監督対象のiPhoneとVPN設定：実際に変わること

設定を開き、一般、VPNとデバイス管理と進み、端末が自分自身について何を言っているかを読みます。Apple Business ManagerまたはApple School Managerで登録されたデバイスは、その画面に組織名を表示し、この一行は、ほとんどの設定ガイドよりもVPNオプションについて多くを説明します。監督は管理状態でありVPNの機能ではなく、どのサーバーに到達できるかではなく、どのスイッチが存在するかを変えます。状態を先に読めば、決して現れないトグルを三つのサブメニューで探し回らずに済みます。

端末が管理状態を報告する場所から始める

その画面には、デバイスにインストールされたすべての構成プロファイルが、配布した組織ごとにまとめて表示されます。VPNペイロードを含むプロファイルがトンネル定義を所有するオブジェクトであり、サーバーアドレス、認証方式、オンデマンドのルール、ユーザーが編集または削除できるかどうかがそこに含まれます。

自分でインストールしたアプリ以外に何もなければ、この記事が意味する管理状態にはありません。App StoreのVPNクライアントはシステム拡張を通じて独自の設定を作るもので、プロファイル一覧をどれだけ探しても組織のポリシーは現れないのは、そのデバイスに存在しないからです。

スイッチを変更する前にプロファイルを読む

プロファイル名をタップし、何も触る前にペイロードの概要を読みます。接続の種類、サーバー、そして多くの場合プロファイルが削除可能かどうかが書かれています。この三つの事実が、誰が動作を変更でき、修正がどこに属するかを教えてくれます。VPN行の下のオン/オフスイッチを変えてもプロファイルは変更されず、次の管理チェックで組織の望む状態に正確に戻されることがあります。

削除不可と記されたプロファイルは、デバイス制限として表現された管理上の決定であり、回避すべき不具合ではありません。

一部のVPNスイッチが表示されない理由

オンデマンド起動、アプリごとのトンネリング、IKEv2のみの動作は管理APIの背後にあり、そのいくつかは管理に加えて監督も必要とします。手動でインストールしたクライアントを持つ個人の端末には、これらのコントロールが単に表示されず、表示されないことは、アプリの故障や古いiOSバージョンの証拠ではありません。同じiOSリリースでも、デバイスの状態が異なるため二台の端末では異なるオプションが表示されます。

登録方法がその状態を決めます。Apple Business ManagerまたはApple School Managerによる自動デバイス登録は監督対象のデバイスを生みますが、手動でインストールしたプロファイルは、同じMDMサーバーが配布したものでもそうはなりません。

監督が加えるもの、そして依然としてできないこと

監督はトンネルそのものを変えるのではなく、組織が強制できる上限を引き上げます。削除不可のプロファイル、追加の制限、管理されたアプリレベルのトンネリングを可能にし、端末にオプションを提供するのではなくVPNを有効に保つことを義務付けられる理由でもあります。Appleの展開ガイドは、登録と管理をこれらの機能への道として説明しています。

特定のVPN事業者を信頼できるものにするわけではなく、不適切に発行された証明書を機能する接続に変えるものでもありません。監督は誰がデバイスを構成できるかについての表明であり、接続先サービスの品質保証ではありません。

バージョン差もここでは重要で、最新リリースに現れるコントロールが監督対象デバイス専用として文書化されている場合があり、二つ主要バージョン遅れている端末は、設定がどうあるべきかの基準にはなりません。

サポートされた経路で離れる

デバイスの管理をやめるべきとき、またはプロファイルに誤りがあるときは、修正は管理者の退役または再発行のプロセスに属します。端末を消去しても自動登録の割り当てから必ずしも解放されるわけではないため、リセット後にデバイスが構成済みかつ監督対象として戻ることがあります。

許可されたリセットの前に復旧情報を記録し、プロファイルの削除がVPN以上のものを持ち去ると想定してください。証明書、Wi-Fiの資格情報、制限はたいてい一緒に移動するため、動作するトンネルを維持する方が、後から再構築するより簡単です。