macOS 27 İLE GELEN YENİ CİHAZ YÖNETİMİ ÖZELLİKLERİ

Bildiğiniz gibi Apple WWDC 2026 etkinliğine ev sahipliği yaptı. Bu sene önceki senelerden farklı olarak tek tek işletim sistemlerine nasıl yenilikler geldiğini vurgulamak yerine her platformu etkileyen yeniliklere odaklandılar. Bu bağlamda Keynote sunumunun önemli bir kısmı çocukların güvenliği konusuna ve Apple Intelligence ile Siri yeniliklerine ayrıldı diyebiliriz. Tüm Keynote’u izlemek isterseniz aşağıdaki bağlantıyı kullanabilirsiniz.

Settings Blog‘da ele aldığımız ana iştigal konusuna yani cihaz yönetim tarafında gelen yenilikleri tek kelime ile özetlemek gerekirse “DDM” anahtar kelimesini kullanabiliriz sanıyorum. Apple 2021 yılında Declarative Device Management kavramını ilk duyurduğu günden bu yana bize aynı şeyi söylüyordu: “The future of device Management is declarative management.” Yani cihaz yönetiminin geleceği declarative management’ti. Bu yıl bu cümleyi şununla değiştirdi: “The standard for device management is declarative management.” Yani cihaz yönetiminin standardı declarative management. Eğer cihazlarınızı hala sadece MDM politikaları ile yönetiyorsanız, hayatınızda bir şeylerin eksik olmasına alışmalısınız. macOS 27 ile birlikte gelen yenilikler de bu söylemi destekliyor. Birer Apple sistem yöneticisi gözüyle, belli başlı yeniliklere birlikte bakalım.

Önce Apple Business

WWDC öncesinde Nisan ayı içinde Apple, Apple Business Manager’ı yeniden yapılandırdı. Kurumların farklı farklı Apple portallarında yaptıkları bazı işlemleri birleştirdi. Ve içine bir de ücretsiz MDM ekledi. Bu seneki WWDC yenilikleri de öncelikli olarak bunu vurgulayarak başladı.
Apple Business’ta artık yeni API’lar var. Sunucuları, cihazları ve envanteri listeleyen, envanter atamasını yöneten ve AppleCare garanti bilgisini getiren mevcut API’lar geçen seneki WWDC etkinliğinde tanıtılmıştı. Bunlara ek olarak Blueprint ve Configuration oluşturabiliyor, kullanıcı ve grupları düzenleyebiliyor, uygulama lisans bilgilerini ve audit event kayıtlarını çekebiliyorsunuz. Yani özetle dahili cihaz yönetim servisine ilişkin API‘lar da eklenmiş durumda bu sene.

Merkezi Abonelik Alımı

App Store uygulamalarındaki abonelikler için yeni bir toplu lisanslama mekanizması geliyor. Yani uygulama aboneliklerini, tıpkı uygulamaları toplu dağıtırken kullandığınız VPP iş akışıyla satın alıp gruplara veya organizasyonlara atayabileceksiniz. Bu vesileyle kurumunuz çalışanlarına örneğin Claude aboneliği dağıtabileceksiniz. Bu özellik Apple Business ve Apple School Manager tarafına ilerleyen dönemde gelecek. Darısı uygulama içi satın alımların da başına diyelim.

Eğer izlemek isterseniz bu konuya ayırılmış bağımsız bir seans bulunuyor. Buradan izleyebilirsiniz.

DDM

Declarative Device management artık ana karakterimiz. Bu yılki yeniliklerin büyük çoğunluğu declarative management modelinin üzerine inşa edilmiş. O yüzden bu başlığı biraz uzun tutacağım. Çayınızı kahvenizi eksik etmeyin.
XML tabanlı eski konfigürasyon profilleri üzerinden yaptığımız yönetimlerde sertifika gibi öğelerin dağıtımında bir tür sorun yaşıyorduk. Bir sertifikayı örneğin 4 ayrı konfigürasyon profiline bağladıktan sonra orijinal sertifikayı güncellemek, diğer konfigürasyonların hepsini tek seferde güncellemek anlamına gelmiyordu.

