📦 MDS 安装包

本文示例使用 MDS 4.3 · Build 48086 · 112 MB · .dmg。MDS 的版本、授权方式和可部署的 macOS 范围会随发行版变化；部署较新的 macOS 前，应先在一台非生产 Mac 上验证 MDS 版本 + 安装器版本 + 目标机架构这一整套组合，不要只根据安装器名称判断兼容性。

⬇ 官方下载 MDS_Build-48086_Version-4.3.dmg（112 MB）

💡 双击 .dmg 挂载后，将 MDS.app 拖入「应用程序」。首次打开如遇安全拦截，在「系统设置 → 隐私与安全性」确认后再点「仍要打开」，并按第 2 章给 MDS 和 Terminal 授予必要的「完全磁盘访问」权限。下载后的安装包和最终 Deploy 映像都应按组织规范留存版本号与 SHA-256 校验值。

1. MDS 方案概述

**MDS（Mac Deploy Stick）**是 TwoCanoes 出品、面向 macOS 管理员的自动化部署工具。它把「可启动基础系统 + macOS 安装 + 自定义软件包（.pkg）+ 脚本 + 配置描述文件」打包到一个 U 盘或网络卷，目标 Mac 进入恢复模式后执行一条命令即可全自动完成装机。

MDS 并非简单封装官方安装器，而是深度整合了 Apple 的 createinstallmedia、asr（Apple Software Restore）、bless、diskutil 等组件，构建出声明式、可版本化的部署工作流。

适用场景	说明
已有设备 / 机房集中重装	设备不在 Apple Business Manager、需成批重装或标准化
离线 / 网络受限环境	U 盘自带全部资源，部署过程无需联网
BYOD / 零售渠道设备	无渠道注册条件的设备，用 MDS 做标准化镜像
少干预（Light-Touch）	插盘 → 进恢复模式 → 跑 run → 选工作流即完成

2. 前置依赖与准备

2.1 软硬件依赖

组件	要求 / 说明
管理机（Admin Mac）	能够运行当前 MDS 版本的 Mac，建议内存 ≥8GB，并使用管理员账户制作部署盘；不要求与目标机同型号
macOS 安装器	完整的 Install macOS.app 或当前 MDS 支持的安装资源；目标机必须支持该系统版本，使用前先让 MDS 校验完整性
U 盘 / 移动硬盘	至少 16GB；包含完整系统和软件资源时建议 ≥32GB，实际容量按 Deploy 映像大小预留；USB 3.x 推荐
MDS 应用	使用与目标 macOS 和目标机型组合经过验证的版本；授权和支持范围以 TwoCanoes 当前说明为准
完全磁盘访问权限	首次运行需授权 MDS 与 Terminal 的「完全磁盘访问」
目标机外部启动权限	T2 Intel Mac 或 Apple Silicon Mac 可能需要在「启动安全性实用工具」中允许外部启动；不要为了方便默认降低安全启动级别

版本与架构先做小规模验证

先用一台测试机完成“进入恢复模式 → 启动 run → 选择工作流 → 安装 → 首次登录”的完整闭环，再批量写盘。尤其是较新的 macOS、Apple Silicon 机型和使用 ASR 自定义磁盘映像时，不要把“能下载”当成“能部署”。

2.2 部署资源准备

资源	内容	建议放置 / 注意事项
Packages	要预装的标准 macOS .pkg 安装包	用于正式安装器、驱动组件或运行库；保留版本号，确认包签名和安装顺序
Apps	.app 应用包	仅在所有目标机都需要且版本变化不频繁时放入；频繁更新的软件更适合作为独立资源维护
Scripts	可执行的 Bash 脚本，如改主机名、写入配置、清理临时文件	脚本应可重复执行、记录日志并返回正确退出码；不要把密码、私钥或 API Token 写死在脚本中
Profiles	.mobileconfig 配置描述文件，如 Wi‑Fi、证书、FileVault、限制项	只放目标环境确实需要的配置；涉及证书私钥、账号密码或 MDM 激活的内容不要公开分发

