Introducción

Si sus Macs ya están inscritos en Microsoft Intune, puede enviar el agente de Level a ellos sin tocar cada máquina. Esta guía describe las tres partes de una implementación funcional:

La aplicación PKG que instala y registra el agente.
Un perfil PPPC que otorga los permisos de privacidad que Level necesita en macOS.
Una automatización de Level que crea la cuenta de servicio de macOS para la gestión de parches en Apple Silicon.

ℹ️ NOTA: El paso de la cuenta de servicio solo es relevante en Macs con Apple Silicon y únicamente para la gestión de parches. Los Macs Intel y las implementaciones de solo control remoto pueden omitirlo. Consulte Cuenta de servicio de macOS para una visión completa.

⚙️ REQUISITOS PREVIOS

Macs inscritos en Microsoft Intune, con acceso al centro de administración de Microsoft Intune
Una cuenta de Level con permiso para agregar dispositivos
La clave de instalación de Level para el grupo en el que desea que aterricen los dispositivos (obténgala desde Agregar nuevo dispositivo → macOS en Level)
Para el paso de la cuenta de servicio: una cuenta de administrador existente en cada Mac que tenga un SecureToken (este es el problema más común que rompe la creación de cuentas de servicio sin intervención, más detalles a continuación)

Instalar Level en macOS mediante Intune

Paso 1: Descargar el instalador de macOS desde Level

En Level, abra el Listado de dispositivos y haga clic en Agregar nuevo dispositivo.
Seleccione macOS desde el menú desplegable del sistema operativo.
Abra la pestaña Instalador pestaña.
En el menú desplegable de arquitectura, seleccione ARM64 para Apple Silicon o x64 para Intel.
Opcionalmente, seleccione un grupo de dispositivos para que la clave de instalación incluya el ID del grupo.
Haga clic en Descargar instalador para guardar el PKG.

🖥️ NOTA DE PLATAFORMA:

Apple Silicon (M1/M2/M3): Descargue el paquete ARM64. Este es el que necesita la cuenta de servicio en el Paso 4.
Intel: Descargue el paquete x64. El PKG es específico de la arquitectura, por lo que un paquete creado para una arquitectura no se instalará en la otra.

⚠️ ADVERTENCIA: Dado que cada PKG es específico de la arquitectura, un paquete ARM64 no funcionará en Macs Intel y viceversa. Si gestiona ambas, cree una aplicación de Intune separada por arquitectura y asigne cada una a los dispositivos correspondientes.

Paso 2: Crear la aplicación PKG en Intune

En el centro de administración de Intune, vaya a Aplicaciones → macOS → Agregar.
Para Tipo de aplicación, seleccione Aplicación macOS (PKG), luego haga clic en Seleccionar.
Haga clic en Seleccionar archivo de paquete de aplicación, busque el PKG descargado y haga clic en Aceptar.
En la Información de la aplicación página, establezca el Editor (por ejemplo, Level) y elija una Categoría como Gestión de equipos. Haga clic en Siguiente.

Agregar el script posterior a la instalación

Intune ejecuta el PKG con un simple installer -pkg, que instala el agente pero no lo registra en su cuenta de Level. El script posterior a la instalación es donde ocurre el registro, utilizando su clave de instalación.

Pegue su comando de registro en el campo script posterior a la instalación campo, luego haga clic en Siguiente.

⚠️ ADVERTENCIA: La clave de instalación vincula los nuevos dispositivos a su cuenta de Level y (si seleccionó un grupo) al grupo de destino. Trate el script como información sensible y limite quién puede leer la configuración de la aplicación de Intune.

Establecer requisitos y reglas de detección

En la Requisitos página, establezca el sistema operativo mínimo para que coincida con la versión más antigua de macOS que realmente admite. Level admite macOS 11 (Big Sur) y versiones posteriores. Haga clic en Siguiente.
En la Reglas de detección página, ingrese el ID de paquete y la versión del agente de Level para que Intune pueda determinar si la aplicación ya está instalada:
- ID de paquete de la aplicación: io.level.agent
- Versión de la aplicación: la versión del agente en el PKG descargado
Haga clic en Siguiente, revise y haga clic en Crear.

💡 SUGERENCIA: Puede leer la versión instalada en cualquier Mac que ya tenga el agente con defaults read /Applications/Level.app/Contents/Info CFBundleShortVersionString. Haga coincidir la versión de detección de Intune con la versión del paquete que está implementando.

