Cisco Secure Client (旧 AnyConnect) : MacOS 用 各種モジュールの .dmg ファイルを作成する方法

[sisozumi]

• はじめに
• 方法 1. zip ファイルから抽出
• 方法 2. ChoiceChanges を使用してインストール選択ファイルを作成する
• ACTransforms.xml について
• 参考情報

はじめに

software.cisco.com からダウンロードできる MacOS 用の .dmg ファイルや .pkg ファイルは、デフォルトでは Umbrella, ISE Posture, Network Visibility Module といった様々な機能も含まれています。

Web 展開方法では ASA や ISE にてインストールプロファイルを設定することで、事前展開（Pre-Deployment）方法を用いる場合はエンドポイント側で手動で選択することができます。しかしながら、Microsoft 社の Intune といった MDM を利用する場合や、事前展開方法によりインストール内容を強制させたい場合に対応することができなくなります。

本ドキュメントでは、software.cisco.com からダウンロードできる MacOS 用の Cisco Secure Client 5.x のパッケージインストーラを編集し、モジュール単位での .dmg ファイルを作成する２つの方法を紹介します。

方法 1. zip ファイルから抽出

次の手順を作業用の MacOS で実行することで各モジュールごとの .dmg ファイルを抽出することが可能です。

1. software.cisco.com から Web 展開用のパッケージをダウンロード
(例 : cisco-secure-client-macos-5.1.4.74-webdeploy-k9.pkg)

2. Web 展開用パッケージの拡張子を .pkg から .zip へ変更

3. zip ファイルを展開し、binaries ディレクトリを探す

cisco-secure-client-macos-5.1.4.74-webdeploy-k9$ ls -l
total 824
-rw-r--r--@  1 sisozumi  staff  14962  6  8 11:04 AnyConnectConfiguration.xsd
-rw-r--r--@  1 sisozumi  staff  96734  6  8 11:04 AnyConnectProfile.xsd
-rw-r--r--@  1 sisozumi  staff      0  6  8 11:04 Darwin_i386
-rw-r--r--@  1 sisozumi  staff    280  6  8 11:04 FAProfile.xml
-rw-r--r--@  1 sisozumi  staff   1262  6  8 11:04 FAProfile.xsd
-rw-r--r--@  1 sisozumi  staff   2619  6  8 11:04 ISEPostureCFG.xml
-rw-r--r--@  1 sisozumi  staff  10054  6  8 11:04 ISEPostureCFG.xsd
-rw-r--r--@  1 sisozumi  staff    635  6  8 11:04 L2info.dat
-rw-r--r--@  1 sisozumi  staff   6852  6  8 11:04 NAM_Profile_Default.xml
-rw-r--r--@  1 sisozumi  staff   1587  6  8 11:04 NVMProfile.xml
-rw-r--r--@  1 sisozumi  staff   9075  6  8 11:04 NVMProfile.xsd
-rw-r--r--@  1 sisozumi  staff     98  6  8 11:04 ProfileEditor.xml
-rw-r--r--@  1 sisozumi  staff   3119  6  8 11:04 ServiceProfileManifest.xml
-rw-r--r--@  1 sisozumi  staff    442  6  8 11:04 UpdateComponentManifest.json
-rw-r--r--@  1 sisozumi  staff   8284  6  8 11:10 VPNHashManifest.xml
-rw-r--r--@  1 sisozumi  staff   1967  6  8 11:10 VPNManifest.xml
drwxr-xr-x@ 22 sisozumi  staff    704  6 25 11:50 binaries   <<<<<<<<<<<<<<<<<<<< これです
-rw-r--r--@  1 sisozumi  staff  94421  6  8 11:04 configuration.xsd
drwxr-xr-x@  4 sisozumi  staff    128  6  8 11:04 css
-rw-r--r--@  1 sisozumi  staff    446  6  8 11:04 empty.html
-rw-r--r--@  1 sisozumi  staff   2854  6  8 11:04 feedback.xsd
drwxr-xr-x@  8 sisozumi  staff    256  6  8 11:04 fonts
-rw-r--r--@  1 sisozumi  staff    551  6  8 11:04 headinfo.txt
drwxr-xr-x@ 24 sisozumi  staff    768  6  8 11:04 img
-rw-r--r--@  1 sisozumi  staff  10988  6  8 11:04 index.html
-rw-r--r--@  1 sisozumi  staff   6725  6  8 11:04 manual-instructions.html
-rw-r--r--@  1 sisozumi  staff     73  6  8 11:04 pkgversion.xml
-rw-r--r--@  1 sisozumi  staff   7939  6  8 11:04 tips.htm
-rw-r--r--@  1 sisozumi  staff   1042  6  8 11:04 updateFeed.xml
-rw-r--r--@  1 sisozumi  staff  33989  6  8 11:04 validateRules_5_0.xsl
-rw-r--r--@  1 sisozumi  staff  38473  6  8 11:04 validateRules_5_1.xsl
cisco-secure-client-macos-5.1.4.74-webdeploy-k9$

