Ein Administrator, der eine Geräteflotte mit einer MDM/EMM-Lösung verwaltet, möchte, dass alle von ihm verwalteten Geräte möglichst einheitlich sind. Natürlich entspricht dieser Wunsch nicht ganz den Szenarien des realen Lebens. Wenn die verwalteten Geräte keine Kiosk-Geräte sind und von echten Menschen verwendet werden, wird jeder Benutzer sein Gerät mit einem gewissen Grad an Personalisierung verwenden. Dies führt zu einer Geräteflotte mit Geräten, die aus der Reihe tanzen.
Indem wir eine Compliance Policy erstellen, die für solche Situationen bestimmte Schlüsselfunktionen enthält, können wir Maßnahmen ergreifen, wenn die von uns verwalteten Geräte aus der Compliance fallen.
Um eine Compliance Policy für macOS-Geräte mit Microsoft Intune zu erstellen, klicken Sie zuerst im Bereich Dashboard von Intune im Abschnitt Device Compliance auf die Schaltfläche Create Policies, um Ihre erste Policy zu erstellen. Wenn Sie aus irgendeinem Grund im Bereich Dashboard keinen Abschnitt namens Device Compliance sehen, können Sie auch zu Devices > Manage Devices > Compliance gehen, um Ihre erste Compliance Policy zu erstellen.
Wenn Sie auf den Abschnitt Compliance Policies zugreifen, können Sie beginnen, indem Sie auf die Schaltfläche + Create Policy klicken, um eine neue Policy zu erstellen.
Sie können die Plattform, die Sie verwalten werden, aus dem neuen Bildschirm auswählen, der sich rechts öffnet. Da wir hier eine macOS Compliance Policy erstellen, wählen wir macOS aus dem Plattformabschnitt. Da auf allen aufgelisteten Plattformen außer Android Enterprise nur ein Profiltyp verwendet werden kann, müssen wir keine Auswahl aus dem Menü Profile Type treffen. Wir können unsere Policy erstellen, indem wir unten auf die Schaltfläche Create klicken.
Wie Sie auf der Seite sehen können, die sich öffnet, wenn Sie auf die Schaltfläche Create klicken, können wir unsere erste Compliance Policy in nur wenigen Schritten erstellen.
Wir beginnen damit, unserer Policy im Abschnitt Basics einen Namen zu geben. Das Ausfüllen des Abschnitts Description ist nicht obligatorisch. Sie können ihn überspringen, wenn Sie möchten. Aber ich möchte hier eine kleine Anmerkung machen. Sie können innerhalb von Intune mehrere Compliance Policies erstellen. Tatsächlich müssen Sie möglicherweise selbst für Ihre macOS-Geräteflotte mehr als eine Compliance Policy verwenden. Zum Beispiel möchten Sie vielleicht in Ihre Compliance Policy aufnehmen, dass FileVault in einer Gruppe aktiviert und in einer anderen Gruppe deaktiviert ist. Für Szenarien, in denen Sie mit solchen differenzierten Szenarien fortfahren, kann eine zweizeilige Erklärung im Abschnitt Description Ihnen in Zukunft sehr hilfreich sein.
Nach dem Benennungsvorgang können Sie zum nächsten Schritt fortfahren, indem Sie unten auf der Seite auf die Schaltfläche Next klicken.
Compliance Settings
Wenn Sie die Seite Compliance Settings öffnen, auf der wir unsere Compliance-Kriterien definieren werden, sehen Sie drei Hauptüberschriften.
• Device Health
• Device Properties
• System Security
Device Health
Die einzige Option unter der Überschrift Device Health bezieht sich auf SIP, also System Integrity Protection. SIP ist ein Thema für einen separaten Blogbeitrag, aber lassen Sie uns kurz erklären, was es tut. SIP ist eine macOS-Sicherheitsfunktion, die bestimmte Ordner des Betriebssystems vor verschiedenen Eingriffen schützt. Wenn SIP aktiviert ist (was die Standardeinstellung ist), können selbst Benutzer mit Root-Berechtigungen auf bestimmte Systembereiche nicht zugreifen oder in sie eingreifen.
SIP ist standardmäßig aktiviert, wie ich oben erwähnt habe. Wenn Sie es deaktivieren möchten, können Sie dies über die macOS Recovery mit dem Terminal tun.
Wenn Sie Ihre Benutzer daran gehindert haben, auf die macOS Recovery zuzugreifen (mit FileVault, Recovery Lock oder Firmware Password für Intel-Geräte), dann müssen Sie sich keine Sorgen über SIP machen. Denn Benutzer können SIP nicht selbst deaktivieren.
Wenn Sie die SIP-Verwendung dennoch in die Compliance Policy aufnehmen möchten, können Sie den Schalter in den Abschnitt Require bewegen.
