Всем привет, это команда Ринго! 

Вокруг macOS сложилась, пожалуй, уникальная для корпоративного мира экосистема бесплатных админских инструментов. Сообщество MacAdmins (Slack на десятки тысяч участников, конференции JNUC и MacAdmins PSU) годами создаёт и поддерживает утилиты, которые закрывают пробелы между тем, что даёт Apple “из коробки”, и тем, что действительно нужно администратору. Причём многие из этих инструментов написаны инженерами Jamf, SAP и других крупных компаний и выложены в opensource.

В этой статье мы собрали 12 утилит, которые чаще всего встречаются в арсенале администраторов macOS. Почти все они бесплатны и с открытым исходным кодом, работают независимо от того, каким MDM вы пользуетесь, и решают конкретные задачи: от выдачи TCC‑разрешений до принуждения пользователей к обновлениям.

Разрешения и профили

PPPC Utility

Начиная с macOS Mojave, Apple последовательно ужесточает контроль доступа приложений к данным и функциям системы — механизм TCC (Transparency, Consent, and Control). Он требует явного согласия пользователя на доступ приложений к диску, камере, микрофону и к инструментам «Универсального доступа». Мы подробно рассказывали об этой эволюции в статье «Краткая история защиты конфиденциальности на Mac». Для домашнего пользования — не проблема, а для администратора — головная боль: какой‑нибудь условный Яндекс Телемост, например, не заработает, пока не получит нужные разрешения. Раздавать их вручную на сотню машин нереально, поэтому существует настройка Privacy Preferences Policy Control (PPPC), доставляемая через MDM.

Собирать такой профиль руками — значит выяснять «идентификатор пакета» (bundle ID), “требование к коду” (code requirement) и точные названия TCC‑сервисов. PPPC Utility от Jamf делает это за вас: перетаскиваете приложение в окно утилиты, она сама извлекает идентификатор и code requirement, а вы галочками отмечаете нужные разрешения на запись экрана, доступ к диску и так далее. На выходе готовый файл.mobileconfig, который можно подписать и загрузить в любой MDM. Утилита открытая и бесплатная, при этом работать с ней можно и без Jamf Pro.

iMazing Profile Editor

Если PPPC Utility закрывает один конкретный payload, то iMazing Profile Editor от DigiDNA — это визуальный редактор конфигурационных профилей вообще. Приложение знает сотни доменов настроек: и системные payload'ы Apple, и preference‑домены популярных приложений — Chrome, Firefox, Microsoft Office, Zoom. Каждый ключ снабжён описанием и указанием поддерживаемых версий ОС.

Типовой сценарий: нужно преднастроить браузер на всех машинах — отключить автообновления, задать стартовую страницу, запретить установку расширений. Вместо чтения документации и ручной сборки plist вы выбираете домен из каталога и заполняете форму. Редактор бесплатен, доступен на сайте и в Mac App Store.

LowProfile

Обратная задача: понять, какие профили уже установлены на машине и что именно они делают. Штатный интерфейс в Системных настройках показывает профили в сыром и малочитаемом виде. LowProfile Нинди Гилла выводит все установленные профили с расшифровкой каждого payload'а в человекочитаемом виде. Это удобно при диагностике («почему у пользователя заблокирован AirDrop?») и при аудите машин, доставшихся в наследство от предыдущего администратора.

Обновления и установщики macOS

Nudge

MDM‑команда может скачать обновление, но заставить пользователя перезагрузиться — сложно выполнимая задача. Nudge от MacAdmins Open Source решает её психологически: показывает окно с требованием обновиться до заданной версии к заданной дате. Чем ближе дедлайн, тем агрессивнее поведение интерфейса: окно выходит на передний план, кнопка «отложить» исчезает.

