Выхад прылады Apple з кіравання: што адбываецца з яе VPN?
Выдаленне профілю кіравання забірае з сабой VPN-камплект і ягоныя сертыфікаты. Закрыццё ўліковага запісу за гэтым VPN — асобны крок.
Тэлефон, які ўчора быў у сістэме, дагэтуль паказвае ў Наладах запіс VPN, а сёння яго здымаюць з уліку. Ці працягне тунель працаваць, залежыць ад дзвюх незалежных рэчаў: профілю кіравання, які дае канфігурацыю VPN, і лаяльнасці ўліковага запісу або сертыфіката, якую дазваляе сервер VPN. Выдаленне аднаго не выдаляе другое, таму зняцце з уліку, якое выглядае завершаным, пакідае працоўныя даныя бяспекі. Праверце абодва, у такім парадку, перш чым назваць прыладу завершанай.
Два асобныя выдаленні, якія часта блытаюць
Профіль — гэта лакальны аб’ект: ён змяшчае налады VPN, сертыфікаты або перавагі ідэнтычнасці, якія ідуць разам з імі, і часта некалькі абмежаванняў. Аўтарызацыя ж знаходзіцца знешне: уліковы запіс карыстальніка, сертыфікат прылады або запіс рэгістрацыі, які трымае той, хто завяршае тунель. Адно выдаляецца на тэлефоне, другое адключаецца ў кансолі, якую ніхто за сталом не бачыць.
Выдаленне профілю з прылады бачнае і адбываецца адразу, таму здаецца ўсёй працай. Ідэнтычнасць на баку сервера з тэлефона не бачная і застаецца сапраўднай, пакуль хтосьці яе не адключыць. Працэс зняцця з уліку, які выдаляе толькі лакальны аб’ект, пакідае даныя, якія можна скапіяваць, аднавіць з рэзервовай копіі або зарэгістраваць на іншай прыладзе. Таму гэтыя два выдаленні належаць розным уладальнікам і розным спісам праверкі.
Што профіль забірае з сабой
Выдаленне профілю кіравання можа прыбраць канфігурацыю VPN разам з сертыфікатам, які яе пацвярджае, а ў некаторых схемах — і праграмы, усталяваныя побач. Дакладны набор залежыць ад таго, як быў дастаўлены камплект і ці знаходзіцца прылада пад наглядам. Прачытайце спіс камплекта, перш чым абяцаць камусьці, што знікне толькі тунель.
Сціранне — гэта не тое самае, што выключэнне з рэгістрацыі, бо запіс рэгістрацыі можа зноў ужыць профіль пры наступным падключэнні прылады. Менавіта запісы ўласнасці вырашаюць, ці адбудзецца гэта перапрызначэнне, і яны тлумачаць, чаму сцёртая прылада часам вяртаецца кіраванай. Прачытайце метад рэгістрацыі, перш чым прадказваць вынік, і карыстайцеся табліцай як спісам праверкі, а не як апісаннем стандарту нейкага пастаўшчыка.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Уліковы запіс працуе і пасля знікнення профілю
Праверце бок сервера свядома, бо прылада без профілю нічога не даказвае пра даныя бяспекі. Скапіяваны сертыфікат, захаваны пароль або другая рэгістрацыя ўсё яшчэ могуць прайсці аўтэнтыфікацыю з іншага месца.
Трымайце адкліканне вузкім. Агульны эмітэнт або адзін запіс на некалькі прылад ператварае зняцце з уліку ў збой, і менавіта жаданне хутка вярнуць доступ робіць выключэнні пастаяннымі.
Пацвердзіце прыладу і ідэнтычнасць асобна
Пройдзіце дзве праверкі па чарзе і запішыце абодва вынікі: прылада больш не трымае профіль, а ідэнтычнасць больш не можа стварыць тунель. Пераканайцеся таксама, што яшчэ дазволеныя сэрвісы на прыладзе не закранутыя, бо зняцце з уліку, якое ламае старонні доступ, хутка адкочваюць.
Калі прылада пераходзіць да іншага ўладальніка, выкарыстоўвайце працэс уласнасці замест перадачы працоўных даных, і адзначце, ці трэба новаму ўладальніку рэгістравацца зноў. Трымайце кароткі запіс пра выдаленае, не захоўваючы прыватныя ключы, якія пасля нікому не патрэбныя.