应用限制
概述
限制功能允许您阻止或限制特定的设备功能和应用。它们通过配置描述文件强制执行，最终用户无法绕过。使用限制功能来实施安全策略、减少干扰并防止数据泄露。
限制功能适用于 iOS、iPadOS 和 macOS。部分限制因平台而异。
功能限制
控制对内置设备功能和系统应用的访问。
| 限制项 | iOS | iPadOS | macOS | 描述 |
|---|---|---|---|---|
allowCamera | 是 | 是 | 是 | 允许使用设备相机 |
allowSafari | 是 | 是 | 否 | 允许使用 Safari 浏览器 |
allowFaceTime | 是 | 是 | 是 | 允许 FaceTime 视频/音频通话 |
allowAirDrop | 是 | 是 | 是 | 允许 AirDrop 文件共享 |
allowAirPlay | 是 | 是 | 是 | 允许 AirPlay 屏幕镜像 |
allowScreenShot | 是 | 是 | 否 | 允许截屏和屏幕录制 |
allowScreenRecording | 是 | 是 | 是 | 允许屏幕录制（iOS 14+、macOS） |
allowPassbook | 是 | 是 | 否 | 允许钱包和 Apple Pay |
allowBookstore | 是 | 是 | 否 | 允许图书（iBooks）应用 |
allowPodcasts | 是 | 是 | 否 | 允许播客应用 |
allowNews | 是 | 是 | 否 | 允许新闻应用 |
allowAppStore | 是 | 是 | 是 | 允许 App Store（安装/更新应用） |
allowAppStoreUI | 是 | 是 | 否 | 允许浏览 App Store（安装权限单独控制） |
allowAppRemoval | 是 | 是 | 否 | 允许用户从设备删除应用 |
allowAppInstallation | 是 | 是 | 否 | 允许安装应用（通过 App Store 或企业分发） |
allowAppCellularData | 是 | 是 | 否 | 允许应用使用蜂窝数据 |
allowDiagnosticSubmission | 是 | 是 | 是 | 允许向 Apple 发送诊断和使用数据 |
allowCloudBackup | 是 | 是 | 是 | 允许 iCloud 备份 |
allowCloudSync | 是 | 是 | 是 | 允许 iCloud 文档和数据同步 |
allowCloudKeychainSync | 是 | 是 | 是 | 允许 iCloud 钥匙串同步 |
allowFindMyDevice | 是 | 是 | 是 | 允许"查找"设备位置共享 |
allowFindMyFriends | 是 | 是 | 是 | 允许"查找朋友"位置共享 |
allowGameCenter | 是 | 是 | 否 | 允许 Game Center |
allowMultiplayerGaming | 是 | 是 | 否 | 允许多人在线游戏 |
allowAddingGameCenterFriends | 是 | 是 | 否 | 允许添加 Game Center 好友 |
allowCellularData | 是 | 是 | 否 | 完全允许使用蜂窝数据 |
allowCellularVoiceRoaming | 是 | 是 | 否 | 允许蜂窝网络语音漫游 |
allowCellularDataRoaming | 是 | 是 | 否 | 允许蜂窝网络数据漫游 |
allowPersonalHotspot | 是 | 是 | 否 | 允许个人热点/网络共享 |
allowVPNCreation | 是 | 是 | 是 | 允许用户手动配置 VPN 描述文件 |
allowEraseContentAndSettings | 是 | 是 | 否 | 允许"抹掉所有内容和设置"选项 |
allowUSBRestrictedMode | 是 | 是 | 否 | 要求解锁后才能使用 USB 配件（USB 限制模式） |
allowPasswordAutoFill | 是 | 是 | 否 | 允许从 iCloud 钥匙串自动填充密码 |
allowPasswordSharing | 是 | 是 | 否 | 允许通过 AirDrop 共享密码（iOS 12+） |
allowAutoUnlock | 否 | 否 | 是 | 允许 Apple Watch 解锁 Mac |
allowContentCaching | 否 | 否 | 是 | 允许在 macOS 上本地缓存内容 |
示例
json
{
"allowCamera": false,
"allowSafari": false,
