Jamf Blog
An 'easy' button shows how to reinstall a clean macOS with one button.

Installeer een schone macOS opnieuw in slechts één klik

Te mooi om waar te zijn? Geloof het maar.

Installeer macOS Big Sur opnieuw in slechts één klik

Het wissen en opnieuw installeren van een schone macOS is nu een veelgebruikte workflow voor het opnieuw inrichten van Macs voor meerdere gebruikers of doeleinden of als je gewoon helemaal opnieuw wilt beginnen. Deze functie was geïntegreerd in het Apple macOS High Sierra 10.13.4-installatieprogramma en verbeterd met Mojave, Catalina en nu Big Sur.

Laten we wat dieper ingaan op het beheer van macOS Big Sur-installaties, waaronder:

  • Installaties beperken
  • Het macOS-installatieprogramma uitvoeren
  • Macs identificeren die in aanmerking komen om gewist te worden, te installeren of te verbeteren
  • Het macOS-installatieprogramma op afstand beheren

Installaties beperken

Niet elke beheerder is zover om macOS Big Sur te ondersteunen, maar soms lopen onze eindgebruikers op ons vooruit en installeren ze het zelf. Dit kan leiden tot langdurige hulpverzoeken als er iets mis gaat.

Welke stappen kunnen we nemen om te voorkomen dat onze eindgebruikers een nieuwe grote macOS installeren? Houd er rekening mee dat eindgebruikers het installatieprogramma op meerdere manieren kunnen verkrijgen en uitvoeren. Meestal moeten meerdere stappen worden genomen.

Hieronder volgen enkele suggesties oplopend van minder beperkend tot meer ingrijpend.

"Niet doen"

De eenvoudigste methode om ongewenste installaties te beperken, is door eindgebruikers te informeren over het beleid van je organisatie dat het "installeren van belangrijke macOS-upgrades niet is toegestaan, tenzij dit door de IT-afdeling is geautoriseerd". Maak duidelijk dat een boete wordt opgelegd als deze regel niet wordt nageleefd.

Dit voorkomt absoluut niet dat mensen het toch doen, maar het oefent autoriteit uit zonder privileges te verwijderen. Afhankelijk van je organisatie is dit misschien genoeg.

Negeer het Big Sur-installatieprogramma

Om te voorkomen dat eindgebruikers meldingen ontvangen dat het macOS Big Sur-installatieprogramma beschikbaar is, kunnen beheerders de optie ‘negeren’ gebruiken die is ingebouwd in het opdrachtregelprogramma van de softwareupdate.

Zet een nieuw Jamf Pro-beleid op en voeg onderaan het laadvermogen van bestanden en processen toe. Voer in het veld Opdracht uitvoeren het volgende in:

Dit verbergt onmiddellijk de Big Sur-upgrade van zowel het Software Update-paneel in Systeemvoorkeuren als het opdrachtregelhulpprogramma van de softwareupdate. Het schakelt ook de rode badge op het pictogram Systeemvoorkeuren uit als deze aan het dock is toegevoegd.

Om de optie ‘negeren’ te resetten:

Houd er rekening mee dat macOS Catalina 10.15 de laatste macOS-versie is die de optie ‘negeren’ ondersteunt. Deze optie is uit Big Sur verwijderd.

Gebruik de Beperkte softwarefunctie van Jamf Pro

Beheerders kunnen met de functie Beperkte software actie ondernemen die in Jamf Pro onder Computers is te vinden. Deze functie kunnen we op verschillende manieren gebruiken, en kan zowel bij standaard eindgebruikers als bij beheerders worden toegepast.

1. Beperken op toepassingsnaam en de eindgebruiker waarschuwen.

Dit voorkomt niet dat eindgebruikers macOS Big Sur installeren, maar we kunnen op het moment dat geprobeerd wordt de software te installeren, zowel hen als onszelf een e-mail sturen om te waarschuwen. Hiermee wordt niet gewaarschuwd bij pogingen om ondersteunde versies van macOS zoals Catalina te installeren.

2. Het gebruik van het InstallAssistant-proces beperken en de eindgebruiker waarschuwen.

Een alternatief voor het beperken op toepassingsnaam, die de eindgebruiker kan wijzigen, is het beperken van de InstallAssistant-procesnaam. Dit is de naam van het proces dat wordt uitgevoerd wanneer je dubbelklikt op het installatieprogramma en vensters weergeeft die het proces begeleiden. Dit zal niets doen als met de startosinstall-opdrachtregel het installatieprogramma wordt uitgevoerd.

