Sind Sie stur genug, um weiterhin ein Nokia 3310 zu verwenden? Wenn nicht, verwenden Sie wahrscheinlich ein iPhone oder ein Android-basiertes Smartphone.
Wenn Sie ein beliebiges Smartphone besitzen, wissen Sie, dass diese Geräte vieles über Anwendungen erledigen. Wenn Sie einen Computer verwenden, erledigen Sie möglicherweise einen Großteil Ihrer Arbeit mit einem modernen Webbrowser. Aber auf mobilen Geräten sind die Nutzergewohnheiten etwas anders als bei Computern. Smartphone-Nutzer neigen dazu, für eine bestimmte Aufgabe konzipierte Anwendungen zu verwenden, anstatt all ihre Arbeit über Webbrowser wie Safari zu erledigen. Dafür gibt es sogar einen Spruch, der zu einem kulturellen Phänomen geworden ist: There’s an app for that / Dafür gibt es eine App.
Wenn Sie eine Anwendung auf Ihr Telefon herunterladen — sagen wir, es ist eine Foto-App — fragt Sie die Anwendung beim ersten Öffnen nach dem Herunterladen nach bestimmten Berechtigungen. Selbst wenn die Anwendung eine Foto-App ist, hat sie keine Berechtigung, auf die Kamera-Hardware des Telefons zuzugreifen. Und beim ersten Öffnen der Anwendung erscheint eine Warnung wie „Die App XYZ möchte auf Ihre Kamera zugreifen“.
Wenn Sie eine Navigations-App wie TomTom herunterladen, kommt die Anwendung nicht mit bereits erteilten Berechtigungen für den Zugriff auf Ortungsdienste, die Karte usw. an. Zuerst wird die Anwendung installiert, dann erteilt der Benutzer die Berechtigung für die Dienste, die er zulassen möchte. (mit diesem letzten Satz haben wir, glaube ich, die Android-Nutzer an dieser Stelle des Artikels verloren)
Wenn beispielsweise eine Anwendung, die Hintergrundbilder und Wallpaper für das Telefon enthält, auf meine Kontaktliste zugreifen möchte, wittere ich darin eine böse Absicht und erteile diese Berechtigung natürlich nicht.
Zu diesem Thema können Sie sich den datenschutzbezogenen Teil des Interviews ansehen, das Steve Jobs 2010 auf der All Things Digital-Konferenz mit Walt Mossberg und Kara Swisher führte (auf Englisch).
Ich denke, dass jeder, der ein persönlicher Smartphone-Nutzer ist, das, was ich bis zu diesem Punkt im Artikel erklärt habe, bereits weiß. Das Thema hat auch mit der Apple-Geräteverwaltung zu tun. Und genau das ist das Thema dieses Artikels.
Ein unternehmerischer Blick auf Benutzerberechtigungen
Wenn Sie eine Anwendung an die mit Ihrer MDM-Lösung verwalteten Geräte senden möchten, können Sie die Anwendung im Rahmen von VPP kaufen oder als PKG / APP / DMG installieren und verteilen. Die von Ihnen gesendete Anwendung wird auf dem Computer des Benutzers installiert, und der Benutzer kann die Anwendung jederzeit durch Doppelklick öffnen. Und Sie können sich als MDM-Admin als jemand betrachten, der seine Pflicht erfüllt hat. Allerdings wird die von Ihnen gesendete Anwendung beginnen, den Benutzer um Berechtigungen für die verschiedenen Dienste und Ordner zu bitten, auf die sie zugreifen möchte.
Ich bin sicher, dass jeder, der diesen Artikel liest, die folgende Situation mindestens einmal erlebt hat. Sie laden die Zoom-Anwendung auf Ihren Computer herunter. Und Sie nehmen an einer Besprechung teil. Wenn Sie an der Reihe sind, eine Präsentation zu halten, bemerken Sie, dass Zoom keine Berechtigung zur Bildschirmfreigabe hat. Um diese Berechtigung zu erteilen, müssen Sie Zoom schließen und wieder öffnen, während die Besprechung läuft. Besonders während der COVID-Pandemie haben wir alle diese oder ähnliche Situationen erlebt.
