Déploiement d iphone et d ipad Gestion des appareils mobiles (MDM)

Transcription

1 Déploiement d iphone et d ipad Gestion des appareils mobiles (MDM) ios prend en charge la gestion des appareils mobiles (MDM), donnant aux entreprises la possibilité de gérer le déploiement d iphone et d ipad à l échelle de toute l organisation. Ces possibilités de gestion des appareils mobiles reposent sur des technologies ios existantes telles que les profils de configuration, l inscription sans fil et le service de notification Push d Apple, et peuvent être intégrées aux solutions internes ou tierces. Les services des TI ont ainsi la possibilité d inscrire les appareils iphone et ipad de façon sécurisée dans l environnement de l entreprise, de configurer sans fil les réglages et de les mettre à jour, de vérifier la conformité des politiques de l entreprise et même d exécuter à distance l effacement ou le verrouillage des appareils gérés. Gestion d iphone et d ipad La gestion des appareils ios s effectue au moyen d une connexion à un serveur MDM. Ce serveur peut être conçu à l interne par le service des TI ou acheté auprès d un fournisseur tiers. L appareil communique avec le serveur afin de déterminer si des tâches sont en attente et répond en exécutant les actions appropriées. Ces tâches peuvent comprendre la mise à jour des politiques, la transmission des données demandées au sujet de l appareil ou du réseau, ou la suppression de réglages et de données. La plupart des fonctions de gestion sont exécutées en arrière-plan, sans intervention de la part de l utilisateur. Par exemple, si le service des TI met à jour son infrastructure de RPV, le serveur MDM peut configurer iphone et ipad à distance en fonction des nouvelles données de compte. La prochaine fois que le RPV est utilisé par l employé, la configuration correcte est déjà en place, de sorte que l employé n a pas à communiquer avec le service de soutien ni à modifier manuellement les réglages. Coupe-feu Service de notification Push d Apple Serveur MDM tiers

2 2 ios et SCEP ios prend en charge le protocole simple d enregistrement de certificat (SCEP). Le protocole SCEP est une première version qui n est pas encore standardisée par l IETF. Son rôle est de simplifier la distribution des certificats dans le cas de déploiements réalisés à grande échelle. Il permet l inscription à distance des certificats de clé publique pour iphone et ipad qui peuvent être utilisés comme moyen d authentification auprès des services d entreprise. La gestion d appareils mobiles et le service de notification Push d Apple Lorsqu un serveur MDM doit communiquer avec iphone ou ipad, une notification silencieuse est envoyée à l appareil par le service de notification Push d Apple, lui demandant de se connecter au serveur. Le processus de notification n entraîne l échange d aucune donnée propriétaire entre l appareil et le service de notification Push d Apple. La seule tâche exécutée par la notification Push consiste à réveiller l appareil afin qu il se connecte au serveur MDM. Toutes les données de configuration, tous les réglages et toutes les interrogations sont envoyés directement du serveur à l appareil ios au moyen d une connexion SSL/TLS chiffrée entre l appareil et le serveur MDM. ios gère toutes les requêtes et les actions MDM en arrière-plan afin de limiter leur impact sur l expérience de l utilisateur, y compris l autonomie de la batterie, le rendement et la fiabilité. Pour que le serveur de notification Push reconnaisse les commandes provenant du serveur MDM, un certificat doit d abord être installé sur le serveur. Ce certificat doit être téléchargé à partir du portail des certificats Push d Apple. Une fois que le certificat de notification Push d Apple est téléversé sur le serveur MDM, vous pouvez procéder à l inscription des appareils. Pour de plus amples renseignements sur la demande d un certificat de notification Push d Apple pour un serveur de gestion des appareils mobiles, consultez le site (en anglais). Configuration réseau pour le service de notification Push d Apple Lorsque les serveurs MDM et les appareils ios se trouvent derrière un coupe-feu, il est possible qu une certaine configuration du réseau soit nécessaire pour que le service de gestion des appareils mobiles fonctionne correctement. Pour que l envoi de notifications du serveur MDM au service de notification Push d Apple soit possible, le port TCP 2195 doit être ouvert. Pour joindre le service de réponse, le port TCP 2196 doit également être ouvert. Pour les appareils se connectant au service Push au moyen d une connexion Wi-Fi, le port 5223 doit être ouvert. La plage d adresses IP du service Push est susceptible d être modifiée; normalement, le serveur MDM établit la connexion par nom d hôte plutôt que par adresse IP. Le service Push utilise un jeu d équilibrage de charge donnant une adresse IP différente pour le même nom d hôte. Ce nom d hôte est gateway.push.apple.com (et gateway.sandbox. push.apple.com pour l environnement de notification Push de développement). De plus, tout le bloc d adresses /8 est assigné à Apple, de sorte que les règles du coupe-feu peuvent être établies de manière à préciser cette plage. Pour de plus amples renseignements à ce sujet, consultez votre fournisseur de services de gestion des appareils mobiles ou le document Technical Note TN2265 à l intention des développeurs dans la bibliothèque des développeurs ios, à l adresse suivante (en anglais) : Inscription Une fois la configuration du serveur MDM et du réseau effectuée, la première étape de la gestion d un appareil iphone ou ipad consiste à l inscrire auprès d un serveur MDM. Une relation est alors créée entre l appareil et le serveur, permettant au serveur de gérer l appareil sur demande sans intervention de la part de l utilisateur. Cette inscription peut s effectuer en reliant iphone ou ipad à un ordinateur par connexion USB, mais la plupart des solutions transmettent le profil d inscription par connexion sans fil. Certains fournisseurs de services de gestion des appareils mobiles utilisent une application pour démarrer le processus; d autres lancent l inscription en demandant aux utilisateurs d accéder à un portail Web. Chaque méthode comporte des avantages, et les deux méthodes sont utilisées pour déclencher l inscription sans fil par l intermédiaire de Safari.

3 3 Aperçu du processus d inscription L inscription sans fil comporte des étapes rassemblées de manière à créer un flux de travail automatisé et le moyen le plus adaptable d inscrire les appareils de façon sécurisée dans un environnement d entreprise. Étapes du processus : 1. Authentification de l utilisateur L authentification de l utilisateur permet de s assurer que les demandes d inscription entrantes proviennent d utilisateurs autorisés et que les données relatives à l appareil de l utilisateur sont enregistrées avant de procéder à l inscription de certificat. Les administrateurs peuvent inviter l utilisateur à démarrer le processus d inscription par l intermédiaire d un portail Web, d un courriel, d un message texte ou même d une application. 2. Inscription de certificat Une fois l utilisateur authentifié, ios génère une demande d inscription de certificat en utilisant le protocole SCEP. La demande d inscription est communiquée directement à l autorité de certification de l entreprise (AC) et permet aux iphone et ipad de recevoir en réponse le certificat de clé publique envoyé par l autorité de certification. 3. Configuration de l appareil Une fois le certificat de clé publique installé, l appareil peut recevoir les données de configuration chiffrées par connexion sans fil. Ces données ne peuvent être enregistrées que sur l appareil auquel elles sont destinées et contiennent les réglages nécessaires à l établissement de la connexion avec le serveur MDM. À la fin du processus d inscription, un écran d installation s affiche, décrivant à l utilisateur les droits d accès du serveur MDM sur l appareil. Lorsque l utilisateur accepte l installation du profil, l appareil est automatiquement inscrit sans autre intervention de la part de l utilisateur. Une fois les iphone et ipad inscrits en tant qu appareils gérés, ils peuvent être configurés de façon dynamique avec les réglages voulus, interrogés en vue de l obtention de divers renseignements ou effacés à distance par le serveur MDM. Gestion Le serveur MDM peut exécuter un bon nombre de fonctions sur les appareils ios. Ces tâches comprennent l installation et la suppression de profils de configuration et d approvisionnement, la gestion d applications, la mise à terme de la relation avec le serveur MDM et l effacement à distance d un appareil. Réglages gérés Pendant le processus de configuration initial d un appareil, un serveur MDM pousse les profils de configuration vers les appareils iphone et ipad installés en arrière-plan. Avec le temps, il peut être nécessaire de mettre à jour ou de modifier les politiques et les réglages mis en place au moment de l inscription. Pour apporter ces modifications, le serveur MDM peut à tout moment installer de nouveaux profils de configuration et modifier ou supprimer les profils existants. De plus, il peut être nécessaire d installer des configurations propres au contexte sur des appareils ios, selon l emplacement de l utilisateur ou le rôle de ce dernier au sein de l organisation. Par exemple, si un utilisateur voyage à l étranger, un serveur MDM peut exiger que les comptes de courriel soient synchronisés manuellement plutôt qu automatiquement. Un serveur MDM peut même désactiver à distance les services de téléphonie et de données afin d empêcher l utilisateur d engager des frais d itinérance auprès d un fournisseur de services sans fil.

