Når en Apple-enhet tas ut av administrasjon, hva skjer med VPN-forbindelsen?
Sletter du en administrasjonsprofil, forsvinner også VPN-nyttelasten og sertifikatene. Selve kontoen bak VPN-forbindelsen må avsluttes i en egen operasjon.
Telefonen som ble meldt inn i går, har fortsatt en VPN-oppføring i Innstillinger, men i dag skal den tas ut av drift. Hvorvidt tunnelen fortsatt virker, bestemmes av to ting som ikke henger sammen: profilen som styrer enheten og leverer VPN-oppsettet, og den kontoen eller det sertifikatet som VPN-tjeneren godkjenner. Det ene forsvinner ikke fordi om det andre fjernes, og derfor kan en utrangering se ferdig ut mens en gyldig legitimasjon blir liggende. Sjekk begge, i denne rekkefølgen, før enheten regnes som avsluttet.
To ulike fjerninger som lett blandes sammen
Profilen ligger lokalt: den inneholder VPN-innstillingene, sertifikatene eller identitetsvalgene som hører til, og ofte noen restriksjoner. Godkjenningen ligger et helt annet sted: en brukerkonto, et enhetssertifikat eller en registrering hos den parten som avslutter tunnelen. Det lokale slettes på telefonen, det andre slås av i et grensesnitt ingen ved pulten ser.
Når profilen fjernes fra enheten, er det synlig og skjer med en gang, og derfor oppleves det som hele jobben. Identiteten på tjenersiden er usynlig fra telefonen og forblir gyldig helt til noen slår den av. En utrangeringsrutine som bare sletter det lokale objektet, etterlater legitimasjon som kan kopieres, hentes tilbake fra en sikkerhetskopi eller meldes inn på en annen enhet. Fjerningene hører derfor hjemme hos forskjellige ansvarlige og i forskjellige sjekklister.
Hva som blir borte sammen med profilen
Sletting av en administrasjonsprofil kan ta med seg VPN-oppsettet og sertifikatet som gjør det gyldig, og i noen oppsett også programmene som er installert ved siden av. Hva som faktisk forsvinner, avhenger av hvordan nyttelasten ble sendt ut, og om enheten er under oppsyn. Les listen over nyttelast før du lover noen at bare tunnelen blir borte.
Sletting er noe annet enn å melde enheten ut, fordi registreringen kan legge profilen på plass igjen neste gang enheten kobler til. Det er eierregistrene som avgjør om en slik omfordeling skjer, og de forklarer også hvorfor en slettet enhet av og til dukker opp igjen som administrert. Les innmeldingsmetoden før du spår utfallet, og bruk tabellen som sjekkliste, ikke som en beskrivelse av standardoppsettet til en leverandør.
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
Kontoen virker fortsatt etter at profilen er borte
Prøv tjenersiden med vilje, for en enhet uten profil sier ingenting om legitimasjonen. Et kopiert sertifikat, et lagret passord eller en ekstra innmelding kan fortsatt godkjennes fra et annet sted.
Hold tilbakekallingen snever. En felles utsteder eller én konto som brukes på flere enheter gjør utrangeringen til et driftsavbrudd, og det er hastverket med å gjenopprette tilgang som gjør unntakene varige.
Kontroller enheten og identiteten hver for seg
Ta de to kontrollene i rekkefølge og skriv ned begge resultatene: enheten har ikke profilen lenger, og identiteten kan ikke lenger sette opp en tunnel. Kontroller også at tjenester på enheten som fortsatt er godkjent, ikke blir rammet, siden en utrangering som bryter urelatert tilgang, blir rullet tilbake i full fart.
Skifter enheten eier, bruk eierprosessen i stedet for å overlate fungerende legitimasjon, og noter om den nye eieren må meldes inn på nytt. Ha en kort oversikt over hva som ble fjernet, uten å ta vare på private nøkler som ingen trenger etterpå.