[[91883]]

此舉將給對于移動 技術的使用態度帶 來巨大而積極的轉 變，我甚至可以大 膽地說一句連PC技 術也將包含在內。 特別是對于使用這 些API的第三方工 具以及軟件開發人 員。

改變企業游戲規則

蘋果在iOS及OS X中推出的針對內容的新型管理API 應該會進一步降低IT管理員及CSO們對安全問題的疑 慮，同時不會影響用戶的自由空間。

如果有某家公司能夠在實現企業 移動安全的同時保持用戶的自由使 用空間，那一定就是蘋果。事實也 的確如此，蘋果在保證用戶享受iOS  7及OS X 10.9 Mavericks新型內 容與應用管理API的同時，也將安 全水平提升到新的高度（具體細節 稍后再進行討論）。   此舉將給對 于移動技術的使用態度帶來巨大而 積極的轉變，我甚至可以大膽地說 一句連PC技術也將包含在內。特 別是對于使用這些API的第三方工 具以及軟件開發人員。

幾乎很少有商業應用敢于頂住風 險提供移動應用管理（簡稱MAM）API， 愿意支持多套API的產品就更少了。 IT部門也往往不愿從根本層面采取這 種保護措施——理由很簡單，一旦將 這些專有API嵌入到自己的應用程序 當中，他們就會被鎖定在特定供應商身 上。移動安全是一片年輕而充滿風險的 市場，過早下注實在不夠明智。另外， 我們也知道幾乎沒有哪家企業會重新調< 整陳舊應用——那些對ActiveX及IE 存在嚴重依賴性但卻仍然活躍在我們視 野當中的應用能夠充分證明這一點。

這是個不可告 人的秘密—— 盡管針對移動 內容“丟失” 的警鐘響個不 停，但多年來 PC平臺也始終 存在著同樣的 問題。

情況也確實如此：AirWatch、Centrify、 思杰、Good Technology、MobileIron、Mob- ileSpace以及其它多家廠商都已經確定將在 其管理工具當中采用這項技術——其中一些 目前已正式上市。有趣的是，MobileSpace公 司還為Android平臺帶來了類似的功能。

當蘋果在2010年夏季發布的iOS 4.2中 采用Exchange ActiveSync（簡稱EAS）并添 加自有管理與安全API時，企業就已經加入 了這場影響深遠的移動變革。幾乎在一夜之 間，IT部門得以強制執行密碼政策、核實設 備上的加密機制是否啟用，甚至根據合法安 全需要限制設備對于特定Wi-Fi網絡、裝置 以及各類服務的訪問。隨著時間的推移，蘋 果已經在各iOS后續版本當中逐步改進這些 控制機制，并將成果添加到OS X當中。谷 歌在Android平臺上借鑒了基礎API，三星 則通過改進使其更接受蘋果產品的實際效果。

因此，移動設備管理（簡稱MDM）已經 成為近乎標準化的普及型安全方案。這也解 釋了為什么有這么多供應商及IT部門開始 將注意力轉移到其它難題身上：失去對企業 信息的控制權，例如郵件附件、工作文檔等 等。MDM能夠有效阻斷或者限制針對特定應 用程序及網絡服務的訪問，但卻對內容管理 無能為力。

面對新的難題，業界也作出積極響應， 推出大量專有工具、要求開發人員使用供應 商指定的API并使用廠商自有管理工具（或 者來自合作方的相關工具）。

蘋果的新型管理API在很大程度上杜絕了 此類專有工具的泛濫。如果大家已經或者正打 算使用這類工具，請盡早罷手。只需支付一百 美元成為蘋果開發者、學習蘋果API并將其引 入自己的應用程序，一切問題都將迎刃而解— —無論是對企業內部應用還是App Store消費 應用都是如此。可以肯定的是，每一家主流移 動管理工具廠商都將支持這些API，因為它們 同時支持OS X應用。蘋果所提供的通用型API 在所有應用中都能起效、且適用于任何管理服 務器。如果大家需要更多深層功能，則可以考 慮使用專有API——目前Apperian、Good Technology以及MobileIron等廠商都提供以 蘋果API為基礎的豐富多層控制機制。