3. Het gebruik van de toepassingsnaam beperken en het proces afbreken.

Dit is vergelijkbaar met de eerste methode, maar het bevat de Kill Process-optie. In plaats van de eindgebruiker toe te staan door te gaan, zal Jamf Pro het installatieprogramma afsluiten voordat het verder kan gaan. Als je de optie Toepassing verwijderen toevoegt, wordt deze onmiddellijk verwijderd en wordt de prullenbak omzeild.

Houd er bij het beperken op toepassingsnaam rekening mee dat de eindgebruiker eenvoudig de naam van het installatieprogramma kan wijzigen en de beperking kan omzeilen.

4. Het gebruik van de InstallAssistant-procesnaam beperken en het proces afbreken.

Dit is vergelijkbaar met de tweede methode, maar het bevat de Kill Process-optie en kan ook de optie Delete Application bevatten. Het voorkomt dat een macOS-installatieprogramma wordt uitgevoerd wanneer je erop dubbelklikt, inclusief Catalina, Mojave, High Sierra, enz.

Verwijder beheerdersrechten

Iedereen met beheerdersrechten op een Mac kan praktisch alles doen, inclusief een besturingssysteem installeren. De meest basale stap die we kunnen nemen, is de beheerdersrechten voor eindgebruikers verwijderen en vereisen dat ze Self Service gebruiken om het beleid te volgen dat je toestaat.

Als je beheerdersrechten verwijdert, zijn je eindgebruikers echter sterk afhankelijk van IT-beheer.

Stel een firmwarewachtwoord in

Het instellen van een firmwarewachtwoord voorkomt dat iemand zonder wachtwoord in de Recovery HD opstart, het bestaande besturingssysteem wist en een nieuw macOS installeert. Omdat dit op hardwareniveau is, kan niemand zonder wachtwoord installeren of upgraden.

Het voorbehoud bij het instellen van een firmwarewachtwoord is dat als iemand van computerondersteuning een externe gebruiker helpt, hij of zij dit wachtwoord mogelijk aan de eindgebruiker moet verstrekken. Zorg ervoor dat elke Mac een uniek wachtwoord heeft waarmee geen enkele andere computer kan worden ontgrendeld.

Beheerders moeten een evenwicht zien te vinden tussen het beperken van de toegang tot het Big Sur-installatieprogramma en het zelf installeren ervan. Zo kunnen ze bijvoorbeeld Scoping Exclusions gebruiken om te voorkomen dat hun eigen testapparatuur wordt beperkt.

Het installatieprogramma uitvoeren

Voordat we het macOS-installatieprogramma kunnen uitvoeren, moeten we het eerst verkrijgen.

Uitvoeren met een softwareupdate

We hebben als eens eerder gesproken over de Apple optie --fetch-full-installer in de opdracht softwareupdate.

Deze optie heeft als voordeel dat het hier om een kleine en lichte opdracht gaat die we onze Macs kunnen geven om het installatieprogramma zelf op te halen. Dit werkt geweldig met content caching-servers op locatie. Sinds de introductie ervan is de optie echter steeds onbetrouwbaarder geworden.

Het lijkt iets beter te werken als je de optie --full-installer-version toevoegt om de specifieke macOS-versie te specificeren die je wilt.

Toch lijkt deze helemaal niet te functioneren in de nieuwste versies van macOS Catalina en Big Sur. Misschien werkt dit weer betrouwbaar in de toekomst.

Uitvoeren met grootschalige aankoop

De Install macOS Big Sur-applicatie is beschikbaar in Apps en Boeken wanneer je deze bekijkt in Apple Business Manager of Apple School Manager en is inzetbaar zoals andere Mac App Store-apps. Dat betekent dat we geen onhandig pakket naar onze distributiepunten hoeven te uploaden of nieuwe versies hoeven te beheren zodra ze worden uitgebracht.

