Belangrijkste punten
- Kies RMM, MDM of allebei: NinjaOne ondersteunt macOS-beheer via alleen de RMM-agent, alleen het MDM-protocol van Apple of beide tegelijk, zodat u de aanpak vóór de enrollment kunt afstemmen op het eigendom en de lifecycle-fase van elk device.
- Meld bedrijfseigen Macs automatisch aan: stel de integratie van NinjaOne met Automated Device Enrollment (ADE) van Apple in, zodat nieuwe of gewiste Macs zich tijdens de eerste configuratie automatisch aanmelden bij MDM en de RMM-agent ontvangen, zonder dat de eindgebruiker iets hoeft te doen.
- Meld bestaande of BYOD-devices handmatig aan: voer voor al uitgerolde bedrijfs-Macs het enrollment-commando in Terminal uit en genereer en installeer voor devices van medewerkers of devices buiten ADE een MDM-enrollmentprofiel vanuit NinjaOne.
- Pas na de enrollment MDM-beleid toe: configureer payloads voor toegangscode, beperkingen, applicaties, netwerk, privacy en systeemextensies in het macOS Agent Policy om beveiliging en compliance op schaal af te dwingen.
NinjaOne geeft technici nu de mogelijkheid om hun macOS-devices rechtstreeks via MDM te beheren. Naast alle functionaliteit van de NinjaOne RMM-agent voor macOS biedt het MDM-protocol van Apple extra mogelijkheden die met alleen een agent op het device simpelweg niet haalbaar zijn. Technici kunnen er nu voor zorgen dat NinjaOne hun Macs volledig beheert op de manier die voor hen het beste werkt: met alleen RMM of met MDM erbij.
Het mooiste eraan? RMM versus MDM is geen keuze tussen het een of het ander. Beide oplossingen vullen elkaar binnen NinjaOne aan en geven technici een uitgebreid pakket functies dat alle behoeften op het gebied van macOS-beheer dekt. Dat begint al helemaal aan het begin van de lifecycle van het device. Haalt u een nieuwe Mac voor het eerst uit de doos, dan kunt u die met NinjaOne MDM automatisch aanmelden tijdens de onboarding en wordt de RMM-agent draadloos op het device geïnstalleerd, zonder tussenkomst van de eindgebruiker.
Wat betekent MDM voor macOS-beheer?
De afkorting MDM staat voor Beheer van mobiele apparaten. Op zichzelf zegt die heerlijk vage term weinig over wat het precies toevoegt aan het beheer van Apple-devices, en evenmin over het verschil met een aanpak met alleen RMM.
Op Apple-devices verwijst het “MDM-protocol” meestal naar een specifieke set acties en configuratiemogelijkheden die het OS van het device ondersteunt en die rechtstreeks door een vertrouwde MDM-server worden gestart en op het device toegepast. Bij een aanpak met alleen RMM wordt er een agentapplicatie op het device geïnstalleerd, die vervolgens communiceert met een server voor remote management. Het is die agent die uiteindelijk acties uitvoert en configuraties op het device toepast.
Voor veel mensen lijkt dat een verschil zonder veel betekenis. Toch zijn er op macOS en Apple-devices in het algemeen tal van mogelijkheden die alleen beschikbaar zijn wanneer ze rechtstreeks door een vertrouwde MDM-server worden gestart. Hoe geavanceerd of complex een agent op het device ook is, bepaalde mogelijkheden zijn aanzienlijk lastiger of zelfs onmogelijk als het device niet rechtstreeks via MDM wordt beheerd.
Enkele voorbeelden van dit soort mogelijkheden:
- Het device beheren gedurende de volledige lifecycle, vanaf het moment dat het wordt ingeschakeld en geactiveerd, en zelfs beheerd blijven na een volledige wipe
- Privacyvoorkeuren en systeemextensies die veel zakelijke applicaties nodig hebben automatisch goedkeuren en configureren
- macOS-updates eenvoudig goedkeuren, beheren en afdwingen
- Kernfuncties van het device (zoals cameratoegang of iCloud-ondersteuning), vereisten voor toegangscodes, netwerkverbindingen en meer eenvoudig configureren en beperken
- Devices op afstand en veilig vergrendelen of wissen met één druk op de knop
Hoe meld ik een Mac aan bij MDM?