4 4 Apps gérées Un serveur MDM peut gérer les applications tierces provenant de l App Store ainsi que les apps maison de l entreprise. Le serveur peut supprimer sur demande les apps gérées et les données qui leur sont associées, ou indiquer si les apps doivent être supprimées lors de la suppression du profil MDM. De plus, le serveur MDM peut empêcher la sauvegarde des données des apps gérées sur itunes et icloud. Pour installer une app gérée, le serveur MDM envoie une commande d installation à l appareil de l utilisateur. Les apps gérées doivent être acceptées par l utilisateur pour être installées. Lorsqu un serveur MDM demande l installation d une app gérée à partir de l App Store, l application est échangée dans le compte itunes utilisé au moment de l installation de l app. Dans le cas d apps payantes, le serveur MDM doit envoyer un code d utilisation du Programme d achat en gros. Pour de plus amples renseignements au sujet du Programme d achat en gros, consultez le site business/vpp/. Les apps provenant de l App Store ne peuvent pas être installées sur l appareil d un utilisateur si l App Store a été désactivé. Gestion des appareils gérés au moyen d un programme de gestion des appareils mobiles Les appareils qui sont activés au moyen d Apple Configurator peuvent être supervisés, permettant ainsi l installation de réglages et de restrictions supplémentaires. Lorsqu un appareil est supervisé par Apple Configurator, tous les réglages et toutes les restrictions peuvent être installés sans fil par l entremise d un programme de gestion des appareils mobiles. Pour de plus amples renseignements sur la configuration et la gestion des appareils au moyen d Apple Configurator et d un programme de gestion des appareils mobiles, consultez le document Déploiement d iphone et ipad : Apple Configurator. Retrait ou effacement d appareils Si un appareil ne respecte pas la politique, est perdu ou a été volé, ou si un employé quitte l entreprise, un serveur MDM peut protéger les données de l entreprise de différentes façons. Un administrateur du service des TI peut mettre fin à la relation MDM avec l appareil en supprimant le profil de configuration qui contient les données relatives au serveur MDM. Tous les comptes, toutes les apps et tous les réglages installés par le serveur sont alors supprimés de l appareil. Le service des TI peut aussi laisser en place le profil de configuration MDM et utiliser la gestion des appareils mobiles seulement pour retirer les profils de configuration et les profils d approvisionnement spécifiques ainsi que les apps gérées qu il souhaite supprimer. Cette approche fait en sorte que l appareil continue d être géré par le serveur MDM et élimine la nécessité de le réinscrire lorsqu il respecte à nouveau la politique. Les deux méthodes permettent au service des TI de s assurer que seuls les utilisateurs et les appareils conformes ont accès à l information et que les données d entreprise sont supprimées sans nuire aux données personnelles de l utilisateur, par exemple la musique, les photos ou les apps personnelles. Pour supprimer définitivement tout le contenu multimédia et toutes les données de l appareil et restaurer les réglages d origine, le serveur MDM peut effacer à distance les données des appareils iphone et ipad. Si un utilisateur cherche encore son appareil, le service des TI peut aussi envoyer à celui-ci une commande de verrouillage à distance. L écran est alors verrouillé et le code de sécurité de l utilisateur est exigé pour le déverrouiller. Si un utilisateur a simplement oublié son code de sécurité, un serveur MDM peut le supprimer de l appareil et inviter l utilisateur à en créer un nouveau dans les 60 minutes qui suivent.

5 5 Commandes de gestion prises en charge Réglages gérés Installation de profil de configuration Suppression de profil de configuration Itinérance du service de données Itinérance du service téléphonique (non disponible chez certains fournisseurs) Apps gérées Installation d apps gérées Suppression d apps gérées Liste de toutes les apps gérées Installation de profil d approvisionnement Suppression de profil d approvisionnement Commandes de sécurité Effacement à distance Verrouillage à distance Effacement du code de sécurité Configuration Pour configurer un appareil avec des comptes, des politiques et des restrictions, le serveur MDM envoie à l appareil des fichiers appelés «profils de configuration», qui sont automatiquement installés sur l appareil. Les profils de configuration sont des fichiers XML qui contiennent les réglages permettant à l appareil de fonctionner au sein des systèmes de l entreprise. Ils comprennent les données de compte, les politiques relatives aux codes de sécurité, les restrictions et autres réglages d appareil. La configuration de l appareil, associée au processus d inscription décrit précédemment, donne au service des TI l assurance que seuls les utilisateurs autorisés accèdent aux services de l entreprise et que les appareils sont correctement configurés en fonction des politiques établies. De plus, comme les profils de configuration peuvent être signés et chiffrés, les réglages ne peuvent être ni modifiés ni partagés avec d autres.

