macOS 27 для администраторов Mac: команды обновления ПО через MDM исчезли, требования TLS ужесточены

Если вы управляете парком Mac, macOS 27 Golden Gate меняет две вещи, которые не отображаются на экране пользователя, но за один день способны остановить процесс установки обновлений или процедуру регистрации устройств. Во-первых, команды, запросы и ограничения для обновления ПО через MDM, которыми большинство парков пользовались десять лет, больше не работают на устройствах с 27.0. Во-вторых, каждое соединение на пути управления — MDM, Declarative Device Management, Automated Device Enrollment, установка профилей, установка приложений и обновления ПО — теперь отклоняет серверы, не соответствующие правилам App Transport Security, тогда как в более ранних версиях об этом лишь выводилось предупреждение в журнал.

Ни то, ни другое не новость. Apple объявила об обоих изменениях ещё до WWDC 2026 и повторила это на самой конференции. Но теперь, когда 27.0 вышла (14 сентября, сборка 26A428), они действуют на любом Mac, который обновился. В этом руководстве разбирается, что перестаёт работать — на основе официальной схемы и документов поддержки Apple, — как провести аудит серверов до того, как с проблемой столкнутся первые Mac в вашем парке, и чем заменяется каждый устаревший механизм.

Основные выводы

• Устаревшее управление обновлениями ПО отключено в 27.0. Apple: «Устаревшее управление обновлениями программного обеспечения больше не работает во всех операционных системах 27.0». Это касается команд ScheduleOSUpdate, ScheduleOSUpdateScan, AvailableOSUpdates и OSUpdateStatus, payload com.apple.SoftwareUpdate, а также ограничений на отсрочку.
• Замена — декларативная. softwareupdate.enforcement.specific принудительно устанавливает версию к заданному сроку. softwareupdate.settings охватывает отсрочки, автоматические действия, Background Security Improvements и регистрацию в бета-программах. Элементы статуса заменяют запросы.
• У «рекомендуемой периодичности» нет аналога в macOS. В схеме Apple декларативный ключ RecommendedCadence помечен как недоступный для macOS.
• Правила TLS теперь обязательны для всего пути управления. Это означает TLS 1.2 или новее, наборы шифров с прямой секретностью, сертификаты RSA ≥ 2048 или ECDSA ≥ 256 бит, подписанные по SHA-2, и расширение extended master secret. Исключение сделано только для серверов SCEP и серверов кеширования контента.
• Аудит можно провести до обновления устройств. В более ранних версиях те же проверки лишь записывают предупреждения в журнал. Apple документирует предикат для их поиска в логах.

Изменение 1: устаревшее управление обновлениями ПО больше не работает

В обновлении по управлению устройствами на WWDC 2026 Apple сформулировала это одной фразой: «Устаревшее управление обновлениями программного обеспечения больше не работает во всех операционных системах 27.0». Далее перечисляется, что это затрагивает: команды обновления ПО, запросы обновления ПО, настройки рекомендуемой периодичности и ограничения на обновление ПО, включая отсрочки и Background Security Improvements.

Опубликованная Apple схема управления устройствами — YAML-файлы в репозитории apple/device-management, на которые опираются поставщики MDM, — даёт точный статус для каждого пункта. Для macOS:

Устаревший механизм	Статус в схеме (macOS)	Декларативная замена
Команда ScheduleOSUpdate	Устарела в 26.0, удалена в 27.0	com.apple.configuration.softwareupdate.enforcement.specific
Команда ScheduleOSUpdateScan	Устарела в 26.0, удалена в 27.0	Не требуется — устройство сканирует самостоятельно и сообщает статус
Запрос AvailableOSUpdates	Устарел в 26.0, удалён в 27.0	Элемент статуса softwareupdate.pending-version
Запрос OSUpdateStatus	Устарел в 26.0, удалён в 27.0	Элементы статуса softwareupdate.install-state, softwareupdate.failure-reason, softwareupdate.install-reason
Payload профиля com.apple.SoftwareUpdate	Устарел в 26.0, удалён в 27.0	com.apple.configuration.softwareupdate.settings
Ограничения forceDelayedSoftwareUpdates, forceDelayedMajorSoftwareUpdates, forceDelayedAppSoftwareUpdates, enforcedSoftwareUpdateDelay	Устарели в 26.0, удалены в 27.0	softwareupdate.settings → Deferrals

