Apps e perfis

Esta seção documenta como configurar aplicativos gerenciados e payloads de conta para dispositivos Apple.

Gerenciamento de apps

O painel Gerenciamento de apps contém tanto restrições gerais relacionadas a apps quanto uma lista de apps gerenciados.

Restrições gerais de apps

• Permitir App Clips
• Permitir instalação de apps
• Permitir remoção de apps
• Permitir downloads automáticos de apps
• Permitir que apps sejam ocultados
• Permitir que apps sejam bloqueados
• Permitir compras dentro do app
• Permitir alteração do navegador padrão
• Permitir confiança em apps empresariais

Apps gerenciados

Use Adicionar aplicativo para adicionar um app à política. Cada app gerenciado é exibido como um cartão. Você pode expandir o cartão para editar suas configurações e remover o app usando a ação de exclusão.

• App Store ID: o identificador na App Store do app gerenciado.
• Bundle ID: o identificador do bundle do app.
• Comportamento de instalação: controla se o app deve permanecer instalado ou se pode ser instalado/removido pelo usuário.
• Atribuição: o tipo de licença, escolhido pelo Cerberus para cada dispositivo: uma licença de dispositivo em dispositivos da empresa, uma licença de usuário da Conta Apple Gerenciada em iPhones e iPads pessoais (Registro de Usuário). O campo não pode ser alterado.
• Licença VPP: tipo de licença VPP usado para instalação pela App Store.

A lista de seleção de apps mostra as licenças disponíveis e totais de cada app. Apps gratuitos mostram Ilimitadas: a Apple concede licenças ilimitadas para eles. Um app pode ser adicionado a uma política apenas uma vez: um app com o mesmo App Store ID ou bundle ID de um app que já está na política é recusado, assim como uma política que lista o mesmo app duas vezes ao ser salva.

A lista de seleção de apps mostra os apps da sua biblioteca do Apple Business. Para adicionar um app, no Apple Business, abra Apps & Services → Apps & Books → App Store, pesquise o app e clique em View. Para um app gratuito, clique em Add, selecione All current and future (ou a unidade organizacional do seu token do Apps and Books) em Organizational Units, clique em Add, depois Review e confirme. Para um app pago, clique no preço, escolha Managed Licenses como License Type (códigos de resgate não podem ser usados pelo Cerberus Enterprise), selecione a Organizational Unit do seu token do Apps and Books, informe o número de Licenses (até 1.000 por pedido), depois Review e compre. Um método de pagamento deve ser configurado primeiro em Settings → Payments & Billing → Apps & Services → Payment Methods. Os apps então aparecem na lista de seleção de apps.

Apps em dispositivos pessoais (Registro de Usuário)

iPhones e iPads pessoais registrados com o Registro de Usuário não têm número de série, então recebem os apps da App Store da política com uma licença de usuário da Conta Apple Gerenciada conectada no dispositivo. O Cerberus registra a conta no Apps and Books e atribui as licenças por conta própria, incluindo apps gratuitos. As Contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Um app pago usa uma licença por conta, compartilhada por todos os dispositivos pessoais dessa conta.

• Aguardando uma licença de usuário: o app só é enviado ao dispositivo depois que a Apple confirma a licença, geralmente em poucos minutos. O painel Aplicativos do dispositivo mostra o motivo.
• Falha na licença de usuário: a Apple não conseguiu atribuir a licença, por exemplo porque um app pago não tem mais licenças disponíveis. Adicione licenças no Apple Business e use Solicitar novamente; o Cerberus também tenta novamente sozinho todos os dias.
• Solicitação de instalação: o iOS pergunta ao usuário antes de instalar cada app. Se o usuário cancelar, o app mostra Aguardando o usuário aprovar a instalação; Solicitar novamente exibe a solicitação de novo.
• Liberação: remover o app da política, ou cancelar o registro do último dispositivo pessoal da conta, remove o app e libera sua licença, a menos que outro dispositivo registrado da mesma conta ainda precise dele.

Para os detalhes, consulte Registro orientado por conta da Apple.

