Como implantar o iphone e o ipad Gerenciamento de Dispositivos Móveis

Transcrição

1 Como implantar o iphone e o ipad Gerenciamento de Dispositivos Móveis O ios suporta Gerenciamento de Dispositivos Móveis (MDM), o que ajuda as empresas a administrar implantações em escala do iphone e do ipad nas organizações. Esses recursos de MDM estão presentes nas tecnologias já existentes do ios, como os Perfis de Configuração, a Inscrição Remota e o serviço de notificação de push da Apple, e podem ser integrados a soluções de servidor internas ou de terceiros. Isso permite que os departamentos de TI implantem com segurança o iphone e o ipad no ambiente corporativo, configurem e atualizem ajustes remotamente, monitorem a conformidade com políticas corporativas e até apaguem ou bloqueiem remotamente dispositivos gerenciados. Gerenciando o iphone e o ipad O gerenciamento de dispositivos com ios ocorre via conexão com um servidor de Gerenciamento de Dispositivos Móveis. Esse servidor pode ser montado internamente ou adquirido com um provedor de soluções de terceiros. O dispositivo se comunica com o servidor para saber se há tarefas pendentes e responde com as ações apropriadas. Essas tarefas podem incluir atualizar políticas, fornecer informações necessárias sobre o dispositivo ou a rede ou remover ajustes e dados. A maior parte das funções de gerenciamento são executadas em segundo plano, sem necessidade de interação por parte do usuário. Por exemplo, caso o departamento de TI atualize a infraestrutura de VPN, o servidor MDM poderá configurar o iphone e o ipad com novas informações de conta remotamente. Na próxima vez que um funcionário usar a VPN, a configuração apropriada já estará pronta, o que significa que o funcionário não precisará ligar para o suporte nem modificar as ajustes manualmente. Firewall Serviço de notificação de push da Apple Servidor MDM de terceiros

2 2 MDM e o serviço de notificação de push da Apple Quando um servidor MDM quer se comunicar com o iphone ou o ipad, o serviço de notificação de push da Apple envia uma notificação silenciosa ao dispositivo, que deve fazer check-in no servidor. O processo de notificar o dispositivo não envia nenhuma informação de acesso restrito para o/do serviço de notificação de push da Apple. A única tarefa realizada pelo serviço é despertar o dispositivo para que ele faça check-in no servidor MDM. Todas as informações de configuração, ajustes e consultas são enviados diretamente do servidor ao dispositivo com ios via conexão SSL/TLS criptografada entre o dispositivo e o servidor MDM. O ios lida com todas as solicitações e ações de MDM em segundo plano para limitar o impacto na experiência do usuário, incluindo duração da bateria, desempenho e confiabilidade. ios e SCEP O ios suporta SCEP (Simple Certificate Enrollment Protocol), uma especificação preliminar da IETF destinada a facilitar a distribuição de certificados para implantações em larga escala. Esse protocolo viabiliza o cadastro remoto de certificados de identidade no iphone e no ipad que podem ser usados para autenticação em serviços corporativos. Para que o servidor de notificação de push reconheça comandos do servidor MDM, primeiro é necessário instalar um certificado no servidor. Esse certificado deve ser solicitado e baixado do portal de certificados de push da Apple. Depois que o certificado de notificação de push da Apple for carregado no servidor MDM, os dispositivos poderão começar a ser cadastrados. Para obter mais informações sobre como solicitar um certificado de notificação de push da Apple para MDM, acesse www. apple.com/mdm. Configuração de rede das notificações de push da Apple. Quando servidores MDM e dispositivos ios estão protegidos por um firewall, algumas configurações de rede podem ser necessárias para que o serviço MDM funcione corretamente. Para enviar notificações de um servidor MDM para o serviço de notificação de push da Apple, a porta TCP 2195 deve estar aberta. Para chegar ao serviço de feedback, a porta TCP 2196 também deverá estar aberta. No caso de dispositivos que se conectam ao serviço de push por Wi-Fi, a porta TCP 5223 deve estar aberta. O intervalo de endereços IP do serviço de push está sujeito a modificações; a expectativa é que um servidor MDM se conecte por nome de host e não por endereço IP. O serviço de push usa um esquema de balanceamento de carga que gera um endereço IP diferente para o mesmo nome de host. Esse nome de host é gateway. push.apple.com (e gateway.sandbox.push.apple.com para o ambiente de notificação de push de desenvolvimento). Além disso, todo o bloco de endereço /8 é designado à Apple para que seja possível estabelecer regras de firewall a fim de especificar esse intervalo. Para obter mais informações, consulte o seu fornecedor de MDM ou veja a nota técnica para desenvolvedores TN2265 na biblioteca para desenvolvedores em ios, em Cadastro Uma vez configurados o servidor de Gerenciamento de Dispositivos Móveis e a rede, a primeira etapa para gerenciar um iphone ou ipad é cadastrá-lo em um servidor MDM. Isso cria um relacionamento entre o dispositivo e o servidor, permitindo que ele seja gerenciado quando necessário, sem interação do usuário. Isso pode ser feito conectando o iphone ou o ipad a um computador via USB, mas a maioria das soluções disponibilizam o perfil de cadastro remotamente. Alguns fornecedores de MDM usam um aplicativo para alavancar esse processo, e outros iniciam o cadastro direcionando os usuários para um portal na Web. Cada método tem suas vantagens, e ambos são usados para disparar o processo de Inscrição Remota via Safari.

