OSX Device Enrollment vermijden

[walterg]

Sinds een paar dagen ben ik op mijn werk laptop overgestapt van Yosemite naar El Capitan.

Direct na het installeren begon ik "Device Enrollment" notificaties te krijgen met de mededeling dat "<werkgever> can automatically configure your macbook". Die mededeling kan ik skippen of via "details" bij het Profiles scherm uit laten komen (waar ik "Allow Device Enrollment" kan toestaan of cancellen). Na een cancel komt de melding echter na x minuten weer terug.

Aangezien ik altijd (met goedkeuring van mijn werkgever) direct mijn laptop opnieuw installeer heb ik nooit met remote management te maken gehad en daar heb ik nog steeds geen behoefte aan.

Ik vind online veel verwijzingen naar het opzetten van remote management (Device Enrollment Program, Mobile Device Management etc) maar niets over het aan client zijde vermijden van de pop ups.

Met Little Snitch kan ik geen specifiek proces vinden dat de pop-up triggert.

Een van de processen die wat mij betreft een kandidaat was is "aspd" (apple push notification daemon) maar die heeft volgens little snitch sinds het blocken daarvan 0 successful (en 11847 blocked) connecties.

Het enige dat ik kan bedenken is dat de trigger vóór het installeren van little snitch is gegeven en de notificatie daardoor blijft komen, onafhankelijk van nieuwe verbindingen.

Iemand suggesties?

[talin]

meld je die laptop aan op het domein?

dan zal het daar in zitten, dan zal er een policy zijn, die laptops die op het domein worden aangemeld moeten worden voorzien van een profiel ( systeembeheerder/security manager ) kan je daar verder bij helpen.

het is tenslotte een werk laptop, die zal aan een aantal eisen moeten voldoen.

[walterg]

De laptop maakt op een exchange verbinding na geen connectie met het netwerk van mijn werkgever.

Met de beheerders heb ik de afspraak dat ik zelf mijn laptop in beheer heb maar op hoger niveau is mijn laptop aangemeld als een bedrijfslaptop.

Whether you purchase devices directly from Apple or through participating Apple Authorized Resellers and carriers, you can manage all your corporate-owned devices through the Device Enrollment Program.

http://www.apple.com/business/dep/

Ik omzeil dus geen afspraken met de beheerders waar ik direct mee te maken heb door de profielen te willen weren. Mijn vraag is dus alleen kán ik de profielen weren?

Voorheen werden de macbooks geimaged geleverd met beheersoftware maar sinds kort gebeurd dit dus op een ander niveau waardoor simpelweg opnieuw installeren niet voldoende is. Ik kreeg vrijwel direct na het (thuis) installeren van El Capitan notificaties.

Nogmaals: Ik beheer al sinds ik bij deze werkgever in dienst ben met medeweten van systeembeheer mijn laptop dus ik probeer niets te doen wat niet geoorloofd is.

Hoewel inmiddels de mac support beter is was het in het begin een drama om te wachten op software en security roll outs van mijn werkgever. Daarnaast ben ik bijzonder koppig, doe ik graag dingen zelf en sta ik niet bij de support desk als er iets niet werkt

edit: Ik realiseer me dat ik niets heb gezegd over de laptop zelf. Het lijkt me niet persé relevant maar het gaat om een Late 2013 15" Retina Macbook Pro.

[ Voor 5% gewijzigd door walterg op 30-10-2015 12:00 ]

[sebasmac]

De laptop maakt tijdens het activiatie proces verbinding met apple waar deze doormiddel van het serienummer gekoppeld is aan dep, dep roept vervolgens de MDM server op je werk aan die de nodige software kan pushen. Het is dus zorg dat je aangeeft dat ze je serienummer even blokken in dep, na een herinstall zou je er dan vanaf moeten zijn

[walterg]

Dank je voor de info.

Het blokken in DEP was een route die ik wilde vermijden aangezien het een nogal logge organisatie is (wat oorspronkelijk ook een van de redenen was om mijn laptop zelf te beheren).

Weet je hoe het werkt?

Kan alleen het pushen van software/instellingen worden geblokkeerd of zouden ze mijn laptop volledig uit de lijst moeten worden gehaald?

Dat eerste zie ik eventueel wel gebeuren (zelfbeheer van een laptop is via de policy mogelijk), dat tweede minder snel.

Mocht dit me allemaal te lang duren: Is er aan client kant echt geen enkele manier om de notificaties te blokkeren?

edit:

Note:
If a device is sold, lost, or damaged beyond repair, it should be permanently removed from your organization’s list of managed devices using the DEP website per the terms of the agreement. However,
once a device is removed from DEP, it can’t be added back.

Ugh... Ik hoop dat ze per device aan kunnen zetten of er iets gepushed moet worden of niet. Anders zie ik het niet gebeuren dat ze mijn laptop er uit halen. (terecht overigens, als mijn laptop naar een andere werknemer moet die niet zelf onderhoud wil doen dan zou dat niet kunnen)

[ Voor 32% gewijzigd door walterg op 30-10-2015 15:47 ]

[ppl]

En waarom meldt je dit niet bij systeembeheer? Voor hetzelfde geldt hebben ze een wijziging doorgevoerd zonder met jouw situatie rekening te houden. Als jij dan dezelfde image gebruikt als de rest... Misschien toch maar niet zo eigenwijs?

[ Voor 23% gewijzigd door ppl op 30-10-2015 21:32 ]

[walterg]

Ik heb al contact gehad met de beheerder waar ik direct mee te maken heb en die heeft aangegeven dat het een niveau hoger geregeld is.

Met hem valt te praten, met dat niveau hoger zal wellicht wat ingewikkelder liggen.

Er is formeel de mogelijkheid om je laptop in eigen beheer te houden maar ik vermoed (net als jij) dat ze een wijziging hebben doorgevoerd zonder met die uitzonderingssituatie rekening te houden.

Intussen zal ik moeten bedenken of ik in de tussentijd het remote beheer toe wil staan of om de x minuten een pop-up weg wil klikken...

Tenzij uiteraard iemand alsnog weet hoe je van die krengen af kan

[walterg]

Uiteindelijk heeft de beheerder waar ik al mee gesproken heb het geregeld!

Toch verbaas ik me er over dat de pop ups niet weg te krijgen waren.

Hoe dan ook ben ik nu van het gedoe af

Als iemand alsnog een methode weet dan hoor ik het graag (puur uit nieuwsgierigheid).