Déployer Floodtide sur un parc de Mac

Floodtide est livré sous forme de DMG signé et notarisé par Apple. Aujourd’hui, une installation sur un parc est l’installation ordinaire : copier Floodtide.app dans le dossier Applications sur chaque Mac, l’ouvrir une fois et saisir la clé du parc sous Réglages, puis Licence. Une seule clé pour tous les Mac ; elle active jusqu’au nombre de postes que vous avez achetés.

Avec un MDM, vous pouvez déployer le DMG, ou l’app qu’il contient, comme vous déployez n’importe quelle app aujourd’hui. La clé se saisit encore une fois par Mac, jusqu’à ce que la prochaine version, la 1.4.5, la lise dans une préférence gérée (ci-dessous).

Un PKG signé pour le déploiement par MDM, avec la clé préchargée, est le chantier suivant pour Teams après cela et n’est pas disponible aujourd’hui. Aucune date n’est promise sur cette page ; elle est mise à jour quand l’un ou l’autre sort.

• Récupérer le DMG. Depuis la page d’installation, ou déployé par votre MDM. L’app est signée avec un Developer ID (Team ID 2789Z6VPPC) et notarisée par Apple, Gatekeeper l’ouvre donc sans clic droit.
• Copier Floodtide.app dans le dossier Applications. Glissez-la hors du DMG, ou laissez votre MDM la placer dans /Applications. C’est de là que Floodtide se met à jour lui-même.
• Saisir la clé du parc une seule fois. Ouvrez Floodtide, choisissez Réglages, puis Licence, collez la clé et cliquez sur Activer. Le Mac prend un poste. La même clé fonctionne sur chaque Mac du parc.
• Autoriser les deux éléments en arrière-plan. macOS demande à la personne devant le Mac d’autoriser l’élément d’ouverture de session de Floodtide et, la première fois qu’une mise à jour en a besoin, son démon auxiliaire. Un MDM peut autoriser les deux à l’avance (ci-dessous).

À partir de la version 1.4.5, Floodtide lit la clé de licence dans une préférence, de sorte qu’un Mac peut arriver déjà activé sans que personne ne saisisse rien. Le domaine est com.getfloodtide.floodtide et la clé est FloodtideLicenseKey, une chaîne contenant la clé du parc. Floodtide la lit dans /Library/Managed Preferences, où un profil de configuration MDM la dépose, et dans /Library/Preferences, où la commande ci-dessous l’écrit, puis s’active à son premier lancement.

Sur un Mac sans MDM, en tant qu’administrateur :

sudo defaults write /Library/Preferences/com.getfloodtide.floodtide FloodtideLicenseKey "FLOODTIDE-XXXXX-XXXXX-XXXXX"

Avec un MDM, la même clé et la même valeur comme réglages personnalisés pour le domaine com.getfloodtide.floodtide :

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>FloodtideLicenseKey</key>
  <string>FLOODTIDE-XXXXX-XXXXX-XXXXX</string>
</dict>
</plist>

Jamf appelle cela « Application and Custom Settings » ; Kandji et Mosyle l’acceptent comme profil personnalisé ; tout MDM qui écrit des préférences gérées peut le distribuer. Un profil est la meilleure voie : il survit à un effacement de /Library/Preferences et il est retiré proprement quand le Mac quitte le parc.

Un Mac qui détient déjà une clé la garde ; la préférence n’est lue que tant que l’app n’a pas de licence à elle. Retirer la préférence ne désactive pas un Mac : libérez son poste depuis la page de compte ou depuis le Mac lui-même (ci-dessous). Les versions antérieures à 1.4.5 ignorent la préférence et demandent toujours la clé une fois.

Un paquet d’installation signé et notarisé par Apple, qui place l’app dans le dossier Applications avec la clé préchargée et les éléments en arrière-plan enregistrés, est le prochain chantier de Teams après la préférence gérée. Il n’est pas disponible aujourd’hui, et cette page ne lui donne aucune date.

Si c’est un PKG qu’il vous faut avant d’acheter, écrivez à raf@bhopstudio.com et je vous dirai où il en est. La préférence gérée ci-dessus supprime déjà la seule étape qui exigeait une personne devant chaque Mac.

Floodtide enregistre deux éléments en arrière-plan, tous deux signés par la même équipe Developer ID, 2789Z6VPPC. Sous macOS 13 et ultérieur, la personne devant le Mac est invitée à autoriser chacun d’eux dans Réglages Système, sous Ouverture (Autoriser en arrière-plan) ; un profil de configuration avec un payload com.apple.servicemanagement les autorise à l’avance et aucune demande n’apparaît.

