Zum Hauptinhalt springen

Installation über InTune auf macOS

Deploy the Level agent to Macs with Microsoft Intune. Covers the PKG app, the PPPC profile for privacy permissions, and creating the macOS service account for patch management.

Einführung

Wenn Ihre Macs bereits in Microsoft Intune registriert sind, können Sie den Level-Agenten darauf übertragen, ohne jeden Rechner einzeln anzufassen. Diese Anleitung erläutert die drei Bestandteile einer funktionierenden Bereitstellung:

  • Die PKG-App der den Agenten installiert und registriert.

  • Ein PPPC-Profil die Level die benötigten Datenschutzberechtigungen auf macOS erteilt.

  • Eine Level-Automatisierung das das macOS-Dienstkonto für die Patchverwaltung auf Apple Silicon erstellt.

ℹ️ HINWEIS: Der Schritt zum Dienstkonto ist nur auf Apple Silicon Macs und nur für die Patchverwaltung erforderlich. Intel Macs und reine Fernsteuerungs-Bereitstellungen können diesen Schritt überspringen. Siehe macOS-Dienstkonto für das vollständige Bild.

⚙️ VORAUSSETZUNGEN

  • Macs, die in Microsoft Intune registriert sind, mit Zugriff auf das Microsoft Intune Admin Center

  • Ein Level-Konto mit der Berechtigung zum Hinzufügen von Geräten

  • Den Level-Installationsschlüssel für die Gruppe, der die Geräte zugewiesen werden sollen (erhältlich unter Neues Gerät hinzufügen → macOS in Level)

  • Für den Dienstkonto-Schritt: ein vorhandenes Admin-Konto auf jedem Mac, das über einen SecureToken (dies ist die mit Abstand häufigste Ursache, die die automatische Erstellung von Dienstkonten verhindert – mehr dazu weiter unten)

Level auf macOS über Intune installieren

Schritt 1: Den macOS-Installer von Level herunterladen

  1. Öffnen Sie in Level die Geräteliste und klicken Sie auf Neues Gerät hinzufügen.

  2. Wählen Sie macOS aus dem Dropdown-Menü für das Betriebssystem.

  3. Öffnen Sie die Installer Registerkarte.

  4. Wählen Sie im Architektur-Dropdown ARM64 für Apple Silicon oder x64 für Intel.

  5. Optional eine Gerätegruppe auswählen, damit der Installationsschlüssel die Gruppen-ID enthält.

  6. Klicken Sie auf Installer herunterladen um das PKG zu speichern.

🖥️ PLATTFORMHINWEIS:

  • Apple Silicon (M1/M2/M3): Laden Sie das ARM64-Paket herunter. Dieses benötigt in Schritt 4 das Dienstkonto.

  • Intel: Laden Sie das x64-Paket herunter. Das PKG ist architekturspezifisch, d. h. ein für eine Architektur erstelltes Paket lässt sich nicht auf der anderen installieren.

⚠️ WARNUNG: Da jedes PKG architekturspezifisch ist, läuft ein ARM64-Paket nicht auf Intel Macs und umgekehrt. Wenn Sie beide verwalten, erstellen Sie eine separate Intune-App pro Architektur und weisen Sie jede Zuweisung den passenden Geräten zu.

Schritt 2: Die PKG-App in Intune erstellen

  1. Navigieren Sie im Intune Admin Center zu Apps → macOS → Hinzufügen.

  2. Für App-Typ, wählen Sie macOS-App (PKG), dann klicken Sie auf Auswählen.

  3. Klicken Sie auf App-Paketdatei auswählen, navigieren Sie zum heruntergeladenen PKG und klicken Sie auf OK.

  4. Auf der App-Informationen Seite, setzen Sie den Herausgeber (zum Beispiel Level) und wählen Sie eine Kategorie wie z. B. Computerverwaltung. Klicken Sie auf Weiter.

Das Nachinstallations-Skript hinzufügen

Intune führt das PKG mit einem einfachen installer -pkg, das den Agenten installiert, ihn aber nicht bei Ihrem Level-Konto registriert. Das Nachinstallations-Skript ist der Ort, an dem die Registrierung mithilfe Ihres Installationsschlüssels erfolgt.

