Skip to main content

Политика Apple: приложения и профили

В этом разделе описано, как настроить управляемые приложения и полезные нагрузки аккаунтов для устройств Apple.

Управление приложениями

Панель Управление приложениями содержит как общие ограничения, связанные с приложениями, так и список управляемых приложений.

Общие ограничения приложений

  • Разрешить App Clips
  • Разрешить установку приложений
  • Разрешить удаление приложений
  • Разрешить автоматическую загрузку приложений
  • Разрешить скрытие приложений
  • Разрешить блокировку приложений
  • Разрешить встроенные покупки
  • Разрешить изменение браузера по умолчанию
  • Разрешить доверие корпоративным приложениям

Управляемые приложения

Используйте Добавить приложение, чтобы добавить приложение в политику. Каждое управляемое приложение отображается в виде карточки. Вы можете развернуть карточку, чтобы изменить её настройки, и удалить приложение с помощью действия удаления.

  • ID в App Store: идентификатор управляемого приложения в App Store.
  • Bundle ID: идентификатор пакета приложения.
  • Поведение при установке: определяет, должно ли приложение оставаться установленным или пользователь может устанавливать и удалять его.
  • Назначение: тип лицензии, выбираемый Cerberus для каждого устройства: лицензия устройства на корпоративных устройствах, пользовательская лицензия управляемого аккаунта Apple на личных iPhone и iPad (регистрация пользователя). Поле изменить нельзя.
  • Лицензия VPP: тип лицензии VPP, используемый для установки через App Store.

Список выбора приложений показывает доступные и общие лицензии каждого приложения. Бесплатные приложения показывают Без ограничений: Apple предоставляет для них неограниченное число лицензий. Приложение можно добавить в политику только один раз: приложение с тем же ID в App Store или Bundle ID, что и приложение, уже присутствующее в политике, отклоняется, как и политика, в которой одно и то же приложение указано дважды при сохранении.

Список выбора приложений показывает приложения из вашей библиотеки Apple Business. Чтобы добавить приложение, в Apple Business откройте Apps & Services → Apps & Books → App Store, найдите приложение и нажмите View. Для бесплатного приложения нажмите Add, выберите All current and future (или подразделение вашего токена Apps and Books) в Organizational Units, нажмите Add, затем Review и подтвердите. Для платного приложения нажмите его цену, выберите Managed Licenses как License Type (коды погашения не могут использоваться Cerberus Enterprise), выберите Organizational Unit вашего токена Apps and Books, введите количество Licenses (до 1 000 за заказ), затем Review и купите. Сначала нужно настроить способ оплаты в Settings → Payments & Billing → Apps & Services → Payment Methods. После этого приложения появятся в списке выбора приложений.

Приложения на личных устройствах (регистрация пользователя)

Личные iPhone и iPad, зарегистрированные с помощью регистрации пользователя, не имеют серийного номера, поэтому они получают приложения App Store из политики с пользовательской лицензией управляемого аккаунта Apple, в который выполнен вход на устройстве. Cerberus регистрирует аккаунт в Apps and Books и сам назначает лицензии, включая бесплатные приложения. Управляемые аккаунты Apple и токен Apps and Books должны принадлежать одной организации Apple Business. Платное приложение использует одну лицензию на аккаунт, общую для всех личных устройств этого аккаунта.

  • Ожидание пользовательской лицензии: приложение отправляется на устройство только после того, как Apple подтвердит его лицензию, обычно в течение нескольких минут. Панель Приложения устройства показывает причину.
  • Не удалось получить пользовательскую лицензию: Apple не смогла назначить лицензию, например потому что у платного приложения не осталось лицензий. Добавьте лицензии в Apple Business, затем используйте Запросить снова; Cerberus также повторяет попытку самостоятельно каждый день.
  • Запрос на установку: iOS спрашивает пользователя перед установкой каждого приложения. Если пользователь отменяет, приложение показывает Ожидание подтверждения установки пользователем; Запросить снова снова показывает запрос.
  • Освобождение: удаление приложения из политики или отмена регистрации последнего личного устройства аккаунта удаляет приложение и освобождает его лицензию, если только другое зарегистрированное устройство того же аккаунта всё ещё не нуждается в ней.