Nudge 2.0 научился работать с SOFA (Simple Organized Feed for Apple Software Updates). Вместо ручного обновления JSON‑конфига под каждый релиз можно указать requiredMinimumOSVersion: latest, а дедлайн рассчитается автоматически по SLA. Например, 14 дней для версий с уязвимостями согласно базе данных CVE (Common Vulnerabilities and Exposures). Важно понимать: Nudge только уговаривает, само обновление ставит пользователь, кстати, права администратора для этого не всегда нужны. Жёсткое принуждение — задача DDM: после WWDC 2025 Apple объявила устаревшими MDM‑механизмы управления обновлениями, о чём мы писали в разборе новинок управления устройствами. Рабочая связка: Nudge общается с пользователем, DDM дожимает в дедлайн.

Mist

Mist решает задачу получения дистрибутивов macOS. Утилита показывает список доступных версий и сборок ОС (включая бета‑версии) и скачивает их напрямую с серверов Apple в нужном формате: приложение‑установщик, DMG, ISO для виртуальных машин или пакет. Для компьютеров Apple silicon Mist умеет скачивать и IPSW‑прошивки. Есть версия с графическим интерфейсом и mist‑cli для автоматизации. Она незаменима, когда нужна конкретная старая сборка, которую App Store уже не отдаёт. Если интересно, как macOS дошла до нынешней модели распространения, почитайте нашу историю версий macOS от NeXTSTEP до наших дней.

Развёртывание ПО

Installomator

Установка стороннего ПО — это бесконечный цикл: скачать новый дистрибутив, переупаковать, загрузить в MDM, повторить через месяц. Installomator предлагает альтернативный подход. Это shell‑скрипт с базой из более чем тысячи «лейблов» (так разработчики называют специальные описания установки конкретного софта). Запускаете installomator.sh telegram — скрипт сам находит актуальную версию на сайте вендора, скачивает её, проверяет подпись разработчика Team ID (защита от подмены) и устанавливает.

Скрипт не привязан к конкретному MDM: его можно запускать любой системой управления, умеющей выполнять скрипты. В связке со swiftDialog (о нём ниже) из Installomator собирают полноценные онбординг‑процессы: новый Mac сам ставит весь корпоративный набор ПО при первом включении. 

Нюансы: машине нужен доступ к CDN вендоров, а для специфичного корпоративного софта лейбл придётся написать самому.

AutoPkg

Если Installomator устанавливает ПО сразу на машину, то AutoPkg автоматизирует подготовку пакетов для вашей инфраструктуры развёртывания. Работает на «рецептах» — XML/YAML‑описаниях процесса: «скачать → проверить подпись → перепаковать → загрузить в систему раздачи». Тысячи готовых рецептов в публичных репозиториях, интеграции с Munki и Jamf (JamfUploader). 

AutoPkg ставят на выделенный Mac и запускают по расписанию, получается непрерывное развертывание а‑ля CI/CD для десктопного софта, где вы контролируете, какая версия и когда будет развернута.

AutoPkg работает в комадной строке. Если хочется GUI, то есть AutoPkgr — это проект отдельных разработчиков, который добавляет удобства использования.

Munki

Munki, созданный Грегом Ниглом из Walt Disney Animation Studios, — ветеран среди инструментов Mac‑админа, развивается с 2009 года. Это полноценная система управления ПО: серверная часть — просто статический веб‑сервер с каталогом пакетов, на клиентах работает агент и приложение Managed Software Center — внутренний «магазин приложений» компании.

Администратор описывает в манифестах, какое ПО обязательно, какое доступно опционально, и Munki сам ставит обязательное и предлагает пользователям опциональное через self‑service. Munki не заменяет MDM (он не управляет профилями и настройками устройства), а дополняет его — эта связка «MDM + Munki» используется в тысячах организаций по всему миру.

Автоматизация и взаимодействие с пользователем

swiftDialog

swiftDialog Барта Рирдона стал стандартом де‑факто для общения скриптов с пользователем. Утилита вызывается из командной строки и показывает нативные диалоги SwiftUI: сообщения, списки задач с прогрессом, формы ввода, картинки, markdown‑разметку. Вся конфигурация — аргументами или JSON.

