Отключение профиля DEP и MDM на Mac OS Big Sur
Описанные ниже действия лишают компанию или организацию, которая выдала вам компьютер, возможности следить за вашим устройством и получать дистанционно доступ к данным на нем.
Если обязательства перед компанией или закон ограничивает вас от выполнения подобных действий — НЕ ИСПОЛЬЗУЙТЕ приведенные ниже инструкции.
Если ваши этические принципы или иные убеждения не позволяют вам избавиться от контроля компании или организации — НЕ ИСПОЛЬЗУЙТЕ приведенные ниже инструкции.
В описанном методе не применяется какой-либо внешний инструментарий и используются только штатные средства Mac OS.
При использовании данного метода ОТКЛЮЧАЕТСЯ ШИФРОВАНИЕ FileVault накопителя. Если такое действие неприемлемо – НЕ ИСПОЛЬЗУЙТЕ данный метод. Тестирование с последующей активацией шифрования не проводилось.
Автор с уважением относится к компаниям и администраторам, которые настраивают системы контроля DEP и MDM.
Также автор уважает свободный осознанный выбор конечных пользователей по снятию систем слежения и дистанционного доступа к данным, если это не нарушает их обязательств перед компанией и закон.
Все инструкции пользователь выполняет на свой страх и риск. Автор не несет никакой ответственности на нанесенный вред или ущерб, в результате выполняемых действий, равно как не призывает к их выполнению.
Немного про DEP и MDM
Update: Спасибо @agafon_aga за существенные замечания:
Описанная здесь ситуация актуальна при использовании Apple Device Enrollment Program (DEP). Смысл ее — привязка устройств на аккаунт компании для облегчения управления, инвентаризации и прочего.
Внутри системы DEP имеет самый высокий приоритет (после Apple, разумеется).
Mobile Device Management (MDM) системы, имеют приоритет ниже чем AppleID пользователя устройства. Удалить профиль именно MDM (а не DEP) пользователь может легко. Для этого достаточно быть админом в системе.
Итого, уровень приоритетов выстраивается (от высшего к низшему):
Apple — DEP — User AppleID — MDM Profile
Профили DEP (Device Enrollment Program) и MDM (англ. Mobile Device Management), как правило, устанавливается пользователям на устройства, которые выданы им крупными компаниями, а также некоторыми школами и университетами в пользование. Профиль позволяет автоматизировать настройку практически всех программных компонентов устройства. При этом он также позволяет полностью контролировать устройство дистанционно. Возможности контроля ограничены лишь фантазией администратора, который его настраивал.
Короче, в общем для компании — это хорошо, в частности для конкретного пользователя — не очень. Иногда совсем не хочется, чтобы кто-то мог в любой момент дистанционно выкинуть тебя из компьютера или просто его заблокировать.
Корпоративный профиль устанавливается на заводе во время заказа партии для того или иного крупного заказчика и не может быть удален окончательно программно. Как правило, после полного сброса во время активации устройства профиль загружается из интернета и снова пробует себя развернуть на устройстве. Назойливость этих попыток может быть разной, и наша сегодняшняя задача избавиться от этого.
Решение с обходом блокировки на Mac OS Catalina достаточно прямолинейное и без труда находится в интернете. С Big Sur все намного сложнее. В новой операционной системе реализован новый механизм защиты целостности системы. Поэтому весь алгоритм действий усложнился.
Установка чистой системы
Будем предполагать, что мы в состоянии сами установить чистую систему Mac OS Big Sur с флешки. В случае с MDM устройством главное правило — проводим чистую установку с отключенным интернетом, чтобы система не могла получить данные по имеющемуся MDM идентификатору.
После завершения установки к интернету подключаться можно. К сожалению, система тут же начнет предлагать загрузить и установить тот самый MDM профиль, который по ее мнению должен быть настроен в системе. Настойчивость таких предложений — примерно раз в 10 минут. Жить можно, но мы не согласны на полумеры.
Отключение MDM профиля
1. На устройстве должен быть снят пароль на включение и выключено шифрование диска:
Настройки -> Безопасность -> FileVault — выключить
2. Перезагружаемся в режиме восстановления:
Удерживаем (Command+R) во время загрузки до появления полосы загрузки.
3. В режите восстановления запускаем терминал:
«Утилиты» -> «Терминал»
4. Смотрим индентификатор тома:
mount5. Если вы не трогали название разделов во время установки, то название по умолчания должно остаться «Macintosh HD». Здесь и далее будем использовать его.
Записываем на листик индентификатор тома «/Volumes/Macintosh HD»
Внимание! Не перепутать с диском «/Volumes/Macintosh HD — Data»
Идентификатор выглядит примерно так dev/disk4s5 — в вашем случае цифры могут быть другие.
Внимание! Индентификатор тома и название тома в последующих примерах команд подставляем свои!
6. Отключаем том и копируем файлы агентов в отдельную папку bak:
umount /Volumes/Macintosh\ HD mkdir /Volumes/Macintosh\ HD mount -t apfs -rw /dev/disk2s5 /Volumes/Macintosh\ HD cd /Volumes/Macintosh\ HD/System/Library/LaunchAgents mkdir bak mv com.apple.ManagedClientAgent.* bak/ mv com.apple.mdmclient.* bak/ cd ../LaunchDaemons mkdir bak mv com.apple.ManagedClient.* bak/ mv com.apple.mdmclient.* bak/7. Отключаем Signed System Volume (SSV):
csrutil authenticated-root disable8. Сохраняем текущий статус диска в снепшот, чтобы система не ругалась на изменение системных файлов:
bless --folder /Volumes/Macintosh\ HD/System/Library/CoreServices --bootefi --create-snapshot9. Закрываем терминал и перезагружаемся.
Готово. Агенты MDM профиля больше системой не видятся.
Обновления будут работать. Если сделать чистую переустановку — процедуру придется повторить сначала. Иногда фикс слетает после установки мажорных обновлений.
Работоспособность метода проверена на Mac OS Big Sur до версии 11.1.
Как удалить airwatch mac os
You are using an outdated browser. Please upgrade your browser to improve your experience.
expand-card-line
calendar-line —>
Удалить программное обеспечение можно несколькими способами, и инструмент VMware Admin Assistant по умолчанию выбирает подходящий способ в зависимости от типа файла. При необходимости можно переопределить значение по умолчанию любым из перечисленных ниже способов.
Удалить скопированные элементы
Способ «Удалить скопированные элементы» в основном используется для типов файлов DMG, где файл извлекается из массива items_to_copy array[dicts] в файле pkginfo и удаляются все пути к файлу в массиве.
В будущих версиях консоли пути в массиве items_to_copy array отображаются в пользовательском интерфейсе.
Удалить приложение
Способ Remove App извлекает файл из массива installs array [dicts] в файле pkginfo и удаляет все пути к файлу в массиве.
В будущих версиях консоли пути в массиве installs array отображаются в пользовательском интерфейсе.
Удалить пакеты
Способ удаления пакетов используется в основном для типов файлов PKG. Этот способ:
- использует поступления и анализирует пакеты для удаления;
- пытается определить, какие файлы были установлены, с помощью файла Bom;
- удаляет поступление;
В будущей версии Console поступления, которые проверяет Munki , отображаются в пользовательском интерфейсе.
Сценарий удаления
Сценарии удаления записываются в сценарии оболочки. Этот способ:
- используется для любого типа установщика;
- используется для выполнения настраиваемой операции удаления. При наличии настраиваемого развертывания для приложения создайте соответствующий сценарий удаления, чтобы удалить настраиваемые конфигурации.
