise en cada iPhone y iPad con iOS o iPadOS 18.4 o posterior, con o sin política. La app comparte la ubicación del dispositivo y recibe notificaciones y solicitudes de seguimiento en vivo. Se instala como Obligatoria, con una licencia de dispositivo de Apps and Books (una licencia de usuario en dispositivos personales), así que el usuario no puede eliminarla.

• Configuración única: añade la aplicación gratuita a tu biblioteca una vez. En Apple Business, abre Apps & Services → Apps & Books → App Store, busca "Cerberus Enterprise", haz clic en View, luego en Add, selecciona All current and future en Organizational Units, haz clic en Add y luego en Review y confirma. Si la aplicación muestra Manage, ya está en tu biblioteca: ábrela y comprueba que sus unidades organizativas son All current and future units. Hasta entonces, el panel de control muestra un banner y los dispositivos muestran la aplicación como no instalada. Consulta Configuración de la cuenta.
• No está en las políticas: la aplicación no se puede añadir a una política. Está deshabilitada en la lista de selección de aplicaciones y se rechaza como aplicación personalizada (mismo ID de paquete). Una política que ya la incluye elimina la entrada cuando la abres: guarda la política para confirmar.
• No se instala en: dispositivos con iOS o iPadOS anterior a 18.4. El iPad compartido es compatible con la instalación, pero las funciones de la app no se han verificado en él.
• Dispositivos personales: en iPhone y iPad inscritos con User Enrollment, la app también se instala, con una indicación de instalación y una licencia de usuario de la Managed Apple Account. Recibe mensajes de tu organización y no accede a la ubicación a menos que la política active Ubicación y geovallas en dispositivos personales y el usuario lo permita.
• Se mantiene instalada: si el token de Apps and Books caduca o la aplicación sale de tu biblioteca, la aplicación permanece en los dispositivos y la página del dispositivo indica que Apps and Books necesita atención. Solo se elimina si la aplicación sigue faltando en tu biblioteca 24 horas después.

Aplicaciones personalizadas

Las aplicaciones personalizadas son tus propias aplicaciones para iPhone y iPad (archivos .ipa), distribuidas sin el App Store. En Xcode, exporta la aplicación para distribución Enterprise (Apple Developer Enterprise Program: se instala en todos los dispositivos) o para distribución Ad Hoc (se instala solo en los dispositivos registrados en su perfil de aprovisionamiento). Las compilaciones del App Store no se pueden subir.

Haz clic en Añadir aplicación personalizada para abrir las aplicaciones personalizadas de tu organización. Subir aplicación añade un archivo .ipa (hasta 2 GB). Selecciona una aplicación y haz clic en Añadir a la política. La lista muestra la versión, el tipo de firma, el número de dispositivos del perfil de las aplicaciones ad hoc y la fecha de caducidad del perfil de aprovisionamiento.

• Nueva versión: sube una aplicación con el mismo ID de paquete. Reemplaza la versión anterior y los dispositivos de las políticas que la usan actualizan la aplicación.
• Requisitos: iPhone y iPad con iOS 17.2 o posterior. Los dispositivos que no pueden instalar la aplicación no la reciben: una aplicación solo para iPad en un iPhone, un iOS anterior al que necesita la aplicación, un dispositivo que no está en el perfil de una aplicación ad hoc o un perfil de aprovisionamiento caducado.
• Caducidad: cuando caduca el perfil de aprovisionamiento, la aplicación deja de abrirse. Sube una versión firmada con un nuevo perfil antes de la fecha de caducidad.
• ID de paquete reservado: una aplicación personalizada con el ID de paquete de la aplicación Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) no se puede añadir a una política, porque Cerberus instala esa aplicación por sí mismo.
• Eliminar: primero quita la app de sus políticas; después los dispositivos la eliminan.

