Zero-touch-implementatie met Jamf Pro en Jamf Connect

Vereisten: beheerder moet de instructies volgen in https: https://docs.jamf.com/jamf-connect/administrator-guide/Before_You_Begin.html om een applicatie te maken in de organisatie-identiteitsprovider en configuratieprofielen te maken voor Jamf Connect. Beheerders zouden vertrouwd moeten zijn met slimme computergroepen, beleidsregels configuratieprofielen en installatiepakketten met Jamf Composer of een vergelijkbare tool.

Voordat je begint

Jamf Pro en Jamf Connect kunnen een zeer aanpasbare gebruikerservaring bieden. Door zeer aanpasbaar te zijn, worden beheerders geadviseerd om de ervaring te documenteren die ze willen voordat ze de stukken uitbouwen. Beheerders kunnen bijvoorbeeld overwegen:

• Enrollment Customization - Bij inschrijving kunnen gebruikers interactieve elementen ervaren zoals video's, links naar helppagina's, en om met één enkele inschrijfprovider in te schrijven bij de Jamf Pro Enrollment. De korte gebruikersnaam en de echte gebruikersnaam kunnen worden doorgegeven aan Jamf Connect om het aantal inschrijvingen te verminderen die nodig zijn om het device te onboarden. Zie https://docs.jamf.com/jamf-pro/administrator-guide/Enrollment_Customization_Settings.html voor meer informatie over Enrollment Customization.
• EULA of beleid voor acceptabel gebruik- Jamf Connect kan een EULA presenteren aan de gebruiker en de acceptatie van de EULA kan worden opgeslagen in auditbestand op de client.
• Organisatie branding en identiteit - Jamf Connect kan een achtergrond weergeven achter het inlogvenster en een organisatielogo boven het inlogscherm.
• Berichten aan de eindgebruiker tijdens initiële setup - Jamf Connect kan afbeeldingen, tekst en statusbalk weergeven die laat zien hoe ver de setup is gevorderd.

Geen enkele organisatie onboarding is hetzelfde als bij een andere organisatie. Gebruik de functies van Jamf Pro en Jamf Connect die geschikt zijn voor je organisatie en overweeg te documenteren hoe je wilt dat de ervaring eruit ziet voordat je de volgende stappen begint.

Procedure:

• Verzamel branding assets voor de organisatie
• Bereid het onboarding script voor voor het Jamf Connect berichtenmechanisme
• Maak een installatiepakket voor de customization assets
• Maak een configuratieprofiel voor eenmalige mechanismen
• Maak een voorinschrijving voor computers in Jamf Pro
• Maak beleidsregels die worden uitgevoerd bij inschrijving via computer
• Maak een slimme computergroep om te bepalen of inschrijving succesvol voltooid is
• Gebruik bereik- en uitzonderingsgroepen om de eenmalige mechanismen uit te schakelen in het Jamf Connect inlogscherm

Verzamel branding assets voor de organisatie

Bereid het onboarding script voor voor het Jamf Connect berichtenmechanisme

Afhankelijk van de wensen van de beheerder, kan het script dat wordt geïmplementeerd om te draaien nadat een succesvolle inlog, zo eenvoudig of zo complex zijn als nodig. Voor maximale flexibiliteit wordt aanbevolen om het script zo eenvoudig mogelijk te houden en de onboarding over te laten aan Jamf Pro en beleidsregels na aanmelding. Een voorbeeldscript kan zijn:

Dit voorbeeldscript:

1. Wijzigt de standaardformulering in het waarschuwingsmechanisme (indien gebruikt) om gebruiker te vertellen wat er met hun nieuwe machine gebeurt.
2. Valideert dat de Jamf client binary op de juiste plaats is geïnstalleerd en wacht om geïnstalleerd te worden op de machine in geval van een langzame netwerkverbinding.
3. Voert een aangepaste trigger uit voor een beleid in Jamf Pro Dit kan een reeks beleidsregels activeren om software te installeren die specifiek is gericht op de gebruiker of essentiële beveiligingssoftware zoals Jamf Protect of andere eindpuntbeschermingssoftware.

