Como bloquear o Dock em uma biblioteca ou Mac de acesso público

Um Mac público falha de um jeito diferente

Um Mac de sala de aula tem trinta pessoas que podem ser instruídas a não fazer algo. Um Mac de biblioteca ou de acesso livre não tem nada disso, e isso muda contra o que você precisa se defender.

• Ninguém avisa. Um aluno diz que o Dock parece errado. Uma pessoa do público que encontra um Dock na metade do tamanho acha que o computador é assim mesmo, usa do mesmo jeito e vai embora. O desvio se acumula em silêncio por meses.
• O Dock é a interface inteira. Alguém que nunca usou um Mac não tem o hábito do Launchpad, não tem o hábito do Spotlight e não faz ideia para que serve a barra de menus. Se o app de que precisa foi arrastado para fora do Dock, ele não existe.
• As sessões são curtas e anônimas. Ninguém está engajado o suficiente para colocar de volta, e ninguém é identificável o suficiente para perguntar.
• Quase nunca a causa é má intenção. A causa é uma mão apoiada no divisor, um ícone arrastado dois pixels a mais, um pinçamento perdido no trackpad.

O único lugar onde um Mac público é mais fácil

Máquinas públicas geralmente rodam com uma única conta que fica com a sessão iniciada permanentemente e nunca é encerrada. Com uma única conta, a rota comum de defaults é mais durável aqui do que em uma sala de aula com sessões por aluno, porque só existe uma conta para os ajustes ficarem.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Cada uma acinzenta o controle correspondente nos Ajustes do Sistema, para que não possa ser alterado pela interface. Elas sobrevivem a uma reinicialização, a um repouso e a uma atualização do macOS. A lista completa com o tipo de cada chave está em todos os comandos defaults do Dock do Mac.

A seção de apps recentes, que é um problema de privacidade aqui

O macOS adiciona uma seção de aplicativos usados recentemente à direita do Dock. No seu próprio Mac isso é uma conveniência. Em um Mac de acesso livre, é uma lista do que a pessoa anterior abriu, mostrada para a próxima pessoa que se sentar.

defaults write com.apple.dock show-recents -bool false
killall Dock

Os quatro bloqueios acima não removem isso, porque é um ajuste separado. Desative-o de propósito. Mais sobre isso em como impedir que apps recentes apareçam no Dock.

A armadilha da imagem de restauração

Muitos Macs públicos são configurados para voltar a um estado conhecido, seja por meio de software de imagem, seja restaurando uma captura de disco na reinicialização. Essa é a forma certa de operar uma máquina assim, e ela tem uma consequência que as pessoas descobrem da maneira difícil:

Qualquer coisa que você configure depois que a imagem base foi capturada é desfeita na próxima vez que a máquina for restaurada. Os bloqueios do seu Dock são configuração. Defina-os, confirme-os, e só então capture a imagem. Se o Mac já está em uso, coloque a mudança na imagem base. Uma mudança feita na sessão em execução é desfeita na próxima restauração, e você vai ficar configurando de novo toda manhã.

O mesmo vale para a configuração de apps recentes e para o conteúdo real do Dock. Organize o Dock exatamente como o público deveria encontrá-lo, e só então capture.

Quem consegue desfazer o quê

Os três mecanismos se comportam de forma diferente, então os detalhes importam.

• Um comando defaults é desfeito por outro comando defaults. Qualquer um que consiga abrir o Terminal pode remover as quatro em um minuto.
• Um perfil de configuração instalado manualmente resiste ao Terminal, a uma reinicialização e à exclusão de quem o criou. Ele se aplica à sessão que o instalou, e ainda pode ser removido de propósito em Ajustes do Sistema, Geral, Gerenciamento de Dispositivos. A remoção é proposital: ninguém deve ficar com um Dock que não consegue desbloquear.
• Um perfil de configuração enviado por um MDM é a única versão que pode se tornar realmente impossível de remover e valer para todas as contas do dispositivo. Se a biblioteca já gerencia esses Macs de forma centralizada, é aí que isso se encaixa.

Para uma máquina pública sem acesso ao Terminal nas mãos do público, os bloqueios comuns geralmente bastam. Para uma onde o Terminal é acessível, não bastam.

Uma configuração sensata para um Mac de acesso livre

1. Organize o Dock exatamente como o público deve encontrá-lo, e remova tudo que ele não precisa.
2. Desative os apps recentes, para que a seção pare de mostrar o trabalho da última pessoa.
3. Aplique os quatro bloqueios.
4. Se o Terminal for acessível, entregue os bloqueios por perfil de configuração.
5. Capture a imagem de restauração depois de definir os bloqueios.
6. Anote o que você configurou, e onde. Um bloqueio sem registro é um mistério para quem herdar a máquina.

Perguntas comuns

Isso impede alguém de abrir apps que não deveria?

Não. Ele impede que o Dock mude. Restringir quais apps podem rodar é um assunto separado, e é aí que entram o Tempo de Uso ou sua ferramenta de gerenciamento. Os dois funcionam bem juntos e resolvem problemas diferentes.

O Mac se limpa sozinho ao reiniciar de qualquer forma. Ainda preciso disso?

Só se a reinicialização acontecer com frequência suficiente. Uma máquina que se restaura toda noite ainda passa um dia inteiro se desalinhando, e o desalinhamento é pior à tarde, quando mais pessoas já a usaram.

Os bloqueios sobrevivem a uma atualização do macOS?

Sim. Eles ficam nas preferências da conta, então uma atualização não os afeta. Já uma imagem de restauração vai substituí-los pelo que estiver na configuração padrão.

E se existir uma conta separada de convidado ou visitante?

As preferências são armazenadas por conta, então o que for definido numa sessão não aparece em outra. Defina os bloqueios na conta que o público realmente usa. Se essa conta é uma que o macOS limpa entre sessões, os ajustes vão embora com a conta, e a resposta é um perfil no nível do dispositivo, vindo de uma ferramenta de gerenciamento.

Isso é diferente de uma sala de aula ou de um Mac de balcão de recepção?

Os comandos são idênticos. As situações não são: uma sala de aula tem contas, supervisão e alguém para avisar, e uma recepção tem uma segunda tela que um cliente pode ver. Veja bloqueando o Dock em um Mac de sala de aula, em uma recepção ou showroom, em um Mac da família, ou o guia de Mac compartilhado para o caso geral.