Wie viele von Ihnen erinnern sich an iTools? Apple legte den Grundstein für seine cloudbasierten Dienste, die heute als iCloud bekannt sind, bereits im Jahr 2000. Damals hieß es iTools. Es umfasste Dienste wie @mac.com-E-Mail, den Cloud-Speicher iDisk und HomePage zum Erstellen und Veröffentlichen von Websites.
Die Cloud-Dienste, die mit iTools begannen, mit MobileMe fortgesetzt wurden und sich zu iCloud entwickelten, basieren grundlegend auf Apple Accounts (früher bekannt als Apple IDs). Mit einem Apple Account können Sie sich bei Ihren Geräten anmelden und verschiedene Apple-Dienste nutzen. Zum Beispiel:
Sie können ihn für App Store-Käufe verwenden
Sie können Apple Store-Termine buchen
Sie können ein E-Mail-Konto mit der Domain iCloud.com verwenden
Sie können den Cloud-Speicher iCloud Drive verwenden
Sie können Ihre Geräte im iCloud-Speicher sichern
Sie können auf Ihren Geräten gespeicherte Passwörter mit iCloud Keychain in der Cloud speichern
…usw.
Die Liste geht immer weiter. Was Sie mit einem Apple Account aus den iCloud– oder iCloud+-Diensten nutzen können, erfahren Sie hier.
Wenn Sie mehrere Apple-Geräte haben und bei allen mit demselben Apple Account angemeldet sind, erhalten Sie mehr als nur standardmäßige cloudbasierte iCloud-Dienste. Zum Beispiel können Sie ein iPad als zweiten Monitor für Ihren Mac verwenden. Oder Sie können Text von Ihrem iPhone kopieren und auf Ihrem Mac einfügen. Oder Sie können auf Ihrem iPhone beginnen, eine E-Mail zu schreiben, und sie auf Ihrem Mac fortsetzen. Auch diese Liste geht immer weiter…
Wie sieht das Szenario in Unternehmensumgebungen aus?
Unternehmen, die Benutzergeräte zentral verwalten, werden grob in zwei Kategorien unterteilt:
- Unternehmen, die Benutzern erlauben, ihre persönlichen iCloud-Konten zu verwenden.
- Unternehmen, die jeden Cloud-Dienst ansehen, als wäre er der Schwarze Mann.
Geräte, die Mitarbeitern zur Nutzung bereitgestellt werden, werden nicht nur als Werkzeuge für Kommunikations- und Arbeitszwecke gesehen, sondern auch als eine Art Sozialleistung. Aus diesem Grund ziehen es einige Unternehmen möglicherweise vor, ihren Mitarbeitern iPhones zu geben, anstatt ihnen erschwingliche Telefone für die Kommunikation bereitzustellen. Nachdem sie ein iPhone bereitgestellt haben, möchten sie möglicherweise auch, dass ihre Mitarbeiter die Vorteile jenes Telefons nutzen können.
Szenario 1 — Lassen wir den Benutzer frei
Stellen Sie sich vor, ein Unternehmen kauft seine Geräte bei einem der von ABM anerkannten Wiederverkäufer. Die Geräte können automatisch als DEP-registriert in MDM aufgenommen werden. Und das Unternehmen verwaltet alle Geräte, die es seinen Mitarbeitern bereitstellt, effektiv über MDM.
Wenn das Unternehmen in diesem Szenario die Einschränkung allowAccountModification in Apples MDM Protocol aktiviert lässt, können Benutzer ihre persönlichen Konten zu ihren Geräten hinzufügen. Dies kann alle persönlichen Konten wie Apple Account und Gmail umfassen.
In diesem Fall kann der Benutzer sein persönliches Apple Account zum Gerät hinzufügen. Und wenn die IT-Verwaltung nicht zusätzlich iCloud-Dienste wie allowCloudAddressBook, allowCloudCalendar, allowCloudKeychainSync, allowCloudPhotoLibrary über MDM eingeschränkt hat, kann er alle iCloud-Dienste auf seinem Gerät verwenden. Er kann sein gesamtes Fotoarchiv über iCloud Photos in die Cloud synchronisieren, alle auf dem Gerät gespeicherten Passwörter (einschließlich Passwörtern für den Zugriff auf einen internen Dateiserver) mit iCloud Keychain synchronisieren und Verkaufsberichte des Unternehmens auf iCloud Drive, auf das er persönlich vollständig zugreifen kann, oder zum Beispiel auf Google Drive übertragen.