Использованный нами снимок схемы — это ветка release репозитория по состоянию на 18 сентября 2026 года. Если консоль вашего поставщика MDM всё ещё показывает устаревшие опции, они относятся к устройствам на 26.x и более ранних версиях. На Mac с 27.0 они ничего не делают.

Что охватывают декларативные настройки

Конфигурация softwareupdate.settings — это место, куда переехало большинство устаревших ограничений. Её ключи верхнего уровня согласно схеме Apple:

Ключ	Что контролирует
Notifications	Видит ли пользователь уведомления об обновлениях
Deferrals	CombinedPeriodInDays, MajorPeriodInDays, MinorPeriodInDays, SystemPeriodInDays
AutomaticActions	Download, InstallOSUpdates, InstallSecurityUpdate
RapidSecurityResponse	Enable, EnableRollback — в схеме называется «Background Security Improvements settings»
AllowStandardUserOSUpdates	Может ли пользователь без прав администратора устанавливать обновления ОС
Beta	ProgramEnrollment, OfferPrograms, RequireProgram для AppleSeed и бета-версий для разработчиков
RecommendedCadence	В схеме для macOS помечен как «n/a»

В схеме также отмечается, что Background Security Improvements «не учитываются механизмом отсрочки Major, Minor или System». Отсрочка крупных обновлений не задерживает фоновое исправление безопасности. Если вам нужно управлять ими, используйте ключи RapidSecurityResponse. О том, что это за обновления, рассказывает наше руководство по Background Security Improvements.

Пробел с рекомендуемой периодичностью

Устаревший MDM позволял задать «рекомендуемую периодичность» (recommended cadence), которая определяла, какое обновление увидит пользователь, если одновременно были доступны и минорное обновление, и новая крупная версия. Apple относит рекомендуемую периодичность к устаревшим настройкам, которые перестают работать, а декларативный ключ RecommendedCadence в текущей схеме имеет значение introduced: n/a для macOS. Это значит, что сегодня на Mac нет прямого аналога.

На практике то, что видят пользователи, вы формируете с помощью отсрочек (deferrals), которые скрывают релиз на заданное число дней, и принудительной установки (enforcement), которая закрепляет нужную версию к определённому сроку. Это требует больше усилий, чем один переключатель периодичности, и об этом изменении стоит заранее предупредить службу поддержки — до того, как пользователи начнут спрашивать, почему вдруг появилось крупное обновление.

Принудительная установка версии в 27.0

Декларация принудительной установки — та, которой вы будете пользоваться чаще всего. Она задаёт целевую версию и срок:

{
  "Type": "com.apple.configuration.softwareupdate.enforcement.specific",
  "Identifier": "com.example.su.macos-27-0-1",
  "Payload": {
    "TargetOSVersion": "27.0.1",
    "TargetLocalDateTime": "2026-10-15T18:00:00",
    "DetailsURL": "https://intranet.example.com/updates"
  }
}

TargetOSVersion и TargetLocalDateTime — основные ключи. Есть также TargetBuildVersion для закрепления конкретной сборки, который имеет приоритет, если заданы оба ключа. Версия в примере условна — на момент написания 27.0.1 ещё не выпущена. Поставщик MDM обычно предоставляет форму, а не сырой JSON, но знание ключей помогает, когда вы читаете декларацию в статусе устройства, чтобы понять, почему обновление не установилось.

Одна политика, записанная двумя способами

Конкретный пример упрощает понимание миграции. Возьмём типичную политику: задерживать крупные обновления на 30 дней и держать включёнными автоматическую загрузку и обновления безопасности.