Подробнее см. в разделе Регистрация Apple на основе аккаунта.

Управляемая конфигурация

Управляемая конфигурация передаёт приложению его настройки (например, адрес сервера или имя аккаунта) так, как их описывает поставщик приложения. Откройте приложение в политике и нажмите Добавить управляемую конфигурацию. Она отправляется на iPhone и iPad с iOS или iPadOS 18.4 или новее и на Mac с macOS 27 или новее; на Apple Vision Pro она пока не отправляется. Приложение должно поддерживать управляемую конфигурацию: приложение, которое её не читает, игнорирует её. Панель приложения показывает количество ключей рядом с названием приложения.

  • Ключи: каждая строка содержит ключ, тип и значение. Типы: текст, целое число, десятичное число, логическое значение, дата, список текста и список целых чисел. Ключи чувствительны к регистру и должны быть уникальными. Добавить ключ добавляет строку; Удалить конфигурацию удаляет все ключи.
  • Переменные: значения типа «текст» и «список текста» могут содержать $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$, которые заменяются значениями каждого устройства и его пользователя. Переменная без значения (например, $EMAIL$ на устройстве без пользователя) остаётся пустой, и в системных журналах это указывается. Когда данные пользователя меняются, устройства получают новые значения; для пользователей, синхронизированных из Google Directory, значения обновляются при следующем изменении политики или устройства.
  • Импорт конфигурации: откройте или вставьте файл, который поставщик приложения публикует для MDM, затем нажмите Читать. Спецификация AppConfig (specfile.xml) перечисляет все ключи, поддерживаемые приложением, с описанием, типом, значением по умолчанию и допустимыми значениями: выберите ключи для импорта (ключи со значением по умолчанию уже выбраны) и заполните остальные после импорта. Появляется предупреждение, если спецификация относится к другому приложению. Список свойств (весь список свойств или только его <dict>) импортируется как есть. Затем выберите, заменить текущие ключи или добавить к ним. Вложенные словари, значения данных и списки со смешанными или неизвестными типами не поддерживаются и перечисляются как пропущенные. Apple не публикует ключи конфигурации приложений, поэтому запросите файл у поставщика, если его нет в их документации. Копировать как plist копирует конфигурацию в том виде, в каком её получает устройство, до замены переменных.
  • Ограничения: до 200 ключей на приложение; ключи до 255 символов; текстовые значения до 4 096 символов; списки до 200 элементов по 1 024 символа каждый; даты с 1970 по 9999 год; всего 64 КБ на приложение.
  • Не для паролей: конфигурация отправляется только на устройство, для которого она создана, а журналы показывают только имена ключей и типы, но администраторы панели управления могут читать значения, а адрес, с которого устройство загружает конфигурацию, меняется в зависимости от значений, поэтому легко угадываемое значение (логическое или небольшое число) можно из него вывести. Не помещайте пароли и другие секреты в управляемую конфигурацию.
  • Состояние: когда устройство сообщает, что приложение не приняло свою конфигурацию, панель «Приложения» устройства показывает Конфигурация не принята рядом с приложением. Это не делает устройство несоответствующим требованиям. Конфигурация, которую устройство не может загрузить, делает его несоответствующим требованиям.

Параметры приложения

У каждого приложения политики (из App Store и пользовательских приложений) есть эти параметры. По умолчанию на устройстве оставляет выбор устройству. Устройства, которые не поддерживают параметр, не получают его; приложение всё равно устанавливается.

  • Автоматические обновления: параметр App Store, «Всегда» или «Никогда». iOS, iPadOS, macOS и visionOS 26 или новее. Для пользовательских приложений параметр App Store работает как «Никогда».
  • Загрузки через сотовую сеть: параметр App Store, «Всегда» или «Никогда», для автоматических установок и обновлений. Только на контролируемых iPhone и iPad с iOS или iPadOS 26 или новее.
  • Резервное копирование данных приложения: включаются ли данные приложения в резервные копии устройства. Не на Mac.
  • Пользователь может скрыть приложение и Пользователь может заблокировать приложение: iOS и iPadOS 18.1 или новее, применяется на контролируемых устройствах. Запрет блокировки также предотвращает скрытие. Ограничения Разрешить скрытие приложений и Разрешить блокировку приложений применяются ко всем приложениям.
  • Блокировать устройство после транзакций Tap to Pay, требующих PIN клиента: только iPhone.
  • Связанные домены: домены, с которыми связано приложение (например, для универсальных ссылок или автозаполнения паролей), до 50. Вводите простые имена хостов, например www.example.com, без applinks:, шаблонов и ?mode=. Не на Mac.
  • Проверять домены напрямую: устройство проверяет файл связи сайта доменов напрямую, а не через серверы Apple. Включайте это только для внутренних доменов, недоступных из интернета.
  • Удаление: приложения, установленные как Обязательные, не могут быть удалены пользователем.

