Qué vas a conseguir
Un Mac gestionado en Jamf Pro desde el primer encendido, y una política que instala una aplicación solo en los equipos que la necesitan, elegidos por un grupo inteligente en lugar de a mano. Es la base de todo lo que harás después en Jamf.
Antes de empezar
- Acceso a la consola de Jamf Pro con un rol que pueda crear políticas y grupos.
- Para el enrolamiento automatizado: el Mac comprado a través de Apple Business Manager y asignado al servidor MDM de Jamf; un PreStage Enrollment configurado.
- Para el enrolamiento por el usuario: la URL de enrolamiento (
https://contoso.jamfcloud.com/enroll) y una cuenta de usuario en Jamf o en el directorio integrado. - El certificado APNs vigente (Configuración → Push certificates). Caduca cada año; sin él, nada.
1. Enrolar
Automatizado (ABM): el Mac arranca, el Asistente de configuración muestra "contoso configurará este Mac", el usuario inicia sesión y el PreStage crea la cuenta local, instala el agente y aplica los perfiles. No hay nada que descargar.
Por el usuario: en https://contoso.jamfcloud.com/enroll, inicia sesión, descarga el perfil de gestión y lo aprueba en Ajustes del Sistema → Privacidad y seguridad → Perfiles. Desde macOS 11 el usuario tiene que pulsar Aprobar a mano: si no lo hace, el Mac aparece en Jamf pero sin MDM supervisado y los perfiles no se aplican.
Supervisado: Sí y MDM aprobado por el usuario: Sí son las dos casillas que tienen que estar. Sin ellas, FileVault, las restricciones y los comandos remotos fallan en silencio.
2. El inventario manda
Todo en Jamf (grupos, políticas, informes) se decide a partir del inventario que el Mac envía al hacer recon. Por defecto se actualiza una vez al día; si acabas de cambiar algo en el Mac y Jamf no lo refleja, fuerza uno:
sudo jamf reconRetrieving inventory preferences from https://contoso.jamfcloud.com/...Locating hardware information (macOS 15.1)...Locating applications...Submitting data to https://contoso.jamfcloud.com/...<computer_id>417</computer_id>3. Un grupo inteligente
Un grupo inteligente es una consulta sobre el inventario que se recalcula sola. Ejemplo: los Mac de Ventas que todavía no tienen la app del CRM.
El tercer criterio (inventario reciente) evita que la política persiga equipos apagados desde hace meses.
4. La política
Qué pasa después: cada Mac del grupo, en su siguiente check-in (cada 15 minutos por defecto), ejecuta la política, instala el paquete y actualiza el inventario. En el siguiente recálculo deja de cumplir el criterio y sale del grupo solo. Cuando el grupo llega a 0 miembros, has terminado, sin tocar nada.
Para probar en un Mac sin esperar al check-in:
sudo jamf policy -verboseChecking for policies triggered by "recurring check-in" for user "laura.prado"...Executing Policy Instalar CRM DesktopDownloading CRM-Desktop-4.2.pkg...Installing CRM-Desktop-4.2.pkg...Successfully installed CRM-Desktop-4.2.pkg.Running Recon...sudo jamf policy -event instalar-crm # si la política tiene un activador personalizado5. Cuando una política no se ejecuta
- Registros de la política (Políticas → la política → Registros): si el Mac aparece con "Pendiente", no ha hecho check-in; si aparece "Fallida", el log dice por qué (paquete que no existe en el punto de distribución, disco lleno,
pkgque exige reinicio). - En el Mac:
sudo jamf checkJSSConnectioncomprueba que llega al servidor;tail -f /var/log/jamf.logmuestra la ejecución en vivo. - Una política con frecuencia "Una vez por equipo" que falló no se reintenta sola: Limpiar registros para esos equipos y vuelve a ejecutarse.
- El Mac no aparece en el grupo: criterio mal escrito (el nombre de la app es el del bundle,
CRM Desktop.app, con.app) o inventario sin actualizar.