3 3 Visão geral do processo de cadastro O processo de Inscrição Remota compreende fases que são combinadas em um fluxo de trabalho automatizado para permitir o cadastro seguro de dispositivos em um ambiente corporativo, da forma mais escalonável possível. Entre essas fases estão as seguintes: 1. Autenticação do usuário A autenticação do usuário garante que sejam recebidas solicitações de cadastro de usuários autorizados e que informações do dispositivo do usuário sejam capturadas para proceder ao cadastro do certificado. Os administradores podem solicitar que o usuário inicie o processo de cadastro em um portal da Web, por , mensagem SMS ou até mesmo por um aplicativo. 2. Cadastro do certificado Depois da autenticação do usuário, o ios gera uma solicitação de cadastro de certificado usando para isso o SCEP (Simple Certificate Enrollment Protocol). Essa solicitação de inscrição se comunica diretamente com a Autoridade Certificadora (AC) e permite que o iphone e o ipad recebam o certificado de identidade da AC em resposta. 3. Configuração do dispositivo Uma vez instalado o certificado de identidade, o dispositivo pode começar a receber informações de configuração criptografadas remotamente. Essas informações só podem ser instaladas no dispositivo para o qual se destinam e contêm os ajustes necessários para a conexão com o servidor MDM. No final do processo de cadastro, o usuário verá uma tela de instalação que descreve os direitos de acesso que o servidor MDM terá sobre o dispositivo. Depois que o usuário concordar com a instalação do perfil, o dispositivo será cadastrado automaticamente, sem necessidade de interação por parte do usuário. Uma vez que o iphone e o ipad estiverem cadastrados como dispositivos gerenciados, poderão ser configurados dinamicamente com ajustes, receber consultas de informações ou ser apagados remotamente pelo servidor MDM. Configuração Para configurar um dispositivo com contas, políticas e restrições, o servidor MDM envia para o dispositivo arquivos conhecidos como Perfis de Configuração que são instalados automaticamente. Os Perfis de Configuração são arquivos XML que contêm configurações que permitem ao dispositivo funcionar com os sistemas da sua empresa. Estão inclusas informações sobre contas, políticas de senha, restrições e outras configurações do dispositivo. Quando combinada ao processo de cadastro apresentado anteriormente, a configuração do dispositivo dá para a TI a segurança de que apenas usuários confiáveis terão acesso aos serviços corporativos e que os dispositivos serão devidamente configurados com as políticas estabelecidas. Como os Perfis de Configuração podem ser assinados e criptografados, não é possível alterar nem compartilhar os ajustes.

