iPhoneのリセットでVPN設定から消えるもの

端末を消去すると、VPNプロファイルがそのまま戻らないことがある。iPhoneのバックアップは多くのものを運ぶが、秘密鍵、管理プロファイル、登録状態が一緒に戻るという約束ではない。ずれは通常、数時間後に、利用者が移動中で消去した端末が唯一の有効なログイン経路だったときに現れる。事前に書き留めた五つの事実が、その午後を防ぐ。

バックアップが運ぶものと、決して持っていなかったもの

ローカルまたはiCloudのバックアップは、利用者のデータと多くのアプリ設定を復元し、アプリが含めると決めた資格情報も復元できる。secure enclaveの内部で生成され、エクスポート不可と印された秘密鍵を再作成することはできず、端末を管理に再登録することもない。MDMサーバーから届いた構成プロファイルは通常、バックアップではなくそのサーバーが再配信する。三つの場合は設定画面では同じに見え、消去後の振る舞いは異なる。

この区別が重要になるのは、問題を直せるのが誰かを決めるからだ。利用者のデータは本人のもので、プロファイルとその信頼の基点は発行した者のもので、秘密鍵は再発行しなければならないサービスのものだ。リセットの前にこの三者を名指しできなければ、復元計画は不完全だ。

計画を試す問いは一つで、鍵が失われたとき、誰が代替を発行するのか。答えが誰もいないなら、まだ端末を消去しないことだ。

同僚が何から再構築できるかを書き留める

接続を他の誰かが再構築できる五つの事実、つまりサービスの所有者、対応クライアントとバージョン、エンドポイント名、プロトコルとポート、プロファイルの配布方法だ。プライベートDNSサフィックスと、トンネルなしで壊れる内部アプリも加える。トンネルが上がっていても利用者がVPNの故障として報告するのは、まさにそれらだから、記録はチケットかチームのwikiに置き、緑の状態アイコンのスクリーンショットには決して置かない。

認証の復旧は別の記録であり、パスワードマネージャーか組織の本人確認プロセスに属する。リセットが来るからといって鍵とパスワードを保護されていないメモに集めることは、復旧できる出来事を事故に変える道だ。記録は復旧素材がどこにあるかを述べるべきで、復旧素材を複製すべきではない。

証明書の再発行を承認できる人も名指しする。二日かかる承認経路でも、当日に発見するよりはましだ。

管理プロファイルと個人プロファイルは戻り方が違う

管理対象の端末は再登録すると設定を再び受け取るので、登録が利用者データの復元より先に来る。個人プロファイルはダウンロードしたファイルに近く、消去後は発行元サービスからの新しいダウンロードと、新しい信頼の判断が必要だ。一般のバックアップが復元するのは設定であり、エクスポート不可として生成された秘密鍵ではないので、各資格情報は復元結果ではなく、それぞれの再発行経路に照らして確認する必要がある。

同じ流れでMFAの方式も確認するのは、プッシュを受け取る端末が、消去する端末そのものであることが多いからだ。登録済みの要素がそこにしかないなら、リセットの前に、本人確認チームと検証済みの手続きを通して二つ目を用意する。証明書の有効期間もその会話に属し、短命の証明書は端末が引き出しの中で眠っている間に切れうるし、Appleの構成プロファイルのガイドは、戻る途中で出会うインストールと削除の確認を扱っている。設定手順がVPNの内側からしか読めないなら、消去の前にその依存を断ち、後回しにしない。

復元した接続を実際のリソースで確かめる

復元したら、対応クライアントかプロファイルを入れ、サインインし、トンネルを必要とする内部リソースを開くが、接続済みの表示が証明するのはトンネルの存在であり、名前解決と経路が利用者に必要なサービスに届くことではない。信頼の連鎖も確認する。プロファイルが未知のルートを提示したら、急いで終えるために承認を押すのではなく、立ち止まって発行元を確かめる。慌ただしい復元の途中で受け入れた未知のルートは、事故のように下された信頼の判断だ。

次に、静かに失敗する部分として、内部アドレスに解決されるプライベートDNSサフィックス、証明書の日付、トンネルに依存するアプリ一つを試す。その試みが引き継ぎの試験だから、利用者には案内なしでログインをやり直してもらう。

端末を交換したとき、または紛失の後にリセットしたときは、古い端末の識別情報を退役させる。プロファイルを復元しても、どこかに残っている複製は失効しない。

リセット前のチェックリストを一か所に

所有者、クライアント、エンドポイント、プロトコル、配布方法、DNSサフィックスと依存アプリ、MFAの復旧経路と承認者、証明書の再発行経路と有効期間、管理対象端末の登録方法。どれか一行でも空なら、リセットはコイン投げだ。この一覧は十分で、これが復元なのか停止なのかを決める。

エンドポイントも所有者も変わるので、復元する人が端末なしで読める場所に置き、有効期限の見直しを付ける。廃止されたゲートウェイを引用した復旧メモは、自信をもって間違った行動を招くので、メモがないより悪い。