建议把资源源文件按类型隔离，例如：

MDS-Resources/
├── Packages/
├── Apps/
├── Scripts/
└── Profiles/

不同 MDS 版本的界面可能将 Packages 和 Apps 合并显示为 Package & Apps Folder，也可能分别显示为 Package &、Apps &；以实际界面为准。MDS 会把同一目录下的脚本打包成一个 pkg，隔离存放便于单独测试、启用/禁用和排错。

Deploy 映像就是敏感资产

工作流中可能包含 Wi‑Fi 密码、创建账户的密码、SSH 公钥、内部服务器地址和证书。不要把 .dmg、资源目录或导出的工作流放到公开网盘，也不要把生产密码写进截图、脚本仓库或共享教程。测试完成后应轮换测试密码，并限制 Deploy 映像的读取权限。

3. 配置参数详解

MDS 工作流编辑器的全部配置参数已整理为独立的中英对照详解页，覆盖五大配置区每一项选项的英文原文、中文说明与适用场景（创建与编辑 / macOS / 资源 / 用户账户 / 选项）：

📖 查看《MDS 工作流配置参数详解》（官方文档中英对照）

💡 该详解页与本文档相互独立，可单独分享或打印；内容依据 MDS 官方工作流文档整理（官方文档：MDS 5 Guide）。

4. 完整安装步骤

1. 获取 macOS 安装器：打开 MDS，在左侧工具栏选择 Download macOS，右侧会列出 Apple 官方或 ipsw.me 提供的可用版本（含 Tahoe / Sequoia / Sonoma 等）。选择目标机支持的系统版本，点击右下角 Download 下载并自动组装成完整的 Install macOS.app。下载完成后先核对版本、文件大小和 MDS 的完整性检查结果，再用于批量部署；不要仅凭版本名称判断目标机是否兼容。

   

   图 4-1　MDS Download macOS — 选择并下载指定版本的 macOS 安装器

   左侧选中「Download macOS」，右侧列表按版本号排序，勾选所需条目后点击右下角 Download 开始下载。支持从 Apple 服务器或 ipsw.me 获取镜像。

2. 新建工作流：macOS 安装器下载完成后，在 MDS 左侧导航栏选择 Workflows，右侧会显示已有工作流列表。点击右上角 + 按钮即可创建一个新的工作流。

   

   图 4-2　MDS Workflows — 点击 "+" 新建部署工作流

   左侧选中「Workflows」，右侧列表上方点击 + 创建新工作流。下方可配置 Workflow Options（自动运行、延迟启动等）与 Logging（日志上报）。

3. 填写工作流基本信息（Workflow Info）：点击「+」后弹出工作流编辑窗口。左侧有 7 个配置标签页，默认进入 Workflow Info 页面，在此填写工作流的基本信息：

   • Name：输入工作流名称（如 Standard Deploy），用于在部署时识别和选择该工作流。
   • Description（可选）：简要描述该工作流的内容——包括安装了哪些系统版本、预装了什么软件包、脚本做了什么操作、目标机最终如何配置等。部署前 MDS 会展示此说明，帮助选择正确的工作流。
   • Only show workflow if model identifier contains（可选）：填入机型标识符（如 MacBookPro16,1），仅当目标机的 Model Identifier 匹配时才显示该工作流，适用于多机型混合部署场景。填写完成后点击右下角 OK 保存，然后依次切换左侧其他标签页继续配置 macOS / Resources / User Account / Options 等项。

   

   图 4-3　MDS Workflow Info — 填写工作流名称与描述

   左侧选中「Workflow Info」，右侧填写 Name 与 Description；下方可按机型标识符（Model Identifier）过滤，仅对匹配机型显示该工作流。

4. 配置 macOS 安装（macOS）：在 Workflow Info 填写完成后，切换左侧标签到 macOS（第 2 个标签），在此配置目标机的系统安装方式：

   • Install macOS（默认选中）：从本地安装器安装 macOS。点击 Select 按钮选择之前通过 Download macOS 下载好的 Install macOS XXX.app（如 Install macOS Sonoma.app），MDS 会自动校验其完整性（SHA‑256）。
     • Erase and（建议勾选）：擦盘后全新安装，适合批量装机；不勾选则为升级安装（保留原数据）。
     • Rename Volume to（可选）：自定义目标卷名称。
     • After installing macOS and packages：安装完成后的动作，默认 Restart（重启进入就绪系统）。
   • Erase Volume and Restore macOS from Disk Image（备选）：从一个已有的 ASR 磁盘映像恢复 macOS，适用于已制作好标准系统镜像的场景。
   • Do not install macOS（备选）：跳过系统安装，仅执行软件包与脚本，适用于目标机已有正确系统的场景。批量装机一般使用 Install macOS + Erase and + Restart 的组合。配置完成后继续切换到 Resources 标签指定预装资源。

   

   图 4-4　MDS macOS — 选择安装器并配置擦盘安装

   左侧选中「macOS」，勾选 Install macOS → 选择安装器（Local）→ 勾选 Erase and → 设定安装后动作为 Restart。

5. 配置预装资源（Resources）：macOS 配置完成后，切换左侧标签到 Resources（第 3 个标签），在此指定要随系统一起安装的软件包、脚本与配置文件：

   • Package &：点击 Select Folder 选择存放 .pkg 安装包的文件夹（如 Packages）。MDS 会扫描该目录下的 .pkg 文件并自动打包进部署盘。点击 Package & 右侧的按钮可弹出 When Running Workflow 窗口，精细控制每个包的安装行为：
     • On First Boot：首次启动时安装的包列表。每项带复选框（☑ 启用 / ☐ 禁用）和拖拽排序手柄（≡），可调整安装顺序或临时禁用某个包而不删除文件。
     • When first user logs in：首次用户登录时才执行的包，适用于需在用户会话中安装的软件。
     • 底部 Enable All / Disable All 可批量切换全部包的启用状态，点 OK 保存。
   • Apps &、Scripts &、Profiles &：分别对应 .app 应用包、Bash 脚本、.mobileconfig 配置文件的文件夹选择，操作方式同上。部分 MDS 版本会将 .pkg 与 .app 统一显示为 Package & Apps Folder，以当前版本界面为准。
   • ☑ Wait for network before installing resources：只有资源安装或脚本确实需要联网时才勾选；如果所有资源都已经包含在 U 盘中，可以不等待网络。⚠️ 建议 Packages / Apps / Scripts / Profiles 各自放在独立子目录中，MDS 会把同一目录下的脚本打包成一个 pkg，隔离存放便于单独测试、启用/禁用和排错。

   资源执行时机建议：基础安装包放在 On First Boot；依赖用户会话、用户目录或图形界面的应用放在 When first user logs in；改主机名、写系统配置或准备环境的脚本放在工作流阶段；需要在系统安装完成后写入的配置描述文件，放在 macOS 和基础软件包完成后执行。每个脚本都应能够重复执行，并在失败时输出明确日志。

   

   图 4-5　MDS Resources — 选择 Packages 文件夹并等待网络

   左侧选中「Resources」，点击 Package & 的 Select Folder 选择 .pkg 文件夹；勾选 Wait for network before installing resources 确保联网后再装。

   

   图 4-6　When Running Workflow — 控制各包的安装时段与顺序

   On First Boot 列出全部 .pkg（带启用复选框与拖拽手柄），When first user logs in 为登录后才安装的包；Enable All / Disable All 可批量切换。

6. 配置用户账户（User Account）：资源配置完成后，切换左侧标签到 User Account（第 4 个标签），在此创建部署后目标机的默认用户账户。批量装机建议默认创建标准用户；如需运维管理员，单独创建隐藏的管理账户，并通过组织的密码管理方案维护。点击底部 + 按钮弹出 Create User Account 对话框，填写以下字段：

   • Full Name：用户的完整显示名称（如 Admin User），在登录界面与系统设置中可见。
   • Short Name：系统的短用户名 / 登录名（如 admin），同时作为主目录名，不可含空格或特殊字符。
   • Password 与 Password Hint：设置登录密码及可选的密码提示；勾选 Show Password 可明文确认输入。不要在文档、截图或共享工作流中暴露生产密码；测试密码在验证后应立即更换。
   • UID：用户 ID 编号（如 601）。不同用户需使用不同 UID，建议从 501 开始递增，避免与系统预留 ID 冲突。
   • Photo：点击 Select Path 选择一张图片作为用户头像。
   • SSH Key：填入公钥内容，用于免密 SSH 登录，批量运维场景常用。
   • Default Shell：选择用户的默认 Shell（如 /bin/zsh、/bin/bash）。对话框底部三个可选项：
   • ☑ Allow user to administer the computer：授予管理员权限（sudo），只有确实需要本地管理员权限时才勾选。
   • ☐ Hide user account from other users when logging in：在登录界面隐藏该账户，适用于服务账户。
   • ☐ Automatic login：开机自动以此用户登录，无需输入密码；安全性较低，生产环境慎用。点击 OK 保存；可通过底部 + / − / Edit 管理多个用户账户。

   

   图 4-7　User Account — 创建部署后默认用户账户

   左侧选中「User Account」，点 + 弹出创建对话框；填写 Full Name / Short Name / Password / UID 等字段，可按需授予管理员权限与设置自动登录。

7. 设置部署选项（Options）：用户账户配置完成后，切换左侧标签到 Options（第 5 个标签），在此配置目标机在部署过程与部署后自动执行的各种系统级选项：

   • Join WiFi：勾选后填写目标机的 Wi‑Fi SSID 与密码，部署时自动加入该网络（适用于无显示器/键盘的批量装机）。不勾选则首次启动需手动联网。不要把生产 Wi‑Fi 密码长期写入可复制的 Deploy 映像；优先使用临时部署网络或由 MDM/配置描述文件下发。
   • Set Computer Name：勾选后按模板为每台目标机生成唯一计算机名。默认模板 M-{serial_number} 会用序列号替换变量（如 M-C02XX1234567）；勾选 Prompt 则在部署前手动指定。
   • Trust Server Certificate in System Keychain：将自定义服务器的 SSL 证书信任链写入系统钥匙串，避免内网 PKI / 自签证书环境下出现 HTTPS 警告。
   • Skip Setup Assistant：跳过 Apple 首次开机设置向导（语言、Siri、iCloud 登录等），实现开箱即用；子项 Enable Location Services 可单独控制定位服务。
   • Skip User Privacy and Location Setup Assistant：进一步跳过隐私声明与定位授权弹窗，与上一项配合实现完全无人值守首启。
   • Enable SSH：开启远程登录（sshd），便于 SSH 远程管理；只有部署确实需要时才开启，并限制来源网络和管理员账户。
   • Allow Administrators to screen share：开启屏幕共享，管理员可通过 ARD 远程查看/控制桌面；默认不建议开启。
   • Disable SIP NVRAM（Intel only）：解除 NVRAM 的 SIP 保护，仅在明确的 Intel 实验场景中使用；生产环境不要启用，Apple Silicon 显示为灰色不可选。
   • Install MunkiReport for Inventory：集成 MunkiReport 客户端用于资产清单收集（需配合 Munki 服务端）。
   • Set Target as Startup Disk：将目标盘设为默认启动分区，确保重启进入已部署系统而非恢复模式。批量装机推荐组合：Join WiFi + Set Computer Name + Skip Setup Assistant + Skip Privacy + Set Target as Startup Disk；只有经过安全评估后，才额外开启 SSH 或屏幕共享。

   

   图 4-8　Options — 目标机部署与首启选项

   左侧选中「Options」，勾选 Join WiFi / Set Computer Name / Skip Setup Assistant / Skip Privacy / Set Target as Startup Disk 等；Enable SSH 与 Screen Share 视远程管理需要开启。

8. 设置工作流全局选项与日志（Workflow Options & Logging）：所有标签页配置完成后回到主界面 Workflows 列表页，在底部找到 Workflow Options 与 Logging 两个区域，设置工作流执行时的全局行为与日志上报：

   • Connect to Wi‑Fi before showing workflows / ☑ Check for network before showing workflows：目标机启动部署盘、显示工作流选择界面之前，先连接指定 Wi‑Fi 并等待网络就绪。填写 SSID 与 Password（勾选 Show Password 可确认输入）。只有工作流依赖网络资源或网络日志时才启用；所有资源都在 U 盘中的离线部署不必等待网络。
   • Automatically run workflow with name：从下拉菜单选择一个已创建的工作流名称，并在指定秒数后（默认 30 秒）自动开始执行，无需人工在目标机上手动选择，适用于完全无人值守的流水线部署。子项 Only select target volume if named：仅当目标卷名称匹配时才选中该卷（多分区场景防选错盘）。
   • Override Workflow Options using Script：指定一个脚本路径，用自定义脚本覆盖上述选项逻辑（高级用法，一般留空）。
   • Logging — Send logging information via http POST to：填入日志服务地址（生产环境建议使用 https://mds-log.example.internal/log），MDS 部署过程中会将每台目标机的状态更新（进度、成功/失败）以 POST 方式推送至此；配合自建接收端可实现集中化部署监控。留空则不发送日志，仅本地终端输出。日志接收端应限制访问来源，不要记录账户密码、Wi‑Fi 密码或私钥。实验室隔离网络如必须使用 HTTP，也不要将地址暴露到公网。日志服务可由 MDS 自身托管，也可使用兼容的 Imagr Server。以上两项均为可选；若无需自动运行或远程监控，保持默认即可直接进入下一步 Build / Save。

   

   图 4-9　Workflow Options & Logging — 工作流全局选项与日志上报

   Workflows 列表页底部红框区域：上方 Workflow Options（网络校验 / 自动运行工作流 / 脚本覆盖），下方 Logging（HTTP POST 日志地址）。

9. 保存部署内容（Build / Save）：所有配置完成后，先检查只有需要发布的工作流处于启用状态，并再次确认擦盘选项、资源安装时段、计算机名称模板和敏感字段，然后在窗口右下角点击 Save to Disk Image... 按钮，弹出保存磁盘映像的对话框：

   • Save As：输入磁盘映像的文件名（如 Deploy.dmg、os.dmg），MDS 会自动补全 .dmg 后缀。
   • Where：通过下拉菜单选择保存位置（如 Downloads、Desktop），也可在 Finder 中自定义路径。
   • Tags：可选填 Finder 标签，便于后续对映像分类管理。点击 Save 后 MDS 开始 Build：校验安装器完整性（SHA‑256）、构建可启动基础环境、注入恢复卷启动项、打包部署资源与脚本，最终产出一个包含完整部署环境、可经 asr / 磁盘工具恢复到 U 盘的 .dmg 磁盘映像。 若要将 Deploy 内容直接写入已挂载的 U 盘、跳过 .dmg 中间步骤，则点击右侧的 Save To Volume... 按钮并选择目标卷，写完后该卷即为可启动部署盘。部分 MDS 版本要求目标卷为可写的 HFS+ 外部卷；请以当前版本提示为准，不要在未确认格式和磁盘编号的情况下直接擦除存储设备。

