VPN per app su iOS: far corrispondere il VPNUUID dell’app, non il PayloadUUID

Due valori UUID decidono se un’app iPhone gestita passa dal tunnel per app, e nessuno dei due è l’identificatore del profilo che li porta. L’attributo VPNUUID dell’app deve essere uguale al VPNUUID dentro il payload VPN per app. L’app distribuita deve anche essere gestita dallo stesso servizio di gestione dei dispositivi, e il comando che invii deve portare davvero l’attributo. Percorri le quattro fasi qui sotto in ordine, perché ciascuna produce un valore che serve alla successiva.

Raccogli quattro identificatori prima di toccare il dispositivo

Annota quattro valori: l’identificatore di bundle dal tuo inventario di gestione, l’identificatore del payload VPN per app, il VPNUUID dentro quel payload e l’identificatore del comando che stai per inviare. L’identificatore di bundle nomina l’applicazione che riceve le impostazioni, e l’etichetta sulla schermata iniziale non lo sostituisce. Tieni PayloadUUID completamente fuori da questo elenco, dato che identifica un payload dentro un profilo e risponde a un’altra domanda. Sostituirlo con quello solo perché entrambi i campi sembrano UUID è il modo più comune di costruire un’associazione che non potrà mai corrispondere.

Se l’amministratore VPN non ti ha consegnato il payload per app e il suo identificatore, chiedili invece di grattare un UUID dal file di configurazione più vicino.

Applica l’attributo attraverso il canale di gestione

Conferma che l’app di destinazione sia gestita su quel dispositivo, perché un identificatore di bundle noto non rende un’installazione non gestita idonea all’associazione. Poi invia un elemento impostazioni di tipo ApplicationAttributes tramite l’assegnazione VPN per app del tuo prodotto o la sua implementazione supportata del comando Settings. L’elemento identifica l’app tramite l’identificatore di bundle e porta un dizionario Attributes il cui VPNUUID corrisponde al payload. Niente in quell’elemento è una busta di comando completa, e niente al suo interno può essere installato come profilo a mano.

Tratta la rimozione con la stessa deliberazione dell’installazione. Lo schema dice che omettere il dizionario Attributes rimuove gli attributi esistenti dell’app, così un aggiornamento costruito a metà diventa silenziosamente un ripristino. Il comando dal nome simile Managed Application Attributes rilegge gli attributi per la verifica; non li imposta, e usarlo come setter è una finestra di distribuzione sprecata.

Leggi il risultato del comando, non l’icona dell’app

Controlla la conferma del comando inviato e verifica che l’app gestita ora riporti l’attributo. Un badge VPN nella barra di stato dice solo che un tunnel esiste da qualche parte sul telefono. Non può dirti che proprio questa app è assegnata alla configurazione per app, e su un dispositivo in cui il tunnel si apre su richiesta il badge potrebbe non comparire mai. Confronta gli identificatori nell’assegnazione invece di cercare un indizio visivo.

Se esistono due configurazioni per app nella stessa flotta, confronta i loro identificatori prima di dare per scontato che la tua assegnazione sia finita in quella prevista.

Prova con la risorsa, poi registra la coppia

Chiedi a un utente autorizzato di aprire la risorsa privata dall’app assegnata e osserva se il tunnel per app si alza per lui. Poi ripeti da un’app non gestita sullo stesso telefono e conferma che il trattamento è diverso. È proprio quel contrasto il test reale, perché una risorsa privata funzionante avrebbe potuto essere raggiunta anche tramite un tunnel per l’intero dispositivo che nessuno ha citato nel registro delle modifiche. Registra il risultato mentre il dispositivo è davanti a te.

Conserva insieme l’identificatore di bundle, l’identificatore del payload, il VPNUUID condiviso e il risultato del comando, così l’indagine successiva parte dagli stessi quattro valori e non dalla memoria.

Torna indietro senza danni collaterali

Per rimuovere l’assegnazione, reinvia l’attributo dell’app con un dizionario Attributes vuoto nella forma documentata dal tuo prodotto, invece di togliere l’app dal comando. Verifica poi che l’app non apra più il tunnel per app e che le altre app gestite abbiano mantenuto il loro. Se lo stesso telefono ha anche un profilo VPN per l’intero dispositivo, conferma che si comporti ancora come prima del ripristino, dato che due configurazioni VPN su un solo dispositivo è il punto in cui questo passo di solito va storto. Poi aggiorna il registro che hai tenuto.

Un audit che chieda perché una certa app sia mai stata incanalata in un tunnel vorrà la coppia di UUID e una data, non una descrizione della distribuzione.