"allowFaceTime": false,
"allowAirDrop": false,
"allowScreenShot": false,
"allowAppStore": false,
"allowAppRemoval": false,
"allowCloudBackup": false,
"allowGameCenter": false,
"allowMultiplayerGaming": false
}应用使用模式
控制设备上应用的可见性和可用性。
| 模式 | 描述 |
|---|---|
allow-all | 允许所有应用（默认）。不限制应用使用。 |
hidden | 隐藏指定应用。列出的应用将从主屏幕隐藏，但系统仍可能运行它们。 |
allowedOnly | 仅允许指定应用。只有列出的应用可以显示和运行，所有其他应用被隐藏。 |
iCloud 限制
独立于上述通用功能标志，单独控制 iCloud 服务。
| 限制项 | iOS | iPadOS | macOS | 描述 |
|---|---|---|---|---|
allowCloudBackup | 是 | 是 | 是 | 阻止 iCloud 设备备份 |
allowCloudSync | 是 | 是 | 是 | 阻止 iCloud 文档和数据同步 |
allowCloudKeychainSync | 是 | 是 | 是 | 阻止 iCloud 钥匙串 |
allowCloudDesktopAndDocuments | 是 | 是 | 是 | 阻止 iCloud 桌面与文稿同步（macOS） |
allowCloudPhotoLibrary | 是 | 是 | 是 | 阻止 iCloud 照片 |
allowCloudPrivateRelay | 是 | 是 | 是 | 阻止 iCloud 私密中继（iOS 15+、macOS 12+） |
allowFindMyDevice | 是 | 是 | 是 | 阻止"查找"设备 |
allowFindMyFriends | 是 | 是 | 是 | 阻止"查找朋友" |
蜂窝数据限制
控制 iOS 和 iPadOS 设备上的蜂窝数据使用。
| 限制项 | 描述 |
|---|---|
allowCellularData | 所有蜂窝数据的总开关 |
allowCellularDataRoaming | 阻止数据漫游以避免意外费用 |
allowCellularVoiceRoaming | 阻止语音漫游 |
allowPersonalHotspot | 阻止网络共享/个人热点 |
allowAppCellularData | 允许应用使用蜂窝数据进行网络访问 |
allowCellularDataForAppStore | 允许通过蜂窝网络下载 App Store 应用 |
allowCellularDataForSafari | 允许通过蜂窝网络使用 Safari |
Game Center 限制
控制 iOS 和 iPadOS 上的 Game Center 和多人游戏功能。
| 限制项 | 描述 |
|---|---|
allowGameCenter | 完全阻止 Game Center |
allowMultiplayerGaming | 阻止多人游戏（本地和在线） |
allowAddingGameCenterFriends | 阻止在 Game Center 中添加好友 |
allowGameCenterNearbyMultiplayer | 阻止附近多人游戏发现 |
Classroom 限制
控制 Apple School Manager 部署下 Apple Classroom 与共享 iPad 的行为。这些键写入 Restrictions（com.apple.applicationaccess）负载，且要求设备处于 受监督 状态。
| 限制项 | 描述 |
|---|---|
forceClassroomUnpromptedScreenObservation | 允许教师无提示使用 AirPlay 或查看学生屏幕。受管课程还需在已有 Education 负载中授予屏幕观察权限（iOS 11+ · iPadOS 13.1+ · macOS 10.14.4+） |
forceClassroomUnpromptedAppAndDeviceLock | 允许教师无提示将学生锁定到单个应用或锁定设备（iOS 11+ · iPadOS 13.1+ · macOS 10.14.4+） |
forceClassroomAutomaticallyJoinClasses | 自动同意教师的加入课程请求，无需向学生弹出提示（iOS 11+ · iPadOS 13.1+ · macOS 10.14.4+） |
