Es ist Ihnen allen bekannt, dass Apple in den letzten Jahren nicht nur auf der Endbenutzerseite, sondern auch in der Unternehmenswelt populär geworden ist. Die Apple-Website ist voll von Geschichten großer Unternehmen wie IBM und SAP, die massenhaft von anderen Plattformen auf Mac umgestiegen sind.
In den Migrationsgeschichten von verschiedenen Plattformen zu Apple beanspruchen Unternehmen an jedem Ende des Prozesses zwar die Urheberschaft mit den Worten „es geschah dank uns“, doch die Wahrheit sieht nicht ganz so aus.
MDM-/EMM-Produkte sind keine Softwarelösungen, die wie beispielsweise Microsoft Office oder Adobe Creative Cloud sofort einsatzbereit verwendet werden können. Sie installieren diese Produkte auf Ihrem Server oder abonnieren ihre cloudbasierten Dienste. Obwohl Ihnen die MDM-Lösung in ihrer ursprünglich installierten Form bei vielen Einstiegsthemen hilft, benötigt sie einige Erweiterungen, wenn sich Ihr Einsatzbereich ausweitet. Diese Erweiterungen können manchmal ein einzeiliges Skript sein, manchmal eine Anwendung…
SAP Privileges ist keine Art von EPM-Produkt (Endpoint Privileges Manager). Beispielsweise erteilt es einem Benutzer, der seinen Computer mit Standard-Benutzerberechtigungen verwendet, keine Admin-Berechtigung speziell für die Xcode-Anwendung. Die von SAP Privileges angebotene temporäre Admin-Berechtigung führt lediglich eine zeitbasierte Beschränkung ein.
Wie kann ich es verwenden?
Sie können SAP Privileges von der GitHub-Seite von SAP herunterladen. Oder, wenn Sie ein MDM verwenden, ist es in der Anwendungsbibliothek vieler MDM-Produkte verfügbar. Sie können es für Kandji über Auto Apps und für Jamf Pro aus dem Jamf App Catalog beziehen.
Wenn Sie die Privileges-Anwendung über MDM an Ihre Benutzer senden, können Ihre Benutzer, sofern sie Standard-Benutzer sind, sich durch Ausführen der Privileges-Anwendung selbst temporäre Admin-Berechtigungen erteilen. Die Standardeinstellung ist auf 20 Minuten eingestellt, und über das Symbol im Dock können Sie erfahren, ob sie aktiv ist und wie viele Minuten Berechtigung Ihnen verbleiben.
Das Problem hierbei ist, dass ein Standard-Benutzer sie beliebig oft nutzen und seinen Computer mit unbegrenzten Admin-Berechtigungen verwenden kann. Wenn Sie Admin-Berechtigungen außer in einigen Ausnahmefällen nur einer bestimmten Benutzergruppe in Ihrem Unternehmen erteilen und alle anderen als Standard behalten möchten, sollten Sie die zweckentfremdete Nutzung der Privileges-Anwendung verhindern. Dazu können Sie die Einstellungsdatei für die SAP Privileges-Anwendung bearbeiten und diese Datei ebenfalls über MDM an Ihre Benutzer senden. So beginnt die Anwendung im Rahmen der von Ihnen festgelegten Einstellungen zu arbeiten, und der Benutzer kann diese Einstellungen nicht ändern.
Lernen wir die .plist-Dateien kennen
Im Betriebssystem macOS werden die Einstellungen von Anwendungen in einer separaten Datei gespeichert, und sofern der Entwickler diesbezüglich keine besondere Wahl getroffen hat, lautet die Dateierweiterung .plist. Property List-Dateien enthalten alle veränderbaren Schlüssel der Anwendung, und Sie können diese nach Ihren Wünschen gestalten.
Unten sehen Sie als Beispiel einen Teil der .plist-Datei, die die Dock-Einstellungen enthält. Die im Code grün markierten Bereiche zeigen, dass die Vergrößerungsfunktion des Docks aktiviert ist. Die orangefarbenen Bereiche werden verwendet, um die Position des Docks auf dem Bildschirm zu bestimmen.