6 6 Réglages configurables pris en charge Comptes Exchange ActiveSync Messagerie IMAP/POP Wi-Fi RPV LDAP CardDAV CalDAV Calendriers par abonnement Politiques concernant les codes de sécurité Code de sécurité requis sur l appareil Valeur simple permise Valeur alphanumérique requise Longueur minimale du code de sécurité Nombre minimal de caractères complexes Période de validité maximale du code de sécurité Délai avant le verrouillage automatique Historique des codes de sécurité Délai de verrouillage de l appareil Nombre maximal de tentatives Sécurité et confidentialité Envoi des données de diagnostic à Apple permis Approbation des certificats non fiables permise Sauvegardes chiffrées forcées Restrictions supervisées uniquement Permettre l utilisation d imessage Permettre l utilisation de Game Center Permettre la suppression d apps Permettre l utilisation d ibookstore Permettre le téléchargement de contenu érotique sur l ibookstore Activer le filtre de Siri contre les grossièretés Permettre l installation manuelle des profils de configuration Autres réglages Authentifiant Clips Web Réglages SCEP Réglages APN Proxy HTTP global (supervisé uniquement) Mode app unique (supervisé uniquement) Fonctionnalité de l appareil Installation d apps permise Fonctionnalité Siri permise Utilisation de Siri en mode verrouillé permise Notifications Passbook en mode verrouillé permise Utilisation de l appareil photo permise FaceTime permis Capture d écran permise Synchronisation automatique en mode itinérance permise Synchronisation des courriels récents permise Numérotation vocale permise Achats intégrés aux apps permis Identifiant requis pour tous les achats Jeu multijoueur permis Ajout d amis dans Game Center permis Applications Utilisation de YouTube permise Utilisation de l itunes Store permise Utilisation de Safari permise Définition des préférences de sécurité de Safari icloud Sauvegarde permise Synchronisation des documents et des valeurs de clés permise Flux de photos permis Flux de photos partagés permis Cotes de contenu Musique et podcasts au contenu explicite permis Réglage des cotes selon la région Réglage des cotes de contenu permis

7 7 Interrogation des appareils En plus de la configuration, le serveur MDM peut interroger les appareils afin d obtenir divers renseignements. Ces renseignements peuvent être utilisés pour s assurer que les appareils sont toujours conformes aux politiques exigées. Interrogations prises en charge Données relatives à l appareil Identifiant unique d appareil (UDID) Nom de l appareil ios et numéro de version Nom et numéro de modèle Numéro de série Mémoire et espace disponible IMEI Micrologiciel du modem Niveau de la batterie Statut de supervision Renseignements sur le réseau ICCID Adresses MAC Bluetooth MD et Wi-Fi Réseau du fournisseur actuel Réseau du fournisseur de l abonné Version des réglages du fournisseur Numéro de téléphone Paramètre d itinérance des données (activé/désactivé) Informations sur la conformité et la sécurité Profils de configuration installés Certificats installés avec dates d expiration Liste de toutes les restrictions imposées Capacité de chiffrement matériel Code de verrouillage présent Applications Applications installées (ID de l app, nom, version, taille et taille des données de l app) Profils d approvisionnement installés avec dates d expiration

8 8 Aperçu du processus Cet exemple illustre le déploiement de base d un serveur de gestion des appareils mobiles (MDM). 1 Coupe-feu Service de notification Push d Apple Serveur MDM tiers Un profil de configuration contenant les données relatives au serveur de gestion d appareils mobiles est envoyé à l appareil. L utilisateur reçoit des renseignements sur les éléments gérés par le serveur ou faisant l objet d interrogations de la part de celui-ci. L utilisateur installe le profil pour faire de l appareil un appareil géré. L inscription de l appareil s effectue lors de l installation du profil. Le serveur valide l appareil et autorise l accès. Le serveur envoie une notification Push invitant l appareil à se connecter au serveur pour vérifier si des tâches ou des interrogations doivent être exécutées. L appareil se connecte directement au serveur par HTTPS. Le serveur envoie des commandes ou demande des renseignements. Pour de plus amples renseignements sur la gestion d appareils mobiles, consultez le site (en anglais) Apple Inc. Tous droits réservés. Apple, le logo Apple, FaceTime, ipad, iphone, itunes, Passbook, Safari et Siri sont des marques de commerce d Apple Inc., enregistrées aux États-Unis et dans d autres pays. imessage est une marque de commerce d Apple Inc. icloud et itunes Store sont des marques de service d Apple Inc., enregistrées aux États-Unis et dans d autres pays. App Store et ibookstore sont des marques de service d Apple Inc. La marque et le logo Bluetooth sont des marques déposées de Bluetooth SIG, Inc. et toute utilisation de ces marques par Apple est effectuée sous licence. Les autres produits et dénominations sociales mentionnés ici peuvent être des marques de commerce de leurs sociétés respectives. Les caractéristiques des produits peuvent changer sans préavis. Septembre 2013