Policy Apple: app e profili

Questa sezione descrive come configurare applicazioni gestite e payload degli account per i dispositivi Apple.

Gestione delle app

Il pannello Gestione delle app contiene sia le restrizioni generali relative alle app sia un elenco delle app gestite.

Restrizioni generali delle app

Consenti App Clip
Consenti installazione delle app
Consenti rimozione delle app
Consenti download automatici delle app
Consenti di nascondere le app
Consenti di bloccare le app
Consenti acquisti in-app
Consenti modifica del browser predefinito
Consenti attendibilità delle app aziendali

App gestite

Usa Aggiungi applicazione per aggiungere un'app alla policy. Ogni app gestita viene visualizzata come una scheda. Puoi espandere la scheda per modificarne le impostazioni e rimuovere l'app usando l'azione di eliminazione.

ID App Store: l'identificatore App Store dell'app gestita.
Bundle ID: l'identificatore del bundle dell'app.
Comportamento di installazione: controlla se l'app deve rimanere installata o può essere installata/rimossa dall'utente.
Assegnazione: il tipo di licenza, scelto da Cerberus per ogni dispositivo: una licenza dispositivo sui dispositivi aziendali, una licenza utente del Managed Apple Account su iPhone e iPad personali (registrazione utente). Il campo non può essere modificato.
Licenza VPP: tipo di licenza VPP usato per l'installazione tramite l'App Store.

L'elenco di selezione delle app mostra le licenze disponibili e totali di ogni app. Le app gratuite mostrano Illimitate: Apple concede loro licenze illimitate. Un'app può essere aggiunta a una policy una sola volta: un'app con lo stesso ID App Store o bundle ID di un'app già presente nella policy viene rifiutata, e lo stesso vale per una policy che elenca due volte la stessa app al momento del salvataggio.

L'elenco di selezione delle app mostra le app della tua libreria di Apple Business. Per aggiungere un'app, in Apple Business apri Apps & Services → Apps & Books → App Store, cerca l'app e fai clic su View. Per un'app gratuita, fai clic su Add, seleziona All current and future (o l'unità organizzativa del tuo token di Apps and Books) in Organizational Units, fai clic su Add, poi su Review e conferma. Per un'app a pagamento, fai clic sul suo prezzo, scegli Managed Licenses come License Type (i codici di riscatto non possono essere usati da Cerberus Enterprise), seleziona l'Organizational Unit del tuo token di Apps and Books, inserisci il numero di Licenses (fino a 1.000 per ordine), poi Review e acquista. Prima deve essere impostato un metodo di pagamento in Settings → Payments & Billing → Apps & Services → Payment Methods. Le app compaiono quindi nell'elenco di selezione delle app.

App sui dispositivi personali (registrazione utente)

Gli iPhone e iPad personali registrati con la registrazione utente non hanno un numero di serie, quindi ricevono le app dell'App Store della policy con una licenza utente del Managed Apple Account con cui è stato effettuato l'accesso sul dispositivo. Cerberus registra l'account con Apps and Books e assegna le licenze autonomamente, comprese le app gratuite. I Managed Apple Account e il token di Apps and Books devono appartenere alla stessa organizzazione di Apple Business. Un'app a pagamento usa una licenza per account, condivisa da tutti i dispositivi personali di quell'account.

In attesa di una licenza utente: l'app viene inviata al dispositivo solo dopo che Apple ne conferma la licenza, di solito entro pochi minuti. Il pannello Applicazioni del dispositivo mostra il motivo.
Licenza utente non riuscita: Apple non è riuscita ad assegnare la licenza, ad esempio perché un'app a pagamento non ha più licenze. Aggiungi licenze in Apple Business, poi usa Richiedi di nuovo; Cerberus riprova anche autonomamente ogni giorno.
Richiesta di installazione: iOS chiede all'utente prima di installare ogni app. Se l'utente annulla, l'app mostra In attesa dell'approvazione dell'installazione da parte dell'utente; Richiedi di nuovo mostra di nuovo la richiesta.
Rilascio: rimuovere l'app dalla policy o annullare la registrazione dell'ultimo dispositivo personale dell'account rimuove l'app e rilascia la sua licenza, a meno che un altro dispositivo registrato dello stesso account ne abbia ancora bisogno.

Per i dettagli, consulta Registrazione basata sull'account Apple.