forceClassroomRequestPermissionToLeaveClasses | 学生离开教师创建（非受管）的课程需教师批准；不适用于 Apple School Manager 名单课程（iOS 11.3+ · iPadOS 13.1+ · macOS 10.14.4+） |
allowRemoteScreenObservation | 阻止 Classroom 观察设备屏幕。使用 allowScreenShot 禁用截屏同样会阻止屏幕观察（iOS 9.3+ · iPadOS 13.1+ · macOS 10.14.4+） |
allowSharedDeviceTemporarySession | 在共享 iPad 上禁用访客与临时会话（iPadOS 13.4+） |
这些设置不会创建班级或管理师生名单，仅控制已有课程中的 Classroom 行为。
常见学校部署限制
Apple School Manager 部署中常配合使用的限制项。它们位于「应用」与「安全与隐私」分类，而非 Classroom 分类。
| 限制项 | 描述 |
|---|---|
allowChat | 在受监督设备上禁用 iMessage。受支持的 iPhone 机型仍可使用 SMS 与 MMS（iOS 5+ · iPadOS 13.1+） |
allowVideoConferencing | 在受管设备上隐藏 FaceTime 应用（iOS 4+ · iPadOS 13.1+ · visionOS 2+） |
safariForceFraudWarning | 要求 Safari 对疑似欺诈网站发出警告（iOS 4+ · iPadOS 13.1+） |
allowBookstoreErotica | 阻止下载 Apple Books 中标记为情色的内容。对非受监督设备的支持已弃用；在 tvOS 17+ 上已弃用（iOS 6+ · iPadOS 13.1+ · macOS 15+ · tvOS 11.3+） |
allowProximitySetupToNewDevice | 阻止使用本设备设置附近新设备的提示。在 iOS 26.3+ 上还会阻止导出 iOS 数据以设置 Android 设备；在共享 iPad 上忽略（iOS 11+ · iPadOS 13.1+） |
屏幕录制和媒体限制
| 限制项 | iOS | iPadOS | macOS | 描述 |
|---|---|---|---|---|
allowScreenShot | 是 | 是 | 否 | 阻止截屏 |
allowScreenRecording | 是 | 是 | 是 | 阻止屏幕录制 |
allowScreenViewing | 是 | 是 | 是 | 阻止屏幕共享/查看（AirPlay 镜像） |
allowAirPlay | 是 | 是 | 是 | 阻止 AirPlay 流媒体 |
allowAirPlayOutgoingRequests | 是 | 是 | 是 | 阻止向其他设备发送 AirPlay 请求 |
allowMusicService | 是 | 是 | 是 | 阻止 Apple Music 流媒体服务 |
allowPodcasts | 是 | 是 | 否 | 阻止播客应用 |
macOS 专属限制
| 限制项 | 描述 |
|---|---|
allowAutoUnlock | 阻止 Apple Watch 解锁 Mac |
allowContentCaching | 阻止本地内容缓存 |
allowPasswordProximityAutoFill | 阻止从附近设备自动填充 |
allowPasswordSharing | 阻止通过 AirDrop 共享密码 |
allowDiagnosticSubmission | 阻止提交诊断数据 |
allowCloudDesktopAndDocuments | 阻止 iCloud 桌面与文稿同步 |
allowiCloudMail | 阻止 iCloud 邮件 |
allowiCloudReminders | 阻止 iCloud 提醒事项同步 |
allowiCloudBookmarks | 阻止 iCloud 书签同步 |
allowiCloudNotes | 阻止 iCloud 备忘录同步 |
allowiCloudCalendars | 阻止 iCloud 日历同步 |
allowiCloudContacts | 阻止 iCloud 通讯录同步 |
最佳实践
- 从阻止列表开始，而非允许列表。 阻止少数违反策略的功能（相机、AirDrop、Game Center），而不是试图枚举所有允许的应用。仅在设备严格用于单一用途（信息亭、专用设备）时才切换到允许列表。
- 先在小范围测试。 像阻止相机或禁用截屏这样的限制可能会破坏您未预料到的工作流程。在广泛部署之前，先向试点组推送。
- 与其他蓝图设置结合使用。 将限制与密码策略、Wi-Fi 和安全配置相结合，实现纵深防御。