Parc offline avec des Macs, possible?

[PoneyBoy]

Bonjour à tous,

Cela fait bien longtemps que je ne suis plus sur Macintosh, alors depuis quelques temps, je traîne à répondre à un client qui souhaite équiper un service de son entreprise en Macs.

Récemment, ma maman a voulu que je lui remplace son ordinateur, un Macbook air de 2012. Je lui ai trouvé un Macbook Air M3 sous Mac OS X 26 (les sous-versions c'est pas pour les chiens).
Alors déjà je (re)découvre les machines (assez décevantes avec le positionnement de la webcam, et la pomme qui ne s'allume même plus, comme si ça coutait plus cher), mais alors l'OS, je n'y comprends plus rien. C'est saturé de tout un tas de trucs totalement inutiles.
Déjà que Lion m'avait gonflé à l'époque en rajoutant des trucs inutiles mais là... C'est hallucinant.

Parmi les trucs inutiles justement, il y a une chose particulièrement étrange. J'en reviens à mon client. Le service qui souhaiterait s'équiper en Macintosh est air-gaped. Donc cloisonnement strict de l'information, audits très poussés réguliers, réinstallation à blanc périodique, pas de connectivité Internet autorisée du tout, de l'achat de la machine jusqu'à la mise au rebut.

Sauf que moi, en "jouant" avec le Macbook M3 machin que j'ai acheté à ma mère, quelque chose m'a littéralement choqué. Après avoir tout bien salopé la machine comme il se doit, je teste la fonction de réinitialisation d'usine. Après quelques instants, le système se lance, et... me demande d'activer le Mac en le connectant à Internet, alors je regarde un peu et rien n'est prévu pour passer outre.

C'est à quel moment chez Apple qu'ils se sont dit que ce serait une bonne idée? Je ne peux m'empêcher de me remémorer Bertrand Serlet qui ironisait sur la nécessité d'activer Windows lors de la WWDC de 2006 ou 2007, mais même cette saleté de Windows au moins permet l'activation hors ligne...

Donc ma question est simple, lorsque mon client achètera ses Macs (enfin, s'il en achète), comment les activer sans accès à internet, que ce soit à l'installation initiale ou lors d'une réinstallation de l'OS? Est-il possible de bypasser cette monumentale connerie?

Sur un plan plus personnel je m'en fous complètement, je n'utilise plus de Macs depuis longtemps mais quand même... L'activation de Mac OS, celle-là il fallait la faire... Est-ce que chez Apple on a tellement de pognon qu'on n'a que ça à faire que de détériorer leurs produits? Parce que chez moi, un appareil qui requiert un échange avec le fabricant, peu importe la raison, c'est niet.
Et si le serveur du fabricant est en panne, ou que le fabricant disparaît, ou qu'on n'a tout simplement pas de connectivité là où on se trouve (chose que je rencontre fréquemment)? Quelles sont les données échangées? A quoi servent-elles? Qu'en fait le fabricant? A quel moment se pose-t-on ces questions qui me paraissent loin d'être anodines?

Merci d'avance pour votre aide, et bon courage à tous.

[hellomorld]

Regarde du côté d'Apple business et d'une solution de MDM associée, ça doit pouvoir gérer ce cas d'utilisation, par contre avec une config grand public, ça risque d'être compliqué (tout comme sous windows d'ailleurs).

[PoneyBoy]

Mais quel enfer!

Ça me paraît totalement tartignole ces histoires...

[Benzebut]

Déjà que Lion m'avait gonflé à l'époque en rajoutant des trucs inutiles mais là... C'est hallucinant.

Quels trucs inutiles sous macOS qui soient "hallucinant" depuis les nouvelles générations ?

Sauf que moi, en "jouant" avec le Macbook M3 machin que j'ai acheté à ma mère, quelque chose m'a littéralement choqué. Après avoir tout bien salopé la machine comme il se doit, je teste la fonction de réinitialisation d'usine. Après quelques instants, le système se lance, et... me demande d'activer le Mac en le connectant à Internet, alors je regarde un peu et rien n'est prévu pour passer outre.

Tout dépend de ce que vous souhaitez faire. La connexion à Internet lors du premier démarrage est pour vérfiier la mise à jour, ou télécharger l'installation de macOS ou enfin, activer la licence de macOS. Vous pouvez passer outre si vous avez l'installateur de macOS sur un clé de démarrage pour la partie logiciel. Par contre, pour l'activation de macOS, il faudra une confirmation de validité, comme pour tous les OS. Pour un parc d'entreprise, plus simple de mettre en place un MDM comme l'a indiqué hellomorld pour une gestion centralisée. Mais ce n'est pas propre à macOS...

