Strategien zur OSX Client-Verwaltung

[goldendelicios]

Hallo liebe Apfeltalk-Community,

für unseren Fachbereich verwalte ich ca. 30 iMacs, die "lose" und eigenständig am Hochschulnetz angebunden sind. Dort arbeiten die Studierenden mit einem einheitlichen "Student"-Benutzeraccount, der sich beim Einschalten automatisch anmeldet. Auf den iMacs laufen Firefox/Chrome, Adobe CS5/6, Davinci Resolve, MS Office und weitere Anwendungen.

Wie Ihr Euch vorstellen könnt ist der Administrationsaufwand erheblich, da wir an jedem iMac einzeln Software installieren und wöchentlich Updates (System, Browser, Flash, Adobe, Office...) händisch einspielen müssen. Wir suchen nun nach einer Strategie, um folgende Aufgaben künftig zentral/automatisiert abzuarbeiten:

1. Account-Passwörter zentral ändern (auf mehreren Systemen gleichzeitig)
2. Software-Updates zentral anstoßen/ausführen (auf mehreren Systemen gleichzeitig)
3. zentrale Konfiguration/Verteilung von Policies für Anwendunge (z.B. Chrome)
4. zentrales Sicherheits-/Datenschutzmanagement (kein Browserverlauf, kein Hinzufügen von AddOns, kein Speichern von Passwörtern)

Ausprobiert hatte ich bereits den Apple Workgroup Manager. Der wäre insofern gut, als dass es das Anlegen von iMac-Gruppen (z.B. nach Räumen/Abteilungen) unterstützt. Zudem lassen sich Policies anlegen für Anwendungen, die das unterstützen (z.B. Google Chrome).
Nachteil: es hat nicht funktioniert! Konnte z.B. nicht per IP/MAC-Adresse remote auf andere iMacs zugreifen und bei den Chrome-Policies war der Policy-Typ "Array" im WG-Manager schlicht nicht vorhanden. Alles eher eine Nullnummer...

Hat von Euch jemand eine Idee für eine Strategie, wie das Ganze in der Praxis gut und einfach machbar wäre?

Schon jetzt vielen Dank für Eure Ideen und Vorschläge.

Grüße, gD

 

[Wuchtbrumme]

so viele Macs habe ich nicht, ich versuch aber trotzdem mal, Dich in die richtige Richtung zu stupsen:
1. Netzwerkaccount. OpenLDAP. Die Variante im OS X Server böte sich an.
2. Apple Remote Desktop (ARD). Im MAS für 69 Euro.
3. Auch über ARD. Habe ich noch nie gemacht, kommt wohl drauf an, wie die Konfiguration wo hingeht. Wenn man die Konfig verpacken kann, ist ARD Dein Freund.
4. Stichwort "Kiosk"-Modus. Auch noch nie gemacht. Vielleicht geht was mit einem mobilen Useraccount (sprich: servergespeichertes Benutzerprofil) und eingeschränkten Rechten; ansonsten vielleicht 3rd-Party-Software; die Lösungen kenne ich allesamt nicht.

Wenn Du den OS X Server anschaffst bitte regelmäßig und vor und nach jedem Update gut sichern, am besten neben TimeMachine noch mit mehreren bootfähigen externen Laufwerken, um schnell wieder eine lauffähige Konfiguration hinzubekommen.

Der OS X Server enthält auch den ProfileManager, der wahrscheinlich *das* Tool zum zentralisierten Management eines Gerätefuhrparks mit iOS und OS X ist.

Schau's Dir an, aber lies hier wegen OS X Server quer; die Meinungen sind nicht allzuhoch, den meisten wäre mehr Qualität in der Software lieber als der Preis von 17,99 Euro.

 

[m1LLo]

Also ich selbst habe keine Erfahrung aber ich weis das es dazu sehr gute Literatur gibt!
Unser KI-Labor besteht auch aus 30 iMacs. Benutzerverwaltung geschiet über OpenLDAP. Dort muss man wohl ein Standard-Profil hinterlegen von dem die Anderen Benutzer so gesehen vererbt werde.

Werde bei Gelegenheit mal bei den Admins nachfragen und dich informieren.

Einen Tipp kann ich dir aber noch auf jedenfall mit geben:
Setze bei jedem iMac das EFI-Passwort!

 

[u0679]

Also ich selbst habe keine Erfahrung aber ich weis das es dazu sehr gute Literatur gibt!
[/B]

Hast Du da mal Links? Das interessiert mich auch.

 

[m1LLo]

Leider nicht aber deswegen wollte ich mich ja mit den Admins in Kontakt setzen

 

[goldendelicios]

Hallo ihr Lieben,

dass mit dem Browser ist so ein leidiges Thema. Zwar gibt es AddOns, um Browsereinstellungen und den AddOn-Bereich mit Passwort zu schützen (riesengroße Sicherheitslücke diese AddOn-Sache), allerdings kann man den Browser einfach im abgesicherten Modus (Alt-Taste) starten, wodurch alle AddOns deaktiviert sind und sich löschen lassen. Was Datenschutz angeht lässt sich der FireFox ganz gut konfigurieren (kein Verlauf, nichts speicher. quasi Private-Modus per default).

Bei Chrome wird es schwierig. Der muss über Tricks automatisch im Inkognito-Modus aufgerufen werden, weil die Einstellungen nicht viel hergeben. Dafür hätte Chrome allerdings tolle Policies, die genau das alles abdecken.
> https://support.google.com/chrome/a/answer/187202?hl=de

Schöne Grüße gD