In Bezug auf die Sicherheit von Unternehmensdaten klingt es wie ein Katastrophenszenario, nicht wahr? Obwohl nicht so effektiv wie eine DLP (Data Loss Prevention)-Lösung, können Einschränkungen innerhalb des MDM-Protokolls wie allowOpenFromManagedToUnmanaged oder allowManagedToWriteUnmanagedContacts Datenlecks aus persönlich installierter Software auf MDM-verwalteten Geräten leicht verhindern.
Ein weiteres zu berücksichtigendes Problem im Szenario, die persönliche iCloud-Nutzung zu erlauben, ist Activation Lock. Ein Benutzer kann sich mit seinem persönlichen iCloud-Konto bei dem von der Organisation bereitgestellten Gerät anmelden und Activation Lock mit der App Find My iPhone aktivieren. Nach dieser Aktivierung wird die Seriennummer des Geräts zum Apple Account des Benutzers hinzugefügt. Wenn der Benutzer sich in diesem Fall beim Zurückgeben der Geräte beim Verlassen des Unternehmens nicht von seinem iCloud-Konto abgemeldet hat, wird das Gerät, das er zurückgibt, während der Reaktivierung das iCloud-Kontopasswort des alten Benutzers anfordern.
Das IT-Team, das das Gerät erhält, hat in dieser Situation vier Optionen:
- Den Benutzer kontaktieren und ihn bitten, das Gerät aus den in seinem Apple Account registrierten Geräten zu entfernen.
- Den Apple Support kontaktieren, um zu beantragen, dass das Gerät aus dem zugehörigen Apple Account entfernt wird (Sie benötigen die Seriennummer des Produkts oder die Kaufrechnung mit der darauf gedruckten PO-Nummer).
- Auf den Datensatz des Geräts über MDM zugreifen, um den Activation Lock Bypass Code zu erhalten, und diesen Code während der Geräteaktivierung verwenden.
- Activation Lock deaktivieren, indem auf den Datensatz des Geräts im Apple Business Manager zugegriffen wird.
Wenn keine dieser vier Optionen verfügbar ist, können Sie jenes iPhone nicht mehr als Telefon verwenden.
Szenario 2 — Schränken wir den Benutzer ein
Wenn Sie möchten, dass die Geräte, die Sie als Organisation bereitstellen, in einem eingeschränkteren und sichereren Modus verwendet werden, gibt es mehrere Maßnahmen, die Sie ergreifen können. Einige davon umfassen:
• App-Downloads aus dem App Store verhinder
• Die Option für Benutzer einschränken, persönliche Konten zum Gerät hinzuzufügen
• iCloud-Dienste einschränken
• Wenn das verteilte Gerät ein Mac ist, die Installation nicht vertrauenswürdiger Apps durch Anpassen der Gatekeeper-Einstellungen verhindern
• Das Gerät zwingen, nur eine App auszuführen
…und vieles mehr
Szenario 3 — Der Mittelweg: Managed Apple Account
Das Problem mit persönlichen Apple Accounts ist, dass sie Einzelpersonen gehören. Die Verwendung von durch Einzelpersonen kontrollierten Apple Accounts auf unternehmenseigenen Geräten kann bestimmte Probleme in Bezug auf die Sicherheit von Unternehmensdaten mit sich bringen. Aus diesem Grund legt das Erstellen eines Managed Apple Account für jeden Benutzer in Unternehmen den Besitz und die Verwaltung des Apple Account in die Hände des IT-Teams des Unternehmens. Das IT-Team kann bei Bedarf das Passwort für jenes Apple Account zurücksetzen und die zugehörige, für 2FA verwendete Telefonnummer bei Bedarf ändern.
Managed Apple Accounts können über den Apple Business Manager erstellt werden. Jedes neue Konto kann manuell einzeln erstellt werden oder automatisch für Unternehmen, die Benutzerkonten mit Microsoft Entra ID oder Google Workspace verwalten.
