APPLE BUSINESS MANAGER API: EINE EINFÜHRUNG

Das Apple-Ökosystem auf Unternehmensebene zu verwalten, ist recht einfach, wenn es nur um einige wenige Geräte geht. Aber wenn die Anzahl Hunderte oder Tausende erreicht, können manuelle Vorgänge sich in einen operativen Albtraum verwandeln. Genau an diesem Punkt kommt die Apple Business Manager (ABM) API ins Spiel.

Im ersten Teil des Artikels werden wir untersuchen, was ABM und die ABM API sind, was sie Ihrem Unternehmen hinzufügen und warum sie ein untrennbarer Teil moderner IT-Infrastrukturen sind.

Was ist Apple Business Manager (ABM)?

Apple Business Manager (ABM) ist ein Unternehmensportal, das Apple kostenlos anbietet, damit Organisationen Apple-Geräte und ihre Benutzer zentral verwalten können. Grundsätzlich ermöglicht es Ihnen, die Geräteverwaltung, Benutzer- und Kontoverwaltung, Anwendungs- und Lizenzverteilung sowie Gerätebesitz und -sicherheit von einem einzigen Portal aus zu verwalten.

Was ist die Apple Business Manager API?

Die Apple Business Manager API ist eine Programmierschnittstelle, die eine Brücke zwischen Apples Unternehmensverwaltungsplattform und Ihrer eigenen Software oder Drittanbieter-MDM (Mobile Device Management)-Lösungen baut.

Einfach ausgedrückt: Sie ermöglicht es Ihnen, Vorgänge wie Gerätezuweisungen, Serverkonfigurationen und Anwendungsverwaltung, die Sie manuell durch Anmelden bei der ABM-Oberfläche durchführen, durch das Schreiben von Code zu automatisieren.

Warum sollten Sie die ABM API verwenden?

Der größte Vorteil der Verwendung der API ist, dass sie die tägliche operative Last der IT-Teams reduziert und die Fehlerrisiken beseitigt, die bei der manuellen Verwaltung entstehen. Die folgenden Überschriften zeigen diesen Unterschied deutlich:

A. Operative Automatisierung

Mit dem manuellen Prozess:

• Sie finden Geräte einzeln über ABM und weisen sie MDM-Servern zu
• Eine falsche Auswahl kann eine vergessene Zuweisung oder die Notwendigkeit einer Wiederholung erzeugen
• Für Hunderte/Tausende von Geräten kann dieser Vorgang lange Zeiträume in Anspruch nehmen.

Mit der API:

• Sie führen denselben Vorgang innerhalb von Sekunden mit wenigen Codezeilen und einer Anfrageauslösung durch
• Sie können Tausende von Geräten in großen Mengen zuweisen, zurückziehen oder umleiten
• Eine dem „Zero-Touch-Deployment“-Ansatz treue Umsetzung wird bereitgestellt

Ergebnis: Zeit- und operative Einsparungen.Result: Time and operational savings.

B. Datensynchronisierung und Berichterstattung

Mit dem manuellen Prozess:

• Seriennummern werden verfolgt, indem sie manuell aus ABM exportiert werden
• Sie müssen manuell in ERP-/Asset-Management-Systeme eingegeben werden
• Die Fehlermöglichkeit entsteht in der aktuellen Inventarliste (selbst wenn ein Gerät gelöscht oder verschoben wird, können Datensatzdiskrepanzen auftreten)

Mit der API:

• Die gesamte Geräteliste in ABM kann sofort abgerufen und mit internen Systemen synchronisiert werden.
• Parameter wie Seriennummer, Besitz-/Zuweisungsänderungen usw. werden in Echtzeit widergespiegelt und gemeldet.
• Die „Realität vs. Datensatz“-Diskrepanz in der Inventarliste wird beseitigt

Ergebnis: Eine dynamische, aktuelle und fehlerfreie Inventarverfolgungsstruktur.