Устаревшая версия — это набор ключей ограничений в payload com.apple.applicationaccess:

<key>forceDelayedMajorSoftwareUpdates</key>
<true/>
<key>enforcedSoftwareUpdateMajorOSDeferredInstallDelay</key>
<integer>30</integer>

Mac на Tahoe соблюдает это ограничение. Mac на Golden Gate его игнорирует.

Декларативная версия выражает то же намерение в одной конфигурации:

{
  "Type": "com.apple.configuration.softwareupdate.settings",
  "Identifier": "com.example.su.settings",
  "Payload": {
    "Deferrals": { "MajorPeriodInDays": 30 },
    "AutomaticActions": {
      "Download": "AlwaysOn",
      "InstallSecurityUpdate": "AlwaysOn"
    }
  }
}

Прежде чем писать собственную конфигурацию, стоит знать три детали из схемы Apple:

• Значения отсрочки — от 1 до 90 дней, тот же диапазон, что и у устаревших ключей задержки.
• Когда несколько деклараций задают один и тот же ключ, устройство объединяет их по правилу. Для Deferrals используется number-max (побеждает самая длинная отсрочка), для автоматических действий — enum-last, а для Notifications — boolean-and: если хотя бы одна декларация отключает уведомления, они будут отключены. Забытая тестовая декларация с отсрочкой в 90 дней незаметно перекроет вашу политику с 30 днями, поэтому прежде чем разбираться с чем-либо ещё, проверьте, что именно назначено устройству.
• Автоматические действия принимают значения Allowed, AlwaysOn или AlwaysOff, по умолчанию — Allowed. В схеме Apple AlwaysOn описан как «always enabled» (всегда включено), а AlwaysOff — как «always disabled» (всегда отключено). Если хотите оставить выбор за пользователем, используйте Allowed.

Считывание результата

Декларативное управление сообщает о состоянии через элементы статуса вместо запросов. Элемент softwareupdate.install-state принимает одно из пяти значений: none, downloading, prepared, installing или failed. В паре с softwareupdate.pending-version, который показывает, что устройство собирается установить, и softwareupdate.failure-reason на случай сбоя, это даёт всю ту же информацию, что раньше давал старый запрос OSUpdateStatus. При этом устройство присылает её само, когда состояние меняется, а не когда вы вспоминаете спросить.

Ловушка смешанного парка

В течение следующего года ваш парк будет включать Mac на Tahoe 26.x, которые всё ещё соблюдают устаревшие механизмы, и Mac на Golden Gate 27.0, которые их игнорируют. Это создаёт три риска:

1. Отсрочка, которая работает лишь наполовину. Устаревшее ограничение forceDelayedMajorSoftwareUpdates по-прежнему задерживает Mac на Tahoe. Как только Mac переходит на 27, на него влияет только декларативная настройка Deferrals. Если нужна одинаковая политика на обеих версиях, задайте её в обоих местах.
2. Отчётность, которая становится пустой. Панели мониторинга, построенные на ответах OSUpdateStatus и AvailableOSUpdates, ничего не показывают для устройств на 27.0. Переключите отчёты на декларативные элементы статуса, прежде чем эти устройства станут выглядеть как «unknown».
3. Скрипты, которые исходят из того, что команда дошла. Автоматизация, отправляющая ScheduleOSUpdate и ожидающая результата, на Mac с 27.0 будет ждать бесконечно. Проверьте свои runbook'и и любые API-скрипты, обращающиеся к MDM, на предмет вызовов устаревших команд.

Проще всего уже сейчас перевести все Mac на декларативное управление обновлениями ПО, включая те, что ещё на Tahoe, где декларации DDM для обновления ПО уже работают. Устаревшие настройки стоит оставить лишь как подстраховку для устройств, которые пока нельзя перевести. Наше руководство о том, почему macOS 27 не отображается в Software Update, рассказывает, как отсрочки вообще определяют, будет ли предложено обновление.

