Relution Signet Customer Hub

Comptes

La configuration Comptes définit si des invités sans compte utilisateur propre peuvent se connecter aux Mac gérés et comment macOS traite les comptes mobiles. Les comptes mobiles sont des copies mises en cache localement de comptes réseau, par exemple issus d’un Active Directory, qui permettent une connexion même sans liaison avec le service d’annuaire. Relution transmet les paramètres sous forme de profil avec le type de payload com.apple.MCX.

Formulaire Comptes dans le portail Relution

Prérequis

  • La configuration n’est possible qu’une fois par politique.
  • Elle n’est disponible que pour les appareils avec inscription de l’appareil, pas pour les appareils avec inscription utilisateur (User Enrollment) →.
  • Relution ne vérifie aucune version minimale de macOS.
  • Un appareil supervisé n’est pas nécessaire.
  • Les options de la section Compte mobile ne s’appliquent qu’aux utilisateurs réseau. Le Mac doit pour cela être relié à un service d’annuaire, par exemple via la configuration Active Directory →.

Comptes invités

La section Comptes invités propose deux interrupteurs. La clé correspondante dans le profil figure entre parenthèses.

  • Autorisez les invités à se connecter à l’ordinateur (EnableGuestAccount, valeur par défaut : désactivé) : active le compte invité.
  • N’autorisez pas les invités à se connecter à l’ordinateur (DisableGuestAccount, valeur par défaut : désactivé) : désactive le compte invité.

Le formulaire n’empêche pas l’activation simultanée des deux interrupteurs. Dans ce cas, N’autorisez pas les invités à se connecter à l’ordinateur n’a aucun effet et le compte invité reste activé. Pour bloquer l’accès invité, seul N’autorisez pas les invités à se connecter à l’ordinateur est donc activé.

Compte mobile

La section Compte mobile détermine quand macOS crée un compte mobile pour un utilisateur réseau et quand celui-ci est de nouveau supprimé.

  • Demande de contournement de l’authentification par jeton sécurisé (cachedaccounts.askForSecureTokenAuthBypass, valeur par défaut : désactivé) : supprime la demande qui autorise un jeton sécurisé (Secure Token) pour le compte lors de la création d’un compte mobile. Selon Apple, cette demande n’apparaît que sur les volumes APFS.
  • Créer un compte mobile au moment de la connexion (com.apple.cachedaccounts.CreateAtLogin, valeur par défaut : désactivé) : crée le compte mobile lors de la connexion de l’utilisateur réseau.
  • Invitation à la création d’un compte mobile (com.apple.cachedaccounts.WarnOnCreate, valeur par défaut : désactivé) : demande à l’utilisateur, avant la création, si un compte mobile doit être créé. L’utilisateur peut alors refuser la création.
  • Permettre aux utilisateurs d’arrêter les invites de création de compte mobile (cachedaccounts.WarnOnCreate.allowNever, valeur par défaut : désactivé) : l’utilisateur peut désactiver l’invitation de façon permanente, de sorte qu’elle ne s’affiche plus à chaque connexion. L’option ne peut être modifiée que tant que Invitation à la création d’un compte mobile est activé, et macOS ne l’évalue que dans ce cas.
  • Expiration des comptes en cache (cachedaccounts.expiry.delete.disusedSeconds, valeur par défaut : -1) : durée minimale en secondes pendant laquelle un compte mobile doit exister avant que macOS tente de le supprimer automatiquement. La valeur -1 signifie que les comptes mobiles ne sont jamais supprimés automatiquement ; avec la valeur 0, macOS supprime le compte lors de la prochaine connexion ou déconnexion. Les valeurs inférieures à -1 ne sont pas acceptées, et il n’y a pas de limite supérieure. Une journée correspond par exemple à 86400 secondes.

Particularités

  • Toutes les valeurs sont transmises : Relution transmet tous les interrupteurs avec leur valeur actuelle, y compris false pour les options désactivées. La valeur enregistrée de Permettre aux utilisateurs d’arrêter les invites de création de compte mobile est conservée et transmise même lorsque Invitation à la création d’un compte mobile est désactivé.
  • Recoupement avec Active Directory : la configuration Active Directory contient ses propres options de création de comptes mobiles (Créer un compte mobile lors de la connexion, Avertissement avant la création du compte mobile). Relution ne compare pas ces options avec la configuration Comptes. Il convient donc d’éviter des valeurs contradictoires dans les deux configurations. Le paramètre appliqué par macOS en cas de contradiction relève d’Apple.
  • Fenêtre de connexion : la présentation de la fenêtre de connexion et l’affichage des utilisateurs réseau sont régis par la configuration Fenêtre de connexion →.
  • Apple Configurator 2 : si une politique contient déjà une configuration Apple Configurator 2 avec le type de payload com.apple.MCX, les configurations Comptes et Économiseur d’énergie ne peuvent plus y être ajoutées. Inversement, la configuration Comptes empêche l’ajout d’une configuration Apple Configurator 2 avec ce type de payload (voir Configuration d’Apple Configurator 2 →). Comptes et Économiseur d’énergie peuvent quant à elles être utilisées ensemble dans une même politique.

Sujets connexes