Configurazione gestita

Una configurazione gestita fornisce a un'app le sue impostazioni (ad esempio un indirizzo del server o un nome account), come documentate dal fornitore dell'app. Apri l'app nella policy e fai clic su Aggiungi configurazione gestita. Viene inviata a iPhone e iPad con iOS o iPadOS 18.4 o versioni successive e ai Mac con macOS 27 o versioni successive; non viene ancora inviata ad Apple Vision Pro. L'app deve supportare la configurazione gestita: un'app che non la legge la ignora. Il pannello dell'app mostra il numero di chiavi accanto al nome dell'app.

Chiavi: ogni riga ha una chiave, un tipo e un valore. I tipi sono Testo, Intero, Numero decimale, Booleano, Data, Elenco di testo ed Elenco di interi. Le chiavi distinguono maiuscole e minuscole e devono essere univoche. Aggiungi chiave aggiunge una riga; Rimuovi configurazione rimuove tutte le chiavi.
Variabili: i valori Testo ed Elenco di testo possono contenere $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$, sostituite con i valori di ogni dispositivo e del suo utente. Una variabile senza valore (ad esempio $EMAIL$ su un dispositivo senza utente) viene lasciata vuota e i log di sistema lo indicano. Quando i dettagli di un utente cambiano, i dispositivi ricevono i nuovi valori; per gli utenti sincronizzati da Google Directory i valori vengono aggiornati alla successiva modifica della policy o del dispositivo.
Importa una configurazione: apri o incolla il file che il fornitore dell'app pubblica per MDM, poi fai clic su Leggi. Un file spec AppConfig (specfile.xml) elenca ogni chiave supportata dall'app con la sua descrizione, tipo, valore predefinito e valori consentiti: seleziona le chiavi da importare (quelle con un valore predefinito sono già selezionate) e compila le altre dopo l'importazione. Compare un avviso quando il file spec è per un'altra app. Una property list (un'intera property list o solo il suo <dict>) viene importata così com'è. Poi scegli se sostituire le chiavi attuali o aggiungerle. I dizionari annidati, i valori di tipo data e gli elenchi con tipi misti o sconosciuti non sono supportati e vengono elencati come ignorati. Apple non pubblica le chiavi di configurazione delle app, quindi chiedi il file al fornitore quando non è nella sua documentazione. Copia come plist copia la configurazione come la riceve il dispositivo, prima che le variabili vengano sostituite.
Limiti: fino a 200 chiavi per app; chiavi fino a 255 caratteri; valori di testo fino a 4.096 caratteri; elenchi fino a 200 elementi di massimo 1.024 caratteri ciascuno; date tra il 1970 e il 9999; 64 KB per app in totale.
Non per le password: la configurazione viene inviata solo al dispositivo per cui è costruita e i log mostrano solo nomi e tipi delle chiavi, ma gli amministratori della dashboard possono leggere i valori e l'indirizzo da cui il dispositivo la scarica cambia con i valori, quindi un valore facile da indovinare (un booleano o un numero piccolo) potrebbe essere dedotto. Non inserire password o altri segreti in una configurazione gestita.
Stato: quando il dispositivo segnala che l'app non ha accettato la sua configurazione, il pannello Applicazioni del dispositivo mostra Configurazione non accettata accanto all'app. Questo non rende il dispositivo non conforme. Una configurazione che il dispositivo non riesce a scaricare, invece, lo rende non conforme.

Opzioni delle app

Ogni app della policy (App Store e app personalizzate) ha queste opzioni. Predefinito del dispositivo lascia la scelta al dispositivo. I dispositivi che non supportano un'opzione non la ricevono; l'app viene comunque installata.

Aggiornamenti automatici: impostazione dell'App Store, Sempre o Mai. iOS, iPadOS, macOS e visionOS 26 o versioni successive. Per le app personalizzate, l'impostazione dell'App Store si comporta come Mai.
Download tramite rete cellulare: impostazione dell'App Store, Sempre o Mai, per installazioni e aggiornamenti automatici. Solo iPhone e iPad supervisionati con iOS o iPadOS 26 o versioni successive.
Esegui il backup dei dati dell'app: indica se i dati dell'app sono inclusi nei backup del dispositivo. Non su Mac.
L'utente può nascondere l'app e L'utente può bloccare l'app: iOS e iPadOS 18.1 o versioni successive, applicato sui dispositivi supervisionati. Non consentire il blocco impedisce anche di nascondere. Le restrizioni Consenti di nascondere le app e Consenti di bloccare le app si applicano a tutte le app.
Blocca il dispositivo dopo le transazioni Tap to Pay che richiedono il PIN del cliente: solo iPhone.
Domini associati: i domini a cui è associata l'app (ad esempio per i link universali o la compilazione automatica delle password), fino a 50. Inserisci nomi host semplici come www.example.com, senza applinks:, caratteri jolly o ?mode=. Non su Mac.
Verifica i domini direttamente: il dispositivo controlla direttamente il file di associazione del sito dei domini invece che tramite i server di Apple. Attivalo solo per i domini interni che non sono raggiungibili da Internet.
Rimozione: le app installate come Obbligatorie non possono essere rimosse dall'utente.