nuna-alan / awagentuninstaller.sh
This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters. Learn more about bidirectional Unicode characters
#! /bin/sh [[ $EUID == 0 ]] || PKGNAME=AgentUninstaller LOG=/tmp/ $PKGNAME .log touch $LOG chmod a+rw $LOG DAEMON_PLIST= » /Library/LaunchDaemons/com.airwatch.airwatchd.plist « AGENT_PLIST= » /Library/LaunchAgents/com.airwatch.mac.agent.plist « AWCM_PLIST= » /Library/LaunchDaemons/com.airwatch.awcmd.plist « SCHEDULER_PLIST= » /Library/LaunchDaemons/com.airwatch.AWSoftwareUpdateScheduler.plist « REMOTE_PLIST= » /Library/LaunchDaemons/com.airwatch.AWRemoteManagementDaemon.plist « REMOTETUNNEL_PLIST= » /Library/LaunchDaemons/com.airwatch.AWRemoteTunnelAgent.plist « WriteLog () # /bin/echo `date`» «$1 >> $LOG /bin/echo ` date ` » » $1 > val= $( /usr/libexec/PlistBuddy -c » Print ProgramArguments:0 » » $ » ) if [[ $val == * » VMware AirWatch Agent » * ]] ; then WriteLog » VMware Agent needs to be Unloaded « LOCAL_USER= ` ps -ajx | grep » /Applications/VMware AirWatch Agent.app/Contents/MacOS/VMware AirWatch Agent » | grep -v grep | awk ‘ < print $1 >‘ ` else WriteLog » AirWatch Agent needs to be Unloaded « LOCAL_USER= ` ps -ajx | grep » /Applications/AirWatch Agent.app/Contents/MacOS/AirWatch Agent » | grep -v grep | awk ‘ < print $1 >‘ ` fi WriteLog » Local user is $LOCAL_USER « WriteLog » Modifying launchd plists « /usr/libexec/PlistBuddy -c » Delete :KeepAlive » $DAEMON_PLIST /usr/libexec/PlistBuddy -c » Delete :KeepAlive » $AGENT_PLIST /usr/libexec/PlistBuddy -c » Delete :KeepAlive » $AWCM_PLIST /usr/libexec/PlistBuddy -c » Delete :KeepAlive » $SCHEDULER_PLIST /usr/libexec/PlistBuddy -c » Delete :KeepAlive » $REMOTE_PLIST /usr/libexec/PlistBuddy -c » Delete :KeepAlive » $REMOTETUNNEL_PLIST WriteLog » Unloading the plists « /bin/launchctl unload $DAEMON_PLIST /bin/launchctl unload $AWCM_PLIST /bin/launchctl unload $SCHEDULER_PLIST /bin/launchctl unload $REMOTE_PLIST /bin/launchctl unload $REMOTETUNNEL_PLIST su — $ » /bin/launchctl unload $AGENT_PLIST « WriteLog » Removing plists « /bin/rm $DAEMON_PLIST /bin/rm $AGENT_PLIST /bin/rm $AWCM_PLIST /bin/rm $SCHEDULER_PLIST /bin/rm $REMOTE_PLIST /bin/rm $REMOTETUNNEL_PLIST WriteLog » Removing AirWatch folder except recovery key file « cd » /Library/Application Support/AirWatch « rm -f airwatchd awcmd AWSoftwareUpdateScheduler AWRemoteManagementDaemon AWRemoteTunnelAgent rm -rf » /Library/Application Support/AirWatch/FrameWorks « rm -rf » /Library/Application Support/AirWatch/Installation « shopt -s extglob if [ -d » /Library/Application Support/AirWatch/Data » ] ; then cd » /Library/Application Support/AirWatch/Data « rm -rf ! (FDE.plist | settings | encKeys) fi WriteLog » Removing agent and helper binaries « rm -rf » /Users/ $LOCAL_USER /Applications/AirWatch Agent.app/ « rm -rf » /Applications/AirWatch Agent.app/ « rm -rf » /Applications/VMware AirWatch Agent.app/ « pidAWAgent= ` pgrep -x » AirWatch Agent » ` pidVMAgent= ` pgrep -x » VMware AirWatch Agent » ` WriteLog » AirWatch Agent PID is $pidAWAgent « WriteLog » VMWare Agent PID is $pidVMAgent « kill -9 $pidAWAgent kill -9 $pidVMAgent if [ -d » /Users » ] ; then cd » /Users « for USERNAME in ` ls ` ; do rm -rf » /Users/ $USERNAME /Library/Preferences/com.airwatch.mac.agent.plist » || true rm -rf » /Users/ $USERNAME /Library/Preferences/com.airwatch.mac.enroller.plist » || true rm -rf » /Users/ $USERNAME /Library/Preferences/com.aiwatch.mac.enroller.plist » || true done fi Платформа AirWatch — управление корпоративными мобильными средами
Платформа AirWatch — пакет инновационных решений для управления мобильными устройствами, электронной почтой, приложениями, контентом и браузером.