   保存完成后建议计算校验值并记录到版本清单：

   shasum -a 256 Deploy.dmg

   同时导出工作流配置或保存一份配置记录，便于下次更新软件时比较差异；导出的文件与 .dmg 具有同等敏感性，应放在受限目录中。

   

   图 4-10　Save to Disk Image — 填写磁盘映像名称与保存位置

   右下角「Save to Disk Image...」按钮（红框）触发保存对话框；填写 Save As（如 os.dmg）与 Where（如 Downloads）后点 Save 开始构建。

💡 网络部署变体：若不依赖 U 盘，可把 Deploy 内容放到文件服务器 / Web 服务器，目标机在恢复模式用终端挂载该卷后再执行 run，流程一致。

5. 启动与恢复模式操作

MDS 部署依赖目标机进入恢复模式并执行 run，不同架构操作不同：

操作	Intel Mac	Apple Silicon Mac
进入恢复模式	Command(⌘) + R 开机	长按电源键直到「正在载入启动选项」→ 选「选项」
从外部 U 盘启动	按住 Option(⌥) 选盘	长按电源键 → 「正在载入启动选项」选外部盘（需先允许外部启动）
启动安全性实用工具	恢复模式内「实用工具」菜单	启动选项 → 右下角「启动安全性实用工具」
打开终端	恢复模式菜单栏「实用工具 → 终端」	进入恢复模式后，在菜单栏选择「实用工具 → 终端」

⚠️ Apple Silicon 和带 T2 芯片的 Intel Mac 可能默认禁止外部启动。进入恢复模式后，在「启动安全性实用工具」中允许外部或可移动介质启动；除非有明确的实验需求，不要为了运行工作流而降低完整安全启动级别。

5.1 从外部 U 盘启动工作流

1. 将 MDS 部署盘连接到目标 Mac，并按上表进入恢复模式或启动选项。

2. 如果目标机要求授权，先使用本机管理员账户完成认证，再选择外部部署盘；Apple Silicon 设备还要确认外部启动已允许。

3. 在恢复模式中打开「实用工具 → 终端」，查看实际卷名：

   ls /Volumes

4. 使用实际卷名执行 run。卷名包含空格时必须加引号：

   "/Volumes/MacDeployStick/run"

5. 在工作流选择界面确认目标卷、macOS 版本和工作流名称后再点击运行。启用了 Erase and 的工作流会擦除目标卷，确认无误后再继续。

5.2 从网络获取 Deploy 内容

如果没有使用 U 盘，可在恢复模式中先连接有线网络或 Wi‑Fi，再挂载文件服务器或 Web 服务器上的磁盘映像。网络资源、日志服务和证书必须在恢复环境中可访问；生产环境优先使用 HTTPS 或受控的 SMB 共享，不要把包含密码的映像公开到互联网。

挂载成功后，先用 ls /Volumes 确认映像卷名称，再执行：

"/Volumes/<Deploy 映像卷名>/run"

如果工作流启用了“显示工作流前检查网络”，没有网络时 MDS 会停在等待阶段，这是预期行为；离线部署则应取消该选项，并确保所有 Packages、Apps、Scripts 和 Profiles 已经包含在 Deploy 内容中。

6. 注意事项与排错

• Apple Silicon 或 T2 Intel 外部启动被拒：进入「启动安全性实用工具」检查外部启动策略；只有在组织明确批准、且确实需要加载第三方内核或实验组件时，才考虑降低安全策略。普通 macOS 部署不应为了省步骤而降低整机安全级别。
• 找不到 run 脚本：确认 Build 产出的 Deploy 内容已完整复制到 U 盘根目录；在终端先执行 ls /Volumes 查看实际卷名，再使用带引号的绝对路径运行。
• 安装器 / 映像与硬件不匹配：完整 macOS 安装器、ASR 磁盘映像和目标机的支持范围要分别核对。不要把针对单一机型制作的外部系统盘当作通用镜像；Apple Silicon 与 Intel 设备混用前，必须用两种实机完成一次完整部署测试。
• 权限不足导致 Build 失败：在「系统设置 → 隐私与安全性 → 完全磁盘访问」中授权 MDS 与 Terminal；授权后完全退出并重新打开相关应用再重试。
• 目标盘抹除报 Error -69759 / underlying error: 5：先退出当前工作流，核对目标磁盘编号和是否存在需要保留的数据。优先使用恢复环境的 diskutil 重新初始化整盘，不要把 diskutil zerodisk 或 dd 当作常规步骤。

