How to: SCCM und Mac OS X

Seit SCCM 2012 ist es möglich Mac OS X Clients mit SCCM zu betreiben. Hier findet Ihre alle Informationen, die für das Thema SCCM und Mac OS X notwendig sind.

Von SCCM unterstützte Mac OS X Versionen

Es werden alle aktuellen Versionen unterstützt, auch Version 10.11 (El Capitan). Microsoft bringt die Unterstützung für neue Versionen mit 2-4 Monaten Verspätung nach dem Release. Hier ein Überblick der Release Termine und der Unterstützung durch SCCM:

 

Mac OS Version Release Datum SCCM Support
El Capitan (10.11) 30.09.2015 13.01.2016
Yosemite (10.10) 16.10.2014 1.12.2014
Mavericks (10.9) 22.10.2013 16.12.2013

 

Die Unterstützung wird dann zum Teil über Kumulative Updates oder über Service Packs bereitgestellt. Die Voraussetzungen für die jeweiligen Mac OS X Versionen sind hier dargestellt:

 

 

SCCM 2012

SCCM 2012 R2

SCCM 1511

Snow Leopard (10.6)

SP1

RTM

RTM

Lion (10.7)

SP1

RTM

RTM

Mountain Lion (10.8)

SP1 mit CU1

RTM

RTM

Mavericks (10.9)

SP1 mit CU4

CU1

RTM

Yosemite (10.10)

SP1 mit CU 5

CU3

RTM

El Capitan  (10.11)

Mit SP2

SP1

RTM

 

Möglichkeiten – SCCM und Mac OS X

Aktuell sind folgende Dinge mit SCCM und Mac OS X möglich:

 

  • Software Verteilung

 

  • Hardware Inventar

 

  • Reporting

 

  • Compliance Settings

 

Einschränkungen – SCCM und Mac OS X

Leider gibt es noch viele Einschränkungen mit SCCM und Mac OS. Ich denke die meisten Unternehmen werden hauptsächlich Windows Clients betreiben und nur wenige Mac, die dann für Designer, Geschäftsführer oder das Management verwendet werden. Für diese kleinen Gruppen sehe ich SCCM als ausreichend. 

Hier noch ein paar wichtige Einschränkungen:

 

  • Die Betriebssystem Verteilung wird nicht unterstützt. Ein Update Management lässt sich wohl sehr rudimentär über die Compliance Settings einrichten. 

 

  • Compliance Settings sind aktuell nur bis Version 10.10 unterstützt. Infos wann die Unterstützung für Version 10.11 kommt konnte ich nicht finden.

 

  • Bei der Software Verteilung wird nur eine Verteilung als „Required“ unterstützt. Den Application Catalog gibt es daher nicht. Eine Verteilung an Benutzer funktioniert auch nicht.

 

 

SCCM Infrastruktur für Mac OS X vorbereiten

Damit die Verbindung zwischen Mac und SCCM funktioniert, ist eine PKI erforderlich. Die SCCM Verwaltungspunkt- und Verteilungspunkt-Rolle müssen für die Benutzung von HTTPS konfiguriert sein. Daher wird natürlich auch ein Client Zertifikat für die Mac Clients benötigt. 

 

Mac Client Zertifikat erstellen

Zuerst müssen wir ein neues Template anlegen. Dazu das MMC Snapin für die Zertifizierungsstelle starten, auf „Certificate Templates“ rechts klicken und  „Manage“ wählen. Anschließend muss dass Template „Authenticated Sessions“ dupliziert werden. 

 SCCM und Mac - Client Certificate 1

 

Der Name für das neue Template kann frei gewählt werden. Ich wähle den Namen „Mac Client Certificate“.

 

SCCM und Mac - Client Certificate 2

 

Als „Subject name format“ sollte dann „Common name“ gewählt und der Haken bei „User principal name“ entfernt werden.  

 

SCCM und Mac - Client Certificate 3

 

Damit das Zertifikat vom Mac registriert werden kann, müssen die Berechtigungen angepasst werden. Den Domain Admins können die „Enroll“ Rechte entzogen werden. Eine zuvor angelegte Gruppe, in der alle Mac Anwender enthalten sind, erhalten dann die „Enroll“ rechte und dürfen damit die Zertifikate am Mac registrieren. Das Template ist damit fertig konfiguriert und kann publiziert werden.

 

SCCM und Mac - Client Certificate 4

 

SCCM und Mac - Client Certificate 5

 

Das publizieren erfolg über einen Rechtsklick auf die Certificate Templates, das wählen von „New“ und anschließendem klick auf „Certificate Template to issue“

 

SCCM und Mac - Client Certificate 6

 

Das Template wird dann unter dem zuvor gewählten Namen gefunden.

 

SCCM und Mac - Client Certificate 7

 

 

SCCM Konfiguration

Wie schon zuvor genannt, müssen die Verteilungspunkt- und Verwaltungspunkt-Rolle mit den Clients über HTTPS kommunizieren.. Bei manchen Rollen kann die HTTPS Kommunikation nur beim hinzufügen konfiguriert werden. Daher ist es notwendig diese Rollen zu entfernen und neu hinzuzufügen. Außerdem muss überall „Allow internet connections“ oder „Allow intranet and internet connections“ konfiguriert sein.

Bei der Konfiguration der Verwaltungspunkt Rolle muss noch der Haken „Allow mobile devices and Mac copmuters to use this management point“ gesetzt sein.

 

SCCM und MAC - SCCM config 1

 

Wer nicht schon hat, muss außerdem die SCCM Rollen „Enrollment point“ und „Enrollment proxy point“ hinzufügen. 