Configuração gerenciada

Uma configuração gerenciada fornece a um app suas configurações (por exemplo, um endereço de servidor ou um nome de conta), da forma como o fornecedor do app as documenta. Abra o app na política e clique em Adicionar configuração gerenciada. Ela é enviada a iPhones e iPads com iOS ou iPadOS 18.4 ou posterior e a Macs com macOS 27 ou posterior; ainda não é enviada ao Apple Vision Pro. O app precisa oferecer suporte a configuração gerenciada: um app que não a lê a ignora. O painel do app mostra o número de chaves ao lado do nome do app.

• Chaves: cada linha tem uma chave, um tipo e um valor. Os tipos são Texto, Inteiro, Número decimal, Booleano, Data, Lista de texto e Lista de inteiros. As chaves diferenciam maiúsculas de minúsculas e devem ser exclusivas. Adicionar chave adiciona uma linha; Remover configuração remove todas as chaves.
• Variáveis: valores de Texto e Lista de texto podem conter $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$, substituídos pelos valores de cada dispositivo e do seu usuário. Uma variável sem valor (por exemplo, $EMAIL$ em um dispositivo sem usuário) é deixada vazia, e os logs do sistema registram isso. Quando os dados de um usuário mudam, os dispositivos recebem os novos valores; para usuários sincronizados do Google Directory, os valores são atualizados na próxima alteração da política ou do dispositivo.
• Importar uma configuração: abra ou cole o arquivo que o fornecedor do app publica para MDM e clique em Ler. Um specfile do AppConfig (specfile.xml) lista todas as chaves compatíveis com o app, com descrição, tipo, valor padrão e valores permitidos: selecione as chaves a importar (aquelas com valor padrão já vêm selecionadas) e preencha as demais após a importação. Um aviso aparece quando o specfile é de outro app. Uma property list (uma property list inteira ou apenas seu <dict>) é importada como está. Depois, escolha se deseja substituir as chaves atuais ou adicionar a elas. Dicionários aninhados, valores de dados e listas com tipos mistos ou desconhecidos não são suportados e são listados como ignorados. A Apple não publica as chaves de configuração dos apps, então peça o arquivo ao fornecedor quando ele não estiver na documentação. Copiar como plist copia a configuração conforme o dispositivo a recebe, antes da substituição das variáveis.
• Limites: até 200 chaves por app; chaves de até 255 caracteres; valores de texto de até 4.096 caracteres; listas de até 200 itens de até 1.024 caracteres cada; datas entre 1970 e 9999; 64 KB por app no total.
• Não use para senhas: a configuração é enviada apenas ao dispositivo para o qual foi criada e os logs mostram apenas nomes e tipos de chaves, mas os administradores do painel podem ler os valores, e o endereço do qual o dispositivo a baixa muda com os valores, então um valor fácil de adivinhar (um booleano ou um número pequeno) pode ser inferido a partir dele. Não coloque senhas ou outros segredos em uma configuração gerenciada.
• Status: quando o dispositivo informa que o app não aceitou sua configuração, o painel Aplicativos do dispositivo mostra Configuração não aceita ao lado do app. Isso não torna o dispositivo não conforme. Uma configuração que o dispositivo não consegue baixar torna o dispositivo não conforme.

Opções de apps

Cada app da política (da App Store e apps personalizados) tem estas opções. Padrão do dispositivo deixa a escolha para o dispositivo. Dispositivos que não suportam uma opção não a recebem; o app ainda é instalado.

• Atualizações automáticas: configuração da App Store, Sempre ou Nunca. iOS, iPadOS, macOS e visionOS 26 ou posterior. Para apps personalizados, a configuração da App Store se comporta como Nunca.
• Downloads via celular: configuração da App Store, Sempre ou Nunca, para instalações e atualizações automáticas. Somente iPhones e iPads supervisionados com iOS ou iPadOS 26 ou posterior.
• Fazer backup dos dados do app: se os dados do app são incluídos nos backups do dispositivo. Não no Mac.
• O usuário pode ocultar o app e O usuário pode bloquear o app: iOS e iPadOS 18.1 ou posterior, aplicado em dispositivos supervisionados. Não permitir o bloqueio também impede o ocultamento. As restrições Permitir que apps sejam ocultados e Permitir que apps sejam bloqueados se aplicam a todos os apps.
• Bloquear o dispositivo após transações Tap to Pay que exigem o PIN do cliente: somente iPhone.
• Domínios associados: os domínios aos quais o app está associado (por exemplo, para links universais ou preenchimento automático de senhas), até 50. Informe nomes de host simples como www.example.com, sem applinks:, curingas ou ?mode=. Não no Mac.
• Verificar os domínios diretamente: o dispositivo verifica o arquivo de associação de site dos domínios diretamente, em vez de pelos servidores da Apple. Ative apenas para domínios internos que não podem ser acessados pela internet.
• Remoção: apps instalados como Obrigatório não podem ser removidos pelo usuário.

