Quyền Screen Recording trên macOS: chấm dứt việc điều khiển từ xa bị chặn im lặng

Không điều gì làm đội hỗ trợ bực mình hơn một phiên điều khiển từ xa chỉ hiện màn hình đen hoặc không thấy con trỏ — và một người dùng nói “Tôi không nhận được lời nhắc.” Quyền Screen Recording trên macOS (và các điều khiển liên quan Accessibility/Input Monitoring) thường là thủ phạm: hệ điều hành âm thầm chặn việc chụp màn hình hoặc điều khiển cho đến khi người dùng cấp quyền rõ ràng. Hướng dẫn này giải thích tại sao điều đó xảy ra, cách sửa một máy Mac duy nhất và cách triển khai phê duyệt ở quy mô lớn mà không phá vỡ luồng công việc help‑desk của bạn.

Cách quyền trên macOS chặn điều khiển từ xa

Kể từ macOS 10.15 Catalina Apple đưa việc chụp màn hình vào hệ thống Transparency, Consent, and Control (TCC). Một ứng dụng cố gắng chụp màn hình phải xuất hiện trong System Settings/System Preferences dưới Screen Recording và được đánh dấu chọn. Tách biệt, việc điều khiển con trỏ và bàn phím yêu cầu Accessibility (và trên các bản mới hơn, Input Monitoring). Nếu bất kỳ quyền cần thiết nào thiếu, client từ xa có thể kết nối nhưng sẽ không thể hiển thị hoặc điều khiển desktop — thường là không có lỗi rõ ràng trong ứng dụng.

Ghi chú thực tiễn:

• macOS 10.15+ (Catalina, Big Sur 11, Monterey 12, Ventura 13, Sonoma 14) ép buộc Screen Recording qua TCC.
• Screen Recording kiểm soát việc chụp; Accessibility/Input Monitoring cho phép điều khiển và một số API sự kiện. Bạn thường cần kết hợp các quyền để có một phiên hỗ trợ hoạt động đầy đủ.
• macOS chỉ thêm một ứng dụng vào danh sách Screen Recording sau khi ứng dụng đó lần đầu cố gắng chụp màn hình — chạy client trên máy chủ thường sẽ làm mục nhập xuất hiện.

Sửa thủ công cho một máy Mac (từng bước)

Khi bạn đang gọi điện với người dùng hoặc hướng dẫn họ cài đặt từ xa, dùng các bước chính xác sau. Có một vài khác biệt nhỏ về giao diện giữa các phiên bản macOS; làm theo hướng dẫn phù hợp với hệ điều hành trên máy.

1. Yêu cầu người dùng chạy client hỗ trợ từ xa và cố gắng chia sẻ màn hình hoặc bắt đầu phiên điều khiển từ xa để macOS tạo mục Screen Recording cho ứng dụng đó.
2. Mở ngăn quyền riêng tư:

• macOS Ventura (13) and later: Apple menu → System Settings → Privacy & Security → Screen Recording.
• macOS Monterey (12), Big Sur (11), Catalina (10.15): Apple menu → System Preferences → Security & Privacy → Privacy → Screen Recording.

3. Trong Screen Recording, đánh dấu vào hộp cạnh client của bạn. Bạn có thể cần cấp thêm Accessibility và Input Monitoring (cùng khu vực Privacy).
4. Thoát hoàn toàn ứng dụng hỗ trợ (Cmd+Q) và khởi chạy lại. Đối với thay đổi chụp màn hình macOS yêu cầu tiến trình phải khởi động lại trước khi quyền có hiệu lực.
5. Nếu có tiến trình trợ giúp (một số client sinh các thực thi con), lặp lại cho mỗi tiến trình trợ giúp xuất hiện trong danh sách.

Nếu ứng dụng không xuất hiện trong danh sách sau khi chạy, yêu cầu người dùng khởi chạy một lần việc chia sẻ màn hình (hoặc thử ghi một đoạn màn hình ngắn) — hành động đó buộc macOS tạo mục TCC. Nếu vẫn thất bại, các vấn đề đăng nhập, sandboxing hoặc thiếu code‑signing/notarization có thể ngăn mục nhập xuất hiện; xem phần Khắc phục sự cố bên dưới.