Fügen Sie Ihren Registrierungsbefehl in das Nachinstallations-Skript Feld, dann klicken Sie auf Weiter.

⚠️ WARNUNG: Der Installationsschlüssel verknüpft neue Geräte mit Ihrem Level-Konto und (falls Sie eine Gruppe ausgewählt haben) mit der Zielgruppe. Behandeln Sie das Skript als vertraulich und schränken Sie ein, wer die Intune-App-Konfiguration lesen kann.

Anforderungen und Erkennungsregeln festlegen

  1. Auf der Anforderungen Seite, setzen Sie das Mindestbetriebssystem um das älteste macOS abzugleichen, das Sie tatsächlich unterstützen. Level unterstützt macOS 11 (Big Sur) und höher. Klicken Sie auf Weiter.

  2. Auf der Erkennungsregeln Seite, geben Sie die Bundle-ID und Version des Level-Agenten ein, damit Intune erkennen kann, ob die App bereits installiert ist:

    • App-Bundle-ID: io.level.agent

    • App-Version: die Version des Agenten im heruntergeladenen PKG

  3. Klicken Sie auf Weiter, überprüfen und klicken Sie auf Erstellen.

💡 TIPP: Die installierte Version können Sie auf jedem Mac, auf dem der Agent bereits installiert ist, mit folgendem Befehl auslesen: defaults read /Applications/Level.app/Contents/Info CFBundleShortVersionString. Stimmen Sie die Erkennungsversion von Intune mit der Version im bereitgestellten Paket ab.

Schritt 3: Das PPPC-Profil für Datenschutzberechtigungen bereitstellen

macOS blockiert Level bei der Bildschirmaufnahme, der Steuerung des Rechners und dem Lesen von Dateien, bis die entsprechenden Datenschutzberechtigungen erteilt wurden. Ein über Intune übertragenes PPPC-Profil (Privacy Preferences Policy Control) übernimmt den Großteil davon, ohne dass jemand den Mac anfassen muss.

Level veröffentlicht ein offizielles Beispielprofil. Starten Sie dort: Level - PPPC.mobileconfig herunterladen

Das Profil zielt auf den Level-Agenten über Bundle-ID (io.level.agent) und Team-ID (BNB82BTKXQ) und erfüllt zwei Aufgaben:

  • Erteilt Vollständigen Festplattenzugriff und Bedienungshilfen automatisch über MDM-Richtlinie.

  • Ermöglicht einem Standardbenutzer (ohne Admin-Rechte), Bildschirmaufnahme ohne Admin-Anmeldedaten zu benötigen.

⚠️ WARNUNG: Apple erlaubt MDM nicht, Bildschirmaufnahme oder Systemaudio-Aufnahme automatisch zu genehmigen. Das Profil entfernt lediglich die Admin-Anforderung. Eine Person muss die Bildschirmaufnahme (und die Systemaudio-Aufnahme, falls Sie Audio bei der Fernsteuerung verwenden) auf jedem Mac beim ersten Mal manuell genehmigen. Planen Sie dies in Ihren Onboarding-Schritten ein.

So stellen Sie es über Intune bereit:

  1. Navigieren Sie zu Geräte → macOS → Konfiguration → Erstellen → Neue Richtlinie.

  2. Setzen Sie Profiltyp auf Vorlagen, wählen Sie Benutzerdefiniert, und klicken Sie auf Erstellen.

  3. Geben Sie dem Profil einen Namen, dann klicken Sie auf Weiter.

  4. Legen Sie auf der Konfigurationsseite einen Namen für das benutzerdefinierte Konfigurationsprofil und laden Sie die .mobileconfig Datei. Klicken Sie auf Weiter.

  5. Wählen Sie Ihre Zuweisungen, klicken Sie auf Weiter, dann Erstellen.

Schritt 4: Das macOS-Dienstkonto erstellen (nur Apple Silicon)

Auf Apple Silicon Macs verwendet Level ein dediziertes Dienstkonto, um FileVault zu entsperren und Updates ohne interaktive Anmeldung zu installieren. Es wird normalerweise bei einer manuellen Installation erstellt, aber eine automatische Intune-Installation überspringt diese Abfrage, sodass Sie es nachträglich erstellen müssen.

