Servicio de notificaciones push de Apple (APNs)

El servicio de notificaciones push de Apple (APNs) es el protocolo de MDM que ha creado Apple para administrar sus dispositivos. Es necesario que el proveedor de MDM tenga un certificado de APNs válido configurado y que enrute todos los comandos a través de los servidores de mensajería de la nube centrales de Apple.

Al iniciar un comando de APNs, se producen las siguientes acciones:

• Cuando se inscribe un dispositivo iOS, se genera un token de APNs que está conectado a un dispositivo específico. El token generado lo reconocen tanto la consola de Workspace ONE UEM como los servidores de APNs.
• Una vez inscrito, el dispositivo siempre (si lo permite la conectividad) muestra una conexión activa a los servidores de APNs de Apple.
• Cuando se inicia un comando en la consola de UEM (como una inserción de perfil o un comando de bloqueo del dispositivo), se producen los siguientes pasos:
  • Se almacena una entrada en la cola de comandos del dispositivo en la base de datos de UEM. La entrada contiene un ID específico asociado al tipo de comando iniciado.
  • El servidor de UEM (los servicios de consola o de dispositivo, según el lugar desde donde se inicie el comando), accede a los servidores de APNs con el token de APNs asociado a ese dispositivo específico.
• El servidor de APNs valida el token e informa al dispositivo para que se conecte al servidor de MDM para recibir un comando.
• El dispositivo se conecta al servidor de servicios de dispositivos. Al establecer esta conexión, el dispositivo recibe todos los comandos pendientes de la cola de comandos de dispositivo.

Certificado de servicios de notificaciones push de Apple (APNs)

Para administrar dispositivos iOS, primero debe obtener un certificado de servicio de notificaciones push de Apple (APN). Un certificado de APN permite la comunicación segura entre UEM Console y los dispositivos de Apple, así como enviar información a UEM Console.

Según lo establecido por el Enterprise Developer Program de Apple, el certificado de APNs tiene una validez de un año, fecha tras la cual se deberá renovar. La consola de UEM envía recordatorios a través de Notificaciones a medida que la fecha de caducidad se aproxima. El certificado actual se revocará en cuanto lo renueve desde el portal Apple Development Portal. Esto impide que pueda administrar dispositivos hasta que no cargue el nuevo certificado. Tenga prevista la carga del certificado justo después de renovarlo. Considere la opción de usar un certificado diferente para cada entorno si utiliza entornos de producción y prueba independientes.

Flujo de trabajo del servicio de notificaciones push de Apple

Debe conocer cómo funciona el flujo de trabajo de back-end del servicio de notificaciones push de Apple antes de iniciar la administración de MDM en los dispositivos Apple.

1. El administrador del sistema realiza de forma remota acciones de MDM, como bloquear el dispositivo, borrar el código de acceso del dispositivo, borrar el dispositivo y terminar MDM desde UEM Console.

   Se pondrá en cola una notificación en FastLaneAPNsOutBound, que selecciona el servicio de mensajería de Workspace ONE y envía al servidor de APNs. Más adelante, se pone en cola un comando en AWEventLog y, a continuación, lo selecciona el servicio EntityChangeQueueMonitor. Este servicio pone en cola el comando en el servidor de base de datos de Workspace ONE.

2. El dispositivo siempre tiene una conexión activa con APNs. Toda la comunicación con APNs es entrante y se está comprobando constantemente con APNs. Los servidores permiten al dispositivo saber si MDM está esperando un comando para el dispositivo.

3. Una vez que el dispositivo recibe la notificación push, se registra en el servidor de servicios del dispositivo Workspace ONE.

4. El servidor de servicios de dispositivos comprueba si hay algún comando en la cola de ese dispositivo concreto (según el valor DeviceID) en el servidor de base de datos de Workspace ONE.

5. El servidor de servicios de dispositivos extrae el comando que ya está en cola para ese dispositivo del servidor de la base de datos de Workspace ONE.

6. El servicio del dispositivo genera un XML y lo envía al dispositivo. El MDM Agent nativo (perfil de MDM instalado en el dispositivo) realiza la acción necesaria en el dispositivo.