#17 Co znamená příchod DDM a nové Macy nejen pro AI

Blíží se tradiční zářijový Apple Event a 9. 9. v 19:00 se představí nové iPhony. A také se dozvíme datum vydání nových OS s číslem 27, které s námi budou další rok. Po 15 letech nás (pravděpodobně) nepřivítá Tim Cook svým tradičním "Good morning!", protože jej ve funkci CEO Apple nahradil John Ternus, který měl doposud na starosti hardwarovou divizi. Tim Cook však ve firmě zůstává jako předseda správní rady a přechod na nové vedení bude maximálně plynulý.

O nových funkcí OS 27 toho bylo napsáno hodně již v červnovém vydání Apple@Business, ale k jednomu tématu se musíme vrátit a tím je deklarativní správa zařízení a co to prakticky pro firmy od září znamená. Samozřejmě se podíváme i na bezpečnostní záplaty a novinky předních MDM poskytovatelů za srpen. I na nové Macy, se kterými na stole rozběhnete ty nejnáročnější AI úlohy.

Téma

DDM přichází. Co to pro firmy znamená?

Deklarativní správa zařízení / Declarative Device Management neboli zkráceně DDM. Jde o moderní protokol pro komunikaci mezi serverem hromadné správy a koncovým Apple zařízením, který Apple uvedl již v roce 2021 jako doplněk ke stávajícímu MDM protokolu. Postupně se to DDM a jeho deklarací přesouvají konfigurace systému právě z původního MDM protokolu, kde jsou doručovány pomocí konfiguračních profilů. A zcela nové konfigurace jsou již dostupné pouze prostřednictvím DDM deklarací.

V čem je DDM lepší? Zatímco MDM protokol musí pro jeden úkon opakovaně komunikovat se zařízením, dotazovat se na jeho stav a následně mu dávat pokyny, tak DDM protokol pošle zařízení jeden pokyn. Ten deklaruje cílový stav konfigurace a podmínky, kdy má dojít k jeho aktivaci. Zařízení se pak autonomně stará o dosažení cílového stavu a průběžně samo informuje správcovský server.

Tento přechod z MDM na DDM je postupný v průběhu let a neznamená, že byste museli náhle měnit všechna zavedená řešení a postupy. Nicméně s příchodem Apple OS 27 tento měsíc jedna zásadní změna nastane. Aktualizace operačního systému bude možné řídit pouze pomocí DDM. Než si tedy pustíte nový OS na firemní zařízení, ujistěte se, že máte řešení, které jej umí aktualizovat. A zda používáte pro řízení aktualizací nikoliv MDM příkazy a konfigurační profily, ale DDM deklarace.

Která řešení pro správu zařízení podporují DDM?

Níže najdete seznam těch nejpoužívanějších řešení hromadné správy, které vás příští měsíc nenechají úplně ve štychu a nabízí alespoň některé základní DDM konfigurace, jako je právě zmíněné řízení aktualizací (Software Update). Někteří poskytovatelé jako Apple nebo Mosyle zakomponovali nový protokol do stávajícího rozhraní vedle již existujících konfigurací. Někteří pro něj mají samostatnou kategorii jako například Intune v Settings Catalogu nebo dokonce novou sekci v administračním portálu jako jsou Blueprinty v Jamf Pro.

• Apple Business
• Jamf Pro
• Microsoft Intune
• Mosyle
• Omnissa Workspace One (dříve VMware, Airwatch)
• Fleet
• Iru (dříve Kandji)
• SimpleMDM
• Ivanti (dříve MobileIron)
• Addigy
• JumpCloud
• ManageEngine

Která řešení pro správu zařízení podporují vlastní deklaraci?

Nabídnout základní DDM konfigurace je od nynějška naprostá nutnost. Ale někteří poskytovatelé šli ještě dál a nabízí možnost poslat na zařízení vlastní custom deklarace. Tedy podobně jako můžete vkládat vlastní konfigurační profily. Tím jsou možnosti daného řešení pro správu zařízení omezené pouze tím, jaké konfigurace nabídne Apple. Seznam těch, kde je to možné, už je podstatně kratší:

• Jamf Pro
• Mosyle
• Fleet
• SimpleMDM

A potřebujete opravdu mít možnost vkládat vlastní deklarace? Pokud vaše organizace musí plnit bezpečnostní pravidla dle CIS Compliance, tak pravděpodobně ano. Sada konfigurací a skriptů pro monitoring a vynucování compliance od macOS Security Compliance Project totiž ve verzi pro Apple OS 27 již bude spoléhat i na vlastní deklarace. A to z jednoho prostého důvodu, že některé požadované změny již nejdou jiným způsobem nastavit. Pokud nějaké pravidlo vaše MDM řešení neumí nastavit v grafickém rozhraní a ani nepodporuje nahrání vlastní deklarace, nedokážete jej na zařízení doručit.