Managed Apple Accounts werden vom IT-Verwaltungsteam des Unternehmens erstellt. Die Kontoverwaltung wird ebenfalls vom IT-Team über ABM abgewickelt. Wenn Benutzer die Vorteile eines Apple Account auf den unternehmenseigenen Apple-Geräten nutzen möchten, können sie beginnen, das Managed Apple Account zu verwenden. Auf diese Weise haben Benutzer Zugriff auf Apple-Dienste, und da sie dies nicht mit ihren persönlichen Konten tun, wird verhindert, dass Unternehmensdaten über Apple Accounts das Unternehmen verlassen.
Verborgenes Juwel: Access Management
Unabhängig davon, ob Sie Ihre Geräte mit MDM verwalten, enthält der Apple Business Manager einen Abschnitt, mit dem Sie die Verwendung von Managed Apple Accounts und die über Managed Apple Accounts zugänglichen Dienste steuern können: Access Management.
Ich schreibe einige kleine Beispiele dafür, wie dieser Bereich verwendet wird, damit Sie allgemeine Nutzungsszenarien verstehen können.
• Sie können wählen, ob Managed Apple Accounts nur zur Anmeldung bei verwalteten Geräten verwendet werden können.
• Sie können verlangen, dass Benutzer sich bei unternehmensverwalteten Geräten nur mit einem Managed Apple Account anmelden.
• Sie können entscheiden, ob Benutzer iMessage und/oder FaceTime mit ihren Konten verwenden können.
• Sie können alle iCloud-Dienste für Benutzer aktivieren oder deaktivieren. Zum Beispiel können Sie iCloud Photos, iCloud Drive, iCloud Backup oder iCloud Keychain für alle Konten deaktivieren.
Wir können all diese Funktionen direkt auf Managed Apple Accounts über den Apple Business Manager anwenden, unabhängig von jeder Verwaltung, die mit MDM durchgeführt werden kann.
Gibt es einen Unterschied zwischen einem persönlichen und einem Managed Apple Account?
Ja. Es gibt viele Unterschiede in der Verwendung. Managed Apple Accounts sind für die Verwendung in Unternehmensumgebungen konzipiert, daher bieten sie keinen Zugriff auf einige Apple-Dienste, die eine persönliche Nutzung erfordern. Welche Dienste ein Managed Apple Account nutzen kann und welche eingeschränkt sind, erfahren Sie im Detail aus Apples Artikel. Aber um einige wichtige Unterschiede kurz aufzulisten:
• Sie können nicht auf den App Store zugreifen. Der Prozess der Installation von Anwendungen auf Unternehmensgeräten wird über MDM verwaltet.
• Sie können die Funktion Find My nicht aktivieren.
• Sie können nicht auf Stores wie den iTunes Store und Apple Books zugreifen.
• Sie können nicht verwendet werden, um sich bei einem Apple Music-Abonnement anzumelden.
• Sie können nicht verwendet werden, um sich bei Apple TV anzumelden.
• Sie können kein E-Mail-Konto mit der Erweiterung iCloud.com haben.
Wenn wir betrachten, was es kann, statt was es nicht kann, können wir einige Punkte wie folgt auflisten:
• Sie können viele iCloud-Dienste verwenden. Dazu gehören iCloud Drive, iCloud Backup, iCloud Keychain usw.
• Elemente wie Notes, Reminders und Safari Bookmarks können über Geräte hinweg mit demselben Managed Apple Account synchronisiert werden.
• Alle Continuity-Dienste sind verfügbar. Sie können Ihr iPhone als Webcam verwenden, von Ihrem iPad kopierte Inhalte auf Ihrem Mac einfügen, Ihr iPad als zweiten Bildschirm für Ihren Mac verwenden und Ihr Telefon vom Bildschirm Ihres Macs aus mit dem Dienst iPhone Mirroring anzeigen und steuern.
• Sie können dem Apple Developer-Programm beitreten und/oder einem bestehenden Entwicklerteam beitreten.
• Sie können Kommunikationsdienste wie iMessage und FaceTime verwenden.
One more thing…
Managed Apple Accounts haben über die Bereitstellung von durch die Organisation verwalteten Apple-Konten für Unternehmensmitarbeiter hinaus eine weitere Funktion. Diese Funktion bezieht sich auf die Registrierung eines persönlichen Geräts bei MDM.
