Schlüsselpunkte
- Apple führt Declarative Device Management (DDM) als neues Framework für die Verwaltung von Endpunkten mit iOS, macOS, iPadOS und tvOS ein.
- Das DDM-Modell verlagert die Durchsetzung von Richtlinien auf das Gerät selbst. Endpunkte können ihren Compliance- und Konfigurationszustand damit halten, ohne ständig auf Serverbefehle angewiesen zu sein.
- Unternehmen mit großen Apple-Flotten profitieren von DDM durch geringere Netzwerkbandbreitennutzung, weniger Last auf dem Verwaltungsserver, schnellere Verteilung von Konfigurationen und bessere Skalierbarkeit in verteilten Umgebungen.
- Unternehmen, die DDM einführen, sollten ihre bestehenden Richtlinien prüfen und deklarative Konfigurationen schrittweise dort einbinden, wo sie unterstützt werden.
Apple bringt laufend neue Technologien auf den Markt, mit denen Unternehmen Geräte unter iOS, macOS, iPadOS und tvOS verwalten können. Der klassische, befehlsbasierte Ansatz über Mobile Device Management (MDM) war lange Zeit die beste Wahl, stieß aber bei Skalierbarkeit und Reaktionsgeschwindigkeit in Echtzeit regelmäßig an seine Grenzen.
Genau hier setzt Apple Declarative Device Management (DDM) an: Geräte melden Änderungen proaktiv und verwalten ihren eigenen Zustand. In diesem Artikel sehen wir uns an, wie Apples modernes Framework das Verhältnis zwischen Verwaltungsserver und Endpunkt verändert.
Von der befehlsbasierten zur zustandsbasierten Verwaltung
Wie erwähnt folgt die klassische Apple-Geräteverwaltung einem Prinzip aus Befehl und Antwort. Vereinfacht gesagt: Geräte werden über Befehle verwaltet, die ein zentraler MDM-Server ausgibt. Anschließend fragt der Server die Geräte ab, um deren aktuellen Status zu prüfen.
Das funktioniert zwar, bringt aber mehrere Herausforderungen mit sich:
- Häufige Kommunikation mit dem Server
- Verzögerte Durchsetzung, wenn Geräte offline sind
- Höhere Last auf der Verwaltungsinfrastruktur
Beim DDM-Ansatz definieren Administrator:innen dagegen Deklarationen, also die gewünschte Konfiguration oder den gewünschten Compliance-Zustand eines Geräts. Die Geräte gleichen ihren aktuellen Zustand mit diesen Deklarationen ab und nehmen bei Bedarf automatisiert Änderungen vor.
DDM verringert die Abhängigkeit von häufiger Serverkommunikation und ermöglicht eine robustere Durchsetzung von Konfigurationen. Die Intelligenz verteilt sich so über die gesamte Geräteflotte, statt sich vollständig auf dem Verwaltungsserver zu konzentrieren.
Das Ergebnis ist ein System, in dem:
- Geräte lokal prüfen, ob sie die deklarierten Richtlinien einhalten, und diesen Zustand selbst halten
- die Durchsetzung von Richtlinien weniger stark von einer durchgehenden Serververbindung abhängt
- administrative Workflows sich am gewünschten Ergebnis orientieren statt an Befehlsketten
Eigenständige Durchsetzung und verlässliche Compliance
Mit DDM gewinnen Geräte deutlich mehr Eigenständigkeit: Sie erkennen Konfigurationsabweichungen und beheben sie teilweise lokal, ohne dauerhaft auf servergesteuerte Verwaltung angewiesen zu sein. Endpunkte können ihre eigene Konfiguration damit fortlaufend bewerten und Abweichungen automatisiert korrigieren, sobald Deklarationen angewendet wurden.
Apples Declarative Device Management stärkt die Verlässlichkeit der Compliance auf folgende Weise:
- Schnellere Behebung: Geräte können Compliance-Verstöße sofort entschärfen, weil sie das Problem lokal korrigieren, statt auf das nächste Check-in beim Server zu warten.
- Weniger Verzögerung bei der Durchsetzung: Richtlinienänderungen greifen schneller, weil die Geräte die Deklarationen selbst interpretieren und anwenden.
- Höhere Zuverlässigkeit bei Remote-Geräten: Die Durchsetzungslogik liegt auf den Geräten selbst. Dadurch können Geräte, die vorübergehend nicht mit dem Netzwerk verbunden sind, zuvor ausgerollte Richtlinien lokal weiter durchsetzen.