Paso 3: Implementar el perfil PPPC para permisos de privacidad

macOS impide que Level grabe la pantalla, controle la máquina y lea archivos hasta que se le otorguen los permisos de privacidad correspondientes. Un perfil PPPC (Control de políticas de preferencias de privacidad) enviado mediante Intune gestiona la mayor parte de esto sin que nadie tenga que tocar el Mac.

Level publica un perfil de muestra oficial. Comience por aquí: Descargar Level - PPPC.mobileconfig

El perfil apunta al agente de Level por ID de paquete (io.level.agent) y el ID de equipo (BNB82BTKXQ) y realiza dos acciones:

Otorga Acceso total al disco y Accesibilidad de forma silenciosa mediante la política MDM.
Permite que un usuario estándar (no administrador) apruebe Grabación de pantalla sin necesidad de credenciales de administrador.

⚠️ ADVERTENCIA: Apple no permite que MDM otorgue Grabación de pantalla o Grabación de audio del sistema de forma silenciosa. El perfil solo elimina el requisito de administrador. Una persona aún debe aprobar la Grabación de pantalla (y el Audio del sistema, si usa audio durante el control remoto) en cada Mac la primera vez. Tenga en cuenta esto en sus pasos de incorporación.

Para implementarlo mediante Intune:

Vaya a Dispositivos → macOS → Configuración → Crear → Nueva directiva.
Establezca Tipo de perfil a Plantillas, elija Personalizado, y haga clic en Crear.
Asigne un Nombre, luego haga clic en Siguiente.
En la página de configuración, establezca un Nombre del perfil de configuración personalizado y cargue el .mobileconfig archivo. Haga clic en Siguiente.
Elija sus Asignaciones, haga clic en Siguiente, luego Crear.

Paso 4: Crear la cuenta de servicio de macOS (solo Apple Silicon)

En los Macs con Apple Silicon, Level usa una cuenta de servicio dedicada para desbloquear FileVault e instalar actualizaciones sin un inicio de sesión interactivo. Normalmente se crea durante una instalación manual, pero una instalación silenciosa de Intune omite ese paso, por lo que deberá crearla posteriormente.

El cliente que creó este flujo de trabajo lo hace con una automatización de Level: una automatización vinculada a un grupo que ejecuta un script corto en cada nuevo Mac del grupo de destino, obteniendo las credenciales de administrador autorizadas desde campos personalizados.

Configurar los campos personalizados

Cree dos campos personalizados (de alcance de espacio de trabajo, grupo o dispositivo, según cómo varían sus credenciales de administrador) y complételos según su entorno:

cf_admin — el nombre de usuario de un administrador existente en el dispositivo
cf_admin_password — la contraseña de ese administrador

⚠️ ADVERTENCIA: cf_admin y cf_admin_password son las credenciales de un existente administrador que autoriza la creación de la cuenta de servicio. No son las credenciales propias de la cuenta de servicio, y ese administrador autorizador debe tener un SecureToken. Si no lo tiene, la creación falla con «Las credenciales de administrador proporcionadas son válidas, pero la cuenta carece de un token seguro», aunque las credenciales sean correctas. Consulte la sección SecureToken de Cuenta de servicio de macOS para saber cómo otorgar uno o usar un token de arranque MDM.

El script

Agregue una Ejecutar script acción a la automatización y pegue esto.

#!/bin/bash
/usr/local/bin/level --create-service-account --admin-name={{cf_admin}} --admin-password={{cf_admin_password}}
echo "Service account exit: $?"
echo "$(date '+%Y-%m-%d %H:%M:%S') done"

💡 SUGERENCIA: Proteja el script para que sea una operación vacía en Macs Intel y en máquinas donde el binario aún no está presente:

#!/bin/bash
if [ ! -x /usr/local/bin/level ]; then echo "Level not installed yet"; exit 0; fi
if [ "$(uname -m)" != "arm64" ]; then echo "Intel Mac, service account not needed"; exit 0; fi
/usr/local/bin/level --create-service-account --admin-name={{cf_admin}} --admin-password={{cf_admin_password}}
echo "Service account exit: $?"
echo "$(date '+%Y-%m-%d %H:%M:%S') done"

Actívelo en nuevos dispositivos

Limite el alcance de la automatización al grupo donde aterrizan los Macs instalados con Intune, y use un disparador que se ejecute una vez por dispositivo al incorporarse. De esta manera, cada nuevo Mac tendrá su cuenta de servicio creada poco después del registro, sin pasos manuales.

ℹ️ NOTA: --create-service-account es una operación vacía en Macs Intel. La cuenta solo es necesaria donde Level tiene que desbloquear FileVault al arrancar, que es el caso de gestión de parches en Apple Silicon.

Paso 5: Confirmar la implementación

Sincronice un Mac de prueba (Configuración del sistema → General → Gestión de dispositivos, o espere a la próxima sincronización).
Confirme que el agente se instaló y que el dispositivo aparece en su Listado de dispositivos en pocos minutos.
Compruebe que el perfil PPPC se aplicó: el Acceso total al disco y la Accesibilidad deben aparecer como otorgados para Level.
Pida a alguien que apruebe Grabación de pantalla en el Mac (Apple requiere esto de forma manual).
En Apple Silicon, confirme que la cuenta de servicio existe. Puede verificarlo desde el historial de ejecución de la automatización, o ejecute sudo /usr/local/bin/level --check-service-account en el dispositivo.

ℹ️ NOTA: Si un Mac se instala pero nunca aparece en Level, el registro posterior a la instalación suele ser el culpable, seguido de una herramienta AV/EDR que bloquea el agente. Consulte Solución de problemas sin conexión y Detecciones falsas de AV/EDR.

Preguntas frecuentes

El PKG se instaló pero el Mac nunca apareció en Level. ¿Qué salió mal? Casi siempre el registro posterior a la instalación. El installer -pkg instala la aplicación pero no la registra, por lo que si el script posterior a la instalación falta, es incorrecto o tiene una clave de instalación desactualizada, el agente se instala pero nunca se comunica. Confirme que el script se ejecutó y que la clave está vigente. Si el registro parece correcto, compruebe si una herramienta AV/EDR puso en cuarentena al agente.
¿Necesito la cuenta de servicio? Solo en Apple Silicon y únicamente para la gestión de parches. El control remoto, la supervisión y los scripts funcionan sin ella. Si no usa Level para instalar actualizaciones de macOS, puede omitir el Paso 4 por completo.
Mi script de cuenta de servicio falla aunque el nombre de usuario y la contraseña del administrador son correctos. ¿Por qué? El administrador autorizador casi con certeza carece de un SecureToken. macOS no permite que un administrador sin SecureToken otorgue uno a otra cuenta, y la cuenta de servicio necesita un token para desbloquear FileVault. Use un administrador que tenga SecureToken, o conceda uno mediante un token de arranque MDM. El artículo sobre la cuenta de servicio de macOS explica la solución.
¿Puedo implementar en Intel y Apple Silicon al mismo tiempo? No con una sola aplicación. El PKG es específico de la arquitectura, así que cree una aplicación de Intune para el paquete ARM64 y otra para x64, y asigne cada una a los dispositivos correspondientes. Las reglas de detección pueden usar el mismo ID de paquete (io.level.agent); simplemente haga coincidir la versión con cada paquete.
¿Por qué un técnico aún tiene que hacer clic para la Grabación de pantalla si el perfil gestiona los permisos? Apple no permite que MDM otorgue la Grabación de pantalla ni la Grabación de audio del sistema de forma silenciosa. El perfil elimina el requisito de administrador para que un usuario estándar pueda aprobarlo, pero la aprobación en sí sigue siendo manual. El Acceso total al disco y la Accesibilidad sí se aplican de forma silenciosa.
¿Dónde configuro en qué grupo aterrizan los Macs? Seleccione el grupo cuando copie la clave de instalación en Level (Agregar nuevo dispositivo → macOS). El ID del grupo va incluido en la clave que usa su script posterior a la instalación. Para que los dispositivos aterricen en grupos diferentes, use una clave separada por grupo.
¿Quién puede ver la contraseña de administrador que almacené en un campo personalizado? Cualquier persona con permiso para ver el alcance de ese campo personalizado, y puede aparecer en la salida de ejecución de la automatización. Limite el alcance con precisión, restrinja el acceso y prefiera un administrador local gestionado con un token de arranque antes que una contraseña compartida cuando sea posible.

Instalar mediante InTune en macOS