• L’élément d’ouverture de session. Floodtide.app elle-même, identifiant de bundle com.getfloodtide.floodtide, pour qu’elle recherche les mises à jour aux heures que vous fixez et tourne depuis la barre des menus.
• Le démon auxiliaire. Un démon portant le label com.getfloodtide.floodtide.helper, installé à la demande la première fois qu’une mise à jour doit écrire là où l’utilisateur connecté ne le peut pas : une app appartenant à un autre compte, un installeur PKG, une mise à jour de l’App Store. C’est la seule partie de Floodtide qui s’exécute en tant que root, et il ne fait rien tant que l’app ne le lui demande pas.

Le payload, dans le tableau PayloadContent d’un profil de configuration :

<dict>
  <key>PayloadType</key>
  <string>com.apple.servicemanagement</string>
  <key>PayloadVersion</key>
  <integer>1</integer>
  <key>PayloadIdentifier</key>
  <string>com.getfloodtide.floodtide.background-items</string>
  <key>PayloadUUID</key>
  <string>7D5E1F2A-6B3C-4E8D-9A0F-1C2B3D4E5F60</string>
  <key>PayloadDisplayName</key>
  <string>Floodtide background items</string>
  <key>Rules</key>
  <array>
    <dict>
      <key>RuleType</key>
      <string>TeamIdentifier</string>
      <key>RuleValue</key>
      <string>2789Z6VPPC</string>
      <key>Comment</key>
      <string>Floodtide login item (com.getfloodtide.floodtide) and helper (com.getfloodtide.floodtide.helper)</string>
    </dict>
  </array>
</dict>

Une seule règle TeamIdentifier couvre les deux éléments et tout ce que Floodtide ajoutera plus tard sous la même équipe. Si votre MDM construit le payload dans son propre éditeur, le type de règle est « Team Identifier » et la valeur est 2789Z6VPPC. Un profil qui ne nommerait que l’app par son identifiant de bundle laisserait le démon auxiliaire à autoriser à la main.

• Une clé, autant de postes que vous en avez achetés. Chaque Mac qui s’active prend un poste, entre 5 et 500. Un Mac qui s’active de nouveau avec la même clé, après une réinstallation par exemple, garde son poste au lieu d’en prendre un second.
• Le nombre de postes suit l’abonnement. Ajoutez ou retirez des Mac avec « Manage billing » sur votre page de compte : Stripe calcule la différence au prorata sur votre prochaine facture et la clé prend le nouveau nombre en moins d’une minute, dans la même fourchette de 5 à 500.
• La Tide est incluse. Chaque Mac sur la clé a la Tide tant que l’abonnement court ; il n’y a rien à ajouter par Mac.
• Si l’abonnement prend fin. La clé continue d’installer les mises à jour pendant 30 jours de plus ; ensuite l’installation s’arrête et l’analyse reste gratuite sur chaque Mac. Abonnez-vous de nouveau et la même clé reprend.

Sur le Mac lui-même : Réglages, puis Licence, puis Désactiver. Le poste revient aussitôt.

Depuis n’importe où : connectez-vous sur bhopstudio.com/floodtide/account avec l’adresse qui a servi à acheter la clé. Sous « Licenses », chaque Mac activé est listé avec le jour où il a été vu pour la dernière fois, et « Release seat » le libère. Un Mac vendu, effacé ou perdu se libère là, et la même clé active ensuite le Mac qui le remplace.

La page de compte affiche une étiquette opaque par Mac, pas son nom ni son numéro de série.

Stripe envoie par e-mail une facture avec TVA pour chaque paiement, le premier comme chaque renouvellement, avec l’adresse de facturation, le numéro de TVA et le numéro de bon de commande indiqués lors du paiement. La dernière facture est liée depuis le panneau Teams de votre page de compte, et « Manage billing » y ouvre le portail de Stripe : toutes les factures, la carte enregistrée, le nombre de postes et la résiliation.

La résiliation met fin à l’abonnement au terme de l’année déjà payée ; rien de plus n’est prélevé. Dans les 14 jours suivant tout paiement, vous pouvez aussi vous le faire rembourser intégralement, sans justification.

Écrivez à raf@bhopstudio.com ; le développeur répond lui-même. Pour une question de déploiement, indiquez votre MDM et les versions de macOS du parc ; pour un problème de clé, joignez la clé.