Ustawienia urządzeń z systemem macOS do konfigurowania i używania rozszerzeń jądra i systemu w usłudze Intune

W tym artykule opisano różne ustawienia jądra i rozszerzeń systemu, które można kontrolować na urządzeniach z systemem macOS. W ramach rozwiązania do zarządzania urządzeniami przenośnymi (MDM) użyj tych ustawień, aby dodawać rozszerzenia i zarządzać nimi na urządzeniach.

Ta funkcja ma zastosowanie do:

• macOS

Aby dowiedzieć się więcej o rozszerzeniach w usłudze Intune i wszelkich wymaganiach wstępnych, przejdź do witryny Dodawanie rozszerzeń systemu macOS.

Te ustawienia są dodawane do profilu konfiguracji urządzeń w usłudze Intune, a następnie przypisywane lub wdrażane na urządzeniach z systemem macOS.

Przed rozpoczęciem

• Utwórz profil konfiguracji urządzeń rozszerzeń systemu macOS.
• Te ustawienia dotyczą różnych typów rejestracji. Aby uzyskać więcej informacji na temat różnych typów rejestracji, przejdź do rejestracji w systemie macOS.

Rozszerzenia jądra

Ta funkcja ma zastosowanie do:

• macOS 10.13.2 i nowszy

Co musisz wiedzieć

• Rozszerzenia jądra nie działają na urządzeniach macOS z mikroukładem M1, które są urządzeniami macOS działającymi na Apple silicon. To zachowanie jest znanym problemem i nie ma szacowanego czasu.

• W przypadku wszystkich urządzeń z systemem macOS w wersji 10.15 lub nowszej zalecamy używanie rozszerzeń systemowych (w tym artykule). Jeśli używasz ustawień rozszerzeń jądra, rozważ wykluczenie urządzeń macOS z mikroukładami M1 z otrzymywania profilu rozszerzeń jądra.

Ustawienia dotyczą: Rejestracja urządzenia zatwierdzonego przez użytkownika, Automatyczna rejestracja urządzenia

• Zezwalaj na zastępowanie użytkownika: Tak umożliwia użytkownikom zatwierdzanie rozszerzeń jądra, które nie są uwzględnione w profilu konfiguracji. W przypadku ustawienia Nie skonfigurowano (wartość domyślna) usługa Intune nie zmienia ani nie aktualizuje tego ustawienia. Domyślnie system operacyjny może uniemożliwiać użytkownikom zezwalanie na rozszerzenia, które nie są uwzględnione w profilu konfiguracji. Oznacza to, że dozwolone są tylko rozszerzenia zawarte w profilu konfiguracji.

  Aby uzyskać więcej informacji na temat tej funkcji, przejdź do ładowania rozszerzenia jądra zatwierdzonego przez użytkownika (otwiera witrynę internetową firmy Apple).

• Dozwolone identyfikatory zespołów: To ustawienie pozwala na używanie co najmniej jednego identyfikatora zespołu. Wszystkie rozszerzenia jądra podpisane wprowadzonymi identyfikatorami zespołów są dozwolone i zaufane. Innymi słowy, użyj tej opcji, aby zezwolić na wszystkie rozszerzenia jądra w ramach tego samego identyfikatora zespołu, który może być określonym deweloperem lub partnerem.

  Wprowadź identyfikator zespołu prawidłowych i podpisanych rozszerzeń jądra do załadowania. Możesz dodać wiele identyfikatorów zespołów. Identyfikator zespołu musi być alfanumeryczny (litery i cyfry) i zawierać 10 znaków. Na przykład wprowadź ABCDE12345.

  Dodany identyfikator zespołu można również usunąć.

  Znajdź swój identyfikator zespołu (otwiera witrynę internetową firmy Apple) zawiera więcej informacji.

  Porada

  Identyfikator zespołu jest przechowywany w lokalnej bazie danych KextPolicy. Identyfikator zespołu można uzyskać za pomocą sqlite3 polecenia z urządzenia z systemem macOS, na którym jest zainstalowana ta sama aplikacja:

  1. Na urządzeniu z systemem macOS otwórz aplikację Terminal i uruchom następujący skrypt:

     sudo /Volumes/Macintosh\ HD/usr/bin/sqlite3 /Volumes/Macintosh\ HD/var/db/SystemPolicyConfiguration/KextPolicy "SELECT * from kext_policy"

     • W naszym przykładzie nazwa woluminu to Macintosh HD. Zaktualizuj skrypt za pomocą nazwy woluminu.
     • Upewnij się, że masz dostęp do roota i możesz uruchomić SUDO polecenie na urządzeniu.

  2. Przejrzyj dane wyjściowe. Pierwszy wpis to identyfikator zespołu. W naszym przykładzie identyfikator zespołu to PXPZ95SK77:

     PXPZ95SK77|com.paloaltonetworks.kext.pangpd|1|Palo Alto Networks|5

• Dozwolone rozszerzenia jądra: Użyj tego ustawienia, aby zezwolić na określone rozszerzenia jądra. Tylko rozszerzenia jądra, które wprowadzisz, są dozwolone lub zaufane.

  Wprowadź identyfikator pakietu i identyfikator zespołu rozszerzenia jądra do załadowania. W przypadku niepodpisanych starszych rozszerzeń jądra użyj pustego identyfikatora zespołu. Możesz dodać wiele rozszerzeń jądra. Identyfikator zespołu musi być alfanumeryczny (litery i cyfry) i zawierać 10 znaków. Na przykład wpisz com.contoso.appname.macos identyfikator pakietu i ABCDE12345identyfikator zespołu.