App del Mac App Store

L'elenco di selezione delle app mostra le piattaforme di ogni app (iPhone/iPad, Mac, Apple TV, Vision); un'app disponibile solo per Mac mostra l'icona Mac. Un'app disponibile solo per Mac si applica ai Mac quando la aggiungi. Un'app dell'App Store senza versione per Mac non viene inviata ai Mac: la policy mostra "Questa app non ha una versione per Mac: non viene inviata ai Mac" sotto Si applica a. I Mac ricevono le app dell'App Store tramite il loro ID App Store, quindi le app con un bundle ID diverso su Mac vengono installate correttamente.

App Cerberus Enterprise

Cerberus installa la sua app Cerberus Enterprise su ogni iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, con o senza policy. L'app condivide la posizione del dispositivo e riceve notifiche e richieste di tracciamento in tempo reale. Viene installata come Obbligatoria, con una licenza dispositivo di Apps and Books (una licenza utente sui dispositivi personali), quindi l'utente non può eliminarla.

Configurazione una tantum: aggiungi una volta l'app gratuita alla tua libreria. In Apple Business, apri Apps & Services → Apps & Books → App Store, cerca "Cerberus Enterprise", fai clic su View, poi su Add, seleziona All current and future in Organizational Units, fai clic su Add, poi su Review e conferma. Se l'app mostra Manage, è già nella tua libreria: aprila e verifica che le sue unità organizzative siano All current and future units. Fino ad allora la dashboard mostra un banner e i dispositivi mostrano l'app come non installata. Vedi Impostazioni account
Non nelle policy: l'app non può essere aggiunta a una policy. È disabilitata nell'elenco di selezione delle app e rifiutata come app personalizzata (stesso bundle ID). Una policy che la elenca già vede rimuovere la voce quando la apri: salva la policy per confermare.
Non installata su: dispositivi con iOS o iPadOS precedente alla 18.4. L'installazione su iPad condiviso è supportata, ma le funzionalità dell'app non sono verificate su tali dispositivi.
Dispositivi personali: su iPhone e iPad registrati con User Enrollment, anche l'app viene installata, con una richiesta di installazione e una licenza utente del Managed Apple Account. Riceve messaggi dalla tua organizzazione e non accede alla posizione a meno che la policy attivi Posizione e geofence sui dispositivi personali e l'utente lo consenta.
Mantenuta installata: se il token di Apps and Books scade o l'app esce dalla tua libreria, l'app resta sui dispositivi e la pagina del dispositivo indica che Apps and Books richiede attenzione. Viene rimossa solo se l'app è ancora assente dalla tua libreria dopo 24 ore.

App personalizzate

Le app personalizzate sono le tue app per iPhone e iPad (file .ipa), distribuite senza l'App Store. In Xcode, esporta l'app per la distribuzione Enterprise (Apple Developer Enterprise Program: si installa su ogni dispositivo) o Ad Hoc (si installa solo sui dispositivi registrati nel suo profilo di provisioning). Le build dell'App Store non possono essere caricate.

Fai clic su Aggiungi app personalizzata per aprire le app personalizzate della tua organizzazione. Carica app aggiunge un file .ipa (fino a 2 GB). Seleziona un'app e fai clic su Aggiungi alla policy. L'elenco mostra la versione, il tipo di firma, il numero di dispositivi nel profilo delle app ad hoc e la data di scadenza del profilo di provisioning.