Script Notities: Elke ondersteunde scripttaal wordt ondersteund, maar het wordt aanbevolen om een scripttaal te gebruiken die standaard wordt ondersteund zonder extra pakketten geïnstalleerd. Python vereist bijvoorbeeld het gebruik van Rosetta op macOS Big Sur machines met de Apple Silicon M1 chip. Native ondersteuning omvat zsh shell en bash shell scripts

Optional Scripts: Jamf Connect menubalkmechanisme kan scripts uitvoeren bij succesvolle en niet-succesvolle inlog, naast het veranderen van wachtwoord en netwerkstatus. Maak scripts die worden gedistribueerd naar devices in de volgende stap, indien nodig in uw organisatie.

Maak een installatiepakket voor de customization assets

Maak een installatiepakket met Jamf Composer of gelijkwaardig pakket voor de afbeelding, het helpbestand, scripting en branding middelen

Gebruik een plaats die beschikbaar is voor alle gebruikers en stel de rechten voor de bestanden en scripts op de juiste manier in. Standaardlocaties zijn onder andere een directory binnen /usr/local/, /Gebruikers / Shared/, of Library/Application Support. Houd bij macOS Big Sur rekening dat de drive een combinatie van een alleen-lezen systeem en een lees/schrijf-gebruikersrruimte is. Je locatie moet worden toegewezen aan het lees/schrijf-gebruikers-gebied in geval een macOS software-update het vermogen verwijdert om naar een locatie op de schijf te schrijven.

Het onboarding script (hierboven getoond als “NotifyMech.sh”) zou eigendom moeten zijn van root:wheel en rechten zouden minimaal moeten zijn om te lezen en uit te voeren door root:wheel (550 rechten).

Grafiek, logo's en lokale helpbestanden moeten in het bezit zijn van root:wheel en rechten om alleen te lezen voor alle gebruikers (444 rechten).

Optional Scripts: Jamf Connect menubalkmechanisme kan scripts uitvoeren bij succesvolle en niet-succesvolle inlog, naast het veranderen van wachtwoord en netwerkstatus. Deze scripts worden uitgevoerd met de momenteel inlogde gebruikersrechten, dus het eigendom moet worden ingesteld op root:wheel en rechten om te lezen en uit te voeren (555 rechten).

Optimale implementatie van Jamf Connect installatiepakket: in de meeste gevallen, door het gebruik van de prioriteit van het pakket, wordt een installatieprogramma met de customization assets geïnstalleerd op een doelmachine voordat de JamfConnect.pkgsoftware installer wordt gedownload en geïnstalleerd. In het geval van extreem langzame netwerkverbindingen lijkt het echter dat macOS eerst de .pkg installeert om te downloaden, ongeacht de prioriteit van het pakket In dit geval, volg de instructies op https: //www.jamf.com/jamf-nations/discussies/38586/jamf-connect-meta-package https://community.jamf.com/t5/jamf-connect/jamf-connect-meta-package-for-zero-touch-deployment/td-p/233753 om een "metapackage" te maken - een pakket met pakket en postinstaller-script om te waarborgen dat de customization assets aanwezig zijn vóór Jamf Jamf Connect begint.

In het geval dat Jamf Connect metapackage niet installeert voordat het macOS inlogscherm wordt getoond, kan gebruiker een paar momenten wachten op installatie van het pakket om vervolgens de machine te herstarten, of optioneel kan de metapackage een postinstallerscript bevatten om te bepalen of de macOS inlogpagina al geladen is.

Indien geïmplementeerd in een postinstaller, zal het script:

1. Zorgen dat macOS het AppleSetupDone-bestand aanraakt om op te merken dat het SetupAssistant-proces compleet is
2. Bepaal of de momenteel ingelogde gebruiker een _mbsetupuser (gebruikt door SetupAssistant bij het eerste keer starten van de computer) of een root (de actieve gebruiker als het macOS inlogscherm actief) is
3. Gebruik een killall -9 loginvenster om het inlogproces te stoppen en het macOS-inlogscherm te herstarten.

Het ondertekenen van het customization assets package: Pakketten die zijn geïnstalleerd tijdens voorinschrijving moeten worden ondertekend met ofwel een ontwikkelaarscertificaat of vertrouwd certificaat. Refereer naar https://jamf.it/wD2kv voor een ontwikkelaarscertificaat of refereer naar https://www.jamf.com/nl/jamf-nation/articles/creating-a-signing-certificate-using-jamf-pro-s-built-in-certificate-authority om een signeercertificaat te maken met Jamf Pro certificate authority.

Zodra compleet, upload de customization assets naar uw Jamf Pro distributiepunt.

