macOS-apparaatinstellingen voor het configureren en gebruiken van kernel- en systeemextensies in Intune

In dit artikel worden de verschillende kernel- en systeemuitbreidingsinstellingen beschreven die u op macOS-apparaten kunt beheren. Als onderdeel van uw MDM-oplossing (Mobile Device Management) gebruikt u deze instellingen om extensies op uw apparaten toe te voegen en te beheren.

Deze functie is van toepassing op:

• macOS

Voor meer informatie over extensies in Intune en eventuele vereisten gaat u naar macOS-extensies toevoegen.

Deze instellingen worden toegevoegd aan een apparaatconfiguratieprofiel in Intune en vervolgens toegewezen of geïmplementeerd op uw macOS-apparaten.

Voordat u begint

• Maak een apparaatconfiguratieprofiel voor macOS-extensies.
• Deze instellingen zijn van toepassing op verschillende inschrijvingstypen. Ga naar macOS-inschrijving voor meer informatie over de verschillende inschrijvingstypen.

Kerneluitbreidingen

Deze functie is van toepassing op:

• macOS 10.13.2 en nieuwer

Wat u moet weten

• Kernelextensies werken niet op macOS-apparaten met de M1-chip. Dit zijn macOS-apparaten die worden uitgevoerd op Apple silicium. Dit gedrag is een bekend probleem, zonder verwachte aankomsttijd.

• Voor macOS-apparaten met versie 10.15 en hoger adviseren we het gebruik van systeemuitbreidingen (in dit artikel). Als u de instellingen voor kerneluitbreidingen gebruikt, kunt u overwegen om macOS-apparaten met M1-chips uit te sluiten van het ontvangen van het kerneluitbreidingsprofiel.

Instellingen zijn van toepassing op: Door gebruiker goedgekeurde apparaatregistratie, automatische apparaatregistratie

• Door de gebruiker vervangen toestaan: Ja , hiermee kunnen gebruikers kerneluitbreidingen goedkeuren die niet in het configuratieprofiel zijn opgenomen. Als deze optie is ingesteld op Niet geconfigureerd (standaard), wordt deze instelling niet door Intune gewijzigd of bijgewerkt. Standaard kan het besturingssysteem voorkomen dat gebruikers extensies toestaan die niet zijn opgenomen in het configuratieprofiel. Dit betekent dat alleen uitbreidingen die zijn opgenomen in het configuratieprofiel zijn toegestaan.

  Ga voor meer informatie over deze functie naar Door de gebruiker goedgekeurde kernelextensie laden (opent de website van Apple).

• Toegestane team-id's: gebruik deze instelling om een of meer team-ID's toe te staan. Alle kernelextensies die zijn ondertekend met de team-id's die u invoert, zijn toegestaan en worden vertrouwd. Met andere woorden, gebruik deze optie om alle kerneluitbreidingen binnen dezelfde team-id toe te staan, en dat kan een specifieke ontwikkelaar of partner zijn.

  Voer een team-id in met geldige en ondertekende kernelextensies die moeten worden geladen. U kunt meerdere team-id's toevoegen. De team-id moet alfanumeriek zijn (letters en cijfers) en tien tekens bevatten. Typ bijvoorbeeld .ABCDE12345

  Nadat u een team-id hebt toegevoegd, kan deze ook worden verwijderd.

  Zoek uw team-ID (opent de website van Apple) heeft meer informatie.

  Tip

  De team-id wordt opgeslagen in de lokale KextPolicy-database. U kunt de team-id ophalen met de sqlite3 opdracht vanaf een macOS-apparaat waarop dezelfde app is geïnstalleerd:

  1. Open de Terminal-app op het macOS-apparaat en voer het volgende script uit:

     sudo /Volumes/Macintosh\ HD/usr/bin/sqlite3 /Volumes/Macintosh\ HD/var/db/SystemPolicyConfiguration/KextPolicy "SELECT * from kext_policy"

     • In ons voorbeeld is de naam van het volume Macintosh HD. Werk het script bij met de naam van uw volume.
     • Zorg ervoor dat je root-toegang hebt en een SUDO opdracht kunt uitvoeren op het apparaat.

  2. Controleer de uitvoer. Het eerste item is de team-id. In ons voorbeeld is PXPZ95SK77de team-id:

     PXPZ95SK77|com.paloaltonetworks.kext.pangpd|1|Palo Alto Networks|5

• Toegestane kernelextensies: gebruik deze instelling om specifieke kernelextensies toe te staan. Alleen de kerneluitbreidingen die u invoert, zijn toegestaan of worden vertrouwd.

  Voer de bundel-id en de team-id van een te laden kernelextensie in. Gebruik voor niet-ondertekende oudere kernelextensies een lege team-id. U kunt meerdere kernelextensies toevoegen. De team-id moet alfanumeriek zijn (letters en cijfers) en tien tekens bevatten. Voer bijvoorbeeld de bundel-id en ABCDE12345 de team-id incom.contoso.appname.macos.