Hoewel dit goed werkt, heeft het wel één voorbehoud. Hiermee wordt een programma gedownload wat sommige mensen beschrijven als een 'stub'-installatieprogramma. Het is geen volledig installatieprogramma, maar eerder dezelfde app zonder de 12 GB SharedSupport.dmg in de app. Wanneer je het opdrachtregelprogramma startosinstall dubbelklikt of uitvoert (wordt later besproken), moet de Mac verbinding hebben met internet en de rest van de bestanden downloaden die nodig zijn om te voltooien. Afhankelijk van de snelheid van de huidige internetverbinding kan dat een vertraging van 10, 20 of 30 minuten of langer betekenen.

Dit type uitvoering is het meest geschikt voor Macs in schoolpracticums en werkt goed met content caching-servers om de levering te versnellen. Wanneer je het gebruikt met thuisgebruikers of gebruikers die met Self Service het installatieprogramma zelf toepassen, moet je ze waarschuwen dat ze hun Macs niet in de sluimerstand moeten zetten dat ze de stekker in het stopcontact moeten laten zitten en de installatie tijd moeten geven om te voltooien.

Downloaden en inpakken

Een andere manier om het installatieprogramma te verkrijgen is via de App Store op een Mac. Dit downloadt de nieuwste versie en plaatst deze in de map Applicaties. Voordat we deze in ons computerpark kunnen implementeren, moeten we hem eerst inpakken.

De Composer-applicatie van Jamf kan dit doen, maar vanwege de grootte van het Big Sur-installatieprogramma (het is iets meer dan 12 GB), kan Composer alleen een DMG-bestand maken. Het kan geen PKG-bestand maken. Dat betekent dat alleen Jamf dit pakket kan uitvoeren, omdat het dit zal herkennen als een pakket dat kan worden uitgevoerd.

Een installatiepakket van Apple downloaden

Dankzij Armin Briegel, die Scripting OS X onderhoudt, hebben we een nieuwe optie om niet alleen op betrouwbare wijze het nieuwste macOS Big Sur-installatieprogramma aan te schaffen, maar het ook te downloaden in PKG-indeling, klaar voor uitvoering.

Zijn hulpprogramma heet fetch-installer-pkg.py en is een python-script dat toegang heeft tot de software-updateservers van Apple en hetzelfde pakket downloadt dat de ingebouwde software-updateservice van de Mac zou gebruiken. Je vindt deze tool in Armin's GitHub-opslagplaats.

Om de tool te gebruiken, sla je het fetch-installer-pkg.py -script op je bureaublad of een andere locatie op en voer je hem uit met Terminal (hiervoor zijn geen beheerders- of sudo-rechten vereist).

Het Terminal-venster toont zowel de downloadsnelheid als de resterende tijd. Wanneer de download is voltooid, plaatst het script een InstallAssistant.pkg op dezelfde locatie als zichzelf. Upload het pakket naar je Jamf Pro-distributiepunt en de Install macOS Big Sur-app wordt tijdens de uitvoering in de map Applicaties geplaatst.

Als we gereed zijn om het installatieprogramma met een van deze methoden uit te voeren, moeten we ervoor zorgen dat het ook lukt. Laten we daarom de installatievereisten van macOS Big Sur eens bekijken.

Macs identificeren die in aanmerking komen om te wissen en te installeren

Voordat we het installatieprogramma uitvoeren om onze Macs te wissen en te installeren of ze zelfs te upgraden, moeten we eerst bepalen welke van hen aan de systeemvereisten van Apple voldoen.

Algemene vereisten

  • OS X 10.9 of later
  • 4 GB aan geheugen
  • 35,5 GB aan beschikbare opslag voor macOS Sierra 10.12 of later (ik wil dat graag vermenigvuldigen met ongeveer 1,5 tot 2x voor meer ademruimte)

Hardwarevereisten

  • MacBook (2015 of later)
  • MacBook Air (2013 of later)
  • MacBook Pro (eind 2013 of later)
  • Mac mini (Mac mini 2014 of later)
  • iMac (2014 of later)
  • Mac Pro (2017 of later)
  • Mac Pro (2013 of later)

Compatibel met macOS Big Sur (Macs Smart Computer Group)

Laten we een nieuwe Smart Computer Group maken om in aanmerking komende Macs te identificeren, deze 'macOS Big Sur-compatibele Macs' te noemen en de volgende criteria toe te voegen:

We moeten de model-ID van Macs gebruiken om de exacte modellen te bepalen waarvan Apple heeft bepaald dat ze voor Big Sur in aanmerking komen. Dat zijn iets meer dan 50 modellen. In plaats van onze Smart Computer Group op te blazen met 50 extra criteriaregels, kunnen we een gebruikelijke expressie (of regex) gebruiken om ze te identificeren. Met Regex kunnen we een patroon maken dat overeenkomt met bepaalde tekenreeksen zoals model-ID's. Deze ene regel tekst komt overeen met alle in aanmerking komende modellen, inclusief de nieuwe Apple Silicon Macs die dit jaar worden gelanceerd. Kopieer en plak deze in het waardeveld voor het criterium Model Identifier in de bovenstaande Smart Computer Group.

