Per-app VPN på iOS: matcha appens VPNUUID, inte PayloadUUID

Två UUID-värden avgör om en hanterad iPhone-app går genom per-app-tunneln, och ingen av dem är identifieraren för profilen som bär dem. Appens VPNUUID-attribut måste vara lika med VPNUUID inne i per-app VPN-nyttolasten. Den utrullade appen måste också hanteras av samma enhetshanteringstjänst, och kommandot du skickar måste faktiskt bära attributet. Gå igenom de fyra stegen nedan i ordning, eftersom varje steg producerar ett värde som nästa behöver.

Samla fyra identifierare innan du rör enheten

Skriv ner fyra värden: bundle-identifieraren från din hanteringsinventering, identifieraren för per-app VPN-nyttolasten, VPNUUID inne i den nyttolasten och identifieraren för kommandot du är på väg att skicka. Bundle-identifieraren namnger applikationen som tar emot inställningarna, och etiketten på hemskärmen ersätter den inte. Håll PayloadUUID helt utanför den här listan, eftersom den identifierar en nyttolast inuti en profil och svarar på en annan fråga. Att sätta den i stället bara för att båda fälten ser ut som UUID:n är det vanligaste sättet att bygga en koppling som aldrig kan matcha.

Om VPN-administratören inte har gett dig per-app-nyttolasten och dess identifierare, be om dem i stället för att skrapa fram ett UUID ur vilken konfigurationsfil som helst som ligger närmast.

Tillämpa attributet via hanteringskanalen

Bekräfta att målappen hanteras på den enheten, eftersom en känd bundle-identifierare inte gör en ohanterad installation kvalificerad för kopplingen. Skicka sedan ett inställningsobjekt av typen ApplicationAttributes via produktens per-app VPN-tilldelning eller dess stödda implementering av Settings-kommandot. Objektet identifierar appen med bundle-identifieraren och bär en Attributes-ordbok vars VPNUUID stämmer med nyttolasten. Ingenting i det objektet är ett fullständigt kommandoenvelop, och ingenting i det kan installeras som en profil för hand.

Behandla borttagning lika avsiktligt som installation. Schemat säger att om Attributes-ordboken utelämnas tas appens befintliga attribut bort, så en halvfärdig uppdatering blir tyst en återställning. Kommandot med det liknande namnet Managed Application Attributes läser tillbaka attributen för verifiering; det sätter dem inte, och att använda det som sättare är ett bortkastat utrullningsfönster.

Läs kommandoresultatet, inte appikonen

Kontrollera kvittensen för kommandot du skickade och bekräfta att den hanterade appen nu rapporterar attributet. En VPN-badge i statusfältet säger bara att det finns en tunnel någonstans på telefonen. Den kan inte berätta att just den här appen är tilldelad per-app-konfigurationen, och på en enhet där tunneln öppnas on demand visas badgen kanske aldrig. Jämför identifierare i tilldelningen i stället för att leta efter en visuell ledtråd.

Om det finns två per-app-konfigurationer i samma flotta, jämför deras identifierare innan du antar att din tilldelning hamnade i den avsedda.

Testa med resursen och registrera sedan paret

Låt en behörig användare öppna den privata resursen från den tilldelade appen och se om per-app-tunneln kommer upp för den. Upprepa sedan från en ohanterad app på samma telefon och bekräfta att behandlingen skiljer sig. Just den kontrasten är det egentliga testet, eftersom en fungerande privat resurs också kunde ha nåtts via en enhetsövergripande tunnel som ingen nämnde i ändringsloggen. Registrera resultatet medan enheten ligger framför dig.

Förvara bundle-identifieraren, nyttolastens identifierare, den delade VPNUUID och kommandoresultatet tillsammans, så att nästa utredning börjar från samma fyra värden och inte från minnet.

Rulla tillbaka utan följdskador

För att ta bort tilldelningen, skicka appattributet igen med en tom Attributes-ordbok i den form som din produkt dokumenterar, i stället för att ta bort appen från kommandot. Kontrollera efteråt att appen inte längre öppnar per-app-tunneln och att andra hanterade appar behöll sin. Om samma telefon också har en enhetsövergripande VPN-profil, bekräfta att den fortfarande beter sig som före återrullningen, eftersom två VPN-konfigurationer på en enhet är där det här steget brukar gå fel. Uppdatera sedan registret du har fört.

En revision som frågar varför en viss app någonsin tunnlades kommer att vilja ha UUID-paret och ett datum, inte en beskrivning av utrullningen.