Apps da Mac App Store

A lista de seleção de apps mostra as plataformas de cada app (iPhone/iPad, Mac, Apple TV, Vision); um app que existe apenas para Mac mostra seu ícone de Mac. Um app que existe apenas para Mac se aplica a Macs quando você o adiciona. Um app da App Store sem versão para Mac não é enviado a Macs: a política mostra "Este app não tem versão para Mac: ele não é enviado a Macs" em Aplica-se a. Os Macs recebem apps da App Store pelo App Store ID, então apps com um bundle ID diferente no Mac são instalados corretamente.

App Cerberus Enterprise

O Cerberus instala seu app Cerberus Enterprise em todos os iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo. Ele é instalado como Obrigatório, com uma licença de dispositivo do Apps and Books (uma licença de usuário em dispositivos pessoais), então o usuário não pode excluí-lo.

• Configuração única: adicione o app gratuito à sua biblioteca uma vez. No Apple Business, abra Apps & Services → Apps & Books → App Store, pesquise por "Cerberus Enterprise", clique em View, depois Add, selecione All current and future em Organizational Units, clique em Add, depois Review e confirme. Se o app mostrar Manage, ele já está na sua biblioteca: abra-o e verifique se suas unidades organizacionais são All current and future units. Até lá, o painel mostra um banner e os dispositivos mostram o app como não instalado. Consulte Account settings.
• Não disponível em políticas: o app não pode ser adicionado a uma política. Ele fica desativado na lista de seleção de apps e é recusado como app personalizado (mesmo bundle ID). Uma política que já o lista tem a entrada removida quando você a abre: salve a política para confirmar.
• Não instalado em: dispositivos com iOS ou iPadOS anterior ao 18.4. O iPad Compartilhado é compatível com a instalação, mas os recursos do app não são verificados nele.
• Dispositivos pessoais: em iPhones e iPads registrados com User Enrollment, o app também é instalado, com um aviso de instalação e uma licença de usuário da Conta Apple Gerenciada. Ele recebe mensagens da sua organização e não acessa a localização, a menos que a política ative Localização e geocercas em dispositivos pessoais e o usuário permita.
• Mantido instalado: se o token do Apps and Books expirar ou o app sair da sua biblioteca, o app permanece nos dispositivos e a página do dispositivo informa que o Apps and Books precisa de atenção. Ele só é removido se o app ainda estiver ausente da sua biblioteca 24 horas depois.

Apps personalizados

Apps personalizados são os seus próprios apps para iPhone e iPad (arquivos .ipa), distribuídos sem a App Store. No Xcode, exporte o app para distribuição Enterprise (Apple Developer Enterprise Program: ele é instalado em todos os dispositivos) ou distribuição Ad Hoc (ele é instalado apenas nos dispositivos registrados no seu perfil de provisionamento). Builds da App Store não podem ser enviados.

Clique em Adicionar app personalizado para abrir os apps personalizados da sua organização. Enviar app adiciona um arquivo .ipa (até 2 GB). Selecione um app e clique em Adicionar à política. A lista mostra a versão, o tipo de assinatura, o número de dispositivos no perfil de apps ad hoc e a data de expiração do perfil de provisionamento.