Приложения Mac App Store

Список выбора приложений показывает платформы каждого приложения (iPhone/iPad, Mac, Apple TV, Vision); приложение, существующее только для Mac, показывает значок Mac. Приложение, существующее только для Mac, применяется к Mac при добавлении. Приложение App Store без версии для Mac не отправляется на Mac: политика показывает «У этого приложения нет версии для Mac: оно не отправляется на Mac» в разделе Применяется к. Mac получают приложения App Store по их ID в App Store, поэтому приложения с другим Bundle ID на Mac устанавливаются правильно.

Приложение Cerberus Enterprise

Cerberus устанавливает своё приложение Cerberus Enterprise на каждый iPhone и iPad с iOS или iPadOS 18.4 или новее, с политикой или без неё. Приложение передаёт местоположение устройства и получает уведомления и запросы отслеживания в реальном времени. Оно устанавливается как Обязательное с лицензией устройства из Apps and Books (на личных устройствах — пользовательской лицензией), поэтому пользователь не может его удалить.

  • One-time setup: добавьте бесплатное приложение в библиотеку один раз. В Apple Business откройте Apps & Services → Apps & Books → App Store, найдите «Cerberus Enterprise», нажмите View, затем Add, выберите All current and future в Organizational Units, нажмите Add, затем Review и подтвердите. Если приложение показывает Manage, оно уже есть в вашей библиотеке: откройте его и проверьте, что его подразделения — All current and future units. До этого панель управления показывает баннер, а на устройствах приложение отображается как не установленное. См. Account settings.
  • Не в политиках: приложение нельзя добавить в политику. Оно отключено в списке выбора приложений и отклоняется как пользовательское приложение (тот же Bundle ID). Политика, в которой оно уже указано, удаляет эту запись при открытии: сохраните политику для подтверждения.
  • Не устанавливается на: устройства с iOS или iPadOS старше 18.4. Установка на Shared iPad поддерживается, но функции приложения там не проверены.
  • Личные устройства: на iPhone и iPad, зарегистрированных с помощью регистрации пользователя, приложение также устанавливается — с запросом на установку и пользовательской лицензией управляемого аккаунта Apple. Оно получает сообщения от вашей организации и не получает доступ к местоположению, если в политике не включён параметр Местоположение и геозоны на личных устройствах и пользователь это не разрешит.
  • Остаётся установленным: если срок действия токена Apps and Books истекает или приложение покидает вашу библиотеку, приложение остаётся на устройствах, а страница устройства сообщает, что Apps and Books требует внимания. Оно удаляется, только если приложение по-прежнему отсутствует в вашей библиотеке через 24 часа.

Пользовательские приложения

Пользовательские приложения — это ваши собственные приложения для iPhone и iPad (файлы .ipa), распространяемые без App Store. В Xcode экспортируйте приложение для распространения Enterprise (Apple Developer Enterprise Program: оно устанавливается на каждое устройство) или Ad Hoc (оно устанавливается только на устройства, зарегистрированные в его профиле обеспечения). Сборки App Store загрузить нельзя.

Нажмите Добавить пользовательское приложение, чтобы открыть пользовательские приложения вашей организации. Загрузить приложение добавляет файл .ipa (до 2 ГБ). Выберите приложение и нажмите Добавить в политику. Список показывает версию, тип подписи, количество устройств в профиле ad hoc приложений и дату истечения срока действия профиля обеспечения.

