在 Microsoft Intune 中使用 MDM 型原則管理 macOS 軟體更新

您可以使用 Microsoft Intune 來管理已註冊為受監督裝置之 macOS 裝置的軟體更新。 使用這些 MDM 型原則，您可以：

• 遠端管理當下列類型的更新可用時，下載、安裝和通知應如何發生：

  • 重大更新
  • 韌體更新
  • 組態檔更新
  • 所有其他更新 (作業系統、內建應用程式)

• 建立決定更新安裝時間的排程。 排程可以很簡單，例如在下次裝置簽入時安裝更新。 或者，您可以建立更新可以安裝或封鎖安裝更新的白天範圍。

根據預設，裝置大約每隔 8 小時會簽入一次 Intune。 如果透過更新原則提供更新，裝置會下載更新。 然後，裝置會在排程設定內的下次簽入時安裝更新。

本功能適用於：

• macOS 12 - macOS 15 (受監督的)

設定原則

1. 登入 Microsoft Intune 系統管理中心。

   提示

   如需管理軟體更新和裝置上更新體驗的詳細資訊，請參閱 管理 Apple 裝置的軟體更新 - Apple 平台 部署網站上的 Apple 支援。

2. 選取 [>裝置]>macOS 的更新原則建立設定檔。

3. 在 [基本] 索引標籤上，指定此原則的名稱、指定描述 (選用) ，然後選取 [下一步]。

4. 在 [更新原則設定] 索引標籤上，設定下列選項：

   

   1. 針對 重大、 韌體、 設定檔案及所有其他 更新 (OS、內建應用程式) ，可以設定下列安裝動作：

      • 下載並安裝： 根據目前狀態下載或安裝更新。

      • 僅下載： 下載軟體更新而不安裝。

      • 立即安裝：下載軟體更新並觸發重新啟動倒數計時通知。 建議針對無使用者裝置執行此動作。

      • 僅通知：下載軟體更新並透過 [系統設定] 通知使用者。

      • 稍後安裝：下載軟體更新，稍後再安裝。 此動作不適用於主要作業系統升級。

        當您針對 *所有其他更新 (OS、內建應用程式) 設定 [ 稍後安裝 ] 時，下列設定也可供使用：

        • 使用者延遲上限：當 [ 所有其他更新 ] 更新類型設定為 [ 稍後安裝] 時，此設定可讓您指定使用者在安裝次要作業系統更新之前可以延後的次數上限。 系統每天提示使用者一次。 適用於執行 macOS 12 和更新版本的裝置。

        • 優先順序：當 [ 所有其他更新 ] 更新類型設定為 [ 稍後安裝] 時，請為下載 & 準備次要作業系統更新的排程優先順序指定 [ 低 ] 或 [高 ] 值。 適用於執行 macOS 12.3 和更新版本的裝置。

      • 未設定：沒有對軟體更新採取任何動作。

      注意事項

      採用 Apple Silicon 的裝置需要 MDM 發行的啟動程序權杖來驗證自動化、非互動式更新和升級。

   2. 排程類型： 設定此原則的排程：

      • 下次簽入時更新：下次使用 Intune 簽入時，更新會安裝在裝置上。 此選項是最簡單的，沒有額外的配置。

      • 在排程時間內更新： 您可以設定一或多個時間視窗。 在這些時段內，更新會在簽入時安裝。

      • 在排程時間外更新：您可以設定一或多個時間窗口。 在這些時段內，更新不會在簽入時安裝。

   3. 每週排程：如果選擇 下次簽入時更新以外的排程類型，請設定下列選項：

      

      • 時區： 選擇時區。

      • 時間範圍：定義一或多個時間區塊，以限制更新安裝的時間。 下列選項的效果取決於您選取的排程類型。 有開始日和結束日，支援隔夜區塊。 選項包括：

      • 開始日：選擇排程視窗開始的日期。

      • 開始時間： 選擇排程視窗開始的時間日期。 例如，您選取 5 AM，而且在 排程時間內具有 [更新] 類型的排程。 在此案例中，上午 5 點是可以開始安裝更新的時間。 如果您選擇的更新排程類型在 排程時間之外，則上午 5 點是無法安裝更新一段時間的開始。