• Nova versão: envie um app com o mesmo bundle ID. Ele substitui a versão anterior, e os dispositivos das políticas que o usam atualizam o app.
• Requisitos: iPhone e iPad com iOS 17.2 ou posterior. Dispositivos que não podem instalar o app não o recebem: um app exclusivo para iPad em um iPhone, um iOS mais antigo do que o app exige, um dispositivo que não está no perfil de um app ad hoc ou um perfil de provisionamento expirado.
• Expiração: quando o perfil de provisionamento expira, o app deixa de abrir. Envie uma versão assinada com um novo perfil antes da data de expiração.
• Bundle ID reservado: um app personalizado com o bundle ID do app Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) não pode ser adicionado a uma política, porque o Cerberus instala esse app por conta própria.
• Excluir: remova o app das políticas dele primeiro; depois, os dispositivos o removem.

Pacotes do Mac

Os apps personalizados também aceitam pacotes de instalação do Mac (arquivos .pkg). O pacote deve ser um pacote de distribuição criado com productbuild (um pacote de componente criado apenas com pkgbuild é recusado) e assinado com um certificado Developer ID Installer. Recomenda-se notarizá-lo e grampear o tíquete (notarytool e stapler). Pacotes não assinados, pacotes alterados depois da assinatura e pacotes assinados com outros certificados são recusados.

Envie o arquivo .pkg com Upload app e adicione-o à política: ele aparece em Pacotes do Mac. iPhones e iPads o ignoram.

Macs com macOS 26 ou posterior (supervisionados, o que inclui Macs registrados manualmente, mas não o Registro do Usuário) recebem o pacote como uma declaração: o Mac baixa, instala, tenta novamente e atualiza o pacote sozinho e informa o estado. Macs mais antigos, e pacotes instalados como apps gerenciados, o recebem com um comando MDM, em qualquer versão do macOS. Um Mac atualizado para o macOS 26 passa para a declaração sozinho; ele pode instalar cada pacote mais uma vez. O mesmo pode acontecer quando um Mac passa para outra política que tem o mesmo pacote.

• Nova versão: envie um pacote com o mesmo identificador de pacote. Ela substitui a versão anterior, e os Macs das políticas que a usam instalam a nova.
• Macs ignorados: Macs com um macOS mais antigo do que o permitido pelo pacote, e Macs Intel para pacotes criados apenas para Apple silicon. A página do dispositivo mostra o pacote como Ignorado, com o motivo; a versão instalada antes permanece no Mac.
• Instalação: Obrigatório (padrão) instala o pacote no Mac; Opcional deixa o pacote disponível no Mac sem instalá-lo. O macOS 26 não mostra pacotes opcionais ao usuário em Ajustes do Sistema nem na App Store (testado no macOS 26.3), então um app ou um script no Mac precisa instalá-los; escolha Opcional apenas se você tiver um. A opção se aplica a Macs com macOS 26 ou posterior; Macs mais antigos sempre instalam o pacote. A escolha não está disponível para pacotes instalados como apps gerenciados.
• Remover os arquivos do pacote quando ele sai da política (macOS 27 ou posterior): quando o pacote é removido da política, Macs com macOS 27 ou posterior excluem os arquivos que ele instalou. Fica desativado por padrão. Em Macs mais antigos, os arquivos permanecem. Não disponível para pacotes instalados como apps gerenciados.
• Instalar como app gerenciado: ative esta opção para um pacote da política instalar o app dele como app gerenciado (macOS 11 ou posterior, não com registro do usuário). O macOS então informa quando a instalação falha, e o MDM pode remover o app. O app deve ser instalado diretamente na pasta Aplicativos, assinado com um certificado Developer ID Application e notarizado; no macOS 11 a 13, o pacote deve conter apenas esse app (nenhum outro arquivo ou script). Os apps personalizados mostram quais pacotes são elegíveis. Quando a opção não pode ser aplicada em um Mac, o pacote é instalado lá como de costume e a página do dispositivo explica o motivo.
• Opções de remoção de um app gerenciado: Remover o app quando o pacote for removido da política (ativado por padrão) e Remover o app quando o Mac sair do gerenciamento. Remover um app também exclui os dados dele. Se o usuário já tiver instalado o mesmo app, essa cópia passa a ser gerenciada e também é removida.
• Remoção: o comando MDM não pode desinstalar um pacote. Para um pacote instalado como app gerenciado, removê-lo da política remove o app (quando a opção está ativada); os outros arquivos dele e o recibo do pacote permanecem. Pacotes com Remover os arquivos do pacote ativado são removidos de Macs com macOS 27 ou posterior. Outros pacotes: removê-los da política apenas interrompe novas instalações, os arquivos permanecem nos Macs. Um Mac ignorado (por exemplo, após uma nova versão que exige um macOS mais recente) mantém o app enquanto o pacote estiver na política; remover o pacote da política então também o remove. Remova os arquivos restantes no Mac (por exemplo, com o próprio desinstalador do pacote) e execute sudo pkgutil --forget <identifier> para esquecer o recibo do pacote.
• Estado no dispositivo: o painel Aplicativos do Mac mostra cada pacote da política como Na fila, Aceito (o Mac aceitou o comando), Baixado, Instalado (somente para pacotes que contêm apps, quando os apps são encontrados no Mac) ou Falhou (com o erro). O macOS não informa a instalação de um pacote enviado com o comando, então Baixado é o último estado para pacotes sem apps. Um pacote instalado como app gerenciado também passa a Falhou quando o macOS informa que o app não pôde ser instalado ou foi removido do Mac. Instalar novamente envia o pacote ao Mac outra vez.
• Estado com a declaração: pacotes entregues como uma declaração mostram o chip Declaração e o estado informado pelo Mac: Na fila, Disponível (um pacote opcional que o usuário não instalou), Aguardando o usuário, Baixando, Instalando, Instalado ou Falhou (com o motivo, por exemplo um download ou uma instalação com falha, ou uma declaração que o Mac rejeitou). O chip Arquivos removidos com a política marca os pacotes cujos arquivos um Mac com macOS 27 remove quando eles saem da política. Instalar novamente aparece apenas após uma falha e pede que o Mac tente de novo; ele não é oferecido quando o Mac rejeitou a declaração.

