Betrieblicher Einsatz Mountain Lion --> Organisation

[Moriarty]

Hallo,

ich befasse mich gerade mit dem Einsatz von einzelnen Macs in unserer Firma und damit auftauchenden Fragen:

Wie läuft das, wenn z.B. Mountain Lion angeschafft werden soll. Apple-IDs für den Store-Einkauf dann auf die Firma laufend
und auf allen Macs die selbe ID, oder mitarbeiterspezifisch?

Kann ich problemlos z.B. User für die Mitarbeiter einrichten, und den Admin-Zugang so sichern, dass der nicht durch einen Trick herbeigerufen werden kann? (Es sollen u.a. auch Kurzzeit-Praktika an solchen Rechnern stattfinden, und da muss man ja ein wenig aufpassen...)

Als "Consumer" arbeite ich ja schon einige Jahre mit dem Mac, aber solche Dinge sind mir z.Zt. irgendwie nicht ganz klar... bei den Windows-Kisten im Unternehmen wird alles zentral verwaltet, und somit sind bestimmte Webseiten bis hin zur Installation von Software für den Anwender tabu.

Wie sinnvoll ist es, zu versuchen, die (abgezählten) Mac-Einzelplatzlösungen auch möglichst automatisiert einzurichten?

Gruß
Dennis

 

[salome]

Informationen aus erster Hand: hier
Salome

 

[Moriarty]

Danke erstmal.

Mir ging es auch ein wenig um den Austausch hier. Eure Meinung, vielleicht Erfahrungsberichte.

 

[Marcel Bresink]

Apple-IDs für den Store-Einkauf dann auf die Firma laufend und auf allen Macs die selbe ID, oder mitarbeiterspezifisch?

OS X ist ein Mehrbenutzersystem und kann deshalb als solches überhaupt nicht an eine Apple-ID (die ja personenbezogen ist) gebunden werden. Nur wenn ein bestimmter Benutzer einen bestimmten Apple-Dienst nutzen will, kann er dazu eine Apple-ID verwenden, falls erforderlich. Um Apple-Software für geschäftlichen Einsatz zu kaufen, muss man üblicherweise mindestens 20 Lizenzen im Rahmen eines Volumen-Lizenzvertrags erwerben. Den Link hat salome schon genannt.

Kann ich problemlos z.B. User für die Mitarbeiter einrichten, und den Admin-Zugang so sichern, dass der nicht durch einen Trick herbeigerufen werden kann?

Ja natürlich, ansonsten wäre OS X für den Betrieb z.B. in Schulen ja komplett unbrauchbar. Zum Absichern muss ein Benutzer ohne Verwalterberechtigung eingerichtet werden. Außerdem sollte das Firmware-Kennwort aktiviert und jeder Rechner physisch versiegelt werden.

Bei professionellem Betrieb sollte gar keine lokalen Benutzer eingerichtet, sondern mit netzweiten Accounts gearbeitet werden. OS X ließe sich z.B. in eine bereits vorhandene Windows Active Directory-Domäne integrieren.

bei den Windows-Kisten im Unternehmen wird alles zentral verwaltet, und somit sind bestimmte Webseiten bis hin zur Installation von Software für den Anwender tabu.

Auch das ist bei OS X selbstverständlich.

 

[OldCaligula]

Ich kann Dir erzählen wie ein Kunde von mir das - mit Zusammenarbeit meiner Firma - das gestaltet hat.

Apple ID
Jeder Mitarbeiter bekommt eine eigene Apple ID. Da zu viele Update Sachen auch mit der ID verknüpft sind, Einkäufe sonst schlecht auf die Person nachvollziehbar etc... Ich würde Dir raten, jedem eine ID zu verpassen. Ist einfach eine saubere Sache und kostet ja nichts...

Admin & User
Klar - richte neben dem Admin einen Benutzer ein. Dieser Benutzer ist dann der Mitarbeiter. Bei entsprechend sicherem Admin PSWD kommt der niemals ran. OS X hat ja dann zudem noch den Gast Account - für Deine temporären Benutzer - da werden dann auch alle Spuren gelöscht, beseitigt.

