Um Apple-Geräte mit einem beliebigen MDM zu verwalten, müssen Sie das Apple Push Notification Service-Zertifikat von Apple beziehen und es auf Ihrem MDM-Server definieren. Dieser einfache, aber wichtige Vorgang wird es Ihnen ermöglichen, eine Kommunikation zwischen Ihrem MDM-Server und den von Ihnen verwalteten Geräten herzustellen.
Zuerst die Grundlagen
Kurz gesagt, was tun APNS-Server? Sie funktionieren wie ein Postbote zwischen dem MDM-Server und den verwalteten Geräten. Eine auf dem MDM-Server vorgenommene Änderung (zum Beispiel ein Befehl zur Installation der Slack-Anwendung) wird nicht direkt an die Geräte übermittelt. Sie wird an den APNS-Server übermittelt. Die APNS-Server senden eine Benachrichtigung an das verwaltete Gerät. Wenn wir hier „Benachrichtigung“ sagen, lassen Sie keine Benachrichtigung des Typs „Die November-Rabatte haben begonnen“ von Trendyol in den Sinn kommen. Das Gerät, das die APNS-Benachrichtigung erhält, erreicht den MDM-Server und holt den für es festgelegten Befehl, die Anwendung oder das Profil ab.
Apple gibt ein von APNS-Servern abhängiges Geräteverwaltungsverständnis langsam auf und geht zur Struktur des Declarative Device Management der neuen Generation über. Aber bis dieser Übergang abgeschlossen ist, sind wir von APNS abhängig.
Sowohl Ihr MDM-Server als auch die von Ihnen verwalteten Geräte müssen über bestimmte spezielle Ports auf die APNS-Server zugreifen können. Der MDM-Server muss über den Port TCP 2197 auf APNS zugreifen können; und die verwalteten Geräte über den Port TCP 5223. Gleichzeitig darf es keine Firewall-Regel geben, die ein Hindernis in Richtung des Gehens zu Apples IP-Block 17.0.0.0/8 schaffen würde.
Apple-Geräte erreichen den MDM-Server über den Port TCP 443 und holen das Enrollment-Profil ab.
Der MDM-Server benachrichtigt die APNS-Server über die Ports TCP 2197 und/oder 443, dass in ihm eine Befehlsänderung vorliegt. In dieser Phase wird kein Inhalt (Anwendung, Profil usw.) vom MDM-Server an die Geräte geliefert.
Der APNS-Server sendet die Information, dass im MDM-Server ein Befehl in Bezug auf sie vorliegt, über die Ports TCP 5223 an die verwalteten Geräte. Wenn die Kommunikation über Port 5223 nicht stattfinden kann, wird als Fallback Port 443 verwendet.
Die verwalteten Geräte erreichen den MDM-Server unter Verwendung des Ports TCP 443 und holen die für sie vorbereiteten Inhalte ab. An diesem Punkt können auch die eigenen speziellen Ports des MDM-Servers anstelle von 443 verwendet werden. Im spezifischen Fall von Microsoft Intune gibt es keine spezielle Port-Anforderung.
Apples Artikel zu diesem Thema finden Sie unter dieser Adresse. https://support.apple.com/en-us/102266
Das APNS-Zertifikat in Intune definieren
1. Melden Sie sich als ersten Schritt beim Microsoft Intune Admin Center an. https://intune.microsoft.com/
2. Wählen Sie aus der linken Spalte die Option Devices / iOS/iPadOS / Enrollment.
3. Klicken Sie auf die Option Apple MDM Push Certificate.
4. Erteilen Sie von dem sich öffnenden Bildschirm als ersten Schritt Ihre Erlaubnis dazu, dass Microsoft über Intune Daten an Apple sendet.
5. Laden Sie die CSR (Zertifikatsignierungsanforderung)-Datei herunter, die der 2. Schritt auf dem sich öffnenden Bildschirm ist. Eine Datei namens IntuneCSR.csr wird heruntergeladen worden sein.
6. Im nächsten Schritt müssen Sie die von Ihnen heruntergeladene CSR-Datei in das Apple Push Certificates Portal hochladen. Gehen Sie dazu zum Apple Push Certificates Portal, indem Sie auf den im 3. Schritt gezeigten Befehl Create your MDM push Certificate klicken.
Eine Anmerkung zum Apple Push Certificates Portal: Für die Anmeldung beim Apple Push Certificates Portal ist ein Apple Account erforderlich. Dieses Apple-Konto kann auch ein persönlicher Apple Account sein. Es wird jedoch nicht empfohlen. Sie müssen das APNs-Zertifikat einmal im Jahr erneuern, und aus diesem Grund kann ich Ihnen empfehlen, sich mit einem Apple-Konto anzumelden, auf das Sie in jedem Fall zugreifen können. Anstelle eines persönlichen Apple-Kontos wird die Verwendung eines im Apple Business Manager registrierten Managed Apple Account viel sicherer sein.