  Tip

  Om de bundel-id van een kernelextensie (Kext) op een macOS-apparaat te krijgen, kun je:

  1. Voer in de Terminal-app uit kextstat | grep -v com.appleen noteer de uitvoer. Installeer de gewenste software of Kext. Voer het programma opnieuw uit kextstat | grep -v com.apple en zoek naar wijzigingen.

     In de Terminal-app worden kextstat alle kerneluitbreidingen van het besturingssysteem weergegeven.

  2. Open op het apparaat het bestand met de lijst met informatie-eigenschappen (Info.plist) voor een Kext. De bundel-id wordt weergegeven. In elke Kext is een Info.plist-bestand opgeslagen.

Systeemuitbreidingen

Deze functie is van toepassing op:

• macOS 10.15 en nieuwer

Instellingen zijn van toepassing op: Door gebruiker goedgekeurde apparaatregistratie, automatische apparaatregistratie

• Gebruikersoverschrijvingen blokkeren: Ja voorkomt dat gebruikers systeemuitbreidingen goedkeuren die niet in de lijst met toegestane systeemextensies staan. Als deze optie is ingesteld op Niet geconfigureerd (standaard), wordt deze instelling niet door Intune gewijzigd of bijgewerkt. Standaard kunnen gebruikers in het besturingssysteem onbekende extensies goedkeuren die niet in het configuratieprofiel zijn opgenomen. Dit betekent dat uitbreidingen die niet zijn opgenomen in het configuratieprofiel zijn toegestaan.

• Toegestane team-id's: gebruik deze instelling om één of meerdere team-id's toe te staan. Systeemuitbreidingen die zijn ondertekend met de team-id's die u invoert, zijn altijd toegestaan en worden vertrouwd. Met andere woorden, gebruik deze optie om alle systeemuitbreidingen binnen dezelfde team-id toe te staan, en dat kan een specifieke ontwikkelaar of partner zijn.

  Voer een team-id in van geldige en ondertekende systeemuitbreidingen die moeten worden geladen. U kunt meerdere team-id's toevoegen. De team-id moet alfanumeriek zijn (letters en cijfers) en tien tekens bevatten. Typ bijvoorbeeld .ABCDE12345

  Nadat u een team-id hebt toegevoegd, kan deze ook worden verwijderd.

  Zoek uw team-ID (opent de website van Apple) heeft meer informatie.

  Tip

  U kunt de team-id ook ophalen van een Mac waarop de toepassing is geïnstalleerd

  Voer het volgende uit in de Terminal-app:

  systemextensionsctl list

  en noteer de uitvoer:

  Bijv. UBF8T346G9 com.microsoft.wdav.netext (101.04.48/101.04.48) Microsoft Defender voor Eindpunt Network Extension

  De eerste invoer is de team-id die u nodig hebt. UBF8T346G9 In ons voorbeeld

• Toegestane systeemuitbreidingen: gebruik deze instelling om specifieke systeemuitbreidingen altijd toe te staan. Alleen de systeemuitbreidingen die u invoert, zijn toegestaan of worden vertrouwd.

  Voer de bundel-id en de team-id in van een systeemuitbreiding die u wilt laden. Gebruik een lege team-id voor niet-ondertekende oudere systeemextensies. U kunt meerdere systeemuitbreidingen toevoegen. De team-id moet alfanumeriek zijn (letters en cijfers) en tien tekens bevatten. Voer bijvoorbeeld de bundel-id en ABCDE12345 de team-id incom.contoso.appname.macos.

• Toegestane typen systeemuitbreidingen: voer de team-id en systeemuitbreidingstypen in om die team-id toe te staan:

  • Team-id: voer de team-id in van een andere systeemextensie die u wilt toestaan voor specifieke extensietypen. U kunt ook een team-id invoeren die u hebt toegevoegd aan Toegestane systeemuitbreidingen.

  • Toegestane typen systeemuitbreidingen: selecteer de typen systeemuitbreidingen om elke team-id toe te staan. Uw opties:

    • Alles selecteren
    • Uitbreiding van stuurprogramma
    • Netwerkextensies
    • Extensies voor eindpuntbeveiliging

    Ga voor meer informatie over deze extensietypes naar Systeemextensies (opent de website van Apple).

    U kunt een team-id toevoegen uit de lijst Toegestane systeemuitbreidingen en een specifiek type uitbreiding toestaan. Als de extensie van een type is dat niet is toegestaan, wordt de extensie mogelijk niet uitgevoerd.

    Als u alle extensietypen voor een team-id wilt toestaan, voegt u de team-id toe aan de lijst met toegestane systeemuitbreidingen . Voeg de team-id niet toe aan de lijst met toegestane typen systeemextensies . Met andere woorden, als een team-id wel voorkomt in de lijst met toegestane systeemuitbreidingen en niet in de lijst met toegestane systeemuitbreidingstypen , dan zijn alle extensietypen toegestaan voor die team-id.

Verwante artikelen

Wijs het profiel toe en controleer de status ervan.