¶ macOS
Регистрация (enrollment) устройства — это процесс добавления macOS или iOS устройства под управление Ринго MDM. После завершения регистрации устройство становится управляемым: на него можно отправлять команды, устанавливать профили конфигурации и приложения, а также контролировать его состояние через веб-интерфейс.
В этом руководстве описаны шаги по регистрации устройства в Ринго.
¶ Требования
Перед началом регистрации убедитесь, что выполнены следующие условия:
- Сервер Ринго развёрнут и доступен по сети.
- Настроен и установлен сертификат Apple Push Notification Service (APNs).
- У вас есть учётная запись с правами доступа к странице регистрации устройств (enroll).
- Устройство подключено к интернету и может связаться с сервером Ринго.
¶ Регистрация устройства
¶ Шаг 1. Переход на страницу регистрации
На главной странице веб-интерфейса Ринго нажмите на пункт меню «Привязать».
¶ Шаг 2. Авторизация
В появившемся окне введите логин и пароль учётной записи, которая имеет доступ к странице регистрации устройств.
¶ Шаг 3. Загрузка конфигурационного профиля
После успешной авторизации скачайте конфигурационный профиль enroll.mobileconfig на устройство macOS или iOS, которое нужно добавить в Ринго.
¶ Шаг 4. Запуск установки профиля
Дважды кликните по загруженному файлу enroll.mobileconfig. macOS отобразит уведомление о том, что профиль успешно загружен.
¶ Шаг 5. Установка профиля в системных настройках
Перейдите в Системные настройки → Основные → Управление устройством.
Вы увидите доступный для установки профиль с названием «MDM Enroll Profile». Дважды кликните по нему для начала установки.
Нажмите «Установить». Если система отобразит предупреждение, подтвердите установку. Для завершения регистрации потребуется ввести пароль пользователя macOS.
¶ Шаг 6. Автоматическая установка профиля агента
После успешной установки enroll-профиля система Ринго автоматически отправит на устройство дополнительный профиль агента.
Этот профиль содержит:
- Сертификат для защищённой связи между агентом и сервером Ринго.
- Разрешения для управления агентом, который устанавливается в
/usr/local/bin/ringo/agent.
¶ Шаг 7. Проверка регистрации устройства
После завершения установки профилей устройство становится управляемым и отображается в списке устройств веб-интерфейса Ринго.
Если устройство не появилось в списке в течение 2–3 минут, проверьте подключение к интернету и убедитесь, что сервер Ринго доступен с устройства.
¶ Bootstrap token
Если Bootstrap Token не был передан в MDM, выполните команду для его принудительной передачи:
profiles install -type bootstraptoken -user tokenuser -password 'пароль_tokenuser'
Где tokenuser — пользователь, обладающий Secure Token.
Подробнее о Secure Token и Bootstrap Token можно прочитать в статье по ссылке.
¶ Сертификат enroll-профиля
Сертификат enroll-профиля имеет срок действия 1 год, по истечении которого требуется обновление enroll-профиля.
Рекомендуется создать смарт-группу с критерием «Сертификат enroll-профиля истечёт» для отслеживания устройств, у которых срок действия сертификата истёк либо приближается к завершению.
После истечения сертификата устройство перестаёт управляться через MDM, и MDM-команды до него не доставляются.
Если устройство всё ещё управляемо, но срок действия сертификата enroll-профиля подходит к концу, рекомендуется выполнить MDM-команду «Обновить профиль MDM». На данный момент для массовой отправки данной команды можно использовать API.
Возможность автоматического обновления ожидается в ближайших релизах.
¶ PPPC профиль для агента Ринго
Privacy Preferences Policy Control (PPPC) — это механизм безопасности macOS, который контролирует доступ приложений к конфиденциальным данным и функциям системы.
Если агент Ринго в вашей инсталляции должен взаимодействовать с другими приложениями (например, вызывать Finder для отображения диалоговых окон пользователю или получать доступ к системным функциям), потребуется установить профиль PPPC с необходимыми разрешениями.
Готовый профиль PPPC для агента Ринго доступен по ссылке.
Этот профиль предоставляет агенту Ринго необходимые права для корректной работы без запросов подтверждения у пользователя.