IntuneでCollectorをデプロイする
Microsoft Intune は macOS をサポートし、シェルスクリプトを使用して Collector をリモートでインストールできる、クラウドベースのエンドポイント管理ソリューションです。
前提条件
開始する前に、以下のドキュメントを確認してください：
Endpoint management at Microsoft — Intune デバイス管理の概要。
Company Portal アプリを使用して macOS デバイスを登録する — デバイス登録手順。
Intune で macOS デバイスにシェルスクリプトを使用する — Intune におけるシェルスクリプトの動作について。
インストールスクリプトをカスタマイズするには、シェルスクリプトに関する基本的な知識が必要です。
インストールスクリプト
Nexthinkでは、インストールスクリプトを使用してDMGファイルを展開することを推奨しており、PKGファイルを直接抽出して展開する方法はサポートしていません。
インストールスクリプトは、各デバイスで次の処理を実行します:
指定した Collector DMG ファイルをダウンロードします。
SHA256 ハッシュを使用して、ダウンロードしたファイルの整合性を確認します。
DMG パッケージを展開します。
指定されたパラメーターで CSI インストーラーを実行します。
Collector サービスが実行中であることを確認します。
インストールスクリプトのテンプレートをダウンロードし、テキストエディターで開いてカスタマイズします。 このスクリプトは Z シェル (zsh) を使用しており、macOS 10.15 Catalina 以降のデフォルトインタープリターです。
スクリプト内の ### Do not change from here ### コメントより下の行を変更しないでください。
実行パラメーターを調整する
このセクションでは、スクリプト内のパラメーターについて説明します。
Collector バージョン管理パラメータ
次のパラメーターは、既存の Collector インストールをスクリプトがどのように処理するかを定義します。 Nexthink はこれらのデフォルト値を変更しないことを推奨しています。
ALLOW_UPGRADE: スクリプトによるアップグレードの管理方法を定義します。 デフォルト値はnewです。CLEAN_INSTALL: Collector が以前のインストールの設定を保持するかどうかを定義します。 デフォルト値はfalseです。
インストールパラメータ
次のパラメーターは、インストール構成を定義します。 使用可能なすべての値については、macOS への Collector のインストールページを参照してください。 必須パラメータの一覧は次のとおりです：
COLLECTOR_URL: インストールする Collector DMG パッケージの URL。 常に最新バージョンを参照するには、このリンクを使用します。COLLECTOR_SHA256: ダウンロードの整合性とセキュリティを検証するための、DMG ファイルの SHA256 ハッシュダイジェスト。 DMG と同じダウンロードページで確認できます。 最新の DMG のハッシュは、このリンクから取得できます。ADDRESS: Nexthink インスタンスのアドレス。TCP_PORT: Nexthink インスタンスのポート。KEY：-----BEGIN CUSTOMER KEY-----で始まり、-----END CUSTOMER KEY-----で終わる単一行の Customer Key。
オプションパラメータ
OTHER_CSI_PARAMS セクションのパラメーターは、以前の構成を上書きします。 システムはこれらのパラメータを CSI インストーラーに渡します。
デフォルト値が自社の IT 基盤に適していることを確認し、Collectorを手動でインストールする ページでサポートされているパラメーター一覧を確認してください。
フルディスクアクセス
Nexthink CollectorはAppleのエンドポイントセキュリティフレームワークに依存し、Appleのプライバシーガイドラインに従っています。 一部のCollectorコンポーネントでは、完全なデータを収集し、デバイスでリモートアクションを実行するためにフルディスクアクセスが必要です。
Collectorバージョン26.5以降を展開する場合、フルディスクアクセスの付与を延期できます。 Collectorは正常にインストールされ、制限モードで実行されます。 フルディスクアクセスを付与した後にのみ、完全なデータ収集を開始し、リモートアクションを実行できます。
26.5より前のCollectorバージョンでは、展開時にフルディスクアクセスが必要であり、延期することはできません。
次のコンポーネントにはフルディスクアクセスが必要です：
nxtsvc: コアデバイスデータ、バイナリ実行、および接続イベントを収集します。 このモジュールのアクセス許可は必須です。Apple Endpoint SecurityおよびAppleのプライバシー制御で必要とされます。nxtcod: ユーザーデバイスでリモートアクションを実行し、結果をNexthinkに送信します。 このモジュールのアクセス許可は任意です。リモートアクションで特別なフォルダーまたは共有ネットワークリソースへのアクセスが必要な場合にのみ付与してください。