Damit die von Ihnen verteilte Anwendung den Benutzer nicht zu passenden oder unpassenden Zeitpunkten um diverse Berechtigungen bittet, sollten Sie die Anwendung dafür vorbereitet senden. Die Konfiguration, die wir für diese Berechtigungen über MDM bereitstellen, nennen wir PPPC, also Privacy Preferences Policy Control. Eigentlich sollten Sie beim Verteilen einer Anwendung diese drei Komponenten zusammen verteilen:
• Die Anwendung selbst: Es kann eine VPP-Anwendung oder PKG / DMG / APP sein.
• Die Einstellungen der Anwendung: Sie können die Anwendung mit vorkonfigurierten Einstellungen senden. Diese Einstellungen können die Erweiterung .plist oder .mobileconfig haben.
• Die Berechtigungen der Anwendung: Sie konfigurieren diese Berechtigungen im Voraus und senden sie als Konfigurationsprofil.
Was wird benötigt, um die Berechtigungen zu erteilen?
Um die Berechtigungen zu erteilen, die die mit Ihrer MDM-Lösung zu verteilenden Anwendungen anfordern werden, benötigen Sie zwei Informationen: die Bundle ID und die Code Requirement-Information der Anwendung. Wie Sie diese Informationen für eine beliebige Anwendung erhalten können, habe ich zuvor im Artikel mit dem Titel Wie Erfährt Man Die Bundle Id Einer Anwendung? geschrieben.
Lassen Sie mich es ganz kurz ansprechen: Sie können die Befehle codesign -dv und codesign -dr – über das Terminal verwenden. Oder Sie können mit der Anwendung Show Me Your ID von HCS auf die Bundle ID– und Code Requirement-Informationen zugreifen.
Erstellen wir unsere erste PPPC-Konfiguration
Die PPPC-Konfigurationsoptionen je nach der von Ihnen verwendeten MDM-Lösung sehen Sie unten.
Jamf Pro:
Nachdem Sie den Befehl Computers > Configuration Profiles > + New > Privacy Preferences Policy Control > Configure gegeben haben, können Sie auf dem sich öffnenden Bildschirm nach Eingabe der Identifier- und Code Requirement-Informationen unter der Überschrift App or Service am unteren Rand den gewünschten Diensten die Berechtigung als Allow oder Deny erteilen.
Kandji:
Nachdem Sie den Befehl Library > + Add Library Item > Privacy > Add and Configure gegeben haben, legen Sie auf dem sich öffnenden Bildschirm zunächst fest, welchem Blueprint Sie es zuweisen, und können dann die Identifier- und Code Requirement- Informationen eingeben. Am unteren Rand desselben Bildschirms können Sie, genau wie in Jamf Pro, im Bereich App or Service Ihre Berechtigungseinstellungen für einzelne Dienste festlegen. Anders als Jamf akzeptiert Kandji nicht nur die Bundle ID, sondern alternativ auch den Path der Anwendung. Wenn Sie im Bereich Identifier Type die Option Path aktivieren, können Sie im Bereich Identifier den Speicherort der Anwendung auf dem Computer eingeben. Wie /Applications/Telegram.app…
Microsoft Intune:
Nachdem Sie den Befehl Devices > Manage Devices > Configuration > + Create > New Policy > Platform: macOS > Profile Type: Settings Catalog > Create gegeben haben, geben Sie auf dem sich öffnenden Bildschirm Ihrer Richtlinie einen Namen, geben den Befehl + Add Settings und sollten auf dem Bildschirm Settings Picker die Option Privacy > Privacy Preferences Policy Control auswählen.