C. Reduzierung der Fehlermarge

Mit dem manuellen Prozess können Fehler wie die folgenden auftreten:

• Eingabe einer falschen Seriennummer
• Zuweisung an den falschen MDM-Server
• Übersehen eines Geräts
• Inkonsistenzen, die aus redundanten Datensätzen entstehen

Mit der API:

• Die Datenverarbeitung erfolgt mit der von Apple bereitgestellten Genauigkeit
• Da Seriennummern und Geräteinformationen direkt von Apple bezogen werden, werden Eingabefehler, Kopierfehler oder Situationen fehlender Daten beseitigt
• Geschäftsregeln können automatisch angewendet und segmentierungsgeeignete Zuweisungen bereitgestellt werden (z. B. „automatische Verteilung an markenpartnerschaftliche MDM-Server“)

Ergebnis: Konsistenz + Genauigkeit + ein nachhaltiger Prozess.

Kernfähigkeiten der ABM API

Zu wissen, was Sie mit der ABM API tun können, hilft Ihnen, den Umfang Ihrer Projekte zu bestimmen:

• Device Management: Bestimmen oder Ändern, welchem MDM-Server Geräte zugewiesen werden.
• Server Management: Verwalten und Synchronisieren mehrerer MDM-Server von einem einzigen Zentrum aus.
• Abfragen von Gerätedetails: Die Historie, Eigenschaften eines Geräts und mit welchem Server es verbunden ist, über seine Seriennummer sehen.

Für wen ist es geeignet?

Die Verwendung der ABM API wird in der Regel in den folgenden Szenarien unvermeidlich:

• Großunternehmen: Organisationen, die Hunderte oder Tausende von Apple-Geräten besitzen und sie von einem zentralen System aus verfolgen möchten.
• Softwareentwickler & MSPs: Technologiefirmen, die ihre eigene Inventarverwaltungssoftware entwickeln oder ihren Kunden maßgeschneiderte MDM-Lösungen anbieten.
• IT-Berater: Einzelpersonen oder Organisationen, die die Apple-Bereitstellungsprozesse ihrer Kunden optimieren möchten.

Anmerkungen vor der technischen Vorbereitung

Bevor Sie zur technischen Umsetzung übergehen, die wir im weiteren Verlauf des Artikels über Postman durchführen werden, stellen Sie sicher, dass Sie über Folgendes verfügen:

• Ein genehmigtes Apple Business Manager-Konto.
• Administrator– oder Device Manager-Berechtigungen auf dem Konto.
• Die notwendigen Zertifikate und Schlüssel, die über das Apple Developer-Portal erstellt werden.

Schritt-für-Schritt-ABM-API-Integration

Unsere erste Anfrage mit Postman und Python senden

In diesem Teil des Artikels krempeln wir die Ärmel hoch und beginnen, mit Apples Servern zu sprechen, und behandeln mit den technischen Details, wie die erste erfolgreiche Verbindung hergestellt wird. Am Ende dieses Leitfadens werden Sie eine funktionierende Postman Collection in Händen halten. Für die ABM API-Verwendung werden die folgenden Schritte der Reihe nach befolgt:

↓

↓

↓

↓

↓

Schritt für Schritt durchgeführte Vorgänge

1. Eine API wird innerhalb von ABM erstellt.

• Laden Sie den privaten Schlüssel (.pem) herunter und bewahren Sie ihn auf. Das für jede API generierte .pem kann nur einmal heruntergeladen werden; bewahren Sie es sicher auf.

• Melden Sie sich beim Apple Business Manager an.

• Klicken Sie auf Ihren eigenen Namen in der linken Ecke und wählen Sie Preferences.

• Klicken Sie auf den Reiter API, klicken Sie auf die Schaltfläche „+“ oben rechts und geben Sie Ihrer API einen Namen.

2. Das JWT (client assertion) wird über die verwendete IDE (z. B. Python-Editor) erstellt.

Die Felder private_key_file, client_id, team_id, key_id, audience und alg innerhalb des zu erstellenden Codeblocks müssen korrekt definiert werden. private_key_file ist die heruntergeladene .pem-Datei. Die Informationen client_id, team_id und key_id sind in der in ABM erstellten API-Oberfläche verfügbar.

Hinweis: (team_id sollte als client_id verwendet werden.) Um die Informationen zu erfahren, sollte die Option Manage neben der erstellten API verwendet werden. 

Als Ergebnis der Ausführung des Codes wird eine Datei client_assertion.txt im betreffenden Ordner erstellt.

