Macを管理する。その① USBを抹殺する（ストレージのみ）

#背景
当社では、ほぼ全社員がMacを使っている。
Windowsと違い、Macでは管理する上で必要な色々な事ができない（ハードルがある）
実現までに四苦八苦したので、経緯を書き留めておきます。

#目次

• USBを抹殺する（ストレージのみ） ←今回はコレ
• FWを強制する
• Bluetooth共有を抹殺する
• プリンタを制御する
• パスワードポリシーを設定する
• 特定のWebサイトへのアクセスを禁止する

などなど。

#やること
Macにストレージを接続できないようにし、データの流出を防ぐ

＊今回のお題を実現するには、Macへプロファイルを配布できる環境が必要です。

#やってみる
今回色々やりました。

• 導入しているMDMで設定を試みる（そもそもUSB制御する項目がなかった）
• Macを直接イジってできないか試みる（できた所で運用回らないから止めた）
• Mac Serverを導入（結果これでできたが、細かな制御ができなかった）
• プロファイルを手で書く　←今回はコレ

では、書く。

mobileconfig

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
	<key>PayloadContent</key>
	<array>
		<dict>
			<key>PayloadEnabled</key>
			<true/>
			<key>PayloadDisplayName</key>
			<string>Restrictions</string>
			<key>PayloadIdentifier</key>
			<string>com.apple.systemuiserver</string>
			<key>PayloadType</key>
			<string>com.apple.systemuiserver</string>
			<key>PayloadUUID</key>
			<string>XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX</string>
			<key>PayloadVersion</key>
			<integer>1</integer>
			<key>mount-controls</key>
			<dict>
				<key>harddisk-external</key>
				<array>
					<string>eject</string>
					<string>alert</string>
				</array>
			</dict>
		</dict>
	</array>
	<key>PayloadDescription</key>
	<string>Mac_Disable storage</string>
	<key>PayloadDisplayName</key>
	<string>Mac_Disable storage</string>
	<key>PayloadIdentifier</key>
	<string>com.apple.systemuiserver</string>
	<key>PayloadOrganization</key>
	<string>COMPANY Name</string>
	<key>PayloadScope</key>
	<string>system</string>
	<key>PayloadType</key>
	<string>Configuration</string>
	<key>PayloadUUID</key>
	<string>XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX</string>
	<key>PayloadVersion</key>
	<integer>1</integer>	
	<key>PayloadRemovalDisallowed</key>
	<true/>
</dict>
</plist>

上記プロファイルは、おおよそ３段構成になっている。
上から順に先ず、

###ヘッダー（お約束みたいなやつ）

mobileconfig

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">

###実際に制御をかける箇所

mobileconfig

	<key>PayloadContent</key>
	<array>
		<dict>
			<key>PayloadEnabled</key>
			<true/>
			<key>PayloadDisplayName</key>
			<string>Restrictions</string>
			<key>PayloadIdentifier</key>
			<!-- 何の制御をかけたいかを記載。今回は下記。-->
			<string>com.apple.systemuiserver</string> 
			<key>PayloadType</key>
			<!-- 何の制御をかけたいかを記載。今回は下記。-->
			<string>com.apple.systemuiserver</string>
			<key>PayloadUUID</key>
			<!-- 色々プロファイル当てる場合は一意になるUUIDを記載　-->
			<string>XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX</string>
			<key>PayloadVersion</key>
			<integer>1</integer>
			<!-- ここから下が制御をかける箇所　-->
			<key>mount-controls</key>
			<dict>
				<!-- 外付けストレージ禁止　-->
				<key>harddisk-external</key>
				<array>
					<string>eject</string>
					<string>alert</string>
				</array>
			</dict>
		</dict>
	</array>

###プロファイル自体の基本設定のような箇所

mobileconfig

	<key>PayloadDescription</key>
	<string>Mac_Disable storage</string>
	<key>PayloadDisplayName</key>
	<string>Mac_Disable storage</string>
	<key>PayloadIdentifier</key>
	<!-- 何の制御をかけたいかを記載。今回は下記。-->
	<string>com.apple.systemuiserver</string>
	<key>PayloadOrganization</key>
	<string>COMPANY Name </string>
	<key>PayloadScope</key>
	<!-- Windowsで言う所のユーザーポリシーかコンピューターか　-->
	<string>system</string>
	<key>PayloadType</key>
	<string>Configuration</string>
	<key>PayloadUUID</key>
	<string>XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX</string>
	<key>PayloadVersion</key>
	<integer>1</integer>	

あとは、できたプロファイルを配布すれば完了です。

#まとめ
調べる過程で、Macでもプロファイル書けば色々制御できる事がわかった。
これは活用できそうだ！