Rendszerhéjszkriptek használata macOS-eszközökön az Intune-ban

Shell-szkriptek használatával bővítheti az Intune eszközkezelési képességeit a macOS operációs rendszer által támogatottakon túl.

Megjegyzés:

Az x64-es (Intel) verziójú alkalmazások Apple Silicon Mac gépeken történő futtatásához Rosetta 2 szükséges. Ha automatikusan szeretné telepíteni a Rosetta 2-t Apple Silicon Mac gépekre, üzembe helyezhet egy rendszerhéjszkriptet az Intune-ban. A mintaszkript megtekintéséhez lásd: Rosetta 2 telepítési szkript.

Előfeltételek

Gondoskodjon arról, hogy teljesüljenek az alábbi előfeltételek, amikor rendszerhéjszkripteket állít össze és társít macOS-eszközökhöz.

• Az eszközökön macOS 12.0 vagy újabb rendszer fut.
• Az eszközöket az Intune kezeli.
• Az eszközök közvetlenül kapcsolódnak az internethez. A proxyn keresztüli csatlakozás nem támogatott.
• A rendszerhéj-parancsfájlok érvényes #! helyen kezdődnek, és érvényes helyen kell lenniük, például #!/bin/sh a vagy #!/usr/bin/env zsh.
• A vonatkozó rendszerhéjak parancssori tolmácsai telepítve vannak.

Fontos szempontok a rendszerhéjszkriptek használata előtt

• A rendszerhéj-parancsfájlok használatához a Microsoft Intune felügyeleti ügynököt sikeresen telepíteni kell a macOS-eszközön. További információ: Microsoft Intune Management Agent for macOS.
• A rendszerhéjszkriptek párhuzamosan futnak az eszközökön, külön folyamatokként.
• A bejelentkezett felhasználóként futó rendszerhéj-parancsfájlok a futtatás időpontjában az összes jelenleg bejelentkezett felhasználói fiókon futnak az eszközön.
• A bejelentkezett felhasználóként futó parancsfájlok végrehajtásához egy végfelhasználónak be kell jelentkeznie az eszközön.
• A legfelső szintű felhasználói jogosultságokra akkor van szükség, ha a parancsfájl olyan módosításokat igényel, amelyekre egy általános jogú felhasználói fiók nem képes.
• A rendszerhéj-parancsfájlok bizonyos körülmények között megpróbálnak a kiválasztott parancsfájl-gyakoriságnál gyakrabban futni, például ha a lemez megtelt, ha illetéktelenül használják a tárolási helyet, ha törlik a helyi gyorsítótárat, vagy ha a Mac-eszköz újraindul.
• A 60 percnél hosszabb ideig futó parancsfájlokat a rendszer leállítja, és "sikertelenként" jelzi.

Rendszerhéjszkript-házirend létrehozása és hozzárendelése

1. Jelentkezzen be a Microsoft Intune felügyeleti központba.

2. Eszközök>kiválasztása platform>> szerint macOSEszközök> kezeléseParancsfájlok>hozzáadása lehetőséget.

3. Az Alapvető adatok területen adja meg a következő tulajdonságokat, majd válassza a Tovább gombot:

   • Név: Adja meg a rendszerhéjszkript nevét.
   • Leírás: Adja meg a rendszerhéjszkript leírását. A beállítás használata nem kötelező, de ajánlott.

4. A Szkriptbeállítások területen adja meg a következő tulajdonságokat, és válassza a Tovább gombot:

   • Szkript feltöltése: Tallózással keresse meg a rendszerhéjszkriptet. A parancsfájl legfeljebb 1 MB méretű lehet.
   • Parancsfájl futtatása bejelentkezett felhasználóként: Válassza az Igen lehetőséget a szkript futtatásához a felhasználó hitelesítő adataival az eszközön. Válassza a Nem (alapértelmezett) lehetőséget a parancsfájl legfelső szintű felhasználóként való futtatásához.
   • Parancsfájl-értesítések elrejtése az eszközökön: Alapértelmezés szerint minden futtatott szkript után megjelennek a szkriptértesítések. A végfelhasználók láthatják, hogy az informatikai részleg konfigurálja a számítógép értesítését az Intune-ból macOS-eszközökön.
   • Szkript gyakorisága: Adja meg, milyen gyakran fusson a parancsfájl. Ha csak egyszer szeretne futtatni egy szkriptet, válassza a Nincs konfigurálva (alapértelmezett) lehetőséget. A beállított gyakoriságú parancsfájlok az eszköz újraindítása után is futni fognak.
   • Az újrapróbálkozások maximális száma a parancsprogram meghiúsulása esetén: Adja meg, hogy hányszor fusson le a parancsfájl, ha nullától eltérő kilépési kódot ad vissza (a nulla azt jelenti, hogy sikeres). A Nincs konfigurálva (alapértelmezett) lehetőséget választva a parancsfájl meghiúsulásakor nem próbálkozik újra.