事實上，新型蘋果API也為Windows PC 的內容安全之路指明了方向。這是個不可告人 的秘密——盡管針對移動內容“丟失”的警鐘 響個不停，但多年來PC平臺也始終存在著同樣 的問題，而且始終未能出現切實有效的解決辦 法。但現在不同了，Mac已經獲得了與移動設備 相同的安全機制。也許微軟也會將蘋果API部 署到Windows PC當中，從而真正在不影響使用 的前提下實現安全訴求。

iOS 7與OS X Mavericks為我們帶來了關鍵 性內容與應用程序管理API以及相關功能。蘋果 自然也在其開發者網站上提供了大量說明文檔（ 需要開發者權限方可閱讀）以及針對IT部門的 功能概述。

OS X Mavericks 的密碼政策已經 能夠識別iOS 7 系統，因此IT 部門可以不必再 擔心不同次級系 統版本所帶來的 小麻煩。

管理“在……中打開

“在……中打開”旨在幫助用戶在iOS中的一 個應用中打開其它應用數據。iOS系統并未使用 共享式文件系統，從而避免惡意軟件攻擊并保證 不同應用程序的內容互不干擾。相反，應用會指 定彼此全部支持的某種文件格式，并接受來自其 它應用的數據。用戶點擊“分享”按鈕或者其它 能夠觸發“在……中打開”功能的情況下查看兼 容當前文件格式的其它應用。當前文件會調用被 選中的應用并向其發送被選中的文件。舉例來說， 大家可以通過這種方式將郵件應用中的文件附件 移動到GoodReader或者Dropbox當中，也可以將Dropbox中的內容移動到蘋果Pages或者谷歌Quickoffice當中。

我曾就此事與蘋果公司展開討論，而其競爭對 手則開發出一套更為細化的信息管理標準——也就是InfoTrust。   iOS 無法同時運行多個應用實例，因此大家不能同時擁有一個未受管個人副本與一個受管工作副本，MobileSpaces公司營銷副總裁Dan Dearing指出。（Android則不受單一實例規則的約束。）這正是蘋果新型應用程序管理方案的最大弱點：蘋果真的應該以iOS 7為契機推出至少兩個應用實例的支持能力，這樣用戶就可以獨立運行Dropbox、Box、Quickoffice、iWork等應用實例，其中一個由工作區管理、另一個由個人使用環境管理。

 iOS 7及OS X Mavericks中的新型API允 許大家指定哪些應用有權發送“在……中打開” 調用——這基本上相當于一種白名單機制，幫助 應用從用戶配置或者管理的應用中獲取數據。這 種管理機制源自賬戶層級，因此所有由企業方面 配置的賬戶（包括郵件與日歷）及應用都遵循“ 在……中打開”政策組的要求。需要著重強調的 是，受管“在……中打開”都屬于非黑即白機制： 所有受管應用（即由公司配置的應用）都擁有同 一套“在……中打開”政策，而所有未受管應用 （即那些由用戶配置的、來自App Store的應用） 都不遵循“在……中打開”政策，MobileIron公 司戰略副總裁Ojas Rege指出。

不過新型受管“在……中打開”方案也存在 局限，當一款應用既屬于個人類型、又被包含在 業務用途當中時，問題就會出現——目前符合此 類情況的商用應用數量不少。“在……中打開”政 策對應用中的任何文檔生效，因為像郵件這樣的 應用程序根本無從知曉內部數據到底屬于業務類 型還是個人類型。

在這一設想成為現實之前，IT部門仍然很難將受管 “在……中打開”機制應用到Quickoffice以及Pages 等日常應用當中，因為iOS只能同時支持一個運行實例； 換言之，應用程序要么處于受管狀態、因而只能由業務 環境使用；要么處于非受管狀態、只能由個人需求使用。 更進一步來說，如果一臺設備已經擁有一個個人應用副 本，那么如果想將其納入受管“在……中打開”的作用 范疇，用戶必須移除該應用、而后重新安裝由企業配置 的應用副本，Rege指出。