Siguientes pasos
- Empaqueta las aplicaciones con Jamf Composer o usa el Jamf App Catalog para que se actualicen solas.
- Mira Autoservicio para lo que el usuario puede instalar cuando quiera: baja tickets y les da autonomía.
- En el Nivel 3 verás la gestión de Mac desde Intune y cuándo tiene sentido Jamf, Intune o los dos.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
A Mac managed in Jamf Pro from first power-on, and a policy that installs an application only on the devices that need it, picked by a smart group rather than by hand. It is the foundation of everything you will do in Jamf afterwards.
Before you start
- Access to the Jamf Pro console with a role that can create policies and groups.
- For automated enrolment: the Mac bought through Apple Business Manager and assigned to Jamf's MDM server; a PreStage Enrollment configured.
- For user-initiated enrolment: the enrolment URL (
https://contoso.jamfcloud.com/enroll) and a user account in Jamf or the integrated directory. - A valid APNs certificate (Settings → Push certificates). It expires every year; without it, nothing works.
1. Enrol
Automated (ABM): the Mac boots, Setup Assistant shows "contoso will configure this Mac", the user signs in and the PreStage creates the local account, installs the agent and applies the profiles. Nothing to download.
User-initiated: at https://contoso.jamfcloud.com/enroll, sign in, download the management profile and approve it in System Settings → Privacy & Security → Profiles. Since macOS 11 the user has to click Approve by hand: if they don't, the Mac appears in Jamf without supervised MDM and profiles don't apply.
Supervised: Yes and User Approved MDM: Yes are the two boxes that must be ticked. Without them, FileVault, restrictions and remote commands fail silently.
2. Inventory rules everything
Everything in Jamf (groups, policies, reports) is decided from the inventory the Mac submits when it runs recon. By default it updates once a day; if you just changed something on the Mac and Jamf doesn't show it, force one:
sudo jamf reconRetrieving inventory preferences from https://contoso.jamfcloud.com/...Locating hardware information (macOS 15.1)...Locating applications...Submitting data to https://contoso.jamfcloud.com/...<computer_id>417</computer_id>3. A smart group
A smart group is a query on the inventory that recalculates itself. Example: Sales Macs that don't yet have the CRM app.
The third criterion (recent inventory) stops the policy chasing Macs that have been switched off for months.
4. The policy
What happens next: every Mac in the group, at its next check-in (every 15 minutes by default), runs the policy, installs the package and updates the inventory. At the next recalculation it no longer meets the criterion and leaves the group on its own. When the group reaches 0 members, you are done, without touching anything.
To test on one Mac without waiting for check-in:
sudo jamf policy -verboseChecking for policies triggered by "recurring check-in" for user "laura.prado"...Executing Policy Install CRM DesktopDownloading CRM-Desktop-4.2.pkg...Installing CRM-Desktop-4.2.pkg...Successfully installed CRM-Desktop-4.2.pkg.Running Recon...sudo jamf policy -event install-crm # if the policy has a custom trigger5. When a policy doesn't run
- Policy logs (Policies → the policy → Logs): if the Mac shows "Pending", it has not checked in; if "Failed", the log says why (package missing from the distribution point, disk full, a
pkgthat requires a reboot). - On the Mac:
sudo jamf checkJSSConnectionconfirms it reaches the server;tail -f /var/log/jamf.logshows execution live. - A "Once per computer" policy that failed does not retry on its own: Flush logs for those computers and it runs again.
- The Mac is not in the group: criterion written wrong (the app name is the bundle name,
CRM Desktop.app, with.app) or inventory not updated.
Next steps
- Package applications with Jamf Composer or use the Jamf App Catalog so they update themselves.
- Look at Self Service for what the user may install whenever they want: it lowers tickets and gives them autonomy.
- In Level 3 you'll see Mac management from Intune and when Jamf, Intune or both make sense.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →