Apple iOS MDM service 簡介

藉由MDM服務,企業可以用來控管配發給員工的iOS Device。可以採用Apple官方推出的工具,也可以採用第三方開發的服務。

MDM server傳送描述檔和指令的流程

  1. 管理員傳送一個設定描述檔(Configuration Profile)到使用者的iOS裝置上。
  2. 使用者安裝該設定描述檔。
  3. 該台iOS裝置向MDM server註冊,開始被監管。
  4. MDM server透過Apple Push Notification Service發送推播訊息到給iOS裝置,請裝置向server確認是否有新的指令或query。
  5. iOS裝置藉由HTTPS和MDM server連接,MDM server傳送指令給裝置、或是向裝置要求回傳資訊。

Apple Push Notification

當MDM server要和iOS裝置溝通,Apple Push Notification會送一則通知給在螢幕鎖定中的iOS裝置,請iOS裝置向MDM server做check in,看看有沒有新的環境設定、或工作任務需要被推送到裝置上。

如果iOS裝置決定接收新的資料,Configuration Profile及其他設定,會在背景用被SSL/TLS加密的方式在裝置和MDM server之間做傳輸。

為了讓Apple Push Notification服務正確辨認來自MDM server送出的指令,必須申請及下載Apple Push Certificate,將其安裝到MDM server中,如此才能讓iOS裝置向MDM server註冊。 網路設定

  1. MDM server最好是連接到一個固定網域,而非一個IP位置。(The IP address range for the push service is subject to change; the expectation is that an MDM server will connect by hostname rather than by IP address. The push service uses a load-balancing scheme that yields a different IP address for the same hostname. This hostname is gateway.push.apple.com (and gateway.sandbox.push.apple.com for the development push notification environment). Additionally, the entire 17.0.0.0/8 address block is assigned to Apple so firewall rules can be established to specify that range)
  2. 把這台MDM server建置在企業內部時,建議打開以下port:
    • Port TCP 80 (http)
    • Port TCP 443 (https)
    • Port TCP 1640 (SCEP)
    • Port TCP 5223 (APNS)
      • 讓iOS裝置連接到push service。
    • Port TCP 2195 (APNS)
      • 讓MDM server傳送通知到Apple Push Notification service。
    • Port TCP 2196 (APNS)
    • feedback service

註冊

iOS裝置註冊(Enrollment) 裝置註冊是讓iOS裝置接受被某台MDM server管理。可以把iOS裝置插線到電腦、或是用無線(Over-the-Air Enrollment)傳輸的方式來接收註冊描述檔(Enrollment Profile),多半都是後者,其流程包括:

  1. User Authentication
    • 管理員可透過email、簡訊、網頁、App來請使用者在iOS裝置上進行註冊。
  2. Certificate Enrollment
    • iOS會透過SCEP(Simple Certificate Enrollment Protocal)產生一個certificate enrollment request,這個request傳送到CA(Certificate Authority),接著使iOS裝置收到identity certificate。
  3. Device Configuration
    • 安裝好identity certificate後,iOS裝置就可以OTA收到加密過的環境設定(configuration information)。

上面可以掠過不看,總之就是,使用者必須在iOS裝置上下載安裝由MDM server發出的profile(描述檔),接著該台裝置就會自動向MDM server進行註冊。註冊完成後,這台iOS裝置就能接收來從MDM server發出的環境設定、資訊更新、被遠端鎖定、被遠端清除資料等工作。

用Apple Configurator來啟用監管

  1. 透過Apple Configurator,iOS裝置可以變成supervised的狀態。
  2. 你可以搭配iPhone Configuration Utility,在Apple Configurator中就先設定好iOS裝置的環境設定,也可以隨後再用MDM server來設定。
  3. 接著這台裝置當然也可以透過OTA被MDM server監管。

缺點是,如果採用Apple Configuration,必須把各台iOS裝置連接到電腦上,逐次做啟用監管的動作。

管理

  1. 可從MDM Server藉由推播設定描述檔(Configuration Profile)來改變iOS裝置中的環境設定,包括:禁止使用相機、App Store下載功能、預設wifi帳號密碼、VPN設定…等。
  2. MDM server可推播App Store上的免費App、企業內部開發的in-house App到iOS裝置上進行安裝。使用者會在iOS裝置上收到請安裝該App的通知,使用者有決定安裝或是取消安裝的權力。
  3. 這些由MDM server發送給使用者的App,其中儲存的資料不會被備份到iTunes或iCloud中。
  4. 如果管理者想要購買某款付費App來發送給使用者的iOS裝置,則可以先藉由Volume Purchasing Program(VPP)來購買授權碼(Redemption Code),並且將授權碼交給使用者,使用者即可用來安裝該App,而不必自己付錢。
  5. MDM server可以移除先前推播給iOS裝置的App,並且查看當profile描述檔被移除時,這些App是否也被移除了。

