図書館や公共のMacでDockをロックする方法

公共のMacでは、壊れ方が違う

教室のMacには、何かをしないよう伝えられる30人がいます。図書館や共用端末にはそれがなく、実際に何から守るべきかが変わってきます。

• 誰も報告しません。生徒はDockがおかしいと言うだけです。半分のサイズになったDockを見つけた一般の利用者は、そういう仕様なのだと思い込み、そのまま使って立ち去ります。ズレは何か月も静かに積み重なっていきます。
• Dockがインターフェースのすべてです。Macを使ったことのない人には、Launchpadを使う習慣も、Spotlightを使う習慣もなく、メニューバーが何のためのものかもわかりません。必要なAppがDockからドラッグして外されていれば、そのAppは存在しないも同然です。
• セッションは短く、匿名です。元に戻すほど思い入れのある人は誰もおらず、聞き出せるほど特定できる人もいません。
• 悪意によることはほとんどありません。区切り線に手が触れた、アイコンを2ピクセル余分にドラッグしてしまった、トラックパッドで誤ってピンチしてしまった、といったことです。

公共のMacのほうが楽な唯一の点

公共の端末は通常、常時ログインしたままの1つのアカウントで動作し、サインアウトすることはありません。そのため、生徒ごとのログインがある教室よりも、通常のdefaultsによる方法のほうがむしろ持続しやすくなります。設定が存在するアカウントが1つしかないからです。

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

それぞれがシステム設定内の対応する項目をグレーアウトさせるため、インターフェースからは一切変更できなくなります。再起動、スリープ、macOSのアップデートにも耐えます。各キーの型を含む完全な一覧はMac Dockのdefaultsコマンド一覧にあります。

プライバシーの問題になる「最近使用したApp」セクション

macOSは、最近使用したAppのセクションをDockの右側に追加します。自分専用のMacであれば便利な機能ですが、共用端末では、直前の利用者が開いたものの一覧が次に座った人に見えてしまいます。

defaults write com.apple.dock show-recents -bool false
killall Dock

上記の4つのロックではこれを取り除けません。別の設定だからです。意図的にオフにしてください。詳しくはDockに最近使用したAppを表示しないようにする方法をご覧ください。

復元イメージの落とし穴

多くの公共のMacは、イメージングソフトウェアや再起動時のディスクスナップショットの復元によって、既知の状態に戻るよう設定されています。このようなマシンの運用方法としては正しいものですが、1つの結果として、人々はそれを痛い目に遭って学びます。

ベースラインを取得した後に設定したものは、そのマシンが次に復元されたときに元に戻ってしまいます。Dockのロックは構成の一部です。設定し、確認してから、初めてイメージを取得してください。すでに稼働中のMacであれば、変更は稼働中のセッションではなくベースライン側に含めるべきです。そうしなければ、毎朝設定し直しては理由を考えることになります。

同じことが「最近使用したApp」の設定と、Dockの実際の内容にも当てはまります。一般の利用者に見せたいとおりにDockを整えてから、取得してください。

誰が何を解除できるか

3つの仕組みは互換性がないため、正確に理解しておく価値があります。

• defaultsコマンドは、別のdefaultsコマンドで解除できます。ターミナルを開ける人であれば誰でも、1分で4つすべてを解除できます。
• 手動でインストールする構成プロファイルは、ターミナル、再起動、それを作成したもの自体の削除を経ても保持されます。インストールしたログインに適用され、「システム設定」の「一般」＞「デバイス管理」から意図的に削除することもできます。これは意図的な設計です。解除できないDockを誰にも残すべきではないからです。
• MDMが配信する構成プロファイルだけが、本当に削除不可能にでき、デバイス上のすべてのアカウントに適用できる方式です。図書館がすでにこれらのMacを一元管理しているなら、本来はそこに含めるべきものです。

一般の利用者がターミナルにアクセスできない公共の端末であれば、通常のロックでたいてい十分です。ターミナルに触れられる環境では、それだけでは不十分です。

共用端末に適した設定

1. 一般の利用者に見せたいとおりにDockを配置し、不要なものは取り除きます。
2. 「最近使用したApp」をオフにして、直前の利用者の作業内容が表示されないようにします。
3. 4つのロックすべてを適用します。
4. ターミナルに触れられる環境では、コマンドではなく構成プロファイルでロックを配布してください。
5. 復元イメージは、それより前ではなく今このタイミングで取得してください。
6. 設定した内容と場所を書き残しておきましょう。記録のないロックは、あとで機器を引き継ぐ人にとって謎になります。

よくある質問

これで、開くべきでないAppを誰かが開くのを止められますか？

いいえ。これはDockの変更を止めるだけです。どのAppを実行できるかを制限するのは別の話であり、スクリーンタイムや管理ツールが担うべき領域です。両者は併用でき、異なる課題を解決します。

どのみち再起動でMacは初期化されます。それでもこれは必要ですか？

再起動が十分な頻度で行われている場合に限ります。毎晩復元されるマシンでも、丸1日はズレが蓄積し、最も多くの人が使った午後にズレが最大になります。

ロックはmacOSのアップデートでも残りますか？

はい。これらはシステムではなくアカウントの環境設定に保存されるため、アップデートの影響を受けません。一方、復元イメージを使う場合は、ベースラインの内容で置き換えられてしまいます。

別のゲストアカウントや来訪者用アカウントがある場合はどうなりますか？

環境設定はアカウントごとに保存されるため、あるログインで設定した内容は、ほかのログインには反映されません。一般の利用者が実際に使うアカウントでロックを設定してください。そのアカウントがmacOSによってセッションごとに消去されるものであれば、設定もそのときに消えてしまうため、答えはコマンドではなく管理ツールによるデバイス単位のプロファイルです。

教室や受付のMacとは違うのですか？

コマンドはどこでも同じですが、状況は異なります。教室にはアカウント、監督者、報告できる相手がありますが、受付には顧客の目に触れる外部ディスプレイがあります。教室のMacでDockをロックする、受付やショールームのMacで、家族用Macで、または一般的なケースには共有Macガイドをご覧ください。