Maak een configuratieprofiel voor eenmalige mechanismen

Authchanger

Het waarschuwingsmechanisme van Jamf Connect is standaard niet ingeschakeld. Het kan op een aantal manieren worden ingeschakeld met instructies voor de commandline, maar de makkelijkste methode die geen speciale codering nodig heeft, is om een configuratieprofiel te pushen.

Het domein voor het authchanger-configuratieprofiel is com.jamf.connect.authchanger.

De strings in de Arguments array volgen de commando's die worden gedocumenteerd in https: https://docs.jamf.com/jamf-connect/administrator-guide/authchanger.html. Het bovenstaande voorbeeld is het equivalent aan /usr/local/bin/authchanger -reset -JamfConnect -Notify om het waarschuwingsmechanisme te activeren. Het authchanger commando draait als onderdeel van de JamfConnect.pkg installer. Wanneer software is geïnstalleerd, zal het installatiepakket de opdrachten gebruiken die worden verzonden in het com.jamf.connect.authchanger config-profiel.

RunScript en EULA-voorkeurstoetsen

Standaard zal het Jamf Connect inlogmechanisme een EULA weergeven en een script uitvoeren als voorkeurstoetsen voor die acties aanwezig zijn in het configuratieprofiel voor com.jamf.connect.login.

Omdat beheerders alleen willen dat deze acties en EULA op de initiële setup van de machine worden weergegeven, bewaart u deze sleutels in een configuratieprofiel in Jamf Pro. Het domein voor deze sleutels is com.jamf.connect.login

Opmerking: Beheerders mogen alleen de sleutels gebruiken die nodig zijn voor de inschrijvingsmethode. Stuur geen blanco of lege value keys naar Jamf Connect om onverwachte resultaten te voorkomen.

Opmerking: Een configuratieprofiel in Jamf Pro kan meerdere Toepassingen en Aangepaste Instellingen bevatten, zoals hieronder getoond.

Maak een voorinschrijving voor computers in Jamf Pro

Maak een voorinschrijving met de volgende payloads op de Jamf Pro-server:

• Accountinstellingen: Selecteer “Maak een lokaal beheerdersaccount aan voor de Setup Assistant” en voeg gebruikersnaam en wachtwoord toe. Optioneel selecteert u “Verberg beheerdersaccount in Gebruikers & Groepen”. Selecteer Lokaal Gebruikersaccounttype als “Skip Account Creation”

Maak beleidsregels die worden uitgevoerd bij inschrijving via computer

Zodra een computer wordt ingeschreven op de Jamf Pro-server, wordt het customization assets package en het Jamf Connect-installatiepakket naar de machine gepusht en op de achtergrond geïnstalleerd. De gebruiker authenticeert vervolgens met hun cloud-identiteit en Jamf Connect creëert een lokaal gebruikersaccount op basis van die inloggevens. Dan, omdat het RunScript ingeschakeld is en er een preference key voor een pad naar een script in het com.jamf.connect.loginconfiguratieprofiel is, voert JamJamf Connect het script met beheerdersprivileges uit.

In ons voorbeeldscript hierboven, roept de laatste regel een aangepaste trigger voor beleidsregels op. Jamf Pro voert beleidsregels uit die door deze aangepaste trigger in alfanumerieke orde opgeroepen worden. In de bovenstaande grafiek worden beleidsregels numeriek uitgevoerd van het laagste tot hoogste om de operaties van onboarding te ordenen. In dit voorbeeld:

• 10 - Install Essential Software - Als er een kritiek stuk software is dat moet worden geïnstalleerd vóórdat andere software software zoals eindeindpuntbeschermingssoftware of voorwaardelijke toegangcliënten, installeer deze het eerst.
• 11 - 95 Alle beleidsregels die beheerders willen uitvoeren bij onboarding - Jamf Pro voert beleidsregels in alfanumerieke orde uit. Beheerders kunnen beleidsregels op soortgelijke wijze bouwen, maar met doelcomputers ingesteld op LDAP groepen of afdelingen. De enige grenzen hier zijn de beheerbehoeften en verbeelding van de beheerder.
• 95 - Disable Jamf Connect Login Mechanism - Zodra alle essentiële setup is voltooid, kunnen beheerders een “Run Unix opdracht”-instructie geven om het Jamf Connect waarschuwingsmechanisme uit te schakelen. /usr/local/bin/authchanger -reset -JamfConnect herstelt de standaardmechanismen en schakelt het waarschuwingsmechanisme uit.
• 96 - Mark initial run as complete - Er zijn verschillende manieren om een computer te markeren als initieel ingesteld om te worden gebruikt in de volgende stap “Maak een slimme computergroep om te bepalen dat inschrijving succesvol voltooid is”. In dit voorbeeld schrijven we een bestand naar de Jamf software ontvangstenfolder, maar andere opties zijn:
  • Gebruik de aanraakopdracht om een bestand te maken en vervolgens een Extension Attribute te gebruiken om te bepalen of dat bestand bestaat wanneer Jamf informatie verzamelt over een computer.
  • Gebruik een extension attribute om te bepalen of een EULA-auditbestand in een directory bestaat
  • Bepaal of een stuk essentiële software is geïnstalleerd met danwel een pakket geïnstalleerd of de aanwezigheid van een bestand
• 97 - Update Inventory: Jamf updatet het voorraadinventaris met de staat van de computer (en voegt vervolgens de informatie toe uit het bovenstaande beleid voor onze slimme computergroep).
• 99 - Quit Jamf Connect Notify: Om het waarschuwingsmechanisme uit te schakelen en door te gaan met de laatste stappen van macOS Setup Assistant, gebruik een “Run Unix-opdracht" beleidspayload om de opdracht "Command: Quit" >> /var/tmp/depnotify.log

Nadat het Jamf Connect-waarschuwingsmechanisme een afsluitopdracht ontvangt, kan Jamf Connect optioneel FileVault voor gebruiker inschakelen, en gebruiker wordt gevraagd om extra setup stappen macOS uit te voeren. Als laatste wordt de gebruiker gepresenteerd met de Finder met een volledig geconfigureerde computer, klaar voor gebruik.

Het updaten van het waarschuwingsmechanisme voor gebruikers

Er zijn verschillende manieren om het waarschuwingsscherm te updaten wanneer er een beleid draait om de eindgebruiker op de hoogte te houden van wat er met hun computer gebeurt.

• Automatisch lezen vanuit de Jamf Pro beleidslogboeken - Gebruik de Jamf Connect login preference key voor NotifyLogStyle ingesteld op jamf in com.jamf.connect.login. Hiermee wordt het statusbericht bijgewerkt onder de pseudo-statusbalk.
• Voer unix-opdracht payload uit in een beleid - Update de status individueel met een opdracht zoals "Status: Het installeren van een programma op je computer" >> /var/tmp/depnotify.log
• Gebruik een scriptpayload met een beleid - Een beleid kan scripts uitvoeren voordat andere acties worden uitgevoerd in een beleid. Voeg het volgende script toe aan uw Jamf Pro-server en gebruik de Parameterwaarden om meerdere stukken van het waarschuwingsscherm tegelijkertijd te updaten

Maak een slimme computergroep om te bepalen of inschrijving succesvol voltooid is

Met het attribuut dat je hebt geselecteerd in de bovenstaande stap om een computer te markeren als volledig ingesteld, maak je een Smart Computer Group om alle computers te selecteren die hun installatie succesvol hebben voltooid.

Gebruik bereik- en uitsluitingsgroepen om de eenmalige mechanismen uit te schakelen in het Jamf Connect inlogscherm

Voeg een Uitsluitingsgroep toe in de configuratieprofiel-payloads voor EULA, ScriptPath en de authchanger-voorkeuren om alle computers uit te sluiten die in de Smart Computer Group zijn gemaakt in de vorige stap.

In de voorbeeldgrafiek hierboven is de configuratieprofiel-payload met de naam "Jamf Connect — Eenmaal uitvoeren bij het opstarten" de sleutels voor com.jamf.connect.login voor ScriptPath. Door configuratieprofielen uit te sluiten vanaf een doelcomputer, zal het Jamf Connect inlogmechanisme geen script uitvoeren bij succesvolle login.

Er zijn verschillende extra tools die een beheerder op dit punt kan gebruiken. Een beheerder kan een configuratieprofiel met een ander ScriptPath pushen om een andere aangepaste trigger uit te voeren op elke login, misschien om patches te installeren of gewoon vast te leggen wanneer een gebruiker inlogt op een machine. De mogelijkheden zijn eindeloos. Maar het resultaat is een volledig aangepaste gebruikerservaring met een volledig geconfigureerde computer.