Zorg ervoor dat je na het opslaan op de knop Weergeven klikt om te controleren of de groep naar verwachting werkt.

Installeer macOS Big Sur App Cached (Macs Smart Computer Group)

Terwijl we bezig zijn, maak je een tweede Smart Computer Group met de naam 'Installeer macOS Big Sur App Cached' en voeg je de volgende criteria toe:

Hiermee kunnen we Macs identificeren waarop de Big Sur-installatie-app al is gedownload, zodat Jamf Pro deze niet opnieuw download. Let op dat je de huidige versie van de installatie-app ophaalt door deze te selecteren en Bestand > Info ophalen te kiezen.

Nu we hebben vastgesteld dat Macs klaar zijn voor macOS Big Sur, sluiten we dit af met de methoden om het installatieprogramma uit te voeren.

Het macOS-installatieprogramma op afstand beheren

Het opdrachtregelprogramma startosinstall bevindt zich in de Installeer macOS Big Sur-appbundel. Het doet hetzelfde als dubbelklikken op het installatieprogramma zonder de dialoogvensters en vensters weer te geven. Het heeft ook het voordeel dat het ook werkt als we Softwarebeperkingen hebben gebruikt om het InstallAssistant-proces te blokkeren, en we kunnen het gebruiken als onderdeel van een script of een Jamf Pro-beleid (optioneel met Self Service).

Om het opdrachtregelprogramma te vinden, klik je met de rechtermuisknop of Ctrl-klik je op Installeer MacOS Big Sur en kies je Pakketinhoud weergeven > Inhoud > Bronnen. Zoek en sleep het startosinstall-bestand naar een Terminal-venster en voeg --usage toe aan het einde.

Hiermee worden verschillende argumenten vermeld (elk beginnend met dubbele streepjes) en wordt uitgelegd wat elk doet. We willen het volgende gebruiken:

  • --eraseinstall – de optie die de magie doet
  • --agreetolicense – vereist om het proces volledig te automatiseren
  • --forcequitapps – voorkomt dat apps die worden uitgevoerd, niet worden geblokkeerd
  • --newvolumename – optioneel, noemt of hernoemt de Macintosh HD

Als we de hele één-regelopdracht op een rijtje zetten, ziet het er zo uit:

We kunnen de startosinstall-opdracht in een beleid plaatsen en in Self Service beschikbaar maken. We hebben in totaal twee beleidsmaatregelen nodig.

Cache Installeer macOS Big Sur.app (beleid)

Het eerste beleid plaatst de Install macOS Big Sur-app op onze bedoelde Macs.

Algemeen

  • Weergavenaam: Cache Installeer macOS Big Sur.app
  • Trigger: Terugkerend inchecken
  • Uitvoeringsfrequentie: Doorlopend

Pakketten

  • Pakket: InstallAssistant.pkg

Onderhoud

  • Voorraad bijwerken: Ingeschakeld

Reikwijdte

  • Doelen: macOS Big Sur-compatibele Macs (Smart Computer Group)
  • Uitzonderingen: Installeer macOS Big Sur App Cached (Smart Computer Group)

Als dat is gelukt, zou onze Smart Computer Group "Installeer macOS Big Sur-app in cache" nu Macs moeten vermelden die gereed zijn om te wissen en te installeren.

Wis en installeer macOS Big Sur (beleid)

Maak een tweede beleid in Jamf Pro met de naam "Wis en installeer macOS Big Sur". Voltooi de volgende laadvermogens en reikwijdte.