Изменение 2: более строгий TLS для пути управления

Apple опубликовала эти требования в статье поддержки Prepare your network environment for stricter security requirements от 9 июня 2026 года и повторяет их в примечаниях к выпуску macOS 27. Серверы на пути управления должны:

Требование	Детали
Протокол	TLS 1.2 или новее; TLS 1.3 «где это возможно»
Наборы шифров	Прямая секретность — любой набор TLS 1.3 или наборы TLS 1.2 с ECDHE
Ключи сертификатов	RSA не менее 2048 бит, ECDSA не менее 256 бит
Хеш подписи	SHA-2 с дайджестом не менее 256 бит
Расширение TLS 1.2	Extended master secret (EMS), RFC 7627

Затронутые процессы, согласно списку Apple: управление мобильными устройствами (MDM), Declarative Device Management, Automated Device Enrollment, установка конфигурационных профилей, установка приложений (включая распространение корпоративных приложений) и обновления ПО.

Явно указаны два исключения. Соединения с сервером SCEP при установке профиля или разрешении ресурса DDM не затрагиваются. Также не затрагиваются серверы кеширования контента, даже когда они отдают ресурсы для приложений или обновлений ПО.

В 27.0 меняются последствия. В статье Apple сказано: «Несоответствующие требованиям соединения блокируются, а сообщения в журнале отображаются как ошибки, а не предупреждения». Сама проверка не нова. В более ранних версиях эти нарушения уже записывались в журнал как предупреждения, и именно это делает возможным аудит уже сейчас.

Где всё ещё может скрываться устаревший TLS

Публичные сервисы MDM соответствуют требованиям уже много лет. Риск кроется в том, что вы размещаете или добавляете в путь управления самостоятельно:

• Самостоятельно размещённый MDM за устаревшим обратным прокси или балансировщиком нагрузки, где конфигурация TLS была задана один раз и никогда не пересматривалась
• Внутреннее распространение приложений — сервер, на котором размещены манифесты корпоративных приложений и файлы .ipa или .pkg
• Хосты пакетов и ресурсов, на которые указывают декларации ресурсов DDM или пользовательские сценарии установки
• Межсетевые экраны и прокси с проверкой TLS, которые повторно подписывают трафик собственным сертификатом, и этот сертификат тоже должен соответствовать тем же требованиям к размеру ключа и хешу
• Устаревшие цепочки сертификатов — ключи RSA 1024 бит или подписи SHA-1 у внутреннего центра сертификации
• Устаревшие стеки TLS, которые согласуют TLS 1.2, но не поддерживают расширение extended master secret

Как провести аудит до обновления ваших Mac

Шаг 1. Проверьте каждый сервер с помощью nscurl

В состав macOS входит инструмент для проверки ATS. Направьте его на каждый сервер на вашем пути управления:

nscurl --ats-diagnostics https://mdm.example.com

Он пробует соединение с рядом конфигураций ATS и для каждой выводит Result : PASS или Result : FAIL. В данном случае важен первый блок — Default ATS Secure Connection. В качестве проверки мы запустили его на Mac с Tahoe против двух публичных серверов. www.apple.com прошёл все 61 проверку. Публичный тестовый сервер, предлагающий только TLS 1.0, не прошёл ни одной — начиная с проверки безопасного соединения по умолчанию.

Шаг 2. Проверьте extended master secret

nscurl не выделяет EMS отдельно, а это как раз то требование, которое чаще всего не выполняют старые стеки TLS. OpenSSL 3.x сообщает о нём напрямую. Системный openssl в macOS — это LibreSSL, поэтому используйте версию из Homebrew:

echo | openssl s_client -connect mdm.example.com:443 -tls1_2 -servername mdm.example.com 2>/dev/null \
  | grep -E "Protocol|Cipher|Server public key|Extended master secret"

Для www.apple.com это выводит Protocol: TLSv1.2, шифр ECDHE-RSA-AES256-GCM-SHA384, ключ сервера на 2048 бит и Extended master secret: yes. Вы хотите, чтобы каждый сервер на пути выглядел так же или лучше.