Jestli si nejste jisti s podporou vašeho stávajícího řešení či s jeho správným nastavením, kontaktujte mě a pomohu vám během nezávazné konzultace najít ten správný směr.

Tip na aplikaci

Jamf DDM Explorer

Dnes si představíme jednu praktickou aplikaci, která je určená spíše pro pokročilé Mac Adminy, ovšem perfektně doplňuje téma tohoto vydání. Tato utilita je sice od Jamfu, ale lze ji použít pro jakékoliv MDM řešení, které podporuje vložení vlastní deklarace pomocí JSON formátu. Jamf DDM Explorer slouží k vytvoření konfigurací, které vaše řešení pro hromadnou správu zařízení ještě nepodporuje. Podobně jako iMazing Profile Editor umí vytvořit vlastní konfigurační profil pro nahrání do MDM.

Po spuštění si načte aktuální výběr možných deklarací, tedy konfigurací doručovaných pomocí DDM. A to buď pro aktuální OS nebo pro nadcházející OS 27. V grafickém rozhraní si poté vyberete potřebná nastavení, která se v pravém sloupci zobrazí v textovém formátu vhodném pro zkopírování a vložení do administrace MDM serveru. Pokud používáte Jamf Pro, lze se v nastavení aplikace přihlásit účtem nebo API klíčem a hotové payloady nahrávat rovnou do Jamf Pro.

Jamf DDM Explorer je zdarma ke stažení v App Store

Nová Apple zařízení

Ještě krátce před odhalením nových iPhonů se Apple pochlubil novou řadou stolních počítačů Mac poháněných novými Apple Silicon čipy. Rodinu M5 doplnil největší a nejvýkonnější čip M5 Ultra v Mac Studio a naopak vylepšený Mac mini již dostal novou generaci základního čipu M6. Oba počítače nabízí i přes malé rozměry zase o skok vyšší výkon a to především pro zpracování AI úloh.

Mac mini

Miniaturní stolní Mac ve stejném těle dostal oproti předchozímu modelu čip Apple N1, s kterým nově podporuje nejnovější standard WiFi 7, Bluetooth 6 a poprvé u Macu také Thread pro komunikaci s příslušenstvím pro chytrou domácnost a automatizaci. Základní rychlost ethernetu pro drátové připojení k síti je nově 2,5 Gbit, za příplatek 10 Gbit. K dostání je od 22. září ve dvou alternativách s předinstalovaným macOS 27 Golden Gate.

M6

Základní Mac mini se může pochlubit prvním 2nm čipem na světě. M6 poprvé v základní konfiguraci nabídne kromě 6 úsporných jader a 4 výkonnostních ještě 2 tzv. superjádra, tedy ta nejvýkonnější pro nejrychlejší zpracování úloh. Grafická část získala oproti předchůdům také 2 jádra navíc a k tomu dvojnásobný počet jednotek v Neural Engine pro zpracování AI úloh. Propustnost paměti se zvýšila ze 120 na 170 GB/s a o konektivitu se postarají 3 porty starší generace Thunderbolt 4.

Předchozí základní Mac mini s čipem M4 byl velice oblíbený jako lokální AI počítač a nejinak tomu bude u jeho nástupce, který je nejen pro tuto práci ve všech ohledech vylepšen. Co ale nepotěší je, dle očekávání, cena. Za variantu s 16 GB jednotné operační paměti a 256 GB úložištěm je totiž třeba počítat místo dřívější doporučené koncové ceny 16 990 Kč s DPH při uvedení M4 nově s výrazně vyšší cenou 25 990 Kč s DPH za M6 model. Paměť lze navýšit za znatelné příplatky až na 32 GB a úložiště na 2 TB.

M5 Pro

Pro pokročilejší AI úlohy nebo střih videa lze Mac mini nakonfigurovat i se starším, ale přesto výkonnějším čipem M5 řady Pro, jaký známe z MacBooku Pro. M5 Pro nabízí až 18 jádrový procesorovou jednotku a 20 jádrovou grafickou jednotku. Cena začíná na ceníkových 47 990 Kč s DPH za konfiguraci s 24 GB jednotné operační paměti a 512 GB úložištěm. Končí pak na 64 GB paměti a až 8 TB úložištěm za více jak dvě stě tisíc korun. Propustnost paměti se zvýšila ze 273 na 307 GB/s. Oproti základní M6 verzi má Mac mini s M5 Pro čipem rychlejší porty Thunderbolt 5.

Mac Studio

Absolutním králem pro zpracování AI, složité 3D rendery a jiné výpočty bude ale o trochu větší Mac Studio. To nově také podporuje nejnovější standard WiFi 7 a Bluetooth 6 a rovněž bude k dostání od 22. září ve dvou alternativách s předinstalovaným macOS 27 Golden Gate.

M5 Max

Čip, který také známe z MacBooku Pro má k dispozici 18 jader CPU a až 40 jader GPU. V základní konfiguraci je spárovaný s 36 GB jednotné operační paměti a 512 GB úložištěm za startovací cenu 69 990 Kč s DPH. Končí na konfiguraci se 128 GB paměti a až 8 TB úložištěm za více jak čtvrt milionu korun. Propustnost paměti dosahuje až 614 GB/s a o konektivitu s periferiemi se postarají čtyři porty Thunderbolt 5.

M5 Ultra

Zajímavější je však varianta se zcela novým čipem M5 Ultra. Řada Ultra je určena pro ty nejnáročnější úlohy na světě a její čip vzniká spojením dvou Max čipů. Rozdíl ve výkonu oproti minulé generaci Mac Studia je o to větší, že u něj tvořil vrchol čip M3 Ultra z předpředchozí generace Apple Silicon. Absolutním vrcholem je nyní konfigurace s 36 jádrovým CPU, 80 jádrovým GPU, 512 GB jednotné operační paměti a až 16 TB úložiště a to za dosud nezveřejněnou cenu, která bude daleko přesahovat půl milionu korun.

Za tuto cenu dostanete ten nejvýkonnější hardware, který si dnes můžete postavit na stůl a nikoliv do serverovny. Propustnost paměti totiž dosahuje nevídaných 1,2 TB/s. V testech zveřejněných Applem je M5 Ultra při zpracování požadavků velkých jazykových modelů čtyřikrát rychlejší než předchozí M3 Ultra a desetkrát rychlejší než M1 Ultra.

Nové příslušenství

K novinkám ještě patří upravené rozložení americké klávesnice u Magic Keyboard, kde byly nápisy nahrazeny znaky tak jako u evropských, a také oblíbený i vysmívaný Apple Čistící hadřík, který narozdíl od všeho ostatního zlevnil na 250 Kč s DPH.

Služby a aplikace

Změny v sazbách Apple pro vývojáře v EU

Apple se s Evropskou Unií dohodli na zřejmě finálních podmínkách v App Store pro vývojáře aplikací. V průběhu posledních let došlo několikrát ke změnám týkajících se využívání alternativních způsobů plateb za nákupy v aplikacích, které s sebou nesly různé dodatečné poplatky za používání App Store nebo iOS jako takového.

Podmínky jsou nyní přehlednější a pro všechny vývojáře platí jeden tentýž program (dříve byly na výběr dva odlišné způsoby). Provize pro Apple se liší dle využívání App Store či integrovaný platebních metod a dosahuje výše od 5% do 26%.

Detailní popis a více informací najdete v tiskové zprávě Apple.

Apple dává zpátečku u změn v iCloud+ Hide My Email

Pomocí Apple účtu se již mnoho let dá přihlašovat do webů a aplikací třetích stran. Narozdíl od jiných poskytovatelů identity jako je např. přihlášení pomocí Google, má Apple výhodu v podobě funkce, která skrývá skutečný e-mail. Tato funkce se sice letos ukázala jako dlouhodobě špatně zabezpečená, kdy bylo možné odhalit skutečnou adresu, po opravách ze strany Apple by již ale měla dále plnit svou funkci.

Během WWDC Apple oznámil, že funkce Přihlásit se s Apple účtem a Skrýt můj E-mail budou obě používat novou adresu "private.icloud.com". Nyní se pro přihlášení Apple účtem ve službách třetích stran používá "privaterelay.appleid.com" a pro skrytí e-mailu před třetí stranou klasická doména "icloud.com".

Na základě zpětné vazby, že by třetí strany mohly identifikovat a případně blokovat či jinak znevýhodnit skryté e-mailové adresy, Apple nyní oznámil, že skryté e-mailové adresy zůstanou na doméně "icloud.com". Třetí strana tak stále nebude moci snadno rozlišit, jestli se jedná o skutečnou nebo náhodně vygenerovanou adresu.

Aktualizace OS

Bezpečnostní záplaty

Krátce po vydání macOS 26.6 vyšla ještě dodatečná aktualizace 26.6.1 pouze pro Macy, která opravuje zranitelnost služby Screen Sharing, kde se mohl útočník připojit i bez správně zadaných přihlašovacích údajů. Této záplaty se také dočkaly i macOS Sonoma 14.8.9 a Sequoia 15.7.9.

Následně během srpna vyšly další aktualizace s bezpečnostními záplatami již pro všechny platformy a to v podobě 26.6.2 pro macOS a 26.6.1 pro ostatní systémy. Tyto aktualizace neobsahují žádné nové funkce či známé opravy chyb.

Přehled opravených zranitelností na webu Apple

Všechny vydané aktualizace

• macOS Tahoe 26.6.2 (změny pro uživatele, pro správce, pro vývojáře)
• macOS Tahoe 26.6.1
• macOS Sequoia 15.7.9
• macOS Sonoma 14.8.9
• iOS 26.6.1 (změny pro uživatele, pro správce, pro vývojáře)
• iOS 18.7.10
• iPadOS 26.6.1 (změny pro uživatele, pro správce, pro vývojáře)
• iPadOS 18.7.10
• tvOS 26.6.1 (změny pro uživatele)
• watchOS 26.6.1 (změny pro uživatele)
• visionOS 26.6.1 (změny pro uživatele)

Další záplaty jsou na cestě

Spolu s plánovaným vydáním OS 27 v září vyjdou také aktualizace pro stávající OS 26, které budou obsahovat bezpečnostní záplaty obsažené právě ve verzi 27 i pro starší systémy. Přesné datum vydání OS 27 bude oznámeno při představení nových iPhonů 9. září. Následující aktualizace je možné stáhnout v beta programu jako tzv. Release Candidate verze:

• macOS Tahoe 26.7
• macOS Sequoia 15.8

Novinky v hromadné správě

Jamf

• Nové nastavení soukromí pro webové stránky v Safari pro OS 27 umožňuje v Blueprintech specifikovat stránky, u kterých organizace uživateli doporučuje povolit přístup ke kameře a mikrofonu včetně textového opodstatnění.
• Pomocí Blueprintů lze nově instalovat .pkg balíčky. Lze vybrat zda si je uživatel instaluje na vyžádání nebo se instalují automaticky a také zda se mají odinstalovat po odebrání konfigurace z počítače. Je potřeba přidat cestu k souboru manifestu - jde o XML, které obsahuje odkaz k samotnému balíčku a kontrolní hash. Instalace balíčků prostřednictvím DDM tedy vyžaduje umístění souboru na vlastním serveru nebo na adrese výrobce.
• Nové kritérium pro Smart Groups a vyhledávání v Jamf Pro 11.31 dokáže najít zařízení se spravovanou nebo naopak nespravovanou aplikací.
• Přihlašovací okno Jamf Connect 3.12 nyní ukazuje zbývající čas, před dalším pokusem při zamknutí ověřování.
• Self Service+ 2.28 přihlásí uživatele automaticky v kombinaci s Jamf Connectem.

Microsoft Intune

S blížícím se vydáním OS 27 Microsoft přidal do svého katalogu nastavení nové funkce v sekci Declarative Device Management (DDM):

• Povolování a blokování macOS aplikací na úrovni spustitelných souborů (Binaries). Lze nastavit výběr blokovaných nebo naopak výběr povolených, či jedním přepínačem povolit všechny spravované aplikace.
• Výchozí nastavení oprávnění aplikací pro kameru, mikrofon, diktování, polohové služby, Bluetooth, zpřístupnění, přístup k místní síti včetně uvedení textu, proč organizace tato nastavení doporučuje.
• Aktivace Content Cache služby včetně detailních nastavení.
• Nastavení DNS Proxy a Web Content Filteru pomocí deklarativní správy.
• Nastavení Apple Intelligence, Siri a klávesnice, který bylo přesunuto z restrikcí.

Mosyle

Také Mosyle postupně přidal mnoho nových konfigurací pro nadcházející OS 27. Řada z nich je zatím k dispozici jako Early Access po zapnutí beta funkcí v nastavení admin portálu.

• Přidána podpora pro custom DDM deklarace. Ta umožní nahrávat vlastní konfigurace doručené pomocí DDM protokolu na zařízení. Obdobným způsobem jako fungují vlastní nahrané konfigurační profily.
• Pro macOS 27 jsou k dispozici nové konfigurace přihlašovací obrazovky, kde jde povolit výběr WiFi a také captive Wi-Fi portály na veřejných sítích.
• Na všech OS 27 lze přeskočit nový panel Device Features tour při prvním nastavení a zapnout nové restrikce pro Siri AI.
• Změna chování Microsoft Conditional Access vyžaduje dodatečnou konfiguraci pro zajištění plné funkčnosti s Mosyle, více v helpcenteru Mosyle.
• Modernizace se během srpna dočkal profil restrikcí, který je nyní přehlednější, a stejně tak některé informace v kartě zařízení.

Chcete vědět o nových funkcích více a nasadit je ve vaší firmě? Potřebujete poradit s výběrem nového MDM řešení nebo provést audit toho stávajícího?

Pak budu rád, když mě kontaktujete a během nezávazné online konzultace probereme, jak zlepšit praxi s Apple zařízeními i ve vaší firmě.

Naplánujte si nezávaznou konzultaci a společně se do toho pustíme.