MDM – סקירה כללית
ספטבמר 2022
ניהול מכשירים ניידים (MDM) מאפשר ללקוחות עסקיים ומוסדות חינוך לנהל מכשירים ניידים מרובים. בין המכשירים שהם יכולים לנהל נמנים מכשירי iPhone ו-iPad ומחשבי Mac. מחלקות IT יכולות להשתמש ב-MDM כדי להתקין פרופילי תצורה ותוכן במכשירי Apple. בנוסף, MDM עוזר לוודא שמכשירי Apple מצייתים למדיניות הארגונית. כדי לאפשר MDM, הלקוחות יצטרכו לרשום את מכשירי ה-Apple שלהם לשרת MDM עם פרופיל תצורה. פתרונות MDM זמינים מ-Apple ומספקי צד שלישי. ‘מנהל פרופילים’ הוא פתרון ה-MDM של Apple שמובנה ב-OS X Server.
ניהול אפליקציות ותוכן
הלקוחות יכולים להשתמש בפתרון ה-MDM שלהם כדי לאחזר ממכשירי Apple מידע בנוגע למכשיר, רשת, אפליקציה, תכונות מופעלות, אבטחה ומידע על תאימות.
במקרה של מכשירי אחד-לאחד (אדם אחד משתמש במכשיר אחד), צוות ה-IT של הלקוח לא יכול לראות את הגדרות החשבון האישיות של המשתמש. הצוות יכול רק לאחזר הגדרות חשבון ארגוניות ומידע שהוקצה דרך שרת MDM.
הלקוחות יכולים להשתמש בפתרון ה-MDM שלהם כדי לשלוח פקודות מנהליות למכשירים מנוהלים ללא אינטראקציה מצד המשתמשים. לדוגמה, אם מכשיר של משתמש מסוים אבד או נגנב, הלקוח יכול לנעול את המכשיר מרחוק או למחוק את תוכנו מרחוק כדי להגן על נתונים ארגוניים.
עם פתרון MDM, הלקוחות יכולים להגן עוד יותר על נתונים ולספק לארגון שלהם חוויית משתמש טובה יותר. במכשירי אחד-לאחד, הלקוחות יכולים להשתמש בהגבלת הניהול של ‘פתיחה באמצעות’ כדי לשלוט בשיתוף של נתונים ארגוניים. לדוגמה, אם משתמש ינסה לפתוח קובץ מצורף מדוא"ל ארגוני באפליקציה אישית (שאינה מנוהלת), הקובץ לא ייפתח. אם משתמש ינסה לפתוח את הקובץ המצורף באפליקציה מנוהלת, הוא ייפתח. הלקוחות יכולים גם למנוע מאפליקציות מנוהלות לבצע גיבוי ב-iCloud וב-iTunes, באמצעות ההגבלה ‘מניעת גיבוי’.
יצירת מצייני מיקום של מכשירים
הלקוחות יכולים להשתמש במצייני מיקום של מכשירים כדי לאכלס מראש רשומות וקבוצות של מכשירים בהגדרות פרופיל. רשומת מציין מיקום נוצרת על סמך המספר הסידורי של המכשיר, מזהה המכשיר הייחודי (UDID), המזהה הבינלאומי של המכשיר הנייד (IMEI) או מזהה הציוד הנייד (MEID). כשהלקוחות רושמים מכשיר תואם, הוא מאמץ את זהות הרשומה של מציין המיקום.
אם מכשיר Apple מוסר מניהול או שהרשומה נמחקת, חשבון מציין המיקום אינו נוצר מחדש באופן אוטומטי.
במקום להוסיף מכשירים לפתרון MDM בזה אחר זה, הלקוחות יכולים להעלות קובץ טקסט בפורמט ערכים המופרדים באמצעות פסיק (CSV) המכיל את מצייני המיקום של המכשירים.
ניהול מתמשך
כשהלקוח מחיל מדיניות, אפשרות או פקודה של MDM, המכשיר של Apple מקבל התראה על הפעולה דרך שירות התראות הדחיפה של Apple (APNs). כל עוד המכשיר של Apple מחובר לרשת כלשהי, הוא יכול לקבל פקודת APNs בכל מקום בעולם. מידע סודי או קנייני אינו מועבר דרך APNs.
מכשירי Apple לא צריכים להיות ברשת הארגונית של הלקוחות כדי להתחבר לשרת ה-MDM שלהם. הלקוחות יכולים לקבוע את התצורה של שרת ה-MDM שלהם כך שהוא ישתמש באישור Secure Sockets Layer (SSL) כדי ליצור חיבור מאובטח עם מכשירים ולחתום על פרופילי תצורה. לאחר שמכשיר מקבל פקודת APNs, הוא יוצר קשר עם שרת ה-MDM באמצעות חיבור מאובטח ומקבל את המדיניות, האפשרות או הפקודה של ה-MDM שהלקוח החיל.
הורדה ידנית או דחיפה אוטומטית
כשהלקוחות מגדירים פרופילי תצורה, הם יכולים לבחור בין שני סוגים: הורדה ידנית או דחיפה אוטומטית. שני הסוגים מוקצים למכשירים או ישירות או דרך ירושה, אך הם נפרסים אל הלקוחות בדרכים שונות.
פרופילי הורדה ידנית מתפקדים בדיוק כמו ששמם מרמז. המשתמשים חייבים להתקין ידנית את פרופילי התצורה האלה במכשיר שלהם. הלקוחות שולחים את הפרופילים האלה בדוא"ל למשתמשים, או שהמשתמשים מורידים אותם מדף אינטרנט ומתקינים אותם. השירות ‘מנהל הפרופילים’ מספק פרופילים אלה להורדה בדף פורטל המכשירים לאחר אימות המשתמש. הפרופילים האלה הם סטטיים, ותוכן המנה לא מתעדכן אלא אם המשתמש מוריד אותם שוב ומתקין פרופיל מעודכן.
פרופילי דחיפה אוטומטית מופצים ללא אינטראקציה מצד המשתמש לאחר הפריסה הראשונית של הפרופיל. לאחר שמכשיר נרשם דרך דף פורטל המכשירים, התראת דחיפה מודיעה למכשיר על כל פרופיל חדש ועל כל שינוי בפרופילים קיימים. כל שינוי בהגדרות של פרופיל דחיפה אוטומטית גורר התראת לקוח.
התראת הדחיפה לא מפיצה את הפרופיל עצמו. היא מודיעה למכשיר שהוא צריך לאחזר פרופיל תצורה מעודכן ולהחיל אותו. על מנת שהתראות אלה יפעלו כשורה, הלקוחות חייבים לאפשר ל-APNs לעבור את חומת האש של הרשת שלהם.
