Sophos Mobile: APNs-Zertifikat sicher zuordnen und rechtzeitig erneuern

Die folgenden Schritte setzen eine Prüfung der Voraussetzungen und der Zertifikatsidentität im konkreten Mandanten voraus; ein erfolgreicher Zertifikatswechsel an einem Mandanten oder Gerät ist damit nicht nachgewiesen. Vor einem Eingriff prüfen, ob der Mandant eine Sophos-Mobile- oder Sophos-Mobile-Device-Management-Lizenz für die Geräteverwaltung hat und die handelnde Person in Sophos Mobile als Administrator für Setup > Apple setup > APNs autorisiert ist (Sophos-Fusion-Rolle Admin oder Super Admin). Helpdesk- oder Nur-Lesen-Zugriff und eine reine Mobile-Threat-Defense-Lizenz reichen nicht. Die Zuständigkeit für das ursprüngliche Apple-Konto separat klären: Apple-Kontozugriff ersetzt keine Sophos-Administratorberechtigung. Vor jeder Erneuerung zuerst das bestehende Topic und das ursprüngliche Apple-Konto abgleichen. Dieser Text betrifft nur das APNs-Zertifikat für die Verwaltung von iPhones, iPads und Macs mit Sophos Mobile; Apple-Business-Registrierungs- und Apps-und-Bücher-Token, TLS-/SCEP-Zertifikate sowie die eigenständige Mobile-Threat-Defense-App sind nicht Gegenstand dieses Artikels. Sophos nennt eine Gültigkeit von einem Jahr. Die Erneuerung deshalb vor Ablauf mit der zuständigen Kontoverantwortung planen.

Vor der Erneuerung: die bestehende Identität abgleichen

1. Den betroffenen Sophos-Mobile-Mandanten und das Ablaufdatum erfassen. In Sophos Fusion > My Products > Mobile > Setup > Apple setup > APNs den Wert Topic des bereits hinterlegten Zertifikats notieren.
2. Im Apple Push Certificates Portal mit dem ursprünglich für dieses Zertifikat verwendeten Apple Account anmelden. Für den betreffenden Eintrag unter Certificate Info > Subject DN den Wert nach UID= ablesen: Er muss mit dem Sophos-Topic übereinstimmen. Name oder E-Mail-Adresse allein sind kein Ersatz für diesen Abgleich. Falls sich die Konto-E-Mail geändert hat, die Kontinuität der tatsächlichen Kontoidentität gesondert klären.
3. Kein passender Eintrag oder kein Zugriff auf das ursprüngliche Konto? Anhalten. Weder einen anderen Eintrag auf Verdacht erneuern noch ein neues APNs-Zertifikat hochladen. Zuerst Konto-/Zertifikatszuordnung mit den zuständigen Apple- und Sophos-Supportwegen für diesen Mandanten klären.

Gleiches Zertifikat erneuern – nicht neu anlegen

Die von Sophos dokumentierte Erneuerung betrifft ein bald ablaufendes Zertifikat und setzt den obigen Identitätsabgleich voraus:

1. Setup > Apple setup > APNs > APNs certificate wizard > Renew my APNs certificate wählen und eine neue apple.csr herunterladen. Auf der Apple ID-Seite das angezeigte Konto mit der zuvor geklärten ursprünglichen Kontoidentität abgleichen; bei ungeklärter Abweichung anhalten.
2. Beim zugeordneten bestehenden Zertifikat im Apple-Portal Renew wählen und diese CSR hochladen.
3. Das erneuerte .pem herunterladen, in Sophos Mobile hochladen und Save wählen. Zugangsdaten und Zertifikatsdateien geschützt behandeln.

Create a new APNs certificate ist laut Sophos für die erstmalige Einrichtung ohne bereits hochgeladenes Zertifikat gedacht, nicht als Ersatz für die Erneuerung.

Stopp bei Topic-Abweichung: Zeigt Sophos beim Speichern eine Warnung, dass das Topic des neuen Zertifikats nicht zum alten passt, Dialog abbrechen, nicht bestätigen; die Zuordnung klären. Sophos warnt ausdrücklich: Bei Bestätigung sind bestehende iPhones, iPads und Macs nicht mehr verwaltbar und müssen erneut registriert werden. Auch das Entfernen des APNs-Zertifikats ist keine Reparatur: Laut Sophos werden damit noch verwaltete Apple-Geräte unverwaltet und müssen erneut registriert werden.

Ablauf und Nachprüfung: keine Wiederherstellungsgarantie

Wenn bereits abgelaufen: Apple beschreibt, dass Clients dann keine MDM-Updates mehr empfangen, bis ein aktualisiertes Zertifikat im MDM installiert ist. Vor einem Upload klären, ob der ursprüngliche Portaleintrag im konkreten Fall noch erneuert werden kann und das Topic übereinstimmt. Ist das ursprüngliche Konto nicht zugänglich oder stimmt das Topic nicht, anhalten und den konkreten Mandantenfall eskalieren. Ein allgemeines 30-Tage-Zeitfenster, eine garantierte Wiederherstellung, ein Kontotransfer oder ein Rollback nach falschem Upload sind nicht belegt. Erneute Registrierung nur nach gesonderter Folgenabschätzung planen, nicht pauschal aus jedem Ablauf ableiten.

Nach einem regulären Speichern die Zertifikatsdetails und das neue Ablaufdatum in der Sophos-APNs-Ansicht sowie die Topic-Übereinstimmung zum ursprünglichen Portaleintrag prüfen. Für eine betriebliche Freigabe ist darüber hinaus ein harmloser, autorisierter MDM-Status-/Lesevorgang an einem Pilotgerät mit tatsächlicher Geräterückmeldung erforderlich; ein erfolgreicher Upload allein belegt keine wiederhergestellte Geräteverwaltung. Die Sophos-Mobile-Control-Funktion Check APNs misst auf iPhone/iPad nur die Erreichbarkeit des APNs-Servers (erwartete Antwortzeit höchstens fünf Sekunden), nicht die Zertifikatsidentität oder einen Mac-Test. Weder ein Mandant noch ein Gerät wurde für diesen Beitrag geprüft.