Auf dem Bildschirm Settings Picker werden alle PPPC-Kategorien angezeigt. Sie sollten diejenigen aktivieren, für die Sie eine Berechtigung erteilen möchten. Dann können Sie den Bildschirm Settings Picker durch Drücken der X-Schaltfläche schließen und durch Klicken auf die Schaltfläche Edit Instance neben den auf dem Hauptbildschirm erschienenen Dienstnamen die Bundle ID- und Code Requirement- Informationen eingeben.
Hexnode:
Nachdem Sie den Befehl Policies > New Policy > New Blank Policy > Select > macOS > Security > Privacy Preferences > Configure gegeben haben, erteilen Sie auf dem sich öffnenden Bildschirm zunächst die Berechtigungen und können dann den Anwendungsnamen sowie ihre Bundle ID- und Code Requirement-Informationen eingeben. Auf dem Bildschirm, auf dem Sie die Anwendungsinformationen eingeben, zeigt Hexnode auch eine Liste der darin definierten Anwendungen an. So müssen Sie die Bundle ID- und Code Requirement-Informationen nicht manuell eingeben.
Filewave:
Wenn Sie den Bereich Filesets > Create Configuration > Create Apple Profile > Security & Privacy > macOS 10.14+ erreichen, erscheint, wenn Sie im Bereich Privacy and Consent Control die Bundle ID der Anwendung eingeben, deren Berechtigungen Sie verwalten möchten, auf der rechten Seite ein neues Feld namens Access to Services. Aus diesem Feld können Sie durch Klicken auf die Schaltfläche Add Row oder das +-Symbol die Dienste auswählen, für die Sie eine Berechtigung erteilen möchten, und Ihre Einstellung erstellen. Die Code Requirement-Information wird erst sichtbar, nachdem die Bundle ID eingegeben wurde und der Bereich Access to Services ausgefüllt zu werden beginnt.
Gibt es keinen einfacheren Weg dafür?
Doch. Einige MDM-Hersteller entwickeln zusätzliche Software zur Unterstützung ihrer Hauptprodukte. Diese Software finden wir manchmal in Umgebungen wie GitHub und manchmal im App Store. Es gibt eine kleine Anwendung namens PPPC Utility, die von Jamf entwickelt wurde. Ohne sich damit befassen zu müssen, Bundle ID– und Code Requirement-Informationen einzeln zu beschaffen, können Sie PPPC-Konfigurationen mit der Leichtigkeit von Drag-and-Drop erstellen.
Ich höre Sie förmlich sagen: „Aber in unserem Unternehmen wird nicht Jamf, sondern Workspace One verwendet.“ Kein Problem, Sie können PPPC Utility trotzdem verwenden. Wenn Sie sich die Schaltflächen in der unteren rechten Ecke des obigen Screenshots ansehen, können Sie die Optionen Save und Upload sehen. Wenn Sie ein Jamf Pro-Benutzer sind, können Sie die hier erstellte PPPC-Konfiguration direkt in Jamf Pro hochladen.
Aber nehmen wir an, Sie verwenden Workspace One oder Kandji. In diesem Fall können Sie durch Klicken auf die Schaltfläche Save die erstellte Konfiguration als mobileconfig-Dokument speichern und in das von Ihnen verwendete MDM hochladen.
Ich möchte eine kleine Warnung zu PPPC Utility geben. Nehmen wir an, Sie haben aus der Anwendung heraus eine Konfiguration erstellt und diese direkt zu Jamf oder durch Speichern zu anderen MDMs hinzugefügt. Und Sie haben sie an Ihre Benutzer verteilt. Eine Änderung, die Sie zu späteren Zeitpunkten in PPPC Utility für die Berechtigungen einer Anwendung vornehmen, ändert nicht die Konfigurationen in Jamf oder anderen MDMs. Aus diesem Grund wäre es richtiger, eine spätere Änderung, nachdem Sie sie zu Beginn einmal für alle Anwendungen vorbereitet und einmal gesendet haben, innerhalb Ihres MDM vorzunehmen.
Wir haben gelernt, wie man Berechtigungen erteilt — was werden wir also zulassen, was blockieren?
Wenn die Anwendung, die Sie verteilen werden, eine in nahezu jedem Unternehmen verwendete Anwendung wie Zoom oder Teams ist, ist Ihre Aufgabe relativ einfacher. Denn ein durchschnittlicher IT-Mitarbeiter kann auch wissen, welche Bereiche einer solchen Anwendung welche Berechtigungen haben sollten. Und kann die PPPC-Konfiguration entsprechend vornehmen.
Aber wenn die Anwendung, die Sie mit Ihrem MDM verteilen werden, eine spezielle Anwendung ist, die von einer sehr begrenzten Benutzergruppe verwendet wird, wie zum Beispiel Wolfram Mathematica, dann können Sie nicht wissen, welche Berechtigungen diese Anwendung anfordern könnte. Das Beste hierfür könnte sein, die Anwendung manuell auf dem Computer eines Benutzers aus der Geschäftseinheit zu installieren, die sie verwenden wird, und zu beobachten, welche Berechtigungen sie bei der routinemäßigen Nutzung des Benutzers anfordert.
Aber auch dafür finden Sie möglicherweise nicht immer die Gelegenheit. Daher können Sie alternativ damit beginnen, die in der Datei Info.plist, die sich innerhalb der Anwendungen selbst befindet, aufgeführten Berechtigungen zu erteilen. Wenn Sie mit der rechten Maustaste auf eine beliebige Mac-Anwendung klicken, gibt es eine Option namens Show Package Contents (Paketinhalt anzeigen). Wenn Sie diese Option auswählen, öffnet sich ein Ordner. Darin befindet sich normalerweise ein Ordner namens Contents. Und darin können Sie verschiedene Dateien sehen, die für die Ausführung der Anwendung erforderlich sind. Unter diesen Dateien befindet sich eine Datei namens Info.plist, und diese Datei schreibt, welche Berechtigungen die Anwendung grundsätzlich warum anfordern wird.
Oben habe ich geschrieben, welche Berechtigungen sie „grundsätzlich“ abdeckt. Denn die Datei Info.plist enthält möglicherweise nicht alle Berechtigungen, die eine Anwendung insgesamt anfordern könnte. Während der Nutzung der Anwendung können zusätzliche Berechtigungen erforderlich sein. Daher können Sie, bevor Sie die zu verteilende Anwendung einem Endbenutzer zu Testzwecken zur Nutzung überlassen und seine Meinung einholen, die erste Gruppe von Berechtigungen, die erteilt werden können, durch einen Blick auf die Datei Info.plist erteilen.
In der Datei Info.plist geben Schlüsselnamen, die mit NS beginnen, im Allgemeinen die anzufordernden Berechtigungen an. Lassen Sie mich übrigens eine themenfremde zusätzliche Information geben. Das Präfix NS stammt von NeXTSTEP. Also von dem Betriebssystem, das von NeXT Computer entwickelt wurde, das Steve Jobs in den Jahren gründete, in denen er nicht bei Apple war. Der Ausgangspunkt aller UNIX-basierten macOS- und iOS-Systeme, die wir heute verwenden, ist NeXT.
Anstatt sich damit zu befassen, jedes Mal einzeln den Befehl Show Package Contents zu geben und aus der Datei Info.plist zu extrahieren, können Sie auch diesen einzeiligen Terminal-Befehl verwenden.
/usr/libexec/PlistBuddy -c "Print" /Applications/zoom.us.app/Contents/Info.plist | grep -i usageVergessen Sie hier nicht, den Namen und Path der Anwendung in der Mitte des Codes zu ändern, je nachdem, welche Anwendungsberechtigungen Sie ansehen möchten. Als Ergebnis erhalten Sie eine Antwort wie die untenstehende.
Zulassen / Blockieren / Standard-Benutzer entscheiden lassen
Wenn Sie mit der Konfiguration der PPPC-Berechtigungen beginnen, sehen Sie möglicherweise, dass einige Dienste zwei Optionen haben: Allow und Deny. Einige haben nur Deny. Und einige haben eine Option wie Allow Standard User to Approve. Der grundlegende Grund dafür ist die GDPR-Konformität.
