Добавление системных расширений и расширений ядра macOS в Intune

На устройствах с macOS можно добавить расширения ядра и системные расширения. Как расширения ядра, так и системные расширения позволяют пользователям устанавливать расширения приложений, расширяющие собственные возможности операционной системы. Расширения ядра выполняют свой код на уровне ядра. Системные расширения работают в строго контролируемом пользовательском пространстве.

Примечание.

Расширения ядра macOS заменяются системными расширениями. Дополнительные сведения см. в разделе Совет поддержки: использование системных расширений вместо расширений ядра для macOS Catalina 10.15 в Intune.

Чтобы добавить расширения, которые всегда могут загружаться на ваши устройства, используйте Microsoft Intune. Intune использует профили конфигурации для создания и настройки этих параметров для вашей организации. После добавления этих функций в политику вы развертываете политику на устройствах macOS в вашей организации.

Данная функция применяется к:

  • macOS

В этой статье описаны расширения системы и ядра. Здесь также показано, как создать политику конфигурации устройства с помощью расширений ядра в Intune.

Системные расширения

Системные расширения запускаются в пользовательском пространстве и не обращаются к ядру. Их цель — повысить безопасность, предоставить конечным пользователям больше контроля и ограничить атаки на уровне ядра. Этими расширениями могут быть:

  • Расширения драйверов, включая драйверы на USB, сетевые карты (NIC), последовательные контроллеры и устройства HID (HID)
  • Сетевые расширения, включая фильтры содержимого, DNS-прокси и VPN-клиенты
  • Расширения безопасности конечных точек, включая обнаружение конечных точек, реагирование на конечные точки и антивирусную программу

Системные расширения включаются в пакет приложения и устанавливаются из приложения. В частности, вы пишете расширение системы, а затем упаковываете расширение в пакет приложений. Дополнительные сведения см. в разделе "Расширения системы " (откроется веб-сайт Apple).

Когда приложение с расширением для системы будет готово, его можно развернуть с помощью Microsoft Intune. Дополнительные сведения см. в статье "Добавление приложений в Microsoft Intune".

Расширения ядра

Примечание.

Расширения ядра macOS заменяются системными расширениями. Дополнительные сведения см. в разделе Совет поддержки: использование системных расширений вместо расширений ядра для macOS Catalina 10.15 в Intune.

Расширения ядра добавляют функции на уровне ядра. Эти функции обращаются к тем частям операционной системы, к которым недоступны обычные программы. Их можно использовать, если у вашей организации есть особые потребности или требования, недоступные в приложении или компоненте устройства.

Например, у вас есть антивирусная программа, которая проверяет ваше устройство на наличие вредоносного содержимого. Вы можете добавить расширение ядра этой программы проверки на вирусы в качестве разрешенного расширения ядра в Intune. Затем назначьте расширение устройствам macOS.

С помощью этой функции администраторы могут разрешить пользователям переопределять расширения ядра, добавлять идентификаторы команд и добавлять определенные расширения ядра в Intune.

Для получения дополнительной информации о расширениях ядра перейдите в раздел расширений ядра (открывает веб-сайт Apple).

Важно!

Расширения ядра не работают на устройствах macOS с микросхемой M1, то есть устройствах macOS на процессорах Apple Silicon. Это поведение является известной проблемой, у которой нет значения времени прибытия. Вы можете заставить их работать, но делать это не рекомендуется. Дополнительные сведения см. в разделе "Расширения ядра в macOS " (открывает веб-сайт Apple).

Для любых устройств macOS под управлением версии 10.15 и более поздних версий рекомендуется использовать системные расширения (в этой статье). Если вы используете параметры расширений ядра, рассмотрите возможность исключения устройств macOS с микросхемами M1 из получения профиля расширений ядра.

Предварительные условия

Что необходимо знать

  • Можно добавлять неподписанные устаревшие расширения ядра и системные расширения.
  • Убедитесь, что введен правильный идентификатор группы и идентификатор пакета расширения. Intune не проверяет введенные значения. Если ввести неверные сведения, расширение не будет работать на устройстве. Идентификатор команды состоит из 10 букв и цифр.

Примечание.

Apple обнародовала информацию о подписании и нотариальном заверении всего программного обеспечения. В macOS 10.14.5 и более поздних версиях расширения ядра, развернутые с помощью Intune, не должны соответствовать политике нотариального заверения Apple.

Сведения об этой политике нотариального заверения, а также о любых обновлениях или изменениях см. в следующих ресурсах:

Создание политики расширения ядра

Важно!

Этот шаблон расширений macOS не рекомендуется использовать в выпуске службы за август 2024 г. (2408). Существующие политики продолжают работать. Но с помощью этого шаблона нельзя создавать новые политики.

Вместо этого используйте каталог параметров для создания новых политик, которые настраивают полезную нагрузку расширения системы. Дополнительные сведения о каталоге параметров см. в каталоге параметров.

  1. Войдите в Центр администрирования Microsoft Intune.

  2. Выберите Устройства>Управление устройствами>Конфигурация>Создать>Новая политика.

  3. Укажите следующие свойства:

    • Платформа: выберите macOS
    • Тип профиля: Выберитерасширения шаблонов>.

  4. Нажмите Создать.

  5. В разделе Основные укажите следующие свойства.

    • Имя: введите понятное имя для политики. Назначьте имена политикам, чтобы можно было легко различать их. Например, хорошее имя политики — сканирование macOS-AV с помощью расширений ядра.
    • Описание: введите описание политики. Этот необязательный параметр, но мы рекомендуем его использовать.

  6. Нажмите кнопку Далее.

  7. В разделе "Параметры конфигурации" настройте следующие параметры:

  8. Нажмите кнопку Далее.

  9. В поле Теги области (необязательно) назначьте тег для фильтрации профиля по конкретным ИТ-группам, например US-NC IT Team или JohnGlenn_ITDepartment. Дополнительные сведения о тегах областей см. в статье Использование RBAC и тегов областей для распределенных ИТ-служб.

    Нажмите кнопку Далее.

  10. В поле Назначения выберите пользователей или группы, которые будет принимать ваш профиль. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств.

    Нажмите кнопку Далее.

  11. Проверьте параметры в окне Проверка и создание. При выборе Создать внесенные изменения сохраняются и назначается профиль. Политика также отображается в списке профилей.

Ресурсы

Не забудьте назначить профиль и отслеживать его состояние.

  • Last updated on