应用限制
概述
限制功能允许您阻止或限制特定的设备功能和应用。它们通过配置描述文件强制执行，最终用户无法绕过。使用限制功能来实施安全策略、减少干扰并防止数据泄露。
限制功能适用于 iOS、iPadOS 和 macOS。部分限制因平台而异。
功能限制
控制对内置设备功能和系统应用的访问。
| 限制项 | iOS | iPadOS | macOS | 描述 |
|---|---|---|---|---|
allowCamera | 是 | 是 | 是 | 允许使用设备相机 |
allowSafari | 是 | 是 | 否 | 允许使用 Safari 浏览器 |
allowFaceTime | 是 | 是 | 是 | 允许 FaceTime 视频/音频通话 |
allowAirDrop | 是 | 是 | 是 | 允许 AirDrop 文件共享 |
allowAirPlay | 是 | 是 | 是 | 允许 AirPlay 屏幕镜像 |
allowScreenShot | 是 | 是 | 否 | 允许截屏和屏幕录制 |
allowScreenRecording | 是 | 是 | 是 | 允许屏幕录制（iOS 14+、macOS） |
allowPassbook | 是 | 是 | 否 | 允许钱包和 Apple Pay |
allowBookstore | 是 | 是 | 否 | 允许图书（iBooks）应用 |
allowPodcasts | 是 | 是 | 否 | 允许播客应用 |
allowNews | 是 | 是 | 否 | 允许新闻应用 |
allowAppStore | 是 | 是 | 是 | 允许 App Store（安装/更新应用） |
allowAppStoreUI | 是 | 是 | 否 | 允许浏览 App Store（安装权限单独控制） |
allowAppRemoval | 是 | 是 | 否 | 允许用户从设备删除应用 |
allowAppInstallation | 是 | 是 | 否 | 允许安装应用（通过 App Store 或企业分发） |
allowAppCellularData | 是 | 是 | 否 | 允许应用使用蜂窝数据 |
allowDiagnosticSubmission | 是 | 是 | 是 | 允许向 Apple 发送诊断和使用数据 |
allowCloudBackup | 是 | 是 | 是 | 允许 iCloud 备份 |
allowCloudSync | 是 | 是 | 是 | 允许 iCloud 文档和数据同步 |
allowCloudKeychainSync | 是 | 是 | 是 | 允许 iCloud 钥匙串同步 |
allowFindMyDevice | 是 | 是 | 是 | 允许"查找"设备位置共享 |
allowFindMyFriends | 是 | 是 | 是 | 允许"查找朋友"位置共享 |
allowGameCenter | 是 | 是 | 否 | 允许 Game Center |
allowMultiplayerGaming | 是 | 是 | 否 | 允许多人在线游戏 |
allowAddingGameCenterFriends | 是 | 是 | 否 | 允许添加 Game Center 好友 |
allowCellularData | 是 | 是 | 否 | 完全允许使用蜂窝数据 |
allowCellularVoiceRoaming | 是 | 是 | 否 | 允许蜂窝网络语音漫游 |
allowCellularDataRoaming | 是 | 是 | 否 | 允许蜂窝网络数据漫游 |
allowPersonalHotspot | 是 | 是 | 否 | 允许个人热点/网络共享 |
allowVPNCreation | 是 | 是 | 是 | 允许用户手动配置 VPN 描述文件 |
allowEraseContentAndSettings | 是 | 是 | 否 | 允许"抹掉所有内容和设置"选项 |
allowUSBRestrictedMode | 是 | 是 | 否 | 要求解锁后才能使用 USB 配件（USB 限制模式） |
allowPasswordAutoFill | 是 | 是 | 否 | 允许从 iCloud 钥匙串自动填充密码 |
allowPasswordSharing | 是 | 是 | 否 | 允许通过 AirDrop 共享密码（iOS 12+） |
allowAutoUnlock | 否 | 否 | 是 | 允许 Apple Watch 解锁 Mac |
allowContentCaching | 否 | 否 | 是 | 允许在 macOS 上本地缓存内容 |
示例
json
{
"allowCamera": false,
"allowSafari": false,
"allowFaceTime": false,
"allowAirDrop": false,
"allowScreenShot": false,
"allowAppStore": false,
"allowAppRemoval": false,
"allowCloudBackup": false,
"allowGameCenter": false,
"allowMultiplayerGaming": false
}应用使用模式
控制设备上应用的可见性和可用性。
| 模式 | 描述 |
|---|---|
allow-all | 允许所有应用（默认）。不限制应用使用。 |
hidden | 隐藏指定应用。列出的应用将从主屏幕隐藏，但系统仍可能运行它们。 |
allowedOnly | 仅允许指定应用。只有列出的应用可以显示和运行，所有其他应用被隐藏。 |
iCloud 限制
独立于上述通用功能标志，单独控制 iCloud 服务。
| 限制项 | iOS | iPadOS | macOS | 描述 |
|---|---|---|---|---|
allowCloudBackup | 是 | 是 | 是 | 阻止 iCloud 设备备份 |
allowCloudSync | 是 | 是 | 是 | 阻止 iCloud 文档和数据同步 |
allowCloudKeychainSync | 是 | 是 | 是 | 阻止 iCloud 钥匙串 |
allowCloudDesktopAndDocuments | 是 | 是 | 是 | 阻止 iCloud 桌面与文稿同步（macOS） |
allowCloudPhotoLibrary | 是 | 是 | 是 | 阻止 iCloud 照片 |
allowCloudPrivateRelay | 是 | 是 | 是 | 阻止 iCloud 私密中继（iOS 15+、macOS 12+） |
allowFindMyDevice | 是 | 是 | 是 | 阻止"查找"设备 |
allowFindMyFriends | 是 | 是 | 是 | 阻止"查找朋友" |
蜂窝数据限制
控制 iOS 和 iPadOS 设备上的蜂窝数据使用。
| 限制项 | 描述 |
|---|---|
allowCellularData | 所有蜂窝数据的总开关 |
allowCellularDataRoaming | 阻止数据漫游以避免意外费用 |
allowCellularVoiceRoaming | 阻止语音漫游 |
allowPersonalHotspot | 阻止网络共享/个人热点 |
allowAppCellularData | 允许应用使用蜂窝数据进行网络访问 |
allowCellularDataForAppStore | 允许通过蜂窝网络下载 App Store 应用 |
allowCellularDataForSafari | 允许通过蜂窝网络使用 Safari |
Game Center 限制
控制 iOS 和 iPadOS 上的 Game Center 和多人游戏功能。
| 限制项 | 描述 |
|---|---|
allowGameCenter | 完全阻止 Game Center |
allowMultiplayerGaming | 阻止多人游戏（本地和在线） |
allowAddingGameCenterFriends | 阻止在 Game Center 中添加好友 |
allowGameCenterNearbyMultiplayer | 阻止附近多人游戏发现 |
屏幕录制和媒体限制
| 限制项 | iOS | iPadOS | macOS | 描述 |
|---|---|---|---|---|
allowScreenShot | 是 | 是 | 否 | 阻止截屏 |
allowScreenRecording | 是 | 是 | 是 | 阻止屏幕录制 |
allowScreenViewing | 是 | 是 | 是 | 阻止屏幕共享/查看（AirPlay 镜像） |
allowAirPlay | 是 | 是 | 是 | 阻止 AirPlay 流媒体 |
allowAirPlayOutgoingRequests | 是 | 是 | 是 | 阻止向其他设备发送 AirPlay 请求 |
allowMusicService | 是 | 是 | 是 | 阻止 Apple Music 流媒体服务 |
allowPodcasts | 是 | 是 | 否 | 阻止播客应用 |
macOS 专属限制
| 限制项 | 描述 |
|---|---|
allowAutoUnlock | 阻止 Apple Watch 解锁 Mac |
allowContentCaching | 阻止本地内容缓存 |
allowPasswordProximityAutoFill | 阻止从附近设备自动填充 |
allowPasswordSharing | 阻止通过 AirDrop 共享密码 |
allowDiagnosticSubmission | 阻止提交诊断数据 |
allowCloudDesktopAndDocuments | 阻止 iCloud 桌面与文稿同步 |
allowiCloudMail | 阻止 iCloud 邮件 |
allowiCloudReminders | 阻止 iCloud 提醒事项同步 |
allowiCloudBookmarks | 阻止 iCloud 书签同步 |
allowiCloudNotes | 阻止 iCloud 备忘录同步 |
allowiCloudCalendars | 阻止 iCloud 日历同步 |
allowiCloudContacts | 阻止 iCloud 通讯录同步 |
最佳实践
- 从阻止列表开始，而非允许列表。 阻止少数违反策略的功能（相机、AirDrop、Game Center），而不是试图枚举所有允许的应用。仅在设备严格用于单一用途（信息亭、专用设备）时才切换到允许列表。
- 先在小范围测试。 像阻止相机或禁用截屏这样的限制可能会破坏您未预料到的工作流程。在广泛部署之前，先向试点组推送。
- 与其他蓝图设置结合使用。 将限制与密码策略、Wi-Fi 和安全配置相结合，实现纵深防御。