5. A Hatókörcímkék területen szükség esetén adjon hozzá hatókörcímkéket a szkripthez, és válassza a Tovább gombot. Hatókörcímkék használatával meghatározhatja, hogy ki láthatja a szkripteket az Intune-ban. A hatókörcímkékkel kapcsolatos részletes információkért lásd: Szerepköralapú hozzáférés-vezérlés és hatókörcímkék használata elosztott informatikai rendszerekhez.

6. Feladatok kiválasztása Válassza>ki a felvenni kívánt csoportokat. Megjelenik a Microsoft Entra-csoportok meglévő listája. Jelöljön ki egy vagy több felhasználói vagy eszközcsoportot, amely megkapja a parancsfájlt. Válassza a Kijelölés elemet. A kiválasztott csoportok megjelennek a listában, és megkapja a szkriptházirendet.

   Megjegyzés:

   • A felhasználói csoportokhoz rendelt rendszerhéjszkriptek a Mac gépre bejelentkező összes felhasználóra érvényesek.
   • A rendszerhéjszkriptek hozzárendeléseinek frissítése a macOS rendszerhez készült Microsoft Intune MDM Agent hozzárendeléseit is frissíti.

7. A Véleményezés + hozzáadás területen látható a konfigurált beállítások összegzése. Válassza a Hozzáadás lehetőséget a szkript mentéséhez. Amikor a Hozzáadás lehetőséget választja, a rendszer a parancsfájl-házirendet a kiválasztott csoportokra helyezi.

A létrehozott szkript megjelenik a szkriptek listájában. Szükség esetén megtekintheti a macOS-rendszerhéjszkriptek tartalmát, miután feltöltötte őket az Intune-ba.

Rendszerhéj-parancsprogram-házirend figyelése

A felhasználókhoz és eszközökhöz rendelt parancsfájlok futtatási állapotát az alábbi jelentések egyikének kiválasztásával figyelheti:

• Parancsfájlok>A figyelni >kívánt szkript kiválasztásaEszközállapot
• Parancsfájlok>A figyelni >kívánt szkript kiválasztásaFelhasználó állapota

Fontos

A kijelölt parancsfájl gyakoriságától függetlenül a parancsfájl futtatási állapota csak akkor jelenik meg, ha az állapot megváltozik az utolsóhoz képest. Ha például egy szkript az egyik futtatáskor a sikerességet, a másikban pedig hibát jelent, az Intune az aktuális futtatási információkkal frissíti az állapotot és az utolsó frissítés időbélyegzőjét is. Ha a szkript állapota nem változik a szinkronizálások között, az Intune a kezdeti futtatástól számított 7 naponta frissíti az utolsó frissítés időbélyegzőjét.

Miután egy parancsfájl lefut, az alábbi állapotok egyikét adja vissza:

• A Sikertelen parancsfájl futtatási állapot azt jelzi, hogy a parancsfájl nem nulla kilépési kódot adott vissza, vagy a parancsfájl formátuma hibás.
• A Sikeres parancsfájl futtatási állapota azt jelezte, hogy a parancsfájl nulla értéket adott vissza kilépési kódként.

A macOS rendszerhéj-szkriptházirendek hibaelhárítása naplógyűjtés használatával

Az eszköznaplók gyűjtésével segítheti a parancsfájlokkal kapcsolatos hibák elhárítását macOS-eszközökön.