Technici met bedrijfseigen Macs doen er goed aan een integratie op te zetten tussen NinjaOne en Automated Device Enrollment van Apple. Zodra die actief is, meldt elke Mac zich automatisch aan bij NinjaOne MDM wanneer het device de eerste configuratie-assistent doorloopt. Dat gebeurt bij het voor het eerst inschakelen van een nieuw device of na een wipe, bijvoorbeeld wanneer u in de macOS-systeeminstellingen de optie Wis alle inhoud en instellingen kiest.
Bestaande devices in het veld kunnen zich ook zonder wipe aanmelden bij MDM. Nadat u de ADE-integratie hebt ingesteld en eventuele bestaande MDM-profielen van het device hebt verwijderd, kunt u het volgende commando in Terminal gebruiken om de enrollment te starten.
📝Let op: hiervoor zijn lokale beheerdersreferenties op het device nodig.
sudo profiles renew --type enrollment
Devices van medewerkers en devices die geen deel uitmaken van Apple Business Manager of Apple School Manager en daar ook niet aan toegevoegd kunnen worden, meldt u aan door handmatig een enrollmentprofiel te installeren. Ga in NinjaOne naar Add Item > Device > Computer > Mac. Stel het distributietype in op “MDM enrollment profile” en klik op “Generate installer”. U kunt dit bestand lokaal downloaden, een link kopiëren of het rechtstreeks per e-mail naar gebruikers sturen. Download en installeer het bestand op een Mac en het systeem leidt u door het MDM-enrollmentproces.
Welke mogelijkheden heb ik na de MDM-enrollment van een Mac?
Naast alle macOS-beheermogelijkheden die NinjaOne vandaag al ondersteunt, ontgrendelt de enrollment van devices in MDM het volgende:
- Automatische installatie van de NinjaOne RMM-agent
- Extra MDM-instellingen binnen het macOS Agent Policy
- Beheer van macOS-updates
- Extra device-acties voor macOS
Automatische installatie van de NinjaOne RMM-agent
Direct na de MDM-enrollment wordt de NinjaOne RMM-agent automatisch op devices geïnstalleerd. Het device staat automatisch de meeste rechten toe die de agent nodig heeft, net als NinjaOne Remote. De ScreenCapture-machtiging kan niet expliciet worden toegestaan, maar het device wordt zo geconfigureerd dat elk lokaal gebruikersaccount die kan toestaan.
Extra MDM-instellingen binnen het macOS Agent Policy
In NinjaOne configureert u beleid voor macOS-devices vandaag onder Administration > Policies > Agent Policies. Dat blijft zo voor devices die via MDM zijn aangemeld. Er komen echter veel nieuwe opties bij.
De volgende payloads kunt u in het beleid configureren voor devices die via MDM zijn aangemeld:
- Toegangscode: bepaal de minimale beveiligingseisen voor de toegangscode van lokale gebruikersaccounts op het device.
- Beperkingen: schakel tal van native functies van het device in of uit, zoals Handoff, AirDrop, iCloud en diverse Apple Intelligence-mogelijkheden.
- Applicaties: beheer en installeer macOS-apps uit de App Store. Door te integreren met ABM en een content token te synchroniseren met NinjaOne, kunnen deze apps automatisch op beheerde devices worden geïnstalleerd. Apps die via een DMG- of PKG-installateur worden uitgerold, kunt u gewoon blijven beheren via NinjaOne zoals u dat nu doet.
- Netwerk: configureer wifinetwerken of globale proxy’s waarmee devices verbinding moeten maken.
- OS-updates: bepaal het standaardgedrag van het device bij de afhandeling van OS-updates. Daarnaast kunt u specifieke macOS-updates handmatig goedkeuren en afdwingen op devices.
- Privacyvoorkeuren: schakel automatisch de verschillende machtigingen in die uw apps van derden nodig kunnen hebben, zoals volledige schijftoegang of toegankelijkheidstoegang.
- Systeemextensies: sta automatisch alle systeemextensies toe die uw zakelijke applicaties nodig hebben om goed te draaien op macOS.
Daarnaast kunnen technici hun eigen aangepaste payloads definiëren en opnemen in het beleid. Aangepaste payloads kunnen elk mobileconfig-bestand zijn dat macOS standaard ondersteunt. Denk aan native macOS-mogelijkheden zoals webcontentfilters of instellingen voor app-meldingen of aan beheerde voorkeuren die een willekeurige macOS-applicatie van derden ondersteunt.
