Jamf Proで導入する

​

まず結論

**検証状況：実機検証待ち。**Chromeの強制配布とManaged Storage、Edgeの強制配布、JamfのアップロードとPayload Variablesは公式仕様で確認済みです。Edgeの拡張機能別Managed Storage、Jamf取り込み後の4 payload保持、端末上での変数置換、既存プロファイルとの競合は、最初の実機で確認してください。

​

仕組みを30秒で理解する

Jamf Pro
  ↓ 構成プロファイルを自動配布
folta-mdm-mac.mobileconfig
  ├─ Chrome / EdgeへFoltaを強制インストール
  └─ 登録トークンと端末情報をManaged Storageへ設定
       ↓
Folta拡張機能が自分で端末登録
       ↓
端末ごとの認証情報をブラウザ内へ保存

​

このプロファイルに含まれるもの

1. FoltaをChromeへ強制インストール
2. Chrome用Managed Storage
3. FoltaをEdgeへ強制インストール
4. Edge用Managed Storage

apiBaseUrl
enrollmentToken
deviceId       = $SERIALNUMBER
deviceHostname = $COMPUTERNAME
deviceUsername = $USERNAME

​

事前準備

• Folta管理者権限
• Jamf Pro管理者権限
• Jamf ProのMDM管理下で、Computer Levelの構成プロファイルを配信できるテスト用Mac 1〜5台（ChromeとEdgeの両方を同時に検証する場合は4台以下）
• 旧来のユーザー主導登録を含む環境では、InventoryでUser Approved MDMの状態も確認する
• Jamf InventoryのComputer Name、Serial Number、User and Locationが正しいこと
• Chrome / Edgeはプロファイルより先にインストールされている必要はないが、反映とFolta登録を確認する時点までに対象ブラウザをインストールし、一度起動する
• Folta API、拡張機能の更新情報、CRX配信先へHTTPS接続できること
• Folta管理画面の［セットアップ］から取得した最新macOS用セットアップキット

​

1. セットアップキットを準備する

1. ［macOS用をダウンロード］を押します。
2. ZIPを管理者Macで展開します。
3. folta-mdm-mac.mobileconfig を確認します。

PROFILE="./folta-mdm-mac.mobileconfig"

/usr/bin/plutil -lint "$PROFILE"
/usr/libexec/PlistBuddy -c 'Print :PayloadDisplayName' "$PROFILE"
/usr/libexec/PlistBuddy -c 'Print :PayloadIdentifier' "$PROFILE"

for index in 0 1 2 3; do
  /usr/libexec/PlistBuddy \
    -c "Print :PayloadContent:${index}:PayloadDisplayName" \
    "$PROFILE"
done

Folta Chrome Forcelist
Folta Chrome Managed Storage
Folta Edge Forcelist
Folta Edge Managed Storage

​

2. Jamf Proへアップロードする

Computers
→ Configuration Profiles
→ Upload

​

3. プロファイルは署名せずに使う

• 署名済みプロファイル：Jamfが内容を変更しないため、Jamf Payload Variablesを利用できない
• 未署名プロファイル：変数置換できるが、Jamfが認識できない設定を欠落・変換する可能性がある

​

4. Jamfから再ダウンロードして確認する

Computers
→ Configuration Profiles
→ 対象プロファイル
→ Download

• PayloadContentが4件ある
• 4つの表示名が残っている
• com.google.Chrome
• com.google.Chrome.extensions.<拡張機能ID>
• com.microsoft.Edge
• com.microsoft.Edge.extensions.<拡張機能ID>
• ExtensionInstallForcelist
• apiBaseUrl
• $SERIALNUMBER、$COMPUTERNAME、$USERNAME
• ChromeとEdgeの登録トークンが同じ

ORIGINAL="./folta-mdm-mac.mobileconfig"
JAMF_EXPORT="./jamf-downloaded.mobileconfig"
EXTENSION_ID="ここに拡張機能ID"

/usr/bin/plutil -lint "$ORIGINAL" && /usr/bin/plutil -lint "$JAMF_EXPORT"

payload_index() {
  file="$1"
  display_name="$2"
  for index in 0 1 2 3; do
    current=$(/usr/libexec/PlistBuddy \
      -c "Print :PayloadContent:${index}:PayloadDisplayName" \
      "$file" 2>/dev/null)
    if [ "$current" = "$display_name" ]; then
      printf '%s\n' "$index"
      return 0
    fi
  done
  return 1
}

token_hash() {
  file="$1"
  display_name="$2"
  domain="$3"
  index=$(payload_index "$file" "$display_name") || return 1
  /usr/libexec/PlistBuddy \
    -c "Print :PayloadContent:${index}:PayloadContent:${domain}:Forced:0:mcx_preference_settings:enrollmentToken" \
    "$file" | /usr/bin/shasum -a 256
}

for file in "$ORIGINAL" "$JAMF_EXPORT"; do
  printf '%s Chrome ' "$file"
  token_hash "$file" "Folta Chrome Managed Storage" \
    "com.google.Chrome.extensions.${EXTENSION_ID}"
  printf '%s Edge   ' "$file"
  token_hash "$file" "Folta Edge Managed Storage" \
    "com.microsoft.Edge.extensions.${EXTENSION_ID}"
done

