בארגונים רבים מחשבי Mac הם הנקודה העיוורת של אבטחת התחנות. משתמשי Mac רגילים לעבוד כאדמינים, מתקינים אפליקציות בגרירה לתיקיית Applications, ומפתחים עובדים עם Terminal, Homebrew ו-sudo כל יום.
גם הצד הטכני מורכב יותר. macOS מגן על עצמו בשכבות כמו SIP, TCC ו-System Extensions, שינויים בהגדרות המערכת דורשים אימות של אדמין, ו-Apple משנה דברים בכל גרסה. הרבה פתרונות EPM נבנו קודם ל-Windows ורק אחר כך הותאמו ל-Mac, וזה מורגש.
לכן ארגונים רבים משאירים למשתמשי Mac הרשאות אדמין קבועות, גם כשב-Windows כבר הסירו אותן.
Admin By Request ל-Mac
ב-Admin By Request, ה-Mac הוא לא תוספת ל-Windows אלא מוצר שמתפתח בקצב שלו, עם גרסאות ייעודיות ותמיכה בגרסאות macOS החדשות. גרסה 6.0 תומכת ב-macOS 15, 26 ו-27.
הסוכן קטן מ-3MB ועובד ברקע בלי להאט את המחשב. הוא מנוהל מאותו פורטל שמנהל את תחנות ה-Windows וה-Linux, באותה מדיניות ובאותו תיעוד. אפשר להפיץ אותו דרך Jamf, Intune או כל כלי MDM אחר.
מהניסיון שלנו ב-OnCloud, המוצר עובד טוב מאוד אצל לקוחות עם הרבה מחשבי Mac, כולל סביבות פיתוח גדולות, שבהן הדרישות הכי מורכבות.
היכולות ב-macOS
התקנה ועדכון של אפליקציות
- Run As Admin: התקנה של קובץ pkg בלחיצה כפולה, או של אפליקציה בגרירה לתיקיית Applications, בדיוק כמו שמשתמשי Mac רגילים לעבוד.
- עדכונים בלי Admin Session: אפליקציה שאושרה מראש יכולה להתעדכן כשהיא מבקשת, כולל עדכונים של Slack, Cloudflare WARP ואפליקציות שמתעדכנות דרך Squirrel ו-ShipIt.
- הסרת אפליקציות: משתמש רגיל יכול להסיר אפליקציות מתיקיית Applications באישור של Admin By Request.
אישורים וחסימות
- אישור מראש לפי יצרן (Team ID), לפי אפליקציה (Bundle ID) או לפי Checksum. כשכלל משלב Team ID ו-Bundle ID, שניהם חייבים להתאים.
- טווח גרסאות: גרסה מינימלית ומקסימלית לכל כלל, כדי לא לאשר גרסאות ישנות עם חולשות או גרסאות חדשות שלא נבדקו.
- חסימת אפליקציות לפי Team ID, Bundle ID או Checksum, כולל חסימה של ה-App Store למשתמשים רגילים.
- אישור אוטומטי מבוסס למידת מכונה לאפליקציות שאושרו כבר מספיק פעמים.
הגדרות המערכת
- System Settings: אפשר לאשר מראש, לכל חלונית בנפרד, שינויים בהגדרות כמו מדפסות, תאריך ושעה, Time Machine, ניהול צריכת חשמל, עדכוני מערכת ו-System Extensions. חלוניות שלא אושרו מתנהגות כמו ש-macOS מתכוון: המשתמש רואה אותן ולא יכול לשנות.
אבטחה
- סריקה של כל קובץ עם OPSWAT MetaDefender.
- Owner: חסימת הרשאות לכל מי שאינו המשתמש הראשי של המחשב.
- תאימות Intune: חסימת הרשאות במחשב שלא עומד במדיניות התאימות.
- MFA לפני קבלת הרשאות, כולל שימוש בזהות של Platform SSO.
- Account Separation: הרשאות דרך חשבון נפרד מהחשבון הרגיל של המשתמש, כנדרש ב-Cyber Essentials Plus.
- במהלך Admin Session המשתמש לא יכול להסיר את Admin By Request או להוסיף, להסיר ולשנות חשבונות משתמשים.
תמיכה וחירום
- Support Assist: איש תמיכה מקבל הרשאות זמניות על המחשב, בלי הרשאות אדמין קבועות.
- Break Glass: חשבון אדמין מקומי זמני, ברוח LAPS של מיקרוסופט.
- Secure Remote Access: תמיכה מרחוק וגישה לא מלווה, כולל גישה בלי סיסמה עם חשבון זמני שנוצר לצורך הסשן.
ניהול
- הגדרות לפי קבוצות מ-Entra, מ-Okta או מ-Jamf, כולל Smart Groups.
- הסרה של חשבונות אדמין מקומיים ישירות מהפורטל.
- תיעוד מלא של כל אירוע, כולל פקודות sudo.
מה חדש בגרסה 6.0
גרסה 6.0 יצאה ב-26 באוקטובר 2026, והיא גרסה משמעותית (הערות גרסה):
- Managed sudo: משתמש רגיל יכול להריץ פקודות sudo מסוימות שאושרו מראש, בלי Admin Session. בנוסף, אפשר לחסום פקודות sudo מסוימות גם בתוך Admin Session. כל פקודה, מאושרת או חסומה, מתועדת. לאדמינים מקומיים sudo ממשיך לעבוד כרגיל.
- Remote Kill: אדמין בפורטל יכול לסיים מרחוק Admin Session או הרצה עם הרשאות, ולחסום זמנית בקשות חדשות במחשב.
- הארכת Admin Session: המשתמש יכול להאריך סשן פעיל מהטיימר, אם הארגון אפשר את זה.
- אישור מראש של System Settings לכל הגדרה: כל חלונית בהגדרות המערכת מקבלת מתג נפרד של מאושר או לא מאושר.
- ממשק חדש: עיצוב מודרני ומקורי יותר, וחלון אחד שמציג את כל הסשנים הפעילים.
- תמיכה מרחוק בתוך Admin Session: המשתמש יכול לבקש תמיכה מרחוק גם כשסשן פעיל.
- Platform SSO ל-MFA: זיהוי המשתמש לפי הזהות של Platform SSO.
- תמיכה ב-macOS 27.
בנוסף, הגרסה משפרת את ההתקנה של אפליקציות Electron מקובצי dmg, ופותרת בעיות שהיו עם אפליקציות כמו Postman.
מפתחים על Mac
סביבות פיתוח הן המבחן האמיתי של EPM ב-Mac. מפתחים עובדים ב-Terminal כל היום, מתקינים כלים דרך Homebrew, מריצים Docker ומשנים הגדרות רשת.
עד גרסה 6.0, כל פקודת sudo דרשה Admin Session מלא. עכשיו, עם Managed sudo, אפשר לאשר מראש את הפקודות שהמפתחים באמת צריכים, והן ירוצו בלי לפתוח סשן. מצד שני, אפשר לחסום פקודות מסוכנות, כמו שינוי של קובצי sudoers או כיבוי של הגנות המערכת, גם בתוך Admin Session.
בשילוב עם אישור מראש לכלי הפיתוח לפי Team ID, הגדרות נפרדות לקבוצת המפתחים ו-Admin Session למשימות מורכבות, אפשר להסיר הרשאות אדמין קבועות גם מהמפתחים, בלי לעצור את העבודה שלהם.
לסיכום
Mac הוא סביבה מאתגרת יותר ל-EPM, אבל זו כבר לא סיבה להשאיר למשתמשים הרשאות אדמין קבועות. Admin By Request מציע סוכן קטן, ניהול מאותו פורטל של Windows ו-Linux, ויכולות שנבנו במיוחד ל-macOS. גרסה 6.0, עם Managed sudo, סוגרת את הפער האחרון שהיה בסביבות פיתוח.
ב-OnCloud אנחנו מטמיעים את Admin By Request גם בסביבות Mac גדולות ובסביבות פיתוח. רוצים לבדוק את זה אצלכם? אפשר להתחיל בפיילוט חינמי על עד 25 מחשבים.
תיאום פגישה לדמו טכני