macOS Sequoia 15.0 — что нового для ИТ
Привет! Я Ильдар Бигашев, Product Owner Ринго MDM, более 10 лет работаю с корпоративными технологиями Apple: прошел путь от сотрудника Service Desk до руководителя системных интеграций.
В этой статье я расскажу, что нужно знать системному администратору о macOS Sequoia 15.0. На какие новые фичи стоит обратить внимание, какие технологии более не поддерживаются и можно ли сегодня обновлять прод до новой версии macOS.
Как только на WWDC 2024 состоялся анонс новой операционки от Apple, мы со свойственным системным администраторам нетерпением, стали ждать выхода первой Developer Beta, чтобы как можно скорее установить ее на свои устройства, протестировать новые фичи и репортить фидбэк в Apple.
Как это часто бывает, не вся информация по новым возможностям системы была доступна в KB Apple или на Apple Developer. Со многими вещами пришлось разбираться самостоятельно. Немало информации удалось получить из тематических блогов и таких сообществ, как Mac Admins в Slack и MacSysAdmin Group в Telegram.
Итак…
Релиз macOS Sequoia 15.0 уже состоялся, все ограничения с публикаций сняты. И я хочу рассказать, что нового есть для системных администраторов, которые управляют парком устройств Apple.
В этом материале я затрону только те технические моменты, которые так или иначе влияют на системное администрирование устройств Apple. Если вы хотите ознакомиться с обзором, который затрагивает еще и пользовательские фичи, на Ars Technica уже вышла статья по этому поводу.
Я не буду касаться нововведений, связанных с Apple Business Manager, так как сервис недоступен для регистрации в России.
Система
Минимальные системные требования
Apple продолжает поддерживать устройства с чипом Intel, хотя с каждой новой версией macOS их становится все меньше. А такая функция, как Apple Intelligence, будет работать только с процессорами Apple Silicon.
Сколько свободного места потребуется?
По сравнению с macOS Sonoma, изменения несущественные:
размер установщика ~ 15 ГБ,
свободное место на диске ~ 23 ГБ.
Можно ли запретить обновления версии macOS?
В прошлом году Apple ввела ряд ограничений по этому поводу:
полностью запретить установку новой операционки нельзя;
можно отложить обновление на 90 дней с даты релиза macOS 15, после чего обновление может быть установлено пользователем, не имеющим прав локального администратора;
если у пользователя есть права локального администратора, то он может установить обновление в любой момент.
Версия системы
Если ваши скрипты ориентируются на версию macOS, не забудьте их поправить.
ProductName: macOS
ProductVersion: 15.0
BuildVersion: 24A335
Системные утилиты
Подвезли новые инструменты для работы:
jq — Command-line JSON processor — теперь его не надо скачивать отдельно, работать с API станет проще;
trash — Moves files and directories to the user trash folder — наконец-то мы можем перемещать файлы в Корзину, не опасаясь, что они пропадут навсегда;
xprotect — отдельная утилита для взаимодействия с XProtect, с помощью которой можно проверять и загружать новые версии сигнатур, для поиска вредоносного ПО. Небольшая статья по этому поводу;
Passwords — новая утилита для работы с паролями, которая работает с Keychain.
Поддержка старых технологий
Это, пожалуй, самые популярные вопросы перед обновлением.
Gatekeeper
Apple продолжает завинчивать гайки.
нельзя открыть ненотаризованное приложение, нажав правой кнопкой мыши по приложению и выбрав Open/Открыть. Требуется идти в System Settings > Privacy & Security
sudo /usr/sbin/spctl --global-disable,
то получите сообщение:
Globally disabling the assessment system needs to be confirmed in System Settings.
Если попробуете включить, то получите сообщение:
This operation is no longer supported. Please see the man page for more information.
Управлять Gatekeeper можно с помощью MDM.
Security & Privacy
Теперь недостаточно один раз дать приложению доступ к записи экрана, такое уведомление будет появляться периодически.
Приложения запрашивают доступ к локальной сети, также, как и на iOS/iPadOS, причем tccutil эти разрешения не сбрасывает.
Вероятно, в целях безопасности, чтобы другие приложения не могли получить доступ, базу данных центра уведомлений переместили в Group Containers:
~/Library/Group Containers/group.com.apple.usernoted/db2/db
Но для админов уже придумали обходной вариант.
В Keychain нельзя импортировать файл PKCS12 с пустым паролем.
Приложение Keychain Access переехало в другую папку, и теперь для доступа требуется ввести пароль пользователя:
/System/Library/CoreServices/Applications/Keychain Access.app.Также Keychain Access теперь не находится в LaunchPad.
Wi-Fi
Добавили функцию MAC Address Randomization (как в iOS), которая позволяет избежать слежки за устройствами через сети Wi-Fi.
Функция включается автоматически при подключении как к публичным сетям Wi-Fi, так и к сетям с низким уровнем защиты.
MAC-адрес устройства будет ротироваться не чаще одного раза в неделю.
Можно принудительно выключать эту функцию для управляемых сетей (которые настраиваются через MDM), но полностью деактивировать нельзя.
На macOS 14 это не работает, профиль нужно устанавливать уже после обновления до macOS 15.
Могут быть конфликты, если у вас установлено два профиля для одной сети. Если обновляете существующий профиль, то устройство может отключиться от Wi-Fi, как и раньше.
Если Wi-Fi настроен профилем, установленным вручную, а не через MDM, то пользователь может изменить настройки Randomization.
Полезная информация для Service Desk
Теперь, при открытии System Settings, по умолчанию всегда открывается меню General.
VM — встроенный Framework
Начиная с macOS 11, Apple поставляет собственный Virtualization Framework вместе с системой и с каждым годом добавляет новый функционал.
Виртуальные машины поддерживают вход в iCloud и возможность выполнить Erase all content and Settings (VM имеют доступ к Secure Enclave).
Добавлена поддержка внешних дисков.
Mobile Device Management
Каждый год Apple добавляет и убирает функции MDM. Например, нам вернули управление внешними USB-накопителями и добавили ограничения для Apple Intelligence.
Enrollment
Изменения payload для профилей MDM
Apple Developer
Обновленная схема MDM
Что нового:
ограничения управлением System Extensions для конечного пользователя;
ограничения для подключения внешних дисков и сетевых папок;
ограничения для монтирования дисков только в режиме чтения;
ограничения для MAC Address Randomization;
дистрибуция бинарников, скриптов и конфигов launchd;
ограничения для использования mirroring для iPhone;
управление расширениями Safari с помощью MDM;
ограничения для разнообразных функций Apple Intelligence (интеграций ChatGPT, Math Notes, Smart Script, Image Playground иWriting Tools);
новые опции для Setup Assistant;
новые опции для Extensible SSO;
profiles renew -type enrollment теперь не требует ввода пароля администратора, если компьютер заэнроллен;
убрали некоторые опции для включения/выключения логирования Firewall. Кстати, у некоторых возникали проблемы в работе Firewall после обновления;
управление обновлениями через Declarative Device Management.
Стоит ли обновлять прод?
Опыт предыдущих лет не изменяет нам: если есть возможность потянуть до выхода 15.1, то лучше дождаться именно ее. Судя по отзывам, уже возникли проблемы со встроенным Firewall и сетью, что препятствует нормальной работе приложений.
Также рекомендуется протестировать работу таких ограничений, как доступ приложений к локальной сети, и помочь пользователям разобраться с этой новой функцией. Так как зачастую они просто запрещают доступ для того или иного приложения, а с помощью сброса базы данных tcc откатить эти ограничения не получится.
Если же требования безопасности требуют обновления системы — еще раз пробегитесь по этому списку или вернитесь к этой статье. Я буду стараться выкладывать небольшие обновления по мере их появления, пока не выйдет версия 15.1.
Если вам интересна тема администрирования устройств Apple, то подписывайтесь на наш блог. Мы будем писать свои материалы и делать переводы с иностранных источников.
Полезные материалы
Официальная информация от Apple — What’s new for enterprise in macOS Sequoia — Apple Support.
Kerberos https://ringomdm.ru/tpost/o1r8d3r691-chto-takoe-kerberos-sso-dlya-macos
И еще немного ссылок на KB Apple:
