Конфігурування пристроїв на роботу з APN

Рішення MDM використовують служби push-сповіщень Apple (APN) для підтримання постійної комунікації з пристроями Apple як у загальнодоступних, так і в приватних мережах. Використання APN дасть змогу пристроям Apple отримувати інформацію про оновлення, політики MDM і вхідні повідомлення. Рішення MDM потребують кількох сертифікатів, включно із сертифікатом APN для спілкування з пристроєм, сертифікатом SSL для захищеної комунікації та сертифікатом для підписування профілів конфігурації.

Схема, на якій показано, як служба APN використовується з рішенням MDM.

Щоб забезпечити роботу служби APN на своїх пристроях Apple, дозвольте мережевий трафік із пристроїв безпосередньо в мережу Apple (17.0.0.0/8) або за допомогою мережевого проксі. Пристрої Apple мають за потреби з’єднуватися з певними портами на певних вузлах:

Порт 443 у TCP використовується під час активації пристрою, а також пізніше як резервний, якщо пристроям не вдається зв’язатися зі службою APN через порт 5223.
Порт 5223 у TCP для зв’язку зі службою APN.
Порт 443 або 2197 у TCP для надсилання сповіщень від MDM до служби APN.

Можливо, також доведеться конфігурувати порти вашого вебпроксі або брандмауера, щоб дозволити весь мережевий трафік із пристроїв Apple у мережу Apple. В iOS 13.4, iPadOS 13.4, macOS 10.15.4, tvOS 13.4 і новіших APN можуть використовувати вебпроксі, якщо його вказано у файлі автоматичної конфігурації проксі (PAC-файлі).

Примітка. Apple Vision Pro може отримувати push-сповіщення, лише коли пристрій одягнуто та відімкнуто.

У кінцевих точках і серверах сервісу APNs застосовується багаторівневий захист. Спроби перевірки чи перенаправлення трафіку спричиняють позначення мережевого обміну на клієнті, серверах APNs і провайдера push-повідомлень як скомпрометованого та недійсного. Конфіденційна та таємна інформація через APNs не передається.

Порада. Коли ви створюєте сертифікати служби APN для MDM, занотуйте використаний керований обліковий запис Apple (рекомендовано) або звичайний обліковий запис Apple. Вам знадобиться ця інформація для поновлення сертифікатів, яке необхідно робити щороку. Також пам’ятайте, що сертифікати, які використовує ваше рішення MDM, необхідно завчасно оновлювати до завершення їх терміну дії. Більше інформації наведено на порталі сертифікатів Apple Push.

Безпекові вдосконалення для налаштування push-сповіщень для клієнтів MDM

Розробники MDM зараз можуть використовувати службу Apple Push Notification (APNs) для налагодження процедури створення push-сертифікатів для своїх клієнтів. Для цього, зокрема, потрібно створювати та підписувати замовлення на підписування сертифіката (CSR) для кожного клієнта. Відтак кожен клієнт зможе використати надане CSR, щоб отримати сертифікат від порталу Apple Push Certificates.

Пізніше цього року з метою підвищення надійності портал Apple Push Certificates вимагатиме підпису з алгоритмом SHA2 для CSR. Для CSR, підписаних за допомогою SHA1, сертифікати не видаватимуться. Більше інформації про поширені практики наведено в статті про налаштування push-сповіщень на вебсайті для розробників Apple.

Дивіться такожВебсайт розробників Apple: «Настроювання віддаленого центру сповіщень»Вебсайт розробників Apple: «Сповіщення користувача»Стаття служби підтримки Apple: «Якщо ваші пристрої Apple не отримують push-сповіщення Apple»Стаття служби підтримки Apple: «Використання продуктів Apple у корпоративних мережах»

Чи була інформація корисна?

Розгортання платформи Apple

Конфігурування пристроїв на роботу з APN

Безпекові вдосконалення для налаштування push-сповіщень для клієнтів MDM