Anleitungen für die verwaltete Bereitstellung

Ergebnis

Die Dokumentation für Administratoren enthält die genauen Einstellungen für eine Bereitstellung mit Microsoft Intune, Microsoft Configuration Manager und Jamf Pro.

Das Repository der nativen Desktop-App pflegt die Pakete und veröffentlicht sie unter festen URLs über distribution.xfa.tech. Dieses Repository verweist auf diese Dateien, statt Kopien zu pflegen.

Entscheidungen

XFA wird pro Benutzer bereitgestellt.
Ein MDM ist optional. Die Installation durch den Benutzer selbst über Awareness oder Enforcement bleibt der normale, reibungsarme Weg, während diese Anleitungen die Bereitstellung ohne Zutun des Benutzers und bestehende verwaltete Geräteflotten abdecken.
Die Bereitstellung besteht aus dem Paket plus dem Token als Variable, nicht aus einem Skript darum herum. Die Datei, die der Kunde bereitstellt, ist die Datei, die läuft, während der Installation wird nichts heruntergeladen, und jedes Werkzeug, das msiexec ausführen oder ein Profil ausrollen kann, kann XFA bereitstellen. Vergleichbare Agenten werden genauso bereitgestellt, die Schritte sind also bereits vertraut.
Unter Windows wird das Token als öffentliche MSI-Eigenschaft ENROLLMENT_TOKEN übergeben. Intune nutzt deshalb eine Line-of-Business-App: kein Content Prep Tool, keine Erkennungsregel und keine Einstellung für das Installationsverhalten, denn Intune liest all das aus dem Paket. Intune lässt genau ein Argument auf der Befehlszeile zu, also ist das Token die einzige Eigenschaft.
Eine MSI deckt beide Architekturen ab. XFA.msi läuft auf ARM64 per Emulation, und der Updater ersetzt sie durch die native Version. XFA-arm64.msi ist nur für Administratoren beschrieben, die sofort nativ laufen wollen.
Der Configuration Manager nutzt einen Bereitstellungstyp Windows Installer mit derselben Eigenschaft, installiert für einen angemeldeten Benutzer und ausgerollt an eine User Collection.
Unter macOS steckt das Token in einem Konfigurationsprofil (com.xfa.desktop, EnrollmentToken), das der Client beim Start liest, mit einer Token-Datei als zweiter Quelle. Jamf rollt also ein Paket und ein Profil aus, ohne Skript und ohne dass etwas als root läuft, was als Benutzer laufen sollte.
Ein abgelehntes Token lässt die Installation unter Windows fehlschlagen, sodass das MDM einen Fehler meldet statt ein Gerät, das zwar installiert hat, aber der Organisation nicht beigetreten ist.
Eine fünfte Seite behandelt jedes andere System, denn die Annahme ist, dass die obigen Befehle für sich genommen ausreichen.
Kein MDM liefert die E-Mail-Adresse des zugewiesenen Benutzers. Der Client leitet sie aus dem angemeldeten Konto ab und akzeptiert --email, um sie zu überschreiben. Das steckt im Client, damit es eine Implementierung und eine Fehlermeldung gibt.
Es werden keine Skripte mitgeliefert. Die Desktop-Pakete lesen das Token aus einer MSI-Eigenschaft (Windows) oder aus einem Konfigurationsprofil beziehungsweise einer Token-Datei (macOS), sodass jedes Werkzeug, das ein Paket installiert und eine Eigenschaft übergibt oder ein Profil ausrollt, XFA ohne ein zu prüfendes Skript bereitstellen kann.
Das Offboarding erfolgt mit xfa unenroll --organization-id <id>, ausgeführt als angemeldeter Benutzer, was eine Organisation entfernt und alle anderen bestehen lässt. Die gemeinsam genutzte Anwendung entfernen Sie erst mit einer normalen Deinstallation, sobald xfa enrollment-status meldet, dass keine Affiliation mehr besteht.

Abnahmekriterien

Jedes unterstützte System hat eine eigenständige Anleitung mit den genauen Einstellungen.
Die Anleitungen verweisen auf die Pakete, die das Repository der nativen Desktop-App veröffentlicht. Es werden keine Skripte veröffentlicht oder benötigt.
Die Wahl der Windows-Architektur ist erklärt, und die Herausgeberidentitäten, die Administratoren festlegen können, sind dokumentiert.
Die Erkennung unter Windows unterscheidet zwischen Beitritt und Installation. Die Standarderkennung der MSI meldet nur die Installation. xfa enrollment-status --organization-id <id> ist für die Erkennung je Organisation beschrieben, ist in den Anleitungen aber noch nicht der Standard.
Die Ausführung als root in Jamf, das Eigentum des Benutzers, der Zugriff auf den Schlüsselbund und die automatischen Updates sind erklärt. Der Trigger Login vermeidet den Fall am Anmeldebildschirm.
Die Verfügbarkeit der E-Mail-Adresse und das Überschreiben sind beschrieben, ohne zu behaupten, dass das MDM eine Variable liefert, die es nicht liefert.
Das Offboarding unter Windows entfernt eine Organisation mit xfa unenroll --organization-id. Das bedingte Entfernen der Anwendung über xfa enrollment-status ist beschrieben, aber nicht automatisiert.
Der vollständige Beitritt gegen den Live-Dienst steht in der Implementierung der Desktop-App noch aus.