iOS のアプリ別 VPN：一致させるのはアプリの VPNUUID であり、PayloadUUID ではない

二つの UUID 値が、管理対象の iPhone アプリが一つ、アプリ別トンネルを通るかどうかを決めます。そのどちらも、両者を運ぶプロファイルの識別子ではありません。アプリの VPNUUID 属性は、アプリ別 VPN ペイロード内の VPNUUID と等しくなければなりません。配備されたアプリは同じデバイス管理サービスで管理されている必要があり、送るコマンドが実際にその属性を運ばなければなりません。以下の四つの段階を順に進めてください。各段階が、次の段階に必要な値を生み出すからです。

デバイスに触れる前に四つの識別子を集める

四つの値を書き留めます。管理台帳のバンドル識別子、アプリ別 VPN ペイロードの識別子、そのペイロード内の VPNUUID、そしてこれから送るコマンドの識別子です。バンドル識別子は設定を受け取るアプリケーションを指し、ホーム画面のラベルはその代わりになりません。PayloadUUID はこの一覧から完全に外してください。プロファイル内のペイロードを指すもので、別の問いに答えるからです。どちらも UUID に見えるという理由で置き換えるのは、決して一致しない関連付けを作る最も一般的な方法です。

VPN 管理者からアプリ別ペイロードとその識別子を受け取っていないなら、いちばん近くにある設定ファイルから UUID をこすり取るのではなく、両方を要求してください。

管理チャネル経由で属性を適用する

対象アプリがそのデバイスで管理されていることを確認してください。既知のバンドル識別子があっても、管理されていないインストールが関連付けの対象になるわけではありません。次に、ApplicationAttributes タイプの設定項目を、製品のアプリ別 VPN 割り当て、または Settings コマンドの対応実装を通じて送ります。その項目はバンドル識別子でアプリを特定し、VPNUUID がペイロードと一致する Attributes 辞書を運びます。その項目のどこにも完全なコマンド封筒はなく、中身を手作業でプロファイルとしてインストールすることもできません。

削除はインストールと同じくらい意図的に扱ってください。スキーマによれば、Attributes 辞書を省くとアプリの既存の属性が削除されるため、作りかけの更新は静かにリセットになります。よく似た名前の Managed Application Attributes コマンドは検証のために属性を読み戻すだけで、設定はしません。それを設定側として使うのは、配備の時間帯を無駄にすることです。

アプリのアイコンではなくコマンドの結果を読む

送ったコマンドの確認応答を調べ、管理対象アプリがその属性を報告するようになったことを確かめてください。ステータスバーの VPN バッジは、端末のどこかでトンネルが存在するということしか示しません。この特定のアプリがアプリ別構成に割り当てられていることは分かりませんし、トンネルが要求時に開くデバイスではバッジが一度も出ないこともあります。視覚的な手がかりを探すのではなく、割り当ての中の識別子を比較してください。

同じフリートにアプリ別構成が二つあるなら、割り当てが意図した方に入ったと決めつける前に、両者の識別子を比較してください。

リソースで試し、そのうえで組を記録する

権限のある利用者に、割り当てられたアプリから非公開リソースを開いてもらい、そのためのアプリ別トンネルが立ち上がるかを観察します。次に、同じ端末の管理されていないアプリから繰り返し、扱いが異なることを確かめます。その対比こそが実際のテストです。機能する非公開リソースは、変更記録に誰も書いていないデバイス全体のトンネル経由でも到達できたかもしれないからです。端末が目の前にあるうちに結果を記録してください。

バンドル識別子、ペイロード識別子、共有の VPNUUID、そしてコマンドの結果をまとめて保存し、次の調査が記憶ではなく同じ四つの値から始まるようにします。

巻き添えなしで元に戻す

割り当てを外すには、アプリをコマンドから落とすのではなく、製品が文書化している形式で空の Attributes 辞書を付けてアプリ属性を再送します。その後、アプリがもうアプリ別トンネルを開かないこと、他の管理対象アプリが自分の分を保っていることを確認します。同じ端末にデバイス全体の VPN プロファイルもある場合は、巻き戻し前と同じ挙動かを確かめてください。一つのデバイスに二つの VPN 構成があるときが、この手順がたいてい失敗する場所だからです。そのうえで、保管していた記録を更新します。

特定のアプリがなぜトンネル経由だったのかを問う監査は、配備の説明ではなく、UUID の組と日付を求めるでしょう。