AirWatch, входящий в продуктовый портфель компании VMware, — лидер рынка MDM-решений, что подтверждается отчетами Gartner.
Решения на основе платформы AirWatch для управления мобильными устройствами внедрены и успешно работают в самых различных отраслях бизнеса: авиаиндустрии, финансовой сфере, фармацевтической отрасли, энергетике и ритейле.
AirWatch надежно защищает конфиденциальные данные в корпоративном контейнере и является единым приложением для надежного доступа пользователей к самым последним материалам продаж или документам по финансовой отчетности со своих мобильных устройств. AirWatch управляет любыми конечными устройствами, помогает сократить расходы и повысить уровень безопасности, обеспечивая защиту корпоративной инфраструктуры на всех уровнях.
ИЦ ТEЛЕКОМ-СЕРВИС предлагает своим клиентам следующие услуги на решениях AirWatch:
- Организация эффективного управления корпоративными мобильными средами, включая учетные данные. Повышение производительности и обеспечение совместной работы.
- Построение рабочих процессов компании на любых конечных устройствах: настольных компьютерах, планшетах, устройствах Интернета вещей, мобильных и защищенных устройствах.
- Обеспечение безопасного мобильного доступа к любому корпоративному контенту, включая защиту конфиденциальных данных.
- Организация гибких вариантов хранения контента в общедоступном «облаке».
- Масштабирование решений AirWatch в соответствии с потребностями любого предприятия.
- Интеграция AirWatch с различными существующими корпоративными системами.
Эффективность и преимущества внедрения решений AirWatch
- Эффективная работа со всеми основными существующими OS
- Удобный формат регистрации устройств и пользователей, в том числе разделение по группам, ролям и большой выбор отчетов.
- Автоматизация процессов: минимум выполнения задач вручную, сокращение ошибок, связанных с человеческим фактором.
- Поддержка бесшовного потока данных. Возможность настройки устройств с помощью электронной почты, сайтов интрасети, приложений, Wi-Fi, контента и VPN.
- Предотвращение потерь конфиденциальных данных организации, надежная защита данных компании от внутренних и внешних угроз.
- Доступ к самому новому контенту в реальном времени.
- Удобный интерфейс взаимодействия между разными департаментами.
- Устранение ограничений по размеру файлов для совместного использования.
Компоненты платформы AirWatch
Панель управления контентом и ведения аналитики с полным аудиторским следом: на уровне организации, файла или устройства.
Среди функциональных возможностей: создание и экспорт файлов и отчетов активности пользователей, управление версиями, отчеты по аналитике пользователей.
В состав системы по управлению мобильными устройствами AirWatch® by VMware® входят MDM, MAM и MIM-компоненты, система расширенной безопасности контента и специализированное программное обеспечение.
NitroDesk’s TouchDown – коммерческий многофункциональный почтовый клиент для ОС Android, полностью совместимый с Microsoft Exchange.
Решение уровня Enterprise, которое поддерживает работу с электронной почтой, календарями, контактами, задачами; контактирует с почтовым сервером по ActiveSync, получает и исполняет его политики, включая доступ к почте по PIN коду, полное удаление почтовых данных с устройства, шифрование корпоративных данных.
Enterproid Divide – корпоративное решение, реализованное на Android и iOS-устройствах с полным разделением рабочих сред. Позволяет ограничить права доступа к персональным данным сотрудников. Системный логин и пароль для входа в систему вводится пользователями со страницы, которая полностью защищена администратором компании. Для ввода персональных паролей используется вторая область, к которой представители компании не имеют доступа.
Enterproid Divide выполняет шифрование данных, может управлять файлами, подключаться к корпоративной телефонии Cisco и Avaya, применять VPN – настройки для удаленного доступа.
Корпоративное решение производителя Samsung, которое встраивается в новые интеллектуальные мобильные устройства, начиная со смартфона Samsung Galaxy S4. В программную прошивку решения встроены функции безопасной загрузки, контроля целостности, изолированных контейнеров KNOX для корпоративных приложений, шифрования, удаленной загрузки настроек VPN, встроенного MDM.