4. binaries ディレクトリ内にある .dmg ファイルから利用したいモジュール名が含まれているものを抽出する
(例 : 下記のモジュールが選択可能です)

-rw-r--r--@ 1 sisozumi  staff   4002895  6  8 11:04 anyconnect-ise-network-assistant-macos-5.1.4.74.dmg
-rw-r--r--@ 1 sisozumi  staff   4004618  6  8 11:10 cisco-secure-client-ise-network-assistant-macos-5.1.4.74.dmg
-rw-r--r--@ 1 sisozumi  staff    330397  6  8 11:10 cisco-secure-client-macos-5.1.4.74-amp-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff  25266263  6  8 11:10 cisco-secure-client-macos-5.1.4.74-core-vpn-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff   3722004  6  8 11:10 cisco-secure-client-macos-5.1.4.74-dart-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff   3111168  6  8 11:10 cisco-secure-client-macos-5.1.4.74-iseposture-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff  22664477  6  8 11:10 cisco-secure-client-macos-5.1.4.74-nvm-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff  37992181  6  8 11:10 cisco-secure-client-macos-5.1.4.74-posture-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff   6975069  6  8 11:10 cisco-secure-client-macos-5.1.4.74-umbrella-webdeploy-k9.dmg

方法 2. ChoiceChanges を使用してインストール選択ファイルを作成する

MacOS の管理者権限で実行できる installer コマンドのオプションを使用してインストール時の挙動を強制させる方法になります。この手順では、最終的に MacOS の CLI でインストールを実行する必要があります。

1. software.cisco.com から 事前展開用(Pre-Deployment)のパッケージをダウンロード
(例 : cisco-secure-client-macos-5.1.4.74-predeploy-k9.dmg)

2. コマンドラインから下記のコマンドを実行し、書き込み可能な .dmg ファイルを作成

Downloads$ hdiutil convert cisco-secure-client-macos-5.1.4.74-predeploy-k9.dmg -format UDRW -o RW.dmg
Downloads$ hdiutil attach RW.dmg

3. コマンドラインから下記のコマンドを実行し、インストール選択(install_choices.xml)ファイルを Downloads ディレクトリに作成

Downloads$ installer -pkg /Volumes/Cisco\ Secure\ Client\ 5.1.4.74/Cisco\ Secure\ Client.pkg -showChoiceChangesXML > ~/Downloads/install_choices.xml

4. インストール選択ファイルを編集し、インストールするものには「1」、しないものには「0」を入力
VPN 機能をインストールする場合は、下記の dict 内の integer 値を 1 へ変更します。

                <dict>
                                <key>attributeSetting</key>
                                <integer>1</integer>     <<<<<<<<<<
                                <key>choiceAttribute</key>
                                <string>selected</string>
                                <key>choiceIdentifier</key>
                                <string>choice_anyconnect_vpn</string>
                </dict>

インストールしないものには下記のように integer 値に 0 を入力します。

                <dict>
                                <key>attributeSetting</key>
                                <integer>0</integer>     <<<<<<<<<<
                                <key>choiceAttribute</key>
                                <string>selected</string>
                                <key>choiceIdentifier</key>
                                <string>choice_secure_firewall_posture</string>
                </dict>

