Schon länger benutze ich einen Mac mini M1 Headless als Server – bislang nur alleine. Es soll jedoch bald eine weitere Person mittels VPN und VNC darauf zugreifen können. Jedoch mit einen eigenen Benutzer. Der Benutzer soll allerdings nicht alles dürfen und noch unter einem Standard-Benutzer stehen, wie ihn macOS vorsieht.

Gäbe es Lösungen den Zugriff auf bestimmte Programme flexibel, als Admin, zu unterbinden oder wieder zu erlauben? Außerdem soll das Gerät nicht ausgeschaltet, Neugestartet oder geupdatet werden dürfen. Bestimmt gibt es noch andere Einschränkungen, welche man vornehmen sollte/könnte an die ich gerade nicht denke. Ich bin was so etwas betrifft wohl von DSM verwöhnt...

Ich habe bereits mit dem Terminal experimentiert und konnte den Zugriff auf Programme verhindern. Jedoch war das wieder freigeben nicht so flexibel wie ich das gerne gehabt hätte.

Weil das ganze im privaten Rahmen ist, wäre eine MDM-Lösung vermutlich zu teuer. Zumindest möchte ich dafür keine laufenden Kosten haben. Ich gebe aber, wenn nötig, gerne einmalig einen humanen Betrag für ein ggf. notwendiges Programm aus.

Also früher ging das mit einem Beschränkten Nutzer, der über Parental Controls gesteuert wurde. Womöglich geht das heute über Bildschirmzeit...




Gruß
Kronar

Die Bildschirmzeit lässt sich leider mit einem einfachen Button umgehen. Nutzer öffnet blockierte App, bekommt Meldung darüber aber kann direkt klicken, dass er es dennoch öffnen möchte. Es ist eben eine Selbstbeschränkung wie der Name Bildschirmzeit eigentlich auch schon sagt.

Das war wohl früher mal besser.

Du kannst Apps aus /Applications in den privaten Ordner ~/Applications verschieben, dann stehen diese nur dem jeweiligen Nutzer zur Verfügung.
Du könntest für den Standard-Benutzer macOS in einer VM einrichten, insbesondere wenn Dein Mac mini genügend Arbeitsspeicher hat. AppStore-Apps funktionieren allerdings nicht.

Würdest du das bitte genauer erläutern. Wenn ich als Admin die Apps (Alle Apps, auch Systemeigene?) in besagten Ordner schiebe wären diese auch nur noch meinem Nutzer oder allen mit Admin Rechten zugänglich?

Wie genau ist das mit der VM gemeint, meinst du quasi ein vollständiges System mit Rechten in einer VM, damit der Nutzer keinen Schaden auf dem echten System anrichten könnte?

Letzteres würde in meinem Fall nur bedingt nützlich sein.

• Der Nutzer soll bestimmte Programme nutzen können. Diese benötigen eine Lizenz. Eine VM würde als zusätzlicher Computer zählen und somit eine neue Lizenz erfordern.
• Der Mac hat zwar Maximalausstattung, diese ist jedoch dennoch sehr begrenzt (16 GB RAM und M1 Basis CPU).

Abgesehen davon ist eine VM eigentlich eine gute Idee. Ich muss nämlich auch für ein anderes Problem eine Lösung finden und da hatte ich auch schon über eine VM nachgedacht. Jedoch mache ich mir wegen der Leistung Sorgen, weil auf dem Mini zwischenzeitlich auch hungrige Anwendungen laufen, welche ich nicht ausbremsen möchte.

Systemeigene Programme lassen sich nicht verschieben. Es gibt auch andere Programme, die sich nicht verschieben lassen, wie Logic Pro. Aber sehr viele Programme können verschoben werden und stehen dann nur dem Nutzer zur Verfügung, der diese Programme im eigenen Programm-Ordner hat. Du installierst ein Programm und schiebst die Programm-Datei per Finder nach ~/Applications.
Ja, ein vollständiges macOS. Bei Lizenzen könnte es ein Problem geben, aber viele Programme erlauben zwei Installationen.
16 GB RAM reichen völlig aus. Durch ein virtuelles macOS geht bei einem Apple Silicon-Mac kaum Leistung verloren, unter 10 %. Du kannst hierfür VirtualBuddy oder UTM nutzen.

Aber muss ich der VM nicht X GB RAM fest reservieren? Diese würden dann dem Hauptsystem fehlen. So kenne ich das zumindest noch aus der Intel-Basis. Da macOS selbst vermutlich wenigstens 8 GB will wäre mal eben die Hälfte an Speicher weg.