Шаг 3. Пусть об этом расскажут сами устройства

Проверка сервер за сервером охватывает только те серверы, о которых вы знаете. Рекомендуемый Apple аудит выявляет остальное, фиксируя, к чему устройства подключаются на самом деле:

1. Установите на тестовый Mac профиль Apple Network Diagnostics Logging.
2. Запустите интересующие вас процессы: регистрацию, установку профиля, установку приложения, обновление ПО.
3. Соберите sysdiagnose с этого Mac.
4. Выполните поиск в архиве журналов с предикатом Apple:

log show --archive system_logs.logarchive --info -P "p=appstoreagent|appstored|managedappdistributionagent|managedappdistributiond|ManagedClient|ManagedClientAgent|mdmclient|mdmd|mdmuserd|MuseBuddyApp|NanoSettings|Preferences|profiled|profiles|RemoteManagementAgent|remotemanagementd|Setup|'Setup Assistant'|'System Settings'|teslad|TVSettings|TVSetup|XPCAcmeService AND s=com.apple.network AND m:'ATS Violation'|'ATS FCPv2.1 violation'"

На Mac с 26.x любые совпадения являются предупреждениями: эти соединения будут заблокированы, когда Mac обновится. На Mac с 27.0 те же совпадения отображаются как ошибки, а значит, эти соединения уже не работают.

Запустите проверку на Mac с Tahoe — и вы получите список того, что сломается, ещё до того, как это действительно произойдёт.

Чек-лист развёртывания

Вот порядок действий, который мы бы рекомендовали для парка, готовящегося к первым обновлениям на 27.0:

1. Составьте список всех серверов на пути управления: сервер MDM и URL-адреса check-in, конфигурацию Automated Device Enrollment, хосты манифестов приложений и пакетов, URL-адреса ресурсов DDM, а также любые прокси или межсетевые экраны, проверяющие этот трафик.
2. Запустите nscurl --ats-diagnostics для каждого из них и исправьте всё, что не проходит проверку безопасного соединения по умолчанию.
3. Проверьте EMS с помощью OpenSSL 3.x на каждом сервере, который терминирует TLS 1.2.
4. Проведите аудит журналов по методике Apple на одном тестовом Mac с Tahoe, пройдя полный цикл от регистрации до обновления.
5. Воссоздайте политику обновлений декларативно: декларации принудительной установки для целевых версий, softwareupdate.settings для отсрочек, автоматических действий и Background Security Improvements.
6. Переключите отчётность с OSUpdateStatus и AvailableOSUpdates на декларативные элементы статуса.
7. Проверьте свою автоматизацию на наличие имён устаревших команд: ScheduleOSUpdate, ScheduleOSUpdateScan, AvailableOSUpdates, OSUpdateStatus.
8. Предупредите службу поддержки, что сокрытие обновлений на основе периодичности в 27.0 больше не работает, и объясните, что вместо этого увидят пользователи.
9. Обновите пилотную группу и убедитесь, что регистрация, установка приложений и принудительная установка обновлений по-прежнему работают на реальном оборудовании с 27.0, прежде чем расширять развёртывание.

Решение распространённых проблем

Mac с 27.0 игнорирует установленный вами срок обновления

Проблема: Mac, обновлённый до Golden Gate, не устанавливает минорное обновление, которое требует ваша политика.

Решение: Проверьте, какой механизм использует политика. Если это устаревшая команда ScheduleOSUpdate или ограничение MDM, на 27.0 они больше не работают. Вместо этого доставьте декларацию softwareupdate.enforcement.specific, а если обновление всё равно не устанавливается, прочитайте статус softwareupdate.failure-reason устройства.

В отчётах об обновлениях новые Mac отображаются как «unknown»

Проблема: Панель мониторинга обновлений не показывает данных для Mac на 27.0.

Решение: Панель мониторинга читает ответы устаревших запросов. Переключите её на декларативные элементы статуса softwareupdate.install-state и softwareupdate.pending-version.

Регистрация работает на Tahoe, но завершается ошибкой на Golden Gate

Проблема: Новый Mac с 27.0 завершается ошибкой во время Automated Device Enrollment, тогда как Mac с Tahoe с той же конфигурацией проходит регистрацию успешно.

