Jamf Pro: enrolar un Mac y desplegar una política con un grupo inteligente

Qué vas a conseguir

Un Mac gestionado en Jamf Pro desde el primer encendido, y una política que instala una aplicación solo en los equipos que la necesitan, elegidos por un grupo inteligente en lugar de a mano. Es la base de todo lo que harás después en Jamf.

Antes de empezar

• Acceso a la consola de Jamf Pro con un rol que pueda crear políticas y grupos.
• Para el enrolamiento automatizado: el Mac comprado a través de Apple Business Manager y asignado al servidor MDM de Jamf; un PreStage Enrollment configurado.
• Para el enrolamiento por el usuario: la URL de enrolamiento (https://contoso.jamfcloud.com/enroll) y una cuenta de usuario en Jamf o en el directorio integrado.
• El certificado APNs vigente (Configuración → Push certificates). Caduca cada año; sin él, nada.

1. Enrolar

Automatizado (ABM): el Mac arranca, el Asistente de configuración muestra "contoso configurará este Mac", el usuario inicia sesión y el PreStage crea la cuenta local, instala el agente y aplica los perfiles. No hay nada que descargar.

Por el usuario: en https://contoso.jamfcloud.com/enroll, inicia sesión, descarga el perfil de gestión y lo aprueba en Ajustes del Sistema → Privacidad y seguridad → Perfiles. Desde macOS 11 el usuario tiene que pulsar Aprobar a mano: si no lo hace, el Mac aparece en Jamf pero sin MDM supervisado y los perfiles no se aplican.

Supervisado: Sí y MDM aprobado por el usuario: Sí son las dos casillas que tienen que estar. Sin ellas, FileVault, las restricciones y los comandos remotos fallan en silencio.

2. El inventario manda

Todo en Jamf (grupos, políticas, informes) se decide a partir del inventario que el Mac envía al hacer recon. Por defecto se actualiza una vez al día; si acabas de cambiar algo en el Mac y Jamf no lo refleja, fuerza uno:

›sudo jamf reconRetrieving inventory preferences from https://contoso.jamfcloud.com/...Locating hardware information (macOS 15.1)...Locating applications...Submitting data to https://contoso.jamfcloud.com/...<computer_id>417</computer_id>

3. Un grupo inteligente

Un grupo inteligente es una consulta sobre el inventario que se recalcula sola. Ejemplo: los Mac de Ventas que todavía no tienen la app del CRM.

El tercer criterio (inventario reciente) evita que la política persiga equipos apagados desde hace meses.

4. La política

Qué pasa después: cada Mac del grupo, en su siguiente check-in (cada 15 minutos por defecto), ejecuta la política, instala el paquete y actualiza el inventario. En el siguiente recálculo deja de cumplir el criterio y sale del grupo solo. Cuando el grupo llega a 0 miembros, has terminado, sin tocar nada.

Para probar en un Mac sin esperar al check-in:

›sudo jamf policy -verboseChecking for policies triggered by "recurring check-in" for user "laura.prado"...Executing Policy Instalar CRM DesktopDownloading CRM-Desktop-4.2.pkg...Installing CRM-Desktop-4.2.pkg...Successfully installed CRM-Desktop-4.2.pkg.Running Recon...›sudo jamf policy -event instalar-crm   # si la política tiene un activador personalizado

5. Cuando una política no se ejecuta

• Registros de la política (Políticas → la política → Registros): si el Mac aparece con "Pendiente", no ha hecho check-in; si aparece "Fallida", el log dice por qué (paquete que no existe en el punto de distribución, disco lleno, pkg que exige reinicio).
• En el Mac: sudo jamf checkJSSConnection comprueba que llega al servidor; tail -f /var/log/jamf.log muestra la ejecución en vivo.
• Una política con frecuencia "Una vez por equipo" que falló no se reintenta sola: Limpiar registros para esos equipos y vuelve a ejecutarse.
• El Mac no aparece en el grupo: criterio mal escrito (el nombre de la app es el del bundle, CRM Desktop.app, con .app) o inventario sin actualizar.

Siguientes pasos

• Empaqueta las aplicaciones con Jamf Composer o usa el Jamf App Catalog para que se actualicen solas.
• Mira Autoservicio para lo que el usuario puede instalar cuando quiera: baja tickets y les da autonomía.
• En el Nivel 3 verás la gestión de Mac desde Intune y cuándo tiene sentido Jamf, Intune o los dos.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.