Nehmen wir an, Sie gehen zu Ihrem örtlichen Apple Store und kaufen sich ein neues MacBook Pro. Wenn Sie diesen Computer einrichten, sehen Sie den Bildschirm Create Your Computer Account. Der Benutzername und das Passwort, die Sie auf diesem Bildschirm eingeben, machen Sie zum einzigen lokalen Administrator-Benutzer auf diesem Computer. Ihren persönlichen Computer als einziger autorisierter Benutzer zu verwenden, und zwar mit Administrator-Berechtigungen, stellt im Allgemeinen kein großes Problem dar.
Wenn es jedoch um die Unternehmensnutzung geht, bevorzugen viele Firmen diesen Ansatz nicht. Firmen verwalten die von ihren Mitarbeitern verwendeten Computer über verschiedene zentrale Verwaltungssysteme. Benutzern zu erlauben, ihre Computer mit Administrator-Berechtigungen zu betreiben, kann Konflikte mit den von Systemadministratoren umgesetzten Richtlinien verursachen. Aus diesem Grund wird in Unternehmensumgebungen typischerweise die Option Standard User bevorzugt. Denn sicherzustellen, dass alle Benutzer Standard User-Berechtigungen haben, ist sowohl für die Sicherheit der Unternehmenscomputer als auch der darin befindlichen Daten von entscheidender Bedeutung.
Standard User-Konten:
• Können keine Benutzer hinzufügen oder löschen
• Können keine Befehle ausführen, die mit sudo im Terminal beginnen
• Können viele kritische Systemeinstellungen nicht ändern
• Können keine Anwendungen installieren, die im .pkg-Format vorliegen und die Installer-Anwendung erfordern
• Können keine Aktionen auf der Recovery Partition von Computern mit aktiviertem FileVault (vollständige Festplattenverschlüsselung) durchführen
Diese Liste kann weiter erweitert werden. All diese Einschränkungen sind natürlich wichtige Details für Sicherheit und Datenschutz. Andererseits können sich einige Firmen dafür entscheiden, diesen Weg nicht zu gehen, und ihren Benutzern stattdessen mehr Freiheit gewähren, indem sie ihnen der Bequemlichkeit halber erlauben, Administratoren zu bleiben.
In einer verwalteten Umgebung bedeutet die Tatsache, dass Benutzer Administratoren sind, nicht, dass sie ihre Computer wie normale Endbenutzer verwenden können. Wenn die Firma eine MDM (Mobile Device Management)-Lösung verwendet, kann sie eine breite Palette von Einschränkungen auferlegen, selbst bei Administrator-Konten, in kritischen Bereichen. In diesem Artikel konzentrieren wir uns speziell auf die Einschränkung von Anwendungsinstallationen unter diesen Kontrollen.
Aber wie?
Sie können verhindern, dass ein Admin-Benutzer Anwendungen auf dem Computer über den AppStore oder eine andere Quelle installiert.
Dieser Vorgang beruht grundlegend auf Apples Gatekeeper-Technologie. Lassen Sie uns mit einem kleinen Beispiel zusammenfassen. Selbst auf einem persönlichen Computer, der von keinem zentralen System verwaltet wird, könnten Sie, wenn Sie die Option Allow Applications From unter Privacy & Security auf App Store only ändern, zum Beispiel den Webbrowser Google Chrome nicht auf Ihrem Computer installieren. Denn Chrome ist nicht im AppStore verfügbar; es ist eine Anwendung, die Sie von Googles Website herunterladen können. Sie können zwar die Datei googlechrome.dmgauf Ihren Computer herunterladen, aber Sie können die heruntergeladene .dmg-Datei oder die daraus extrahierte Google Chrome.app nicht öffnen. Stattdessen werden Sie eine Warnung ähnlich dieser sehen:
Was können wir mit MDM tun?
Um dies über MDM umzusetzen, können Sie die Privacy & Security– oder Gatekeeper-Einstellungen innerhalb der Configuration Profiles in Ihrer MDM-Lösung überprüfen. Unten können Sie die Einstellungen für Jamf Pro und Kandji sehen.
In beiden Screenshots wurden zwei verschiedene Einstellungen konfiguriert:
• Erlaubte Anwendungen sind nur auf den AppStore beschränkt
• Die Möglichkeit, die Gatekeeper-Einstellungen vorübergehend mit Admin-Berechtigungen zu umgehen, ist deaktiviert
Unter diesen Bedingungen kann selbst ein Admin-Benutzer keine Anwendungen aus einer anderen Quelle als dem AppStore installieren. Wenn Sie auch Anwendungsinstallationen aus dem AppStore blockieren möchten, müssen Sie eine zusätzliche Einschränkung über die Privacy & Security– und Gatekeeper-Einstellungen hinaus anwenden.
Die obigen Screenshots von Jamf Pro und Kandji zeigen, dass der AppStore-Zugriff für denselben Benutzer ebenfalls eingeschränkt ist.
Mit diesen Einstellungen wird der Benutzer über Gatekeeper zunächst zum AppStore als einziger Quelle für die Anwendungsinstallation geleitet. Sobald der AppStore-Zugriff deaktiviert ist, kann der Benutzer auch von dort keine Anwendungen installieren.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Kommentar verfassen