高风险：仅限确认过磁盘编号后的实验室回退

下面的操作会清除目标盘的分区信息，不要在不确定磁盘编号时执行。先用 diskutil list 对照容量、型号和卷名；确认无误后再卸载并初始化：

diskutil list
diskutil unmountDisk force /dev/diskX
sudo gpt destroy /dev/diskX
diskutil eraseDisk APFS "Macintosh HD" GPT /dev/diskX

如果只是分区表残留导致初始化失败，可在确认目标盘后清除开头少量元数据再重试；这不是安全擦除，也不能替代组织规定的数据销毁流程：

sudo dd if=/dev/zero of=/dev/rdiskX bs=1m count=100

执行完成后重新运行 diskutil list 和 diskutil eraseDisk，并再次确认 diskX 没有写错。生产设备应按组织的数据擦除规范处理。

• 版本与许可不确定：MDS 的功能、授权方式和支持的 macOS 范围会随版本变化。以当前 MDS 发行说明和官方 MDS Guide 为准；较新的 macOS 必须先在测试机跑完“恢复模式 → run → 安装 → 首次登录”的闭环。
• 部署后配置未生效：检查 Resources 目录隔离是否正确、.pkg 是否可安装且签名状态符合要求、.mobileconfig 是否有效，以及每项资源实际执行时段、脚本退出码和安装日志。
• 部署后无法联网或远程管理：先区分是恢复环境网络、首启网络还是系统服务配置问题；检查 Wi‑Fi/证书是否依赖明文凭据、日志地址是否可达，以及 SSH/屏幕共享是否确实在工作流中启用。

发布前快速检查

• 在一台 Intel Mac 和一台 Apple Silicon Mac（如实际环境同时包含两种架构）各完成一次完整部署，并记录 MDS、macOS 安装器和工作流版本。
• 确认工作流只启用了需要发布的项目，擦盘目标、资源执行时段、计算机名称模板和自动登录设置符合预期。
• 对 .dmg、安装包和导出的工作流配置计算 SHA-256；复核其中没有生产密码、Wi‑Fi 密码、私钥或不应外发的内部地址。
• 检查首次登录、网络、软件启动、配置描述文件和日志回传结果；失败时保留脚本退出码与安装日志，再扩大部署范围。

7. 工具与参考

工具 / 资源	用途	链接
MDS (Mac Deploy Stick)	U 盘 / 网络批量部署核心工具	TwoCanoes MDS 产品页
MDS Administrator Guide	工作流、资源、账户和恢复模式参考	MDS 5 Guide
Apple macOS Recovery	Intel 与 Apple Silicon 的恢复模式入口	Intel Mac / Apple Silicon Mac
Startup Security Utility	T2 Intel / Apple Silicon 的外部启动与安全策略	Apple 支持文档
Apple Configurator	固件恢复、设备激活与 Apple 平台辅助管理	Mac App Store
createinstallmedia	制作可启动基础盘（MDS 前置依赖）	内置于 Install macOS.app
参考视频（1）	MAC 系统批量安装（1）	B 站视频
参考视频（2）	MAC 系统批量安装（2）	B 站视频

本文档由火火工具箱整理，聚焦 MDS 装机方案，参考上述 B 站教程主题与 MDS 官方工作流编写，供桌面运维岗位落地使用。