В управлении яблочными устройствами есть своя начинка специфика. Например, невозможно разработать приложение, которое управляло бы устройством. Функции управления доступны только самой iOS. Нельзя запретить пользователю отключаться от управления. После supervise нельзя восстановить данные из резервной копии. И так далее.

Под катом расскажем, как устроено управление iOS и каких корпоративных сервисов Apple не хватает в России.

Как устроено управление iOS?

Когда в компании используется больше десятка мобильных устройств, у админов пропадает желание настраивать их вручную ставить приложения, настраивать Wi-Fi, почту, VPN и т.д. В этом случае помогают системы управления мобильностью, одну из которых мы производим уже десять лет. Поэтому далее будем делиться своим практическим, порой горьким опытом управления корпоративными устройствами.

Основная специфика iOS устройств это их владельцы. Как правило, это люди занятые, требовательные, во всем разбирающиеся, но не всегда технически подготовленные. Одним словом, топ-менеджеры. Осложняют ли эти особенности процесс управления iOS устройствами?

Если не считать мелочей, типа устройство более одного раза в чужие руки не отдам, виноваты все, кроме меня, поощрение это отсутствие наказания, то не осложняют.

Еще одна особенность iOS устройств это предлагаемые Apple механизмы управления IOS-устройствами:

1. На устройство нужно установить конфигурационный профиль, в котором определяются параметры подключения к серверу управления. Профиль можно установить с использованием браузера, почты, мобильного приложения или MacBook.

2. При установке профиля устройство регистрируется на сервере управления. При этом устройство сообщает серверу токен, по которому сервер может обратиться к устройству через APNS (Apple Push Notification Service).

3. Когда серверу управления нужно доставить на устройство команду, он уведомляет об этом устройство с помощью APNS.

4. Получив уведомление, устройство обращается к серверу за командой, выполняет её и сообщает серверу результат.

Сервер управления должен реализовать протокол управления Apple и отправлять уведомления о командах управления через APNS. Без уведомлений и APNS эта схема не работает. iOS устройство за командами само не придёт. Не барское это дело. Компании, как правило, не в восторге от необходимости предоставлять корпоративным серверам доступ к внешним интернет-ресурсам. Но в случае с управлением iOS устройствами альтернативы нет. При этом нужно открыть HTTPS и DNS порты всей подсети 17.0.0.0/8.

Несмотря на то, что управлять iOS устройствами с помощью приложения нельзя, у нас и других разработчиков систем управления мобильностью все же имеются мобильные клиенты для iOS.

С помощью нашего клиентского приложения пользователь сможет зарегистрироваться в SafePhone и установить корпоративные приложения с сервера своей компании без App Store.
Например, клиент самописного ЭДО или персонализированная BI отчётность для руководителей.

Клиент SafePhone также контролирует наличие признаков программного взлома (jailbreak). При взломе в iOS песочницы различных приложений больше не защищают их приватные данные.
В системе после jailbreak могут появиться приложения, которые имеют полный доступ к файлам на устройстве. Поэтому важно автоматически удалять корпоративные приложения и их данные с iOS устройств, если обнаружен jailbreak.

Ещё клиент управления можно использовать для сбора информации о местоположении устройств. В SafePhone можно настроить график рабочего времени для отдельных подразделений и сотрудников. Опрос координат устройств будет вестись строго по этому графику.

Какие есть ограничения?

Изменить технологию управления iOS устройствами нельзя, поэтому необходимо учитывать следующие ограничения.

Пользователь может в любой момент отключить iOS устройство от управления, и сервер управления может об этом не узнать. Apple требует, чтобы пользователь мог самостоятельно удалить конфигурационный профиль, в котором указаны параметры подключения iOS к серверу управления. При удалении профиля устройство однократно отправляет серверу сообщение об отключении. Если в этот момент устройство не имеет доступа в интернет, сообщение до сервера управления так и не дойдет.

С точки зрения компании отключение iOS устройства от управления обычно не является большой проблемой, потому что при этом с устройства удаляются все корпоративные приложения и настройки. Всё, что компания не хочет потерять или разгласить, будет удалено вместе с возможностью управления.

Следующий блок ограничений связан с supervised режимом работы iOS. Это специальный режим, в котором доступно большее число команд и политик управления. При этом по мере выхода новых версий iOS существующие команды и политики начинают требовать supervised режима.
Поэтому мы рекомендуем переводить все корпоративные iOS устройства в этот режим.
Но есть нюанс.

Чтобы перевести iOS устройство в supervised режим, нужно подключить его кабелем к MacBook и перепрошить с помощью приложения Apple Configurator 2. Если перепрошивка выполняется до передачи устройства пользователю, далее проблем не будет. Но если компания приняла решение переводить корпоративные устройства в supervised режим после того, как выдала их пользователям, проблем не оберешься.

