Konfigurationsprofile und MDM-Registrierungsstatus im Terminal mit profiles prüfen

Ziel

Im Terminal ermitteln, welche Konfigurationsprofile auf einem Mac installiert sind, ob er in der Mobilgeräteverwaltung (MDM) registriert ist und was das für Einstellungen bedeutet, die sich lokal nicht ändern lassen.

Voraussetzungen

Terminal; einige Unterbefehle benötigen sudo, damit auch Profile sichtbar werden, die auf Systemebene und nicht nur auf Benutzerebene installiert sind.

Schritte

1. Alle installierten Konfigurationsprofile auf Benutzer- und Geräteebene auflisten: sudo profiles list -all.
2. Die MDM-Registrierung gezielt prüfen: profiles status -type enrollment. Der Befehl meldet, ob der Mac registriert ist und ob die Registrierung benutzergenehmigt ist. Diese Unterscheidung bestimmt, welche Payloads MDM anwenden darf.
3. Den Payload-Inhalt eines bestimmten Profils zur Prüfung ausgeben: sudo profiles show -type configuration.
4. Vor der Fehlersuche klären, was ein Konfigurationsprofil ist: Ein Profil bündelt eine oder mehrere Payloads – JSON beim neueren deklarativen Modell oder das ältere XML-Format .mobileconfig. Jede Payload legt eine Kategorie fest, zum Beispiel WLAN, Einschränkungen oder eine Privacy-Preferences-Policy-Control-Payload. Es können mehrere Profile gleichzeitig installiert sein, und ein Gerät kann Payloads aus mehreren davon enthalten.
5. Einstellungen erkennen, die ein lokales Administratorkonto in keinem Fall ändern kann: Eine Payload, die vom Verwaltungsdienst als erzwungen markiert ist, überschreibt dieselbe Einstellung in den Systemeinstellungen. Manche Funktionen – das Hinterlegen des Bootstrap-Tokens, die erzwungene Update-Zurückstellung, Einschränkungen nur für betreute Geräte – lassen sich grundsätzlich nur über MDM konfigurieren.
6. Bei deklarativen Konfigurationen ist zu erwarten, dass das Gerät Statusbedingungen selbst auswertet und die Ergebnisse über die Zeit zurückmeldet, statt in einem einzelnen Request/Response-Vorgang. Das ist der zentrale Unterschied zum älteren Modell, bei dem Profile an das Gerät gesendet werden.

Erwartetes Ergebnis

profiles status -type enrollment liefert eine eindeutige Antwort, ob das Gerät registriert ist oder nicht. profiles list -all nennt jedes Profil, das berücksichtigt werden muss, bevor man davon ausgeht, dass eine Einstellung lokal steuerbar ist.

Grenzen und Prüfbasis

Die Syntax der profiles-Unterbefehle stammt aus einer Befehlsreferenz, da Apple die Optionen dieses Tools nicht als Webseite veröffentlicht. Was ein Geräteverwaltungsdienst und die deklarative Geräteverwaltung sind und dass manche Einstellungen nur über MDM möglich sind, ist im Platform Deployment Guide von Apple dokumentiert.