5. インストール選択ファイルを /Volume/Cisco Secure Client 5.x ディレクトリ内へ移動させる
下記のような構造になります。

Volume/
　├ Cisco Secure Client 5.x/
　│　└ Cisco Secure Client.pkg/
　│　└ install_choices.xml
　│　└ Profiles/
　└ Machintosh HD/

~$ cd /Volumes/Cisco\ Secure\ Client\ 5.1.4.74
Cisco Secure Client 5.1.4.74$ ls -l
total 316624
-rw-r--r--   1 sisozumi  staff  162101323  6  8 11:05 Cisco Secure Client.pkg
drwxr-xr-x  10 sisozumi  staff        340  6 24 15:19 Profiles
-rw-r--r--@  1 sisozumi  staff       5722  6 24 15:16 install_choices.xml
Cisco Secure Client 5.1.4.74$

6. Cisco Secure Client を Volume から eject する
Finder 左部メニューより取り出しアイコンをクリック

7. インストール選択ファイルを指定したインストールを実行する
下記は VPN 機能のみを選択した際のインストール実行時の出力例です。すでに Secure Client がインストール済みなので、アップグレードが実行されました。

~$ sudo installer -pkg Cisco\ Secure\ Client\ 5.1.4.74/Cisco\ Secure\ Client.pkg -applyChoiceChangesXML ~/Downloads/install_choices.xml -target /
Password:
installer: Package name is Cisco Secure Client
installer: choices changes file '/Users/sisozumi/Downloads/install_choices.xml' applied
installer: Upgrading at base path /
installer: The upgrade was successful.

ACTransforms.xml について

Cisco Secure Client の管理者ガイドでは、個別インストールのために用意された ACTransforms.xml という配置ファイル(Place Profiles)があることが示されていますが、2024/06/25 の本記事執筆時点では以下の 2 点を除き公開されているプロパティ名はありません。

・DisableVPN
・DisableCustomerExperienceFeedback

他のプロパティ名が使用可能となった場合、書き込み権限を取得し配置プロファイルを変更することでインストール対象を選択した .dmg ファイルへと変換することが可能となります。

参考情報

Cisco Umbrella SIG ユーザーガイド - MacOS版のCisco Secure Clientのカスタマイズ 

[sisozumi]

はじめに

software.cisco.com からダウンロードできる MacOS 用の .dmg ファイルや .pkg ファイルは、デフォルトでは Umbrella, ISE Posture, Network Visibility Module といった様々な機能も含まれています。

Web 展開方法では ASA や ISE にてインストールプロファイルを設定することで、事前展開（Pre-Deployment）方法を用いる場合はエンドポイント側で手動で選択することができます。しかしながら、Microsoft 社の Intune といった MDM を利用する場合や、事前展開方法によりインストール内容を強制させたい場合に対応することができなくなります。

本ドキュメントでは、software.cisco.com からダウンロードできる MacOS 用の Cisco Secure Client 5.x のパッケージインストーラを編集し、モジュール単位での .dmg ファイルを作成する２つの方法を紹介します。

方法 1. zip ファイルから抽出

次の手順を作業用の MacOS で実行することで各モジュールごとの .dmg ファイルを抽出することが可能です。

1. software.cisco.com から Web 展開用のパッケージをダウンロード
(例 : cisco-secure-client-macos-5.1.4.74-webdeploy-k9.pkg)

