iPadのVPNでパスワード入力をなくす：証明書か保存済みログインか

「パスワードを聞くのをやめてほしい」という不満には実は三つの要件が含まれており、iPadの導入ではそれぞれ別の場所で答えることになります。入力を求めるのは認証であり、タイミングを決めるのは有効化であり、範囲を決めるのは強制適用です。まず入力をなくす資格情報を選び、トンネルが開く条件は別に決めてください。この二つを混同すると、保存したパスワードがあるのに依然としてタップを待つプロファイルができあがります。

ひとつの不満にふたつの問題

iPadのネイティブIKEv2構成ではパスワードか証明書のどちらかを参照でき、AuthenticationMethodキーがどちらを適用するかを決め、PayloadCertificateUUIDが識別情報を提供する資格情報を指定します。そのどちらをゲートウェイが受け入れるかはサーバー側のポリシーの問題であり、クライアントの好みではありません。したがって最初に確認すべきはVPNサービスが何を許すかであり、iPadは相手側が拒否する方式へ交渉で近づくことはできません。

その後に初めて、トンネルがいつ有効になるかを語る意味が出てきますが、これはまったく別のプロファイルキーの集合です。

第一の選択肢：iPadが再利用できる資格情報

保存したアカウントのパスワードや共有シークレットは、利用者またはグループを認証するゲートウェイを満たし、シークレットが有効な間は入力をなくします。弱点はライフサイクルです。シークレットはプロファイルに載り、複数の端末で共有されることがあり、ローテーションはそれを含むすべてのプロファイルに手を入れることを意味します。サービスがワンタイム要素や対話的な承認をさらに求めるなら、端末側の設定だけでそのポリシーを無人ログインに変えることはできません。

あるアプリが保存したパスワードは別のVPN実装で自動的に使えるわけではないため、同じアカウントがあるクライアントでは聞かれなくなり、別のクライアントでは毎回聞かれることがあります。

第二の選択肢：独自の鍵を持つ端末証明書

証明書はより強い形で入力をなくします。iPadがシークレットを再生するのではなく、秘密鍵の所持を証明するからです。そのためにはリーフ証明書とその鍵が承認された登録経路で届くことと、ゲートウェイがその接続で証明書認証を受け入れることが必要です。CA証明書だけをインポートしても端末には信頼の材料が入るだけで、よくある静かな失敗になります。

代償はライフサイクルの作業です。各iPadが固有の識別情報を持つことで、紛失した端末を全台再発行せずに失効でき、有効期限は実際の運用イベントになります。黙って期限切れになる証明書は、それが起きた朝のVPN障害とまったく同じに見えます。

好みではなくゲートウェイが受け入れるものを基準に選ぶ

VPN管理者に二つ尋ねてください。この種のクライアントに対してサービスがどの認証方式を受け入れるのか、そしてそのいずれかが対話的な入力を必要とするのか。答えが証明書のみなら登録と更新を計画します。答えがパスワードと第二要素なら、入力はポリシーだと受け入れ、端末の不具合として扱うのをやめます。両方が受け入れられるなら、監視下の端末群ではライフサイクルで証明書が勝り、数台の端末では設定の手間でパスワードが勝ります。

次にプロファイルを触る人がもう一方を選ばないよう、選んだ方式はプロファイル識別子とともに導入記録に書き残してください。

次に有効化と認証を分けて考える

VPN On Demandは設定した条件が一致したときにトンネルを開きます。DNSドメインでもインターフェース種別でも参加済みネットワークでもよく、Appleはユーザー操作を必要としないものとして文書化しています。これは、何かが要求したときにだけ到達可能にすべき私有リソースに向いています。管理されたAlways Onとは同じではなく、そちらは適用範囲を強制し続け、独自の監視とプロファイルの要件を伴います。

有効な資格情報があっても、どちらの場合も何も解決しません。多くのiPadはまったく正常な証明書を持ちながら、要求時のルールが一度も発動していないために手動のタップを待っています。

要件は管理者が行動できる形で渡してください。このiPadは、繰り返しのユーザー入力なしに、この種の資格情報を使い、これらの有効化と障害のルールの下で、これらのリソースに到達できるべきです。現在のサービスがその条件を満たせないなら、繰り返される入力は設計どおりに機能しているポリシーです。