解決單一實例限制的方法之一在于允許開發人員在 公共App Store當中銷售一個版本、另在企業App Store 當中發布一個版本，這樣iOS就能將二者視為彼此獨立 的兩個應用并將其同時安裝在同一臺設備當中。這意味 著用戶不得不用自己的頭腦將兩個應用版本硬性區分開 來——這種方式也許非常笨拙，但卻是惟一的解決方案。 在這種情況下，對商業開發人員而言只有專有應用管理 系統（例如Good公司的Dynamics以及MobileIron的 App@Work）才值得為之分別創建業務與個人兩個版本。

需要指出的是，這種應用程序沖突不會影響到 面向賬戶的應用，例如郵件、記事本、日歷以及提 醒事項等。iOS一直將此類應用中的數據根據賬戶 加以隔離，因此它“知曉”來自企業Exchange服務器的數據不應與家中的IMAP（即消息訪問協議）來 源混雜在一起。正因為如此，企業可以在不影響個 人郵件的前提下實現業務郵件清理功能。iOS 7能 夠非常簡便地將企業賬戶與由企業配置的應用對接 在一起（事實上應用配置通過的是企業賬戶所使用 的同一臺服務器），這樣Exchange郵件的“在…… 中打開”就可以被限制在某些特定應用當中，但卻 不會影響其它賬戶的“在……中打開”政策。

單點登錄與統一密碼政策

iOS 7 與OS X Mavericks利用所謂“共享鑰匙 串”實現存儲統一與登錄密鑰訪問，因此各類應用 程序及托管機制可以通過一臺MDM服務器利用這一 功能。

在iOS的其它早期版本當中，企業中的內部開 發團隊可以通過共享式鑰匙串實現企業應用的單點 登錄。與之類似，擁有一整套應用組合的開發人員 也可以利用該功能實現同樣的效果。

以Kerberos為基礎的新型單點登錄機制允許IT 部門將這些共享式鑰匙串與單獨應用的密鑰相結合， 這樣只需一次通用登錄、所有已關聯的應用程序密 碼都將被解鎖。單點登錄密碼由iOS負責保存而并 非應用本身，同時受到使用者管理服務器的管理。大 部分應用程序無需重新編碼即可實現與單點登錄機制 的兼容。不過IT部門仍然需要負責單點登錄方案的 部署——即保證Kerberos密鑰機制能夠通過VPN而 非互聯網被使用者訪問，MobileIron公司的Rege指 出。

AirPlay、AirPrint以及字體管理

iOS還擁有另一大獨特亮點，即利用某種新型API 允許MDM服務器強制將內容以鏡像形式投映到Apple TV 或者其它AirPlay目標設備之上，例如作為公共設備的 iPad。iOS設備的政策適用范圍還包括獲準接入的 AirPlay白名單及其密碼，因此企業完全可以通過對受管 設備的配置以自動化方式將其與會議室中的Apple TV相 連，而且完全不必當著用戶們的面輸入密碼。與之類似， 大家也可以配置獲準AirPrint目標設備（也就是打印 機）。

而在iOS與OS X兩套系統平臺上，我們現在都可以 在設備上安裝字體，例如確保整個企業都使用同樣的字體 顯示風格。

為每款應用提供獨立VPN與Web內容過濾機制

iOS與OS X中的新機制允許由企業進行配置的應用使 用獨立的VPN連接，這樣企業就不必擔心某些用戶打開設 備級VPN連接后在其上運行其它不符合政策要求的應用了。 這種作法同時也確保了個人應用數據不會與企業VPN產生 不必要的交集——這同時也是困擾傳統設備VPN連接的另 一個難題。在iOS當中，應用程序需要通過政策進行配置， 從而在其被安裝完成后即具備只適用于自身的特定VPN； 而且這一配置無法在其后重新進行。值得一提的是，大家 的VPN需要支持各應用獨立通道功能，因此請認真向VPN 垂詢其方案與iOS 7之間的兼容性，Rege指出。

iOS的另一大特性是，政策同樣可用于管理Web內容 過濾機制。