如何將用戶端部署至 Mac
適用於：Configuration Manager (目前的分支)
重要事項
從 2022 年 1 月開始，Configuration Manager的這項功能已被取代。 如需詳細資訊，請參閱 Mac 電腦。
本文說明如何在 Mac 電腦上部署和維護Configuration Manager用戶端。 若要瞭解將用戶端部署至 Mac 電腦之前必須設定的專案，請參閱 準備將用戶端軟體部署至 Mac。
當您安裝 Mac 電腦的新用戶端時，可能也必須安裝Configuration Manager更新，以反映 Configuration Manager 主控台中的新用戶端資訊。
在這些程式中，您有兩個安裝用戶端憑證的選項。 如需 Mac 用戶端憑證的詳細資訊，請參閱準備將用戶端軟體部署至 Mac。
使用CMEnroll 工具Configuration Manager註冊。 註冊程式不支援自動更新憑證。 在安裝的憑證到期之前重新註冊 Mac 電腦。
重要事項
若要將用戶端部署到執行 macOS Sierra 的裝置，請正確設定管理點憑證的 主體名稱 。 例如，使用管理點伺服器的 FQDN。
設定用戶端設定
使用 預設用戶端設定 來設定 Mac 電腦的註冊。 您無法使用自訂用戶端設定。 若要要求並安裝憑證，mac Configuration Manager用戶端需要預設的用戶端設定。
在 Configuration Manager 主控台中，移至 [系統管理] 工作區。 選取 [ 用戶端設定] 節點 ，然後選取 [ 預設用戶端設定]。
在功能區的 [ 常用] 索引標籤上，選擇 [ 屬性 ] 群組中的 [ 屬性]。
選取 [ 註冊] 區段，然後設定下列設定：
允許使用者註冊行動裝置和 Mac 電腦： 是
註冊設定檔： 選擇 [設定設定檔]。
在 [ 行動裝置註冊設定檔 ] 對話方塊中，選擇 [ 建立]。
在 [ 建立註冊設定檔 ] 對話方塊中，輸入此註冊設定檔的名稱。 然後設定 管理月臺碼。 選取Configuration Manager主要月臺，其中包含這些 Mac 電腦的管理點。
注意事項
如果您無法選取網站，請確定您在月臺中至少設定一個管理點以支援行動裝置。
選擇 [新增]。
在 [ 為行動裝置新增憑證授權單位單位 ] 視窗中，選取核發憑證給 Mac 電腦的憑證授權單位單位伺服器。
在 [ 建立註冊設定檔 ] 對話方塊中，選取您先前建立的 Mac 電腦憑證範本。
選取 [確定 ] 以關閉 [ 註冊設定檔 ] 對話方塊，然後選取 [ 預設用戶端設定 ] 對話方塊。
提示
如果您想要變更用戶端原則間隔，請使用用戶端原則用戶端設定群組中的客戶端原則輪詢間隔。
下次裝置下載用戶端原則時，Configuration Manager為所有使用者套用這些設定。 若要起始單一用戶端的原則擷取，請參閱起始Configuration Manager用戶端的原則擷取。
除了註冊用戶端設定之外，請確定您已設定下列用戶端裝置設定：
硬體清查：如果您想要從 Mac 和 Windows 用戶端電腦收集硬體清查，請啟用並設定此功能。 如需詳細資訊，請 參閱如何擴充硬體清查。
合規性設定：如果您想要評估和補救 Mac 和 Windows 用戶端電腦上的設定，請啟用和設定此功能。 如需詳細資訊，請參閱 規劃和設定合規性設定。
如需詳細資訊，請參閱 如何設定用戶端設定。
下載 macOS 版用戶端
注意事項
macOS 用戶端安裝套件不適用於新的部署，但在 2022 年 12 月 31 日之前支援現有的部署。
將 ConfigmgrMacClient.msi 儲存至執行 Windows 的電腦。 此檔案不在Configuration Manager安裝媒體上。
在 Windows 電腦上執行安裝程式。 將 Mac 用戶端套件 Macclient.dmg解壓縮到本機磁片上的資料夾。 預設路徑為
C:\Program Files\Microsoft\System Center Configuration Manager for Mac client。將 Macclient.dmg 檔案複製到 Mac 電腦上的資料夾。
在 Mac 電腦上，執行 Macclient.dmg 將檔案解壓縮到本機磁片上的資料夾。
在 資料夾中，確定它包含下列檔案：
Ccmsetup：使用CMClient.pkg在 Mac 電腦上安裝 Configuration Manager 用戶端
CMDiagnostics：收集與 Mac 電腦上Configuration Manager用戶端相關的診斷資訊
CMUninstall：從 Mac 電腦卸載用戶端
CMAppUtil：將 Apple 應用程式套件轉換成可部署為Configuration Manager應用程式的格式
CMEnroll：要求並安裝 Mac 電腦的用戶端憑證，讓您接著可以安裝Configuration Manager用戶端
註冊 Mac 用戶端
使用 Mac 電腦註冊精靈註冊個別用戶端。
若要自動註冊許多用戶端，請使用 CMEnroll 工具。
使用 Mac 電腦註冊精靈註冊用戶端
安裝用戶端之後，[電腦註冊精靈] 隨即開啟。 若要手動啟動精靈，請從 [Configuration Manager喜好設定] 頁面選取 [註冊]。
在精靈的第二個頁面上，提供下列資訊：
使用者名稱：使用者名稱可以是下列格式：
domain\name. 例如：contoso\mnorthuser@domain. 例如：mnorth@contoso.com重要事項
當您使用電子郵件地址填入 [使用者名稱]欄位時，Configuration Manager自動填入 [伺服器名稱] 字段。 它會使用註冊 Proxy 點伺服器的預設名稱和電子郵件地址的功能變數名稱。 如果這些名稱不符合註冊 Proxy 點伺服器的名稱，請在註冊期間修正 伺服器名稱 。
使用者名稱和對應的密碼必須符合在 Mac 用戶端憑證範本上具有 讀 取和 註冊 許可權的 Active Directory 使用者帳戶。
伺服器名稱：註冊 Proxy 點伺服器的名稱。
使用 CMEnroll 進行用戶端和憑證自動化
使用此程式來自動化用戶端安裝，以及使用 CMEnroll 工具要求和註冊用戶端憑證。 若要執行此工具，您必須擁有 Active Directory 使用者帳戶。
在 Mac 電腦上，流覽至您擷取 Macclient.dmg 檔案內容的資料夾。
輸入下列命令：
sudo ./ccmsetup等候您看到 [ 已完成] 安裝 訊息。 雖然安裝程式會顯示您必須立即重新開機的訊息，但請勿重新開機，並繼續進行下一個步驟。
從 Mac 電腦上的 [ 工具 ] 資料夾中，輸入下列命令：
sudo ./CMEnroll -s <enrollment_proxy_server_name> -ignorecertchainvalidation -u '<user_name>'用戶端安裝之後，[Mac 電腦註冊精靈] 隨即開啟，以協助您註冊 Mac 電腦。 如需詳細資訊，請參閱 使用 Mac 電腦註冊精靈註冊用戶端。
範例：如果註冊 Proxy 點伺服器名為 server02.contoso.com，且您授與 Mac 用戶端憑證範本的 contoso\mnorth 許可權，請輸入下列命令：
sudo ./CMEnroll -s server02.contoso.com -ignorecertchainvalidation -u 'contoso\mnorth'注意事項
如果使用者名稱包含下列任何字元，註冊就會失敗：
<>"+=,。 使用頻外憑證搭配不包含這些字元的使用者名稱。如需更順暢的使用者體驗，請編寫安裝步驟的腳本。 然後使用者只需要提供其使用者名稱和密碼。
輸入 Active Directory 使用者帳戶的密碼。 當您輸入此命令時，它會提示輸入兩個密碼。 第一個密碼是讓進階使用者帳戶執行命令。 第二個提示是針對 Active Directory 使用者帳戶。 提示看起來完全相同，因此請確定您以正確的順序指定它們。
等到您看到 已成功註冊 的訊息。
若要將已註冊的憑證限制為Configuration Manager，請在 Mac 電腦上開啟終端機視窗並進行下列變更：
輸入命令
sudo /Applications/Utilities/Keychain Access.app/Contents/MacOS/Keychain Access在 [ 金鑰鏈存取] 視窗的 [ Keychains] 區 段中，選擇 [ 系統]。 然後在 [ 類別] 區 段中，選擇 [ 索引鍵]。
展開金鑰以檢視用戶端憑證。 尋找已安裝私密金鑰的憑證，然後開啟金鑰。
在 [存取控制] 索引標籤上，選擇 [在允許存取之前先確認]。
流覽至/Library/Application Support/Microsoft/CCM，選取[CCMClient]，然後選擇 [新增]。
選擇 [儲存變更 ] 並關閉 [ 金鑰鏈存取] 對話方塊。
重新開機 Mac 電腦。
若要確認用戶端安裝是否成功，請在 Mac 電腦的[系統喜好設定] 中開啟Configuration Manager專案。 同時更新並檢視 Configuration Manager 主控台中的[所有系統] 集合。 確認 Mac 電腦在此集合中顯示為受控用戶端。
提示
若要協助針對 Mac 用戶端進行疑難排解，請使用 Mac 用戶端套件隨附的 CMDiagnostics 工具。 使用它來收集下列診斷資訊：
- 執行中進程的清單
- macOS X 作業系統版本
- 與Configuration Manager用戶端相關的 macOS X 損毀報告，包括CCM*.crash和System Preference.crash。
- BOM () 檔案和屬性清單 (.plist) 由Configuration Manager用戶端安裝所建立的檔案。
- /Library/Application Support/Microsoft/CCM/Logs資料夾的內容。
CmDiagnostics 所收集的資訊會新增至 ZIP 檔案，該檔案會儲存至電腦的桌面，並命名為 cmdiag-<hostname>-<datetime>.zip
管理Configuration Manager外部的憑證
您可以使用與Configuration Manager無關的憑證要求和安裝方法。 使用相同的一般程式，但包含下列其他步驟：
當您安裝Configuration Manager用戶端時，請使用MP和SubjectName命令列選項。 輸入下列命令：
sudo ./ccmsetup -MP <management point internet FQDN> -SubjectName <certificate subject name>。 憑證主體名稱會區分大小寫，因此請鍵入它，如同其在憑證詳細資料中所顯示的一樣。範例：管理點的網際網路 FQDN server03.contoso.com。 Mac 用戶端憑證的 FQDN mac12.contoso.com 為憑證主體中的一般名稱。 使用下列命令：
sudo ./ccmsetup -MP server03.contoso.com -SubjectName mac12.contoso.com如果您有多個包含相同主體值的憑證，請指定要用於Configuration Manager用戶端的憑證序號。 使用下列命令：
sudo defaults write com.microsoft.ccmclient SerialNumber -data "<serial number>"。例如：
sudo defaults write com.microsoft.ccmclient SerialNumber -data "17D4391A00000003DB"
更新 Mac 用戶端憑證
此程式會移除 SMSID。 Mac Configuration Manager用戶端需要新的識別碼，才能使用新的或更新的憑證。
重要事項
取代用戶端 SMSID 之後，當您在 Configuration Manager 主控台中刪除舊資源時，也會刪除任何預存的用戶端歷程記錄。 例如，該用戶端的硬體清查歷程記錄。
為必須更新電腦憑證的 Mac 電腦建立並填入裝置集合。
在 [ 資產與相容性] 工作區中，啟動 [ 建立設定專案精靈]。
在精靈的 [ 一般 ] 頁面上，指定下列資訊：
名稱： 移除 Mac 版 SMSID
類型： Mac OS X
在 [ 支援的平臺] 頁面上，選取所有 macOS X 版本。
在 [ 設定] 頁面上，選取 [ 新增]。 在 [ 建立設定] 視窗中，指定下列資訊：
名稱： 移除 Mac 版 SMSID
設定類型： 腳本
資料類型： 字串
在 [ 建立設定] 視窗中，針對 [探索腳本]，選取 [ 新增腳本]。 此動作會指定腳本，以探索以 SMSID 設定的 Mac 電腦。
在 [ 編輯探索腳本] 視窗中，輸入下列殼層腳本：
defaults read com.microsoft.ccmclient SMSID選擇 [確定 ] 關閉 [編輯探索腳本 ] 視窗。
在 [ 建立設定] 視窗中，針對 [ 修復腳本] (選擇性) ，選擇 [ 新增腳本]。 此動作會指定在 Mac 電腦上找到 SMSID 時移除 SMSID 的腳本。
在 [ 建立補救腳本] 視窗中，輸入下列殼層腳本：
defaults delete com.microsoft.ccmclient SMSID選擇 [確定 ] 關閉 [ 建立補救腳本 ] 視窗。
在 [ 合規性規則] 頁面上，選擇 [ 新增]。 然後在 [ 建立規則] 視窗中，指定下列資訊：
名稱： 移除 Mac 版 SMSID
選取的設定：選擇 [流覽 ]，然後選取您先前指定的探索腳本。
在 下列值 欄位中： (com.microsoft.ccmclient、 SMSID) 的網域/預設配對不存在。
啟用選項，以 在此設定不符合規範時執行指定的補救腳本。
完成精靈。
建立包含此組態專案的組態基準。 將基準部署至目標集合。
如需詳細資訊，請 參閱如何建立設定基準。
在已移除 SMSID 的 Mac 電腦上安裝新憑證之後，請執行下列命令，將用戶端設定為使用新的憑證：
sudo defaults write com.microsoft.ccmclient SubjectName -string <subject_name_of_new_certificate>