首页 » 排查 AD 同步问题

通过 MDM 为 Endpoint Central macOS 代理配置权限

本文介绍了为 macOS 级别配置权限的步骤，这些权限要求批准各第三方供应商的系统扩展。这需要允许 Team ID，也称为 Apple Developer ID。

  • 从 macOS 10.14 开始，Apple 添加了一种新的默认行为，用于阻止应用程序访问磁盘、远程控制等
  • 从 macOS 13 开始，Apple 在系统设置中新增了一个用于禁用后台进程的选项

目录

  1. 授予权限
  2. 将系统扩展加入白名单
  3. 后台服务/登录项管理

如果使用的是 ManageEngine MDM，下述权限将自动部署到 macOS 设备。如果使用的是其他 MDM 供应商，请按照以下步骤操作。

授予权限

可以通过 MDM 隐私偏好设置策略控制（PPPC）配置文件提供权限。将授予的权限包括完全磁盘访问、辅助功能和屏幕录制。

以下是 PPPC 配置文件所需的详细信息：

1. Protector 系统扩展 - 用于监控 Agent 文件夹和进程，并防止用户修改文件和中断进程的进程

标识符com.manageengine.protectord
代码签名要求anchor apple generic and identifier "com.manageengine.protectord" and certificate leaf[subject.OU] = TZ824L8Y37
静态代码验证否
允许的权限系统策略所有文件
其他权限用户控制

2. Agent 服务 - 执行所有代理任务的进程

标识符dcagentservice
代码签名要求identifier dcagentservice and anchor apple generic and certificate leaf[subject.OU] = TZ824L8Y37
静态代码验证否
允许的权限系统策略所有文件
其他权限用户控制

用于 Apple Events 的应用

#标识符代码要求
1com.apple.systemeventsidentifier "com.apple.systemevents" and anchor apple
2com.apple.systemuiserveridentifier "com.apple.systemuiserver" and anchor apple
3com.apple.finderidentifier "com.apple.finder" and anchor apple
4com.apple.installeridentifier "com.apple.installer" and anchor apple

3. 远程访问 - 负责执行远程控制的进程

标识符com.zoho.assist.ManageEngineRemoteAccess
代码签名要求identifier "com.zoho.assist.ManageEngineRemoteAccess" and anchor apple generic and certificate leaf[subject.OU] = TZ824L8Y37
静态代码验证否
允许的权限辅助功能、屏幕录制
其他权限用户控制

如果上述步骤没有帮助，请按照此链接中的步骤为远程访问授予权限。

4. 应用程序控制系统扩展 - 根据应用程序控制策略监控并控制其他进程的进程

标识符com.manageengine.protectord
代码签名要求anchor apple generic and identifier "com.manageengine.appctrl.driver" and certificate leaf[subject.OU] = TZ824L8Y37
静态代码验证否
允许的权限系统策略所有文件
其他权限用户控制

将系统扩展加入白名单

可以通过 MDM 系统扩展配置文件允许系统扩展。

以下是系统扩展配置文件所需的详细信息：

1. Protector 系统扩展

团队标识符TZ824L8Y37
允许的扩展类别安全扩展
扩展捆绑标识符com.manageengine.protectord

2. 应用程序控制系统扩展

团队标识符TZ824L8Y37
允许的扩展类别安全扩展
扩展捆绑标识符com.manageengine.appctrl.driver

后台服务 / 登录项管理

管理员可以限制用户禁用在 macOS 设备上作为后台项目运行的应用。要限制禁用的应用的团队标识符 = TZ824L8Y37

我们的客户