      • 結束日期：選擇排程視窗結束的日期。

      • 結束時間：選擇排程視窗停止的時間。 例如，您選取 [凌晨 1 點]，且在 排程時間內具有 [更新] 類型的排程類型。 在此案例中，凌晨 1 點是無法再安裝更新的時間。 如果您選擇的更新排程類型在 排程時間之外，則凌晨 1 點是可以安裝更新一段時間的開始。

   如果未設定開始或結束時間，則設定不會有任何限制，而且可以隨時安裝更新。

   提示

   您可以部署設定目錄原則，在受監督的 macOS 裝置上，在指定的一段時間內向裝置使用者隱藏更新。 如需詳細資訊，請參閱下一節 ：延遲更新的可見度。

5. 設定 更新原則設定之後，選取 [下一步]。

6. 在 [範圍標記] 索引標籤上，選取 [+ 選取範圍標記] 以開啟 [ 選取標記] 窗格，如果您想要將它們套用到更新原則。

   • 在 [選取標籤] 窗格上，選擇一或多個標籤，然後 選取 以將它們新增至原則並返回 [範圍標籤] 窗格。

   • 一切準備就緒時，選取 [下一步 ] 以繼續 進行作業。

7. 在 [指派 ] 索引標籤上，選擇 [+ 選取要包含的群組 ]，然後將更新原則指派給一或多個群組。 使用 + 選取要排除的群組 以微調作業。 一切準備就緒時，選取 [下一步 ] 以繼續。

   系統會評估原則所針對之使用者所使用的裝置的更新合規性。 此原則也支援無使用者裝置。

8. 在 [檢閱 + 建立 ] 索引標籤上，檢閱設定，然後在準備好儲存 macOS 更新原則時選取 [建立 ]。 您的新原則會顯示在 macOS 的更新原則清單中。

延遲更新的可見度

當您使用 macOS 的更新原則時，您可能會想要在指定的時段內對受監督的 macOS 裝置使用者隱藏更新。 針對此工作，請使用設定更新限制期間的 macOS 裝置設定類別目錄原則。

限制期間讓您有時間在使用者可以安裝更新之前進行測試。 限制期間結束後，使用者可以看到更新，如果您的更新原則未先安裝更新，使用者可以選擇安裝更新。

如果您使用裝置限制來隱藏更新，請檢閱您的軟體更新原則，以確保原則不會在限制期間結束之前排程該更新的安裝。 軟體更新原則會按照其排程安裝更新，無論裝置使用者如何隱藏或看見更新。

可限制 macOS 裝置上更新可見度的設定位於設定目錄>的[限制] 類別中。 可以用來延遲更新的一些設定範例包括：

• 強制軟體更新延遲
• 強制執行軟體更新 主要作業系統延遲安裝
• 強制執行軟體更新非 OS 延遲安裝延遲

您也可以在 [系統匯報>軟體更新] 類別底下找到相關設定，以管理使用者如何透過系統 UI 手動與更新互動。 不過，來自目標更新原則的更新會覆寫這些設定目錄原則設定。

編輯原則

您可以編輯現有的原則，包括變更限制時間：

1. 選取 macOS 的 裝置>更新原則。 選取您想要編輯的原則。

2. 檢視原則 屬性時，選取您要修改的原則頁面的 [編輯 ]。

   

3. 引進變更之後，選取 [檢閱 + 儲存>] 儲存以 儲存您的編輯。

使用設定目錄設定更多 macOS 軟體更新設定

[限制] 類別包含下列設定，可用來延遲 macOS 軟體更新在裝置上的可見度 (> 裝置依平台>macOS>管理裝置>設定>建立>新原則>設定目錄>限制) ：

• 強制軟體更新延遲：設定延遲裝置上軟體更新的天數。 有了此限制，使用者在軟體更新發行日期後的指定天數之後，不會看到軟體更新。 此值由 [強制延遲的應用程式軟體匯報] 和 [強制延遲的軟體匯報] 使用。