遠端清除iOS裝置中的資料

當有iOS裝置遺失或是疑似遭竊,管理員可以透過MDM server遠端發送指令到裝置上,將必要的資料刪除,以防企業內部資料被有心人士洩漏出去。指令送出之後,一旦該台iOS裝置連接到無線網路,指令就會在裝置中執行。

  1. 如果iOS裝置遺失,MDM server 可以遠端發送指令,將裝置的螢幕鎖定,必須輸入該使用者先前設定好的密碼,才能解除鎖定。
  2. 管理員可以刪除從MDM server推播給iOS裝置的MDM Configuration Profile,如此一來,裝置中所有藉由這些描述檔接收的環境設定、App,都會消失。
  3. 承上,當然管理員也可以指單獨刪除某些設定描述檔(Configuration Profile)和App。
  4. MDM server可以發送指令,清除掉整台iOS裝置中的所有資料,回到出廠時的狀態。

另外,如果使用者不小心忘記了自己設定的螢幕鎖定密碼,可以請管理員透過MDM server遠端發送指令,將該台iOS裝置的密碼清除,但同時要求60分鐘之內必須設定新的密碼。

( 以上資料來自:http://tinyurl.com/br55zxr )

用Profile Manager管理大量iOS裝置的解決方法

在之前這篇 設定OS X Lion Server的Server App及無線監管iOS設備 裡面,我們是假設由一位管理員,手動在iPad上面輸入管理員帳號,下載Trust File For(信任描述文件)、點選Enroll(註冊),達成讓這台iPad被Server監管的目的。如果要被監管的iPad的數量很多時,這種方法就顯得沒有效率了。

解決方法1:
建立一個「群組」和很多個「使用者帳號」,把所有「使用者帳號」都指定到「群組」中。把使用者帳號密碼發給使用者,請他自己到你的http://xxxx.local/mydevices去註冊手上的iPad。只要更動「群組」的設定,所有指定給各個「使用者帳號」的iPad都會收到設定變更。如果有10個使用者,就分別建立10個使用者帳號。

解決方法2:
只建立一個「使用者帳號」,把帳號密碼發給所有使用者,請所有使用者用同一個使用者帳號登入。但是Apple的文件沒有說明,一個使用者帳號最多可以被加入多少台設備。

解決方法3: 不建立「使用者帳號」及「群組」。管理員先把所有iPad的序號資料批次寫入一個.CSV檔案並且匯入Profile Manager(目的是,讓Server認得這些iPad,將來只有這些iPad能夠接收到來自Server的設定變更),接著在Profile Manager中輸出「Trust File For」(信任描述文件)描述檔和「Enrollment Profile」描述檔,用email寄給每個使用者。把iPad發給使用者,請每個使用者自行收e-mail,下載上述兩個描述檔,即可完成註冊。把所有的iPad註冊給Server後,管理員在Profile Manager中將所有iPad加入一個「設備群組」,便可一次更動所有iPad的設定。

解決方法4:
花錢去找第三方開發的MDM(Mobile Device Management) Service,據說是只要花錢,你想得到的需求多半都能搞定。(我錢很少,所以沒試過)

在Profile Manager中無線推播App和描述檔給iOS裝置

前置作業:先安裝好OS X Lion Server及Server App,並且將某台iPad列入給Profile Manager監管。

打開你的Profile Manager(描述檔管理程式)頁面

▲管理員可以在「設備」這個子分頁,看到你監管的這台iPad上安裝了哪些App。

▲假設iPad失竊了,管理員在mydevices頁面,可以點選「Lock」來遠端鎖定iPad。

Photo 12-4-20 下午12 00 28

▲幾秒鐘之後,iPad的螢幕就被鎖定了。如果先前有設定密碼的話,就必須輸入密碼才能使用iPad。管理員也可以手動設定一組密碼。

▲管理員可以一次把多個從App Store上的免費App發佈到受監管的iPad上。這裡我們用Twitter App當例子。

▲上圖中的「推播設定 傳送中」,是Server正在傳送安裝App的Push Notification到iPad上。

▲在iPad上便會看到從Server發出的Push Notification,請使用者安裝Twitter App。

▲iPad上就安裝好Twitter了!