Apple
在管理一批用 MDM 集中控管的 Mac 時，常常會遇到一個問題：某個 preference key，使用者自己用 defaults write 改過一次，管理員可能又用 sudo defaults write 在系統層級動過一次，最後 MDM 又把同一個 key 標成 Managed（強制）。這時候系統實際生效的到底是哪一個值？ Apple 官方文件對 CFPreferencesAppValueIsForced 這支 API 的說明相當簡略，只告訴你這個 API 可以拿來判斷某個 key 是不是被強制，卻沒有把整個 preference 搜尋順序裡各層級的先後關係講清楚。網路上能找到的資訊也大多是憑印象轉述，沒有人真的擺出證據。 與其對著文件猜，不如自己寫一支工具，實際測給自己看。以下這篇的測試環境是 macOS Tahoe 26.6.
Apple
在大部分的情況下，若使用者忘記本地密碼，通常會立刻向 IT 團隊求救協助重新設定密碼。而在 FileVault 有啟用的前提下，IT 團隊通常有以下選項來協助使用者： 1. 提供 FileVault Recovery Key 給使用者 2. 在使用者的電腦上登入另一個管理員帳號，並重設使用者密碼 3. 使用 Jamf Policy 重設使用者密碼 以上三種選項，最方便的就是提供 FileVault Recovery Key，但對於某些環境比較嚴格的公司來說，提供 Recovery Key 給到使用者可能不是最佳解，原因是： 1. 比較嚴格的公司可能同時會設定 recoveryOS Password，因此必須連同這道密碼一併給出。這會增加資安上的考量。 2. 另一方面，比較嚴格的公司可能只會給一般使用者的權限，當使用者能利用 FileVault Recovery Key 重設自己的密碼，也有可能拿這個
Apple
Configuration Profile 其實只是一份 XML 文件並經過簽署，因此用一般的文字編輯器打開時，大多數文字都像是亂碼一樣無法閱讀，尤其像從 Jamf Pro 下載的描述檔就會長成這個樣子，因為會經過 Jamf Built-in CA 簽署。 要把 Configuration Profile 移除簽署並重新排列為 XML 的縮排格式，透過以下兩行指令就可以了： security cms -D -i /某某.mobileconfig > 輸出.plist plutil -convert xml1 輸出.plist
Apple
自 2012 年起，macOS 開始內建 GateKeeper 安全技術。GateKeeper 可以保護確保使用者正在執行的應用程式未經過第三方修改，也沒有惡意程式碼在其中。接著從 macOS 10.15 起，macOS 更進一步要求所有在 2019 年 6 月 1…