VPN par app sur iOS : faire correspondre le VPNUUID de l’app, pas le PayloadUUID

Deux valeurs UUID décident si une app iPhone gérée passe par le tunnel par app, et aucune des deux n’est l’identifiant du profil qui les porte. L’attribut VPNUUID de l’app doit être égal au VPNUUID à l’intérieur de la charge utile VPN par app. L’app déployée doit aussi être gérée par le même service de gestion des appareils, et la commande que vous envoyez doit réellement porter l’attribut. Parcourez les quatre étapes ci-dessous dans l’ordre, car chacune produit une valeur dont la suivante a besoin.

Rassembler quatre identifiants avant de toucher l’appareil

Notez quatre valeurs : l’identifiant de bundle issu de votre inventaire de gestion, l’identifiant de la charge utile VPN par app, le VPNUUID à l’intérieur de cette charge utile et l’identifiant de la commande que vous êtes sur le point d’envoyer. L’identifiant de bundle nomme l’application qui reçoit les réglages, et l’étiquette de l’écran d’accueil ne le remplace pas. Gardez PayloadUUID entièrement hors de cette liste, puisqu’il identifie une charge utile à l’intérieur d’un profil et répond à une autre question. Le substituer à l’autre parce que les deux champs ressemblent à des UUID est la façon la plus courante de construire une association qui ne pourra jamais correspondre.

Si l’administrateur VPN ne vous a pas remis la charge utile par app et son identifiant, demandez-les plutôt que de gratter un UUID dans le fichier de configuration le plus proche.

Appliquer l’attribut via le canal de gestion

Confirmez que l’app cible est gérée sur cet appareil, car un identifiant de bundle connu ne rend pas une installation non gérée éligible à l’association. Envoyez ensuite un élément de réglages de type ApplicationAttributes via l’affectation VPN par app de votre produit ou son implémentation prise en charge de la commande Settings. L’élément identifie l’app par l’identifiant de bundle et porte un dictionnaire Attributes dont le VPNUUID correspond à la charge utile. Rien dans cet élément n’est une enveloppe de commande complète, et rien en lui ne peut être installé comme profil à la main.

Traitez le retrait avec autant de soin que l’installation. Le schéma indique que l’omission du dictionnaire Attributes supprime les attributs existants de l’app, si bien qu’une mise à jour à moitié construite devient discrètement une réinitialisation. La commande au nom proche Managed Application Attributes relit les attributs pour vérification ; elle ne les définit pas, et l’utiliser comme setter est une fenêtre de déploiement gâchée.

Lire le résultat de la commande, pas l’icône de l’app

Vérifiez l’accusé de réception de la commande envoyée et confirmez que l’app gérée signale désormais l’attribut. Un badge VPN dans la barre d’état dit seulement qu’un tunnel existe quelque part sur le téléphone. Il ne peut pas vous dire que cette app précise est affectée à la configuration par app, et sur un appareil où le tunnel s’ouvre à la demande, le badge peut ne jamais apparaître. Comparez les identifiants dans l’affectation au lieu de chercher un indice visuel.

Si deux configurations par app existent sur la même flotte, comparez leurs identifiants avant de supposer que votre affectation a atterri dans celle que vous visiez.

Tester avec la ressource, puis consigner la paire

Demandez à un utilisateur autorisé d’ouvrir la ressource privée depuis l’app affectée et regardez si le tunnel par app se lève pour elle. Répétez ensuite depuis une app non gérée sur le même téléphone et confirmez que le traitement diffère. C’est ce contraste qui constitue le vrai test, car une ressource privée qui fonctionne aurait aussi pu être atteinte via un tunnel à l’échelle de l’appareil que personne n’a mentionné dans le journal des changements. Consignez le résultat pendant que l’appareil est devant vous.

Conservez ensemble l’identifiant de bundle, l’identifiant de charge utile, le VPNUUID partagé et le résultat de la commande, afin que l’enquête suivante parte des mêmes quatre valeurs et non de la mémoire.

Revenir en arrière sans dégâts collatéraux

Pour retirer l’affectation, renvoyez l’attribut de l’app avec un dictionnaire Attributes vide dans la forme documentée par votre produit, plutôt que de retirer l’app de la commande. Vérifiez ensuite que l’app n’ouvre plus le tunnel par app et que les autres apps gérées ont conservé le leur. Si le même téléphone possède aussi un profil VPN à l’échelle de l’appareil, confirmez qu’il se comporte encore comme avant le retour arrière, car deux configurations VPN sur un seul appareil, c’est là que cette étape se gâte d’habitude. Mettez ensuite à jour le registre que vous avez conservé.

Un audit qui demande pourquoi une app donnée a un jour été tunnelisée voudra la paire d’UUID et une date, pas une description du déploiement.