Mit NinjaOne können Techniker jetzt ihre macOS-Geräte direkt über MDM verwalten. Zusätzlich zu all den Funktionen, die der NinjaOne RMM Agent für macOS bietet, ermöglicht Apples MDM-Protokoll zusätzliche Funktionen, die mit einem Agenten auf dem Gerät einfach nicht möglich sind. Techniker können nun sicherstellen, dass NinjaOne in der Lage ist, ihre Macs auf die Art und Weise zu verwalten, die für sie am sinnvollsten ist, egal ob es sich dabei um einen reinen RMM-Ansatz handelt oder ob MDM ins Spiel gebracht wird.
Und das Beste daran? RMM und MDM lassen sich ideal miteinander kombinieren. Diese beiden Lösungen ergänzen sich in NinjaOne und bieten Technikern ein umfangreiches Funktionspaket, das alle Anforderungen an die Verwaltung von macOS abdeckt. Dies beginnt bereits zu Beginn des Lebenszyklus eines Geräts. Wenn Sie einen neuen Mac zum ersten Mal aus der Verpackung nehmen, können Sie ihn mit NinjaOne MDM während des Einführungsprozesses automatisch registrieren, und der RMM-Agent wird ohne Interaktion des Endbenutzers auf dem Gerät installiert.
Was bedeutet MDM für die macOS-Verwaltung?
Das Akronym MDM selbst steht für Mobile Device Management. Dieser herrlich zweideutige Begriff allein gibt nicht viel Aufschluss über die Arten von Funktionen, die er für die Verwaltung von Apple-Geräten im Allgemeinen bietet, und auch nicht darüber, wie sich diese Funktionen von einem reinen RMM-Angebot unterscheiden. Bei Apple-Geräten bezieht sich das „MDM-Protokoll“ in der Regel auf einen bestimmten Satz von Aktionen und Konfigurationsfunktionen, die vom Betriebssystem des Geräts unterstützt werden und direkt von einem vertrauenswürdigen MDM-Server initiiert und auf das Gerät angewendet werden. Bei einem reinen RMM-Ansatz wird eine Agentenanwendung auf dem Gerät installiert, die dann mit einem Remote-Management-Server kommuniziert. Dieser Agent führt letztendlich die Aktionen aus und wendet die Konfigurationen auf dem Gerät an.
Für viele mag dies wie eine Unterscheidung mit minimalen Unterschieden erscheinen. Auf macOS und Apple-Geräten im Allgemeinen gibt es jedoch viele Funktionen, die nur genutzt werden können, wenn sie direkt von diesem vertrauenswürdigen MDM-Server initiiert werden. Unabhängig davon, wie fortschrittlich oder komplex ein Geräteagent auch sein mag, können bestimmte Funktionen deutlich schwieriger oder sogar unmöglich sein, wenn das Gerät nicht direkt von MDM verwaltet wird.
Einige Beispiele für diese Art von Fähigkeiten sind:
- Umfassende Kontrolle über den gesamten Gerätelebenszyklus, beginnend mit der Inbetriebnahme bis zur finalen Datenlöschung
- Automatische Genehmigung und Konfiguration von Datenschutzpräferenzen und Systemerweiterungen, die von vielen Unternehmensanwendungen benötigt werden
- Einfaches Genehmigen, Verwalten und Durchsetzen von macOS-Updates
- Einfache Konfiguration und Einschränkung von Kernfunktionen des Geräts (z. B. Kamerazugriff oder iCloud-Unterstützung), Passcodeanforderungen, Netzwerkverbindungen und mehr
- Ferngesteuertes und sicheres Sperren oder Löschen von Geräten mit einem Tastendruck
Wie melde ich einen Mac bei MDM an?
Techniker, die firmeneigene Macs verwenden, sollten eine Integration zwischen NinjaOne und Apples Automated Device Enrollment einrichten. Wenn diese Funktion aktiviert ist, meldet sich jeder Mac automatisch bei NinjaOne MDM an, wenn das Gerät den Einrichtungsassistenten durchläuft. Dies tritt auf, wenn ein neues Gerät zum ersten Mal eingeschaltet wird oder nach einem Löschen des Geräts, z. B. wenn die Option „Alle Inhalte und Einstellungen löschen“ in den macOS-Systemeinstellungen ausgewählt wird.