Als MDM-Admin können Sie einer beliebigen Anwendung keine Berechtigung in Angelegenheiten erteilen, die die Privatsphäre des Benutzers verletzen könnten. Wenn Sie beispielsweise die Mikrofonberechtigung einer Anwendung automatisch aktivieren, können Sie auch beginnen mitzuhören, was in der Umgebung gesprochen wird, in der sich dieser Benutzer befindet. Und wie Sie sich vorstellen können, kann sich diese Art der Nutzung Apples Hoheitsgewässern nicht einmal nähern.
Wenn Sie die Einstellung bezüglich des Mikrofons konfigurieren möchten, ist das Einzige, was Sie tun können, den Befehl Deny zu geben. In diesem Fall kann Teams das Mikrofon nicht verwenden, wenn Sie beispielsweise die Mikrofonberechtigung der Teams-Anwendung auf Deny setzen. Aber wenn Sie keine besondere Einstellung bei der Mikrofonberechtigung vornehmen, wird Teams den Benutzer jedes Mal danach fragen, wenn ein Mikrofonzugriff erforderlich ist.
Bei einigen Optionen sehen Sie möglicherweise eine Option wie Allow Standard User to Approve. Anstatt diesen Dienst direkt mit dem Befehl Deny geschlossen zu halten, bedeutet dies, dass auch Standard-Benutzer diesem Dienst eine Berechtigung erteilen können, ohne ein Admin-Passwort eingeben zu müssen. Um zu sehen, wie sich diese Option verhält, können Sie die Berechtigung Screen Capture überprüfen. Wenn Sie die Option Screen Capture in die vollständig ausgeschaltete Position bringen, wird der Benutzer in Teams oder Zoom nicht in der Lage sein, seinen Bildschirm freizugeben. Aus diesem Grund können Sie die Option Allow Standard User to Approve verwenden, damit die Anwendung diese Berechtigung bei Bedarf anfordern kann und auch Standard-Benutzer diese Berechtigung einmalig erteilen können.
Alle Berechtigungen auf einen Schlag aufheben
Wenn Sie aus irgendeinem Grund alle einer Anwendung erteilten Berechtigungen aufheben möchten, können Sie die TCC-Befehle verwenden. TCC steht übrigens für Transparency, Consent and Control. Und Sie können sehen, dass es in mancher Dokumentation anstelle von PPPC verwendet wird. Der Name des Befehlssatzes, der es Ihnen ermöglicht, über das Terminal Operationen an der TCC-Datenbank durchzuführen, lautet tccutil. Wenn ich sage, Operationen durchführen — die tccutil-Befehle ermöglichen es Ihnen nicht, Berechtigungen zu erteilen, sondern erteilte Berechtigungen zu löschen.
Um alle einer beliebigen Anwendung erteilten Berechtigungen aufzuheben, können Sie den untenstehenden Befehl verwenden.
tccutil reset All [bundle_id]Um beispielsweise alle der Telegram-Anwendung erteilten Berechtigungen zu entfernen, können Sie die Bundle ID von Telegram schreiben.
tccutil reset All ru.keepcoder.TelegramWenn Sie anstatt aller erteilten Berechtigungen nur eine einzige Berechtigung von einer Anwendung entfernen möchten, sollten Sie anstelle des Wortes All den Namen des Dienstes schreiben. Wie folgt:
tccutil reset Microphone ru.keepcoder.TelegramWenn Sie die dem Mikrofon erteilten Berechtigungen nicht nur für eine Anwendung, sondern für alle Anwendungen entfernen möchten, können Sie den untenstehenden Code verwenden.
tccutil reset MicrophoneSie können natürlich nicht die Namen aller PPPC-Dienste auswendig kennen. Dafür können Sie Apples Developer-Dokumentation verwenden. Die vollständige geordnete Liste finden Sie unter dieser Adresse.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Kommentar verfassen