Самое популярное применение — экран онбординга: пока Installomator ставит приложения, swiftDialog показывает пользователю красивый список «что устанавливается» с галочками напротив завершённых пунктов. Проект setup‑your‑mac на базе этой связки многие используют как готовое решение. Второй частый сценарий — уведомления: от «через 10 минут перезагрузка» до сбора данных с пользователя (инвентарный номер, департамент) прямо в диалоге.

dialog -s --title "Welcome to swiftDialog" --message "Hi There. <br>It's really nice to see you ?"

Outset

Outset отвечает на простой вопрос: «как запустить скрипт при загрузке машины или при входе пользователя, не написав ни одного LaunchAgent?». Кладёте скрипт или пакет в нужную папку (boot‑once, login‑every, login‑once и другие) — Outset выполнит его в нужный момент и, если это «once»‑вариант, запомнит, что задача выполнена.

Изначально Outset был написан на Python, сейчас переписан на Swift и живёт в том же проекте Mac Admins Open Source, что и Nudge. Типовые сценарии: настройка окружения нового пользователя при первом входе, разовые миграции, гарантированный запуск задач после перезагрузки.

Безопасность и права

SAP Privileges

Небезопасно держать пользователей администраторами своих Mac, но и отобрать права насовсем — получить шквал обращений в поддержку. Privileges, разработанный в SAP, предлагает компромисс. Пользователь работает как стандартный, а когда нужны права администратора, нажимает кнопку в приложении, получает их на ограниченное время. По истечении таймера права автоматически отзываются.

Во второй версии утилиты администратор может через конфигурационный профиль задать длительность привилегий, потребовать указывать причину повышения прав и отправлять события на сервер для аудита. Отличное дополнение к рекомендациям из нашей статьи «Делаем macOS безопаснее».

Suspicious Package

Прежде чем развернуть чужой PKG на весь парк, стоит посмотреть, что у него внутри. Suspicious Package от Mothers Ruin Software показывает полное содержимое установочного пакета без его установки: какие файлы и куда будут записаны, какие pre‑ и postinstall‑скрипты выполнятся, кем подписан пакет и прошёл ли он нотаризацию Apple (о том, зачем она нужна, мы рассказывали в отдельной статье).

Особенно полезно проверять постинсталл‑скрипты: именно в них вендоры любят прятать сюрпризы вроде запуска демонов или изменения системных настроек. Утилита бесплатна и работает так же, как плагин Quick Look, — содержимое пакета видно прямо по нажатию пробела в Finder.

Не вошли в статью, но заслуживают внимания

Ещё несколько утилит, которые стоит погуглить, если тема вам близка:

• Apparency — инспектор приложений: подпись, нотаризация, entitlements;

• dockutil — управление Dock пользователей из командной строки;

• desktoppr — установка обоев рабочего стола скриптом;

• Packages — визуальный редактор для сборки собственных PKG;

• Escrow Buddy — повторное депонирование ключа восстановления FileVault в MDM;

• SOFA (Simple Organized Feed for Apple) — машиночитаемый фид версий macOS/iOS и закрытых уязвимостей;

• erase‑install — скрипт для скачивания macOS и стирания/переустановки системы;

• mas‑cli — установка приложений из Mac App Store из командной строки.

Практически все перечисленные в статье инструменты объединяет одно: они созданы действующими администраторами для решения собственных задач. Отсюда их главное качество — они делают ровно то, что нужно, без лишних слоёв абстракции. 

Важно помнить: утилиты закрывают точечные задачи, но раздавать профили, скрипты и пакеты на сотни машин всё равно должен MDM — они не конкуренты, а дополнение к нему.

Приглашаем на конференцию СисАдмин 2026

9 октября в московском кластере «Ломоносов» про йдет СисАдмин 2026 — конференция для системных администраторов, ИТ‑менеджеров и специалистов по поддержке инфраструктуры.

Участие бесплатное, нужно только зарегистрироваться.

Если вам есть чем поделиться с коллегами, то выступить можно бесплатно. Для этого нужно отправить заявку на доклад через форму на сайте.