Contas

O painel Contas permite configurar contas que são aplicadas a dispositivos gerenciados. Ele também inclui um alternador de restrição para modificação de contas.

Restrição

• Permitir modificação de contas: quando desativado, os usuários não podem modificar contas como Contas Apple e contas de internet.

Adicionar contas

Use Adicionar conta do Google ou Adicionar conta de e-mail para adicionar payloads de conta à política. Cada conta aparece como um cartão com os campos de configuração.

Credenciais de conta dos usuários

Os cartões de conta do Google e de e-mail oferecem um alternador Credenciais de conta dos usuários. Quando ativado, o sistema aplica as credenciais de conta por usuário. Quando desativado, você insere a identidade da conta na política.

Campos da conta do Google

• Nome visível: o nome mostrado ao usuário para a conta.
• Endereço de e-mail do Google: o endereço de e-mail do usuário.
• Nome completo: o nome completo do usuário.

Campos da conta de e-mail

As contas de e-mail incluem campos de identidade e a configuração dos servidores de entrada e saída. Os nomes de host são obrigatórios.

• Nome visível: o nome mostrado ao usuário para a conta de e-mail.
• Endereço de e-mail: o endereço de e-mail do usuário.
• Nome completo: o nome completo do usuário.

Servidor de entrada

• Tipo de servidor: protocolo de e-mail (por exemplo, IMAP ou POP).
• Método de autenticação: método de autenticação do servidor.
• Prefixo de caminho IMAP: mostrado somente quando o Tipo de servidor é IMAP.
• Nome do host: obrigatório.
• Porta: porta do servidor (1–65535).

Servidor de saída

• Método de autenticação
• Nome do host: obrigatório.
• Porta: porta do servidor (1–65535).

Opções de S/MIME

Para contas de e-mail, você também pode configurar o comportamento de criptografia e assinatura S/MIME.

Criptografia

• Criptografia S/MIME
• Identidade substituível pelo usuário
• Alternador por mensagem ativado
• Substituível pelo usuário

Assinatura

• Assinatura S/MIME
• Identidade substituível pelo usuário
• Substituível pelo usuário

As opções de conta e restrição incluem dicas no painel que documentam os pré-requisitos e as versões de sistema operacional suportadas.