Aktualisieren Sie ein abgelaufenes iOS MDM-Profil

Question

Also habe ich den SCEP-Server eingerichtet, um ein iOS-Identitätszertifikat zu generieren, das nur für kurze Zeit gültig ist. Wenn es abläuft, zeigt das Profil die Meldung "Dieses Profil ist abgelaufen. Aktualisieren Sie dieses Profil für eine neuere Version" und präsentiert eine Schaltfläche "Profil aktualisieren".

Wenn ich jedoch auf diese Schaltfläche klicke, erhalte ich einfach die Meldung "Profil konnte nicht aktualisiert werden. Bitte kontaktieren Sie Ihren Netzwerkadministrator". Es wird kein Versuch unternommen, entweder den MDM-Dienst oder den SCEP-Dienst zu kontaktieren, und es erscheinen keine Anzeichen von MDM-Aktivität oder Fehlern im Protokoll.

Die erneute Anmeldung des Geräts funktioniert einwandfrei, daher glaube ich nicht, dass es eine Lösung ist, den Netzwerkadministrator anzurufen. Wie aktualisieren Sie also ein abgelaufenes MDM-Profil?

Answer 1

Ich habe Probleme mit dem Profilupdate kurz vor dem Ablauf des Zertifikats auf iOS 6.1.3, aber auf iOS 7 funktioniert alles einwandfrei. Wenn das Zertifikat innerhalb von 14 Tagen abläuft, erscheint auf dem MDM-Profil die Schaltfläche "Profil aktualisieren". Der Status des Profils lautet immer "Profil ist abgelaufen", daher ist die Apple-Dokumentation nicht korrekt, der Status ist niemals "läuft bald ab". Auf iOS 7 kann ich das Profil aktualisieren, es erfolgt tatsächlich eine automatische Neu-Registrierung. Auf iOS 6.1.3 gibt es immer den Fehler "Profil konnte nicht aktualisiert werden. Bitte kontaktieren Sie Ihren Netzwerkadministrator", und es gibt keine Spur von Netzwerkaktivitäten vom Gerät.

Irgendwelche Ideen?

Vielen Dank,

Ratko

Answer 2

Ich habe vor mehr als einem Jahr mit MDM gearbeitet. Deshalb könnte ich bei einigen Details falsch liegen.

Hier ist an was ich mich erinnere:

a) Das Gerät führt zwei SCEP-Aufrufe für OTA MDM durch.

Schau dir dieses Diagramm an

Der erste SCEP-Aufruf erfolgt im Rahmen der OTA-Zertifikatanmeldung (Phase 2 im Diagramm)

Und der zweite SCEP-Aufruf wird durchgeführt, wenn OTA das Profil mit MDM- und SCEP-Payload überträgt (als Phase 3 im Diagramm).

Eine Sache, die aus deiner Frage nicht offensichtlich ist, ist, dass das Identifikationszertifikat von iOS kurzlebig ist.

b) Wenn deine MDM-Identität abgelaufen ist, erhältst du keine MDM-Befehle mehr.

c) Wenn deine OTA-Identität abgelaufen ist, kannst du keine Konfigurationen aktualisieren, die du über die Luft übertragen hast (zum Beispiel MDM).

Wenn du Zugang zum Apple Enterprise Developer Program hast, findest du dort das MDM-Dokument. Dort steht, dass du deine OTA-MDM aktualisieren musst, wenn es abläuft.

Und soweit ich mich erinnere, wenn deine OTA + MDM abgelaufen ist, hast du Pech gehabt (du hast keine andere Option als erneute Anmeldung).

Übrigens, ich glaube, es ist gängige Praxis, diese Identitäten recht lange zu verwenden (genau wegen dieser Probleme).

Wenn du besorgt bist, dass du jemanden daran hindern kannst, Updates zu empfangen, kannst du immer:

• Wipe-Befehl senden
• Alle verwalteten Konfigurationsprofile entfernen
• Identitätszertifikate widerrufen