Mehr Effizienz und bessere Skalierbarkeit im Betrieb
Im DDM-Framework melden Geräte ausschließlich relevante Zustandsänderungen. Das ist effizienter als der klassische MDM-Ansatz, bei dem Verwaltungssysteme stark auf fortlaufendes Polling und die Verarbeitung von Befehlen angewiesen sind. Besonders Unternehmen mit großen Apple-Geräteflotten profitieren von DDM:
- Geringere Netzwerkbandbreitennutzung
- Weniger Last auf dem Verwaltungsserver
- Schnellere Verteilung von Konfigurationen
- Bessere Skalierbarkeit in verteilten Umgebungen
Auswirkungen auf Governance und Richtliniendesign
Wie jeder Verwaltungsansatz verändert auch Apples deklarative Verwaltung die Art und Weise, wie Unternehmen ihre Governance-Prozesse gestalten.
Befehlsbasierte Systeme arbeiten Schritt für Schritt: Konfigurationsprofil installieren, Installation überprüfen, Folgebefehle senden. DDM-Governance konzentriert sich stattdessen darauf, den korrekten Gerätezustand zu definieren. Dazu gehören:
- Eine klare Definition der Basiskonfigurationen für Geräte
- Strukturierte Lifecycle-Prozesse für Aktualisierungen von Deklarationen
- Die laufende Überprüfung von Compliance-Status und Zustandsberichten der Geräte
- Die Abstimmung von Identität, Zugriff und Gerätezustand
Umstiegsplanung und Umgang mit Altsystemen
Apple ist sich bewusst, dass der Umstieg auf DDM nicht von heute auf morgen gelingt. Das Framework wurde bewusst so entworfen, dass es parallel zu klassischen MDM-Systemen läuft und diese nicht ersetzt. Da Apple die Möglichkeiten der deklarativen Verwaltung weiter ausbaut, sollten Unternehmen ihre Migrationsstrategie planen. Dazu können gehören:
- Geräteinventar: Eine Bestandsaufnahme der aktuellen Geräte und der verwalteten Konfigurationsprofile
- Zuordnung von Richtlinien zu Deklarationen: Die Übertragung befehlsbasierter Workflows in zustandsbasierte Deklarationen
- Prüfung der Gerätekompatibilität: Die Kontrolle, ob Geräte und Betriebssystemversionen DDM unterstützen
- Schulung des Teams: Die Weiterbildung der IT-Teams zu den Konzepten deklarativer Governance
Häufige Missverständnisse
Modernisierung wird oft falsch verstanden. Räumen wir mit drei verbreiteten Irrtümern auf:
Deklarative Verwaltung macht Kontrolle überflüssig
„Eigenständig“ bedeutet nicht, dass die Governance-Verantwortung der IT-Administrator:innen entfällt. Auch bei der eigenständigen Durchsetzung durch DDM müssen Administrator:innen Richtlinien entwerfen, Compliance-Signale überwachen und Lifecycle-Kontrollen aufrechterhalten.
DDM ersetzt sofort jedes klassische MDM
Wie bereits erwähnt arbeitet Declarative Device Management (DDM) während der Übergangsphase parallel zu bestehenden MDM-Plattformen. Viele Unternehmen werden beide Verwaltungsmodelle sogar gleichzeitig betreiben, genau so hat Apple das Framework konzipiert.
Betroffen ist nur die Update-Verwaltung
Workflows für Software-Updates sind zwar ein verbreiteter Anwendungsfall, doch das deklarative Framework reicht weiter: Es umfasst auch die Durchsetzung von Konfigurationen, die Compliance von Geräten und die Berichterstattung zum Gerätezustand.
Integration mit NinjaOne
NinjaOne ist auf die Integration mit Apples DDM-Framework ausgelegt. Mit dem weiteren Ausbau dieser Integration sollen Aufgaben wie App-Bereitstellung, Durchsetzung von Richtlinien und Sicherheitskonfiguration einfacher werden, ganz ohne manuelles Eingreifen der Benutzer:innen.
Das Endpunkt-Management für Apple-Geräte entwickelt sich weiter
Declarative Device Management (DDM) verlagert einen Teil der Durchsetzungslogik vom Server auf das Gerät. So können Apple-Geräte die deklarierten Konfigurationszustände lokal halten. Das bringt Vorteile wie eine schnellere Behebung von Compliance-Problemen, eine robustere Durchsetzung von Richtlinien, weniger Verzögerung bei der Durchsetzung und eine höhere Zuverlässigkeit bei Remote-Geräten.
Für Unternehmen mit großen Apple-Flotten zählen zu den Vorteilen von DDM eine geringere Netzwerkbandbreitennutzung, weniger Last auf dem Verwaltungsserver, eine schnellere Implementierung von Konfigurationen und eine bessere Skalierbarkeit. Apple hat das Framework zwar für den Parallelbetrieb mit bestehenden MDM-Plattformen entworfen, dennoch sollten Unternehmen verstehen, welche Veränderungen im Betrieb die Einführung von DDM mit sich bringen kann.
Verwandte Themen:
