Introduction

Si vos Macs sont déjà inscrits dans Microsoft Intune, vous pouvez déployer l'agent Level sur ceux-ci sans toucher à chaque machine. Ce guide présente les trois composants d'un déploiement fonctionnel :

L' application PKG qui installe et enregistre l'agent.
Un profil PPPC qui accorde les autorisations de confidentialité dont Level a besoin sur macOS.
Une automatisation Level qui crée le compte de service macOS pour la gestion des correctifs sur Apple Silicon.

ℹ️ REMARQUE : L'étape du compte de service ne concerne que les Macs Apple Silicon, et uniquement pour la gestion des correctifs. Les Macs Intel et les déploiements en contrôle à distance uniquement peuvent l'ignorer. Voir Compte de service macOS pour la vue d'ensemble complète.

⚙️ PRÉREQUIS

Macs inscrits dans Microsoft Intune, avec accès au centre d'administration Microsoft Intune
Un compte Level avec l'autorisation d'ajouter des appareils
La clé d'installation Level pour le groupe dans lequel vous souhaitez que les appareils arrivent (obtenez-la depuis Ajouter un nouvel appareil → macOS dans Level)
Pour l'étape du compte de service : un compte administrateur existant sur chaque Mac qui détient un SecureToken (c'est la cause la plus fréquente d'échec de la création automatique du compte de service, plus de détails ci-dessous)

Installer Level sur macOS via Intune

Étape 1 : Télécharger le programme d'installation macOS depuis Level

Dans Level, ouvrez la Liste des appareils et cliquez sur Ajouter un nouvel appareil.
Sélectionnez macOS depuis le menu déroulant du système d'exploitation.
Ouvrez l' Installateur onglet.
Dans le menu déroulant d'architecture, sélectionnez ARM64 pour Apple Silicon ou x64 pour Intel.
Sélectionnez éventuellement un groupe d'appareils afin que la clé d'installation inclue l'identifiant du groupe.
Cliquez sur Télécharger le programme d'installation pour enregistrer le PKG.

🖥️ REMARQUE SUR LA PLATEFORME :

Apple Silicon (M1/M2/M3) : Téléchargez le paquet ARM64. C'est celui qui nécessite le compte de service à l'étape 4.
Intel : Téléchargez le paquet x64. Le PKG est spécifique à l'architecture, donc un paquet conçu pour une architecture ne s'installera pas sur l'autre.

⚠️ AVERTISSEMENT : Étant donné que chaque PKG est spécifique à l'architecture, un paquet ARM64 ne fonctionnera pas sur les Macs Intel et vice versa. Si vous gérez les deux, créez une application Intune distincte par architecture et limitez chaque affectation aux appareils correspondants.

Étape 2 : Créer l'application PKG dans Intune

Dans le centre d'administration Intune, accédez à Applications → macOS → Ajouter.
Pour Type d'application, sélectionnez Application macOS (PKG), puis cliquez sur Sélectionner.
Cliquez sur Sélectionner le fichier du paquet d'application, accédez au PKG que vous avez téléchargé, puis cliquez sur OK.
Sur la Informations sur l'application page, définissez le Éditeur (par exemple, Level) et choisissez une Catégorie tel que Gestion des ordinateurs. Cliquez sur Suivant.

Ajouter le script post-installation

Intune exécute le PKG avec un simple installer -pkg, qui installe l'agent mais ne l'enregistre pas auprès de votre compte Level. Le script post-installation est l'endroit où l'enregistrement se produit, en utilisant votre clé d'installation.

Collez votre commande d'enregistrement dans le script post-installation champ, puis cliquez sur Suivant.

⚠️ AVERTISSEMENT : La clé d'installation relie les nouveaux appareils à votre compte Level et (si vous avez sélectionné un groupe) au groupe cible. Traitez le script comme sensible et limitez les personnes pouvant lire la configuration de l'application Intune.

Définir les exigences et les règles de détection

Sur la Exigences page, définissez le système d'exploitation minimum pour correspondre au macOS le plus ancien que vous prenez réellement en charge. Level prend en charge macOS 11 (Big Sur) et versions ultérieures. Cliquez sur Suivant.
Sur la Règles de détection page, saisissez l'identifiant de bundle et la version de l'agent Level afin qu'Intune puisse déterminer si l'application est déjà installée :
- Identifiant de bundle de l'application : io.level.agent
- Version de l'application : la version de l'agent dans le PKG que vous avez téléchargé
Cliquez sur Suivant, vérifiez, puis cliquez sur Créer.

