Gidsen voor beheerde uitrol

Resultaat

De documentatie voor beheerders bevat de exacte instellingen voor een uitrol met Microsoft Intune, Microsoft Configuration Manager en Jamf Pro.

De repository van de native desktopapplicatie beheert de pakketten en publiceert ze op vaste URL's via distribution.xfa.tech. Deze repository verwijst naar die bestanden in plaats van kopieën bij te houden.

Beslissingen

XFA wordt per gebruiker uitgerold.
Een MDM is optioneel. Zelf installeren via Awareness of Enforcement blijft de gewone, drempelloze weg, terwijl deze gidsen gaan over een uitrol zonder tussenkomst en over bestaande beheerde vloten.
Uitrollen bestaat uit het pakket plus het token als variabele, niet uit een script eromheen. Het bestand dat de klant klaarzet is het bestand dat draait, er wordt tijdens de installatie niets gedownload, en elk hulpmiddel dat msiexec kan uitvoeren of een profiel kan uitsturen, kan XFA uitrollen. Zo worden vergelijkbare agents ook uitgerold, dus de stappen zijn al vertrouwd.
Op Windows gaat het token mee als de publieke MSI-eigenschap ENROLLMENT_TOKEN. Intune gebruikt daarom een line-of-business app: geen Content Prep Tool, geen detectieregel en geen instelling voor het installatiegedrag, want Intune leest dat allemaal uit het pakket. Intune laat precies één argument op de commandoregel toe, dus het token is de enige eigenschap.
Eén MSI dekt beide architecturen. XFA.msi draait op ARM64 onder emulatie en de updater vervangt die door de native versie. XFA-arm64.msi staat alleen beschreven voor beheerders die meteen native willen draaien.
Configuration Manager gebruikt een deployment type van het soort Windows Installer met dezelfde eigenschap, geïnstalleerd voor een aangemelde gebruiker en uitgerold naar een user collection.
Op macOS zit het token in een configuratieprofiel (com.xfa.desktop, EnrollmentToken), dat de client bij het opstarten leest, met een tokenbestand als tweede bron. Jamf rolt dus een pakket en een profiel uit, zonder script en zonder dat er iets als root draait wat als gebruiker hoort te draaien.
Een geweigerd token laat de installatie op Windows mislukken, zodat de MDM een fout meldt in plaats van een toestel dat wel installeerde maar niet bij de organisatie kwam.
Een vijfde pagina behandelt elk ander systeem, want het uitgangspunt is dat de commando's hierboven op zich volstaan.
Geen enkele MDM levert het e-mailadres van de toegewezen gebruiker. De client leidt dat af uit het aangemelde account en aanvaardt --email om het te overschrijven. Dat zit in de client, zodat er één implementatie en één foutmelding is.
Er worden geen scripts meegeleverd. De desktoppakketten lezen het token uit een MSI-eigenschap (Windows) of uit een configuratieprofiel of tokenbestand (macOS), zodat elk hulpmiddel dat een pakket installeert en een eigenschap meegeeft of een profiel uitstuurt, XFA kan uitrollen zonder dat er een script nagekeken moet worden.
Offboarden gebeurt met xfa unenroll --organization-id <id>, uitgevoerd als de aangemelde gebruiker, wat één organisatie verwijdert en de andere laat staan. De gedeelde applicatie verwijder je pas met een gewone verwijdering zodra xfa enrollment-status meldt dat er geen koppeling meer is.

Aanvaardingscriteria

Elk ondersteund systeem heeft een eigen gids met de exacte instellingen.
De gidsen verwijzen naar de pakketten die de repository van de native desktopapplicatie publiceert. Er worden geen scripts gepubliceerd of vereist.
De keuze van de Windows-architectuur is uitgelegd, en de identiteiten van de uitgever die beheerders kunnen vastleggen staan beschreven.
De detectie op Windows maakt onderscheid tussen koppelen en installeren. De standaarddetectie van de MSI meldt alleen de installatie. xfa enrollment-status --organization-id <id> staat beschreven voor detectie per organisatie, maar is nog niet de standaard in de gidsen.
Het uitvoeren als root in Jamf, het eigenaarschap van de gebruiker, de toegang tot de sleutelhanger en de automatische updates zijn uitgelegd. De trigger Login vermijdt de situatie op het aanmeldscherm.
De beschikbaarheid van het e-mailadres en het overschrijven ervan staan beschreven, zonder te beweren dat de MDM een variabele levert die hij niet levert.
Offboarden op Windows verwijdert één organisatie met xfa unenroll --organization-id. Het voorwaardelijk verwijderen van de applicatie via xfa enrollment-status staat beschreven maar is niet geautomatiseerd.
Het volledig koppelen tegen de live dienst staat nog open in de implementatie van de desktopapplicatie.