Device Properties
Unter dem Abschnitt Device Properties können Sie die minimalen und maximalen macOS-Versionen und Build Numbers für die von Ihnen verwalteten Geräte angeben. Für diejenigen, die mit dem Apple-Ökosystem nicht vertraut sind, hier eine kurze Anmerkung zu Betriebssystemversionen. Wenn Apple eine neue Betriebssystemversion veröffentlicht, führen Endbenutzer das Upgrade viel schneller durch als bei anderen Betriebssystemen. Daher liegen Benutzer von Apple-Geräten in Bezug auf macOS-Versionen im Allgemeinen nahe beieinander. Selbst wenn Sie als IT-Administrator Benutzer über Ihr MDM daran hindern möchten, auf eine neue macOS-Version zu aktualisieren, werden Sie auf Apples 90-Tage-Obergrenze stoßen. Apple-Benutzern wird ab dem 91. Tag das Recht eingeräumt, ihre Systeme zu aktualisieren.
Sie können die minimalen und maximalen macOS-Versionen, die Geräte in Ihrer Flotte unterstützen können, angeben, indem Sie Versionsnummern wie 13.0 und 26.2 eingeben. Um dies zu bestimmen, ist es hilfreich, die Produktionsjahre der Geräte in Ihrer Mac-Flotte zu kennen und zu wissen, welche Betriebssysteme sie unterstützen können. Ich empfehle, https://support.apple.com/en-us/109033 als Lesezeichen zu speichern, um die offizielle Liste zu verfolgen, welche macOS-Versionen mit welcher Hardware kompatibel sind. Die aktuelle macOS-Version, macOS Tahoe, ist grob gesagt mit Hardware ab 2019 kompatibel.
Wenn Sie eine spezifischere Unterscheidung treffen und Build Numbers verwenden möchten, benötigen Sie eine Liste der Build-Nummern der macOS-Versionen. Dies können Sie mit einer schnellen Google-Suche finden. Aber lassen Sie mich diese Gelegenheit nutzen, um ein nützliches Werkzeug zu erwähnen, das seit Jahren der Liebling der Mac-Community ist. Mit einer kleinen Anwendung namens MacTracker können Sie auf alle technischen Informationen über die gesamte Hardware und Software zugreifen, die Apple in seiner Geschichte produziert hat. Unten ist eine Liste der Build-Nummern der macOS Sequoia-Versionen, die aus MacTracker entnommen wurde. Sie können MacTracker für Mac und iPhone herunterladen.
System Security
Im dritten Abschnitt, System Security, finden Sie verschiedene Sicherheitshärtungsfunktionen. Die erste Kategorie hier ist das Feld Password, in dem Sie grundlegende Passwortanforderungen festlegen können.
Sie werden in diesem Bereich ebenfalls die grundlegenden Passwortanforderungen finden, die Sie von vielen Geräteverwaltungssystemen kennen. Passwortlänge, Anforderung alphanumerischer Zeichen, Passwortgültigkeitsdauer usw. Wenn ein Gerät derzeit ein Passwort hat, das von den unter System Security > Password angegebenen Passwortanforderungen abweicht, wird es von Intune als Compliant betrachtet. Bis zur nächsten Passwortänderung.
Die einzige Option unter der Überschrift Encryption bezieht sich darauf, ob die FileVault-Vollverschlüsselung auf dem Gerät vorhanden ist. Da FileVault eine Sicherheitsebene ist, die viele Aspekte des Betriebssystems betrifft, wird seine Verwendung in Unternehmensumgebungen empfohlen. In diesem Zusammenhang würde ich empfehlen, FileVault über Intune zu konfigurieren und es zur Compliance Policy hinzuzufügen.
Die nächste Überschrift, Device Security, enthält verschiedene Einstellungen in Bezug auf die Firewall-Funktion innerhalb des Geräts. Sie können aus grundlegenden Einstellungen wählen, wie ob die Firewall ein-/ausgeschaltet ist, ob eingehende Verbindungsanfragen genehmigt/abgelehnt werden sollen und ob der Stealth mode ein-/ausgeschaltet sein soll.
Als weitere Best Practice würde ich empfehlen, die Firewall-Einstellungen innerhalb der Compliance Policies deaktiviert zu lassen. Denn viele Unternehmensumgebungen verwenden Drittanbieterlösungen für die Firewall, und die Firewall-Funktionen am Endpunkt sind deaktiviert. Daher würde ich nicht empfehlen, Firewall-Einstellungen in die Compliance Policy aufzunehmen, es sei denn, Sie beabsichtigen, Firewall-Einstellungen aus macOS heraus zu konfigurieren.