Declarative Device Management modeli many-to-many ilişkiyi desteklediği için birden fazla configuration, tek bir credential’ı referans alabiliyor. Bu nedenle kimlik bilgisi kullanan configuration profile’lar artık declarative configuration’lara taşınıyor. Bir credential’ı (örneğin sertifikayı) yenilemeniz gerektiğinde sunucunuzun yapması gereken tek şey ilgili asset’i değiştirmek. Cihaz, o sertifikayı kullanan tüm configuration’ları kendisi güncelliyor. Certificate, identity ya da password olsun, kimlik bilgisi gereken her yerde artık bir declarative asset devreye giriyor.

Status channel
DDM‘in bence en güçlü yanlarından biri Status Channel. Çünkü Apple’ın 2011’de geliştirdiği ve bugüne kadar gelen MDM protokolü ile bir cihazın gönderilen bir politikayı alması ve uygulaması ile uyguladığının bilgisini bir envanter güncellemesi olarak tekrar sunucuya bildirmesi arasında bir boşluk oluyordu.

Status channel, sunucunun cihazı sürekli sorgulamasına gerek kalmadan durum değişikliklerini öğrenmesini sağlıyor. macOS 27 ile buraya bir sürü yeni status item geldi: enrollment type, awaiting device configuration, return to service durumu, Shared iPad bilgisi, cihazın güncel push token’ı ve daha fazlası. Ayrıca kullanıcının Lockdown Mode’u açıp açmadığını bildiren yeni bir status item de eklendi.
Yardım masası ekiplerini doğrudan ilgilendirebilecek kısım ise device system health monitoring. iOS ve iPadOS cihazlar, donanım bileşenleriyle ilgili sorunları zaten Settings uygulaması üzerinden kullanıcıya bildiriyordu. Artık iOS ve iPadOS 27, aynı bilgiyi yeni bir declarative status item ile bize de sunuyor. Baseband, kamera, Face ID, Touch ID gibi donanım bileşenlerinin sağlık durumunu tüm filonuz genelinde görebiliyorsunuz. Bir sorun büyümeden önce müdahale etmek isteyen yardım masası çalışanları için önemli bir yenilik.

Bu konu ile ilgili olarak iPhone’larda sorun teşhis etme modunun kullanımı ile ilgili iPhone Diagnostics Mode isimli makaleme göz atabilirsiniz.

Content Caching de artık DDM’de

Content Caching, yazılım güncellemelerini, uygulamaları ve diğer içerikleri yerel ağdaki Mac’lerde barındırarak bant genişliği kullanımını azaltan ve indirme hızını artıran bir servis. Content Caching hakkında ayrıntılı bilgi edinmek isterseniz bu konuda daha önce yazdığım Content Caching Nedir? makalesine göz atabilirsiniz. macOS 27 ile birlikte bu servisi kontrol etmek için bir declarative configuration ve servisin durumunu raporlayan yeni declarative status item’lar geldi. Yani content caching sunucu filonuzun sağlığını doğrudan izleyebiliyorsunuz. Üstelik content cache sunucuları artık kendi raporlarını istediğiniz bir HTTPS endpoint’e gönderebiliyor; bu da daha gelişmiş izleme panelleri kurmanın önünü açıyor. Buradan hareketle hemen kapağı Claude Code’a atabilirsiniz yani…

Managed migration

Migration Assistant‘ı duymuş olmalısınız. Bir Mac’te bunu denemediyseniz bile en azından bir iPhone’dan bir başka iPhone’a geçiş sırasında bilgilerinizin otomatik olarak transfer edildiğini görmüşsünüzdür diye düşünüyorum.