A naplógyűjtés követelményei

A következő elemekre van szükség a naplók gyűjtéséhez macOS-eszközökön:

• Meg kell adnia a teljes abszolút naplófájl elérési útját.
• A fájlok elérési útjait pontosvesszővel (;) kell elválasztani.
• A feltölthető naplófájl maximális mérete 60 MB (tömörített) vagy 25 fájl (amelyik előbb bekövetkezik).
• A naplógyűjtéshez engedélyezett fájltípusok közé tartoznak a következő kiterjesztések: .log, .zip, .gz, .tar, .txt, .xml, .crash .rtf

Eszköznaplók gyűjtése

1. Jelentkezzen be a Microsoft Intune felügyeleti központba.

2. Navigáljon az Eszközök>lehetőséghez: Eszközök> kezeléseSzkriptek és szervizelési> lehetőségekPlatformszkriptek, és válasszon ki egy macOS-rendszerhéjszkriptet.

3. Az Eszközállapot vagy a Felhasználói állapot jelentésben válasszon ki egy eszközt.

4. Válassza a Naplók gyűjtése lehetőséget, adja meg a naplófájlok elérési útját, pontosvesszővel (;) szóközök és sorok nélkül elválasztva az elérési utak között.
   Ha például több elérési utat kell megadni./Path/to/logfile1.zip;/Path/to/logfile2.log

   Fontos

   Ha több, vesszővel, ponttal, új sorral vagy idézőjellel vannak elválasztva egymástól, vagy ezek között naplógyűjtési hibát okoz. Szóközök sem használhatók elválasztóként az útvonalak között.

5. Kattintson az OK gombra. A naplókat a rendszer akkor gyűjti össze, amikor az eszközön lévő Intune felügyeleti ügynök legközelebb bejelentkezik az Intune-ba. Ez a bejelentkezés általában 8 óránként történik.

   Megjegyzés:

   • Az összegyűjtött naplók titkosítva jelennek meg az eszközön, és 30 napig továbbítjuk és tároljuk a Microsoft Azure Storage-ban. A tárolt naplókat a rendszer igény szerint visszafejti és letölti a Microsoft Intune Felügyeleti központ használatával.
   • A rendszergazda által megadott naplók mellett az Intune felügyeleti ügynök naplóit is gyűjtjük a következő mappákból: /Library/Logs/Microsoft/Intune és ~/Library/Logs/Microsoft/Intune. Az ügynöknapló fájlneve IntuneMDMDaemon date--time.log és .IntuneMDMAgent date--time.log
   • Ha valamelyik rendszergazda által megadott fájl hiányzik vagy nem megfelelő a fájlkiterjesztése, az alábbi fájlneveket megtalálja a listában LogCollectionInfo.txt.

Naplógyűjtési hibák

A naplógyűjtés az alábbi táblázatban megadott következő okok miatt lehet sikertelen. A hibák elhárításához kövesse a szervizelési lépéseket.

Hibakód (hexadecimális)	Hibakód (dec)	Hibaüzenet	Szervizelési lépések
0X87D300D1	2016214834	A naplófájl mérete nem haladhatja meg a 60 MB-ot.	Győződjön meg arról, hogy a tömörített naplók mérete nem éri el a 60 MB-ot.
0X87D300D1	2016214831	A megadott naplófájl elérési útjának léteznie kell. A rendszerfelhasználó mappa érvénytelen hely a naplófájlok számára.	Győződjön meg arról, hogy a megadott elérési út érvényes és elérhető.
0X87D300D2	2016214830	A naplógyűjtemény fájlfeltöltése nem sikerült, mert a feltöltési URL-cím lejárta miatt nem sikerült.	Próbálja meg újra a Naplók gyűjtése műveletet.
0X87D300D3, 0X87D300D5, 0X87D300D7	2016214829, 2016214827, 2016214825	A naplógyűjtő fájl feltöltése titkosítási hiba miatt nem sikerült. Próbálja meg újra a naplófeltöltést.	Próbálja meg újra a Naplók gyűjtése műveletet.
	2016214828	A naplófájlok száma túllépte a megengedett 25 fájlos korlátot.	Egyszerre legfeljebb 25 naplófájl gyűjthető.
0X87D300D6	2016214826	A naplógyűjtemény fájlfeltöltése zip-hiba miatt nem sikerült. Próbálja meg újra a naplófeltöltést.	Próbálja meg újra a Naplók gyűjtése műveletet.
	2016214740	A naplókat nem lehetett titkosítani, mert nem találhatók tömörített naplók.	Próbálja meg újra a Naplók gyűjtése műveletet.
	2016214739	A naplókat a rendszer összegyűjtötte, de nem lehetett őket tárolni.	Próbálja meg újra a Naplók gyűjtése műveletet.

