Apple-Gerät verlässt die Verwaltung: Was passiert mit seinem VPN?
Das Entfernen eines Verwaltungsprofils nimmt die VPN-Nutzlast und ihre Zertifikate mit. Das Konto hinter diesem VPN stillzulegen ist ein eigener Schritt.
Das gestern eingeschriebene Telefon zeigt in den Einstellungen noch einen VPN-Eintrag, und heute wird es außer Betrieb genommen. Ob der Tunnel weiter funktioniert, hängt von zwei unabhängigen Dingen ab: dem Verwaltungsprofil, das die VPN-Konfiguration liefert, und der Konto- oder Zertifikatsidentität, die der VPN-Server autorisiert. Das eine zu entfernen entfernt nicht das andere, deshalb hinterlassen Stilllegungen, die vollständig aussehen, eine gültige Zugangsberechtigung. Prüfen Sie beides, in dieser Reihenfolge, bevor Sie das Gerät für erledigt erklären.
Zwei getrennte Entfernungen, oft verwechselt
Das Profil ist ein lokales Objekt: Es trägt die VPN-Einstellungen, die dazugehörigen Zertifikate oder Identitätsvorgaben und oft einige Einschränkungen. Die Autorisierung liegt entfernt: ein Benutzerkonto, ein Gerätezertifikat oder ein Registrierungseintrag bei der Stelle, die den Tunnel beendet. Das eine wird auf dem Telefon gelöscht, das andere in einer Konsole deaktiviert, die am Schreibtisch niemand sieht.
Das Profil vom Gerät zu entfernen ist sichtbar und sofort wirksam, was es wie die ganze Arbeit aussehen lässt. Die Identität auf der Serverseite ist vom Telefon aus unsichtbar und bleibt gültig, bis jemand sie deaktiviert. Ein Stilllegungsprozess, der nur das lokale Objekt löscht, hinterlässt eine Zugangsberechtigung, die kopiert, aus einer Sicherung wiederhergestellt oder auf einem anderen Gerät eingeschrieben werden kann. Die beiden Entfernungen gehören daher verschiedenen Verantwortlichen und verschiedenen Checklisten.
Was das Profil mitnimmt
Das Löschen eines Verwaltungsprofils kann die VPN-Konfiguration samt dem Zertifikat entfernen, das sie authentifiziert, in manchen Konstellationen auch die daneben installierten Programme. Der genaue Umfang hängt davon ab, wie die Nutzlast bereitgestellt wurde und ob das Gerät überwacht wird. Lesen Sie die Nutzlastliste, bevor Sie jemandem versprechen, dass nur der Tunnel verschwindet.
Löschen ist nicht dasselbe wie Abmelden, denn der Registrierungseintrag kann das Profil beim nächsten Check-in des Geräts erneut anwenden. Eigentumseinträge entscheiden, ob diese Neuzuweisung überhaupt stattfindet, und sie erklären, warum ein gelöschtes Gerät manchmal verwaltet zurückkommt. Lesen Sie die Einschreibemethode, bevor Sie das Ergebnis vorhersagen, und nutzen Sie die Tabelle als Checkliste, nicht als Beschreibung einer Herstellervorgabe.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Das Konto funktioniert weiter, nachdem das Profil weg ist
Testen Sie die Serverseite bewusst, denn ein Gerät ohne Profil beweist nichts über die Zugangsberechtigung. Ein kopiertes Zertifikat, ein gespeichertes Passwort oder eine zweite Einschreibung kann sich weiterhin von anderswo authentifizieren.
Halten Sie den Widerruf eng. Ein gemeinsamer Aussteller oder ein Konto für mehrere Geräte macht aus einer Stilllegung einen Ausfall, und der Druck, den Zugang schnell wiederherzustellen, ist der Weg, auf dem Ausnahmen dauerhaft werden.
Bestätigen Sie Gerät und Identität getrennt
Gehen Sie beide Prüfungen der Reihe nach durch und halten Sie beide Ergebnisse fest: Das Gerät hält das Profil nicht mehr, und die Identität kann keinen Tunnel mehr aufbauen. Bestätigen Sie außerdem, dass weiterhin autorisierte Dienste auf dem Gerät unberührt sind, denn eine Stilllegung, die fremden Zugang bricht, wird eilig zurückgenommen.
Wechselt das Gerät den Besitzer, nutzen Sie den Eigentumsprozess, statt eine funktionierende Zugangsberechtigung zu übergeben, und vermerken Sie, ob der neue Inhaber sich erneut einschreiben muss. Führen Sie eine kurze Aufzeichnung darüber, was entfernt wurde, ohne private Schlüssel aufzubewahren, die danach niemand braucht.