• 強制延遲應用程式軟體匯報：如果為 True，則會延遲使用者對 Safari、XProtect 和 Gatekeeper 等內建軟體的非作業系統軟體匯報可見性。 需要受監督的裝置。 除非 [強制軟體更新延遲 ] 設定為另一個值，否則延遲時間為 30 天。

• 強制執行軟體更新非 OS 延遲安裝延遲：此限制可讓系統管理員設定延遲裝置上應用程式軟體更新的天數。 當此限制存在時，使用者只有在軟體發行後的指定延遲之後，才能看到非 OS 軟體更新。 此值控制強制延遲應用程式軟體匯報的延遲。

• 強制延遲主要軟體匯報：如果設定為 true，則會延遲使用者查看作業系統軟體的主要升級。

• 強制執行軟體更新主要作業系統延遲安裝延遲：此限制可讓系統管理員設定延遲裝置上主要軟體升級的天數。 主要軟體升級是新的主要作業系統版本;例如，macOS 12 Monterrey 和 macOS 13 Ventura。 當此限制就緒時，使用者只有在軟體升級發行後的指定延遲之後，才能看到軟體升級。 此值控制強制延遲主要軟體匯報的延遲。

• 強制延遲軟體匯報：如果為 True，則會延遲使用者對軟體更新的可見度。 在 macOS 中，允許種子組建更新，而不會有延遲。 除非 [強制軟體更新延遲 ] 設定為另一個值，否則延遲時間為 30 天。

• 強制執行軟體更新 次要作業系統延遲安裝延遲：此限制允許系統管理員設定延遲裝置上次要作業系統軟體更新的天數。 次要軟體更新是在主要作業系統升級之間發行的中繼更新;例如，macOS 13.1 和 macOS 13.2。 當此限制就緒時，使用者只有在軟體更新發行後的指定延遲之後，才能看到軟體更新。 此值控制強制延遲軟體匯報的延遲。

[軟體更新] 類別包含下列設定，可用來設定裝置上 macOS 軟體更新選項的使用者體驗 (> 裝置依平台>macOS>管理裝置>設定>建立>新的原則>設定目錄>系統 匯報>軟體更新) ：

• 允許發行前版本安裝：如果為 True，則此電腦上可以安裝發行前版本軟體。

• 啟用自動檢查：如果為 false，則取消選取「檢查更新」選項，並防止使用者變更該選項。

• 自動下載：如果為 false，則取消選取「可在 App Store 下載最新更新時進行下載」選項，並防止使用者變更該選項。

• 自動安裝 App 匯報：如果為 false，則取消選取「從 App Store 安裝 App 更新」選項，並防止使用者變更該選項。

• 自動安裝 macOS 匯報：如果為 false，則會限制 [安裝 macOS 匯報] 選項，並防止使用者變更該選項。

• 設定資料安裝：如果為 false，則限制自動安裝設定資料。

• 重大更新安裝：如果為 false，則會停用重大更新的自動安裝，並防止使用者變更 [安裝系統資料檔案和安全性更新] 選項。

• 限制軟體更新要求管理員安裝：如果為 True，則將應用程式安裝限制為系統管理員使用者。 此金鑰的功能與 App Store 類別中的 [限制 Store 要求管理員安裝] 設定相同。

監視裝置上的更新安裝失敗

在 Microsoft Intune 系統管理中心，移至>macOS 裝置的裝置監視>安裝狀態。

Intune 會列出更新原則所針對的受監督的 macOS 裝置。 此清單不包含最新且狀況良好的裝置，因為 macOS 裝置只會傳回安裝失敗的相關資訊。

針對清單中的每個裝置，[安裝狀態] 會顯示裝置傳回的錯誤。 若要檢視可能安裝狀態值的清單，請在 [macOS 裝置的安裝狀態 ] 頁面上選取 [篩選] ，然後展開 [ 安裝狀態] 的下拉式清單。

後續步驟

監控裝置設定檔