管理されたVPNを使う標準Macユーザー：ITが担うべきこと

標準のmacOSアカウントでも、ITが特権操作をすべて保持したまま、社内VPNを一日中使えます。そこに至るかどうかは配布の判断であり、権限の議論ではなく、クライアントを誰が導入し、接続を誰が作成し、ユーザーが何を変更できるかを決めることです。三つのルートでほぼすべてのケースを網羅できますが、失敗の仕方はそれぞれ異なります。端末の所有権と資格情報の種類でルートを選び、自分自身ではなく標準ユーザーとして試します。

三つの配布ルートとそれぞれが決めること

第一のルートは、組織のデバイス管理が配布する管理構成プロファイルです。VPNペイロードにはゲートウェイ、認証方式、ルート、DNSが含まれ、Macの登録方法に応じてデバイスチャネルまたはユーザーチャネルで導入されます。第二のルートはセルフサービス型インストーラで、ユーザーが承認済みパッケージを実行すると、クライアントが配置され、接続が代わりに作成されます。管理登録がないものの、組織が再現可能でレビュー可能な構成を求める場合に機能します。第三のルートは、ユーザーが公開された値に従ってシステム設定で手作業で接続を作成する方法です。支えるのが最も高くつくのは、クライアント側の誤りがすべてヘルプデスクへの電話になり、変更がすべてメモになるからで、始めるのは最も安いのです。

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

最初の一覧でどの接続が存在し誰が所有しているかを確認し、残りの二つでポリシーとして何が導入されたかを確認します。どちらの一覧にも現れないプロファイルは、ユーザーに何と言われていても届いていません。

端末の所有権で決め、役職では決めない

組織が所有するMacは通常、VPNを配布する同じチャネルで削除でき、ユーザーが接続をこっそり編集できないため、第一のルートを正当化します。どのユーザーもログインする前にトンネルが必要ならデバイスチャネルを、接続が本人に属するならユーザーチャネルを選びます。個人所有のMacで社内サービスを使う場合は、通常は第二のルートになります。組織は端末を管理できないため、インストーラは小さく、元に戻せ、ユーザーが取り消せる程度に文書化されている必要があります。

第三のルートは、安定した構成を持つ少数の技術者と、展開前にゲートウェイを試す人には引き続き妥当です。その規模を下回ると、誰も棚卸しできない手入力の設定の集合になり、監査も効きません。

プロファイルとアカウントを分ける

ローカル接続プロファイルは、ゲートウェイへの到達方法を示します。ゲートウェイで認可されたアカウントは、発信者が入れるかどうかを示します。両者は別の人が用意し、別の理由で失効するので、プロファイルを認可そのものとして扱ってはいけません。証明書はその間に位置します。プロファイルと一緒に配布された証明書は端末またはユーザーを認証し、ゲートウェイで失効させればプロファイルがディスクに残っていてもアクセスは終わります。パスワードだけに頼る設計は代わりにアカウントのライフサイクルに依存するため、引き継ぎメモにはどちらが効いているかを書く必要があります。

クライアントがシステムVPNかアプリ単位のトンネルかも決めます。アプリ単位の設計は選んだアプリだけを経路に載せ、使用中のmacOSでクライアントがその方式を支えるかどうかに依存するので、設定がそのまま移ると決めつけず試験機で確認します。

管理者パスワードなしで引き渡す

ユーザーは接続を開始し、サインインし、パスワード変更後に復旧できる必要があります。どれも管理者アカウントを必要とせず、資格情報をスクリプト、Automatorアクション、署名済みパッケージのインストール後処理に埋め込む理由にもなりません。

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

最初の二つのコマンドはユーザーレベルの操作で、ヘルプデスクが口頭で案内できます。三つ目は接続に失敗したときの直近のトンネル活動を読み取るもので、エラーダイアログの画面写真ではなくこれを求めます。

手順がまだ管理者の承認を求めるならそれは配布の不備であり、タスクに必要な以上の権限を持つアカウントを渡すのではなく、正確なプロンプトをプロファイル所有者に返します。

標準ユーザーでサインインし、退出の手順を書く

標準アカウントでサインインし、接続し、目的の社内ホストに到達し、Macをスリープさせ、復帰させて再接続を確認します。この配備の半分はまさにそこで実際に失敗するため、パスワード変更後にも繰り返します。最初のユーザーが必要とする前に、プロファイルがない場合、証明書が切れた場合、ゲートウェイが本来有効なログインを拒む場合にどうするかを復旧手順として書きます。その三つの答えを、ヘルプデスクが見つけられる場所に置きます。

最後に、削除を計画します。一つの操作で退職するユーザーのMacから外すことができないVPNは、これから起きるアクセスレビューの指摘です。