#16 Jak instalovat betaverze na firemní Apple zařízení

Léto je v plném proudu a s ním i beta testování nadcházejících operačních systémů pro Apple zařízení. Jak ale efektivně instalovat betaverze na firemní zařízení? Možností je hned několik a každá má své praktické využití. Jak na to, se dočtete níže v hlavním tématu tohoto vydání. Samozřejmě nechybí ani shrnutí novinek u předních MDM řešení za červenec a také detailní popis oprav v aktualizaci 26.6 a 26.6.1. Tip na aplikaci potěší všechny, co mají plno USB-C kabelů neznámých specifikací.

Téma

Apple Beta Program

Apple doporučuje firemním zákazníkům se složitější infrastrukturou a pro business kritickými aplikacemi testovat nové verze i aktualizace operačních systémů ještě v rámci fáze betatestování. Je to skvělá možnost, jak být připraven, předejít problémům a hlavně odhalit, nahlásit a nechat opravit chyby ještě předtím, než se dostanou do produkčních verzí OS. Jak ale nejlépe betaverze na firemní Apple zařízení instalovat? Existuje několik moderních variant.

U všech je potřeba mít přístup do portálu AppleSeed for IT. Ten najdete na adrese https://beta.apple.com/for-it a obsahuje návody, Release Notes a také IPSW obrazy disku jednotlivých beta verzí. Pro přihlášení je nutné použít spravovaný Apple účet s oprávněním pro přístup na tento portál. Takový požadavek splňuje každý administrátorský účet vytvořený v portálu Apple Business.

Manuální přihlášení spravovaným Apple účtem

Pokud máte zařízení u sebe a chcete jej pouze aktualizovat na betaverzi se zachováním všech dat, je nejjednodušším způsobem se do něj přihlásit svým spravovaným Apple účtem. Stačí se nejprve jednou přihlásit do portálu AppleSeed for IT, připojit se do beta programu a potvrdit licenční podmínky. Následně se na testovacím zařízení přihlásíte tímto spravovaným Apple účtem v Nastavení systému a díky tomu se odemkne možnost vybrat v kanálu aktualizací betu.

Co když je na zařízení ale už přihlášený jiný Apple účet, například soukromý? Existuje rychlá možnost si odemknout potřebné nastavení pomocí těchto odkazů:

iOS/iPadOS:

os-beta-updates://

macOS:

x-apple.systempreferences:com.apple.Software-Update-Settings.extension?action=showBetaUpdates

Poté se stačí přihlásit spravovaným Apple účtem pouze v panelu Aktualizací a pokračovat výběrem příslušného beta kanálu. Tyto odkazy je možné také distribuovat ostatním kolegům e-mailem či u některých MDM také formou tlačítka v samoobslužném portálu místo klasického odkazu na web.

Restore systému pomocí Apple Configuratoru

Pokud máte zařízení u sebe a chcete nainstalovat čistý systém bez dat, využijete opět výše zmíněný portál AppleSeed for IT. Tentokrát v něm po přihlášení v sekci Zdroje najděte odkaz na stažení obrazu disku se systémem, tzv. IPSW soubor. Formát se zkratkou znamenající původně "iPhone Software" se postupně ujal i pro všechna ostatní Apple zařízení.

Pro instalaci macOS bety budete dále potřebovat z App Store stáhnout aplikaci Apple Configurator for Mac, přes kterou se stažený IPSW soubor instaluje. Tento postup má však jeden háček, potřebujete mít nejprve k dispozici Mac, který už má nejnovější betaverzi nainstalovanou, abyste z něj mohli instalovat další Apple zařízení. Pokud takový máte, tak poté připojíte druhý Mac pomocí USB-C kabelu do jediného správného portu, který se liší u každého modelu. Obnovovaný Mac musí být uveden do tzv. DFU (Device Firmware Update) režimu, do kterého se dostanete podržením kláves Control + Option + Shift + Power po startu. Nakonec už jen přetáhnete stažený IPSW soubor na obrázek Macu v Apple Configuratoru.

Pro instalaci iOS/iPadOS bety musíte mít opět Mac s nainstalovanou nejnovější betaverzí macOS nebo nejnovější betaverzi aplikace Xcode, kterou stáhnete z portálu pro vývojáře. Poté stačí připojit iPhone či iPad kabelem k Macu a povolit důvěru. Ve Finderu vyberete připojené zařízení a s podržením tlačítka Option na klávesnici klikněte na tlačítko Vyhledat aktualizace ve Finderu. Nakonec vyberete IPSW soubor a potvrdíte.

Aktualizace pomocí MDM

Co když je ale potřeba instalovat betaverze na více zařízení různých uživatelů ve firmě? Pro takové případy existuje možnost je instalovat vzdáleně a hromadně pomocí řešení hromadné správy zařízení. Podpora této funkce a její náročnost na nastavení se liší dle používaného MDM nástroje. Pro představu si popíšeme 2 nejčastější způsoby.

Automatické získání beta tokenu v Mosyle

U řešení Mosyle je vstup do beta programu nejjednodušší. Ujistěte se nejprve, že jste se přihlásili do AppleSeed for IT portálu stejným Apple účtem, který jste použili na propojení Apple Business portálu s MDM službou. Pokud budete vyzváni, akceptujte podmínky aktuálního beta programu. Poté sesynchronizujte Mosyle s Apple Business, jako když načítáte nová zařízení.

Následně v Management profilu s názvem Software Update u položky Beta vyberte některou z možností Allow a zvolte požadovaný beta program ze seznamu. K tomu vyberte jako minimální požadovanou verzi iOS/iPadOS/macOS 27, přiřaďte profil k potřebným zařízením a zcela automatická vzdálená instalace bety je hotová.

Manuální získání beta tokenu v Jamf Pro a Intune

Jiná MDM řešení včetně těch nejpoužívanějších, jako jsou Jamf Pro a Microsoft Intune, vyžadují vložení již získaného tokenu pro beta program. Naštěstí Microsoft pro jeho získání vytvořil praktický skript, který i spolu s návodem najdete na jejich GitHub stránce.

Skript vytvoří klíč, který nahrajete do Apple Business portálu jako při vytváření nového MDM serveru. Následně stáhnete enrollment token, který skript použije k registraci do beta programu. Jako výsledek dostanete textový soubor s tokeny (textovými řetězci), odkud je můžete zkopírovat a vložit do konfiguračního profilu v MDM řešení. Každý operační systém má svůj unikátní token. Tokeny jsou také unikátní pro organizaci, která je takto získala.

Nyní už je třeba jen nastavit konfiguraci pro Software Update Settings pomocí deklarativní správy. Blueprints v Jamf Pro nebo Settings Catalog / DDM v Intune. Získaný textový řetězec vložíte do pole pro token a nastavíte povolení uživatelům zapojit se do beta programu. Nakonec nastavíte zacílení na vybraná zařízení dle potřeby a konfigurací Software Update vynutíte instalaci v požadovaném čase. U Intune narazíte v popisu nastavení na "unsupported" - to znamená, že proces není zatím plně automatizovaný jako u Mosyle, ale popsaná manuální metoda je plně funkční.

Aktualizace OS

Poslední větší aktualizace pro OS 26

Apple vydal aktualizace 26.6 pro všechny své operační systémy. Obsahují především více než 100 bezpečnostních záplat, které byly z velké části odhaleny pomocí pokročilých AI nástrojů jakým je například obávaný Claude Mythos. Doba mezi vydáním a instalací aktualizace je rizikovější, než kdy dříve. Dnes už stačí útočníkovi hodiny, ne-li minuty, aby porovnal změny mezi nejnovější a nezáplatovanou verzí systému a proto není radno s aktualizacemi otálet. I dvě předchozí verze macOS: Sonoma a Sequoia se dočkaly aktualizace s těmito záplatami.

Krátce poté vyšla ještě dodatečná aktualizace 26.6.1 pouze pro macOS, která opravuje zranitelnost služby Screen Sharing, kde se mohl útočník připojit i bez správně zadaných přihlašovacích údajů. Této záplaty se také dočkaly i macOS Sonoma a Sequoia.

Přehled opravených zranitelností na apple.cz

Opravy chyb a změny

• Optimalizace Spotlight indexu před upgradem na OS 27.
• Opravena chyba, při které MDM uživatelům nezabránilo v možnosti změnit nastavení MAC adresy u připojení k Wi-Fi z fixní na rotující.
• Funkce srv_lookup_enabled pro DFS sdílené složky představená v macOS 26.5 je nyní ve výchozím stavu vypnutá.
• Počínaje iOS/iPadOS 26.6, zákaz funkce idle reboot vyžaduje restart nebo odemknutí zařízení, než je aplikován. Tato bezpečnostní funkce slouží k automatickému restartu zařízení, pokud je dlouho nečinné, aby došlo k jeho úplnému uzamčení a lze ji pomocí MDM vypnout.
• Dříve vybrané regiony budou nyní aplikovány během procesu Return to Service.
• Vyřešena chyba, kde se některé počítače Mac nečekaně restartovaly při použití rozšíření pro filtrování obsahu.
• Vyřešena chyba, kde aplikace neběžící v sandboxu mohly selhat při požádání o povolení k připojení sdíleného disku mimo /Volumes.
• Spravovaným aplikacím jsou korektně nabízeny aktualizace přes samoobslužné portály.
• Opravena chyba, při které některé DFS sdílené složky nezobrazovaly obsah.
• Při tisku přes Secure AirPrint se korektně používají uložené přihlašovací údaje.
• Opravena chyba u Platform SSO, kdy zařízení mohlo nečekaně vyžadovat přeregistraci.
• Vylepšuje stabilitu u MacBooku Neo při používání externí kamery se zavřeným víkem a při obnově zařízení přes Finder či Apple Configurator.

Všechny vydané aktualizace

• macOS Tahoe 26.6.1
• macOS Tahoe 26.6 (změny pro uživatele, pro správce, pro vývojáře)
• macOS Sequoia 15.7.9
• macOS Sequoia 15.7.8
• macOS Sonoma 14.8.9
• macOS Sonoma 14.8.8
• iOS 26.6 (změny pro uživatele, pro správce, pro vývojáře)
• iPadOS 26.6 (změny pro uživatele, pro správce, pro vývojáře)
• tvOS 26.6 (změny pro uživatele)
• watchOS 26.6 (změny pro uživatele)
• visionOS 26.6 (změny pro uživatele)

Tip na aplikaci

WhatCable

USB-C je bezpochyby praktický konektor, který z MacBooků známe letos už 10 let a pomalu se dostal prakticky do všech zařízení a příslušenství. Jenže z konektoru nepoznáme jeho specifikaci a organizace spravující USB standardy se každý rok snaží přijít s co nejvíce matoucími názvy. Podporuje můj kabel rychlost USB 2.0, USB 3.2 Gen2, USB4 2.0 a jaká rychlost že to vlastně je? Umí napájet a jakou silou? Umí přenášet obraz, ale v jakém rozlišení?

Na tyto otázky odpoví jednoduchá aplikace WhatCable, která vypíše reálné přenosové rychlosti a možnosti kabelu, který máte připojený. A to včetně maximálního možného napájení zdroje i kabelu. U monitorů ověří, zda kabel podporuje maximální rozlišení a snímkovou frekvenci a vypíše i k němu další připojené periferie.

Aplikace je ke stažení zdarma na webu https://www.whatcable.uk

Služby a aplikace

Univerzální schránka mezi iPhone a Windows PC

Už v příštím roce bychom se mohli dočkat možnosti zkopírovat text na iPhonu a vložit jej do počítače se systémem Windows, obdobně jako to funguje mezi Apple zařízeními. Microsoft o zpřístupnění této funkce požádal prostřednictvím Evropské Unie a Apple odpověděl, že připraví nové řešení, které takovou funkci umožní. Podobným způsobem, jako v iOS 26.5 umožnil sdílet notifikace a živé aktivity na příslušenství třetích stran.

Novinky v hromadné správě

Jamf

• V Jamf Pro 11.30 je v inventáři zařízení i počítačů k dispozici nová položka "Last Contact", která udává čas poslední komunikace mezi koncovým zařízením a Jamf Pro serverem pomocí všech kanálů - Jamf agenta, MDM či DDM protokolu.
• Jamf ID nově podporuje passkeys, které tak lze použít pro bezpečnější přihlašování do Jamf služeb místo hesla nebo jako druhý faktor.
• Při konfiguraci SSO mezi Jamf Account a Microsoft Entra ID lze nově načíst ověřené domény a není tak třeba je ověřovat zvlášť pro Jamf.
• Pod Jamf Account je nová záložka Platform Environments, kde je možné sdružit jednotlivé tenanty Jamf Pro, Jamf Protect, Jamf Security Cloud atd. pod jedno prostředí a pojmenovat si jej. To se hodí především při správě více prostředí pro testování a produkci.
• Přizpůsobení vzhledu Self Service+ aplikace lze nově konfigurovat přímo v Blueprints.
• Self Service+ 2.27 obsahuje řadu oprav chyb a také automatické přihlašování, pokud je v počítači aktivní SSO token.
• V Jamf Security Cloud portalu byla rozšířena sekce pravidel v kategorii AI a Communications o nové produkty.
• Funkce Blueprints je nyní kompatibilní se Sites. Administrátoři jednotlivých sites uvidí v menu sekci Blueprints.
• V Blueprintech lze přidávat jednotlivé konfigurace do samostatných bloků a každému bloku přiřadit individuální podmínky aktivace.

Mosyle

V rámci postupné modernizace designu se nového vzhledu a uspořádání dočkaly konfigurace doručení certifikátu za zařízení, vlastních custom konfiguračních profilů a nastavení Push certifikátu.

Pro organizace s aktivovaným předběžným přístupem byla spuštěna možnost konfigurovat doporučené nastavení soukromí spravovaných aplikací pro nadcházející iOS/iPadOS 27. Lze uživateli doporučit nastavení mikrofonu, kamery, polohových služeb, Bluetooth a vyhledávání na místní síti včetně vlastního doprovodného textu.

Intune

Nástroj pro hromadnou správu od Microsoftu nově podporuje funkci Custom Compliance také pro macOS. Kromě již předdefinovaných možností kontroly zapnutí System Integrity Protection, verze OS, politiky hesla, Firewallu, Gatekeeperu či šifrování FileVault lze nyní definovat svá vlastní libovolná kritéria pro splnění compliance.

Je třeba sestavit vlastní discovery script, který na počítači provede potřebné kontroly. Následně skript nahrát do Intune spolu s JSON souborem, kde se uvedou výstupní hodnoty kontroly. Tato velice užitečná vlastní podmínka compliance může sloužit například ke kontrole přítomnosti a stavu používaného EDR / antimalware nástroje. Případně lze tímto mocným nástrojem kontrolovat v podstatě jakoukoliv vlastnost počítače, kterou bude organizace potřebovat.

Více v dokumentaci Microsoftu

Chcete vědět o nových funkcích více a nasadit je ve vaší firmě? Potřebujete poradit s výběrem nového MDM řešení nebo provést audit toho stávajícího?

Pak budu rád, když mě kontaktujete a během nezávazné online konzultace probereme, jak zlepšit praxi s Apple zařízeními i ve vaší firmě.

Naplánujte si nezávaznou konzultaci a společně se do toho pustíme.