4 4 Ajustes configuráveis suportados Contas Exchange ActiveSync IMAP/POP Wi-Fi VPN LDAP CardDAV CalDAV Calendários assinados Políticas de senha Solicitud de contraseña en el dispositivo Obrigatoriedade de valor alfanumérico Solicitud de valor alfanumérico Tamanho mínimo da senha Número mínimo de caracteres complexos Validade da senha Tempo antes de bloqueio automático Histórico de senha Período de carência para bloqueio do dispositivo Número máximo de tentativas falhas Segurança e privacidade Permitir envio de dados de diagnóstico à Apple Permitir que o usuário aceite certificados não confiáveis Impor backups criptografados Outros ajustes Credenciais Clipes web Ajustes de SCEP Ajustes de APN Funcionalidade do dispositivo Permitir instalação de aplicativos Permitir uso de câmera Permitir o FaceTime Permitir capturas de tela Permitir sincronização automática em roaming Permitir discagem por voz Permitir compra de aplicativos Exigir senha de loja em todas as compras Permitir jogos com vários participantes Permitir adicionar amigos do Game Center Aplicativos Permitir uso do YouTube Permitir uso da itunes Store Permitir uso do Safari Definir preferências de segurança do Safari icloud Permitir backup Permitir sincronização de documentos e de valores de chaves Permitir Streaming de Fotos Comentários sobre o conteúdo Permitir determinadas músicas e podcasts Definir região de comentários Definir comentários de conteúdo permitido

5 5 Consulta a dispositivos Além da configuração, um servidor MDM pode consultar uma variedade de informações nos dispositivos. Essas informações podem ser usadas para garantir que os dispositivos continuem em conformidade com as políticas necessárias. Consultas suportadas Informações sobre o dispositivo Identificador exclusivo do dispositivo (UDID) Nome do dispositivo Versão do ios e do build Número e nome do modelo Número de série Capacidade e espaço disponível IMEI Firmware do modem Nível da bateria Informações sobre a rede ICCID Endereços MAC Bluetooth e Wi-Fi Rede da operadora atual Rede da operadora do assinante Versão das configurações da operadora Telefone Ativação/desativação do roaming de dados Informações sobre conformidade e segurança Perfis de Configuração instalados Certificados instalados e datas de vencimento Lista de todas as restrições ativas Capacidade de criptografia do hardware Senha definida Aplicativos Aplicativos instalados (ID, nome, versão, tamanho e volume de dados do app) Perfis de aprovisionamento instalados com datas de vencimento Gerenciamento Com o Gerenciamento de Dispositivos Móveis, existem inúmeras funções que um servidor MDM pode executar em dispositivos com ios. Entre essas tarefas estão instalar e remover Perfis de Configuração e de Aprovisionamento, gerenciar aplicativos, encerrar o relacionamento MDM e apagar um dispositivo remotamente. Configurações gerenciadas Durante o processo inicial de configurar um dispositivo, um servidor MDM faz push de Perfis de Configuração no iphone e no ipad e os perfis são instalados em segundo plano. Com o tempo, as configurações e políticas em vigor no momento do cadastro precisam ser atualizadas ou alteradas. Para fazer essas alterações, um servidor MDM pode instalar novos Perfis de Configuração e modificar ou remover os perfis existentes a qualquer momento. Além disso, talvez seja preciso instalar configurações específicas de contexto nos dispositivos com ios, dependendo da localização ou da função de um usuário na organização. Como exemplo, se um usuário está viajando ao exterior, um servidor MDM pode exigir que as contas de sejam sincronizadas manualmente e não automaticamente. Um servidor MDM pode até mesmo desativar remotamente serviços de voz ou dados para evitar que o usuário tenha de pagar taxas de roaming de um provedor wireless. Aplicativos gerenciados Um servidor MDM pode gerenciar aplicativos de terceiros na App Store, bem como aplicativos corporativos desenvolvidos internamente. O servidor pode remover aplicativos gerenciados e os dados associados por demanda ou especificar se os aplicativos devem ser removidos quando o perfil MDM for removido. Além disso, o servidor MDM pode impedir que dados de aplicativos gerenciados sejam submetidos a backup no itunes e no icloud.