Paquetes de Mac

Las apps personalizadas también aceptan paquetes de instalación de Mac (archivos .pkg). El paquete debe ser un paquete de distribución creado con productbuild (se rechaza un paquete de componentes creado solo con pkgbuild) y firmado con un certificado Developer ID Installer. Se recomienda notarizarlo y grapar el ticket (notarytool y stapler). Se rechazan los paquetes sin firmar, los paquetes modificados después de firmarlos y los paquetes firmados con otros certificados.

Sube el archivo .pkg con Subir app y agrégalo a la política: aparece en Paquetes de Mac. Los iPhone y iPad lo ignoran.

Los Mac con macOS 26 o posterior (supervisados, lo que incluye los Mac registrados manualmente, pero no User Enrollment) reciben el paquete como una declaración: el Mac lo descarga, lo instala, reintenta y lo actualiza por sí solo e informa su estado. Los Mac más antiguos, y los paquetes instalados como apps administradas, lo reciben con un comando MDM, en cualquier versión de macOS. Un Mac que se actualiza a macOS 26 pasa a la declaración por sí solo; puede instalar cada paquete una vez más. Lo mismo puede ocurrir cuando un Mac pasa a otra política que tiene el mismo paquete.

• Nueva versión: sube un paquete con el mismo identificador de paquete. Reemplaza la versión anterior, y los Mac de las políticas que lo usan instalan la nueva.
• Mac omitidos: Mac con un macOS más antiguo que el que permite el paquete, y Mac Intel para paquetes creados solo para Apple silicon. La página del dispositivo muestra el paquete como Omitido, con el motivo; la versión instalada antes permanece en el Mac.
• Instalar: Obligatorio (opción predeterminada) instala el paquete en el Mac; Opcional deja el paquete disponible en el Mac sin instalarlo. macOS 26 no muestra los paquetes opcionales al usuario en Ajustes del Sistema ni en el App Store (probado en macOS 26.3), así que una app o un script del Mac tiene que instalarlos; elige Opcional solo si dispones de uno. Se aplica a los Mac con macOS 26 o posterior; los Mac más antiguos siempre instalan el paquete. La opción no está disponible para paquetes instalados como apps administradas.
• Eliminar los archivos del paquete cuando salga de la política (macOS 27 o posterior): cuando el paquete se quita de la política, los Mac con macOS 27 o posterior eliminan los archivos que instaló. Está desactivado de forma predeterminada. En los Mac más antiguos, los archivos permanecen. No está disponible para paquetes instalados como apps administradas.
• Instalar como app administrada: actívalo para que un paquete de la política instale su app como app administrada (macOS 11 o posterior, no con la inscripción de usuarios). macOS entonces informa cuando falla la instalación, y MDM puede eliminar la app. La app debe instalarse directamente en la carpeta Aplicaciones, firmada con un certificado Developer ID Application y notarizada; en macOS 11 a 13 el paquete debe contener solo esa app (ningún otro archivo ni script). Las apps personalizadas muestran qué paquetes cumplen los requisitos. Cuando la opción no se puede aplicar en un Mac, el paquete se instala allí como de costumbre y la página del dispositivo indica por qué.
• Opciones de eliminación de una app administrada: Eliminar la app cuando el paquete se quita de la política (activado de forma predeterminada) y Eliminar la app cuando el Mac deja de estar administrado. Eliminar una app también borra sus datos. Si el usuario ya había instalado la misma app, esa copia pasa a estar administrada y también se elimina.
• Eliminación: el comando MDM no puede desinstalar un paquete. Para un paquete instalado como app administrada, quitarlo de la política elimina la app (cuando la opción está activada); sus otros archivos y el recibo del paquete permanecen. Los paquetes con Eliminar los archivos del paquete activado se eliminan de los Mac con macOS 27 o posterior. Otros paquetes: quitarlos de la política solo detiene las nuevas instalaciones, los archivos permanecen en los Mac. Un Mac que se omite (por ejemplo, tras una nueva versión que necesita un macOS más reciente) conserva la app mientras el paquete está en la política; quitarlo entonces de la política también la elimina. Elimina los archivos sobrantes del Mac (por ejemplo, con el propio desinstalador del paquete) y ejecuta sudo pkgutil --forget <identifier> para olvidar el recibo del paquete.
• Estado en el dispositivo: el panel Aplicaciones del Mac muestra cada paquete de la política como En cola, Aceptado (el Mac aceptó el comando), Descargado, Instalado (solo para paquetes que contienen apps, cuando las apps se encuentran en el Mac) o Fallido (con el error). macOS no informa la instalación de un paquete enviado con el comando, así que Descargado es el último estado para los paquetes sin apps. Un paquete instalado como app administrada también pasa a Fallido cuando macOS informa que la app no se pudo instalar o se eliminó del Mac. Instalar de nuevo envía el paquete al Mac otra vez.
• Estado con la declaración: los paquetes entregados como declaración muestran la etiqueta Declaración y el estado que informa el Mac: En cola, Disponible (un paquete opcional que el usuario no ha instalado), Esperando al usuario, Descargando, Instalando, Instalado o Fallido (con el motivo, por ejemplo una descarga o instalación fallida, o una declaración que el Mac rechazó). La etiqueta Archivos eliminados con la política marca los paquetes cuyos archivos elimina un Mac con macOS 27 cuando salen de la política. Instalar de nuevo aparece solo después de un fallo y pide al Mac que lo intente otra vez; no se ofrece cuando el Mac rechazó la declaración.

Cuentas

El panel Cuentas te permite configurar cuentas que se aplican a los dispositivos administrados. También incluye un interruptor de restricción para la modificación de cuentas.

Restricción

• Permitir la modificación de cuentas: cuando está desactivado, los usuarios no pueden modificar cuentas como las cuentas de Apple y las cuentas de internet.

Añadir cuentas

Usa Añadir cuenta de Google o Añadir cuenta de correo para añadir cargas útiles de cuenta a la política. Cada cuenta aparece como una tarjeta con sus campos de configuración.

Credenciales de cuenta de los usuarios

Tanto las tarjetas de cuenta de Google como las de correo proporcionan un interruptor Credenciales de cuenta de los usuarios. Cuando está activado, el sistema aplica las credenciales de cuenta por usuario. Cuando está desactivado, introduces la identidad de la cuenta en la política.

Campos de la cuenta de Google

• Nombre visible: el nombre que se muestra al usuario para la cuenta.
• Dirección de correo de Google: la dirección de correo del usuario.
• Nombre completo: el nombre completo del usuario.

Campos de la cuenta de correo

Las cuentas de correo incluyen campos de identidad y la configuración de los servidores entrante y saliente. Los nombres de host son obligatorios.

• Nombre visible: el nombre que se muestra al usuario para la cuenta de correo.
• Dirección de correo: la dirección de correo del usuario.
• Nombre completo: el nombre completo del usuario.

Servidor entrante

• Tipo de servidor: protocolo de correo (por ejemplo, IMAP o POP).
• Método de autenticación: método de autenticación del servidor.
• Prefijo de ruta de IMAP: se muestra solo cuando el tipo de servidor es IMAP.
• Nombre de host: obligatorio.
• Puerto: puerto del servidor (1–65535).

Servidor saliente

• Método de autenticación
• Nombre de host: obligatorio.
• Puerto: puerto del servidor (1–65535).

Opciones de S/MIME

Para las cuentas de correo, también puedes configurar el comportamiento de cifrado y firma de S/MIME.

Cifrado

• Cifrado S/MIME
• Identidad modificable por el usuario
• Interruptor por mensaje activado
• Modificable por el usuario

Firma

• Firma S/MIME
• Identidad modificable por el usuario
• Modificable por el usuario

Las opciones de cuenta y restricción incluyen información emergente en el panel de control que documenta los requisitos previos y las versiones de SO compatibles.