Automation
Ich installiere einen Mac voll aus - inklusive Software - nur mit meinem fix eingerichteten Admin Konto. Dann ein Klon der HDD/SSD machen - oder TM BackUp - dann kommt der Klon oder das TM BackUp auf alle neuen Rechner. Das ist bei Apple ja kein Problem - Du kannst den Klon / das TM BackUp ja auf jeden iMac, MacBook etc auf spielen. Und dann muss ich nur noch am Rechner den User einrichten...

Lizenz
Jeder Rechner braucht eine Lizenz von ML! Da jeder Rechner = 1 Person. Volumenlizenzen kannst Du ab - ich bin mir fast sicher - 20 Lizenzen - erwerben. Siehe die Business Hotline. Ruf da einfach an und erkundige Dich genauer, bin mir aber mit den 20 Lizenzen fast sicher, dass es erst ab da eine VL gibt. Ansonsten - eine Person - eine ML Lizenz...

Nein - es sind nicht alles Deine Rechner und Du kannst daher ML auf allen installieren - das gilt nicht ...

 

[Pascolo]

Mir ging es auch ein wenig um den Austausch hier. Eure Meinung, vielleicht Erfahrungsberichte.

Erfahrungen habe ich diesbezüglich zwar keine, was bei mir aber ein paar Fragen aufwirft:

Wie verhält es sich eigentlich mit Versions und Auto Save in einer gemischten Umgebung? Werden z.B. die einzelnen Versionen einer Datei im Netzwerk mitabgespeichert und was passiert, wenn dann ein Linux- oder Windows-Benutzer diese Datei öffnet? Datenverlust?

Zu klären wäre auch noch, ob man das Anlegen dieser unsichtbaren Dateien à la .DS_Store oder .Trash durch den Finder im Netzwerk - und nur da - unterbinden kann.

 

[Moriarty]

Bei professionellem Betrieb sollte gar keine lokalen Benutzer eingerichtet, sondern mit netzweiten Accounts gearbeitet werden. OS X ließe sich z.B. in eine bereits vorhandene Windows Active Directory-Domäne integrieren.

Nutzt OS X denn Active Directory nur zur Authentifizierung oder werden auch Group Policies berücksichtigt?

 

[Marcel Bresink]

Werden z.B. die einzelnen Versionen einer Datei im Netzwerk mitabgespeichert

Nein, das Feature "Versions" funktioniert im Netzwerk nicht. Sobald man ein Dokument im Netz ablegt, blenden alle Versions-kompatiblen Programme eine Warnung ein, dass hier Versions nicht zur Verfügung steht.

Zu klären wäre auch noch, ob man das Anlegen dieser unsichtbaren Dateien à la .DS_Store oder .Trash durch den Finder im Netzwerk - und nur da - unterbinden kann.

.DS_Store ja, alle anderen unsichtbaren Dateien nein. Ist aber kein Problem, da diese Dateien ja normalerweise auch in allen anderen modernen Betriebssystemen unsichtbar sind.

Nutzt OS X denn Active Directory nur zur Authentifizierung oder werden auch Group Policies berücksichtigt?

Gruppenrichtlinien sind so eng an Windows geknüpft, dass deren Berücksichtigung in anderen Betriebssystemen keinen Sinn ergibt.
Es ist (mit einiger Anpassungarbeit) jedoch möglich, die zu Gruppenrichtlinien äquivalente Technik, die bei OS X den Namen "MCX" (Managed Clients) trägt, in Active Directory unterzubringen.

Der derzeitige Industrietrend, der durch die Verbreitung kleiner Mobilgeräte wie Smartphones ausgelöst wurde, ist allerdings, diese Methodik sowieso abzulösen und in Zukunft in allen Betriebssystemen durch Nachfolgetechnologien unter dem Oberbegriff "MDM" (Mobile Device Management) zu ersetzen.

 

[Pascolo]

@Marcel Bresink: Dann wäre das in der Hinsicht ja eigentlich schon mal kein Problem. Besten Dank.

 

[Moriarty]

Mal eine ganz "spezielle" Frage: In der OS X-Anmeldemaske erscheint zunächst immer der lokale User, und erst wenn man etwas wartet, die Option "Andere..." mit der man dann den AD-User anmelden kann.

Ist das konfigurierbar?

 

[Marcel Bresink]

Was soll da konfiguriert werden?

 

[Moriarty]

Na, dass der AD-User angeboten wird und nicht bloss "Gast" oder "Admin" (beides lokale User)

 

[Marcel Bresink]

Was soll "der AD-User" sein?

Normalerweise speichert ein Active Directory Dutzende, in großen Firmen zehntausende von Benutzern. Es wäre nicht besonders hilfreich, wenn man die im Anmeldeschirm von OS X mit der Maus auswählen müsste.

Wenn man so etwas will, kann man AD-Benutzer-Accounts so konfigurieren, dass OS X sie sozusagen nicht mehr von lokalen Benutzern unterscheiden kann. Dazu muss man das LDAP-Datenbankschema des AD-Servers anpassen und die Benutzer-Accounts mit zusätzlichen Feldern anreichern. Zur Anzeige mit einem eigenen Foto-Feld, was Du möglicherweise mit der Frage meinst, wäre beispielsweise ein Feld "apple-user-picture" erforderlich, das dann für jeden Benutzer die Bilddaten enthält.

 

[Moriarty]

Man kann in den Anmeldeoptionen einstellen, dass sich "alle Netzwerkuser" oder eben nur ausgewählte anmelden können.
Ich wollte wissen, ob es eine Möglichkeit gibt, dass der Standard-AD-User (oder meinetwegen der zuletzt angemeldete) in der Anmeldemaske aufgeführt wird.

Bei den Windows-Clients ist es so, und die User müssen morgens nur ihr Passwort eingeben. Beim Mac werden nur die lokalen User mit den kleinen Icons angeboten, und man muss erst eine - gefühlte Ewigkeit - warten, bis die Option "andere..." erscheint, wo man dann seinen User eingeben kann...

 

[Marcel Bresink]

Bei den Windows-Clients ist es so, und die User müssen morgens nur ihr Passwort eingeben.

Das ist eine Sicherheitslücke, denn damit gibt Windows bereits die Anmeldedomäne und einen gültigen Benutzernamen preis. Das macht OS X mit Absicht nicht.

Beim Mac werden nur die lokalen User mit den kleinen Icons angeboten

Nicht wirklich. Wie gesagt können auch alle Netzwerk-Benutzer angeboten werden, wenn die Accounts mit den entsprechenden Informationen (wie den Benutzerbildern) versehen sind.

und man muss erst eine - gefühlte Ewigkeit - warten

Ja. In Wirklichkeit ist das ein Zeitersparnistrick für lokale Benutzer. OS X präsentiert den Anmeldeschirm "verfrüht", damit sich lokale Benutzer bereits anmelden können, noch bevor im Hintergrund die Netzwerkfunktionen und der Verzeichnisdienst-Client hochgefahren sind.

 

[Moriarty]

OK, zwar nicht die Antworten die ich hören wollte aber das erklärt einiges! Danke

 

[hosja]

Die Abrechnung von Einkäufen die Mitarbeiter im AppStore dann auf ihren Namen machen sollte man noch berücksichtigen. Das bekommt nicht jede Abrechnungsabteilung gleich hin. Manchmal ist es einfacher wenn der Einkauf iTunes Karten besorgt die man dann intern bestellen kann...

 

[Moriarty]

Danke hosja, die Idee mit den iTunes-Karten ist bei den drei Mac-Usern bei uns auch eine charmante...

 

[Marcel Bresink]

Im "betrieblichen Einsatz", um den es hier geht, ist es aber ein Unding, wenn Mitarbeiter Software kaufen oder sogar installieren dürfen. Das ist ja eigentlich genau das, was man vermeiden will. Neben den technischen und buchhalterischen Problemen wirft das weitere rechtliche Fragen auf.

 

[Moriarty]

Das Problem wurde ja bereits weiter oben angesprochen. Volumenlizenzen machen u.U. bei sehr geringer Mitarbeiterzahl keinen Sinn, und jede einzelne Lizenz muss über eine eigene Apple-ID im Appstore bezogen werden...

Natürlich soll diese nicht durch den Mitarbeiter mit dessen privater Apple-ID gekauft werden...