В supervised режиме нельзя восстановить данные из резервной копии, которая была сделана до включения этого режима. В этом ключевая проблема. Начиная с перевода устройства в supervised режим, история его резервных копий начинается заново. Если в резервной копии были данные, которые нужны пользователю для работы, он потеряет к ним доступ. Поэтому важно переводить iOS устройства в supervised режим как можно раньше. И в первую очередь устройства топов...

Чего не хватает в России?

Ключевой корпоративный сервис Apple Business Manager до сих пор недоступен в России. Надеемся, что следом за предустановленными российскими приложениями на iOS устройствах придёт и его черед.

С помощью Apple Business Manager можно управлять устройствами буквально с первого включения. Если компания и её устройства зарегистрированы в Business Manager, то настройки подключения устройств к корпоративному серверу управления сообщаются устройствам сразу при их активации. Эти устройства активируются сразу в supervised режиме и можно сделать так, что пользователь не сможет удалить настройки управления, т.е. устройства всегда будут находиться под управлением.

Второй важной функцией Apple Business является возможность покупки приложений для бизнеса. Сейчас российские компании не могут централизованно купить приложения в App Store.
Если пользователям для работы нужны платные приложения, обычно их покупают сами пользователи, а потом транжира-работодатель возвращает денежку с грустью в глазах.
С появлением Apple Business Manager российские компании смогут цивилизованно покупать софт для iOS, а потом с помощью систем управления распространять на корпоративные устройства купленные лицензии.

Часть российских компаний уже пользуются Apple Business Manager, но для этого они используют свои зарубежные представительства. Зарубежное представительство может зарегистрироваться в Apple Business Manager и добавить в него все корпоративные iOS устройства, включая российские. Создавать европейский филиал ради доступа к Business Manager, наверное, перебор.
Но если он уже создан, подключайте свои устройства через него.

Остались вопросы?

Если у вас остались вопросы по использованию iOS устройств в вашей компании, напишите нам на sales@niisokb.ru или оставьте комментарий к статье.

Мы будем вам признательны и обязательно ответим.

Всем привет! В этом посте речь пойдет о бесконечном режиме восстановления macOS, ошибках 1008F, 2003F, 2004F и о том как их побороть.

Подобные ошибки можно встретить при попытке выполнить Internet Recovery своего Mac, а причин побуждающих к этому действию - множество. В моем случае, дело было так..

Предыстория

Одним осенним прохладным днем, пришло мне обновление Xcode 12.2 , а вместе с ним и macOS Big Sur. После обновления Xcode, он стал жутко тормозить, зависать, вылетать и терять последние изменения. Через несколько попыток переустановки Xcode, было принято решение обновиться до Big Sur. В принципе, проблему это не решило, зато багов докинуло. Затем, начался процесс переустановки macOS Big Sur с загрузочной флешки и из проблем осталось только отсутствие поддержки симуляторов iOS < 12. Для меня это было критично (#яжеразработчик) и,не долго думая, было решено вернуть обратно macOS Catalina.

Тут стоить отметить, что далее речь идет о MacBook pro 2018 с чипом безопасности T2, опыт работы с macOS с точки зрения откатов, переустановок, загрузочных дисков и т.п. имелся богатый, а потому..ничто не предвещало беды.

Поехали!

Мне было лениво делать загрузочную флешку, поэтому идея с Internet Recovery показалась заманчивой (более того эту процедуру я уже обкатывал ранее на MacBook pro 2013). Далее список действий, которые повторять НЕ НАДО:

1. загрузка в рекавери (cmd + R);

2. форматирование жесткого диска;

3. запуск Internet Recovery на версию, которая поставлялась при продаже MacBook (или близкую к ней (Shift-Option-Command-R при загрузке Mac).

**более подробно о сочетаниях клавиш можно прочитать тут

После всех этих нехитрых манипуляций мы получаем не Mac, а кирпич, который игнорит все подряд и валится в вечный Internet Recovery с ошибкой 1008F.

1008F

1008F - это ошибка, указывающая на то, что ваш Mac заблокирован на серверах Apple. Звучит страшно. Решается просто, но не всегда.

Дальше у вас, как говорится, два путя:

Путь простой:

1. Зайти в учетную запись icloud;

2. Выбрать "Найти iPhone";

3. Переключить дроп-лист на пункт "Все устройства":

4. Выбрать проблемный MacBook и нажать "удалить из Найти айфон";

5. Зайти в программу бета-тестирования;

6. Покинуть программу:

После этого можно попробовать восстановиться еще раз. К сожалению, данный способ мне не помог.

