Microsoft Intune中受监督的 iOS/iPadOS 设备的软件更新规划指南和方案

使用软件更新使移动设备保持最新状态至关重要。 你需要降低安全事件的风险，并将对组织和用户的中断降到最低。 在 iOS/iPadOS 受监督的设备上，Intune 具有可管理软件更新的内置策略。

本文包含管理员清单，可帮助你在 iOS/iPadOS 受监督设备上开始使用软件更新。 它还列出了可在环境中配置的常见行业方案和示例策略。

有关创建软件更新策略的具体步骤，请转到 在 Intune 中管理 iOS/iPadOS 软件更新策略。

本文适用于：

• 在 Intune 中注册的 iOS/iPadOS 受监督设备

提示

如果你的设备是个人拥有的，请转到 个人设备的软件更新规划指南。

组织拥有的设备管理员清单

本部分列出了 Microsoft 推荐的在设备上安装软件更新的指南和策略。

✅ 使用策略管理更新

建议创建更新设备的策略。 不建议将此责任赋予最终用户。

默认情况下，用户会收到通知和/或查看其设备上提供的最新更新 (“常规>软件”>汇报) 。 用户可以选择随时下载和安装更新。

当用户安装自己的更新 (而不是管理员管理更新) 时，可能会中断用户的工作效率和业务任务。 例如：

• 用户可以在需要时启动更新，在安装更新时可能无法正常工作。

• 用户可以应用组织未批准的更新。 此决策可能会导致应用程序兼容性问题、操作系统更改或用户体验更改，从而中断设备使用。

• 用户可以避免应用影响安全性或应用兼容性的所需更新。 这种情况可能会使设备面临风险和/或阻止设备正常运行。

✅ 使自动更新保持启用状态

从 iOS/iPadOS 12 开始，当更新可用时，Apple 设备会自动安装更新。 默认情况下，此功能在新设备上启用。 使此功能保持启用状态。

若要使用此自动修补并更快地安装更新，请确保设备：

• 已打开
• 已接通电源
• 已连接到 Internet

当设备打开电源、接通电源并连接到 Internet 时，更新会自动下载 & 安装，然后设备重新启动。 如果设备不符合这些条件，则更新不会自动下载并安装。

若要使设备保持为最新版本，并且只需极少的工作量，请启用自动更新功能：

自动更新与其他更新策略协同工作，这可以为管理员和最终用户提供积极的体验。

使用 Intune 策略，还可以强制用户更新其设备：

• 使用 注册限制 可阻止用户注册不是最新的设备。
• 创建 符合性策略 以确定未更新的设备。
• 创建 条件访问 (CA) 策略 来阻止未更新的设备。 CA 策略还可以提示用户安装当前更新，以便他们重新获得访问权限。

须知内容

• 如果自动更新功能已禁用，则由于 OS 限制，无法使用策略对其进行更改。 必须在设备上手动更改设置，或者必须重置设备 & 重新预配。

• 如果设备配置了 PIN，则必须输入 PIN 才能启动软件更新。 输入 PIN 通常不是信息工作者 1：1 设备的问题。

  在规划展台、工厂车间或无用户方案中的更新时，可能需要调整流程以适应 PIN 行为。

✅ 使用内置设置

若要管理更新，Apple 具有以下选项：

• 声明性设备管理 (DDM)

  在 iOS/iPadOS 17.0 及更高版本上，可以使用 Apple 的声明性设备管理 (DDM) 来管理软件更新。 在设备处理整个软件更新生命周期时，DDM 是一种管理用户体验改进的设备的新方法。 它提示用户更新可用，并下载、准备设备进行安装、& 安装更新。