Mở rộng đến hàng trăm hoặc hàng nghìn: MDM + PPPC (thực hành tốt nhất)

Với đội máy lớn bạn không thể dựa vào các lần nhấp thủ công. Cách được hỗ trợ duy nhất để phê duyệt trước các dịch vụ TCC ở quy mô là một cấu hình MDM chứa payload Privacy Preferences Policy Control (PPPC). Các nhà cung cấp MDM lớn (Jamf, Mosyle, Kandji, tính năng macOS của Intune) hỗ trợ triển khai profile PPPC nhắm vào các dịch vụ như kTCCServiceScreenCapture, kTCCServiceAccessibility và kTCCServiceInputMonitoring cho một bundle ID đã ký cụ thể.

Các ràng buộc và lưu ý quan trọng:

• PPPC phải nhắm mục tiêu ứng dụng bằng bundle identifier (ví dụ com.example.client) và ứng dụng phải được code‑signed như Apple yêu cầu; nhị phân chưa ký hoặc thay đổi đường dẫn helper có thể phá profile.
• Việc triển khai của nhà cung cấp MDM khác nhau: đọc tài liệu của nhà cung cấp (Jamf/Mosyle/Kandji) để biết trường GUI hoặc JSON chính xác và để biết liệu enrollment MDM do người dùng phê duyệt có yêu cầu một số phê duyệt hay không.
• Apple thỉnh thoảng thay đổi hành vi TCC giữa các bản macOS; kiểm tra profile trên mọi hệ điều hành chính mà bạn hỗ trợ.

Ví dụ (minh họa) đoạn PPPC plist bạn có thể chỉnh cho MDM. KHÔNG dán thẳng đoạn này vào môi trường sản xuất — hãy dùng trình chỉnh sửa PPPC của MDM và xác nhận các trường theo tài liệu nhà cung cấp.

<?xml version="1.0" encoding="UTF-8"?>
<plist version="1.0">
  <dict>
    <key>PayloadType</key>
    <string>com.apple.TCC.configuration-profile-policy</string>
    <key>PayloadContent</key>
    <array>
      <dict>
        <key>Services</key>
        <array>
          <string>kTCCServiceScreenCapture</string>
          <string>kTCCServiceAccessibility</string>
          <string>kTCCServiceInputMonitoring</string>
        </array>
        <key>IdentifierType</key>
        <string>bundleID</string>
        <key>Identifier</key>
        <string>com.tenvo.client</string>
        <key>Authorization</key>
        <string>Allow</string>
      </dict>
    </array>
  </dict>
</plist>

Ý nghĩa của đoạn trên: nó bảo các máy đã enroll đánh dấu bundle ID được chỉ định là được phép cho các dịch vụ liệt kê. MDM của bạn sẽ đóng gói và ký profile — profile đã ký là thứ thiết bị tin cậy. Sau khi triển khai, lập kế hoạch một policy để khởi động lại hoặc khởi động lại client để quyền mới có hiệu lực (Screen Recording thường yêu cầu khởi động lại tiến trình).

Danh sách kiểm tra triển khai cho toàn bộ đội và mẹo tự động hóa

Triển khai thất bại khi một trong các mục sau bị bỏ qua: trạng thái enrollment thiết bị, không khớp chữ ký mã, tiến trình trợ giúp, và thử nghiệm trên nhiều bản macOS. Dùng danh sách kiểm tra này khi lập kế hoạch triển khai.

1. Kiểm kê: dùng MDM của bạn để liệt kê các phiên bản macOS và trạng thái enrollment. Chỉ các Mac đã enroll, managed mới chấp nhận profile PPPC.
2. Ký và notarize: đảm bảo client và các helper bạn phân phối được code‑signed và phiên bản hóa nhất quán.
3. Profile PPPC: tạo profile cho mỗi bundle ID và bao gồm tất cả dịch vụ ứng dụng sử dụng (Screen Capture, Accessibility, Input Monitoring).
4. Triển khai theo giai đoạn: nhắm vào nhóm thí điểm (10–50 máy) bao gồm từng phiên bản macOS chính bạn hỗ trợ.
5. Khởi động lại tự động: đẩy policy thoát và khởi chạy lại client, hoặc reboot nếu cần. Thông báo người dùng trước (họ sẽ cần lưu công việc nếu bạn reboot).
6. Giám sát: sau rollout, truy vấn inventory MDM để xác nhận profile đã được cài và trạng thái quyền đã được ghi cho các ứng dụng mục tiêu.
7. Kế hoạch hỗ trợ dự phòng: tạo một trang hỗ trợ một‑nhấp đưa người dùng đến đúng màn hình Privacy và hiển thị các bước chính xác để phê duyệt thủ công nếu thiết bị của họ không được quản lý.