Я позвонил в службу поддержки Apple, где мне сообщили о том, что в моем случае 1008F возникает исключительно из - за плохого интернета (на самом деле из-за плохого интернета возникают ошибки 200+F). Также, мне посоветовали обратиться в авторизованный сервис (что логично) т.к. там и специалисты граммотные, и интернет хороший. Тут стоить отметить, что претензий к поддержке Apple я не имею. Было опробовано несколько Wi-Fi сетей в т.ч. и с мобильных устройств. Итог один - не помогло.

Путь сложный:

Далее возникла идея: поскольку жесткий диск несъёмный, слишком дорого было бы для Apple решать такие вопросы заменой материнских плат. Должна была быть какая-то лазейка, типа DFU режима, который был очень популярен на айфонах 3gs и 3g. Легкий гуглинг навел меня на несколько интересных статей: тут и тут. Дублировать содержимое статей смысла не вижу, в целом, они о том как вводить Mac в DFU режим и как с ним работать.

1. Нам нужен еще один Mac (к счастью такой нашелся);

2. Соединяем наш Mac (клиент) со вторым Mac (сервер) кабелем питания UCB-C - UCB-C(руководство по ссылкам выше);

3. Скачиваем на Mac (сервер) утилиту Apple Configurator 2 и запускаем ее;

4. Вводим Mac (клиент) в DFU;

5. В утилите Apple Configurator 2: Правая кнопка мыши > Actions > Advanced > Revive Device:

6. После того как все loading - индикаторы прокрутятся:

а на Mac (клиент) произойдет вот это:

нужно попробовать запустить процедуру восстановления через Shift-Option-Command-R.

7. Если вы по прежнему получаете 1008F (не 2003F, 2004F - о них позже), переходите к п8.

8. Требуется повторить действия с п.1 по п.4. После чего выбрать Apple Configurator 2 пункт Restore.

9. У вас надеюсь все будет хорошо, а вот я получил сообщение об ошибке:

что-то типа такого, только код был другой.

10. Далее я вывел Mac (клиент) из DFU режима и загрузил его через Shift-Option-Command-R.

11. Начался заветный процесс восстановления, который переодически падал в ошибки 2003F и 2004F.

2003F, 2004F

2003F, 2004F - это ошибки связанные с нестабильным, медленным интернет соединением. Поговаривают, что есть и другие 200+F ошибки, но их я на своем пути не встретил.

Тут стоить отметить, что интернет-провайдер у меня полное расстройство, поэтому решение было следующим:

1. На роутере я прописал DNS: основной сервер 8.8.8.8, альтернативный 8.8.4.4;

2. Сделал WI-FI сеть без пароля, но с фильтрацией по MAC - адресам, поскольку наткнулся на информацию о том, что Mac в процессе Internet Recovery может забывать пароль от WI-FI;

3. Также могут помочь сброс NVRAM или PRAM;

4. Запускать Mac через Shift-Option-Command-R, можно даже после того, как вы получили ошибку 200+F. Бывают случаи, когда загрузка происходит не с первого раза;

5. В моем случае, я дождался 6 утра, пока основные пользователи моего провайдера спят, а в Купертино - ночь, значит нагрузка на сервера Apple значительно меньше. Загрузил Mac через Shift-Option-Command-R и случилось чудо.

6. Дальше у меня загрузился Recovery macOS Mojave, т.к. именно с ней поставлялся MacBook. В дисковой утилите жесткий диск определялся как неизвестное устройство, после форматирования его со схемой разделов GUID, установка macOS продолжается в обычном режиме.

Заключение

На всю эту историю у меня ушло в сумме около трех дней, поэтому если этот пост сэкономит кому-нибудь хоть каплю времени и нервов - будет отлично. Тем не менее, прошу обратить внимание: описанное выше происходило со мной, у вас может быть иначе. Все действия вы выполняете на свой страх и риск. От себя - я бы рекомендовал перед переустановкой macOS включать загрузку с USB - носителей, отвязывать Mac от учетки и выполнять установку с флешки. Жалею ли я о том, что не сделал так сам? - Нет :)

Желаю вам легких апдейтов, даунгрейдов и вообще поменьше багов и лагов.

Все нижеописанное не более чем вкусовщина и дело привычки, не для холивара, просто мое мнение по какой причине я не смог работать на MacBook. Учитывайте это не более чем вопль одного человека, так что вы можно просто потратить свои 5 минут жизни за прочтением данной заметки.

Я - простой разработчик, пишу на Java/Kotlin, бэкэнд. Ранее работал на Windows (было давно и не продолжительное время), потом пересел на Linux по ряду причин. Безвылазно на Linux 7 лет, вообщем с системой работал около 16. В один прекрасный день мне довелось устроиться в компанию, где Linux для пользователей не то чтобы под запретом, скорее просто нежелательно (читать с приставкой - крайне). Что из этого вышло....

Долгое время я был свободным человеком, почти без обязательств, и выбор на чем работать был только за мной, ну или за моим карманом и жадностью. Последний сетап был уж достаточно странным: Dell Precision 7540 (Xeon E-2286M, 48GB RAM, 2x512GB ssd m.2, 256GB SSD m.2, GF T2000), 2 монитора Dell p2418d, док станция Dell TB16, клавиатура Apple Magic Keyboard with numeric, мышь Apple Magic Mouse 2. Вообщем этакие набор кулл хацкера с комплексом ущербного мозга (ну может хоть сетап будет помогать писать гомнокод получше).

Конечно все это собиралось не за один день и покупалось на кровные с ебея и прочих мест всякими мутными схемами. До этого апгрейда я спокойно (ну насколько это можно) сидела на Fedora, но на этом железе начались дикие проблемы и пришлось установить Ubuntu, на которую был сертифицирован ноутбук (да, он еще и на RedHat сертифицирован, но там совсем беда). В общем настраивать все это дело было таким себе удовольствием, особенно клавиатуру и мышь (то установи, тут скрипты напиши), страшно было потом систему apt upgrade, про переустановку вообще молчу, но все же приходилось и каждый раз боль-страдания-красные-глаза-сатисфакция.

Мне очень нравилась по качеству клавиатура от Apple, пальцы летали на ней, когда все продавал даже думал оставить ее. Зато вот убунту меня иногда раздражала какими-либо проблемами: то блютуз глючит, то апдейт прилетит после которого кучка ошибок, ну а про переустановки я уже упоминал, благо заготовки были на такие случаи со временем. В трудные моменты я подумывал о смене своего Dell на MacBook. Мотивация была такая: этож тот же *nix, только стабильней, комфортабельней и вообще этожэппл.

В один прекрасный день я решил, что хватит работать удаленно и нужно уезжать из своего городка в цивилизацию. Распродал все, приехал в другой город, устроился в компанию и мне выдали MacBook 16 Pro. Думаю: вот оно походу пришло, что хотел, теперь-то я буду работать на нормальной системе и клава вроде такая же..... но не тут-то было.

Первые дни знакомства с маком меня уже огорчили, я понял что нужно привыкать к новой реалии, к новым хоткеям и новому софту (ну конечно oh-my-zsh там есть, но не им единым).

Оценил: Экран, тачпад, колонки. Эти компоненты просто вышка без всяких. Лучше пока еще не видел в ноутбуках.

Через пару дней уже завыл, так как хоткеи ну совсем не понимал, а вот эти Fn и ~..... ну ладно Fn, но ~ засунуть в такое интересное место + Enter: мизинец постоянно нажимал что угодно, но не Enter. Ну ладно думаю, привыкну... Прошла неделя, вроде даже научился печатать на этой клаве, но не Intelleji Idea. Да, я понимаю, что там другая раскладка, но вот я постоянно нажимал первое время Command + Q.... ну вы поняли что происходило и как печально было мое лицо.

Еще через время начал замечать, что чего-то не хватает и понял: открыть меню File я не могу, отобразить ветки Git тоже... Нужно значит что-то настраивать под себя, т.е. добавлять хоткеи. Ну ладно может быть и добавил бы, но вот беда, чтобы нажать условный F10, нужно нажать Fn, а делит... ну вы знаете как он устроен. Т.е. вместо 3 клавиш нужно нажимать 4, некоторые сочетания не просто выполнить даже если посещал пальцевую гимнастику (если такая есть). Молчу уже про конфликты некоторых хоткеев с системными. Но главный поинт такой, что вместо того, чтобы эффективно работать я должен воевать со своими пальцами и чудесными сочетаниями клавиш в виду отсутствия F, del, PgDown, PgUp и т.д.

Пробовал настроить софт, ну точнее пытался использовать привычные мне хоткеи переключения между вкладками браузера, максимизации экрана... плюнул, забросил эту идею.

Немного софта мне не хватило, но может плохо искал, потом в эту сторону ну совсем нечего сказать. Благо хоть докер есть и на том спасибо.

Вообщем какой я вывод сделал для себя: мак конечно крутая и качественная штука, но в моем кейсе похоже только для просмотра видео, прослушивания музыки, ну и пожалуй все.

Но как разработчик я себя чувствую лучше на Linux, правда вот клавиатуры (Apple Magic Keyboard with num pad) не хватает (хотя на моем текущем Honor-е клава по нажатию хороша), ну и тач бы еще маковский.