Die letzte Option in diesem Bereich ist der Abschnitt Gatekeeper. Gatekeeper ist eine der Sicherheitsfunktionen des Systems, die bestimmt, welche Quellen verwendet werden können, um Anwendungen sicher auf macOS zu installieren. In macOS kann der Abschnitt Allow Applications From im Abschnitt Privacy & Security der System Settings-Anwendung verwendet werden, um zu bestimmen, von wo Anwendungen auf jenem Computer installiert werden können. In jenem Bereich sind zwei Optionen verfügbar:
- App Store
- App Store & Known Developers
Wenn die Option App Store ausgewählt ist, laufen auf jenem Mac nur aus dem App Store heruntergeladene Anwendungen. Wenn Sie die Gatekeeper-Einstellung auf App Store setzen, können Sie Anwendungen wie den Webbrowser Google Chrome nicht auf Ihrem Computer ausführen. Denn Google Chrome kann von Googles Website heruntergeladen werden, nicht aus dem App Store.
Wenn die Option App Store & Known Developers ausgewählt ist, können Anwendungen von allen Entwicklern, die sich bei Apple als Entwickler registriert und dem Apple Developer Program beigetreten sind, auf jenem Mac installiert werden. Unabhängig davon, wo sie heruntergeladen wurden.
Unter normalen Umständen kann die Gatekeeper-Einstellung an über MDM verwaltete Computer gesendet werden. Benutzer können dies nicht umgehen. In Intune kann dies über Devices > Manage Devices > Configuration > New Policy > Settings Catalog > System Policy Control erfolgen. Wenn ein MDM-Administrator diese Einstellung jedoch nicht in seinen eigenen Einstellungssatz aufgenommen hat, können Benutzer auf ihren eigenen Computern auf den Abschnitt Privacy & Security in der System Settings-Anwendung zugreifen und ihre eigene Auswahl treffen. Darüber hinaus können sie, wenn sie ein Admin-Benutzer mit der Berechtigung zur Verwendung von sudo-Befehlen sind, Gatekeeper umgehen und die Option Anywhere als drittes Element zu jener Liste hinzufügen.
Daher wäre es richtig, die auf Unternehmensebene beschlossene Anwendungsinstallationsquelle innerhalb von Intune über System Policy Control anzugeben und dieselbe Einstellung innerhalb der Compliance Policy zu wiederholen.
Actions for Noncompliance
Nachdem wir unsere Präferenzen im Schritt Compliance Settings angegeben haben, können wir auf die Schaltfläche Next klicken, um unsere Präferenzen dazu anzugeben, welche Maßnahmen bei Geräten zu ergreifen sind, die diese Kriterien nicht erfüllen.
Es gibt insgesamt 4 Maßnahmen, die aus diesem Bereich ergriffen werden können:
Mark Device Noncompliant
Diese Maßnahme erfolgt automatisch, und jedes Gerät, das nicht mit den definierten Policies konform ist, wird sofort als Noncompliant markiert. Der Compliance- oder Non-Compliance-Status von Geräten kann im Abschnitt Devices > Compliance angezeigt werden.
Send email to enduser
Informationen über einen als nicht konform markierten Computer können dem Benutzer per E-Mail bereitgestellt werden. Sie können diese E-Mail sofort oder X Tage später senden. Bevor Sie diese Option auswählen, müssen Sie die Benachrichtigungsnachricht in Endpoint security > Device compliance > Notifications > Create notification vorbereiten.
Remotely lock the noncompliant device
Wird verwendet, um ein Gerät, das nicht mit den Policies konform ist, aus der Ferne zu sperren. Das Gerät wird gesperrt, und der Benutzer kann es nur durch Eingabe eines PIN-Codes wieder aktivieren. Diese Maßnahme kann sofort oder nach X Tagen angewendet werden.
Add device to the retire list
Dies wird verwendet, um ein Gerät, das nicht mit den Policies konform ist, aus MDM zu entfernen und alle über MDM an das Gerät gesendeten Policies und Konfigurationen zu löschen. Diese Maßnahme kann sofort oder nach X Tagen angewendet werden.
Assignments
Die Benutzer oder Gruppen, auf die die angegebenen Compliance Policy-Einstellungen und die zu ergreifenden Maßnahmen angewendet werden können, können im Schritt Assignments bestimmt werden.
Die von der Compliance Policy betroffenen Benutzer oder Gruppen können aus dem Abschnitt Included Groups in diesem Bereich ausgewählt werden. Die auszuschließenden Gruppen können im Abschnitt Excluded Groups unterhalb dieses Bereichs angegeben werden. Zum Beispiel können Sie sagen: „Die Compliance Policy soll alle Benutzer betreffen, aber die Gruppe Personalwesen soll ausgeschlossen werden.“
Review + Create
Im letzten Schritt können Sie eine allgemeine Liste von allem, was Sie bisher getan haben, ansehen und überprüfen und die Compliance Policy erstellen.
Photo by Junaid Islam on Unsplash
Kommentar verfassen