Belangrijkste punten
- Apple introduceert Declarative Device Management (DDM) als nieuw kader voor het beheer van endpoints met iOS, macOS, iPadOS en tvOS.
- Het DDM-model brengt beleidshandhaving naar het device zelf, waardoor endpoints hun compliance en configuratie kunnen behouden met minder afhankelijkheid van continue serveropdrachten.
- DDM is vooral waardevol voor organisaties met een groot Apple-apparaatpark: minder netwerkbandbreedte, een lagere belasting van de beheerserver, snellere doorvoering van configuraties en betere schaalbaarheid in gedistribueerde omgevingen.
- Organisaties die DDM invoeren, doen er goed aan hun bestaande beleid te evalueren en declaratieve configuraties stapsgewijs toe te passen waar die worden ondersteund.
Apple brengt doorlopend nieuwe technologieën uit waarmee organisaties devices met iOS, macOS, iPadOS en tvOS kunnen beheren. De traditionele aanpak op basis van commando’s via Beheer van mobiele apparaten (MDM) voldeed prima, maar liep vaak tegen grenzen aan op het gebied van schaalbaarheid en realtime reactievermogen.
Daar komt Apple Declarative Device Management (DDM) om de hoek kijken: devices melden wijzigingen proactief en beheren hun eigen status. In dit artikel gaan we dieper in op de manier waarop dit moderne kader van Apple de relatie tussen de beheerserver en het endpoint verandert.
Van commandogestuurd naar statusgestuurd beheer
Zoals gezegd werkt de traditionele aanpak van Apple device management volgens een structuur van commando en antwoord. Simpel gezegd worden devices beheerd via opdrachten die een centrale MDM-server verstuurt. Vervolgens bevraagt de server de devices om hun actuele status te controleren.
Dit werkt, maar commandogestuurd beheer brengt wel een aantal uitdagingen met zich mee:
- Frequente communicatie met de server
- Vertraagde handhaving wanneer devices offline zijn
- Een hogere belasting van de beheerinfrastructuur
Bij de DDM-aanpak definiëren beheerders daarentegen declaraties, die de gewenste configuratie of compliancestatus van een device beschrijven. Devices vergelijken hun huidige status met die declaraties en passen zo nodig automatisch wijzigingen toe.
DDM vermindert de afhankelijkheid van frequente servercommunicatie en zorgt voor robuustere beleidshandhaving. Deze aanpak verdeelt de intelligentie over het hele apparaatpark in plaats van die volledig bij de beheerserver te leggen.
Het resultaat is een systeem waarin:
- Devices lokaal beoordelen of ze voldoen aan het gedeclareerde beleid en dat ook zo houden
- Beleidshandhaving minder afhankelijk wordt van een permanente verbinding met de server
- Beheerworkflows zich richten op de gewenste uitkomst in plaats van op reeksen commando’s
Autonome handhaving en betrouwbare compliance
Met DDM krijgen devices meer autonomie. Ze kunnen configuratiedrift zelf signaleren en in sommige gevallen lokaal herstellen, waardoor ze minder afhankelijk zijn van continu servergestuurd beheer. Zodra declaraties zijn toegepast, kunnen endpoints bovendien doorlopend hun eigen configuratie beoordelen en afwijkingen automatisch oplossen.
Declarative device management van Apple draagt als volgt bij aan betrouwbare compliance:
- Sneller herstel: devices kunnen compliancefouten direct verhelpen omdat ze het probleem lokaal corrigeren in plaats van te wachten op de volgende check-in bij de server.
- Minder vertraging bij handhaving: beleidswijzigingen worden sneller doorgevoerd omdat devices declaraties zelf interpreteren en toepassen.
- Betrouwbaardere devices op afstand: de handhavingslogica staat op de devices zelf. Devices die tijdelijk geen netwerkverbinding hebben, kunnen eerder uitgerold beleid daardoor lokaal blijven handhaven.