Der Kunde, der diesen Workflow entwickelt hat, erledigt das mit einer Level-Automatisierung: eine gruppengebundene Automatisierung, die auf jedem neuen Mac in der Zielgruppe ein kurzes Skript ausführt und dabei die autorisierenden Admin-Anmeldedaten aus benutzerdefinierten Feldern abruft.

Die benutzerdefinierten Felder einrichten

Erstellen Sie zwei benutzerdefinierte Felder (Arbeitsbereich-, Gruppen- oder Gerätebereich, je nachdem, wie Ihre Admin-Anmeldedaten variieren) und füllen Sie diese entsprechend Ihrer Umgebung aus:

  • cf_admin — der Benutzername eines vorhandenen Admins auf dem Gerät

  • cf_admin_password — das Passwort dieses Admins

⚠️ WARNUNG: cf_admin und cf_admin_password sind die Anmeldedaten eines vorhandenen Admin, der die Erstellung des Dienstkontos autorisiert. Es handelt sich nicht um die eigenen Anmeldedaten des Dienstkontos, und dieser autorisierende Admin muss einen SecureToken besitzen. Falls nicht, schlägt die Erstellung mit der Meldung „Die angegebenen Admin-Anmeldedaten sind gültig, aber das Konto verfügt nicht über einen SecureToken" fehl, auch wenn die Anmeldedaten korrekt sind. Weitere Informationen finden Sie im SecureToken-Abschnitt von macOS-Dienstkonto für Informationen, wie man einen Token erteilt oder ein MDM-Bootstrap-Token verwendet.

Das Skript

Fügen Sie eine Skript ausführen Aktion zur Automatisierung und fügen Sie folgendes ein.

#!/bin/bash
/usr/local/bin/level --create-service-account --admin-name={{cf_admin}} --admin-password={{cf_admin_password}}
echo "Service account exit: $?"
echo "$(date '+%Y-%m-%d %H:%M:%S') done"

💡 TIPP: Sichern Sie das Skript so ab, dass es auf Intel Macs und Rechnern, auf denen die Binärdatei noch nicht vorhanden ist, ein sauberes No-op ist:

#!/bin/bash
if [ ! -x /usr/local/bin/level ]; then echo "Level not installed yet"; exit 0; fi
if [ "$(uname -m)" != "arm64" ]; then echo "Intel Mac, service account not needed"; exit 0; fi
/usr/local/bin/level --create-service-account --admin-name={{cf_admin}} --admin-password={{cf_admin_password}}
echo "Service account exit: $?"
echo "$(date '+%Y-%m-%d %H:%M:%S') done"

Bei neuen Geräten auslösen

Beschränken Sie die Automatisierung auf die Gruppe, der Ihre über Intune installierten Macs zugewiesen werden, und verwenden Sie einen Auslöser, der sie einmalig pro Gerät beim Beitritt ausführt. So erhält jeder neue Mac sein Dienstkonto kurz nach der Registrierung, ohne manuelle Schritte.

ℹ️ HINWEIS: --create-service-account ist ein No-op auf Intel Macs. Das Konto wird nur dort benötigt, wo Level FileVault beim Start entsperren muss – das ist der Fall beim Patch-Management auf Apple Silicon.

Schritt 5: Die Bereitstellung bestätigen

  1. Synchronisieren Sie einen Test-Mac (Systemeinstellungen → Allgemein → Geräteverwaltung, oder warten Sie auf das nächste Einchecken).

  2. Bestätigen Sie, dass der Agent installiert wurde und das Gerät in Ihrer Level- Geräteliste innerhalb weniger Minuten.

  3. Überprüfen Sie, ob das PPPC-Profil angewendet wurde: Vollständiger Festplattenzugriff und Bedienungshilfen sollten für Level als erteilt angezeigt werden.

  4. Lassen Sie jemanden die Bildschirmaufnahme auf dem Mac (Apple verlangt dies manuell).

  5. Bestätigen Sie auf Apple Silicon, dass das Dienstkonto vorhanden ist. Sie können dies im Automatisierungs-Ausführungsverlauf überprüfen oder folgenden Befehl ausführen: sudo /usr/local/bin/level --check-service-account auf dem Gerät genehmigen.

