Sophos Mobile: ustawienia blokady aktywacji i nazwy urządzenia na iPhonie i iPadzie

W Setup > Apple setup > iOS & iPadOS znajdują się dwa różne ustawienia: Activation Lock bypass dotyczy kodu obejścia blokady aktywacji Apple na nadzorowanych iPhone’ach i iPadach, a Synchronize device name określa, czy Sophos Mobile przejmuje nazwę nadaną urządzeniu przez użytkownika. Są to ogólne ustawienia Apple, a nie profile rejestracji w Apple Business ani polecenie odblokowania konkretnego urządzenia.

Przed przekazaniem lub wymazaniem urządzenia: Przy blokadzie aktywacji powiązanej z użytkownikiem kod obejścia pochodzi z urządzenia, natomiast przy blokadzie powiązanej z organizacją tworzy go usługa zarządzania urządzeniami (MDM). Ustawienie Sophos dotyczy przesyłania kodu z nadzorowanych urządzeń; nie wynika z niego, że kod MDM dla blokady powiązanej z organizacją jest przechowywany w Sophos Mobile. Przed zmianą stanu konkretnego urządzenia sprawdzić i udokumentować rodzaj blokady, pochodzenie kodu, jego bezpieczne przechowywanie oraz zatwierdzony sposób odblokowania; jeśli brak takich potwierdzeń, wstrzymać wymazanie lub przekazanie urządzenia i wyjaśnić sprawę z osobą odpowiedzialną za urządzenie. Samo włączenie opcji nie dowodzi, że kod obejścia dla tego urządzenia jest dostępny w Sophos Mobile. Najpierw sprawdzić wpis konkretnego urządzenia i jego stan zarządzania. Release from Organization, usunięcie z zarządzania, zresetowanie urządzenia i wyłączenie blokady aktywacji to odrębne czynności; ta strona nie opisuje procedury zwolnienia ani odzyskiwania urządzenia.

Activation Lock bypass dla nadzorowanych urządzeń

Po zresetowaniu urządzenia blokada aktywacji Apple może uzależniać jego ponowną aktywację od konta Apple poprzedniego użytkownika. Według Sophos nadzorowane urządzenia z włączoną blokadą aktywacji wysyłają kod obejścia do Sophos Mobile, gdy to ustawienie jest włączone. Kod może pomóc przy późniejszej ponownej aktywacji, jeśli poprzednie konto Apple jest niedostępne. Nie każdy zarejestrowany iPhone lub iPad jest automatycznie nadzorowany: przed planowaniem działań sprawdzić status nadzoru danego urządzenia.

1. W Sophos Mobile Admin otworzyć Setup > Apple setup > iOS & iPadOS i sprawdzić ustawienie Activation Lock bypass. Do zmiany ustawień wymagana jest rola Administrator w Sophos Mobile (w Sophos Fusion: Super Admin lub Admin); rola Helpdesk nie pozwala na ustawianie opcji. Włączyć je dopiero po zatwierdzeniu opisanej poniżej procedury przechowywania kodów i dostępu do nich.
2. Po włączeniu ustawienia dane urządzenie musi ponownie zsynchronizować się z Sophos Mobile. Kod wygenerowany przez iPhone’a lub iPada można pobrać z urządzenia przez najwyżej 15 dni od objęcia go po raz pierwszy nadzorem, chyba że usługa zarządzania urządzeniami wcześniej pobrała kod na wyraźne żądanie i usunęła go z urządzenia. Jeśli kod nie zostanie pobrany w tym okresie, później nie można już pobrać go z urządzenia. Jest to określony przez Apple termin pobrania kodu z urządzenia, a nie moment ani okres jego przechowywania przez Sophos Mobile. Późne włączenie opcji i następująca po nim synchronizacja nie dowodzą, że kod można pobrać z urządzenia nadzorowanego już od dłuższego czasu. Nie należy zakładać, że urządzenie już usunięte z zarządzania lub zresetowane może później przekazać kod.
3. Dla konkretnego urządzenia sprawdzić w Devices > [urządzenie] > Device properties, czy dostępna jest właściwość ActivationLockBypassCode. Przed zresetowaniem urządzenia, usunięciem go z zarządzania, przekazaniem lub migracją MDM potwierdzić dla tego urządzenia, że użyteczny kod został już bezpiecznie zabezpieczony i jest dostępny do wykorzystania w zatwierdzonym trybie; nie wystarczy włączona opcja ani sama synchronizacja. Traktować wartość kodu jak dane dostępowe: nie umieszczać jej w zgłoszeniach, zrzutach ekranu ani ogólnodostępnych eksportach. Sama obecność właściwości nie oznacza, że przeprowadzono test aktywacji.

Zatwierdzić przechowywanie kodów przed włączeniem opcji i zmianą sposobu zarządzania: Osoba odpowiedzialna za urządzenia musi przed włączeniem opcji oraz przed wycofaniem urządzeń z zarządzania lub migracją MDM pisemnie zatwierdzić procedurę określającą: upoważnione role i osoby mogące pobierać i wykorzystywać kody, miejsce przechowywania z ograniczonym dostępem i zabezpieczoną kopię zapasową, rejestrowanie i regularne przeglądy dostępu, uzasadnione zasady przechowywania i usuwania oraz odpowiedzialność i bezpieczny sposób przekazania kodów przy zmianie usługi. Przy zmianie usługi MDM należy przenieść zabezpieczone kody i kopie zapasowe dla wszystkich objętych zmianą zarejestrowanych urządzeń lub zlecić usunięcie ich blokad aktywacji w zatwierdzony sposób. Przed każdą zmianą potwierdzić dla danego urządzenia rzeczywistą dostępność kodu i zatwierdzony sposób uzyskania do niego dostępu; jeśli nie ma potwierdzonej ścieżki, wstrzymać zmianę i wyjaśnić sprawę z osobą odpowiedzialną za urządzenia. Wartości kodów i ich kopii nie umieszczać na tej stronie ani w dokumentacji kontroli. Nie potwierdzono tutaj okresu przechowywania ani sposobu eksportowania i usuwania kodów w Sophos Mobile; nie traktować wyłączenia opcji ani zmiany MDM jako gwarancji usunięcia lub przeniesienia kodów.