​

5. 最初の1〜5台へ配布する

​

重要：一括配布せず、登録リクエスト数で分ける

​

6. 正常導入を確認する

​

① Jamf Pro / macOS

• Configuration Profile Statusが Completed
• 対象Macが現在もMDM管理下である
• Mac上に jp.folta.mdm.<拡張機能ID> のプロファイルがある
• 配布されたプロファイルに4つの設定が残っている
• Jamf変数が実値へ置換されている

/usr/bin/profiles status -type enrollment

sudo /usr/bin/profiles list -type configuration |
  /usr/bin/grep -F "jp.folta.mdm."

​

② Chrome / Edge

• chrome://policy で［Reload policies］を実行する
• ExtensionInstallForcelist のStatusが OK
• Sourceが Platform、Applies toが Machine
• chrome://extensions でFoltaが組織によって管理されている
• 利用者が拡張機能を無効化・削除できない

• edge://policy でポリシーを再読み込みする
• ExtensionInstallForcelist がエラーなしで表示される
• edge://extensions でFoltaが組織によって管理されている
• Folta管理画面への端末登録まで確認できる

​

③ Folta管理画面

• 端末一覧に対象Macが表示される
• Serial Number、Computer Name、Usernameが想定どおり
• BrowserがChromeまたはEdgeとして正しい
• テスト用ポリシーで検知・警告・ブロックが動作する
• 管理画面へログが届く

​

アップロード時に設定が欠落した場合

com.google.Chrome
com.google.Chrome.extensions.<拡張機能ID>
com.microsoft.Edge
com.microsoft.Edge.extensions.<拡張機能ID>

Computers
→ Configuration Profiles
→ New
→ General
→ Application & Custom Settings
→ Upload

​

更新・緊急停止・撤去

• 4 payloadの欠落またはunknown keyの削除が見つかった
• Jamfは Completed だが、Mac上のprofile、ブラウザ、Foltaのどれかで確認できない
• Jamf変数が実値へ置換されない
• EdgeがManaged Storageを読めず、Foltaへ登録されない
• 429または既存ポリシーとの競合が発生した

​

トラブルシューティング

​

JamfでPendingのままになる

• 対象MacのMDM登録とUser Approved状態を確認する
• Macがオンラインか確認する
• ScopeとExclusionsを確認する
• APNs / MDM commandの状態を確認する

​

CompletedだがFoltaのポリシーが出ない

• Chrome / Edgeを完全終了して再起動する
• chrome://policy / edge://policy を確認する
• 再ダウンロードしたプロファイルに4つの設定があるか確認する
• 既存のChrome / Edgeプロファイルとの競合を確認する
• 拡張機能更新先とCRX配信先への通信を確認する

​

Foltaには登録されたが端末名が不自然

​

Usernameが想定と違う

​

一部端末だけFoltaに登録されない

​

Chromeは成功したがEdgeだけ登録されない

• edge://policy と edge://extensions を確認する
• EdgeのManaged Storageが実機で取得できるか確認する
• 既存のEdgeポリシーとの競合を確認する
• Edgeを正式対応に含める前に、Folta管理画面への登録とポリシー動作までmust-passにする

​

やってはいけないこと

• setup.sh をJamf Policyから無人実行する
• Folta用PKGを作って配布する
• Jamf変数を使うプロファイルへ署名する
• アップロード後の内容確認をせず全社Scopeへ割り当てる
• unknown key警告で Remove unknown keys を押す
• Chrome / Edge両方を使う端末を5分以内に5台以上ずつ新規登録する
• Jamfの Completed だけで導入成功と判断する
• profiles show の全文、登録トークン、Managed Storageの認証情報を共有する
• sudo profiles install ... を使う

​

全社展開前チェック

• Jamf InventoryのComputer Name、Serial Number、Usernameを確認した
• 既存のChrome / Edgeプロファイルとの競合を確認した
• 元のmobileconfigに4つの設定がある
• Jamfから再ダウンロードして4つの設定を確認した
• 1〜5台でJamf / ブラウザ / Foltaの3層確認を完了した
• ChromeとEdgeを使う場合は両方で端末登録を確認した
• 配布単位と5分以上の間隔を決めた
• 429発生時の未登録端末だけを切り分けられる
• Apple Siliconで検証した
• Intel Macをサポートする場合はIntelでも検証した
• 緊急停止、Scope解除後のprofile削除、Folta側revokeをpilotで確認した

​

公式情報

• Jamf Pro：macOS構成プロファイル
• Jamf Pro：構成プロファイルのアップロード
• Jamf Pro：Payload Variables
• Jamf Pro：Application & Custom Settings
• Apple：構成プロファイルの競合を避ける
• Chrome：ExtensionInstallForcelist
• Chrome：Managed Storage
• Microsoft Edge：ExtensionInstallForcelist
• Jamf Pro：構成プロファイルのStatus
• Jamf Pro：設定・Scope変更時の配布