2. Web 展開用パッケージの拡張子を .pkg から .zip へ変更

3. zip ファイルを展開し、binaries ディレクトリを探す

cisco-secure-client-macos-5.1.4.74-webdeploy-k9$ ls -l
total 824
-rw-r--r--@  1 sisozumi  staff  14962  6  8 11:04 AnyConnectConfiguration.xsd
-rw-r--r--@  1 sisozumi  staff  96734  6  8 11:04 AnyConnectProfile.xsd
-rw-r--r--@  1 sisozumi  staff      0  6  8 11:04 Darwin_i386
-rw-r--r--@  1 sisozumi  staff    280  6  8 11:04 FAProfile.xml
-rw-r--r--@  1 sisozumi  staff   1262  6  8 11:04 FAProfile.xsd
-rw-r--r--@  1 sisozumi  staff   2619  6  8 11:04 ISEPostureCFG.xml
-rw-r--r--@  1 sisozumi  staff  10054  6  8 11:04 ISEPostureCFG.xsd
-rw-r--r--@  1 sisozumi  staff    635  6  8 11:04 L2info.dat
-rw-r--r--@  1 sisozumi  staff   6852  6  8 11:04 NAM_Profile_Default.xml
-rw-r--r--@  1 sisozumi  staff   1587  6  8 11:04 NVMProfile.xml
-rw-r--r--@  1 sisozumi  staff   9075  6  8 11:04 NVMProfile.xsd
-rw-r--r--@  1 sisozumi  staff     98  6  8 11:04 ProfileEditor.xml
-rw-r--r--@  1 sisozumi  staff   3119  6  8 11:04 ServiceProfileManifest.xml
-rw-r--r--@  1 sisozumi  staff    442  6  8 11:04 UpdateComponentManifest.json
-rw-r--r--@  1 sisozumi  staff   8284  6  8 11:10 VPNHashManifest.xml
-rw-r--r--@  1 sisozumi  staff   1967  6  8 11:10 VPNManifest.xml
drwxr-xr-x@ 22 sisozumi  staff    704  6 25 11:50 binaries   <<<<<<<<<<<<<<<<<<<< これです
-rw-r--r--@  1 sisozumi  staff  94421  6  8 11:04 configuration.xsd
drwxr-xr-x@  4 sisozumi  staff    128  6  8 11:04 css
-rw-r--r--@  1 sisozumi  staff    446  6  8 11:04 empty.html
-rw-r--r--@  1 sisozumi  staff   2854  6  8 11:04 feedback.xsd
drwxr-xr-x@  8 sisozumi  staff    256  6  8 11:04 fonts
-rw-r--r--@  1 sisozumi  staff    551  6  8 11:04 headinfo.txt
drwxr-xr-x@ 24 sisozumi  staff    768  6  8 11:04 img
-rw-r--r--@  1 sisozumi  staff  10988  6  8 11:04 index.html
-rw-r--r--@  1 sisozumi  staff   6725  6  8 11:04 manual-instructions.html
-rw-r--r--@  1 sisozumi  staff     73  6  8 11:04 pkgversion.xml
-rw-r--r--@  1 sisozumi  staff   7939  6  8 11:04 tips.htm
-rw-r--r--@  1 sisozumi  staff   1042  6  8 11:04 updateFeed.xml
-rw-r--r--@  1 sisozumi  staff  33989  6  8 11:04 validateRules_5_0.xsl
-rw-r--r--@  1 sisozumi  staff  38473  6  8 11:04 validateRules_5_1.xsl
cisco-secure-client-macos-5.1.4.74-webdeploy-k9$

4. binaries ディレクトリ内にある .dmg ファイルから利用したいモジュール名が含まれているものを抽出する
(例 : 下記のモジュールが選択可能です)

-rw-r--r--@ 1 sisozumi  staff   4002895  6  8 11:04 anyconnect-ise-network-assistant-macos-5.1.4.74.dmg
-rw-r--r--@ 1 sisozumi  staff   4004618  6  8 11:10 cisco-secure-client-ise-network-assistant-macos-5.1.4.74.dmg
-rw-r--r--@ 1 sisozumi  staff    330397  6  8 11:10 cisco-secure-client-macos-5.1.4.74-amp-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff  25266263  6  8 11:10 cisco-secure-client-macos-5.1.4.74-core-vpn-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff   3722004  6  8 11:10 cisco-secure-client-macos-5.1.4.74-dart-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff   3111168  6  8 11:10 cisco-secure-client-macos-5.1.4.74-iseposture-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff  22664477  6  8 11:10 cisco-secure-client-macos-5.1.4.74-nvm-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff  37992181  6  8 11:10 cisco-secure-client-macos-5.1.4.74-posture-webdeploy-k9.dmg
-rw-r--r--@ 1 sisozumi  staff   6975069  6  8 11:10 cisco-secure-client-macos-5.1.4.74-umbrella-webdeploy-k9.dmg

