Apple cihazları herhangi bir MDM ile yönetmek için Apple Push Notification Service sertifikasını Apple’dan edinmeniz ve MDM sunucunuza tanımlamanız gerekmektedir. Bu basit ama önemli işlem MDM sunucunuz ile yönettiğiniz cihazlar arasında iletişim kurabilmenizi sağlayacaktır.
Önce Temel Bilgiler
Kısaca APNS sunucuları ne iş yapar? MDM sunucusu ve yönetilen cihazlar arasında bir posta görevlisi gibi çalışır. MDM sunucusu üzerinde yapılan bir değişiklik (örneğin Slack uygulamasının kurulması komutu gibi), cihazlara doğrudan iletilmez. APNS sunucusuna iletilir. APNS sunucuları yönetilen cihaza bir bildirim gönderir. Burada “Bildirim” dediğimizde Trendyol’un “Kasım İndirimleri Başladı” türünden bir bildirim gelmesin aklınıza. APNS bildirimini alan cihaz MDM sunucusuna ulaşarak kendisi için belirlenmiş olan komutu, uygulamayı, profili alır.
Apple APNS sunucularına bağlı bir cihaz yönetim anlayışını yavaş yavaş terkedip yeni nesil Declarative Device Management yapısına taşınıyor. Ama bu geçiş tamamlanıncaya kadar APNS’e bağımlı durumdayız.
MDM sunucunuzun da, yönettiğiniz cihazların da belirli özel portlar aracılığıyla APNS sunucularına erişebilir olması gerekir. MDM sunucusu APNS’e TCP 2197 portu üzerinden; yönetilen cihazlar ise TCP 5223 portu üzerinden erişebiliyor olmalıdırlar. Aynı zamanda Apple’ın 17.0.0.0/8 IP bloğuna gidiş yönünde bir engel oluşturacak Firewall kuralı olmamalıdır.
• Apple cihazları TCP 443 portu üzerinden MDM sunucuya ulaşarak kayıt profilini alırlar
• MDM Sunucusu kendisinde bir komut değişikliği bulunduğunu TCP 2197 ve/veya 443 portları üzerinden APNS sunucularına bildirir. Bu aşamada MDM sunucusundan cihazlara herhangi bir içerik (uygulama, profil vb) ulaştırılmaz.
• APNS Sunucusu TCP 5223 portları üzerinden yönetilen cihazlara kendileri ile ilgili MDM sunucusunda bir komut bulunduğu bilgisi gönderilir. Eğer 5223 portu üzerinden iletişim gerçekleşemezse fallback olarak 443 portu kullanılır.
• Yönetilen cihazlar MDM sunucusuna TCP 443 portunu kullanarak ulaşır ve kendileri için hazırlanmış olan içerikleri alırlar. Bu noktada 443 yerine MDM sunucunun kendine özel portları da kullanılabilir. Microsoft Intune özelinde herhangi bir özel port gereksinimi bulunmamaktadır.
Bu konu ile ilgili Apple makalesini bu adreste bulabilirsiniz. https://support.apple.com/en-us/102266
Intune’da APNS Sertifikasını tanımlama
1. İlk adım olarak Microsoft Intune Admin Center‘a giriş yapın. https://intune.microsoft.com/
2. Sol sütundan Devices / iOS/iPadOS / Enrollment seçeneğini seçin.
3. Apple MDM Push Certificate seçeneğine tıklayın
4. Açılan ekrandan ilk adım olarak Intune aracılığı ile Microsoft’un Apple’a veri göndermesine ilişkin izninizi verin.
5. Açılan ekrandaki 2. adım olan CSR (Sertifika imza talebi) dosyasını indirin. IntuneCSR.csr isimli bir dosya inmiş olacaktır.
6. Bir sonraki adımda indirdiğiniz CSR dosyasını Apple Push Certificates Portal‘a yüklemeniz gerekir. Bunun için 3. adımda gösterilen Create your MDM push Certificate komutuna tıklayarak Apple Push Certificates Portal‘a gidin.
Apple Push Certificates Portal‘a giriş için bir Apple Account gerekir. Bu Apple hesabı kişisel bir Apple Account da olabilir. Ancak önerilmez. APNs sertifikasını senede bir yenilemeniz gerekir ve bu nedenle her koşulda erişebileceğiniz bir Apple hesabı ile giriş yapmanızı önerebilirim. Kişisel bir Apple hesabı yerine Apple Business Manager‘da kaydı bulunan bir Managed Apple Account kullanmak çok daha güvenli olacaktır.
7. Apple Push Certificates Portal’a ilk defa giriş yaptıysanız portalın görünümü yukarıdaki gibi olacaktır. Eğer daha önce başka MDM sunucularınız için de sertifika ürettiyseniz o zaman bu sertifikaların listesini görebilirsiniz. Create A Certificate butonuna basarak süreci başlatabilirsiniz. Bir sonraki adımda Apple’ın kullanım koşullarını inceleyip onay kutucuğunu işaretlemeniz gerekiyor.
Bir sonraki ekranda Vendor tarafından imzalanmış bir CSR dosyasını yükleyebileceğiniz bir ekran gelecek karşınıza çıkacak. Intune’dan indirdiğiniz IntuneCSR.csr dosyasını buraya yükleyin.
8. Upload butonuna tıklayarak devam ettiğinizde size tekrar Intune’a yükleyeceğiniz sertifikayı indirebileceğiniz bir ekran gelecektir karşınıza. Download butonuna tıklayarak .pem uzantılı sertifikayı indirebilirsiniz.
9. Bu noktada tekrar Intune’a dönerek Apple Push Certificates Portal‘dan indirdiğiniz sertifikayı yüklemeniz gerekiyor. Intune’da 4. adımda Apple Push Certificates Portal’a giriş yaparken kullandığınız Apple kimliğini girmeniz gerekiyor. Bu basit ama önemli bir detaydır. Bu konunun önemini yazının en altında APNS sertifikasını yenilemezseniz ne olur? başlığı altında yazdım.
Intune’da 5. adımda da Apple Push Certificates Portal‘dan indirdiğiniz .pem uzantılı sertifikayı yüklemelisiniz.
10. Yükleme tamamlandıktan sonra APNS sertifikası kurulumunu tamamlamış olursunuz. Bu noktadan itibaren Intune’da aktif olmayan bazı alanlar açılacaktır. Örneğin Intune ile Apple Business Manager’ı birbirine bağlamak için Enrollment Program Tokens bölümünü bu dakikadan itibaren kullanmaya başlayabilirsiniz.
APNS sertifikasını yenilemezseniz ne olur?
APNS sertifikası senelik olarak yenilenmelidir. Bu nedenle son kullanım tarihini takvimlerinize kaydetmenizi öneririm. Son kullanım tarihi yaklaşırken, yenileme tarihinden 30 gün ve 15 gün önce Apple’dan size (giriş için kullandığınız Apple hesabınıza) yenileme uyarıları e-mail’leri gelir.
Herhangi bir nedenle bu mailleri görmezseniz ve APNS sertifikasını tarihinden önce yenilemezseniz MDM üzerinden yönettiğiniz cihazlara gönderdiğiniz komutlar ulaşmayacaktır. Ama o güne kadar gönderilmiş olan profiller, uygulamalar ve kısıtlamalar uygulanmış olarak kalmaya devam edecektir.
Burada müsaadeniz ile size bir felaket senaryosu yazmak istiyorum. APNS sertifikası yenileme tarihiniz gelmiş, geçmiş ve yenilememişsiniz. Ve bir de bunun üzerine APNS için kullandığınız Apple Account’un da hangisi olduğu hakkında herhangi bir fikriniz yok. İşte burada bir miktar sorun yaşarsınız. Yukarıdaki adımlarda da görebileceğiniz gibi Microsoft Intune Admin Center’da APNS sertifikasını oluştururken Intune zaten bize hangi Apple Account’u kullandığımızı soruyor ve bunu kaydediyor.
Ama herhangi bir nedenle o Apple hesabının ne olduğunu bilmiyorsanız veya o hesabın şifresini bilmiyorsanız o zaman APNS sertifikasını yenileyemezsiniz. Yönettiğiniz cihazlarda da bir sene önce ilk oluşturduğunuz hesap ile oluşturulmuş sertifikalar bulunduğu için tamamen yeni bir Apple Account ile yeni bir sayfa açmak da sizin için bir seçenek değil. Çünkü bunu yaptığınız anda yönettiğiniz tüm cihazları MDM’e yeniden kaydetmeniz gereken bir durumda kalırsınız. Evet, doğru okudunuz, yönettiğiniz tüm cihazlar ile iletişiminiz tamamen kesilir.
APNS sertifikasının bağlı bulunduğu Apple Account ile ilgili bir sorun yaşıyorsanız Apple’a https://support.apple.com/en-us/118629 adresinde belirtilen numaralar üzerinden erişerek destek isteyebilirsiniz. Apple sizden APNS sertifikasına ait Serial Number ve Subject ID gibi bilgileri isteyebilir. Bunları yukarıdaki en son ekran görüntüsünde de görülebildiği gibi APNS sertifikasının detayından görebilirsiniz.
Bir Cevap Yazın