Meer operationele efficiëntie en schaalbaarheid
Binnen het DDM-kader melden devices alleen relevante statuswijzigingen. Dat is efficiënter dan de traditionele MDM-aanpak, waarbij beheersystemen sterk leunen op continu bevragen en het verwerken van commando’s. Organisaties die grote aantallen Apple-devices beheren, profiteren volop van DDM:
- Minder gebruik van netwerkbandbreedte
- Een lagere belasting van de beheerserver
- Snellere doorvoering van configuraties
- Betere schaalbaarheid in gedistribueerde omgevingen
Gevolgen voor governance en beleidsontwerp
Net als elke andere beheeraanpak verandert declaratief beheer van Apple de manier waarop organisaties hun governanceprocessen inrichten.
Commandogestuurde systemen doorlopen stappen zoals het installeren van een configuratieprofiel, het verifiëren van die installatie en het versturen van vervolgcommando’s. DDM-governance draait daarentegen om het definiëren van de juiste devicestatus. Daarbij hoort:
- Een heldere definitie van de basisconfiguratie van devices
- Gestructureerde lifecycle-processen voor het bijwerken van declaraties
- Doorlopende beoordeling van de compliancestatus en statusrapportages van devices
- Afstemming tussen identiteit, toegang en de beveiligingsstatus van devices
Planning van de overgang en bestaande systemen
Apple erkent dat de overgang naar DDM niet van de ene op de andere dag kan plaatsvinden: het kader is ontworpen om naast traditionele MDM-systemen te werken en niet om die te vervangen. Nu Apple de mogelijkheden voor declaratief beheer verder uitbreidt, doen organisaties er goed aan hun migratiestrategie te bepalen. Denk daarbij aan:
- Inventarisatie van devices: breng de huidige devices en beheerde configuratieprofielen in kaart
- Beleid vertalen naar declaraties: zet commandogestuurde workflows om in statusgestuurde declaraties
- Controle van compatibiliteit: ga na of de devices en OS-versies DDM ondersteunen
- Kennisopbouw binnen het team: train IT-teams in de principes van declaratieve governance
Veelvoorkomende misverstanden
Modernisering wordt vaak verkeerd begrepen. We zetten drie hardnekkige misvattingen recht:
Declaratief beheer maakt toezicht overbodig
“Autonoom” betekent niet dat IT-beheerders geen governanceverantwoordelijkheid meer hebben. Ook bij de autonome handhaving van DDM moeten beheerders beleid ontwerpen, compliancesignalen bewaken en de lifecycle-controles onderhouden.
Het vervangt alle traditionele MDM meteen
Zoals gezegd werkt Declarative Device Management (DDM) tijdens de overgang samen met bestaande MDM-platforms. Veel organisaties zullen beide beheermodellen zelfs tegelijk gebruiken en precies zo heeft Apple het kader bedoeld.
Alleen updatebeheer verandert
Workflows voor software-updates zijn weliswaar een veelvoorkomende use case, maar het declaratieve kader strekt zich ook uit tot configuratiehandhaving, compliance van devices en rapportage over de beveiligingsstatus.
Integratie met NinjaOne
NinjaOne is erop ingericht om te integreren met het DDM-kader van Apple. Naarmate deze integratie wordt uitgebreid, moet ze taken als het uitrollen van apps, beleidshandhaving en beveiligingsconfiguratie stroomlijnen zonder dat handmatig ingrijpen van gebruikers nodig is.
Apple endpoint management is in beweging
Declarative Device Management (DDM) laat Apple-devices de gedeclareerde configuratiestatus lokaal behouden door een deel van de handhavingslogica van de server naar het device te verplaatsen. Dat levert voordelen op zoals sneller herstel van complianceproblemen, robuustere beleidshandhaving, minder vertraging bij handhaving en betrouwbaardere handhaving op devices op afstand.
Organisaties met een groot Apple-apparaatpark profiteren van minder netwerkbandbreedte, een lagere belasting van de beheerserver, snellere implementatie van configuraties en betere schaalbaarheid. Apple heeft het kader weliswaar ontworpen om naast bestaande MDM-platforms te werken, maar organisaties moeten wel goed begrijpen welke operationele veranderingen de invoering van DDM met zich mee kan brengen.
Gerelateerde onderwerpen:
