Sophos Mobile : identifier le bon certificat APNs et le renouveler à temps

Les étapes ci-dessous supposent une vérification préalable des conditions d’intervention et de l’identité du certificat dans le tenant concerné ; elles ne démontrent pas qu’un changement de certificat a réussi sur un tenant ou un appareil. Avant toute intervention, vérifier que le tenant dispose d’une licence Sophos Mobile ou Sophos Mobile Device Management pour la gestion des appareils, et que la personne qui intervient est autorisée dans Sophos Mobile pour Setup > Apple setup > APNs (rôle Sophos Fusion Admin ou Super Admin). Un accès Helpdesk ou en lecture seule et une simple licence Mobile Threat Defense ne suffisent pas. Déterminer séparément qui est responsable du compte Apple d’origine : l’accès à ce compte ne remplace pas les droits d’administration Sophos. Avant tout renouvellement, comparer d’abord le Topic existant et le compte Apple utilisé à l’origine. Cet article concerne uniquement le certificat APNs servant à gérer les iPhone, iPad et Mac avec Sophos Mobile ; les jetons d’inscription Apple Business et d’apps et livres, les certificats TLS/SCEP ainsi que l’application autonome Mobile Threat Defense ne sont pas abordés ici. Sophos indique une durée de validité d’un an. Il faut donc planifier le renouvellement avant l’expiration avec la personne responsable du compte.

Avant le renouvellement : vérifier l’identité existante

1. Identifier le tenant Sophos Mobile concerné et relever la date d’expiration. Dans Sophos Fusion > My Products > Mobile > Setup > Apple setup > APNs, noter la valeur Topic du certificat déjà enregistré.
2. Se connecter au Apple Push Certificates Portal avec le compte Apple utilisé à l’origine pour ce certificat. Pour l’entrée concernée, relever sous Certificate Info > Subject DN la valeur qui suit UID= : elle doit correspondre au Topic affiché par Sophos. Le nom ou l’adresse e-mail ne suffisent pas à établir cette correspondance. Si l’adresse e-mail du compte a changé, vérifier séparément qu’il s’agit bien du même compte.
3. Aucune entrée correspondante ou aucun accès au compte d’origine ? S’arrêter. Ne pas renouveler une autre entrée au hasard ni importer un nouveau certificat APNs. Clarifier d’abord l’association entre le compte et le certificat pour ce tenant auprès des services d’assistance Apple et Sophos compétents.

Renouveler le même certificat, sans en créer un autre

La procédure de renouvellement documentée par Sophos concerne un certificat dont l’expiration approche et suppose que l’identité ait été vérifiée comme indiqué ci-dessus :

1. Sélectionner Setup > Apple setup > APNs > APNs certificate wizard > Renew my APNs certificate et télécharger un nouveau fichier apple.csr. Sur la page Apple ID, comparer le compte affiché avec l’identité du compte d’origine préalablement vérifiée ; s’arrêter si une divergence reste inexpliquée.
2. Dans le portail Apple, sélectionner Renew pour le certificat existant correspondant, puis importer cette CSR.
3. Télécharger le fichier .pem renouvelé, l’importer dans Sophos Mobile et sélectionner Save. Protéger les identifiants et les fichiers de certificats.

Selon Sophos, Create a new APNs certificate sert à la première configuration lorsqu’aucun certificat n’a encore été importé, et ne remplace pas le renouvellement.

S’arrêter si les Topic diffèrent : si Sophos affiche, lors de l’enregistrement, un avertissement indiquant que le Topic du nouveau certificat ne correspond pas à celui de l’ancien, annuler la boîte de dialogue, ne pas confirmer ; clarifier l’association. Sophos avertit expressément que, si cet avertissement est confirmé, les iPhone, iPad et Mac existants ne pourront plus être gérés et devront être réinscrits. Supprimer le certificat APNs n’est pas non plus une solution : selon Sophos, les appareils Apple encore gérés deviennent alors non gérés et doivent être réinscrits.

Expiration et vérification : aucune garantie de rétablissement

Si le certificat a déjà expiré : Apple indique que les clients ne reçoivent plus les mises à jour MDM tant qu’un certificat actualisé n’est pas installé dans le MDM. Avant toute importation, vérifier si l’entrée d’origine du portail peut encore être renouvelée dans ce cas précis et si le Topic correspond. Si le compte d’origine est inaccessible ou si le Topic ne correspond pas, s’arrêter et faire remonter le cas précis de ce tenant. Aucun délai général de 30 jours, aucun rétablissement garanti, aucun transfert de compte ni aucune possibilité de revenir en arrière après l’importation d’un mauvais certificat ne sont établis. Ne planifier une réinscription qu’après une évaluation distincte de ses conséquences, sans la déduire systématiquement de toute expiration.

Après un enregistrement effectué dans les conditions normales, vérifier les détails du certificat et sa nouvelle date d’expiration dans la vue APNs de Sophos, ainsi que la correspondance du Topic avec l’entrée d’origine du portail. Pour autoriser sa mise en exploitation, il faut en outre effectuer sur un appareil pilote une opération MDM de lecture ou de consultation d’état, sans effet dommageable et dûment autorisée, avec une réponse effective de l’appareil ; une importation réussie ne prouve pas à elle seule le rétablissement de la gestion des appareils. Dans Sophos Mobile Control, la fonction Check APNs mesure uniquement, sur iPhone/iPad, l’accessibilité du serveur APNs (temps de réponse attendu de cinq secondes au maximum) ; elle ne vérifie ni l’identité du certificat ni le fonctionnement sur Mac. Aucun tenant ni appareil n’a été vérifié pour cet article.