Ограничить возможность пользователей Mac для обновления OS X

Question

Я использую смешанную среду с пользователями Mac и Windows в домене Windows / Active Directory.

У меня было несколько пользователей на Mac, которые обновляли свои ОС, не задумываясь о последствиях, которые это может иметь в отношении программного обеспечения, которое они используют.

Есть ли способ настроить Mac так, чтобы только администратор имел права на обновление ОС?

Answer 1

Любой, кто является локальным администратором, может обновить ОС, и машина обычно не отсоединяется от AD. Таким образом, единственным очевидным выбором для этого являются

1. Вытащите права администратора у ваших пользователей. Будьте готовы к обзываниям, крикам и эскалации управления. Недостатком для вас является то, что вам нужно дать им некоторые права детализации.
2. Измените /etc/sudoers чтобы ограничить их возможности. Это может быть сложнее, чем № 1, потому что это менее документировано
3. Если вы размещаете обновление программного обеспечения, заблокируйте его обновление. Проверьте эту страницу для идеи, как это сделать.
4. Используйте качественный инструмент управления OSX (я большой поклонник Casper Suite JAMF), который позволит вам использовать политики машин, которые будут препятствовать обновлению.

GL