  DDM 是管理 iOS/iPadOS 17+ 设备上的更新的建议方法。 可以在这些设备上使用 MDM 设置，但不建议这样做。 请改用 DDM 设置。

  这些设置可在 Microsoft Intune 管理中心进行配置。 有关详细信息，请转到 包含设置目录的托管软件更新。

• 软件更新策略

  这些 MDM 策略提供特定版本的受控推出。 还可以强制升级旧版本上的设备。 管理员可以输入 iOS/iPadOS 版本来安装和计划安装。

  这些设置可在 Microsoft Intune 管理中心进行配置。 有关详细信息，请转到 在 Intune 中管理 iOS/iPadOS 软件更新策略。

• 软件更新延迟策略

  这些 MDM 策略可隐藏更新长达 90 天。 它们阻止用户手动将其设备更新到尚未批准的版本。 此功能无法控制何时应用更新。

  这些设置可在 Microsoft Intune 管理中心进行配置。 有关详细信息，请转到 在 Intune 中管理 iOS/iPadOS 软件更新策略。

借助这些功能，管理员可以确保其 Apple 设备运行特定的软件版本，并可以控制其设备中的更新发布。

✅ 创建支持多个时区的策略

所有策略时间都使用协调世界时 (UTC) 。 不使用设备的本地时区。

若要最大程度地减少必须创建和管理的策略数，请创建支持多个时区的配置。 不要为每个时区创建单独的策略。

例如，在美国中，有四个主要时区：太平洋 (UTC-8) 、Mountain (UTC-7) 、Central (UTC-6) 和东部 (UTC-5) 。 可以为每个时区创建单独的策略。 或者，创建一个或两个实现相同结果的策略。

✅ 使用版本设置时要小心

创建软件更新策略时，请注意所有策略中版本详细信息的更广泛影响。

例如：

• 配置将更新延迟 90 天的策略。 如果注册限制策略要求设备具有最新的 iOS/iPadOS 版本，则设备重置后，可能会阻止设备注册。

• 创建一个符合性策略，该策略需要最新的最低 iOS/iPadOS 版本。 使用此策略时，较旧版本的设备将变得不符合要求。 如果使用条件访问强制实施合规性，则会阻止用户，并且无法工作。

常见行业方案

Apple 设备用于各种行业，包括企业、零售、制造和教育。 大多数设备用例可分为以下类型：

• 1：1：设备仅由一个人使用。
• 共享：设备由多人使用。
• 专用：设备用于特定业务目的，例如展台或数字标牌。

下表包含本文使用的常见行业术语：

行业	术语	用例
企业版	知识工作者	1:1
零售版	Kiosk	Dedicated
制造	工厂机器	任务关键型
教育版	分配的设备	共享的内容

本部分介绍一些常见的行业方案，并提供 Intune 策略的示例。

知识工作者

此群体是具有在企业和组织中工作的已获得知识的人员。 他们的知识和思维能力是他们的工作。 一些示例包括工程师、内容开发人员、程序员、会计师、通信、顾问等。

知识工作者通常有自己的设备，仅供他们使用。 它不会与其他用户或其他知识工作者共享。

在知识工作者设备等方案中，主要目标是使更新过程尽可能简单快捷。 其应用大多基于应用商店，应用应与最新的 OS 版本兼容。 在这些设备上，用户通常可以容忍更新提示和/或选择方便的重新启动时间。

这些设备的更新策略和优先级通常包括：

✅ 基本更新配置
✅ 最新版本
✅ 自动更新

方案示例：

你正在为 Contoso 的知识工作者配置更新配置文件。 这些用户主要使用 Microsoft 365 应用和多个批量购买计划 (VPP) 应用。

作为管理员，你熟悉：

• 这些设备运行最新发布的 iOS/iPadOS 版本
• 设备检查 Intune 后立即下载和安装更新
• 允许最终用户决定何时安装更新并重启设备以应用更新

若要实现这些目标，可以使用具有以下默认设置的策略：

亭

这些设备通常是店内零售设备，可以是台式计算机或移动设备。 员工使用它们来为客户服务，并被客户直接用于自助服务任务。 它们还可以是所有客户在本地时看到的视觉显示。

在类似于展台的方案中，更新设备的主要目标是：

• 确保设备是最新的已批准的 OS 更新。
• 管理员管理更新和任何版本控制。
• 安装和重新启动将在营业时间后进行。

这些设备的更新策略和优先级通常包括：

✅ 基本更新配置
✅ 可预测版本控制
✅ 可预测的发布周期

方案示例：

你正在 Contoso 为展台设备配置 iOS/iPadOS 更新配置文件。 这些设备在零售店运行。 员工使用设备每周 7 天为客户提供服务，包括延长零售时间。 这些设备运行由 Contoso 内部开发的单个业务线 (LOB) 展台应用。 此内部应用程序仅按季度进行测试和验证。