Beheer van macOS-updates
Met NinjaOne beheert u macOS-updates eenvoudig voor alle devices die via MDM zijn aangemeld. Met een onderdeel van Apple’s MDM-protocol dat bekendstaat als Declarative Device Management (DDM) kunnen technici afzonderlijke macOS-updates goedkeuren en volledig afdwingen op devices door een datum en tijd voor de handhaving op te geven. Een doorsnee goedgekeurde update verloopt als volgt:
- Voordat de technicus een update goedkeurt, bepaalt hij het standaardgedrag van devices in het gedeelte OS Updates van een beleid. Meestal gaat het erom uit te stellen wanneer een bepaalde update beschikbaar komt voor eindgebruikers. NinjaOne kan een update tot 90 dagen na de release verbergen voor gebruikers van een device.
- Een technicus kan een specifieke update goedkeuren, bijvoorbeeld macOS 15.3.1. Daarbij legt hij een datum en tijd voor de handhaving vast. Laten we in dit voorbeeld zeggen dat die zijn ingesteld op de woensdag erna om 19.30 uur.
- Na goedkeuring krijgen devices een melding dat macOS 15.3.1 voor hun device is goedgekeurd en op het opgegeven moment wordt afgedwongen. De update wordt automatisch gedownload en voorbereid op de devices. Elke dag krijgen gebruikers een herinnering dat deze update op het opgegeven tijdstip wordt afgedwongen. In de laatste 24 uur vóór de deadline volgen de meldingen elkaar sneller op. Gebruikers kunnen de goedgekeurde update op een zelfgekozen moment installeren via deze meldingen of via de systeeminstellingen van het device.
- Is de deadline verstreken zonder dat het device is bijgewerkt, dan dwingt het device de update af. Gebruikt iemand het device op dat moment actief, dan krijgt hij een aftelling van 60 seconden te zien voordat de installatie begint. Wordt het device niet actief gebruikt, dan vindt de update plaats zonder tussenkomst van de gebruiker.
In NinjaOne keurt u een OS-update goed vanuit het beleid zelf of via het dashboard Patching > OS Patches. Vanuit het Patching-dashboard kunt u updates in meerdere beleidsregels tegelijk goedkeuren.
Extra device-acties voor macOS
Tot slot is er een nieuwe reeks device-acties beschikbaar voor technici met Macs die via MDM zijn aangemeld:
- Device vergrendelen: hiermee start het device opnieuw op in een speciale herstelpartitie. De technicus geeft een pincode op en alleen met die pincode kan het device worden ontgrendeld.
- Device vrijgeven: hiermee maakt u het device los van Apple Business Manager of Apple School Manager.
- Beleid opnieuw synchroniseren: hiermee past u alle configuraties uit het toegewezen beleid opnieuw toe.
- NinjaOne-agent installeren: hiermee installeert u de NinjaOne RMM-agent (opnieuw) op het device.
- Device wissen: hiermee wist u het device op afstand. Dit komt overeen met de optie “Wis alle inhoud en instellingen” in de systeeminstellingen van het device.
Daarnaast verwijdert het wissen van het device-record uit NinjaOne automatisch het geïnstalleerde enrollmentprofiel en alle andere configuratieprofielen.
Wat komt hierna?
NinjaOne kan deze MDM-mogelijkheden combineren met onze bestaande agentmogelijkheden en zo compleet beheer voor macOS-devices bieden. NinjaOne heeft nu het kader op orde om de ondersteuning voor mogelijkheden binnen Apple’s MDM- en DDM-protocollen voor macOS, iOS en iPadOS verder uit te breiden.
Tegelijk wordt onze productroadmap grotendeels bepaald door directe feedback van onze klanten en gebruikers. Terwijl wij onze ondersteuning voor Apple-devices verder uitbouwen, horen onze teams graag precies welke mogelijkheden u nodig hebt om uw technici en eindgebruikers een beheerervaring van topniveau te bieden. Houd ons tot slot dit jaar en daarna in de gaten: we blijven nieuwe functies bouwen, nieuwe enrollmentmethoden ondersteunen en meer soorten Apple-devices toevoegen!
