定制Mac OS X系统的准备(2)

定制Mac OS X系统的准备(2)

在定制的过程中,我个人的经验是,如果能建立脚本是最好的办法,比如对于某一个特定的功能进行的设置, 编写可执行脚本, 并充分测试, 存档并编入文档, 在一个干净的安装系统中运行这个脚本, 该脚本就把需要的功能给自动初始化或设定好.
这样做的好处对于懂得编程的人来说不言自明了吧.
1. 排除因手工造成错误的可能.
2. 简便,快速,明了.
3. 每次升级版本的定制中, 如果可以重复使用最好, 不能的话,也可以从中找到以前的思路.
4. 减少其他功能多次变更而影响特定功能.
5. 有的时候只有shell命令才可以达到目的.

从这一篇开始说点具体的方面.

首先最基本的是建立账户, OS X的本地帐户有这样三种类型的帐号:
system administrator, administrators, 和users.
其中的system administrator就是最主要的root用户, 一般默认的情况下,为了安全起见, 该用户是禁止的.
administrator就是普通使用的管理员账户, 我们就是要建立一个(至少一个,根据公司部门的职权划分,可能需要2个甚至多个), 这个账户的密码要有一定的保密强度, 不易破解, 这样对于系统维护人员来说, 可以轻松地对内部的所有系统进行控制. 而普通的user账户, 在Leopard里面有多增加可Guest和Sharing用户的概念, 在这里先不多谈.

而这个管理员账户还有有一定的保密性, 至少不要让用于登录前一眼就能看到, 有一管理员用户账户,而且连帐户名都告诉普通用户,比如说看下面的图, 用户一眼就可以直到, 原来还有一个就administrator账户:



这样我们就要求自动建立一个本地的管理员账户, 而且这个管理员账户是普通用户看不到的, 在Leopard(10.5)里,还要注意,当Login窗口中设置List User时和准许Fast User Switching的时候, 用户可能看到Others...这同样暗示普通用户系统还有其他的用户.

还有一点就是,还要改变管理员用户的Home目录的位置, 否则在/Users里面就有管理员用户的Home文件夹出现.

为了满足以上三个要求, 我们使用下面的shell脚本来实现.
#!/bin/bash
USERNAME="sysadmin"
PASSWORD="L3opardF!rst"

# create admin user account and assign groups belong
sudo dscl . create /Users/$USERNAME
sudo dscl . create /Users/$USERNAME PrimaryGroupID 0

sudo dscl . create /Users/$USERNAME UniqueID 42
sudo dscl . create /Users/$USERNAME UserShell /bin/bash
sudo dscl . create /Users/$USERNAME $PASSWORD
sudo dscl . append /Groups/admin GroupMemberShip $USERNAME

# Change admin home directory to /private/admin
mkdir -p /var/home/$USERNAME
sudo ditto -rsrc -V /System/Library/User/ Template/English.lproj/ /var/home/$USERNAME/le

sudo chown -Rf $USERNAME:admin /var/home/$USERNAME

sudo dscl . create /Users/$USERNAME NFSHomeDirectory /var/home/$USERNAME

# Hide admin user name from list.
sudo defaults write /Library/Preferences/com.apple.loginwindow Hide500Users -bool TRUE
sudo defaults write /Library/Preferences/com.apple.loginwindow HiddenUsersList -array $USERNAME

# hide others... from menu.
sudo defaults write /Library/Preferences/com.apple.loginwindow SHOWOTHERUSERS_MANAGED -bool FALSE

# Enable admin to manage computer through ARD
sudo /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/Resources/kickstart -activate -configure -access -on -users $USERNAME -privs -all -restart -agent -menu

# If you want, you can copy a user home folder from default to the new directory
# sudo ditto -rsrc "/Users/$USERNAME" "/var/home/$USERNAME

Updated Record:
2008-11-17: added code for enabling the admin user to manage computer through ARD.
2008-11-18: Corrected a error at the beginning of the script(#!/bin/bash).