Algemeen

  • Weergavenaam: Wis en Installeer macOS Big Sur
  • Trigger: Geen (schakel in plaats daarvan Self Service in)
  • Uitvoeringsfrequentie: Doorlopend

Bestanden en processen

  • Opdracht uitvoeren:

Reikwijdte

  • Doelen: Installeer macOS Big Sur App Cached (Smart Computer Group)

Self Service

  • Toetsnamen: Wis en installeer
  • Beschrijving: Waarschuwing – Je Mac staat op het punt volledig te worden gewist en macOS wordt opnieuw geïnstalleerd. Kopieer voordat je verder gaat alle belangrijke bestanden en gebruikersgegevens naar een andere computer of back-upsysteem. Nadat je Mac is gewist, kun je verwijderde gegevens niet herstellen. (Overweeg markdown te gebruiken om je bericht te benadrukken)
  • Zorg ervoor dat gebruikers deze beschrijving zien: Ingeschakeld

Voeg een knoppictogram toe, wijs categorieën toe en sla het beleid op. Terwijl Macs inchecken, downloaden en installeren ze het Big Sur-installatieprogramma en werken ze de inventaris bij. Vervolgens is het Self Service-beleid om macOS Big Sur te wissen en installeren beschikbaar voor alle eindgebruikers of specifieke gebruikers binnen je bereik.

Nog één ding – Apple Silicon

Eind dit jaar is Apple begonnen met het uitbrengen van bijgewerkte productlijnen die hun nieuwe Apple Silicon M1-chip bevatten. Hoewel het macOS zich op Apple Silicon op dezelfde manier gedraagt als op Intel Macs, heeft de opdracht startosinstall twee extra vereiste parameters. Ze zijn:

  • --user – een beheerder die de installatie autoriseert
  • --stdinpass – verzamelt een wachtwoord van stdin zonder interactie

Als onderdeel van onze opdracht moeten we de gebruikersnaam en het wachtwoord van een account aanbieden met een SecureToken. We weten dat tegenwoordig SecureToken de vereiste is om FileVault te gebruiken.

De nieuwe opdracht ziet er zo uit:

Dit voorbeeld geeft het wachtwoord van een beheerdersaccount in duidelijke tekst aan het begin van de opdracht. Het moet op de een of andere manier worden verdoezeld om het verborgen te houden, maar het is nog steeds een risico om een wachtwoord in een script op te nemen. Overweeg om vlak voordat het script wordt uitgevoerd, Jamf Pro te gebruiken om een beheerdersaccount aan te maken. Het beheerdersaccount moet een gebruikersnaam en wachtwoord zijn die uniek is voor dit proces om te voorkomen dat gegevens worden bekendgemaakt die ergens anders worden gebruikt. Dit vermindert niet volledig het risico om beheerdersgegevens in je scripts te onthullen. Beheerders hebben de hulp van Apple nodig met een betere oplossing.

We weten nog niet of Apple van plan is om meer informatie of succesverhalen te verstrekken om de --eraseinstall-optie op Apple Silicon Macs te gebruiken. Wanneer ze hun bijgewerkte Deployment Reference voor macOS Big Sur uitbrengen, weten we misschien meer.

Upgraden in plaats van wissen

Met één simpele wijziging kan deze hele workflow in plaats daarvan een upgrade zijn van Mac naar macOS Big Sur vanaf een OS X 10.9 of hoger besturingssysteem met behoud van applicaties, gegevens en gebruikersinstellingen. Of het kan Big Sur opnieuw installeren en een bestaand Big Sur-besturingssysteem vervangen. Als je dezelfde versie van macOS installeert, kunnen beschadigde installaties soms worden hersteld.

Bewerk het beleid "Wis en installeer macOS Big Sur" of dupliceer het om een nieuwe te maken en geef het de nieuwe naam "Upgrade naar macOS Big Sur". Pas vervolgens het veld Opdracht uitvoeren in het laadvermogen Bestanden en processen aan om de opties --eraseinstall en --newvolumename weg te laten.

Kijk wat Jamf voor u kan doen

Probeer Jamf Pro

Nog steeds op macOS Catalina?

Leer deze zelfde workflow, aangepast voor uw OS

Zoek in blog
Schrijf je in voor het Jamf blog

Krijg markttrends, Apple updates en Jamf nieuws direct in je inbox.

Raadpleeg ons Privacybeleid voor meer informatie over de manier waarop we je gegevens verzamelen, gebruiken, bekendmaken, verplaatsen en bewaren.