Alternativ können sich vorhandene Geräte vor Ort bei MDM anmelden, ohne dass das Gerät gelöscht werden muss. Nach dem Einrichten der ADE-Integration und dem Entfernen aller vorhandenen MDM-Profile vom Gerät kann der folgende Befehl im Terminal verwendet werden, um die Registrierung zu starten. Beachten Sie, dass hierfür lokale Administratoranmeldedaten auf dem Gerät erforderlich sind.
sudo profiles renew –type enrollment
Mitarbeitereigene Geräte sowie Geräte, die nicht Teil von Apple Business Manager oder Apple School Manager sind und nicht anderweitig zu diesen Systemen hinzugefügt werden können, können durch manuelle Installation eines Anmeldeprofils angemeldet werden. In NinjaOne navigieren Sie zu Element hinzufügen > Gerät > Computer > Mac. Legen Sie den Verteilungstyp auf „MDM-Anmeldeprofil“ fest und klicken Sie auf „Installationsprogramm generieren“ Sie können diese Datei lokal herunterladen, einen Link kopieren oder sie direkt per E-Mail an die Benutzer senden. Laden Sie diese Datei einfach herunter und installieren Sie sie auf einem Mac, und das System führt Sie durch den MDM-Registrierungsprozess.
Welche Möglichkeiten habe ich, nachdem ich einen Mac bei MDM angemeldet habe?
Zusätzlich zu allen von NinjaOne unterstützten macOS-Management-Funktionen schaltet die Registrierung von Geräten in MDM die folgenden Funktionen frei:
- Automatische Bereitstellung des NinjaOne RMM-Agenten
- Hinzufügen von MDM-basierten Einstellungen innerhalb der macOS Agent Policy
- Verwaltung von macOS-Updates
- Zusätzliche macOS-Geräteaktionen
Automatische Bereitstellung des NinjaOne RMM-Agenten
Unmittelbar nach der MDM-Registrierung wird der NinjaOne RMM-Agent automatisch auf den Geräten installiert. Das Gerät erlaubt automatisch die meisten Berechtigungen, die der Agent benötigt, sowie NinjaOne Remote. Die ScreenCapture-Berechtigung kann zwar nicht explizit zugelassen werden, aber das Gerät wird so konfiguriert, dass jedes lokale Benutzerkonto dies zulassen kann.
Hinzufügen von MDM-basierten Einstellungen innerhalb der macOS Agent Policy
Heute werden in NinjaOne Richtlinien für macOS-Geräte unter Verwaltung > Richtlinien > Agentenrichtlinien konfiguriert. Das wird auch in Zukunft für MDM-registrierte Geräte der Fall sein. Allerdings werden nun viele neue Optionen zur Verfügung stehen.
Die folgenden Payloads können in der Richtlinie für MDM-registrierte Geräte konfiguriert werden:
- Passcode – Definieren Sie die Mindestsicherheitsanforderungen für den Passcode von lokalen Benutzerkonten auf dem Gerät.
- Einschränkungen – Aktivieren oder deaktivieren Sie viele native Gerätefunktionen, z. B. Handoff, AirDrop, iCloud und verschiedene Apple Intelligence-Funktionen.
- Programme – Verwalten und Bereitstellen von macOS-Apps aus dem App Store. Durch die Integration mit ABM und die Synchronisation eines Content Token in NinjaOne können diese Apps automatisch auf den verwalteten Geräten installiert werden. Apps, die über ein DMG- oder PKG-Installationsprogramm bereitgestellt werden, können wie bisher über NinjaOne verwaltet werden.
- Netzwerk – Konfigurieren Sie die Wi-Fi-Netzwerke oder globalen Proxys, mit denen sich die Geräte verbinden sollen.
- Betriebssystem-Updates – Definieren Sie das Standardverhalten des Geräts für die Behandlung von Betriebssystem-Updates. Außerdem können Sie bestimmte macOS-Updates auf Geräten manuell genehmigen und durchsetzen.
- Datenschutzeinstellungen – Aktivieren Sie automatisch die verschiedenen Berechtigungen, wie z. B. vollen Festplattenzugriff oder Zugriffsrechte, die Ihre Drittanbieteranwendungen möglicherweise benötigen.
- Systemerweiterungen – Lassen Sie automatisch alle Systemerweiterungen zu, die für die ordnungsgemäße Ausführung Ihrer Unternehmensanwendungen unter macOS erforderlich sind.
Darüber hinaus können Techniker ihre eigenen benutzerdefinierten Nutzdaten definieren und in die Richtlinie aufnehmen. Benutzerdefinierte Nutzdaten können jede mobileconfig-Datei sein, die von macOS nativ unterstützt wird. Dies kann native macOS-Funktionen umfassen, wie z. B. die Definition von Filtern für Web-Inhalte oder Einstellungen für App-Benachrichtigungen, oder es können alle verwalteten Einstellungen definiert werden, die von jeder macOS-Anwendung eines Drittanbieters unterstützt werden.