Egyéni attribútumok macOS rendszerhez

Létrehozhat egyéni attribútumprofilokat, amelyek lehetővé teszik, hogy rendszerhéjszkriptek használatával egyéni tulajdonságokat gyűjtsön felügyelt macOS-eszközökről.

Egyéni attribútum létrehozása és hozzárendelése macOS-eszközökhöz

1. Jelentkezzen be a Microsoft Intune felügyeleti központba.

2. Eszközök>kiválasztása platform> szerintmacOS>Eszközök>rendszerezése Egyéni attribútumok macOS>Hozzáadás menüpontra.

3. Az Alapvető adatok területen adja meg a következő tulajdonságokat, majd válassza a Tovább gombot:

   • Név: Adja meg a szkript nevét.
   • Leírás: Adja meg a szkript leírását. A beállítás használata nem kötelező, de ajánlott.

4. Az Attribútumbeállítások területen adja meg a következő tulajdonságokat, majd válassza a Tovább gombot:

   • Az attribútum adattípusa: Válassza ki a parancsfájl által visszaadott eredmény adattípusát. Az elérhető értékek a következők: Karakterlánc, Egész szám és Dátum.
   • Parancsfájl: Válasszon ki egy szkriptfájlt.

   További részletek:

   • A rendszerhéj-szkriptnek meg kell ismételnie a jelenteni kívánt attribútumot, és a kimenet adattípusának meg kell egyeznie az egyéni attribútumprofilban lévő attribútum adattípusával.
   • A rendszerhéj-parancsfájl által visszaadott eredménynek legfeljebb 20 KB-nak kell lennie.

   Megjegyzés:

   Típusattribútumok használatakor Date győződjön meg arról, hogy a rendszerhéjparancsfájl ISO-8601 formátumban adja vissza a dátumokat. Tekintse meg az alábbi példákat.

   Az ISO-8601 szabványnak megfelelő dátum nyomtatása időzónával:

   #!/bin/sh
   var=$(date +"%Y-%m-%dT%H:%M:%S%z")
   echo $var # Prints an ISO-8601 compliant date with time-zone
   

   Az ISO-8601 szabványnak megfelelő dátum nyomtatása UTC idő szerint:

   #!/bin/sh
   var=$(date -u +"%Y-%m-%dT%H:%M:%SZ")
   echo $var # Prints an ISO-8601 compliant date in UTC time
   

5. A Feladatok ablakban kattintson a Felvenni kívánt csoportok kijelölése elemre. Ha a Csoportok kijelölése lehetőséget választja a Microsoft Entra-csoportok meglévő listájának felvételéhez, megjelenik a csoport. Jelöljön ki egy vagy több felhasználói vagy eszközcsoportot, amely megkapja a parancsfájlt. Válassza a Kijelölés elemet. A kiválasztott csoportok megjelennek a listában, és megkapja a szkriptházirendet. Másik lehetőségként választhatja a Minden felhasználó, a Minden eszköz vagy a Minden felhasználó és minden eszköz lehetőséget a Hozzárendelés mező melletti legördülő listában.

   Megjegyzés:

   • A felhasználói csoportokhoz rendelt parancsprogramok a Mac gépre bejelentkező összes felhasználóra vonatkoznak.

6. A Véleményezés + hozzáadás területen látható a konfigurált beállítások összegzése. Válassza a Hozzáadás lehetőséget a szkript mentéséhez. Amikor a Hozzáadás lehetőséget választja, a rendszer a parancsfájl-házirendet a kiválasztott csoportokra helyezi.

A létrehozott parancsfájl megjelenik az egyéni attribútumok listájában. Szükség esetén megtekintheti az egyéni attribútumok tartalmát, miután feltöltötte őket az Intune-ba.

Egyéni attribútumházirend figyelése

A felhasználókhoz és az eszközökhöz rendelt összes egyéni attribútumprofil futási állapotát az alábbi jelentések egyikének kiválasztásával figyelheti:

• Egyéni attribútumok>A figyelni >kívánt egyéni attribútumprofil kiválasztásaEszközállapot
• Egyéni attribútumok>A figyelni >kívánt egyéni attribútumprofil kiválasztásaFelhasználó állapota

Fontos

Az egyéni attribútumprofilokban biztosított rendszerhéj-szkriptek 8 óránként futnak a felügyelt Mac gépeken, és jelentéseket készítenek.

Miután egy egyéni attribútumprofil fut, az alábbi állapotok egyikét adja vissza:

• A Sikertelen állapot azt jelzi, hogy a parancsfájl nem nulla kilépési kódot adott vissza, vagy a parancsfájl formátuma hibás. A hiba az Eredmény oszlopban látható.
• Mivel a Sikeres állapot azt jelzi, hogy a parancsfájl nulla értéket adott vissza kilépési kódként. A szkript által visszhangzott kimenet az Eredmény oszlopban látható.

Gyakori kérdések

Miért nem futnak a hozzárendelt rendszerhéjszkriptek az eszközön?

Ennek több oka lehet:

• Előfordulhat, hogy az ügynöknek be kell jelentkeznie, hogy új vagy frissített szkripteket kapjon. Ez a bejelentkezési folyamat 8 óránként történik, és eltér az MDM bejelentkezésétől. Győződjön meg arról, hogy az eszköz nincs alvó állapotban, és csatlakozik egy hálózathoz a sikeres ügynök-bejelentkezéshez, és várja meg, amíg az ügynök bejelentkezik. Arra is megkérheti a végfelhasználót, hogy nyissa meg a Céges portál alkalmazást a Mac gépen, jelölje ki az eszközt, és kattintson a Beállítások ellenőrzése elemre.
• Lehet, hogy az ügynök nincs telepítve. Ellenőrizze, hogy az ügynök telepítve /Library/Intune/Microsoft Intune Agent.app van-e a macOS-eszközön.
• Lehet, hogy az ügynök nincs kifogástalan állapotban. Az ügynök 24 órán keresztül próbálja helyreállítani magát, eltávolítani magát, majd újratelepíteni, ha a rendszerhéjszkriptek továbbra is hozzá vannak rendelve.

Milyen gyakran jelenti a rendszer a parancsfájl futtatásának állapotát?

A parancsfájl futtatásának befejeződése után a rendszer jelenti a parancsfájl futtatási állapotát a Microsoft Intune Felügyeleti központnak. Ha egy parancsfájl időközönként, meghatározott gyakorisággal történő futtatásra van ütemezve, akkor csak az első futtatáskor jelenti az állapotot.

Mikor futnak újra a rendszerhéj-parancsfájlok?

Egy parancsfájl csak akkor fut újra, ha a Maximális újrapróbálkozási alkalom ha a parancsprogram sikertelenné válik, és a parancsfájl sikertelen a futtatáskor beállítás konfigurálva van. Ha nincs konfigurálva az újrapróbálkozások maximális száma parancsfájl sikertelensége esetén, és egy parancsfájl futása meghiúsul, akkor nem fog újraindulni, és a futtatás állapotát sikertelenként fogja jelezni.

Milyen Intune-szerepkörengedélyek szükségesek a rendszerhéjszkriptekhez?

A hozzárendelt Intune szerepkörhöz eszközkonfigurációs engedélyekre van szükség a rendszerhéjszkriptek törléséhez, hozzárendeléséhez, létrehozásához, frissítéséhez vagy olvasásához.

Ismert problémák

• Nincs szkript futtatásának állapota: Abban a valószínűtlen esetben, ha parancsfájl érkezik az eszközön, és az eszköz offline állapotba lép, mielőtt jelentés érkezne a futtatási állapotának, az eszköz nem jelenti a parancsfájl futtatási állapotát a felügyeleti központban.

További információk

Amikor rendszerhéjszkripteket vagy egyéni attribútumokat telepít macOS-eszközökre a Microsoft Intune-ból, az az Intune felügyeleti ügynökalkalmazás új, univerzális verzióját helyezi üzembe, amely natív módon fut az Apple Silicon Mac gépeken. Ugyanez a központi telepítés Intel Mac gépekre is telepíti az alkalmazás x64-es verzióját. Az x64-es (Intel) verziójú alkalmazások Apple Silicon Mac gépeken történő futtatásához Rosetta 2 szükséges. Ha automatikusan szeretné telepíteni a Rosetta 2-t Apple Silicon Mac gépekre, üzembe helyezhet egy rendszerhéjszkriptet az Intune-ban. A mintaszkript megtekintéséhez lásd: Rosetta 2 telepítési szkript.

Következő lépések

• Megfelelőségi szabályzat létrehozása a Microsoft Intune-ban