  Porada

  Aby uzyskać identyfikator pakietu rozszerzenia jądra (Kext) na urządzeniu z systemem macOS, możesz:

  1. W aplikacji Terminal uruchom kextstat | grep -v com.applei zanotuj dane wyjściowe. Zainstaluj odpowiednie oprogramowanie lub plik Kext. Uruchom kextstat | grep -v com.apple ponownie i poszukaj zmian.

     W aplikacji kextstat Terminal wyświetla listę wszystkich rozszerzeń jądra w systemie operacyjnym.

  2. Na urządzeniu otwórz plik listy właściwości informacji (Info.plist) dla pliku Kext. Zostanie wyświetlony identyfikator pakietu. W każdym pliku Kext znajduje się plik Info.plist.

Rozszerzenia systemu

Ta funkcja ma zastosowanie do:

• macOS 10.15 i nowszy

Ustawienia dotyczą: Rejestracja urządzenia zatwierdzonego przez użytkownika, Automatyczna rejestracja urządzenia

• Blokuj zastępowania użytkowników: Wartość Tak uniemożliwia użytkownikom zatwierdzanie rozszerzeń systemu, które nie znajdują się na liście dozwolonych. W przypadku ustawienia Nie skonfigurowano (wartość domyślna) usługa Intune nie zmienia ani nie aktualizuje tego ustawienia. Domyślnie system operacyjny może zezwalać użytkownikom na zatwierdzanie nieznanych rozszerzeń, które nie są uwzględnione w profilu konfiguracji. Oznacza to, że rozszerzenia nieuwzględnione w profilu konfiguracji są dozwolone.

• Dozwolone identyfikatory zespołów: użyj tego ustawienia, aby zezwolić na jeden lub wiele identyfikatorów zespołów. Wszelkie rozszerzenia systemu podpisane wprowadzonymi identyfikatorami zespołów są zawsze dozwolone i zaufane. Innymi słowy, użyj tej opcji, aby zezwolić na wszystkie rozszerzenia systemu w ramach tego samego identyfikatora zespołu, którym może być określony deweloper lub partner.

  Wprowadź identyfikator zespołu prawidłowych i podpisanych rozszerzeń systemu do załadowania. Możesz dodać wiele identyfikatorów zespołów. Identyfikator zespołu musi być alfanumeryczny (litery i cyfry) i zawierać 10 znaków. Na przykład wprowadź ABCDE12345.

  Dodany identyfikator zespołu można również usunąć.

  Znajdź swój identyfikator zespołu (otwiera witrynę internetową firmy Apple) zawiera więcej informacji.

  Porada

  Identyfikator zespołu można również uzyskać z komputera Mac, na którym aplikacja jest zainstalowana

  W aplikacji Terminal uruchom polecenie:

  systemextensionsctl list

  i zanotuj dane wyjściowe:

  Na przykład: UBF8T346G9 com.microsoft.wdav.netext (101.04.48/101.04.48) Ochrona punktu końcowego w usłudze Microsoft Defender Network Extension

  Pierwszy wpis to potrzebny identyfikator zespołu. UBF8T346G9 W naszym przykładzie

• Dozwolone rozszerzenia systemowe: użyj tego ustawienia, aby zawsze zezwalać na określone rozszerzenia systemowe. Tylko wprowadzone rozszerzenia systemu są dozwolone lub zaufane.

  Wprowadź identyfikator pakietu i identyfikator zespołu rozszerzenia systemu, które ma zostać załadowane. W przypadku niepodpisanych rozszerzeń systemu użyj pustego identyfikatora zespołu. Możesz dodać wiele rozszerzeń systemu. Identyfikator zespołu musi być alfanumeryczny (litery i cyfry) i zawierać 10 znaków. Na przykład wpisz com.contoso.appname.macos identyfikator pakietu i ABCDE12345identyfikator zespołu.

• Dozwolone typy rozszerzeń systemu: wprowadź identyfikator zespołu i typy rozszerzeń systemu, aby zezwolić na ten identyfikator zespołu:

  • Identyfikator zespołu: wprowadź identyfikator zespołu innego rozszerzenia systemu, na które chcesz zezwolić na określone typy rozszerzeń. Możesz też wprowadzić identyfikator zespołu dodany do listy dozwolonych rozszerzeń systemowych.

  • Dozwolone typy rozszerzeń systemowych: wybierz typy rozszerzeń systemu, które mają być dozwolone dla każdego identyfikatora zespołu. Dostępne opcje:

    • Zaznaczenie wszystkiego
    • Rozszerzenia sterowników
    • Rozszerzenia sieciowe
    • Rozszerzenia zabezpieczeń punktu końcowego

    Aby uzyskać więcej informacji o tych typach rozszerzeń, przejdź do rozszerzenia systemowe (otwiera witrynę sieci Web firmy Apple).

    Możesz dodać identyfikator zespołu z listy dozwolonych rozszerzeń systemowych i zezwolić na określony typ rozszerzenia. Jeśli rozszerzenie jest typu niedozwolonego, rozszerzenie może nie zostać uruchomione.

    Aby zezwolić na wszystkie typy rozszerzeń dla identyfikatora zespołu, dodaj identyfikator zespołu do listy dozwolonych rozszerzeń systemu . Nie dodawaj identyfikatora zespołu do listy Dozwolone typy rozszerzeń systemowych . Innymi słowy, jeśli identyfikator zespołu znajduje się na liście dozwolonych rozszerzeń systemu , a nie na liście dozwolonych typów rozszerzeń systemu , to wszystkie typy rozszerzeń są dozwolone dla tego identyfikatora zespołu.

Artykuły pokrewne

Przypisz profil i monitoruj jego stan.