Gehen wir ein weiteres Szenario durch. Nehmen wir an, Sie werden 6 Monate lang im Rahmen einer befristeten Entsendung bei einem Unternehmen arbeiten. Und während dieser Zeit wird das Unternehmen Ihnen kein Gerät zur Verfügung stellen, und Sie werden die Geräte verwenden, die Sie mitbringen. Selbst in diesem Fall kann das Unternehmen verlangen, dass Ihre Geräte auf seinem MDM-Server registriert werden. Zum Beispiel kann eine Conditional Access-Richtlinie eingerichtet worden sein, und damit das Gerät darauf zugreifen kann, muss es bei MDM registriert sein.
Es gibt vier Optionen für die Registrierung von Apple-Geräten in einem MDM. Die Namen dieser Optionen können je nach dem von Ihnen verwendeten MDM-Anbieter variieren. Daher schreibe ich basierend auf Apples Namenskonvention:
1. Automated Device Enrollment
Diese Option erfordert, dass das Gerät im Apple Business Manager registriert ist, und ermöglicht es Geräten, sich automatisch beim mit ABM registrierten MDM-Server zu registrieren. Das Enrollment Profile wird während des ersten Starts automatisch vom MDM-Server an das Gerät gesendet
2. Profile-Based Device Enrollment
Diese Option ist eine Methode, die verwendet werden kann, um ein Gerät auf dem MDM-Server zu registrieren, ohne es zurückzusetzen, wenn das Gerät von einem Benutzer verwendet wird. Obwohl nicht genau dasselbe, können viele Einschränkungen und Richtlinien, die mit der Methode Automated Device Enrollment angewendet werden können, verwendet werden. Ein an das Gerät geliefertes Enrollment Profile, das auf dem MDM-Server registriert werden soll, wird manuell installiert.
3. Account Driven User Enrollment
Wenn das Gerät, das auf dem MDM-Server registriert werden soll, dem Benutzer gehört, entsperrt ist und verwendet wird, wird diese Option bevorzugt. Es ist möglich, das Gerät auf dem MDM-Server auf eine mit der DSGVO konforme Weise zu registrieren und zu verwalten, um die persönlichen Daten des Benutzers zu schützen. Das Enrollment Profile wird an das Gerät geliefert, nachdem man sich über ein Apple-Konto angemeldet hat.
4. Account-Driven Device Enrollment
Dies ist eine Option, bei der das Gerät der Organisation gehört und ein Apple-Konto anstelle eines Enrollment Profile für die MDM-Registrierung verwendet werden kann. Wenn das zu verwaltende Gerät im Supervised-Modus ist, bietet es dasselbe Verwaltungsniveau wie Profile-Based Device Enrollment.
Wenn Sie den Apple-Artikel zu diesem Thema lesen möchten, können Sie ihn hier aufrufen.
Von diesen 4 Optionen sind die in den Optionen 3 und 4 erwähnten Konten, die als „Account Driven“ (also Registrierung über Konto) bezeichnet werden, Managed Apple Accounts. Das Managed Apple Account eines Benutzers wird im Apple Business Manager erstellt.
Wenn Sie mit Option 3 fortfahren, kann das Gerät auf dem MDM-Server registriert werden, indem Sie sich im Abschnitt Sign In to Work or School Account anmelden, der sich in der Settings-App unter General / VPN & Device Management (iOS & iPadOS) oder General / Device Management (Mac) befindet.
Wenn Sie mit Option 4 fortfahren, kann das Gerät auf dem MDM-Server registriert werden, indem Sie das von der Organisation bereitgestellte Managed Apple Account im Abschnitt Apple Account der Setup Assistant-Bildschirme eingeben, wenn das Gerät zum ersten Mal eingeschaltet wird.
Für beide Optionen gibt es einen Vorbereitungsschritt, um sicherzustellen, dass das Gerät auf die URL zugreifen kann, unter der es das Enrollment Profile des MDM-Servers abrufen kann. Daher ist es für diesen Prozess nicht ausreichend, nur ein über ABM erstelltes Managed Apple Account und einen funktionierenden MDM-Server zu haben.
Falls Sie der Meinung sind, dass die deutsche Übersetzung Fehler enthält, schreiben Sie bitte eine E-Mail an melih.sancar@settings.blog
Photo by Angela Roma
Kommentar verfassen