IT-beheerdershandleiding (MDM)

Implementatie via MDM#

Network Share Mounter kan volledig worden geconfigureerd via een standaard macOS-configuratieprofiel. Alle instellingen worden gelezen vanuit het voorkeursdomein de.fau.rrze.NetworkShareMounter.

Om het aanmaken van profielen te vereenvoudigen, bieden we een JSON-manifestschema voor Jamf Pro en een manifest voor de iMazing Profile Editor.

Voor distributie via AutoPKG zijn recepten beschikbaar op de.fau.rrze.pkg.networkShareMounter.

1. Beheerde netwerkshares (managedNetworkShares)#

De array managedNetworkShares definieert welke netwerkshares centraal worden uitgerold naar gebruikers. Elke vermelding is een dictionary met de volgende sleutels:

Voorbeeldpayload:

<key>managedNetworkShares</key>
<array>
    <!-- Kerberos-share, automatisch gekoppeld, extern ticketbeheer -->
    <dict>
        <key>networkShare</key>
        <string>smb://fileserver.example.com/global</string>
        <key>authType</key>
        <string>krb</string>
        <key>externalKerberosManagement</key>
        <string>true</string>
    </dict>
    <!-- Wachtwoordshare met gebruikersspecifieke homedirectory, alleen handmatig koppelen -->
    <dict>
        <key>networkShare</key>
        <string>smb://home.example.com/%USERNAME%</string>
        <key>authType</key>
        <string>pwd</string>
        <key>mountPoint</key>
        <string>My Home Drive</string>
        <key>autoMount</key>
        <string>false</string>
    </dict>
</array>

Opmerking: de verouderde networkShares-array uit versie 2 wordt nog geaccepteerd voor achterwaartse compatibiliteit, maar mag niet worden gebruikt in nieuwe profielen.

2. Authenticatie en Kerberos#

Deze sleutels configureren hoe NSM Kerberos-tickets en gebruikersidentiteit beheert.

Beheer van wachtwoordvervaldatum#

Wanneer NSM zelf bij Kerberos aanmeldt (kerberosRealm is ingesteld en de shares gebruiken geen externalKerberosManagement), kan NSM gebruikers waarschuwen voordat hun AD-wachtwoord verloopt. De waarschuwingen staan standaard aan: beide drempelwaarden zijn 14 dagen, dus ze verschijnen ook zonder configuratie. Accounts waarvan het wachtwoord nooit verloopt, krijgen geen waarschuwing.

Gangbare instellingen:

3. Automatisch opstarten en levenscyclus van de app#

Deze sleutels bepalen of de app automatisch wordt gestart bij aanmelding en hoe deze zich gedraagt bij afsluiten.

Hoe autostart-handhaving werkt (macOS 13+)#

NSM gebruikt Apple’s SMAppService-API om zichzelf te registreren als aanmeldingsitem. macOS beheert dit als een LaunchAgent in /Library/LaunchAgents/de.fau.rrze.NetworkShareMounter.plist (eigendom van root). Dit is standaard macOS-gedrag, met de volgende implicaties voor MDM-beheerders:

• Het osascript-commando tell application "System Events" to delete login item "…" werkt niet voor via SMAppService geregistreerde items. System Events beheert alleen aanmeldingsitems van het oude gebruikerstype.
• Wanneer autostart = false wordt afgedwongen via een vergrendelde MDM-sleutel, roept NSM bij elke start SMAppService.unregister() aan en verwijdert macOS het LaunchAgent-bestand automatisch.
• Als u automatisch opstarten beheert via een eigen LaunchAgent of payload voor aanmeldingsitems, stel autostart = false in als vergrendelde sleutel om te voorkomen dat NSM een conflicterend aanmeldingsitem registreert.

Voorkomen dat gebruikers automatisch opstarten uitschakelen#

macOS 13 (Ventura) en latere versies laten gebruikers achtergrond-apps vrijelijk uitschakelen via Systeeminstellingen. Om het automatisch opstarten af te dwingen en te voorkomen dat gebruikers NSM uitschakelen, implementeer een Managed Login Items-payload naast uw configuratieprofiel:

• Rule Type: Bundle Identifier
• Rule Value: de.fau.rrze.NetworkShareMounter

Het initiële automatisch opstarten activeren#

Vanwege het beveiligingsontwerp van macOS moet een app minstens één keer worden geopend voordat de registratie van het aanmeldingsitem van kracht wordt. Voor een stille implementatie zonder gebruikersinteractie configureert u uw MDM om NSM eenmalig te starten direct na installatie of bij de eerste aanmelding.