6 6 Para instalar um aplicativo gerenciado, o servidor MDM envia um comando de instalação ao dispositivo do usuário. Os aplicativos gerenciados exigem aceitação do usuário para que possam ser instalados. Quando um servidor MDM solicitar a instalação de um aplicativo gerenciado da App Store, o aplicativo será resgatado com a conta do itunes usada no momento da instalação do aplicativo. Aplicativos pagos exigirão que o servidor MDM envie um código de resgate do VPP (Programa de Compra por Volume). Para obter mais informações sobre o VPP, acesse www. apple.com/business/vpp/. Aplicativos da App Store não podem ser instalados no dispositivo do usuário se a App Store tiver sido desativada. Removendo ou apagando dispositivos Se for detectado que um dispositivo não está em conformidade com as políticas, se ele foi perdido ou roubado ou se um funcionário se desligar da empresa, um servidor MDM poderá tomar providências para proteger informações corporativas de várias formas. Um administrador de TI pode encerrar o relacionamento MDM com um dispositivo removendo o Perfil de Configuração que contém as informações do servidor MDM. Nesse caso, todas as contas, configurações e aplicativos que ele foi responsável por instalar são removidos. Como alternativa, a área de TI pode manter o Perfil de Configuração MDM ativo e usar o MDM apenas para remover os Perfis de Configuração, Perfis de Aprovisionamento e aplicativos gerenciados que quiser excluir. Essa abordagem mantém o dispositivo gerenciado por MDM e elimina a necessidade de recadastramento quando ele estiver novamente em conformidade com a política. Os dois métodos conferem à TI a capacidade de garantir que as informações só estarão disponíveis para usuários e dispositivos em conformidade e que os dados corporativos sejam removidos sem interferir nos dados pessoais de um usuário, como músicas, fotos ou aplicativos pessoais. Para excluir permanentemente todos os dados e mídias no dispositivo e restaurá-lo com os ajustes de fábrica, o MDM pode apagar o iphone e o ipad remotamente. Se o usuário ainda estiver procurando pelo dispositivo, a área de TI também poderá optar por enviar um comando de bloqueio remoto ao dispositivo. Esse comando bloqueia a tela e exige a senha do usuário para desbloqueá-la. Se o usuário simplesmente esqueceu a senha, um servidor MDM poderá removê-la do dispositivo e pedir para o usuário criar uma nova em até 60 minutos. Comandos de gerenciamento suportados Configurações gerenciadas Instalar Perfil de Configuração Remover Perfil de Configuração Roaming de dados Roaming de voz (não disponível em todas as operadoras) Aplicativos gerenciados Instalar aplicativo gerenciado Remover aplicativo gerenciado Listar todos os aplicativos gerenciados Instalar Perfil de Aprovisionamento Remover Perfil de Aprovisionamento Comandos de segurança Apagamento remoto Bloqueio remoto Apagar senha

7 7 Visão geral do processo Este exemplo ilustra uma implantação básica de um servidor de Gerenciamento de Dispositivos Móveis. 1 Firewall Serviço d de push da Apple e notificação Servidor MDM de terceiros Um Perfil de Configuração contendo informações do servidor MDM é enviado ao dispositivo. O usuário recebe informações sobre o que será gerenciado e/ou consultado pelo servidor. O usuário instala o perfil para aceitar o dispositivo que está sendo gerenciado. O cadastro do dispositivo ocorre durante a instalação do perfil. O servidor valida o dispositivo e autoriza o acesso. O servidor envia uma notificação de push solicitando que o dispositivo verifique se há tarefas ou consultas. O dispositivo conecta-se diretamente ao servidor por HTTPS. O servidor envia comandos ou solicita informações. Para obter mais informações sobre Gerenciamento de Dispositivos Móveis, acesse Apple Inc. Todos os direitos reservados. Apple, o logotipo da Apple, FaceTime, ipad, iphone, itunes e Safari são marcas comerciais da Apple Inc., registradas nos Estados Unidos e em outros países. icloud e itunes Store são marcas de serviço da Apple Inc., registradas nos Estados Unidos e em outros países. App Store é marca de serviço da Apple Inc. A marca e os logotipos Bluetooth são marcas registradas que pertencem à Bluetooth SIG, Inc. e são utilizados pela Apple sob licença. UNIX é marca registrada do The Open Group. Os demais nomes de produtos e de empresas aqui mencionados são marcas comerciais das suas respectivas empresas. As especificações dos produtos estão sujeitas a mudanças sem aviso prévio. Outubro de 2011 L422501B