Was die Lizenzen betrifft habe ich tatsächlich schon 2 von 2 Plätzen in Benutzung. Bei einem der Programme wurde mittlerweile auf ein reines Abo umgestellt und ich kann demnach auch wenn ich wollte keine weitere Lizenz kaufen, sondern nur abonnieren (viel teurer).

Das einstellbare Minumum in VirtualBuddy ist 2 GB. Jetzt habe ich soeben eine VM mit 8 GB gestartet bei 24 GB RAM.
Was sagt die Aktivitätsanzeige für den Prozess? Speicher 8 GB, gemeinsamer Speicher 3,52 GB, physikalischer Speicher 2,72 GB.
Und für den Mac als Ganzes? Belegter Speicher mit VM war 20 GB, ohne VM 17 GB. Swap jeweils 0.
Ich folgere daraus, dass eine VM um die 3 GB benötigt, wenn nicht viel läuft. Da ist noch sehr viel Luft nach oben. Sogar auf einem 8 GB-Mac lässt sich Parallels mit Windows sinnvoll nutzen.

Sofern beider User aktiv sind, dürfte dem eingeschränkten Account kein Shutdown und Neustart möglich sein. Apps verbieten ginge mit einem Kinderaccount.

Solch eine Option gibt es aber eigentlich nicht. Zumindest nicht direkt. Nur Admin, Standard-Benutzer und der geteilte Benutzer. Ich habe jedoch herausgefunden was du meinst. Aber damit das funktioniert müsste der Benutzer als Kind in einer Apple ID angemeldet sein, welche auch in meiner Familenfreigabe aktiv sein muss. Die Voraussetzungen sind nicht unbedingt ideal, weil meine Familie voll ist

Auch wenn es sinnvoll laufen würde ist es nicht unbedingt die von mir angestrebte Lösung. Ich werde darüber nachdenken ob dies wirklich für mich infrage kommt.

Ich hatte gehofft es gibt ein Tool welches die Möglichkeiten von macOS um solche Beschränkungen erweitern würde oder vielleicht doch irgendwie mit Boardmitteln. Vermutlich konnte das die Apple Server Software von früher nehme ich an.

Mit der alten "Kindersicherung" in mac OS liessen sich viele Dinge sehr einfach beschränken. "Bildschirmzeit" ist dagegen ziemlich umständlich. Dennoch, es lohnt sich, sich mit "Bildschirmzeit" etwas mehr zu beschäftigen.
Ich lese immer wieder, dass man die Einschränkungen mit einem Klick umgehen kann, z.B. den Zugriff auf ein Programm (zweiter Beitrag in diesem Thread). Um diese einfache Möglichkeit zu umgehen, kann man Bildschirmzeit so einstellen, dass jede Einstellungsänderung die Eingabe eines bestimmten Codes erfordert. Diesen Code kennt aber nur der Admin, nicht der Benutzer. Damit hat man ganz viele Dinge unter Kontrolle.
Im "Sperrbildschirm" kann man die Tasten für Ruhezustand, Neustart und Ausschalten in der Seitenleiste ausblenden, sodass diese Funktionen nicht mehr versehentlich betätigt werden können.
Und so weiter...
Die Möglichkeiten der Bildschirmfreigabe bzw. VNC kann man durch das Programm "Apple Remote Desktop" erheblich erweitern. Kostet leider ein paar Euronen. Solange der Rechner nicht ausgeschaltet ist, hat man damit Zugriff auf fast alle Funktionen, nicht nur auf den Bildschirm des gerade angemeldeten Benutzers. Das Programm lohnt sich insbesondere, wenn man mehr als nur einen einzigen Rechner verwalten und fernsteuern möchte. Dabei sind die Kosten identisch egal ob man damit einen oder 99 Rechner verwalten will.

Ich habe bereits mit der Bildschirmzeit experimentiert und konnte ohne Code einfach ein Programm, als Standard-Benutzer, wieder freigeben. Was habe ich falsch gemacht?

Apple Remote Desktop habe ich übrigens. Welche Möglichkeiten meist du explizit?

Mit Apple Configurator lässt sich ja ein Profil erstellen, um Sachen einzuschränken. Bei "App-Verwendung einschränken" steht aber "nur betreute Geräte". Dürfte dann wohl nicht ohne MDM klappen, oder? Es gibt auch eine Reihe von Defaults-Write-Kommandos, um etwas das Herunterzufahren zu deaktivieren. Der Artikel dazu ist schon älter, evtl. funktioniert vieles davon nicht mehr. Das Meiste scheint auch nur global für alle User zu klappen. Aber: Versuch macht Kluch 😁

Bei den Apps würde ich auch einfach die Admin-Apps nach ~/Applications auslagern. Es gibt aber wohl diverse Tricks, einzelne Apps zu blockieren.