Uygulama yönetimi

Declarative app configuration nihayet macOS’ta geldi. iOS ve iPadOS tarafında bir süredir kullandığımız declarative app configuration özelliği macOS 27’ye geliyor. Bunun kısa ve uzun vadeli etkileri olacak. Biz zaten .plist dosyaları üzerinden uygulama konfigürasyonlarını hazırlayıp XML tabanlı konfigürasyon profilleri ile gönderebiliyorduk. Ama bu konfigürasyonları eski MDM protokolü ile dağıtıyorduk. Bu da senkronizasyon konusunda bazı sıkıntılara yol açabiliyordu. Örneğin bir uygulamanın kendisi, ayarlarını taşıyan profil dosyasından daha önce yüklenmiş olabiliyordu… Uygulama konfigürasyonlarının DDM altyapısına geçmesi bu sorunları ortadan kaldırıyor. Bu kısa vadedeki etkisi.

Biraz daha genel olarak baktığımızda uygulama konfigürasyonlarına diğer DDM asset‘lerini ekleyebileceğiz ve mesela yönetilen uygulamaları hardware-bound key ile kullanma gibi senaryolar mümkün. Hatta kurumsal servislerle kimlik doğrulaması için sertifikalara güvenmek yerine Managed Device Attestation desteğini devreye alma gibi kullanımlar da sözkonusu olabilecek.

Package silme

Bildiğiniz gibi macOS işletim sistemine uygulama yüklemenin çeşitli yöntemleri var. Bunlardan bir tanesi sürükle – bırak tarzı uygulamalar. Bu uygulamaların kurulumu için özel bir yükleyiciye ihtiyaç bulunmaz. Ve genellikle bu uygulamaların çalışması için gerekli tüm içerikler de kendi uygulama dosyasının (.app) içinde yer alıyor. Ama bunların yanısıra bazı uygulamalar da .PKG uzantısı ile geliyor ve Installer uygulaması ile yüklenebiliyor. Bu türdeki uygulamalar, sistemimizde çeşitli noktalara da dosyalar yazabiliyorlar. Bu yeni özellik ile birlikte .PKG ile yüklenen uygulamaya ait diğer veriler, uygulama kullanıcıdan silindikten sonra otomatik olarak sildirilebiliyor.

Bu birleştirilmiş onay ekranı sadece uygulamalar için değil, Safari ile eriştiğiniz ve özel izin gerektiren web siteleri için de geçerli. iOS, iPadOS ve macOS 27 ile birlikte, uygulama ilk açıldığında veya bir site Safari’de ilk göründüğünde tek bir onay ekranı gösteriliyor. Bu ekranda kurumun ve uygulamanın adı, sistem yöneticisinin girdiği bir gerekçe ve hangi gizlilik bileşenine neden erişilmek istendiği açıkça yazıyor. Kullanıcı Allow derse tanımlı varsayılanlar uygulanıyor ve uygulamayı kullanırken ek bir bildirim çıkmıyor.

Mac’te binary execution kontrolü

Kullanıcıların kendi başlarına uygulama yükleyememeleri için MacApp Store‘u kısıtlama, Gatekeeper ayarları vb gibi çeşitli önlemleri zaten alıyorduk. Ya da uygulamalar için Blacklist/Whitelist oluşturarak hangi uygulamaların çalıştırılabileceğini belirleyebiliyorduk. Fakat bu kontroller, düzgün bir şekilde uygulama olarak paketlenmiş dosyaların yüklenebilmesini ve çalıştırılabilmesini denetliyor. Bunların dışında Mac’lerimizde çeşitli kaynaklardan gelen script dosyaları veya Terminal üzerinden çalıştırılabilecek çeşitli uygulamalar da bulunabilir. Örneğin, bilgisayar MDM ile yönetilmeye başlanmadan önce kullanıcı brew yüklemiş olabilir. Standart Gatekeeper ve Blacklist/Whitelist ayarları bu tür kullanımları tespit etmek için yetersiz kalır.

macOS 27 ile birlikte binary execution‘ı kontrol etmek için yeni declarative management ayarları geliyor. Sistem yöneticisinin MDM üzerinden tanımladığı kurallara göre bir programın çalışmasına izin veren ya da onu engelleyen, gerektiğinde çalışan process‘leri de öldüren, işletim sistemine gömülü bir Blacklist/Whitelist mekanizması bu. Şu ana kadar sistem yöneticileri bu tür kullanımları otomatik olarak tespit edebilmek ve kurumun güvenlik postürünü sağlayabilmek için çeşitli EDR yazılımları ya da örneğin Google‘ın Santa‘sından yararlanıyorlardı. Artık bunu ek bir 3. parti araç kurmadan, doğrudan macOS’un Endpoint Security framework‘ünü kullanan MDM çözümlerimiz üzerinden yapabileceğiz.

Platform SSO yenilikleri

Hiç kuşkusuz ki Platform SSO Apple’ın yeni gözdesi. Kurumlar birçok teknolojiyi bulut üzerinden kullanmaya yöneldikçe Kerberos SSO veya eski usül AD Bind yerine Platform SSO daha sık kullanılmaya başlandı. Bu bağlamda da her WWDC‘de Platform SSO ile ilgili çeşitli yenilikler görmeye alıştık artık.

Bu sene gelen yeniliklerden biri Touch ID‘nin artık zorunlu kılınabiliyor olması. Şu ana kadar Touch ID opsiyoneldi. macOS 27 ile sistem yöneticileri, kurumsal olarak yönetilen cihazlarında kullanıcıların parolaya ek olarak Touch ID kullanmasını zorunlu kılabiliyor. Standart parolanın yanısıra bilgisayara login, ekran kilidini açma ve Filevault kilidini açma işlemlerinin tümü için Touch ID kullanılabiliyor.

Platform SSO için yeni bir web tabanlı kimlik doğrulama seçeneği geliyor. IdP‘ler login window ve ekran kilidi ekranlarında bir web view kullanabiliyor. Bu HTML alan içinde kimlik doğrulama senaryolarınızın neredeyse hepsini çalıştırabilirsiniz: multi-factor authentication için tek kullanımlık kodlar (yani TAP), koşullu erişim senaryoları için push notification veya QR kod… Daha önce Nomad, Jamf Connect, Kandji Passport veya Mosyle Auth gibi araçlardan birini kullandıysanız login ekranında macOS‘un login kullanıcı arayüzü yerine IdP‘nin login deneyimini görmeye alışık olmalısınız. Benzer bir yapı macOS 27 Golden Gate ile birlikte Platform SSO konfigürasyonlarına da geliyor.

Web tabanlı kimlik doğrulama seçenekleri aynı Touch ID‘de olduğu gibi login window, ekran kilidi ve FileVault kilidi açma süreçlerinin hepsinde çalışıyor. Offline authentication da destekleniyor, böylece internete bağlı olmayan cihazlarda da güvenlik zaafı olmaksızın erişim sağlanıyor. Platform SSO‘yu kullanan birçok firmada standart macOS login deneyimi yerine Web View seçeneğinin tercih edileceğine eminim.

Geçen seneki WWDC‘de macOS’un eski Guest User kullanımı, Platform SSO desteği alarak Authenticated Guest Mode‘a dönüşmüştü. FileVault’un açık olduğu bilgisayarlarda Guest Mode‘un çalışması bugüne kadar ayrı bir oturumda açılan Safari ile sınırlıydı. macOS 27′de artık Authenticated Guest Mode FileVault‘un da kilidini açarak login olabiliyor. Bu da okullar, hastaneler veya üretim tesisleri gibi paylaşılan cihazların kullanıldığı ortamlar için önemli bir yenilik.

Apple’ın What’s new in managing Apple devices sunumunu buradan izleyebilirsiniz.