 

 

 SCCM Client Settings

In den Client Einstellungen muss noch das Enrollment für die Mac Clients aktiviert werden. Dazu die Client Einstellungen öffnen.

 

SCCM und MAC - SCCM config 5

 

Unter „Enrollment“ muss „Allow users to enroll mobile devices an Mac computers“ auf „Yes“ gesetzt werden und anschliessend ein Profil ausgewählt werden. 

 

SCCM und MAC - SCCM config 6

 

SCCM und MAC - SCCM config 7

 

Der Name des Profils kann frei gewählt werden. Über „Add“ muss danach die Zertifizierungsstelle hinzugefügt werden.

 

SCCM und MAC - SCCM config 8

 

SCCM und MAC - SCCM config 9

 

Das zuvor erstellte Zertifikat für die Mac Clients muss nun ausgewählt werden. Bei mir „Mac Client Certificate“.

 

SCCM und MAC - SCCM config 10

 

Die fertige Konfiguration sollte dann so aussehen:

 

SCCM und MAC - SCCM config 11

 

 

 

SCCM Mac Client Installation

Der SCCM Client für Mac OS X lässt sich leider nicht per Client Push ausrollen und muss vorab von Microsoft heruntergeladen werden. Diese Version ist für SCCM 2012 SP2, 2012 R2 SP1 und 1511: https://www.microsoft.com/en-us/download/details.aspx?id=47719

Nach dem Download erhält man leider erstmal eine MSI Datei. Daher muss die Installation initial auf einem Windows Client erfolgen. Nach der Installation findet man, im bei der Installation gewählten Ordner, die Datei „macclient.dmg“. Diese Datei enthält den SCCM Client und diverse Skripte und muss auf den Mac kopiert werden.

 

SCCM und Mac - Client 1

 

So sieht das ganze dann entpackt aus:

 

 

SCCM und Mac - Client 2

 

Um die Installation zu starten muss die Datei „ccmsetup“ mit dem Befehl sudo ccmsetup ausgeführt werden

 

SCCM und Mac - Client 1.5

 

Nach dem Installieren des Clients muss noch die Verbindung zum SCCM eingerichtet werden. Das funktioniert über die Datei „CMEnroll“  im Ordner „Tools“. Folgender Befehl muss ausgeführt werden:

sudo ./CMEnroll -s <SERVERNAME> -ignorecertchainvailidation -u '<Domain>\<Username>'

 

Achtung! Es wird zuerst nach dem Administrator Kennwort des Mac gefragt und dann nach dem Benutzer Passwort. Es muss ein Benutzer angegeben werden, der das „Enroll“ Recht für das Mac Zertifikat hat. Bei mir die Gruppe „Mac Users“, in der auch der Administrator ist. 

Vielleicht fragt sich der ein oder andere warum ich anstatt dem FQDN eine IP Adresse angegeben habe. Ich hatte das Problem, dass meine Demo Umgebung „Demo.local“ heißt. Leider wird die Endung „.local“ nicht von Mac OS unterstützt, da diese für andere Dienste verwendet wird (Apple Bonjour). Ich habe daher zu Beginn die IP-Adresse verwendet, aber später die Hosts-Datei angepasst, damit die Verbindung funktioniert. 

 

SCCM und Mac - Client 3

 

 Über die Systemeinstellungen lässt sich, analog zur Windows Systemsteuerung, das Interface des SCCM Client aufrufen. 

 

SCCM und Mac - Client 4

Im Vergleich mit dem Windows Client fällt auf, dass der Mac Client deutlich weniger Funktionen hat. Über den Button „Anmelden“ kann die Verbindung zum SCCM konfiguriert werden. „Jetzt verbinden“ ruft alle Richtlinien erneut ab. 

  

SCCM und Mac - Client 5

 Softwarepaketierung – SCCM und Mac OS

Die Paketierung der Software für Mac OS X ist einfacher als für Windows. Microsoft liefert beim Client ein Skript mit, das die Arbeit abnimmt. Paketiert werden können folgende Dateitypen:

 

  • Apple Disk Image (.dmg)

 

  • Meta Package File (.mpkg)

 

  • Mac OS X Installer Package (.pkg)

 

  • Mac OS X Application (.app)

 

Zum Paketieren der Software muss die Anwendung CMAppUtil aus dem Ordner Tools, bei den entpackten SCCM Client Setup Dateien, verwendet werden. Die Syntax ist folgende:

 

sudo ./CMAppUtil -c <Quelldateipfad> -o <Zielordnerpfad>

 

Der Ziel Ordner Pfad darf keinen Dateinamen enthalten, dieser wird automatisch generiert. Man erhält dann eine „.cmmac“-Datei, die dann in SCCM eingebunden werden kann. 

Die Einbindung erfolgt ähnlich wie bei MSI Dateien. Vieles wird vorgegeben, es kann allerdings keine Kommandozeile angepasst werden:

 

 SCCM und Mac - Software Paketierung 2

 

SCCM und Mac - Software Paketierung 3

 

SCCM und Mac - Software Paketierung 4

 

SCCM und Mac - Software Paketierung 5 

 

Bei der Verteilung ist zu beachten, dass die Anwendung nur als „required“ zugewiesen werden kann. Wenn die Anwendung einem Computer zugewiesen wurde erhält der Anwender eine Mitteilung, dass eine neue Anwendung zur Verfügung steht. Er kann diese dann verzögern oder sofort installieren.

 

SCCM und Mac - Client 6

 

SCCM und Mac - Client 7

 

SCCM und Mac - Client 8

 

Schreibe einen Kommentar

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.