Comment verrouiller le Dock sur un Mac de bibliothèque ou public

Réponse courte : les quatre mêmes clés defaults qui verrouillent n'importe quel Dock de Mac, plus une de plus qui compte bien davantage ici qu'ailleurs : désactivez les apps récentes, car sur une machine en libre-service, cette section révèle à la personne suivante ce sur quoi travaillait la précédente.

Si le Mac se restaure à partir d'une image au redémarrage, réglez les verrous avant que l'image ne soit capturée, sinon la restauration les retirera chaque nuit.

Un Mac public échoue différemment

Un Mac de salle de classe compte trente personnes à qui l'on peut dire de ne pas faire quelque chose. Un Mac de bibliothèque ou en libre-service n'a rien de tout cela, ce qui change ce contre quoi vous vous défendez réellement.

Personne ne le signale. Un élève dit que le Dock a l'air bizarre. Un membre du public qui trouve un Dock à moitié de sa taille suppose que c'est ainsi que l'ordinateur fonctionne, l'utilise quand même, et repart. La dérive s'accumule en silence pendant des mois.
Le Dock est toute l'interface. Quelqu'un qui n'a jamais utilisé de Mac n'a aucune habitude de Launchpad, aucune habitude de Spotlight et aucune idée de l'utilité de la barre des menus. Si l'app dont il a besoin a été glissée hors du Dock, elle n'existe pas.
Les sessions sont courtes et anonymes. Personne n'est assez impliqué pour le remettre en place, et personne n'est assez identifiable pour qu'on le lui demande.
Ce n'est presque jamais de la malveillance. C'est une main posée sur le séparateur, une icône glissée de deux pixels de trop, un pincement accidentel sur le trackpad.

Le seul endroit où un Mac public est plus simple

Les machines publiques exécutent généralement un seul compte connecté en permanence qui ne se déconnecte jamais. Cela rend la méthode defaults ordinaire plus durable ici que dans une salle de classe avec des connexions par élève, car il n'y a qu'un seul compte où les réglages peuvent vivre.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Chacune grise le contrôle correspondant dans Réglages Système, si bien qu'il ne peut absolument pas être modifié depuis l'interface. Elles survivent à un redémarrage, une mise en veille et une mise à jour de macOS. La liste complète avec le type de chaque clé se trouve dans toutes les commandes defaults du Dock du Mac.

La section des apps récentes, qui est ici un problème de confidentialité

macOS ajoute une section d'applications récemment utilisées à droite du Dock. Sur votre propre Mac, c'est une commodité. Sur un Mac en libre-service, c'est une liste de ce qu'a ouvert la personne précédente, montrée à la personne suivante qui s'assoit.

defaults write com.apple.dock show-recents -bool false
killall Dock

Les quatre verrous ci-dessus ne la retirent pas, car c'est un réglage distinct. Désactivez-la volontairement. Plus de détails dans comment empêcher les apps récentes d'apparaître dans le Dock.

Le piège de l'image de restauration

De nombreux Mac publics sont réglés pour revenir à un état connu, soit via un logiciel d'imagerie, soit en restaurant un instantané de disque au redémarrage. C'est la bonne façon de gérer une machine comme celle-ci, et cela a une conséquence que les gens découvrent à leurs dépens :

Tout ce que vous configurez après la capture de l'image de base est annulé la prochaine fois que la machine se restaure. Vos verrous de Dock sont de la configuration. Réglez-les, confirmez-les, et seulement ensuite capturez l'image. Si le Mac est déjà en service, le changement a sa place dans l'image de base, pas dans la session en cours, sinon vous le referez chaque matin en vous demandant pourquoi.

La même chose s'applique au réglage des apps récentes et au contenu réel du Dock. Disposez le Dock exactement comme le public doit le trouver, puis capturez.

Qui peut annuler quoi

Cela vaut la peine d'être précis, car les trois mécanismes ne sont pas interchangeables.

Une commande defaults s'annule par une autre commande defaults. Quiconque peut ouvrir le Terminal peut lever les quatre en une minute.
Un profil de configuration que vous installez à la main tient à travers le Terminal, à travers un redémarrage, et à travers la suppression de ce qui l'a créé. Il s'applique à la session qui l'a installé, et peut toujours être retiré volontairement dans Réglages Système, Général, Gestion des appareils. C'est délibéré : personne ne devrait se retrouver avec un Dock qu'il ne peut pas déverrouiller.
Un profil de configuration déployé par un MDM est la seule version qui peut être rendue véritablement irrémovable et limitée à tous les comptes de l'appareil. Si la bibliothèque gère déjà ces Mac de façon centralisée, c'est là que cela a sa place.

Pour une machine publique où le public n'a pas accès au Terminal, les verrous ordinaires suffisent généralement. Pour une machine où le Terminal est accessible, ce n'est pas le cas.

Une configuration adaptée à un Mac en libre-service

Disposez le Dock exactement comme le public doit le trouver, et retirez tout ce dont il n'a pas besoin.
Désactivez les apps récentes, pour que la section cesse de révéler le travail de la dernière personne.
Appliquez les quatre verrous.
Si le Terminal est accessible, déployez les verrous par profil de configuration plutôt que par commande.
Capturez l'image de restauration maintenant, pas avant.
Notez ce que vous avez réglé, et où. Un verrou sans trace écrite est un mystère pour quiconque hérite de la machine.

Questions fréquentes

Cela empêche-t-il quelqu'un d'ouvrir des apps qu'il ne devrait pas ?

Non. Cela empêche le Dock de changer. Restreindre les apps qui peuvent fonctionner est une question distincte, qui relève de Temps d'écran ou de votre outil de gestion. Les deux fonctionnent bien ensemble et résolvent des problèmes différents.

Le Mac s'efface de toute façon au redémarrage. En ai-je encore besoin ?

Seulement si le redémarrage a lieu assez souvent. Une machine qui se restaure chaque nuit dérive quand même pendant une journée entière, et la dérive est pire l'après-midi, quand le plus de personnes l'ont utilisée.

Les verrous survivront-ils à une mise à jour de macOS ?

Oui. Elles vivent dans les préférences du compte plutôt que dans le système, une mise à jour les laisse donc intactes. Une image de restauration, elle, les remplacera par ce que contient la référence.

Et s'il existe un compte invité ou visiteur distinct ?

Les préférences sont stockées par compte, ce qui est réglé dans une session n'apparaît donc pas dans une autre. Réglez les verrous dans le compte que le public utilise réellement. Si ce compte est réinitialisé par macOS entre les sessions, les réglages disparaîtront avec lui, et la réponse est un profil limité à l'appareil venant d'un outil de gestion plutôt qu'une commande.

Est-ce différent d'une salle de classe ou d'un Mac d'accueil ?

Les commandes sont identiques. Les situations ne le sont pas : une salle de classe a des comptes, une surveillance et quelqu'un à prévenir, et un accueil a un second écran qu'un client peut voir. Voir verrouiller le Dock sur un Mac de salle de classe, sur un Mac d'accueil ou de salle d'exposition, sur un Mac familial, ou le guide du Mac partagé pour le cas général.