ℹ️ HINWEIS: Wenn ein Mac installiert wird, aber nie in Level erscheint, ist die Nachinstallations-Registrierung die häufigste Ursache, gefolgt von einem AV/EDR-Tool, das den Agenten blockiert. Siehe Offline-Fehlerbehebung und AV/EDR-Falschmeldungen.

Häufig gestellte Fragen

  • Das PKG wurde installiert, aber der Mac erscheint nie in Level. Was ist schiefgelaufen? Fast immer die Nachinstallations-Registrierung. Intunes installer -pkg installiert die App, registriert sie aber nicht. Wenn das Nachinstallations-Skript fehlt, falsch ist oder einen veralteten Installationsschlüssel enthält, wird der Agent installiert, meldet sich aber nie an. Bestätigen Sie, dass das Skript ausgeführt wurde und der Schlüssel aktuell ist. Falls die Registrierung korrekt aussieht, prüfen Sie, ob ein AV/EDR-Tool den Agenten unter Quarantäne gestellt hat.

  • Benötige ich das Dienstkonto überhaupt? Nur auf Apple Silicon und nur für das Patch-Management. Fernsteuerung, Überwachung und Skripte funktionieren alle ohne es. Wenn Sie Level nicht zur Installation von macOS-Updates verwenden, können Sie Schritt 4 vollständig überspringen.

  • Mein Dienstkonto-Skript schlägt fehl, obwohl Benutzername und Passwort des Admins korrekt sind. Warum? Der autorisierende Admin verfügt höchstwahrscheinlich nicht über einen SecureToken. macOS erlaubt es einem Admin ohne SecureToken nicht, einem anderen Konto einen Token zu erteilen, und das Dienstkonto benötigt einen Token, um FileVault zu entsperren. Verwenden Sie einen Admin mit SecureToken oder erteilen Sie einen über ein MDM-Bootstrap-Token. Der Artikel zum macOS-Dienstkonto beschreibt die Lösung.

  • Kann ich Intel und Apple Silicon gleichzeitig bereitstellen? Nicht mit einer einzigen App. Das PKG ist architekturspezifisch, also erstellen Sie eine Intune-App für das ARM64-Paket und eine für x64, und weisen Sie jede den passenden Geräten zu. Erkennungsregeln können dieselbe Bundle-ID verwenden (io.level.agent); stimmen Sie lediglich die Version mit dem jeweiligen Paket ab.

  • Warum muss ein Techniker für die Bildschirmaufnahme noch etwas manuell bestätigen, wenn das Profil die Berechtigungen verwaltet? Apple erlaubt MDM nicht, Bildschirmaufnahme oder Systemaudio-Aufnahme automatisch zu genehmigen. Das Profil entfernt die Admin-Anforderung, sodass ein Standardbenutzer dies genehmigen kann, aber die Genehmigung selbst ist weiterhin manuell erforderlich. Vollständiger Festplattenzugriff und Bedienungshilfen werden hingegen automatisch angewendet.

  • Wo lege ich fest, in welcher Gruppe die Macs landen? Wählen Sie die Gruppe aus, wenn Sie den Installationsschlüssel in Level kopieren (Neues Gerät hinzufügen → macOS). Die Gruppen-ID ist im Schlüssel enthalten, den Ihr Nachinstallations-Skript verwendet. Um Geräte in verschiedenen Gruppen zu platzieren, verwenden Sie einen separaten Schlüssel pro Gruppe.

  • Wer kann das Admin-Passwort sehen, das ich in einem benutzerdefinierten Feld gespeichert habe? Jeder, der die Berechtigung hat, den Gültigkeitsbereich dieses benutzerdefinierten Felds einzusehen, und es kann in der Ausgabe von Automatisierungsläufen erscheinen. Schränken Sie den Bereich eng ein, beschränken Sie den Zugriff und bevorzugen Sie nach Möglichkeit einen verwalteten lokalen Admin mit einem Bootstrap-Token gegenüber einem gemeinsam genutzten Passwort.

Verwandte Artikel
macOS-Installation
macOS-Dienstkonto
Installation über InTune unter Windows
Agenten über RMM installieren
Installation über InTune unter Linux
Hat dies deine Frage beantwortet?