Mac VPNの管理者プロンプト：インストール、拡張機能、ポリシー？

VPNクライアントのパスワードプロンプトは似て見えますが、同じではありません。よく似たダイアログの裏には、インストール時に保護された場所へファイルを書き込むこと、ネットワーク設定を追加または変更すること、通信を運ぶシステム拡張機能を有効にすること、管理サーバーがすでに設定したポリシーに従うことという四つの異なる操作が隠れています。それぞれ所有者も影響範囲も、機能したかを確かめる方法も異なります。目にしているメッセージをこの四つのどれかに当てはめることが、この作業のすべてです。

三つの異なる承認は同じに見える

インストーラの認証は最も単純なケースで、パッケージは標準ユーザーが変更できないディレクトリに書き込み、macOSはそれを許可するために管理者の資格情報を求めます。システムはソフトウェアが安全かどうかを決めているのではなく、そこに書き込んでよいかを決めています。だからこそ、パッケージがきれいにインストールされても役に立たないことがあり、インストールの承認は、その後にコードの実行が許されるかを何も語りません。インストール後も、アプリがネットワークに影響を与えるには二つ目の承認が必要な場合があります。

ネットワーク設定の認証は、システムの接続リストへの変更を対象とし、VPNサービスを追加したり、ネットワーク管理者が設定した項目を変更したりするには昇格が必要です。そうした定義はマシン上のすべてのアカウントに影響するからです。この承認が与えるのは設定の権限であり、通信の権限ではありません。

パケットの流れにとって重要なのは拡張機能の承認です。現代のクライアントはmacOSがシステムに読み込むシステム拡張機能をインストールし、macOSは有効化の前にプライバシーとセキュリティ、またはログイン項目と拡張機能での明示的な判断を求めます。四つ目のケースは管理対象のMacで、ポリシーが拡張機能をあらかじめ承認しており、ユーザーにはダイアログがまったく表示されません。

各承認が実際に変えるもの

インストーラはディスク上のファイルを変更し、その影響は残留物を除いてファイルが削除されると終わります。ネットワーク設定は接続リストに現れるサービス定義を追加し、オンデマンドの規則で再び有効になることがあります。拡張機能の承認は、システムがどのコードを読み込んで実行し続けるかを変えるため、一部のワークフローでは目に見えるアプリをアンインストールしても残ります。アプリバンドルを削除してもその拡張機能が必ず削除されるわけではなく、取り残された拡張機能はネットワークの特権を保持します。

この区別は症状を予測し、インストール済みなのに一度も接続しないのは、拡張機能がどこでも承認されていないという意味が普通です。接続するものの次の変更で設定が戻るのは、管理ポリシーがその定義を所有しているという意味が普通です。

署名と発行元が答えを決める

承認する前に、ダイアログのアイコンが示すものではなく、誰が署名したかを読みましょう。ローカルでの二つの確認だけで、署名の主体と、このマシンでシステムの評価が通るかどうかが分かります。

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

署名も公証もされていないバンドルは自動的に悪意があるわけではありませんが、意図したベンダーの署名済みバンドルとは異なる判断に値します。ベンダー自身のサイトではなくメッセージ経由で届いたパッケージは、答えが単純にいいえになるケースです。

アプリの表示名は再利用しやすい一方で識別子はそうではないため、チーム識別子はベンダーが公開している身元と比較してください。ベンダーがインストールガイドで識別子を公開しているなら、そのページが比較の基準であり、不一致を報告すべき場所でもあります。再販業者、再パッケージされたビルド、フォーラムのポータブル版からのクライアントは、同じベンダーの署名済みダウンロードよりも疑ってかかる価値があります。

ポリシーが判断を所有する場合

企業のMacでは、管理者がすでに決めているかもしれません。管理プロファイルはVPN定義を配信し、拡張機能を事前承認し、接続をロックして削除できなくすることができます。その構成では、パスワードの入力を求めることは、もともとあなたのものではなかった判断を覆す要求であることがよくあります。

インストールを強行するために起動セキュリティを下げたり管理を切り離したりすると、一時的な問題を解決するためにマシンの脅威モデルを永久に変えることになります。その取引はめったに意識的に行われず、たいていはフォーラムの投稿をなぞるうちに起こります。代わりに、プロファイルの再送やサーバー側での拡張機能の承認のように単純な場合もある、管理者にサポートされた経路を尋ねてください。管理者が承認できないなら、その答えこそが発見であり、回避すべき障害ではありません。

承認後の状態を確認する

正規の承認が与えられたら、クライアントの主張ではなくシステムの認識を確認します。拡張機能の一覧は、サードパーティ製ツールなしで有効化の状態を報告します。

systemextensionsctl list

有効として表示される項目は先に確認したチーム識別子に属し、ユーザーの承認待ちで停止として表示される項目は、起動しても通信を運ばないクライアントを説明します。プロンプトが試行のたびに戻るのは、前のものを無効にせずに拡張機能が置き換えられているという意味が普通で、パスワードの問題ではなくサポート案件なので、正確なメッセージとクライアントのバージョンを記録してください。修正が新しいビルドにすでにあるかもしれず会話はそこから始まるため、サポートに電話する前にバージョンを控えてください。