[PoneyBoy]

Quels trucs inutiles sous macOS qui soient "hallucinant" depuis les nouvelles générations ?

Bah déjà 80/90% du dossier Applications, idem pour les préférences systèmes, et au niveau de ce qui tourne en tâche de fond, j'imagine que ça doit pas être bien jojo vu qu'on trouve des scripts pour "debloat" OS X et éliminer tout un tas de services.

Tout dépend de ce que vous souhaitez faire. La connexion à Internet lors du premier démarrage est pour vérfiier la mise à jour, ou télécharger l'installation de macOS ou enfin, activer la licence de macOS. Vous pouvez passer outre si vous avez l'installateur de macOS sur un clé de démarrage pour la partie logiciel. Par contre, pour l'activation de macOS, il faudra une confirmation de validité, comme pour tous les OS. Pour un parc d'entreprise, plus simple de mettre en place un MDM comme l'a indiqué hellomorld pour une gestion centralisée. Mais ce n'est pas propre à macOS...

Je souhaite juste mettre un tas de Macs dans un open space non relié à Internet, et je dois pouvoir en faire la maintenance sans avoir à les connecter à Internet. Ce que je fais déjà avec des postes Windows, Unix et Linux. Je n'ai pas besoin de vérifier la présence de mises à jour, ni de "confirmation de validité" (pas comme pour tous les OS. Windows peut faire ça sans internet, Linux et Unix j'en parle même pas). On n'a pas vraiment l'habitude ici de se laisser mener à la baguette comme ça par des machines, surtout pour quelque chose d'aussi trivial.

Décidément les Macs, c'est vraiment plus ce que c'était.
Bon, quoi qu'il en soit, merci pour vos réponses.

[stratele52]

Ta manière de voir les choses est dans doute causé , comme tu l'écris, par " Cela fait bien longtemps que je ne suis plus sur Macintosh......" .

J'écrirais probablement la même chose devoir revenir avec Window.


Bonne chance.

[Benzebut]

Bah déjà 80/90% du dossier Applications, idem pour les préférences systèmes, et au niveau de ce qui tourne en tâche de fond, j'imagine que ça doit pas être bien jojo vu qu'on trouve des scripts pour "debloat" OS X et éliminer tout un tas de services.

Pas dépendant de macOS, c'est le cas de toutes les distributions. Elles viennent avec plein d'applications, réglages, services pour satisfaire le plus grand nombre. Et vous pouvez les désactiver en fonction du profil d'utilisateur retenu. Voire créer des sessions sous macOS avec les droits associés.

Je souhaite juste mettre un tas de Macs dans un open space non relié à Internet, et je dois pouvoir en faire la maintenance sans avoir à les connecter à Internet. Ce que je fais déjà avec des postes Windows, Unix et Linux. Je n'ai pas besoin de vérifier la présence de mises à jour, ni de "confirmation de validité" (pas comme pour tous les OS. Windows peut faire ça sans internet, Linux et Unix j'en parle même pas). On n'a pas vraiment l'habitude ici de se laisser mener à la baguette comme ça par des machines, surtout pour quelque chose d'aussi trivial.

Encore une fois, ce n'est pas trivial et la meilleure méthode pour gérer un parc est de passer par un MDM, ce que tout administrateur sait. Il suffit alors de créer un master de macOS configuré aux petits oignons pour vos utilisateurs et de simplement le déployer localement. La validation et l'actualisation des mises à jour se faisant alors de manière centralisée pour l'ensemble du parc.
Sinon vous pouvez aussi le faire à la main, toujours en ayant un clone de macOS allégé, mais en fonction du nombre de postes pris en charge, cela peut prendre beaucoup de temps...

[PoneyBoy]

Merci pour vos avis, mais vous semblez ne pas comprendre l'environnement de déploiement. On est dans un service confiné. Pas d'accès au net. Pas de communication réseau.

Je n'insiste pas. Merci pour vos réponses.

[Benzebut]

Merci pour vos avis, mais vous semblez ne pas comprendre l'environnement de déploiement. On est dans un service confiné. Pas d'accès au net. Pas de communication réseau.

Je n'insiste pas. Merci pour vos réponses.

Encore une fois, ce n'est pas propre à macOS.
Dans cet environnement confiné, avez-vous déjà des ordinateurs utilisés ? Si tel est le cas, comment sont-ils gérés ?...

