🙆🏼 🌉 🧦 कॉर्पोरेट सेक्टर में Apple मोबाइल डिवाइस। कॉन्फ़िगरेशन प्रोफ़ाइल ⚱️ 🕥 🚠

एक बड़ी कंपनी के कर्मचारी के लिए मोबाइल उपकरणों के बारे में सोचते समय पहली बात जो दिमाग में आती है, वह है एक लैपटॉप जैसे कि एचपी एलीटबुक और ब्लैकबेरी स्मार्टफोन। विशाल बहुमत का मानना है कि मैकबुक कॉर्पोरेट मानकों से बहुत दूर है, और केवल डिजाइनरों, इंडी डेवलपर्स और उन्नत गृहिणियों के लिए उपयुक्त है। iPhone को फैशनेबल इंस्टाग्राम के लिए ट्वीट्स और फोटो "धनुष" लिखने के लिए एक स्टाइलिश गैजेट माना जाता है।

ruVPN

अब मैं ऐसी रूढ़ियों को दूर करने की कोशिश करूंगा और बताऊंगा कि क्यूपर्टिनो की प्रसिद्ध कंपनी के कौन से मोबाइल उपकरण सक्षम हैं।

मैं Apple iOS पर आधारित मोबाइल उपकरणों के साथ शुरुआत करूँगा। यह संस्करण 3.0 और उच्चतर के बारे में होगा, जिस पर वर्तमान में निम्नलिखित उपकरण काम करते हैं:

iPhone 3 जी, 3 जी, 4, 4 जी, 5
iPad 2, 3, 4
iPod 2 से 5 पीढ़ियों को स्पर्श करता है
आईपैड मिनी

ये सभी डिवाइस कॉन्फ़िगरेशन प्रोफाइल लोड करने का समर्थन करते हैं, जिसके साथ आप कॉर्पोरेट उपयोग के लिए डिवाइस को लचीले ढंग से कॉन्फ़िगर कर सकते हैं।

आधिकारिक प्रोफाइल गाइड को पुनर्मुद्रण करने का कोई मतलब नहीं है। मैं केवल सबसे दिलचस्प संभावनाओं पर ध्यान केंद्रित करूंगा।
सबसे पहले, कॉन्फ़िगरेशन प्रोफ़ाइल सादे XML है। यह एक डिजिटल प्रमाण पत्र और / या एन्क्रिप्टेड के साथ हस्ताक्षरित किया जा सकता है। हस्ताक्षरित प्रोफ़ाइल प्राप्त होने पर, डिवाइस डिजिटल हस्ताक्षर प्रमाणपत्र को सत्यापित करता है और स्थिति प्रदर्शित करता है।
प्रोफ़ाइल पर हस्ताक्षर किए

एन्क्रिप्टेड प्रोफाइल की प्राप्ति पर, डिक्रिप्शन कुंजी डिवाइस पर होनी चाहिए।

प्रोफाइल में निम्नलिखित डेटा हो सकते हैं:

मोबाइल डिवाइस फ़ंक्शन का प्रतिबंध
वाई-फाई कनेक्शन सेटिंग्स
वीपीएन एक्सेस सेटिंग्स
मेल सर्वर सेटिंग्स (एक्सचेंज, POP3, IMAP, SMTP)
LDAP निर्देशिका पहुंच सेटिंग्स (वैश्विक पते की पुस्तकों के लिए)
CalDAV कैलेंडर एक्सेस विकल्प
डिजिटल प्रमाण पत्र
SCEP के माध्यम से प्रमाण पत्र के स्वचालित रोटेशन के लिए अनुरोध (उपरोक्त सेवाओं के लिए सहित)

आइए कुछ मापदंडों पर अधिक विस्तार से विचार करें। तो, प्रोफ़ाइल का उपयोग करके डिवाइस पर क्या सीमित किया जा सकता है?

पासवर्ड के बिना डिवाइस तक पहुँच से इनकार करें, पैरामीटर पैरामीटर
हर समय एक ही पासवर्ड का उपयोग न करें, पैरामीटर maxPINAgeInDays
पासवर्ड की लंबाई, पैरामीटर minLength सेट करें
पासवर्ड बदलते समय एक ही पासवर्ड का उपयोग करने से इनकार करें, pinHistory पैरामीटर
एक पासवर्ड से इनकार करें जिसमें केवल अंक हों (हालांकि यह उपयोगकर्ता का एक मजाक है), requireAlphanumeric
AppStore , allowAppInstallation पैरामीटर से एप्लिकेशन इंस्टॉल करने से इनकार करें
इनकार सिरी, allowAssistant पैरामीटर
डिवाइस में कैमरे के उपयोग से इनकार करते हैं , allowCamera पैरामीटर
वयस्क सामग्री अस्वीकृत करें, allowExplicitContent पैरामीटर
गेम सेंटर, allowGameCenter पैरामीटर के करीब पहुंच
स्क्रीनशॉट अक्षम करें , स्क्रीनशोट पैरामीटर की अनुमति दें
YouTube एक्सेस बंद करें (!), allowYouTube पैरामीटर
बंद करें iTunes, allowiTunes
सफारी ब्राउज़र, allowSafari पैरामीटर के उपयोग से इनकार करें
अज्ञात प्रमाणपत्रों का उपयोग करने से मना कर दिया गया , allowUntrusted-TLSPrompt
उपयोगकर्ता के हस्तक्षेप के बिना प्रोफाइल की स्थापना को रोकें, allowUIConfiguration-ProfileInstallation

जैसा कि आप देख सकते हैं, उद्यम सुरक्षा सेवा की आवश्यकताओं के अनुसार मोबाइल डिवाइस को लाने के लिए बहुत सारे अवसर हैं। वह सब गायब है जो कुछ प्रतिबंधों के लिए समय सीमा है, उदाहरण के लिए, केवल व्यावसायिक घंटों के दौरान YouTube का प्रतिबंध। :-)

वाई-फाई, वीपीएन, मेल, एलडीएपी, आदि के लिए एक्सेस सेटिंग्स। एक ही प्रकार। यह ध्यान दिया जाना चाहिए कि उन सभी में प्रमाणपत्र प्राधिकरण शामिल हो सकते हैं। जाहिर है, एक प्रमाण पत्र द्वारा प्राधिकरण के लिए, एक उपकरण में कुंजी की एक जोड़ी होनी चाहिए: एक सार्वजनिक कुंजी और एक निजी कुंजी। प्रोफ़ाइल में निजी कुंजी को स्थानांतरित नहीं किया जा सकता है। SCEP प्रमाणपत्र रोटेशन प्रोटोकॉल का समर्थन करने के लिए एक बुनियादी ढांचे की आवश्यकता है। इस मामले में, निजी कुंजी की पीढ़ी मोबाइल डिवाइस पर होती है, फिर प्रमाण पत्र अनुरोध के हिस्से के रूप में सार्वजनिक कुंजी को प्रमाणीकरण प्राधिकारी को स्थानांतरित कर दिया जाता है, प्रमाण पत्र पर हस्ताक्षर करने और उत्पन्न करने के बाद, समाप्त प्रमाण पत्र को डिवाइस में स्थानांतरित किया जाता है और स्थानीय भंडारण में स्थापित किया जाता है। SCEP अनुरोध में एक अद्वितीय PayloadUUID , जिसे अन्य सेटिंग्स के PayloadCertificate-UUID में निर्दिष्ट किया जा सकता है। इस तरह, प्राप्त प्रमाण पत्र वाई-फाई, वीपीएन, मेल, एलडीएपी और इसी तरह की सेटिंग्स से जुड़े होते हैं।

रूट और प्रकाशन केंद्रों के सार्वजनिक प्रमाण पत्रों को प्रोफाइल में शामिल किया जा सकता है। एंटरप्राइज़ रूट प्रमाणपत्र स्थापित करना आपको अमान्य प्रमाणपत्र के बारे में चेतावनी संदेश जारी किए बिना आंतरिक https संसाधनों पर जाने की अनुमति देता है। यह मेल सेवाओं पर लागू होता है, वीपीएन गेटवे, वाई-फाई पॉइंट - सब कुछ जो प्राधिकरण प्रक्रिया में कॉर्पोरेट प्रमाण पत्र का उपयोग करता है।

जब आप किसी प्रोफ़ाइल को हटाते हैं, तो उसमें पंजीकृत सभी सेवाएँ और सेटिंग्स भी हटा दी जाती हैं। उदाहरण के लिए, यदि प्रोफ़ाइल में एंटरप्राइज़ मेल सर्वर तक पहुंच है, तो प्रोफ़ाइल को हटाने के बाद, डिवाइस पर मेलबॉक्स हटा दिया जाएगा, कर्मचारी नया मेल प्राप्त नहीं कर पाएगा या पहले से प्राप्त मेल पढ़ सकता है। अन्य मेलबॉक्स, जैसे जीमेल पर व्यक्तिगत मेल, पहले की तरह उपलब्ध होंगे।

प्रोफ़ाइल को पिन कोड से विलोपन से संरक्षित किया जा सकता है, HasRemovalPasscode पैरामीटर; आप आम तौर पर विलोपन को रोक सकते हैं, PayloadRemoval-Disallowed पैरामीटर। बाद के मामले में, प्रोफ़ाइल को केवल सभी डिवाइस सेटिंग्स पूरी तरह से रीसेट करके हटाया जा सकता है, जबकि डिवाइस की सभी सामग्री हटा दी जाती है। इस तरह की सेटिंग्स सूचना सुरक्षा के क्षेत्र में सख्त आवश्यकताओं वाली कंपनियों के लिए अच्छी तरह से अनुकूल हैं।
अवधि या दिनांक निर्धारित करना संभव है, जिसके बाद प्रोफ़ाइल स्वचालित रूप से हटा दी जाएगी, DurationUntilRemoval और RemovalDate । यह अस्थायी कर्मचारियों या कंपनी सलाहकारों के लिए अच्छी तरह से अनुकूल है।

एक प्रोफ़ाइल को कई तरीकों से डिवाइस में डाउनलोड किया जा सकता है:

वायर्ड । डिवाइस को USB के माध्यम से iPhone कॉन्फ़िगरेशन उपयोगिता प्रोग्राम चलाने वाले कंप्यूटर से जोड़ा जाता है, आवश्यक कॉन्फ़िगरेशन प्रोफ़ाइल का चयन किया जाता है और डिवाइस पर डाउनलोड किया जाता है।
प्रत्यक्ष। सफारी ब्राउज़र में प्रोफ़ाइल फ़ाइल (.mobileconfig) के साथ एक लिंक खुलता है और प्रोफ़ाइल की स्थापना की पुष्टि की जाती है।
ओवर-द-एयर । प्रोफाइल डाउनलोड पेज सफारी ब्राउज़र में खुलता है, फिर मुख्य प्रोफ़ाइल को एन्क्रिप्ट करने के लिए एक मध्यवर्ती प्रमाण पत्र की पीढ़ी के साथ प्राथमिक प्रोफ़ाइल स्थापित की जाती है। प्रोफ़ाइल की सामग्री एन्क्रिप्टेड हैं।

पहली और दूसरी विधियां छोटी कंपनियों के लिए उपयुक्त हैं, जहां मैन्युअल रूप से सब कुछ स्थापित करना आसान है, तीसरी विधि सबसे तकनीकी रूप से उन्नत है और बड़ी कंपनियों में उपयोग के लिए अनुशंसित है।

मैं एक तीसरे तरीके से, ओवर-द-एयर में प्रोफ़ाइल को लोड करने का वर्णन करने का प्रयास करूंगा।

पहला चरण मोबाइल डिवाइस पर प्रोफ़ाइल अपलोड पते के साथ URL का वितरण है। यह एक मेल संदेश में, एक एसएमएस संदेश में, एक विशेष वेब पेज पर एक लिंक हो सकता है। यह https संसाधन के लिए एक लिंक रखने और परिवर्तन से सामग्री की रक्षा करने के लिए सलाह दी जाती है, उदाहरण के लिए, nginx सर्वर के Secure_link तकनीक के साथ।
पहले प्रोफ़ाइल में उपयोगकर्ता डिवाइस पैरामीटर के लिए एक अनुरोध है।

XML सामग्री

यह कुछ इस तरह दिखता है:

 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0"> <dict> <key>PayloadContent</key> <dict> <key>URL</key> <string>https://ruvpn.net/profile/qefdJW98Vx9YFyyzs4C2F/1369640562</string> <key>DeviceAttributes</key> <array> <string>UDID</string> <string>IMEI</string> <string>ICCID</string> <string>VERSION</string> <string>PRODUCT</string> <string>DEVICE_NAME</string> <string>MAC_ADDRESS_EN0</string> </array> <key>Challenge</key> <string>Pa$$word</string> </dict> <key>PayloadOrganization</key> <string>Infoss AS</string> <key>PayloadDisplayName</key> <string>VPN configuration</string> <key>PayloadVersion</key> <integer>1</integer> <key>PayloadUUID</key> <string>fdb37dd45-b5bb-4d8c-daf3-e908683420c9</string> <key>PayloadIdentifier</key> <string>no.infoss.mobileconfig.ipsec</string> <key>PayloadDescription</key> <string>Please accept this profile</string> <key>PayloadType</key> <string>Profile Service</string> <key>RemovalDate</key> <date>2013-05-27T00:00:00Z</date> </dict> </plist>

चैलेंज पैरामीटर प्रोफाइल सर्वर के लिए लेनदेन पहचानकर्ता है।

एक्सटेंशन .mobileconfig फाइलें केवल सफारी में पहचानी .mobileconfig , इसलिए इसमें लिंक खोला जाना चाहिए।

प्रोफ़ाइल प्राप्त करने के बाद, डिवाइस उपयोगकर्ता को इंस्टॉलेशन अनुमति के लिए कहता है। यदि पिन कोड द्वारा स्क्रीन अनलॉक सुरक्षा सेटिंग्स में सक्षम है, तो पिन कोड का अनुरोध किया जाएगा। फिर, डिवाइस जानकारी प्रोफ़ाइल सर्वर पर स्थानांतरित की जाएगी।

SCEP चरण 1

एक्सएमएल डिवाइस प्रतिक्रिया उदाहरण

यहाँ iPad से एक नमूना उत्तर दिया गया है:

 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0"> <dict> <key>PRODUCT</key> <string>iPad2,5</string> <key>UDID</key> <string>1cfc707bbde274a4643f93341fca784ba0ec898c</string> <key>VERSION</key> <string>10B329</string> </dict> </plist>

प्रतिक्रिया पर Apple डिवाइस के एम्बेडेड प्रमाणपत्र द्वारा हस्ताक्षरित है। प्रोफ़ाइल सर्वर को वैधता के लिए हस्ताक्षर को सत्यापित करना होगा।

अगला चरण मुख्य प्रोफ़ाइल के बाद के एन्क्रिप्शन के लिए एक मध्यवर्ती प्रमाणपत्र की पीढ़ी है। निजी कुंजी को डिवाइस पर स्थानांतरित नहीं किया जा सकता है, इसलिए, SCEP प्रोटोकॉल का उपयोग किया जाता है, जिसके द्वारा डिवाइस पर एक कुंजी जोड़ी उत्पन्न होती है और फिर एक प्रमाणन अनुरोध सीधे प्रमाणन प्राधिकरण को भेजा जाता है। प्रोफ़ाइल सर्वर इस प्रक्रिया में शामिल नहीं है।

SCEP चरण 2

चरण 2 के लिए एक्सएमएल उदाहरण

 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0"> <dict> <key>PayloadVersion</key> <integer>1</integer> <key>PayloadUUID</key> <string>Ignored</string> <key>PayloadType</key> <string>Configuration</string> <key>PayloadIdentifier</key> <string>Ignored</string> <key>PayloadContent</key> <array> <dict> <key>PayloadContent</key> <dict> <key>URL</key> <string>https://scep.infoss.no/enroll/zYu47Jr45XDtnv0b1Eg/1369640566</string> <key>Name</key> <string>ruVPN CA</string> <key>Subject</key> <array> <array> <array> <string>CN</string> <string>Encryption</string> </array> </array> <array> <array> <string>O</string> <string>Infoss AS</string> </array> </array> </array> <key>Challenge</key> <string>Pa$$word</string> <key>Keysize</key> <integer>2048</integer> <key>Key Type</key> <string>RSA</string> </dict> <key>PayloadDescription</key> <string>Provides device encryption identity</string> <key>PayloadUUID</key> <string>CAE1D4F6-1BBA-859F-89E2-48DFA7112F14</string> <key>PayloadType</key> <string>com.apple.security.scep</string> <key>PayloadDisplayName</key> <string>Encryption Identity</string> <key>PayloadVersion</key> <integer>1</integer> <key>PayloadOrganization</key> <string>Infoss AS</string> <key>PayloadIdentifier</key> <string>no.infoss.mobileconfig.ipsec</string> </dict> </array> </dict> </plist>

प्रमाणन प्राधिकरण अनुरोध पर हस्ताक्षर करता है, आवश्यक मापदंडों के साथ एक प्रमाण पत्र बनाता है और इसे डिवाइस पर वापस भेजता है। प्राप्त प्रमाण पत्र स्थानीय भंडारण में स्थापित किया गया है।

मोबाइल डिवाइस एक नए प्रमाणपत्र के साथ हस्ताक्षर किए गए संदेश के रूप में दूसरे चरण के अंत के बारे में प्रोफ़ाइल सर्वर को सूचित करता है।
तीसरे चरण का समय आ गया है। मोबाइल डिवाइस पर एक प्रमाण पत्र और एक निजी कुंजी है, प्रोफाइल सर्वर पर एक प्रमाण पत्र है। तो आप मुख्य प्रोफ़ाइल को एन्क्रिप्ट कर सकते हैं और इसे अपने मोबाइल डिवाइस पर भेज सकते हैं।

मुख्य प्रोफ़ाइल की सामग्री सुरक्षा सेवा की आवश्यकताओं और उद्यम और शाखाओं के नेटवर्क बुनियादी ढांचे के विकास के स्तर पर निर्भर करती है। यह प्रोफाइल कार्यान्वयन परियोजना का सबसे महत्वपूर्ण हिस्सा है और इसमें उद्यम के कई विभागों और सेवाओं की भागीदारी शामिल है। प्रोफ़ाइल डेटा को सक्रिय निर्देशिका, एक कॉर्पोरेट डेटाबेस या अन्य प्रणालियों से लिया जा सकता है।

SCEP चरण 3

कुछ मान्यताओं के साथ कॉन्फ़िगरेशन प्रोफाइल लोड करने की तकनीक OS X 10.8+ के आधार पर मोबाइल उपकरणों पर लागू होती है, जो कि ताजा मैकबुक, मैकबुक एयर / प्रो के लिए है।

एमडीएम के बारे में थोड़ा सा

एमडीएम जैसी तकनीक का उल्लेख है। एक कॉन्फ़िगर मोबाइल डिवाइस प्रबंधन (एमडीएम) सर्वर के मामले में, इस सर्वर के मापदंडों को मुख्य प्रोफ़ाइल में दर्ज किया जा सकता है, और प्रोफ़ाइल सेट करने के बाद, मोबाइल डिवाइस को सर्वर से नियंत्रण आदेश प्राप्त होगा। MDM का उपयोग करते हुए, एक डिवाइस पर निम्नलिखित ऑपरेशन संभव हैं:
• डिवाइस से जानकारी का अनुरोध करें:
o सामान्य सेटिंग्स
ओ नेटवर्क सेटिंग्स
o सुरक्षा सेटिंग्स
ओ सक्रिय प्रतिबंध
o कॉन्फ़िगरेशन प्रोफ़ाइल
o आवेदन डाउनलोड प्रोफाइल
o अनुप्रयोग
• डिवाइस प्रबंधन
o डिवाइस सेटिंग्स बदलें
o कॉन्फ़िगरेशन प्रोफ़ाइल जोड़ें / निकालें
ओ स्थापित / स्थापना रद्द करें डाउनलोड प्रोफाइल
o एप्लिकेशन जोड़ें / निकालें
o पासवर्ड बदलता है
o डिवाइस पर सभी सूचनाओं का पूर्ण विलोपन
एमडीएम सर्वर से कमांड पुश सूचना पद्धति का उपयोग करके प्राप्त की जाती है।
एमडीएम का कार्यान्वयन बड़े उद्यमों में समीचीन है और आपको कर्मचारियों के मोबाइल उपकरणों को काफी दूर से नियंत्रित करने की अनुमति देता है।

RuVPN.net सर्विस प्रोफाइल का लोड करना वर्णित योजना के अनुसार काम करता है; हाल ही में, ह्रबे पर तनाव परीक्षण सफलतापूर्वक पूरा किया गया था, जब कोई भी अपने डिवाइस पर वीपीएन सेटिंग्स के साथ एक प्रोफ़ाइल स्थापित कर सकता था। मुख्य प्रोफ़ाइल में IPsec VPN सर्वर तक पहुँच के लिए SCEP प्रमाणपत्र अनुरोध था। प्रोफ़ाइल को स्वचालित रूप से परीक्षण प्रतिभागियों के उपकरणों से हटा दिया गया था 05/27/2013 00:00:00 UTC। सभी परीक्षण प्रतिभागियों को बहुत धन्यवाद!

कॉर्पोरेट सेक्टर में Apple मोबाइल डिवाइस। कॉन्फ़िगरेशन प्रोफ़ाइल

More articles: