WWDC 2026: что изменится для системных администраторов в macOS 27
Apple традиционно обновляет Deployment Guide после каждой конференции WWDC. Это практическое руководство помогает специалистам планировать развертывание, настройку и обслуживание корпоративной техники. Однако в материалах WWDC 2026 главный акцент сделан не столько на новых функциях, сколько на постепенном отказе от привычных механизмов управления.
Для системных администраторов macOS 27 станет переходным релизом. Apple усиливает декларативное управление устройствами и одновременно выводит из эксплуатации ряд классических MDM-команд. Поэтому компаниям, где используется парк Mac, уже сейчас стоит проверить совместимость серверов управления, профилей конфигурации и внутренних регламентов обновления.
Вопросы, которые затрагивают macOS 27 для бизнеса, подробно разобраны в материале о [новой модели управления обновлениями macOS](https://habr.com/ru/companies/ringo_mdm/articles/1078216/?utm_campaign=1078216&utm_source=habrahabr&utm_medium=rss). Ниже - основные изменения, которые необходимо учитывать при подготовке инфраструктуры.
Классические команды обновления перестанут работать
Наиболее существенное нововведение связано с управлением обновлениями операционной системы. Если Apple не пересмотрит заявленные планы, начиная с macOS 27.0 компьютеры будут игнорировать прежние MDM-команды, отвечавшие за обновление программного обеспечения.
Речь идет сразу о нескольких группах команд:
- Software Update Commands - принудительный запуск загрузки или установки обновления;
- Software Update Queries - получение сведений о доступных версиях и состоянии обновления;
- Recommended Cadence Settings - управление периодичностью автоматической проверки;
- Software Update Restrictions - отсрочка установки релизов, включая обновления безопасности и фоновые улучшения.
Ранее администратор мог временно скрывать обновления от пользователей - например, на срок до 90 дней. В macOS 27 эта модель уступает место Declarative Device Management, или DDM.
Теперь MDM-сервер не должен постоянно отдавать команды на скачивание и установку. Вместо этого он передает устройству декларацию с желаемым состоянием, а сам Mac определяет подходящий момент для выполнения операции. Такой подход снижает зависимость от постоянного обмена командами и позволяет устройству самостоятельно контролировать выполнение политики.
Для компаний это означает необходимость пересмотреть сценарии обновления: тестовые группы, окна обслуживания, ограничения для критичных рабочих станций и контроль совместимости приложений должны быть описаны уже в новой логике DDM.
Декларации конфигураций и ресурсов
В macOS 27 Apple продолжает разделять настройки на два взаимосвязанных уровня: конфигурационный и ресурсный. Configuration-декларация описывает общие правила работы системы. В ней могут находиться тип VPN-туннеля, адреса шлюзов, параметры маршрутизации и другие неизменные для группы устройств значения.
Asset-декларация, напротив, содержит динамические или чувствительные данные, необходимые для применения конфигурации. К ним относятся сертификаты, ключи и пользовательские пароли.
Такое разделение делает управление безопаснее и удобнее. Например, одна общая сетевая конфигурация может применяться к сотням компьютеров, а персональные сертификаты передаваться отдельно. При плановой замене SSL/TLS-сертификата администратору не требуется перепубликовывать всю сетевую политику - достаточно обновить соответствующий asset.
Для практического администрирования macOS это важное изменение архитектуры: конфигурации становятся более универсальными, а секретные данные - более изолированными.
VPN Plugin: важно различать плагин и приложение
Отдельное внимание Apple уделила декларации `com.apple.configuration.network.vpn.vpn-plugin`. При подключении корпоративного VPN к macOS могут использоваться два разных механизма.
В первом случае поставщик VPN предоставляет системный VPN-плагин. Профиль указывает именно идентификатор этого расширения. В прежнем payload `com.apple.vpn.managed` для этого применялся параметр `VPNSubType`. Например:
- Cisco AnyConnect - `com.cisco.anyconnect.applevpn.plugin`;
- Juniper SSL - `net.juniper.sslvpn`.
Второй вариант - современное приложение, которое самостоятельно устанавливает Network Extension, чаще всего Packet Tunnel Provider. В этом сценарии отдельного системного VPN-плагина нет, поэтому в декларации указывается bundle identifier приложения.
Ошибка при выборе идентификатора может привести к тому, что профиль будет выглядеть корректно, но VPN не запустится. Поэтому перед переходом на DDM необходимо уточнить у поставщика, какой именно механизм реализован в конкретном клиенте.
Усиление требований к сетевой безопасности
Apple также повышает требования к сетевой безопасности. Организациям придется внимательнее проверять сертификаты, параметры TLS, доверенные центры сертификации и используемые сетевые расширения. Устаревшие протоколы и слабые криптографические настройки могут перестать работать после обновления.
Это особенно важно для удаленных сотрудников и гибридной инфраструктуры. До массового развертывания macOS 27 стоит провести пилотные тесты через корпоративный VPN, прокси, системы фильтрации трафика и средства контроля доступа.
Расширение Status Channel
Еще одно направление развития DDM - расширение канала статусов. Устройство не только получает политики, но и сообщает серверу, насколько фактическое состояние соответствует заданному.
В перспективе администраторы смогут точнее отслеживать тип регистрации, состояние устройства, наличие нужных конфигураций и результаты применения политик. Это уменьшает необходимость в постоянном ручном опросе компьютеров и позволяет быстрее выявлять отклонения.
Для управления устройствами Apple это означает переход от модели "отправили команду и ждем результата" к непрерывному контролю соответствия корпоративному стандарту.
Фильтрация веб-контента через DDM
Отдельно развивается настройка Web Content Filter Plugin. Фильтрация веб-контента может использоваться для ограничения доступа к нежелательным ресурсам, защиты рабочих устройств и выполнения требований информационной безопасности.
При миграции следует проверить, поддерживает ли используемый фильтр декларативную конфигурацию, какие Network Extension применяются и как будут передаваться сертификаты или другие зависимые ресурсы. Нельзя ограничиваться проверкой только самого профиля: необходимо протестировать работу фильтра на разных типах регистрации и в различных сетях.
Что проверить до перехода на macOS 27
Подготовку к обновлению лучше начинать с инвентаризации. Необходимо составить перечень всех MDM-команд, связанных с обновлениями, VPN, сетевыми настройками, фильтрацией и безопасностью. Затем следует определить, какие из них уже имеют декларативные аналоги.
Также стоит обновить сервер управления, проверить поддержку DDM и заранее создать тестовую группу устройств. На ней важно проверить не только установку macOS 27, но и поведение критичных приложений, работу сертификатов, подключение к VPN, политики доступа и сценарии восстановления после сбоя.
Важную роль играет документация. Администраторы должны зафиксировать порядок обновления, критерии отката и действия при несовместимости ПО. Чем крупнее парк техники, тем опаснее переходить на новую систему управления без поэтапного внедрения.
В итоге macOS 27 не просто добавляет новые настройки, а меняет сам принцип управления компьютерами Apple. Классические команды постепенно уходят, а декларативная модель становится основным инструментом. Поэтому развертывание macOS в компании потребует не только обновления программных компонентов, но и пересмотра внутренних процессов.
Организациям, которые используют MDM для macOS, уже сейчас стоит проверить поддержку Software Update Declarations, сетевых деклараций, Status Channel и Web Content Filter Plugin. Чем раньше инфраструктура будет адаптирована к DDM, тем меньше риск получить неуправляемые обновления и сбои после перехода на macOS 27.