IntuneでPrivacy Preferences Policy Control（PPPC）構成プロファイルを作成し、Collectorを展開する前にこれらのコンポーネントへのフルディスクアクセスを事前承認します。 以下のタブから該当する方法を選択し、そこに記載されている手順を実行します：
Nexthinkは、バイナリパスを許可リストに追加することで、nxtsvc.appとnxtcod.appの両方にフルディスクアクセスを付与する単一の構成プロファイルを提供しています：
nxtsvc（必須）とnxtcod（任意）の両方について、次の手順を実行します：
Intuneで、設定カタログを使用してmacOS構成プロファイルを作成し、Privacy Preferences Policy Controlを検索します。
アプリのエントリを追加し、識別子の種類をバンドルIDに設定します。
識別子およびコード要件フィールドに入力します。
承認（または表示されるフィールドに応じて許可）を許可に設定します。 両方を設定したペイロードはAppleによって拒否されます。
ポリシーを、Collectorの展開対象となる同じmacOSデバイスに割り当てます。
このプロファイルをすべてのmacOSデバイスに展開し、次の手順に進む前に適用済みと表示されていることを確認します。
Nexthink Collectorを展開する
フルディスクアクセスプロファイルが適用されていることを確認した後、インストールスクリプトおよび展開の構成の手順に従ってCollectorを展開します。
Intuneでは、構成プロファイルとスクリプトが展開される順序は保証されません。 Collectorのインストール時にフルディスクアクセスがすでに付与されていることを確実にするには：
プロファイルの展開とインストールスクリプトの実行の間に10～15分の遅延を設ける、または
プロファイルのインストール状態に基づく動的グループターゲティングを使用し、プロファイルがすでにインストール済みと表示されているデバイスにのみスクリプトを割り当てます。
Nexthinkシステム拡張機能を承認する
Nexthink Collectorは、Apple Endpoint Securityコンポーネントをシステム拡張機能として読み込みます。 事前承認がない場合、macOSは拡張機能をブロックし、ユーザーに手動での承認を求めます。
このプロンプトを回避するには、チーム識別子PDEKAZ43QLのシステム拡張機能を許可する設定カタログポリシーをIntuneで作成します。 フルディスクアクセスプロファイルの対象となる同じデバイスに割り当てます。
同じポリシーまたは別のポリシーで、PDEKAZ43QLを明示的なバンドル識別子の下にもリストしないでください。 同じチーム識別子をチーム識別子とバンドル識別子の両方の許可リストに指定する構成は、Appleによって拒否されます。
展開を構成する
Intune ポータルにログインし、デバイスを選択します。
macOS、シェル スクリプトの順に移動し、+ 追加を選択します。
基本セクションで、たとえば Install Collector などのスクリプト名と、任意の説明を入力します。
スクリプトの設定で、スクリプトファイルをアップロードします。 その他のフィールドはデフォルト値のままにします。
スコープ タグで、必要に応じてタグを追加します。
割り当てで、対象とするグループを選択します。
設定を確認し、追加を選択して完了します。
ユーザーによる Collector の無効化を防止する
デフォルトでは、macOS はインストール後にユーザーがバックグラウンドアプリケーションを無効にすることを許可します。 ユーザーが Collector をオフにすることを防止し、継続的なデータ収集を確保するには、Collector を管理対象のログイン項目およびバックグラウンド項目として扱うように Intune を設定します：
プロファイル設定で、ログイン > サービス管理 - 管理対象ログイン項目を追加します。
Collector を対象とする新しいルールを作成します。
ルールタイプには Collector のバンドル識別子を使用します。必要に応じて、完全な実行可能ファイルパスを使用してください。
Collector が管理対象のログイン項目として扱われるようにルールを設定します。 これにより、macOS はデバイス管理によって強制されている項目として認識します。
同じ設定領域で、ログイン時に Collector を自動的に起動する設定を有効にします。 これにより、ユーザーの操作なしで Collector が起動します。
Collector がバックグラウンドで実行でき、ユーザーがシステム設定から無効にできないように、バックグラウンド実行を管理する設定を適用します。
設定を保存し、プロファイルが監視対象の macOS デバイスに割り当てられていることを確認します。 プロファイルが適用されると、Collector は macOS で管理対象項目として表示されます。
最終更新
役に立ちましたか？