Per-App-VPN unter iOS: die VPNUUID der App abgleichen, nicht die PayloadUUID

Zwei UUID-Werte entscheiden darüber, ob eine verwaltete iPhone-App über den Per-App-Tunnel läuft, und keiner von beiden ist der Bezeichner des Profils, das sie trägt. Das Attribut VPNUUID der App muss mit der VPNUUID in der Per-App-VPN-Nutzlast übereinstimmen. Die bereitgestellte App muss außerdem vom selben Geräteverwaltungsdienst verwaltet werden, und der Befehl, den Sie senden, muss das Attribut tatsächlich mitführen. Arbeiten Sie die vier folgenden Stufen der Reihe nach durch, denn jede erzeugt einen Wert, den die nächste Stufe benötigt.

Vier Bezeichner sammeln, bevor das Gerät angefasst wird

Notieren Sie vier Werte: den Bundle-Bezeichner aus Ihrem Verwaltungsinventar, den Bezeichner der Per-App-VPN-Nutzlast, die VPNUUID in dieser Nutzlast und den Bezeichner des Befehls, den Sie gleich senden. Der Bundle-Bezeichner benennt die Anwendung, die die Einstellungen erhält, und die Beschriftung auf dem Home-Bildschirm ist kein Ersatz dafür. Halten Sie PayloadUUID ganz aus dieser Liste heraus, denn sie bezeichnet eine Nutzlast innerhalb eines Profils und beantwortet eine andere Frage. Sie stattdessen einzusetzen, weil beide Felder wie UUIDs aussehen, ist der häufigste Weg, eine Zuordnung zu bauen, die niemals passen kann.

Wenn der VPN-Administrator Ihnen die Per-App-Nutzlast und ihren Bezeichner nicht ausgehändigt hat, fordern Sie beides an, statt eine UUID aus der nächstbesten Konfigurationsdatei zu kratzen.

Das Attribut über den Verwaltungskanal setzen

Bestätigen Sie, dass die Ziel-App auf diesem Gerät verwaltet wird, denn ein bekannter Bundle-Bezeichner macht eine nicht verwaltete Installation nicht für die Zuordnung geeignet. Senden Sie dann ein Einstellungselement vom Typ ApplicationAttributes über die Per-App-VPN-Zuweisung Ihres Produkts oder dessen unterstützte Umsetzung des Settings-Befehls. Das Element identifiziert die App über den Bundle-Bezeichner und führt ein Attributes-Wörterbuch mit, dessen VPNUUID zur Nutzlast passt. Nichts in diesem Element ist ein vollständiger Befehlsumschlag, und nichts darin lässt sich von Hand als Profil installieren.

Behandeln Sie das Entfernen genauso bewusst wie die Installation. Das Schema besagt, dass das Weglassen des Attributes-Wörterbuchs die vorhandenen Attribute der App entfernt, sodass ein halb fertig gebautes Update stillschweigend zu einem Zurücksetzen wird. Der ähnlich benannte Befehl Managed Application Attributes liest Attribute zur Prüfung zurück; er setzt sie nicht, und ihn als Setter zu verwenden, ist ein verschwendetes Bereitstellungsfenster.

Das Befehlsergebnis lesen, nicht das App-Symbol

Prüfen Sie die Bestätigung für den gesendeten Befehl und stellen Sie sicher, dass die verwaltete App das Attribut jetzt meldet. Ein VPN-Symbol in der Statusleiste sagt nur, dass irgendwo auf dem Telefon ein Tunnel existiert. Es kann Ihnen nicht sagen, dass genau diese App der Per-App-Konfiguration zugewiesen ist, und auf einem Gerät, auf dem der Tunnel bei Bedarf geöffnet wird, erscheint das Symbol vielleicht nie. Vergleichen Sie Bezeichner in der Zuweisung, statt nach einem visuellen Hinweis zu suchen.

Wenn zwei Per-App-Konfigurationen in derselben Flotte existieren, vergleichen Sie ihre Bezeichner, bevor Sie annehmen, dass Ihre Zuweisung in der beabsichtigten gelandet ist.

Mit der Ressource testen, dann das Paar festhalten

Lassen Sie einen autorisierten Benutzer die private Ressource aus der zugewiesenen App öffnen und beobachten Sie, ob der Per-App-Tunnel dafür hochkommt. Wiederholen Sie das dann aus einer nicht verwalteten App auf demselben Telefon und bestätigen Sie, dass die Behandlung abweicht. Genau dieser Kontrast ist der eigentliche Test, denn eine funktionierende private Ressource hätte auch über einen geräteweiten Tunnel erreicht werden können, den niemand im Änderungsdatensatz erwähnt hat. Halten Sie das Ergebnis fest, solange das Gerät vor Ihnen liegt.

Bewahren Sie Bundle-Bezeichner, Nutzlast-Bezeichner, die gemeinsame VPNUUID und das Befehlsergebnis zusammen auf, damit die nächste Untersuchung mit denselben vier Werten beginnt statt aus dem Gedächtnis.

Ohne Kollateralschaden zurückrollen

Um die Zuweisung zu entfernen, senden Sie das App-Attribut erneut mit einem leeren Attributes-Wörterbuch in der von Ihrem Produkt dokumentierten Form, statt die App aus dem Befehl zu streichen. Prüfen Sie anschließend, dass die App den Per-App-Tunnel nicht mehr öffnet und andere verwaltete Apps ihre behalten haben. Wenn dasselbe Telefon außerdem ein geräteweites VPN-Profil hat, bestätigen Sie, dass es sich noch wie vor dem Rollback verhält, denn bei zwei VPN-Konfigurationen auf einem Gerät geht dieser Schritt üblicherweise schief. Aktualisieren Sie dann den von Ihnen geführten Datensatz.

Ein Audit, das fragt, warum eine bestimmte App überhaupt getunnelt wurde, will das UUID-Paar und ein Datum sehen, keine Beschreibung der Bereitstellung.