管理者による一括インストールと更新

社内の端末管理ツールでPulseを配布したいIT部門向けの記事です。自動更新がどう動くか、パッケージを自分たちで管理する場合にどの配布元を使えばよいか、ネットワークで何を許可すればよいかを説明します。

現時点では、Jamf、Kandji、Omnissa Workspace ONE、FleetDM、WinGet といった個別のツールについて、手順化された導入支援は提供していません。Pulse側で推奨しているのは、アプリが自分自身を更新できる状態でインストールしておく方法です。そのうえで、どうしても配布物を組織側で固定したい場合に、この記事の後半にあるインストーラー取得の手順を使ってください。

#自動更新の仕組み

多くの利用者の環境では、Pulseは自動で最新版に保たれます。デスクトップアプリが起動している間、およそ10分ごとに更新の有無を確認します。更新があるとバックグラウンドでダウンロードし、アプリを安全に再起動できるタイミング、または利用者がインストールを選んだタイミングで適用します。

#自動更新が成立する条件

• macOS: アプリケーションフォルダにインストールされていること。ログイン中のmacOSユーザーが、Pulseのアプリバンドルを置き換える権限を持っていること。
• Windows: 既定のインストーラーはユーザー単位でインストールします。ログイン中のWindowsユーザーが書き込める場所にインストールされているときに、自動更新が働きやすくなります。
• 共通: 端末から更新確認用およびダウンロード用の通信ができること。

MDMのポリシー、OS側の制限、全ユーザー共通の領域へのインストールなどによって、ログイン中のユーザーがアプリを更新できない構成になっている場合、自動更新が働かないことがあります。その場合は、以下のインストーラー配布元とバージョン確認用のエンドポイントを使って、更新をIT部門側で管理してください。

#最新版インストーラーを取得する

認証なしで利用できる次の配布元から、常に最新の公開版インストーラーを取得できます。

どちらも実ファイルへのリダイレクトを返します。ダウンロードに使うツールは、リダイレクトを追う設定にしてください。

curl -L -o installer.dmg https://api.the-unchain.com/v1/download-latest

curl -L -o installer.exe https://api.the-unchain.com/v1/download-latest-windows

#通信の許可

社内ネットワークで送信先を制限している場合は、次の2つへの通信を許可してください。

• API用のホスト（api.the-unchain.com）
• インストーラー本体を配信しているCDNのホスト。上記の配布元がリダイレクト先として返すホストです。

CDNのホスト名は、後述するリダイレクト先の確認コマンドで実際の値を取得できます。社内プロキシやSSL可視化装置を経由する構成での切り分けは、ネットワークと許可リストにまとめています。

#バージョンを固定したURLを取得する

WinGetやFleetDMのようなパッケージ管理ツールは、変わらないインストーラーURLと、それに対応するSHA256ハッシュを必要とすることが一般的です。前述の「最新版」の配布元は常に現行バージョンへリダイレクトするため、解決先のURLはリリースのたびに変わります。

特定のリリースに固定したい場合は、インストーラーをダウンロードせずにリダイレクト先だけを取得します。

curl -sI -o /dev/null -w '%{redirect_url}' "https://api.the-unchain.com/v1/download-latest"

curl -sI -o /dev/null -w '%{redirect_url}' "https://api.the-unchain.com/v1/download-latest-windows"

返ってくるのは、次のような形式のURLです。

https://<配信CDNのホスト>/7.205.1/Pulse-7.205.1-win-x64.exe

このURLはバージョンごとに固定されており、新しいリリースが出た後も有効なままです。リダイレクトのヘッダーを直接見たい場合は次のようにします。

curl -sI "https://api.the-unchain.com/v1/download-latest-windows" | grep -i location

#パッケージ管理ツール向けの手順

1. 1

   新しいリリースを検知する

   後述のバージョン確認用エンドポイントを定期的に参照し、production の値が変わっていないかを確認します。

2. 2

   バージョン固定のURLを取得する

   新しいバージョンが出たら、上記の「最新版」の配布元からリダイレクト先を取得し、そのバージョン固定のURLを控えます。

3. 3

   ハッシュを計算する

   控えたURLからインストーラーをダウンロードし、SHA256ハッシュを計算します。

4. 4

   マニフェストを更新する

   パッケージのマニフェストを、新しいURLとハッシュで更新します。

ハッシュの計算は、次のコマンドで行えます。

sha256sum Pulse-7.205.1-win-x64.exe

PowerShellの場合は次のとおりです。

Get-FileHash .\Pulse-7.205.1-win-x64.exe -Algorithm SHA256

#新しいバージョンが出ているかを確認する

公開版のバージョン確認用エンドポイントを使います。認証は不要です。

curl -s https://api.the-unchain.com/v1/get-versions

応答は次の形式です。

{
  "production": "7.205.0",
  "beta": "7.205.0"
}

管理配布の用途では、production の値と、現在組織へ配布しているバージョンを比べてください。日次や週次など、任意の間隔でこのエンドポイントを参照する運用にできます。production の値が変わったら、対応するOSごとに新しいインストーラーを取得します。beta は先行公開の系列です。利用者が個別に先行版を受け取る設定については、プロフィールと環境設定を参照してください。

#配布後に利用者側で必要になる操作

インストールを組織側で済ませても、次の操作は各利用者の端末で行う必要があります。展開時の案内に含めておくと、問い合わせを減らせます。

• Google アカウントまたは Microsoft アカウントでのログインと、カレンダーの連携
• macOS のマイクおよび画面収録（システム音声の取得）の許可
• Windows のマイクの許可

手順は初期セットアップガイドにまとめています。なお、macOS のプライバシー関連の権限を端末管理ツール側で事前に許可できるかどうかは、管理ツールとOSのバージョンに依存します。組織の構成で事前付与が可能かは、利用中の管理ツールの資料をあわせて確認してください。

#関連記事