Решение: Пока не доказано обратное, считайте, что это изменение TLS. Проверьте каждый URL в процессе регистрации с помощью nscurl --ats-diagnostics и посмотрите в журналах устройства ошибки ATS от mdmclient, Setup Assistant или profiles.

Корпоративные приложения не устанавливаются на 27.0

Проблема: Собственные приложения, распространяемые с вашего сервера, не устанавливаются.

Решение: Хост манифеста или пакета, вероятно, не соответствует требованиям TLS. Часто это устаревший веб-сервер, который никогда не входил в периметр усиления безопасности MDM. Серверы кеширования контента исключены, поэтому проблема — в исходном хосте.

Межсетевой экран с проверкой TLS нарушает трафик управления

Проблема: Всё работает вне корпоративной сети и не работает внутри неё.

Решение: Устройство, выполняющее проверку, повторно подписывает соединения собственным сертификатом и настройками TLS, которые теперь тоже должны соответствовать требованиям ATS. Либо обновите его конфигурацию, либо исключите ваши хосты управления и конечные точки MDM Apple из проверки.

Часто задаваемые вопросы

Работают ли устаревшие команды обновления ПО в macOS 26?

Да. В схеме Apple они помечены как устаревшие в 26.0 и удалённые в 27.0, поэтому Mac на Tahoe их по-прежнему соблюдают. Mac на 27.0 — нет. На переходный период задавайте политики декларативно, чтобы результат был одинаковым для всех Mac.

Чем заменяется настройка рекомендуемой периодичности?

В macOS — ничем напрямую. В схеме Apple декларативный ключ RecommendedCadence помечен как недоступный для macOS. Используйте отсрочки, чтобы скрывать релизы, и декларации принудительной установки, чтобы требовать нужную вам версию.

Затрагивает ли изменение TLS серверы кеширования контента?

Нет. Apple указывает серверы кеширования контента как исключение, «даже при запросе ресурсов, связанных с установкой приложений или обновлениями ПО». Серверы SCEP также исключены.

Как узнать, какие из моих серверов не пройдут проверку, до того как обновится хоть один Mac?

Установите профиль Apple Network Diagnostics Logging на тестовый Mac с Tahoe, запустите свои рабочие процессы, соберите sysdiagnose и выполните в нём поиск с предикатом журнала из статьи поддержки Apple. На 26.x нарушения отображаются как предупреждения, поэтому вы увидите их до того, как они что-либо сломают.

Меняет ли это что-то для Mac, которые не находятся под управлением?

Изменение, касающееся обновлений ПО, — нет. Правило TLS также распространяется на обновления ПО и установку приложений для любого Mac, но обычно они подключаются к собственным серверам Apple, которые ему соответствуют. Проверить, находится ли Mac под управлением, можно командой profiles status -type enrollment. На неуправляемом Mac обе строки будут содержать «No».

Заключение

macOS 27 завершает переход, о котором Apple сигнализировала с момента появления декларативного управления. Управление обновлениями в 27.0 теперь полностью декларативное, а путь управления теперь обеспечивает такой же уровень безопасности транспортного уровня, как любое современное соединение приложения. Ни одно из изменений не затрагивает пользовательский интерфейс, поэтому парк устройств может столкнуться с обоими незаметно — пока не будет пропущен срок или не произойдёт сбой регистрации.

Обеих проблем можно избежать, если провести подготовку уже сегодня, на Tahoe. Проверьте свои серверы, проведите аудит журналов по методике Apple на одном Mac, перестройте политику обновлений декларативно и перенаправьте отчётность. Сделайте это до появления первых Mac на 27.0 — и обновление пройдёт как рутинная процедура.

Похожие материалы: Почему macOS 27 не отображается в Software Update · Background Security Improvements объяснение · macOS 27 блокирует доступ к данным других приложений · Руководство по обновлению в день выхода macOS 27 Golden Gate · Руководство по корпоративному развёртыванию macOS Tahoe