[PoneyBoy]

Bon.

Encore une fois, ce service est et doit rester hermétique. C'est triste mais c'est comme ça. Je ne suis pas concerné et n'y suis pour rien si aujourd'hui un Mac ne sait pas fonctionner sans raconter vos vies à Apple et la moitié d'Internet. A la base je demandais une explication, pas une excuse, et encore moins "Bah oui mais c'est pas le seul à le faire".

Imaginez-vous une partie d'un bâtiment, une trentaine d'ordinateurs, considérés comme particulièrement critiques. Pas de couverture réseau d'aucune sorte, même filaire, même télépathique. Ces machines doivent être déployées, paramétrées, l'applicatif métier installé et utilisées à l'intérieur et uniquement à l'intérieur. En cas de panne, elles seront soit réparées sur place et auditées, soit définitivement décommissionnées. Tous les trimestres, elles doivent être mises à blanc par le service d'audit, et réinstallées à partir du support d'installation qu'ils auront validé.

C'est très manuel et basique comme gestion du fait qu'il y a peu de machines. Et c'est quelque chose qui se fait sans aucune difficulté avec les machines sous Windows et BSD qui sont actuellement présentes. A une autre époque ils travaillaient sur terminaux avec un z10, qui était présent avec eux car... eh oui, pas le choix, il ne pouvait pas se trouver à l'extérieur de l'enceinte.

Il n'est simplement pas possible de placer dans cette partie des locaux des appareils qui requièrent une connexion, même une seule fois, même courte.

Il s'agit d'une question de respect de certaines normes de sécurité et de confidentialité, et qui échappent de toutes façons à mon contrôle et à celui de mon client.

Maintenant que vous savez à peu près tout, même si cela ne présente que peu d'intérêt, savez-vous dire s'il y a, oui ou non, possibilité de mettre en service, remettre à blanc et réinstaller des machines et leurs applicatifs, sans devoir faire appel à une connexion Internet?

Je vous préviens: Si ce n'est pas possible, on se détend car ce n'est pas grave, ils installeront autre chose, personnellement ça m'est à peu près égal, et les finances d'Apple n'en souffriront pas! Ce n'est pas nécessaire de me servir la même soupe et m'expliquer ce que vous croyez que tout administrateur sait, ou bien de trouver des excuses à Apple de pratiquer le nivellement par le bas avec ses logiciels. Vous perdriez notre temps à tous les deux.

[Benzebut]

Encore une fois, ce service est et doit rester hermétique. C'est triste mais c'est comme ça. Je ne suis pas concerné et n'y suis pour rien si aujourd'hui un Mac ne sait pas fonctionner sans raconter vos vies à Apple et la moitié d'Internet. A la base je demandais une explication, pas une excuse, et encore moins "Bah oui mais c'est pas le seul à le faire".

A la base, il n'y a pas de demande d'explication, mais un point de vue erroné sur une situation.
A titre personnel, je viens de basculer un ordinateur familial pendant les fêtes de Pâques sur un macOS Sequoia tout propre. Simplement par la procédure Apple avec une clé USB et la machine n'était pas connecté (filaire et/ou Wifi). Tout s'est bien passé et tout est opérationnel sans aucune aberration pour ces utilisateurs. Par contre depuis, il a réintégré son foyer et retrouvé des accès à Internet, donc bien sûr Apple et la moitié d'internet connait leurs vies désormais.

Je vous préviens: Si ce n'est pas possible, on se détend car ce n'est pas grave, ils installeront autre chose, personnellement ça m'est à peu près égal, et les finances d'Apple n'en souffriront pas! Ce n'est pas nécessaire de me servir la même soupe et m'expliquer ce que vous croyez que tout administrateur sait, ou bien de trouver des excuses à Apple de pratiquer le nivellement par le bas avec ses logiciels. Vous perdriez notre temps à tous les deux.

Non toujours pas. Par contre, il y a des experts qui pourraient parfaitement dépanner votre "client" pour ce cadre de travail en conformité avec la norme IGI 1300...

[PoneyBoy]

D'une part, on n'est pas du tout dans le cadre de l'IGI 1300 mais peu importe.

D'autre part, j'ai fait beaucoup de recherches, qui semblaient indiquer que ce n'est pas possible.

Pour ceux que le sujet intéresse, j'avais fait la même demande à plusieurs organismes ainsi qu'à Apple, qui m'ont confirmé qu'à partir des machines ARM, il n'est plus possible que les machines soient strictement offline, dans la mesure où il faudra au moins une activation.