Nuova versione: carica un'app con lo stesso bundle ID. Sostituisce la versione precedente e i dispositivi delle policy che la usano aggiornano l'app.
Requisiti: iPhone e iPad con iOS 17.2 o versioni successive. I dispositivi che non possono installare l'app non la ricevono: un'app solo per iPad su un iPhone, un iOS precedente a quello richiesto dall'app, un dispositivo non presente nel profilo di un'app ad hoc o un profilo di provisioning scaduto.
Scadenza: quando il profilo di provisioning scade, l'app non si apre più. Carica una versione firmata con un nuovo profilo prima della data di scadenza.
Bundle ID riservato: un'app personalizzata con il bundle ID dell'app Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) non può essere aggiunta a una policy, perché Cerberus installa quell'app autonomamente.
Elimina: rimuovi prima l’app dalle sue policy; i dispositivi la rimuoveranno poi.

Pacchetti Mac

Anche le app personalizzate accettano pacchetti di installazione per Mac (file .pkg). Il pacchetto deve essere un pacchetto di distribuzione creato con productbuild (un pacchetto componente creato solo con pkgbuild viene rifiutato) e firmato con un certificato Developer ID Installer. Si consiglia di notarizzarlo e di applicare il ticket (notarytool e stapler). I pacchetti non firmati, i pacchetti modificati dopo la firma e i pacchetti firmati con altri certificati vengono rifiutati.

Carica il file .pkg con Carica app e aggiungilo alla policy: compare in Pacchetti Mac. iPhone e iPad lo ignorano.

I Mac con macOS 26 o versioni successive (supervisionati, il che include i Mac registrati manualmente, ma non la registrazione utente) ricevono il pacchetto come dichiarazione: il Mac lo scarica, lo installa, riprova e lo aggiorna da solo e ne segnala lo stato. I Mac meno recenti, e i pacchetti installati come app gestite, lo ricevono con un comando MDM, su qualsiasi versione di macOS. Un Mac aggiornato a macOS 26 passa da solo alla dichiarazione; può installare di nuovo ogni pacchetto una volta. Lo stesso può accadere quando un Mac passa a un’altra policy che contiene lo stesso pacchetto.

Nuova versione: carica un pacchetto con lo stesso identificatore di pacchetto. Sostituisce la versione precedente e i Mac delle policy che lo usano installano quella nuova.
Mac saltati: Mac con una versione di macOS precedente a quella consentita dal pacchetto e Mac Intel per pacchetti creati solo per Apple silicon. La pagina del dispositivo mostra il pacchetto come Saltato, con il motivo; la versione installata in precedenza resta sul Mac.
Installa: Obbligatorio (predefinito) installa il pacchetto sul Mac; Facoltativo rende il pacchetto disponibile sul Mac senza installarlo. macOS 26 non mostra i pacchetti facoltativi all’utente in Impostazioni di Sistema o nell’App Store (testato su macOS 26.3), quindi un’app o uno script sul Mac deve installarli; scegli Facoltativo solo se ne disponi. Si applica ai Mac con macOS 26 o versioni successive; i Mac meno recenti installano sempre il pacchetto. L’opzione non è disponibile per i pacchetti installati come app gestite.
Rimuovi i file del pacchetto quando esce dalla policy (macOS 27 o versioni successive): quando il pacchetto viene rimosso dalla policy, i Mac con macOS 27 o versioni successive eliminano i file che ha installato. È disattivato per impostazione predefinita. Sui Mac meno recenti i file restano. Non disponibile per i pacchetti installati come app gestite.
Installa come app gestita: attivalo per un pacchetto della policy per installare la sua app come app gestita (macOS 11 o versioni successive, non con la registrazione utente). macOS segnala quindi quando l’installazione non riesce e MDM può rimuovere l’app. L’app deve essere installata direttamente nella cartella Applicazioni, firmata con un certificato Developer ID Application e notarizzata; su macOS da 11 a 13 il pacchetto deve contenere solo quell’app (nessun altro file o script). Le app personalizzate mostrano quali pacchetti sono idonei. Quando l’opzione non può essere applicata su un Mac, il pacchetto viene installato lì come al solito e la pagina del dispositivo ne spiega il motivo.
Opzioni di rimozione di un’app gestita: Rimuovi l’app quando il pacchetto viene rimosso dalla policy (attivato per impostazione predefinita) e Rimuovi l’app quando il Mac esce dalla gestione. La rimozione di un’app elimina anche i suoi dati. Se l’utente aveva già installato la stessa app, quella copia diventa gestita e viene rimossa anch’essa.
Rimozione: il comando MDM non può disinstallare un pacchetto. Per un pacchetto installato come app gestita, rimuoverlo dalla policy rimuove l’app (quando l’opzione è attiva); gli altri suoi file e la ricevuta del pacchetto restano. I pacchetti con Rimuovi i file del pacchetto attivo vengono rimossi dai Mac con macOS 27 o versioni successive. Altri pacchetti: rimuoverli dalla policy interrompe solo le nuove installazioni, i file restano sui Mac. Un Mac saltato (ad esempio dopo una nuova versione che richiede un macOS più recente) mantiene l’app finché il pacchetto è nella policy; rimuovendo poi il pacchetto dalla policy viene rimossa anche l’app. Rimuovi i file rimasti sul Mac (ad esempio con il disinstallatore del pacchetto) ed esegui sudo pkgutil --forget <identifier> per dimenticare la ricevuta del pacchetto.
Stato sul dispositivo: il pannello Applicazioni del Mac mostra ogni pacchetto della policy come In coda, Accettato (il Mac ha accettato il comando), Scaricato, Installato (solo per i pacchetti che contengono app, quando le app vengono trovate sul Mac) o Non riuscito (con l’errore). macOS non segnala l’installazione di un pacchetto inviato con il comando, quindi Scaricato è l’ultimo stato per i pacchetti senza app. Un pacchetto installato come app gestita diventa Non riuscito anche quando macOS segnala che l’app non è stata installata o è stata rimossa dal Mac. Installa di nuovo invia di nuovo il pacchetto al Mac.
Stato con la dichiarazione: i pacchetti consegnati come dichiarazione mostrano il chip Dichiarazione e lo stato segnalato dal Mac: In coda, Disponibile (un pacchetto facoltativo che l’utente non ha installato), In attesa dell’utente, Download in corso, Installazione in corso, Installato o Non riuscito (con il motivo, ad esempio un download o un’installazione non riusciti, o una dichiarazione rifiutata dal Mac). Il chip File rimossi con la policy contrassegna i pacchetti i cui file vengono rimossi da un Mac con macOS 27 quando escono dalla policy. Installa di nuovo compare solo dopo un errore e chiede al Mac di riprovare; non viene offerto quando il Mac ha rifiutato la dichiarazione.

Account

Il pannello Account ti consente di configurare gli account applicati ai dispositivi gestiti. Include anche un’opzione di restrizione per la modifica degli account.

Restrizione

Consenti la modifica degli account: se disattivato, gli utenti non possono modificare account come gli account Apple e gli account internet.

Aggiungi account

Usa Aggiungi account Google o Aggiungi account di posta per aggiungere i payload degli account alla policy. Ogni account compare come una scheda con i suoi campi di configurazione.

Credenziali dell’account fornite dagli utenti

Sia le schede degli account Google sia quelle degli account di posta forniscono un’opzione Credenziali dell’account fornite dagli utenti. Se attivata, il sistema applica le credenziali dell’account per singolo utente. Se disattivata, inserisci l’identità dell’account nella policy.

Campi dell’account Google

Nome visibile: il nome mostrato all’utente per l’account.
Indirizzo email Google: l’indirizzo email dell’utente.
Nome completo: il nome completo dell’utente.

Campi dell’account di posta

Gli account di posta includono i campi di identità e la configurazione dei server in entrata e in uscita. I nomi host sono obbligatori.

Nome visibile: il nome mostrato all’utente per l’account di posta.
Indirizzo email: l’indirizzo email dell’utente.
Nome completo: il nome completo dell’utente.

Server in entrata

Tipo di server: protocollo di posta (ad esempio IMAP o POP).
Metodo di autenticazione: metodo di autenticazione per il server.
Prefisso del percorso IMAP: mostrato solo quando il Tipo di server è IMAP.
Nome host: obbligatorio.
Porta: porta del server (1–65535).

Server in uscita

Metodo di autenticazione
Nome host: obbligatorio.
Porta: porta del server (1–65535).

Opzioni S/MIME

Per gli account di posta, puoi anche configurare il comportamento di cifratura e firma S/MIME.

Cifratura

Cifratura S/MIME
Identità modificabile dall’utente
Interruttore per singolo messaggio attivo
Modificabile dall’utente

Firma

Firma S/MIME
Identità modificabile dall’utente
Modificabile dall’utente

Le opzioni degli account e delle restrizioni includono tooltip nella dashboard che documentano i prerequisiti e le versioni del sistema operativo supportate.