Verwaltung von macOS-Updates
NinjaOne ermöglicht die einfache Verwaltung von macOS Updates für alle MDM-registrierten Geräte. Durch die Nutzung einer Teilmenge des MDM-Protokolls von Apple, das als Declarative Device Management (DDM) bekannt ist, können Techniker einzelne macOS-Updates genehmigen und sie auf den Geräten vollständig durchsetzen, indem sie ein Durchsetzungsdatum und eine Durchsetzungszeit angeben. Eine typische genehmigte Aktualisierung läuft folgendermaßen ab:
- Bevor der Techniker ein Update genehmigt, legt er im Abschnitt Betriebssystem-Updates einer Richtlinie das Standardverhalten des Geräts fest. In der Regel bedeutet dies, dass der Zeitpunkt, zu dem ein bestimmtes Update für die Endbenutzer verfügbar ist, verschoben wird. NinjaOne kann das Erscheinen eines Updates für die Nutzer eines Geräts bis zu 90 Tage nach dessen Veröffentlichung verzögern.
- Ein Techniker kann ein bestimmtes Update genehmigen, zum Beispiel macOS 15.3.1. Dabei legen sie ein Datum und eine Uhrzeit für die Vollstreckung fest. In diesem Beispiel wird das Datum und die Uhrzeit der Vollstreckung auf den folgenden Mittwoch um 19.30 Uhr festgelegt.
- Nach der Genehmigung erhalten die Geräte eine Benachrichtigung, dass macOS 15.3.1 für ihr Gerät genehmigt wurde und zum angegebenen Datum und Zeitpunkt in Kraft tritt. Das Update wird automatisch heruntergeladen und auf den Geräten vorbereitet. Jeden Tag erhalten sie eine Erinnerung, dass diese Aktualisierung zur angegebenen Zeit durchgeführt wird. In den letzten 24 Stunden vor Ablauf der Vollstreckungsfrist werden die Benachrichtigungen häufiger. Die Benutzer können das genehmigte Update zu einem Zeitpunkt ihrer Wahl über diese Benachrichtigungen sowie über die normalen Systemeinstellungen des Geräts installieren.
- Wenn die Durchsetzungsfrist verstreicht, bevor das Gerät aktualisiert hat, erzwingt das Gerät die Aktualisierung. Wenn der Benutzer ein Gerät aktiv verwendet, wird ein 60-sekündiger Countdown angezeigt, bevor die Installation erfolgt. Wenn das Gerät nicht aktiv verwendet wird, erfolgt die Aktualisierung, ohne dass ein Eingreifen des Benutzers erforderlich ist.
In NinjaOne kann ein Betriebssystem-Update sowohl über die Richtlinie selbst als auch über das Dashboard Patching > OS Patches genehmigt werden. Über das Patching Dashboard können Updates für mehrere Richtlinien gleichzeitig genehmigt werden.
Zusätzliche macOS-Geräteaktionen
Schließlich stehen Technikern mit MDM-registrierten Macs eine Reihe neuer Geräteaktionen zur Verfügung:
- Gerät sperren – Dadurch wird das Gerät in eine spezielle Wiederherstellungspartition neu gestartet. Der Techniker gibt eine PIN an, und nur diese PIN kann zum Entsperren des Geräts verwendet werden.
- Gerät deaktivieren – Gibt das Gerät aus dem Apple Business Manager oder Apple School Manager frei.
- Richtlinien neu synchronisieren – Wendet alle Konfigurationen in der zugewiesenen Richtlinie neu an.
- NinjaOne-Agent installieren – Installiert den NinjaOne RMM-Agent auf dem Gerät oder setzt ihn neu ein.
- Gerät löschen – Löscht das Gerät aus der Ferne. Entspricht der Auswahl von „Alle Inhalte und Einstellungen löschen“ auf dem Gerät in den Systemeinstellungen.
Außerdem werden beim Löschen des Gerätedatensatzes aus NinjaOne automatisch das installierte Anmeldeprofil sowie alle anderen Konfigurationsprofile entfernt.
Was kommt als Nächstes?
NinjaOne ist in der Lage, diese MDM-basierten Fähigkeiten mit unseren bestehenden agentenbasierten Fähigkeiten zu kombinieren und die vollständige Verwaltung von macOS-Geräten anzubieten. NinjaOne hat nun die Voraussetzungen geschaffen, um die unterstützten Funktionen für Apples MDM- und DDM-Protokolle für macOS, iOS und iPadOS weiter auszubauen.
Gleichzeitig wird unsere Produkt-Roadmap größtenteils direkt durch das Feedback unserer Kunden und Nutzer bestimmt. Da wir unsere Unterstützung für Apple-Geräte weiter ausbauen und erweitern, können Sie unseren Teams genau mitteilen, welche Funktionen Sie benötigen, um Ihren Technikern und Endbenutzern eine erstklassige Verwaltungserfahrung zu bieten. Bleiben Sie in diesem Jahr und darüber hinaus dran, denn wir werden weiterhin neue Funktionen entwickeln, neue Anmeldemethoden unterstützen und weitere Apple-Geräte unterstützen!