HINWEIS: Für die über Python bereitzustellende JWT-Generierung müssen Python-Bibliotheken verwendet werden. Die Informationen zu den zu verwendenden Bibliotheken sind wie folgt. Für nicht integrierte Module ist vor dem Vorgang ein Download erforderlich.

Zeile	Modul	Einschließlich?	Grund
import os	OS	Ja	um die Schlüsseldatei zu lesen
import datetime as dt	datetime	Ja	Token-Gültigkeitsdauer
import uuid as uuid	uuid	Ja	Generierung eindeutiger Identität
from authlib.jose import jwt	Authlib	Nein	um die client assertion zur Verifizierung zu erstellen
from Crypto.PublicKey import ECC	PyCryptodome	Nein	um den privaten Schlüssel in der .pem-Datei zu laden und das JWT zu signieren

3. Bereitstellung des Postman-Authentication-Vorgangs

Mit dem Token in der Datei client_assertion.txt wird eine POST-Anfrage an die Adresse https://account.apple.com/auth/oauth2/v2/token gestellt. Als Ergebnis der bereitgestellten Anfrage wird als Response ein access (bearer) Token erhalten.

4. Die API-Anfragen verwenden

API-Anfragen werden mit dem Access Token bereitgestellt. Vor der Verwendung einer beliebigen Methode muss der Auth Type im Authorization-Bereich der betreffenden Anfragestruktur als Bearer Token ausgewählt werden. Und in das Token-Feld muss der aus dem Authentication-Vorgang erhaltene access token eingegeben werden.

Verwendbare Anfragetypen

GET Organization Devices – Eine Liste der Geräte, die mit Automated Device Enrollment (ADE) in einer Organisation registriert wurden, wird erhalten.

GET Device Information – Informationen über ein Gerät in einer Organisation werden über die Seriennummer erhalten.

GET Device Management Services – Eine Liste der MDM-Server in einer Organisation wird erhalten.

GET Device Serial Numbers for a Device Management Service – Eine Liste der einem Geräteverwaltungsdienst (MDM-Server) zugewiesenen Geräteseriennummern wird erhalten.

GET Assigned Device Management Service ID for a Device – Die Identitätsinformationen des MDM-Servers, dem ein Gerät zugewiesen ist, werden erhalten.

GET Assigned Device Management Service Information for a Device – Die Dienstinformationen des MDM-Servers, dem ein Gerät zugewiesen ist, werden erhalten.

POST Assign or Unassign Devices to a Device Management Service – Ermöglicht die Zuweisung von Geräten an einen MDM-Server oder das Entfernen der bestehenden Zuweisung.

GET Organization Device Activity Information – Informationen über eine Geräteverwaltungsaktion wie Zuweisung oder Aufhebung der Zuweisung werden erhalten.

Dinge, auf die im Vorgangsablauf zu achten ist

• Das access (bearer) Token ist ungefähr 1 Stunde gültig; wenn es abläuft, muss ein neues Token erhalten werden.
• Das client assertion Token (JWT) wird so generiert, dass es maximal 180 Tage gültig ist; es kann vor Ablauf neu signiert werden.
• Während der Vorgang durchgeführt wird, müssen die Dateien .py und .pem im selben Ordner sein.
• Die Ablaufdauer des zur innerhalb von ABM erstellten API gehörenden .pem-Tokens beträgt 1 Jahr. Nach 1 Jahr kann über die Generate-Option erneut ein neues .pem-Token erhalten werden.

Häufige Fehler und Prüfungen

invalid_client → Meistens die folgenden Gründe:

• aud ist falsch (es muss unbedingt https://account.apple.com/auth/oauth2/v2/token sein),
• Durchführen von Vorgängen mit einem abgelaufenen JWT, access (bearer) oder .pem-Token,
• Signieren mit einer falschen/fehlerhaften Key-ID oder einem falschen Private Key,
• Falsche Scope-Definition (für ABM muss es business.api sein).
  

Quellen

https://developer.apple.com/documentation/apple-school-and-business-manager-api/implementing-oauth-for-the-apple-school-and-business-manager-api

https://developer.apple.com/documentation/applebusinessmanagerapi

https://support.apple.com/tr-tr/guide/apple-business-manager/axm33189f66a/web

📄

ABM API.postman_collection.json

📄

Client Assertion.py

Photo by Rubaitul Azad on Unsplash