如何鎖定圖書館或公用 Mac 的 Dock

供公眾使用的 Mac，失敗的方式不一樣

教室 Mac 面對的是三十個可以被告知不要做某件事的人。圖書館或供公眾使用的 Mac，完全沒有這種條件，這也改變了你真正該防範的對象。

• 從來沒有人回報。學生頂多說一句 Dock 看起來怪怪的。而一般民眾發現 Dock 只剩一半大小，只會以為這台電腦本來就是這樣，照樣使用後就離開了。跑掉的設定就這樣默默累積好幾個月。
• Dock 就是整個介面。從沒用過 Mac 的人，沒有使用啟動台的習慣，沒有使用 Spotlight 的習慣，也不知道選單列是做什麼用的。如果他們需要的 App 被拖出了 Dock，對他們來說就等於不存在。
• 工作階段短暫且匿名。沒有人在意到會把它調回去，也沒有人能被辨識出來詢問。
• 幾乎從來都不是惡意造成的。只是一隻手不小心放在分隔線上、一個圖示被多拖了兩個像素、或是觸控板上一次不小心的雙指縮放。

公用 Mac 反而比較輕鬆的一個地方

公用機器通常只會用一個帳號，永久保持登入狀態，從不登出。這讓一般的 defaults 做法在這裡反而比在依學生分帳號登入的教室裡更耐用，因為這些設定只需要存放在唯一的一個帳號裡。

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

每一項都會讓「系統設定」裡對應的控制項變成灰色，讓它完全無法從介面上更改。它們能撐過重新啟動、睡眠與 macOS 更新。包含每個鍵類型的完整清單，請見所有 Mac Dock defaults 指令。

「最近使用的 App」區塊，在這裡是個隱私問題

macOS 會在 Dock 右側加上一個最近使用應用程式的區塊。在你自己的 Mac 上，這是個方便的功能。但在供公眾使用的 Mac 上，這卻是一份記錄著上一位使用者開啟過什麼的清單，直接展示給下一個坐下來的人看。

defaults write com.apple.dock show-recents -bool false
killall Dock

上面的四種鎖定並不會移除它，因為那是另一項獨立的設定。請刻意把它關閉。更多內容請見如何阻止最近使用的 App 出現在 Dock 中。

還原映像檔的陷阱

許多公用 Mac 都設定為每次都恢復到某個固定狀態，可能是透過映像檔軟體，或是重新開機時還原磁碟快照。這正是管理這類機器的正確方式，但它也有一個大家常常在吃過苦頭後才學到的結果：

在擷取基準映像檔之後才設定的任何內容，都會在機器下次還原時被清除。你的 Dock 鎖定就屬於這類設定。先設定好、確認生效，然後才擷取映像檔。如果這台 Mac 已經在使用中，這項變更就該放進基準映像檔裡，而不是執行中的工作階段中，否則你每天早上都得重新設定一次，還會納悶為什麼。

同樣的道理也適用於最近使用的 App 設定，以及 Dock 實際的內容。把 Dock 排列成你希望大眾一開始看到的樣子，然後再擷取映像檔。

誰能解除哪些設定

值得精確一點，因為這三種機制並不能互相替代。

• defaults 指令可以用另一條 defaults 指令解除。任何能打開終端機的人，都能在一分鐘內解除全部四項。
• 你手動安裝的描述檔能撐過終端機指令、撐過重新啟動，也能撐過建立它的東西被刪除。它只會套用到安裝它的那個登入帳號，而且仍然可以刻意在「系統設定」、「一般」、「裝置管理」中移除。這是刻意設計的：不應該讓任何人被困在無法解鎖的 Dock 裡。
• 由 MDM 推送的描述檔是唯一能做到真正無法移除、且涵蓋裝置上每個帳號的方式。如果圖書館已經集中管理這些 Mac，這就是最合適的落腳處。

如果是一般大眾使用、無法碰到終端機的公用機器，普通的鎖定通常就夠用。但如果使用者能接觸到終端機，那就不夠了。

供公眾使用的 Mac 的合理設定

1. 把 Dock 安排成你希望大眾一開始看到的樣子，並移除任何他們用不到的東西。
2. 關閉「最近使用的 App」，讓這個區塊不再洩漏上一個使用者做了什麼。
3. 套用全部四項鎖定。
4. 如果使用者能接觸到終端機，就該用描述檔而不是指令來套用鎖定。
5. 現在就擷取還原映像檔，而不是之前。
6. 把你設定了什麼、設定在哪裡都記下來。沒有留下紀錄的鎖定，對接手這台機器的人來說就是一團謎。

常見問題

這能阻止某人開啟不該開啟的 App 嗎？

不會。它只會阻止 Dock 改變。限制哪些 App 可以執行是另一回事，這該由「螢幕使用時間」或你的管理工具負責。這兩者可以並存使用，解決的是不同的問題。

這台 Mac 反正每次重新開機都會清空，我還需要這個嗎？

只有在重新開機頻率夠高時才有效。每晚還原一次的機器，仍然會花上一整天的時間逐漸跑掉，而在下午使用人數最多的時候，跑掉的情況也最嚴重。

這些鎖定能撐過 macOS 更新嗎？

會。它們存放在帳號的偏好設定裡，而不是系統中，所以更新不會動到它們。但還原映像檔則會用基準狀態的內容把它們取代掉。

如果有另外的訪客帳號呢？

偏好設定是依帳號儲存的，所以在某一個帳號裡設定的內容，不會出現在其他帳號裡。請在大眾實際使用的那個帳號中設定鎖定。如果那個帳號會被 macOS 在每次登出後清除，這些設定也會一併消失，這種情況的答案是使用管理工具的裝置層級描述檔，而不是指令。

這跟教室或櫃檯的 Mac 有什麼不同嗎？

指令都是一樣的，但情境並不相同：教室有各自的帳號、有人監督，也有人可以回報問題，而櫃檯則有一台顧客看得到的第二螢幕。參見鎖定教室 Mac 的 Dock、鎖定櫃檯或展示間 Mac 的 Dock、鎖定家用 Mac 的 Dock，或適用一般情況的共用 Mac 指南。