Wie jeden Juni ist Apple auch in diesem Jahr wieder Gastgeber der Entwicklerkonferenz WWDC. Während der Woche ab dem 9. Juni werden Hunderte von technischen Sitzungen für Entwickler abgehalten. Neben diesen technischen Sitzungen hat Apple auch die ersten Entwickler-Beta-Versionen der kommenden Herbst-Releases für seine Plattformen — macOS, iOS, iPadOS, visionOS, tvOS und watchOS — veröffentlicht und die neuen Funktionen vorgestellt.
Es gibt einen wichtigen Teil dieser Konferenz, der auch uns Apple-Systemadministratoren betrifft. Jedes Jahr stellt Apple die kommenden Neuerungen im Bereich Geräteverwaltung auf der WWDC vor.
Hier ist eine kurze Zusammenfassung der Neuerungen, die uns im Apple Business Manager und im MDM-Framework erwarten, wenn die 2026er-Versionen von macOS, iOS, iPadOS, visionOS, tvOS und watchOS veröffentlicht werden.
Apple Account-Liste
Bei Konten mit Domain-Verifizierung war es bereits möglich, die Domain-Adresse zu sperren und zu verhindern, dass neue Benutzer persönliche Apple Accounts mit der der Organisation gehörenden Domain erstellen. ABM-Administratoren können jetzt eine Liste der Inhaber persönlicher Apple Accounts herunterladen, die ihre Konten mit der Domain-Adresse der Organisation erstellt haben, bevor der Lock-Befehl erteilt wurde.
Einschränkung persönlicher Apple Accounts
Für Geräte, die im Apple Business Manager registriert sind, wird es möglich sein, über den Bereich Access Management einzuschränken, mit welchen Apple-Konten Benutzer das Gerät verwenden können. Auf diese Weise kann die Nutzung persönlicher Apple Accounts auf Unternehmensgeräten eingeschränkt werden — und das ohne MDM.
Geräte-Inventareinträge
In Apple Business Manager werden neue Informationen in den Geräte-Inventareinträgen sichtbar sein. Zum Beispiel der iPad-Akkuzustand, Bluetooth-/Wi-Fi-MAC-Adressen für iPhone und iPad sowie AppleCare-Abdeckungsinformationen.
Darüber hinaus wird bei der Entfernung eines Geräts aus ABM mit dem Release-Befehl auch ein Datensatz sichtbar sein, welcher Benutzer diese Aktion zu welchem Datum durchgeführt hat.
Apple Business Manager API
ABM/ASM-APIs werden für Organisationen geöffnet. Informationen wie die Liste der in ABM registrierten MDM-Server, die Liste aller Geräte in ABM, Gerätedetails und der MDM-Server, dem ein Gerät zugewiesen ist, werden über ein API-Konto von einem extern verbundenen Inventarverwaltungssystem eingesehen werden können.
Apple Vision Pro
Apple Vision Pro kann nun wie andere Apple-Geräte manuell zu Apple Business Manager hinzugefügt werden. Hierfür kann die Anwendung Apple Configurator for iPhone verwendet werden. Um zu erfahren, wie Sie dies für ein iPad durchführen, können Sie unseren Artikel Ein iPad (oder iPhone) zu Apple Business Manager hinzufügen lesen.
Darüber hinaus decken alle Konfigurationen, die wir bisher für Apple Intelligence auf iPhone, iPad und Mac anwenden konnten, nun auch visionOS vollständig ab.
Account Driven Enrollment
Bei den Account Driven Enrollment-Methoden, die zur Registrierung von persönlichen oder unternehmenseigenen Geräten beim MDM-Server über Managed Apple Accounts verwendet werden, gibt es eine Vereinfachung. Die derzeit verwendete Methode erfordert eine Proxy-URL, um die Anfrage vom Gerät an den MDM-Server weiterzuleiten. Mit der neuen Funktion, die in den 2026er-Versionen hinzugefügt wird, wird das Gerät, wenn diese URL vom MDM-Server bestimmt wird, als Fallback zu Apple Business Manager weitergeleitet und geht zum automatisch für den Gerätetyp zugewiesenen MDM-Server, um das Registrierungsprofil abzurufen. Das bedeutet, dass der gesamte Prozess nur mit dem MDM-Server und ABM abgeschlossen werden kann, ohne einen Drittanbieter zu benötigen.
Machen Sie sich bereit für die eigentliche Bombe: Device Management Migration
Nehmen wir an, Sie haben einen MDM-Server und nutzen dieses Produkt On-Premises. Wenn Sie auf die Cloud-Version desselben MDM-Produkts umsteigen möchten, mussten die Geräte bisher zurückgesetzt werden, damit der Automated Device Enrollment-Prozess auch beim neuen MDM gültig ist.
In Szenarien, in denen Sie zu einem anderen MDM migrieren, nehmen Sie eine Device Management-Zuweisung für Ihre Geräte über Apple Business Manager vor. Und Sie können ein Enddatum und eine Uhrzeit für diese Migration festlegen. An diesem Punkt wird eine Benachrichtigung an die in Verwendung befindlichen Geräte gesendet, die über die bevorstehende Migration informiert. Sobald der Benutzer auf die Schaltfläche Start Enrollment drückt, beginnt der Prozess. Profile, die mit dem alten MDM-Server verbunden sind, werden gelöscht. Der neue MDM-Server übernimmt die Activation Lock-Verwaltung; wenn es sich um einen Mac handelt, verwendet er den Bootstrap Token, um den FileVault-Schlüssel zu ändern. Während dieses Prozesses werden auch alle Konfigurationsprofile vom alten MDM gelöscht. Es ist wichtig, dass dieselben Richtlinien im neuen MDM vorbereitet werden, damit die Benutzer einen reibungsloseren Übergang haben.
DDM Software Update
Apple hat begonnen, die Geräteverwaltungsarchitektur zu ändern. Es wurde auf ein neues Modell umgestellt, das die Last auf dem APNS-Server reduziert, und einige Funktionen werden schrittweise auf das neue Verwaltungsmodell namens Declarative Device Management übertragen. Die DDM Software Update-Funktion, die bereits für Mac, iPhone und iPad verfügbar ist, wird in den kommenden Monaten auch für visionOS und tvOS verfügbar sein.
Safari Management
Apropos DDM: Alle verwaltbaren Schlüssel für Safari wurden auf das DDM-Modell migriert. Wir können jetzt auch Bookmarks für Safari verwalten und festlegen, welche URL als Startseite geöffnet wird.
Return to Service
Wenn wir ein Gerät zurücksetzen und einem neuen Benutzer übergeben möchten, löschte der an das Gerät gesendete Wipe-Befehl alles auf dem Gerät mit Ausnahme des Betriebssystems. Auf iPhone und iPad verbleiben verwaltete Anwendungen auf dem Gerät — ebenso wie das Betriebssystem —, um den Prozess der Übergabe des Geräts an einen neuen Benutzer zu beschleunigen. Alle Benutzerdaten innerhalb der Anwendungen werden gelöscht. Wenn das Gerät reaktiviert wird, müssen Sie nicht warten, bis diese Anwendungen erneut auf das Gerät heruntergeladen werden.
Diese Methode kann auch auf Apple Vision Pro angewandt werden, genau wie auf iPhone und iPad. Dadurch wird der Prozess beschleunigt, wenn ein Apple Vision Pro von einem anderen Benutzer in Betrieb genommen wird.
Anwendungsverwaltung
App Store-Anwendungen, Custom-Anwendungen und als .PKG installierte Anwendungen können nun alle mit der DDM-Methode verteilt werden. Anwendungen können als Required (Erforderlich) oder Optional (Wahlweise) gekennzeichnet werden. Wenn Sie innerhalb einer verwalteten Anwendung eine Änderung an deren eigenen Einstellungen vornehmen möchten, werden Anwendungskonfigurationen ebenfalls mit einer neuen API verwaltet. In diesem Zusammenhang können Anwendungseinstellungen, Benutzeridentitäten, Passwörter und Zertifikate als Teil davon verwaltet werden.
Anwendungsaktualisierungen sind ebenfalls separat verwaltbar geworden. Sie können automatische Updates für Anwendungen erzwingen oder deaktivieren. Es ist auch möglich, eine bestimmte Anwendungsversion festzupinnen, damit diese unverändert bleibt.
Platform SSO
Wie lange erwartet, kann Platform SSO nun Teil des Setup Assistant sein. Wenn sich ein Gerät über Automated Device Enrollment bei MDM registriert, können sich Benutzer mit vom IdP bereitgestellten Anmeldedaten anmelden, ein lokales Benutzerkonto kann erstellt werden, und das Benutzerfoto sowie das Passwort können synchron mit dem IdP arbeiten.
Eine wichtige Neuerung betrifft auch das seit Jahren in macOS vorhandene Gastkonto. Wenn die Funktion namens Authenticated Guest Mode aktiviert wird, können Gastbenutzer sich mit vom IdP festgelegten Anmeldedaten anmelden und ihre Anmeldedaten auch für die Anmeldung bei Websites und Anwendungen verwenden. Wenn sie ihre Sitzung beenden, werden alle Daten automatisch gelöscht.
Darüber hinaus können sich mit der Funktion Tap to Login auch iPhone- und Apple Watch-Benutzer beim Authenticated Guest Mode anmelden. Die Benutzeranmeldedaten werden als Zugangsschlüssel in der Wallet-Anwendung gespeichert und über NFC mit dem Mac geteilt. Selbstverständlich werden diese Schlüssel in Secure Enclave aufbewahrt und sind vor externen Eingriffen geschützt. Für die Nutzung dieser Methode ist ein an den Mac angeschlossener NFC-Leser erforderlich.
Sie können die vollständige Sitzung „What’s new in Apple device management and identity“ hier ansehen.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Kommentar verfassen