Apple デバイスが管理から外れるとき、VPN はどうなるか

昨日登録した端末は、いまも設定に VPN の項目を表示している。そして今日、その端末は引退させる。トンネルが動き続けるかどうかは、独立した二つのものにかかっている。VPN 構成を配信する管理プロファイルと、VPN サーバーが認可するアカウントまたは証明書の身元である。片方を消しても、もう片方は消えない。だから完全に見える引退作業でも、有効な資格情報が残る。端末を完了と宣言する前に、この順番で両方を確認すること。

混同されやすい二つの削除

プロファイルはローカルの物体だ。VPN 設定、それに付随する証明書や身元の設定、そして多くの場合いくつかの制限を運ぶ。認可は遠隔にある。ユーザーアカウント、デバイス証明書、あるいはトンネルを終端する側が保持する登録記録である。片方は端末で削除され、もう片方はデスクから誰も見えないコンソールで無効化される。

端末からプロファイルを消すのは目に見えて即座に終わるので、それで全部済んだ気になる。サーバー側の身元は端末から見えず、誰かが無効化するまで有効なままだ。ローカルの物体だけを消す引退手順は、コピーしたり、バックアップから復元したり、別の端末に登録したりできる資格情報を残す。だから二つの削除は、別の担当者と別のチェックリストに属する。

プロファイルが一緒に持っていくもの

管理プロファイルを削除すると、VPN 構成とそれを認証する証明書がまとめて消えることがあり、構成によっては併設されたアプリも消える。正確な範囲は、ペイロードの配信方法と端末が監督下にあるかどうかで変わる。トンネルだけが消えると誰かに約束する前に、ペイロード一覧を読むこと。

消去は登録解除とは同じではない。端末が次にチェックインするとき、登録記録がプロファイルを再適用することがあるからだ。再割り当てが起こるかどうかを決めるのは所有の記録であり、消去した端末が時々管理された状態で戻ってくる理由もそこにある。結果を予測する前に登録方法を読み、表はどのベンダーの既定値の説明でもなく、チェックリストとして使うこと。

プロファイルが消えてもアカウントは動き続ける

サーバー側は意識して試験すること。プロファイルのない端末は、資格情報について何も証明しない。コピーされた証明書、保存されたパスワード、二つ目の登録は、別の場所から認証できてしまう。

失効は狭く保つ。共通の発行者や複数の端末で使う一つのアカウントは、引退を障害に変える。早くアクセスを戻したいという圧力が、例外を恒久化させる道だ。

端末と身元を別々に確認する

二つの確認を順に行い、両方の結果を記録する。端末はもうプロファイルを持たず、身元はもうトンネルを確立できない。端末上でまだ認可されているサービスが影響を受けていないことも確認すること。無関係なアクセスを壊す引退は、慌てて取り消される。

端末が持ち主を変えるなら、有効な資格情報を渡すのではなく所有の手続きを使い、新しい保有者が再登録する必要があるかを記録する。何を削除したかの短い記録は残しつつ、後で誰も必要としない秘密鍵は保持しないこと。