VPN を設定したのに Android がパスワードを何度も求める
VPN アカウントを再設定しても Android の画面ロックは解除されません。表示されているダイアログを見分け、適切な復旧手順を選んでください。
VPN アカウントのパスワードを再設定しても、Android の画面ロックは解除されません。この取り違えが、こうした行き詰まりのほとんどを説明します。画面ロック、仕事用プロファイルのポリシー、VPN の資格情報は三つの別々の秘密であり、それぞれ別の主体が管理しています。何かを再設定する前に、ダイアログがどれを求めているのかを見極めてください。三つの手がかりで判断できます。そもそも端末を使えるか、ダイアログが現れるのはいつか、他の誰かが端末を登録したか、という三点です。
ダイアログを見分ける三つの手がかり
一つ目はアクセスです。越えられない画面ロックで起動するなら、Android の内部には何も到達できず、アカウント管理画面でもそれは変わりません。
二つ目はタイミングです。端末の起動中、どのアプリも描画される前に出るダイアログは、端末そのものか起動時に動くストレージのポリシーに属します。VPN プロファイルをタップした後にだけ出るものは、そのプロファイルの認証に属します。数字キーパッド、指紋アイコン、緊急通報ボタンがある画面は、上にどんな文言があってもシステムの画面ロックです。
三つ目は登録です。設定、次にセキュリティ、次に端末管理アプリを開いてください。管理された端末には見覚えのない名前が並び、その名前こそ連絡すべき相手です。
文言を、それを所有する保管場所と対応させる
ベンダーの文言はクライアントごとに揺れるので、上の見出しではなく問いかけている文そのものを読んでください。次の表はよく出るダイアログを整理したものです。
| What the prompt says | Who owns it | Who can fix it |
|---|---|---|
| Screen lock, PIN, pattern or fingerprint | The device | The device owner, via the platform erasure route |
| Certificate, credential or keystore password | Android credential storage | Whoever holds the key bundle, after a fresh import |
| Sign in to your organisation | Device policy controller | The administrator who enrolled the phone |
| Username and password for the profile | The VPN service | The account holder, through the provider reset flow |
中央の二行が混乱の大半を生みます。証明書や資格情報という文言は、Android 自身の資格情報ストアが、秘密鍵の素材を守る画面ロックを求めているという意味です。だから VPN の設定手順が端末自体のパスワードを要求することがあります。このダイアログは VPN サーバーに何も要求していません。
ダイアログが VPN の資格情報である場合
端末が使えてトンネルだけが拒否するなら、VPN の層にとどまってください。プロバイダー側でのパスワード再設定が最初の正しい一手で、ユーザー名とパスワードで認証するプロファイルならそれで足ります。保存済みのプロファイルを削除し、新しい設定ファイルか QR コードから追加し直してください。保存済みのプロファイルは古い資格情報を再生し続け、再設定を無意味に見せてしまいます。
一つの試験で二つの層を素早く切り分けられます。同じアカウントをノートパソコンから試してください。ノートパソコンが接続できるならアカウントは正常で、端末が古い情報を抱えています。ノートパソコンも同じように失敗するなら、再設定は一度も効いておらず、端末は問題ではありませんでした。
証明書ベースのプロファイルは別の仕方で失敗します。PKCS#12 のバンドルや端末ごとの証明書は、端末のキーストアにある秘密鍵に結び付いており、アカウントのパスワードを変えてもその鍵は作り直されません。だからクライアントが証明書を選ぶよう求め、一覧が空なら、この端末には鍵が一度も取り込まれていないということになり、新しい登録だけが修復手段です。
失ったのが画面ロックである場合
古い解説は、端末上の既存のパスワードを置き換える遠隔コマンドを約束しています。そんなものはもう存在せず、Android 4.4 時代の端末で覚えているパターン忘れのボタンも一緒に消えました。Google の現在のロック端末向けガイドは明快です。画面ロックを復旧できない場合、サポートされている方法は端末を消去して再設定します。
消去には事前に確認すべき前提があります。端末に接続が必要で、サインインするアカウントは以前に追加したものと一致している必要があり、遠隔消去はあらかじめその端末で有効になっていなければなりません。製造元のボタン組み合わせも文書化された方法で、同じ代償を伴います。
特定のバックアップとその最終実行日を挙げられない限り、データ消失を前提にしてください。再設定後の保護は、以前その端末にあったアカウントの資格情報を求めることがあり、クラウドのバックアップはアプリに結び付いた鍵や管理プロファイルの身元を確実には復元しません。
まだ動く端末を消去する前に、後続のコストを数えてください。仕事用プロファイルの身元は管理者が再発行する必要があり、銀行や認証アプリは再登録が必要で、端末に結び付いた VPN 証明書も新しい登録が必要です。
この順番で進める
上から始め、挙動が変わる最初の手順で止まってください。ダイアログが実際に何を言っているかを読み、次に管理者が端末を登録したかを確かめ、次に取り込んだばかりのプロファイルを試し、それから初めて画面ロックを失ったものとして扱います。サポートに電話する前に文言を書き留めると一往復を省けます。私のパスワードを求めるという一文は、四つの異なる修理を指しているからです。
消去の手順まで来たら、まずアカウントの資格情報とバックアップの状況を確認し、その後に VPN を登録し直してください。再設定より古いバックアップからプロファイルを戻すのは避けます。