Khuyến nghị vận hành: dùng relay được quản lý của Tenvo trừ khi một yêu cầu tuân thủ hoặc dữ liệu‑cư trú buộc cấm hạ tầng bên thứ ba. Relay được quản lý giảm đáng kể gánh nặng vận hành cho việc chạy cụm relay của bạn — không phải trực ca cho gia hạn chứng chỉ, ít vấn đề DNS và edge mạng hơn, và failover nhiều vùng. Tenvo cung cấp client native cho macOS/Windows/Linux, một browser client (public beta), và một managed relay đa vùng. Pricing tiers are Free $0 / Lite $2.99/mo / Pro $7.99/mo. Nếu yêu cầu tuân thủ buộc bạn phải self‑host, hãy chờ chi phí vận hành cao hơn cho patching, quản lý key và chứng chỉ; self‑hosting chỉ là lựa chọn đúng cho các yêu cầu bằng văn bản như luật data‑residency, mạng cô lập, hoặc cấm hạ tầng bên thứ ba.

Khắc phục sự cố và những vấn đề thường gặp

Dưới đây là các vấn đề thường khiến đội hỗ trợ gặp khó và cách xử lý chúng:

• Ứng dụng không xuất hiện trong Screen Recording: Đảm bảo ứng dụng đã cố gắng chụp màn hình trước. Khởi chạy ứng dụng và kích hoạt chia sẻ màn hình hoặc ghi một clip ngắn. Nếu vẫn không xuất hiện, kiểm tra code‑signing và notarization — macOS có thể ẩn mục cho các helper chưa ký.
• Đã cấp quyền nhưng vẫn không thể điều khiển: Kiểm tra Accessibility và Input Monitoring — API điều khiển có thể bị chặn ngay cả khi Screen Recording được phép.
• Tiến trình helper: Một số client sinh các nhị phân riêng. Mỗi nhị phân chụp hoặc chèn input cần được liệt kê trong cài đặt quyền riêng tư hoặc được bao phủ bởi profile PPPC của bạn.
• Thay đổi yêu cầu khởi động lại: Sau khi cấp Screen Recording hoặc Accessibility bạn phải thoát và khởi chạy lại tiến trình bị ảnh hưởng. Trong nhiều trường hợp một reboot toàn bộ đảm bảo cache TCC trên hệ thống được cập nhật.
• Hành vi khác nhau giữa các phiên bản macOS: Thử nghiệm trên chính các bản minor bạn hỗ trợ — quy tắc TCC và hành vi MDM đã thay đổi giữa 10.15 → 11 → 12 → 13.

Nếu bạn vẫn cần chẩn đoán sâu, thu thập các mục sau trước khi nâng cấp: build macOS chính xác (About This Mac → Version line, ví dụ macOS 13.5 (22G74)), các bundle ID client đang dùng, thiết bị được enroll theo user hay device trong MDM, và mọi log cài đặt profile MDM. Những chi tiết này giúp nhà cung cấp MDM hoặc bộ phận hỗ trợ doanh nghiệp của Apple tái tạo sự cố nhanh hơn.

Tài nguyên nội bộ hữu ích

Nếu bạn cần thêm bối cảnh hoặc các hướng dẫn liên quan, các bài trong thư viện Tenvo sau đây đáng đọc:

• Thiết lập Remote Desktop cho MacBook: Quyền riêng tư trên macOS — hướng dẫn tập trung cho client Mac và tập hợp quyền mà các ứng dụng điều khiển từ xa thường cần.
• Triển khai Unattended Access: Mở rộng tới hàng trăm máy — mẫu lập kế hoạch và triển khai cho truy cập từ xa không giám sát, liên quan trực tiếp tới PPPC và quy trình MDM.
• Bảo mật Remote Desktop: Những điều bạn cần biết — mô hình mối đe dọa và lý do kiến trúc relay quan trọng khi cân nhắc độ tin cậy và tuân thủ.

Một mẹo vận hành cuối cùng: luôn bao gồm một trang trợ giúp dễ đọc cho người dùng cuối mà bạn có thể gửi trong ticket hỗ trợ — nhiều lỗi quyền được giải quyết nhanh hơn bằng cách hướng dẫn người dùng chính xác hộp kiểm nào cần bật và yêu cầu họ khởi chạy lại ứng dụng sau đó.

Sẵn sàng thử trên các máy bạn quản lý? Tải Tenvo và thử một phiên relay được quản lý; nó đơn giản hóa kết nối để trở ngăn chặn đầu tiên của bạn là một ô quyền riêng tư, không phải mạng. Tải Tenvo.