  • Новая версия: загрузите приложение с тем же Bundle ID. Оно заменяет предыдущую версию, и устройства из политик, которые его используют, обновляют приложение.
  • Требования: iPhone и iPad с iOS 17.2 или новее. Устройства, которые не могут установить приложение, не получают его: приложение только для iPad на iPhone, более старая версия iOS, чем требуется приложению, устройство, которого нет в профиле ad hoc приложения, или истёкший профиль обеспечения.
  • Истечение срока: когда срок действия профиля обеспечения истекает, приложение больше не открывается. Загрузите версию, подписанную новым профилем, до даты истечения срока.
  • Зарезервированный Bundle ID: пользовательское приложение с Bundle ID приложения Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) нельзя добавить в политику, потому что Cerberus устанавливает это приложение сам.
  • Удаление: сначала удалите приложение из его политик; затем устройства удалят его.

Пакеты Mac

Пользовательские приложения также принимают установочные пакеты Mac (файлы .pkg). Пакет должен быть дистрибутивным пакетом, собранным с помощью productbuild (компонентный пакет, созданный только с помощью pkgbuild, отклоняется), и подписан сертификатом Developer ID Installer. Рекомендуется нотаризовать его и прикрепить билет (notarytool и stapler). Неподписанные пакеты, пакеты, изменённые после подписания, и пакеты, подписанные другими сертификатами, отклоняются.

Загрузите файл .pkg с помощью Загрузить приложение и добавьте его в политику: он появится в разделе Пакеты Mac. iPhone и iPad игнорируют его.

Mac с macOS 26 или новее (под надзором, что включает Mac, зарегистрированные вручную, но не User Enrollment) получают пакет как объявление: Mac сам скачивает, устанавливает, повторяет попытки и обновляет его и сообщает своё состояние. Более старые Mac, а также пакеты, установленные как управляемые приложения, получают его с помощью команды MDM в любой версии macOS. Mac, обновлённый до macOS 26, сам переходит на объявление; он может установить каждый пакет ещё раз. То же может произойти, когда Mac переходит в другую политику с тем же пакетом.

  • Новая версия: загрузите пакет с тем же идентификатором пакета. Он заменяет предыдущую версию, и Mac политик, которые его используют, устанавливают новую.
  • Пропущенные Mac: Mac с более старой версией macOS, чем допускает пакет, и Intel Mac для пакетов, собранных только для Apple silicon. На странице устройства пакет отображается как «Пропущен» с указанием причины; ранее установленная версия остаётся на Mac.
  • Установка: Обязательно (по умолчанию) устанавливает пакет на Mac; Необязательно делает пакет доступным на Mac без его установки. macOS 26 не показывает необязательные пакеты пользователю в «Системных настройках» или App Store (проверено на macOS 26.3), поэтому приложение или скрипт на Mac должен их установить; выбирайте «Необязательно», только если он у вас есть. Это применяется к Mac с macOS 26 или новее; более старые Mac всегда устанавливают пакет. Выбор недоступен для пакетов, установленных как управляемые приложения.
  • Удалять файлы пакета при его удалении из политики (macOS 27 или новее): когда пакет удаляется из политики, Mac с macOS 27 или новее удаляют установленные им файлы. По умолчанию выключено. На более старых Mac файлы остаются. Недоступно для пакетов, установленных как управляемые приложения.
  • Установить как управляемое приложение: включите его для пакета политики, чтобы установить его приложение как управляемое (macOS 11 или новее, не при пользовательской регистрации). Тогда macOS сообщает о сбое установки, и MDM может удалить приложение. Приложение должно быть установлено непосредственно в папку Applications, подписано сертификатом Developer ID Application и нотаризовано; на macOS с 11 по 13 пакет должен содержать только это приложение (без других файлов или скриптов). Пользовательские приложения показывают, какие пакеты подходят. Если параметр нельзя применить на Mac, пакет устанавливается там как обычно, а на странице устройства указывается причина.
  • Параметры удаления управляемого приложения: Удалить приложение, когда пакет удаляется из политики (включено по умолчанию) и Удалить приложение, когда Mac выходит из управления. Удаление приложения также удаляет его данные. Если пользователь уже установил то же приложение, эта копия становится управляемой и тоже удаляется.
  • Удаление: команда MDM не может удалить пакет. Для пакета, установленного как управляемое приложение, удаление из политики удаляет приложение (если параметр включён); его остальные файлы и квитанция пакета остаются. Пакеты с включённым параметром Удалять файлы пакета удаляются с Mac под управлением macOS 27 или новее. Другие пакеты: удаление из политики только прекращает новые установки, файлы остаются на Mac. Mac, который пропущен (например, после новой версии, требующей более новой macOS), сохраняет приложение, пока пакет в политике; удаление пакета из политики тогда тоже удаляет его. Удалите оставшиеся файлы на Mac (например, с помощью собственного деинсталлятора пакета) и выполните sudo pkgutil --forget <identifier>, чтобы удалить квитанцию пакета.
  • Состояние на устройстве: панель «Приложения» на Mac показывает каждый пакет политики как «В очереди», «Принят» (Mac принял команду), «Загружен», «Установлен» (только для пакетов, содержащих приложения, когда приложения найдены на Mac) или «Сбой» (с ошибкой). macOS не сообщает об установке пакета, отправленного командой, поэтому «Загружен» — последнее состояние для пакетов без приложений. Пакет, установленный как управляемое приложение, также переходит в «Сбой», когда macOS сообщает, что приложение не удалось установить или оно было удалено с Mac. Установить снова снова отправляет пакет на Mac.
  • Состояние с объявлением: пакеты, доставленные как объявление, показывают метку Объявление и состояние, которое сообщает Mac: «В очереди», «Доступен» (необязательный пакет, который пользователь не установил), «Ожидание пользователя», «Загрузка», «Установка», «Установлен» или «Сбой» (с причиной, например неудачная загрузка или установка либо объявление, которое Mac отклонил). Метка Файлы удалены вместе с политикой отмечает пакеты, файлы которых Mac с macOS 27 удаляет, когда они покидают политику. Установить снова появляется только после сбоя и просит Mac повторить попытку; он не предлагается, когда Mac отклонил объявление.

Аккаунты

Панель Аккаунты позволяет настроить аккаунты, применяемые к управляемым устройствам. Она также включает переключатель ограничения на изменение аккаунтов.

Ограничение

  • Разрешить изменение аккаунтов: если выключено, пользователи не могут изменять такие аккаунты, как Apple Account и интернет-аккаунты.

Добавление аккаунтов

Используйте Добавить аккаунт Google или Добавить почтовый аккаунт, чтобы добавить конфигурации аккаунтов в политику. Каждый аккаунт отображается в виде карточки с полями конфигурации.

Учётные данные аккаунтов от пользователей

Карточки аккаунтов Google и Mail предоставляют переключатель Учётные данные аккаунтов от пользователей. Когда он включён, система применяет учётные данные аккаунта отдельно для каждого пользователя. Когда он выключен, вы вводите идентификатор аккаунта в политике.

Поля аккаунта Google

  • Отображаемое имя: имя, которое отображается пользователю для аккаунта.
  • Адрес электронной почты Google: адрес электронной почты пользователя.
  • Полное имя: полное имя пользователя.

Поля почтового аккаунта

Почтовые аккаунты включают поля идентификации, а также конфигурацию серверов входящей и исходящей почты. Имена хостов обязательны.

  • Отображаемое имя: имя, которое отображается пользователю для почтового аккаунта.
  • Адрес электронной почты: адрес электронной почты пользователя.
  • Полное имя: полное имя пользователя.

Сервер входящей почты

  • Тип сервера: почтовый протокол (например, IMAP или POP).
  • Метод аутентификации: метод аутентификации для сервера.
  • Префикс пути IMAP: отображается только когда «Тип сервера» — IMAP.
  • Имя хоста: обязательно.
  • Порт: порт сервера (1–65535).

Сервер исходящей почты

  • Метод аутентификации
  • Имя хоста: обязательно.
  • Порт: порт сервера (1–65535).

Параметры S/MIME

Для почтовых аккаунтов вы также можете настроить шифрование и подписывание S/MIME.

Шифрование

  • Шифрование S/MIME
  • Идентификатор переопределяется пользователем
  • Переключатель для каждого сообщения включён
  • Переопределяется пользователем

Подписывание

  • Подписывание S/MIME
  • Идентификатор переопределяется пользователем
  • Переопределяется пользователем

Параметры аккаунтов и ограничений включают в панели управления подсказки с описанием предварительных требований и поддерживаемых версий ОС.