方法 2. ChoiceChanges を使用してインストール選択ファイルを作成する

MacOS の管理者権限で実行できる installer コマンドのオプションを使用してインストール時の挙動を強制させる方法になります。この手順では、最終的に MacOS の CLI でインストールを実行する必要があります。

1. software.cisco.com から 事前展開用(Pre-Deployment)のパッケージをダウンロード
(例 : cisco-secure-client-macos-5.1.4.74-predeploy-k9.dmg)

2. コマンドラインから下記のコマンドを実行し、書き込み可能な .dmg ファイルを作成

Downloads$ hdiutil convert cisco-secure-client-macos-5.1.4.74-predeploy-k9.dmg -format UDRW -o RW.dmg
Downloads$ hdiutil attach RW.dmg

3. コマンドラインから下記のコマンドを実行し、インストール選択(install_choices.xml)ファイルを Downloads ディレクトリに作成

Downloads$ installer -pkg /Volumes/Cisco\ Secure\ Client\ 5.1.4.74/Cisco\ Secure\ Client.pkg -showChoiceChangesXML > ~/Downloads/install_choices.xml

4. インストール選択ファイルを編集し、インストールするものには「1」、しないものには「0」を入力
VPN 機能をインストールする場合は、下記の dict 内の integer 値を 1 へ変更します。

                <dict>
                                <key>attributeSetting</key>
                                <integer>1</integer>     <<<<<<<<<<
                                <key>choiceAttribute</key>
                                <string>selected</string>
                                <key>choiceIdentifier</key>
                                <string>choice_anyconnect_vpn</string>
                </dict>

インストールしないものには下記のように integer 値に 0 を入力します。

                <dict>
                                <key>attributeSetting</key>
                                <integer>0</integer>     <<<<<<<<<<
                                <key>choiceAttribute</key>
                                <string>selected</string>
                                <key>choiceIdentifier</key>
                                <string>choice_secure_firewall_posture</string>
                </dict>

5. インストール選択ファイルを /Volume/Cisco Secure Client 5.x ディレクトリ内へ移動させる
下記のような構造になります。

Volume/
　├ Cisco Secure Client 5.x/
　│　└ Cisco Secure Client.pkg/
　│　└ install_choices.xml
　│　└ Profiles/
　└ Machintosh HD/

~$ cd /Volumes/Cisco\ Secure\ Client\ 5.1.4.74
Cisco Secure Client 5.1.4.74$ ls -l
total 316624
-rw-r--r--   1 sisozumi  staff  162101323  6  8 11:05 Cisco Secure Client.pkg
drwxr-xr-x  10 sisozumi  staff        340  6 24 15:19 Profiles
-rw-r--r--@  1 sisozumi  staff       5722  6 24 15:16 install_choices.xml
Cisco Secure Client 5.1.4.74$

6. Cisco Secure Client を Volume から eject する
Finder 左部メニューより取り出しアイコンをクリック

7. インストール選択ファイルを指定したインストールを実行する
下記は VPN 機能のみを選択した際のインストール実行時の出力例です。すでに Secure Client がインストール済みなので、アップグレードが実行されました。

~$ sudo installer -pkg Cisco\ Secure\ Client\ 5.1.4.74/Cisco\ Secure\ Client.pkg -applyChoiceChangesXML ~/Downloads/install_choices.xml -target /
Password:
installer: Package name is Cisco Secure Client
installer: choices changes file '/Users/sisozumi/Downloads/install_choices.xml' applied
installer: Upgrading at base path /
installer: The upgrade was successful.

ACTransforms.xml について

Cisco Secure Client の管理者ガイドでは、個別インストールのために用意された ACTransforms.xml という配置ファイル(Place Profiles)があることが示されていますが、2024/06/25 の本記事執筆時点では以下の 2 点を除き公開されているプロパティ名はありません。

・DisableVPN
・DisableCustomerExperienceFeedback

他のプロパティ名が使用可能となった場合、書き込み権限を取得し配置プロファイルを変更することでインストール対象を選択した .dmg ファイルへと変換することが可能となります。

参考情報

Cisco Umbrella SIG ユーザーガイド - MacOS版のCisco Secure Clientのカスタマイズ