Voorbeeld Jamf-beleid:

• Trigger: Login
• Frequency: Once per user per computer
• Command: sudo -u $(stat -f%Su /dev/console) open -a "/Applications/Network Share Mounter.app"

4. Gebruikersinterface#

Deze sleutels bepalen de koppellocatie, het uiterlijk van de menubalk en welke menu-items toegankelijk zijn voor gebruikers.

Aanpassen van menubalkitems#

U kunt afzonderlijke menubalkitems weergeven, verbergen of uitschakelen met de volgende sleutels. Stel de waarde in op hidden om het item volledig te verwijderen, of op disabled om het grijs weer te geven zonder het te verwijderen. Als een sleutel niet is gedefinieerd, wordt het item normaal weergegeven.

Voorbeeld — Instellingen en Updates verbergen voor gebruikers:

<key>menuSettings</key>
<string>hidden</string>
<key>menuCheckUpdates</key>
<string>hidden</string>

5. Softwareupdatebeheer#

NSM gebruikt het Sparkle-framework voor automatische updates. In beheerde omgevingen is het doorgaans aan te raden dit uit te schakelen en updates via MDM te beheren.

Opmerking: de verouderde sleutel enableAutoUpdater (omgekeerde logica) wordt nog geaccepteerd en automatisch gemigreerd bij de eerste start. Gebruik disableAutoUpdateFramework in alle nieuwe profielen.

6. Scripting en automatisering#

NSM reageert op UNIX-signalen, waardoor externe scripts koppel- en ontkoppelbewerkingen kunnen activeren zonder de app-interface te gebruiken. Dit is nuttig voor self-serviceportal-workflows waarbij gebruikers netwerkschijven kunnen «repareren».

Voorbeeld:

# PID opvragen
NSM_PID=$(pgrep -x "Network Share Mounter")

# Alle shares ontkoppelen
kill -SIGUSR1 "$NSM_PID"

# Alle shares koppelen
kill -SIGUSR2 "$NSM_PID"

7. Bekende problemen en compatibiliteit#

Jamf Pro: inventarisatie (recon) blijft hangen

Wanneer shares worden gekoppeld in de homedirectory van de gebruiker (standaardgedrag), kan het Jamf Pro-inventarisatieproces (recon) onbepaald blijven hangen. Dit gebeurt omdat Jamf probeert de totale grootte van de homedirectory te berekenen, waardoor alle gekoppelde netwerkshares worden doorzocht.

Oplossing: Ga in Jamf Pro naar Settings > Computer Management - Management Framework > Inventory Collection en schakel Include home directory sizes uit. U kunt ook de sleutel location instellen op een pad buiten de homedirectory, zoals /Volumes.

Domeingebaseerde DFS-namespaces (smb://example.com/share)

Kerberos-shares die naar de domeinnaam wijzen in plaats van naar een bestandsserver kunnen mislukken met “invalid credentials”, ook al heeft de gebruiker een geldig Kerberos-ticket. Active Directory heeft meestal geen service principal voor de domeinnaam zelf (cifs/example.com). Een servernaam zoals smb://fileserver.example.com/share werkt, maar bindt gebruikers aan één server.

Oplossing: Vanaf macOS 26.5 kunnen Macs die niet aan Active Directory zijn gekoppeld DFS-namespaces via de domeincontrollers oplossen. Verspreid /etc/nsmb.conf met de volgende inhoud, bijvoorbeeld als script of pakket via je MDM, en behoud de domeingebaseerde URL in managedNetworkShares:

[default]
srv_lookup_enabled=yes

Meer informatie over deze instelling vind je in de documentatie van Apple: https://support.apple.com/en-mz/guide/deployment/depd1a7cad1f/web

Platform SSO met een on-premises Active Directory

Met Platform SSO (Microsoft Entra ID) krijgt een Mac standaard alleen een Kerberos-ticket voor de cloud (tgt_cloud). Dat is niet bruikbaar voor lokale bestandsservers, waardoor Kerberos-shares mislukken met “invalid credentials”, ook al is er een ticket aanwezig.

Oplossing: Schakel Microsoft Entra Kerberos in, zodat Platform SSO ook een ticket voor het lokale domein levert (tgt_ad), en schakel Use TGT from Platform SSO for Kerberos requests in de payload van de Kerberos SSO-extensie in. Markeer de shares met externalKerberosManagement, zodat NSM deze tickets gebruikt. Of beide tickets aanwezig zijn, kun je in Terminal controleren met app-sso platform -s (sectie “User Configuration”).

Network Share Mounter v3#

Als u nog afhankelijk bent van de verouderde Network Share Mounter (v3/v2), is de documentatie beschikbaar in onze repository.