Jeśli właściwości brakuje, najpierw sprawdzić nadzór, stan blokady aktywacji i synchronizację po włączeniu ustawienia. Nie inicjować resetowania ani zwolnienia urządzenia w ramach testu. Apple rozróżnia blokady aktywacji powiązane z użytkownikiem i z organizacją: w tabeli działań Apple Business bezpośrednie wyłączenie blokady powiązanej z użytkownikiem przez usługę zarządzania urządzeniami oznaczono jako Nie, a wyłączenie jej przez Apple Business po spełnieniu wymagań — jako Tak. Nie oznacza to ogólnego zakazu obejścia blokady przez MDM: według przewodnika wdrażania Apple usługa zarządzania urządzeniami może również zdalnie usunąć blokadę powiązaną z użytkownikiem, korzystając z kodu obejścia wcześniej pobranego z nadzorowanego urządzenia i przechowywanego przez tę usługę. Kod można też wykorzystać bezpośrednio na urządzeniu. Nie wynika stąd, że Sophos udostępnia w danym przypadku taką zdalną metodę wykorzystania kodu. Udokumentowana przez Sophos akcja Actions > Remove Activation Lock wymaga, aby urządzenie nadal było zarejestrowane w Sophos Mobile, i według Sophos nie działa na urządzeniach z co najmniej dwoma gniazdami SIM/eSIM, w tym na obecnych modelach iPhone’a. Nie należy utożsamiać tej akcji z użyciem kodu obejścia. Właściwy sposób wybrać wyłącznie na podstawie stanu konkretnego urządzenia i za zgodą organizacji.

Ważne w Apple Business: Według Apple wyłączenie tam blokady aktywacji wymaga, aby organizacja dodała urządzenie do Apple Business przed włączeniem blokady i nie zwolniła go; niezbędna jest również rola uprawniająca do usuwania blokady aktywacji. Aby użyć Release from Organization w interfejsie Apple Business, zalogowany użytkownik potrzebuje osobnej roli uprawniającej do zwalniania urządzeń. Nie jest to jedyna możliwa droga zwolnienia: według Apple powiązana usługa zarządzania urządzeniami również może zwalniać urządzenia bez logowania do Apple Business, o ile włączono w niej opcję zwalniania; podczas dodawania usługi opcja ta jest domyślnie włączona, ale można ją odznaczyć. Zwolnienia może też dokonać autoryzowany sprzedawca Apple. Brak uprawnień do zwalniania u zalogowanego użytkownika nie wyklucza tych innych możliwości. To, czy zwolnienie przez usługę jest faktycznie dozwolone i zatwierdzone przez organizację, należy ocenić w ramach odrębnie zatwierdzonej procedury wycofania lub zwolnienia urządzenia; nie należy tutaj uruchamiać automatycznego zwolnienia ani zmieniać konfiguracji usługi. Po zwolnieniu urządzenia Apple Business nie może już zarządzać jego blokadą aktywacji. Według Apple zwolnione urządzenie można ponownie dodać w osobnej procedurze; nie cofa to zwolnienia ani nie utrzymuje w międzyczasie możliwości zarządzania blokadą. Nie traktować zwolnienia jako rzekomego sposobu naprawy braku właściwości kodu obejścia. Późniejsze wyłączenie tutaj opcji Activation Lock bypass również nie jest potwierdzonym sposobem cofnięcia już aktywnych blokad i nie gwarantuje ani usunięcia wcześniej otrzymanego kodu, ani późniejszego odblokowania. Takie przypadki rozpatrywać indywidualnie z upoważnionymi osobami odpowiedzialnymi za urządzenie, zanim zmieni się jego stan.

Świadomy wybór ustawienia Synchronize device name

Gdy Synchronize device name jest włączone, Sophos Mobile używa nazwy nadanej urządzeniu przez użytkownika. Gdy ustawienie jest wyłączone, Sophos Mobile używa nazwy nadanej podczas rejestracji urządzenia. Dotyczy to nazewnictwa w ewidencji zarządzanych urządzeń, a nie blokady aktywacji.

W spisach urządzeń ze stałym schematem nazewnictwa bardziej przydatna może być niezmienna nazwa z rejestracji; jeśli liczy się zgodność z nazwą faktycznie wyświetlaną na urządzeniu, lepsza może być synchronizacja. Po dokonaniu wyboru porównać nazwę w odpowiednim wpisie urządzenia z oczekiwaną i w razie rozbieżności najpierw sprawdzić, jaką nazwę zapisano podczas rejestracji oraz czy urządzenie zsynchronizowało się od czasu zmiany. Samo to ustawienie nie oznacza zmiany nazwy urządzenia w iOS ani iPadOS.

Zakres weryfikacji: Opisane pozycje menu i właściwości pól potwierdza dokumentacja producenta, lecz nie zostały one sprawdzone w praktyce w środowisku Sophos Mobile ani na urządzeniu. W szczególności nie zweryfikowano tutaj skutków późniejszego wyłączenia opcji obejścia, okresu przechowywania już pobranego kodu ani skutecznej ponownej aktywacji.