AirWatch интегрируется в существующую инфраструктуру компании через набор программных коннекторов. Корпоративные ресурсы (почтовый сервер, порталы, сетевые папки, приложения совместной работы) становится доступными на корпоративном мобильном устройстве.
- AirWatch® Enterprise Mobility Management
Интегрированное решение на платформе AirWatch EMM, платформа управления мобильностью, создана на основе унифицированной кодовой базы, c возможностью масштабирования по мере роста Вашего бизнеса.
Интеграция AirWatch® Mobile Device Management c клиентом почты AirWatch® Inbox и браузером AirWatch® Browser обеспечивает дополнительный контроль за состоянием устройств и защиту от утечки данных.
- AirWatch Secure Content Locker
Защитите секретный контент в корпоративном контейнере, обеспечьте сотрудников единой точкой безопасного доступа к контенту с мобильного устройства, компьютера или веб-браузера. Решение AirWatch Secure Content Locker может быть развернуто как самостоятельное приложение, в составе AirWatch Mobile Device Management или в рамках контейнеризованного решения AirWatch® Workspace; доступно на устройствах Apple, Android и Windows.
Клиент рабочего стола AirWatch® Secure Content Locker Sync™ дает возможность пользователям осуществлять двухстороннюю синхронизацию контента с десктопа компьютера на мобильные устройства.
Расположенный в сети портал самообслуживания позволяет пользователям добавлять, управлять и обмениваться личным контентом.
Другие преимущества платформы AirWatch
Авторизация конечных пользователей с помощью AD/LDAP, Kerberos, маркера или сертификатов. 256-битное AES шифрование (совместимое с FIPS 140-2) контента при передаче, использовании или в неактивном состоянии.
Установка ограничений для дополнительной защиты от утечки данных, включая просмотры вне сети, операции удаления/копирования/вставки, печати и отправки по электронной почте.
Безопасная работа с видео и фотоматериалами: создание, загрузка, запись в репозиторий и папку личного контента.
AirWatch® Cloud
Общедоступное облако с гибкими вариантами хранения контента: в самом облаке, в существующем репозитории контента или в папке общего доступа предприятия.
Портал самообслуживания
Общий доступ к контенту, редактирование, отзывы и сотрудничество
Пользователи имеют возможность делиться файлами и папками с внутренними и внешними заинтересованными лицами через портал самообслуживания. В таком формате можно редактировать документы, писать аннотации и оставлять комментарии в общих файлах. С помощью характеристики @tag пользователи могут отмечать файлы для других пользователей
Действия пользователей отслеживаются с помощью веб-канала активности, который отражает момент внесения комментария или действия с файлом. Плагин Outlook поможет упростить работу пользователей и обеспечить безопасность вложений электронной почты.
- Workspace ONE UEM – особенности единого управления и преимущества
Workspace ONE обеспечивает администрирование любых конечных устройств: мобильных устройств (Android, iOS), настольных компьютеров (Windows 10, macOS, Chrome OS), защищенных устройств, устройств Интернета вещей (Linux и др.) на протяжении всего жизненного цикла.
Преимущества Workspace ONE UEM:
- Поддержка корпоративных, личных, специализированных и общих устройств.
- Ориентированная на облако модель с несколькими арендаторами.
- Современные облачные средства управления настольными компьютерами в реальном времени.
- Автоматизированная миграция современных средств управления решениями на базе Windows 10 с помощью Workspace ONE AirLift.
- Специализированные мобильные средства с поддержкой устройств повышенной надежности, носимых устройств и элементов Интернета вещей.
- Обеспечение безопасности Microsoft Office 365.
- Мгновенное дистанционное удаление конфиденциальных корпоративных данных из памяти устройств.
- Соответствие требованиям госучреждений и отраслей с высоким уровнем регулирования.
- Единый каталог приложений для удобного безопасного доступа ко всем приложениям с любых устройств.
- Надежная система API-интерфейсов.
- Защита корпоративных приложений и данных в любой сети.
- Основа для цифровой рабочей области.