你想要部署最近测试此 LOB 应用时使用的特定 iOS/iPadOS 版本，即 iOS 16.3。 如果此展台应用程序无法正常工作，则零售店无法为客户提供服务。 设备连接到 Wi-Fi，并在零售店对客户关闭时在夜间充电。

在商店打开之前，你选择了一个 10 小时的夜间服务时段，可以在其中下载和应用更新。

若要完成此任务，请使用以下设置创建策略：

工厂机器

这些设备通常是单一用途设备。 它们用于任务关键领域，例如生产线或专用设备控制 & 监视。 例如，它可以是运行用于焊接组件的设备的控制或监视软件的 Android 平板电脑。

在工厂计算机方案中，主要目标是确保设备的行为方式一致。 可能需要延迟汇报，以便完成所有应用程序兼容性测试。 安装和重新启动在特定时间进行，通常采用分阶段方法进行部署。

这些设备的更新策略和优先级通常包括：

✅ 高级策略配置
✅ 严格的版本控制
✅ 发布周期缓慢

方案示例：

你正在为 Contoso 工业工厂的制造车间的设备配置更新配置文件。 该设施每年365天全天候运行，但安全检查需要几个小时的强制停工。 这些检查每周的周日清晨进行。

这些设备运行两个供应商应用。 若要保持受支持的配置，这两个应用很少更新，并且必须运行特定版本的应用和 OS。

你希望将特定较旧的 iOS/iPadOS 版本 (15) 部署到这些设备，因为应用供应商尚不支持更高版本。 由于设备几乎始终处于使用状态，所以在周日每周只有一次较小的维护时段。

你想要在周日的两小时停机时段内安排更新。

若要完成此任务，请使用以下设置创建策略：

共享设备

共享设备由许多通常登录和注销设备的用户使用，包括教育环境。 这些设备可以是终端/台式计算机、平板电脑、笔记本电脑和智能手机。 它们通常用于办公室、教室和零售商店。

有关管理共享 iOS/iPadOS 设备的详细信息，请转到 适用于 iOS/iPadOS 的共享设备解决方案。

对于 iOS/iPadOS 共享设备，必须注销所有用户才能应用更新。用户可以注销，也可以重新启动设备，从而自动注销用户。

这些设备的更新策略和优先级通常包括：

✅ 高级策略配置
✅ 可预测版本控制
✅ 受控更新行为

方案示例：

早上，用户 A 在外出前登录到设备以检查电子邮件。 一小时后，UserB 使用相同的设备来运行某些 LOB 应用。

需要为此共享设备配置更新。 这些共享设备由周一到周五上午 8 点到下午 5 点在办公室的普通知识工作者使用。 你希望设备位于支持共享设备上使用的所有应用的最新 iOS/iPadOS 版本上。

若要使策略尽可能简单，你希望更新在典型工作时间之外安装，外加一小时用于重新启动或其他操作。

若要完成此任务，此方案涉及两个策略：

• 在第一个策略中，你希望所有用户在一定时间后注销或重新启动设备。 可以创建 Apple Business Manager 注册配置文件，将空闲时间超过 15 分钟 (900 秒的任何用户注销) ：

  

• 第二个策略使用以下设置计划更新：

  

后续步骤

• 在 Intune 中管理 iOS/iPadOS 软件更新策略
• BYOD 和个人设备的软件更新规划指南和方案
• 托管 Android 设备的软件更新规划指南
• 托管 macOS 设备的软件更新规划指南