Der Apple Push-Benachrichtigungsdienst (APN) ist das von Apple erstellte MDM-Protokoll zur Verwaltung von Apple-Geräten. Es erfordert, dass der MDM-Anbieter ein gültiges APNs-Zertifikat konfiguriert hat, und leitet alle Befehle über die zentralen Cloud-Messaging-Server von Apple weiter.
Das Initiieren eines APNs-Befehls führt zu Folgendem:
Um iOS-Geräte zu verwalten, müssen Sie zuerst ein APNs-Zertifikat (Apple Push Notification Service, Apple-Push-Benachrichtigungsdienst) einholen. Ein APNs-Zertifikat ermöglicht der UEM Console, sicher mit Apple-Geräten zu kommunizieren und Informationen an die UEM Console zu übermitteln.
Laut Apple-Enterprise-Entwicklerprogramm ist ein APNs-Zertifikat ein Jahr lang gültig und muss dann erneuert werden. Die UEM-Konsole sendet Erinnerungen über die Benachrichtigungsfunktion, wenn das Ablaufdatum bevorsteht. Ihr aktuelles Zertifikat wird nach der Erneuerung im Apple Development Portal gesperrt, d.h., dass Geräte erst verwaltet werden, wenn Sie das neue Zertifikat hochgeladen haben. Planen Sie, Ihr Zertifikat sofort nach seiner Erneuerung hochzuladen. Verwenden Sie am besten für jede Umgebung ein anderes Zertifikat, falls Sie separate Produktions- und Testumgebungen einsetzen.
Machen Sie sich mit dem Backend-Workflow des Apple Push-Benachrichtigungsdienstes vertraut, bevor Sie das MDM-Management auf Apple-Geräten initiieren.
Der Systemadministrator führt Remote-MDM-Aktionen wie z. B. Gerät sperren, Gerätekennung löschen, Gerätezurücksetzung und Unterbrechungs-MDM von der UEM Console aus.
Eine Benachrichtigung wird in der Warteschlange FastLaneAPNsOutBound gespeichert, die vom Workspace ONE Messaging Service abgeholt und an den APN-Server gesendet wird. Später wird ein Befehl in die Warteschlange AWEventLog gereiht und dann vom Dienst EntityChangeQueueMonitor abgerufen. Dieser Dienst stellt den Befehl im Workspace ONE-Datenbankserver in die Warteschlange.
Das Gerät hat immer eine aktive Verbindung zu APNs. Die gesamte Kommunikation mit APNs ist eingehend und wird ständig mit APNs überprüft. Die Server lassen das Gerät wissen, wann ein Befehl auf das Gerät von MDM wartet.
Sobald das Gerät die Push-Benachrichtigung erhält, checkt es auf dem Gerätedienstserver des Workspace ONE-Geräts ein.
Der Gerätedienstserver überprüft, ob ein beliebiger Befehl in die Warteschlange für dieses bestimmte Gerät (basierend auf der Geräte-Nr.) im Workspace ONE-Datenbankserver gestellt wird.
Der Gerätedienstserver ruft den Befehl ab, der für dieses Gerät bereits vom Workspace ONE-Datenbankserver in die Warteschlange gestellt wurde.
Der Gerätedienst generiert eine XML-Datei und sendet sie an das Gerät. Der native MDM-Agent (auf dem Gerät installiertes MDM-Profil) führt dann die erforderliche Aktion auf dem Gerät aus.