7. Wenn Sie sich zum ersten Mal beim Apple Push Certificates Portal angemeldet haben, wird das Aussehen des Portals wie oben sein. Wenn Sie zuvor auch für Ihre anderen MDM-Server Zertifikate erzeugt haben, dann können Sie die Liste dieser Zertifikate sehen. Sie können den Prozess starten, indem Sie auf die Schaltfläche Create A Certificate drücken. Im nächsten Schritt müssen Sie Apples Nutzungsbedingungen prüfen und das Zustimmungskästchen markieren.
Im nächsten Bildschirm wird ein Bildschirm vor Ihnen erscheinen, auf dem Sie eine vom Vendor signierte CSR-Datei hochladen können. Laden Sie die von Intune heruntergeladene IntuneCSR.csr-Datei hier hoch.
8. Wenn Sie fortfahren, indem Sie auf die Schaltfläche Upload klicken, wird erneut ein Bildschirm vor Ihnen erscheinen, auf dem Sie das Zertifikat, das Sie in Intune hochladen werden, herunterladen können. Sie können das Zertifikat mit der Erweiterung .pem herunterladen, indem Sie auf die Schaltfläche Download klicken.
9. An diesem Punkt müssen Sie, indem Sie erneut zu Intune zurückkehren, das vom Apple Push Certificates Portal heruntergeladene Zertifikat hochladen. In Intune müssen Sie im 4. Schritt die Apple-Identität eingeben, die Sie beim Anmelden beim Apple Push Certificates Portal verwendet haben. Dies ist ein einfaches, aber wichtiges Detail. Über die Bedeutung dieses Themas habe ich ganz unten im Artikel unter der Überschrift Was passiert, wenn Sie das APNS-Zertifikat nicht erneuern? geschrieben.
Im 5. Schritt in Intune müssen Sie auch das vom Apple Push Certificates Portal heruntergeladene Zertifikat mit der Erweiterung .pem hochladen.
10. Nachdem der Upload abgeschlossen ist, haben Sie die APNS-Zertifikat-Einrichtung abgeschlossen. Von diesem Punkt an werden sich einige zuvor nicht aktive Bereiche in Intune öffnen. Zum Beispiel können Sie den Abschnitt Enrollment Program Tokens ab dieser Minute verwenden, um Intune und Apple Business Manager miteinander zu verbinden.
Was passiert, wenn Sie das APNS-Zertifikat nicht erneuern?
Das APNS-Zertifikat muss jährlich erneuert werden. Aus diesem Grund empfehle ich Ihnen, das Ablaufdatum in Ihren Kalendern zu speichern. Wenn sich das Ablaufdatum nähert, kommen 30 Tage und 15 Tage vor dem Erneuerungsdatum Erneuerungswarnungs-E-Mails von Apple zu Ihnen (an das Apple-Konto, das Sie zum Anmelden verwenden).
Wenn Sie diese E-Mails aus irgendeinem Grund nicht sehen und das APNS-Zertifikat nicht vor seinem Datum erneuern, werden die Befehle, die Sie über MDM an die von Ihnen verwalteten Geräte senden, sie nicht erreichen. Aber die bis zu jenem Tag gesendeten Profile, Anwendungen und Einschränkungen werden weiterhin angewendet bleiben.
Hier möchte ich Ihnen mit Ihrer Erlaubnis ein Katastrophenszenario schreiben. Ihr APNS-Zertifikat-Erneuerungsdatum ist gekommen, vergangen, und Sie haben es nicht erneuert. Und obendrein haben Sie auch keine Ahnung, welches Apple Account Sie für APNS verwendet haben. Hier werden Sie einige Probleme erleben. Wie Sie in den obigen Schritten sehen können, fragt uns Intune beim Erstellen des APNS-Zertifikats im Microsoft Intune Admin Center bereits, welches Apple Account wir verwenden, und speichert dies.
Aber wenn Sie aus irgendeinem Grund nicht wissen, was jenes Apple-Konto ist, oder das Passwort jenes Kontos nicht kennen, dann können Sie das APNS-Zertifikat nicht erneuern. Da die von Ihnen verwalteten Geräte auch Zertifikate haben, die mit dem vor einem Jahr zuerst erstellten Konto erstellt wurden, ist es auch für Sie keine Option, mit einem völlig neuen Apple Account ein neues Blatt aufzuschlagen. Denn in dem Moment, in dem Sie dies tun, befinden Sie sich in einer Situation, in der Sie alle von Ihnen verwalteten Geräte erneut in MDM registrieren müssen. Ja, Sie haben richtig gelesen, Ihre Kommunikation mit allen von Ihnen verwalteten Geräten wird vollständig unterbrochen.
Wenn Sie ein Problem in Bezug auf das Apple Account haben, an das das APNS-Zertifikat gebunden ist, können Sie Support anfordern, indem Sie Apple über die unter der Adresse https://support.apple.com/en-us/118629 angegebenen Nummern erreichen. Apple kann Sie um Informationen wie die Serial Number und die Subject ID bitten, die zum APNS-Zertifikat gehören. Diese können Sie aus dem Detail des APNS-Zertifikats sehen, wie auch im letzten Screenshot oben zu sehen ist.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Kommentar verfassen