Como bloquear o Dock em uma biblioteca ou Mac de acesso público

Um Mac público falha de um jeito diferente

Um Mac de sala de aula tem trinta pessoas que podem ser instruídas a não fazer algo. Um Mac de biblioteca ou de acesso livre não tem nada disso, e isso muda contra o que você está realmente se defendendo.

• Ninguém avisa. Um aluno diz que o Dock parece errado. Uma pessoa do público que encontra um Dock na metade do tamanho acha que o computador é assim mesmo, usa do mesmo jeito e vai embora. O desvio se acumula em silêncio por meses.
• O Dock é a interface inteira. Alguém que nunca usou um Mac não tem o hábito do Launchpad, não tem o hábito do Spotlight e não faz ideia para que serve a barra de menus. Se o app de que precisa foi arrastado para fora do Dock, ele não existe.
• As sessões são curtas e anônimas. Ninguém está engajado o suficiente para colocar de volta, e ninguém é identificável o suficiente para perguntar.
• Quase nunca é má intenção. É uma mão apoiada no divisor, um ícone arrastado dois pixels a mais, um pinçamento perdido no trackpad.

O único lugar onde um Mac público é mais fácil

Máquinas públicas geralmente rodam com uma única conta que fica com a sessão iniciada permanentemente e nunca é encerrada. Isso torna a rota comum de defaults mais durável aqui do que em uma sala de aula com sessões por aluno, porque só existe uma conta para os ajustes ficarem.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Cada uma acinzenta o controle correspondente nos Ajustes do Sistema, para que não possa ser alterado pela interface. Elas sobrevivem a uma reinicialização, a um repouso e a uma atualização do macOS. A lista completa com o tipo de cada chave está em todos os comandos defaults do Dock do Mac.

A seção de apps recentes, que é um problema de privacidade aqui

O macOS adiciona uma seção de aplicativos usados recentemente à direita do Dock. No seu próprio Mac isso é uma conveniência. Em um Mac de acesso livre, é uma lista do que a pessoa anterior abriu, mostrada para a próxima pessoa que se sentar.

defaults write com.apple.dock show-recents -bool false
killall Dock

Os quatro bloqueios acima não removem isso, porque é um ajuste separado. Desative-o de propósito. Mais sobre isso em como impedir que apps recentes apareçam no Dock.

A armadilha da imagem de restauração

Muitos Macs públicos são configurados para voltar a um estado conhecido, seja por meio de software de imagem, seja restaurando uma captura de disco na reinicialização. Essa é a forma certa de operar uma máquina assim, e ela tem uma consequência que as pessoas descobrem da maneira difícil:

Qualquer coisa que você configure depois que a imagem base foi capturada é desfeita na próxima vez que a máquina for restaurada. Os bloqueios do seu Dock são configuração. Defina-os, confirme-os, e só então capture a imagem. Se o Mac já está em uso, a mudança pertence à imagem base, não à sessão em execução, ou você vai ficar configurando de novo toda manhã sem saber por quê.

O mesmo vale para a configuração de apps recentes e para o conteúdo real do Dock. Organize o Dock exatamente como o público deveria encontrá-lo, e só então capture.

Quem consegue desfazer o quê

Vale ser preciso, porque os três mecanismos não são intercambiáveis.

• Um comando defaults é desfeito por outro comando defaults. Qualquer um que consiga abrir o Terminal pode remover as quatro em um minuto.
• Um perfil de configuração instalado manualmente resiste ao Terminal, a uma reinicialização e à exclusão de quem o criou. Ele se aplica à sessão que o instalou, e ainda pode ser removido de propósito em Ajustes do Sistema, Geral, Gerenciamento de Dispositivos. Isso é proposital: ninguém deve ficar com um Dock que não consegue desbloquear.
• Um perfil de configuração enviado por um MDM é a única versão que pode se tornar realmente impossível de remover e valer para todas as contas do dispositivo. Se a biblioteca já gerencia esses Macs de forma centralizada, é aí que isso se encaixa.

Para uma máquina pública sem acesso ao Terminal nas mãos do público, os bloqueios comuns geralmente bastam. Para uma onde o Terminal é acessível, não bastam.

Uma configuração sensata para um Mac de acesso livre

1. Organize o Dock exatamente como o público deve encontrá-lo, e remova tudo que ele não precisa.
2. Desative os apps recentes, para que a seção pare de mostrar o trabalho da última pessoa.
3. Aplique os quatro bloqueios.
4. Se o Terminal for acessível, entregue os bloqueios por perfil de configuração em vez de por comando.
5. Capture a imagem de restauração agora, não antes.
6. Anote o que você configurou, e onde. Um bloqueio sem registro é um mistério para quem herdar a máquina.

Perguntas comuns

Isso impede alguém de abrir apps que não deveria?

Não. Ele impede que o Dock mude. Restringir quais apps podem rodar é um assunto separado, e é aí que entram o Tempo de Uso ou sua ferramenta de gerenciamento. Os dois funcionam bem juntos e resolvem problemas diferentes.

O Mac se limpa sozinho ao reiniciar de qualquer forma. Ainda preciso disso?

Só se a reinicialização acontecer com frequência suficiente. Uma máquina que se restaura toda noite ainda passa um dia inteiro se desalinhando, e o desalinhamento é pior à tarde, quando mais pessoas já a usaram.

Os bloqueios sobrevivem a uma atualização do macOS?

Sim. Eles ficam nas preferências da conta, não no sistema, então uma atualização não os afeta. Já uma imagem de restauração vai substituí-los pelo que estiver na configuração padrão.

E se existir uma conta separada de convidado ou visitante?

As preferências são armazenadas por conta, então o que for definido numa sessão não aparece em outra. Defina os bloqueios na conta que o público realmente usa. Se essa conta é uma que o macOS limpa entre sessões, os ajustes vão junto, e a resposta é um perfil no nível do dispositivo, vindo de uma ferramenta de gerenciamento, em vez de um comando.

Isso é diferente de uma sala de aula ou de um Mac de balcão de recepção?

Os comandos são idênticos. As situações não são: uma sala de aula tem contas, supervisão e alguém para avisar, e uma recepção tem uma segunda tela que um cliente pode ver. Veja bloqueando o Dock em um Mac de sala de aula, em uma recepção ou showroom, em um Mac da família, ou o guia de Mac compartilhado para o caso geral.