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>largesize</key>
<real>104</real>
<key>last-analytics-stamp</key>
<array>
<real>774854401.09632897</real>
</array>
<key>loc</key>
<string>en_US:TR</string>
<key>magnification</key>
<true/>
<key>mod-count</key>
<integer>167</integer>
<key>orientation</key>
<string>bottom</string>
<key>persistent-apps</key>
<array>Eine ähnliche Datei existiert für SAP Privileges und für nahezu alle Anwendungen. Die .plist-Datei der SAP Privileges-Anwendung befindet sich mit dem Namen corp.sap.privileges.plist im Ordner Preferences innerhalb Ihres Home Library-Ordners. Wenn Sie sich den Inhalt dieser .plist-Datei ansehen, können Sie sehen, dass es verschiedene verwaltbare Schlüssel gibt. Die hier rot markierte Zeile zeigt, wie oft ein Benutzer die Privileges-Anwendung verwenden kann. Die grüne Zeile zeigt, wie viele Minuten Berechtigung jedes Mal gewährt werden, wenn Admin-Berechtigungen erlangt werden.
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>ExpirationInterval</key>
<integer>5</integer>
<key>ExpirationIntervalMax</key>
<integer>3</integer>
<key>PayloadUUID</key>
<string>5F5ADB81-A85F-4AD9-8416-A6727F40C222</string>
<key>ReasonMaxLength</key>
<integer>50</integer>
<key>ReasonMinLength</key>
<integer>2</integer>
<key>ReasonRequired</key>
<true/>
</dict>
</plist>Wie bearbeiten wir nun diese .plist-Datei?
Sie können sie mit einem beliebigen Texteditor im Klartextformat erstellen, zunächst als .txt speichern und dann die Dateierweiterung in .plist ändern. Aber anstatt sich damit zu befassen, können Sie sich von Drittanbieter-Software helfen lassen, die MDM-Konfigurationsprofile erstellen kann. Wie iMazing Profile Editor… Wenn Sie eine Profildatei erstellen möchten, die im Rahmen des MDM-Protokolls von Apple verwendet werden kann, können Sie dies auch einfach mit Apple Configurator for Mac tun. Aber Tools wie iMazing Profile Creator konfigurieren nicht nur die Payloads im MDM-Schema von Apple — sie ermöglichen es Ihnen auch, die Einstellungen vieler Drittanbieter-Software zu ändern und als Konfigurationsprofile zu speichern. Sie können die Anwendung iMazing Profile Editor von dieser Adresse herunterladen.
Wenn Sie die Anwendung iMazing Profile Editor zum ersten Mal öffnen, können Sie damit beginnen, der zu erstellenden Profildatei im erscheinenden Bereich General einen Namen zu geben. Zum Beispiel etwas wie „SAP Privileges“.
Wenn der Name, den Sie im Bereich Identifier sehen, mit dem Local Hostname Ihres eigenen Computers beginnt, empfehle ich Ihnen, ihn hier zu ändern. Sie verhindern dadurch jegliche Verwechslung, die mit anderen Konfigurationsprofilen entstehen könnte, die Sie in Zukunft mit iMazing Profile Editor erstellen werden. Hier können Sie einen Namen in umgekehrter DNS-Struktur vergeben. Wie „com.mdmhow.kandji.sapprivilegessettings“… Sie geben damit den Namen Ihrer Organisation, den Namen der von Ihnen verwendeten MDM-Lösung und den Verwendungszweck des Profils an.
Nachdem Sie diese beiden Felder ausgefüllt haben, können Sie zum Payload gelangen, über das Sie SAP Privileges steuern können, indem Sie oben rechts auf dem Bildschirm auf das Suchfeld klicken und SAP eingeben. Durch Klicken auf die Schaltfläche + Add Payload können Sie die SAP Privileges-Einstellungen zu den Einstellungen des von Ihnen erstellten Profils hinzufügen.
Bevor wir zu den SAP Privileges-Einstellungen übergehen, lassen Sie mich auch diese einfache Information teilen. Technisch gesehen könnten Sie tatsächlich ein einziges Konfigurationsprofil erstellen und jedes Detail, das Sie auf den Benutzergeräten verwalten möchten, mit einem einzigen Profil übermitteln. So geht eine einzige Profildatei vom MDM-Server an den Computer des Benutzers und erledigt die gesamte Arbeit, die sie erledigen muss. Aber in realen Szenarien ist dies kein nachhaltiger Ansatz. Denn wenn Sie beispielsweise die Einstellungen der SAP Privileges-Anwendung zusammen mit einer Restriction als ein einziges Konfigurationsprofil speichern, müssen Sie diese beiden Payloads zusammen senden. Sie können nicht sagen, dass die Mitarbeiter der Marketingabteilung das Restriction-Payload erhalten sollen und die Personalabteilung die Restriction nicht, sondern nur die SAP Privileges-Einstellungen erhalten soll.
Aus diesem Grund besteht die Best Practice darin, jede Profildatei separat zu speichern und separat zu versenden.
Wenn Sie die SAP Privileges-Einstellungen aufrufen, können Sie alle steuerbaren Schlüssel sehen. Ich möchte hier einige Punkte erläutern, die ich für wichtig halte.
Expiration Interval: Zeigt an, wie viele Minuten der Benutzer die Admin-Berechtigung nutzen kann. Sie können einen Wert größer als null eingeben. Es wäre angebracht, hier eine Dauer unter Berücksichtigung der Vorgänge festzulegen, die Benutzer mit Admin-Berechtigungen durchführen möchten. Wenn Sie superkurze Zeiten wie 2-3 Minuten festlegen, werden Ihre Benutzer die Zeit wahrscheinlich aufgebraucht haben, bevor sie irgendeinen Vorgang durchführen können.
Expiration Interval Max: Wird verwendet, um festzulegen, wie oft ein Benutzer im Laufe des Tages Admin-Berechtigungen erlangen kann. Hier können Sie beispielsweise einen Wert wie 3 eingeben.
Allow CLI Biometric Authentication: er einfachste Weg für Benutzer, Admin-Berechtigungen anzufordern, ist die Verwendung der Privileges-Anwendung. Sie können Admin-Berechtigungen jedoch auch über die CLI (Command Line Interface) erlangen. Dazu genügt es, dass sie über das Terminal den Befehl PrivilegesCLI –add eingeben. Der Befehl Allow CLI Biometric Authentication erfordert, dass ein Benutzer, der Admin-Berechtigungen über die CLI anfordert, vor der Erteilung dieser Berechtigung eine biometrische Verifizierung ähnlich wie Touch ID oder Face ID durchführt.
Require User Authentication: Erfordert eine Benutzerverifizierung, genau wie der Befehl Allow CLI Biometric Authentication. Aber diesmal für Anfragen, die über die grafische Oberfläche und nicht über die CLI kommen.
Reason Required: Macht es für den Benutzer verpflichtend, anzugeben, warum er diese Berechtigung verwenden wird, bevor er Admin-Berechtigungen anfordert. Über den Bereich Reason Maximum Length direkt darunter können Sie die Länge der kurzen Beschreibung festlegen, die er schreiben wird. Sie können eine Begrenzung wie 100 Zeichen hinzufügen. Wenn Sie möchten, dass der Benutzer beim Angeben eines Grundes eine der vorbereiteten Optionen verwendet, können Sie diese Optionen über den Bereich Reason Preset List festlegen.
Nachdem Sie diese und die anderen hier nicht aufgeführten Einstellungen vorgenommen haben, müssen Sie sie speichern, indem Sie aus iMazing Profile Editor den Befehl File > Save geben. Sie können das erhaltene .mobileconfig-Dokument in die von Ihnen verwendete MDM-Lösung hochladen und es zusammen mit der SAP Privileges-Anwendung an Ihre Benutzer senden.
Wenn die Einstellungen über ein MDM-Konfigurationsprofil geladen werden, nehmen Sie dem Endbenutzer das Recht, Änderungen an den Einstellungen der Privileges-Anwendung vorzunehmen. So können sie nicht nach Belieben Zeit hinzufügen.
TL;DR
Lassen Sie mich eine kurze Zusammenfassung geben:
• Manche Benutzer, die ihre Computer mit Standard-Benutzerberechtigungen verwenden, benötigen manchmal Admin-Berechtigungen
• Damit sie diese Berechtigung selbst erlangen können, wird eine von SAP entwickelte Anwendung namens Privileges verwendet
• Damit Benutzer sich mit dieser Anwendung nicht beliebig viele Admin-Berechtigungen erteilen, können die Einstellungen der Anwendung auch zentral vorbereitet und an die Benutzer gesendet werden.
• Um dies zu tun, kann ein Drittanbieter-Tool namens iMazing Profile Editor genutzt werden.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Photo by Daiji Umemoto on Unsplash
Kommentar verfassen