💡 CONSEIL : Vous pouvez lire la version installée sur n'importe quel Mac qui dispose déjà de l'agent avec defaults read /Applications/Level.app/Contents/Info CFBundleShortVersionString. Faites correspondre la version de détection d'Intune à la version du paquet que vous déployez.

Étape 3 : Déployer le profil PPPC pour les autorisations de confidentialité

macOS empêche Level d'effectuer des enregistrements d'écran, de contrôler la machine et de lire des fichiers jusqu'à ce que les autorisations de confidentialité correspondantes lui soient accordées. Un profil PPPC (Privacy Preferences Policy Control) déployé via Intune gère la plupart de ces autorisations sans que personne n'ait à toucher au Mac.

Level publie un exemple de profil officiel. Commencez par là : Télécharger Level - PPPC.mobileconfig

Le profil cible l'agent Level par identifiant de bundle (io.level.agent) et l'identifiant d'équipe (BNB82BTKXQ) et fait deux choses :

Accorde Accès complet au disque et Accessibilité silencieusement via la politique MDM.
Permet à un utilisateur standard (non-administrateur) d'approuver Enregistrement d'écran sans nécessiter d'informations d'identification administrateur.

⚠️ AVERTISSEMENT : Apple n'autorise pas le MDM à accorder Enregistrement d'écran ou Enregistrement audio système silencieusement. Le profil supprime uniquement l'exigence d'administrateur. Une personne doit toujours approuver l'enregistrement d'écran (et l'audio système, si vous utilisez l'audio pendant le contrôle à distance) sur chaque Mac la première fois. Prévoyez cela dans vos étapes d'intégration.

Pour le déployer via Intune :

Accédez à Appareils → macOS → Configuration → Créer → Nouvelle stratégie.
Définissez Type de profil à Modèles, choisissez Personnalisé, et cliquez sur Créer.
Donnez un Nom, puis cliquez sur Suivant.
Sur la page de configuration, définissez un Nom du profil de configuration personnalisé et téléchargez le .mobileconfig fichier. Cliquez sur Suivant.
Choisissez vos Affectations, cliquez sur Suivant, puis Créer.

Étape 4 : Créer le compte de service macOS (Apple Silicon uniquement)

Sur les Macs Apple Silicon, Level utilise un compte de service dédié pour déverrouiller FileVault et installer les mises à jour sans connexion interactive. Il est normalement créé lors d'une installation manuelle, mais une installation silencieuse via Intune ignore cette invite, vous devez donc le créer par la suite.

Le client qui a conçu ce flux de travail le fait avec une automatisation Level: une automatisation liée à un groupe qui exécute un court script sur chaque nouveau Mac du groupe cible, en récupérant les informations d'identification de l'administrateur autorisé depuis des champs personnalisés.

Configurer les champs personnalisés

Créez deux champs personnalisés (portée espace de travail, groupe ou appareil, selon la façon dont vos informations d'identification administrateur varient) et remplissez-les selon votre environnement :

cf_admin — le nom d'utilisateur d'un administrateur existant sur l'appareil
cf_admin_password — le mot de passe de cet administrateur

⚠️ AVERTISSEMENT : cf_admin et cf_admin_password sont les informations d'identification d'un existant administrateur qui autorise la création du compte de service. Il ne s'agit pas des informations d'identification propres au compte de service, et cet administrateur autorisateur doit détiennent un SecureToken. Si ce n'est pas le cas, la création échoue avec «Les informations d'identification administrateur fournies sont valides, mais le compte ne dispose pas d'un jeton sécurisé», même si les informations d'identification sont correctes. Consultez la section SecureToken de Compte de service macOS pour savoir comment en accorder un ou utiliser un jeton de démarrage MDM.

Le script

Ajoutez une Exécuter le script action à l'automatisation et collez ceci.

#!/bin/bash
/usr/local/bin/level --create-service-account --admin-name={{cf_admin}} --admin-password={{cf_admin_password}}
echo "Service account exit: $?"
echo "$(date '+%Y-%m-%d %H:%M:%S') done"

💡 CONSEIL : Protégez le script afin qu'il s'exécute sans effet sur les Macs Intel et les machines sur lesquelles le binaire n'est pas encore présent :

#!/bin/bash
if [ ! -x /usr/local/bin/level ]; then echo "Level not installed yet"; exit 0; fi
if [ "$(uname -m)" != "arm64" ]; then echo "Intel Mac, service account not needed"; exit 0; fi
/usr/local/bin/level --create-service-account --admin-name={{cf_admin}} --admin-password={{cf_admin_password}}
echo "Service account exit: $?"
echo "$(date '+%Y-%m-%d %H:%M:%S') done"

Le déclencher sur les nouveaux appareils

Limitez l'automatisation au groupe dans lequel arrivent vos Macs installés via Intune, et utilisez un déclencheur qui l'exécute une fois par appareil lors de son adhésion. Ainsi, chaque nouveau Mac voit son compte de service créé peu après l'inscription, sans étapes manuelles.

ℹ️ REMARQUE : --create-service-account n'a aucun effet sur les Macs Intel. Le compte n'est nécessaire que là où Level doit déverrouiller FileVault au démarrage, ce qui concerne le cas de gestion des correctifs sur Apple Silicon.

Étape 5 : Confirmer le déploiement

Synchronisez un Mac de test (Réglages système → Général → Gestion des appareils, ou attendez le prochain enregistrement).
Confirmez que l'agent est installé et que l'appareil apparaît dans votre Liste des appareils en quelques minutes.
Vérifiez que le profil PPPC est appliqué : l'accès complet au disque et l'accessibilité doivent apparaître comme accordés pour Level.
Demandez à quelqu'un d'approuver Enregistrement d'écran sur le Mac (Apple l'exige manuellement).
Sur Apple Silicon, confirmez que le compte de service existe. Vous pouvez vérifier depuis l'historique des exécutions de l'automatisation, ou exécuter sudo /usr/local/bin/level --check-service-account sur l'appareil.

ℹ️ REMARQUE : Si un Mac s'installe mais n'apparaît jamais dans Level, l'enregistrement post-installation est la cause habituelle, suivi par un outil AV/EDR bloquant l'agent. Voir Dépannage hors ligne et Fausses détections AV/EDR.

FAQ

Le PKG s'est installé mais le Mac n'est jamais apparu dans Level. Que s'est-il passé ? Presque toujours l'enregistrement post-installation. Le installer -pkg installe l'application mais ne l'enregistre pas ; donc si le script post-installation est manquant, incorrect ou contient une clé d'installation obsolète, l'agent s'installe mais ne se connecte jamais. Confirmez que le script a bien été exécuté et que la clé est à jour. Si l'enregistrement semble correct, vérifiez si un outil AV/EDR a mis l'agent en quarantaine.
Ai-je vraiment besoin du compte de service ? Uniquement sur Apple Silicon, et uniquement pour la gestion des correctifs. Le contrôle à distance, la surveillance et les scripts fonctionnent tous sans lui. Si vous n'utilisez pas Level pour installer des mises à jour macOS, vous pouvez entièrement ignorer l'étape 4.
Mon script de compte de service échoue même si le nom d'utilisateur et le mot de passe de l'administrateur sont corrects. Pourquoi ? L'administrateur autorisateur ne dispose presque certainement pas d'un SecureToken. macOS n'autorise pas un administrateur sans SecureToken à en accorder un à un autre compte, et le compte de service a besoin d'un jeton pour déverrouiller FileVault. Utilisez un administrateur qui dispose d'un SecureToken, ou accordez-en un via un jeton de démarrage MDM. L'article sur le compte de service macOS explique la solution.
Puis-je déployer sur Intel et Apple Silicon en même temps ? Pas avec une seule application. Le PKG est spécifique à l'architecture, donc créez une application Intune pour le paquet ARM64 et une autre pour x64, et affectez chacune aux appareils correspondants. Les règles de détection peuvent utiliser le même identifiant de bundle (io.level.agent) ; il suffit de faire correspondre la version à chaque paquet.
Pourquoi un technicien doit-il encore cliquer sur quelque chose pour l'enregistrement d'écran si le profil gère les autorisations ? Apple n'autorise pas le MDM à accorder l'enregistrement d'écran ou l'enregistrement audio système silencieusement. Le profil supprime l'exigence d'administrateur afin qu'un utilisateur standard puisse l'approuver, mais l'approbation elle-même reste manuelle. L'accès complet au disque et l'accessibilité s'appliquent bien silencieusement.
Où est-ce que je définis le groupe dans lequel arrivent les Macs ? Sélectionnez le groupe lorsque vous copiez la clé d'installation dans Level (Ajouter un nouvel appareil → macOS). L'identifiant du groupe est inclus dans la clé utilisée par votre script post-installation. Pour que les appareils arrivent dans différents groupes, utilisez une clé distincte par groupe.
Qui peut voir le mot de passe administrateur que j'ai stocké dans un champ personnalisé ? Toute personne ayant l'autorisation de consulter la portée de ce champ personnalisé, et cela peut apparaître dans la sortie des exécutions d'automatisation. Limitez la portée, restreignez l'accès, et préférez un administrateur local géré avec un jeton de démarrage plutôt qu'un mot de passe partagé dans la mesure du possible.

Installer via InTune sur macOS