integracja z systemami klasy MDM

Integracja z systemami klasy MDM umożliwia centralne zarządzanie dostępem do poczty na urządzeniach mobilnych.

Zakres integracji systemów klasy MDM

Integracja z systemem klasy MDM, czyli Mobile Device Management, polega na połączeniu urządzeń mobilnych z centralną platformą, która przechowuje ich rejestr i przekazuje im ustalone zasady konfiguracji. Administrator może przypisać urządzenie do użytkownika, grupy albo profilu organizacyjnego, a następnie wymagać określonych ustawień blokady ekranu, szyfrowania pamięci, aktualizacji systemu lub instalowania wskazanych aplikacji. MDM nie jest pojedynczym programem działającym identycznie na każdym telefonie i tablecie. Zakres funkcji zależy od systemu operacyjnego, producenta urządzenia oraz użytej platformy zarządzającej.

W kontekście dostępu do poczty integracja pozwala powiązać konto pocztowe z warunkami określonymi w profilu bezpieczeństwa urządzenia. System może sprawdzić, czy urządzenie zostało zarejestrowane, czy ma aktywną blokadę ekranu oraz czy korzysta z zatwierdzonej konfiguracji. Dopiero po spełnieniu tych warunków dostęp do poczty może zostać udostępniony. W przypadku utraty urządzenia administrator może zdalnie zablokować dostęp, usunąć konfigurację konta albo wydać polecenie wymazania danych, jeśli dana platforma i system operacyjny obsługują taką operację.

Rejestracja urządzenia i przekazywanie profili

Podstawą działania MDM jest proces enrolmentu, czyli rejestracji urządzenia w usłudze zarządzającej. W trakcie rejestracji urządzenie otrzymuje identyfikator, a platforma rozpoznaje jego system operacyjny, model oraz stan zarządzania. Następnie instalowany jest profil zarządzający albo aktywowany jest mechanizm systemowy przeznaczony do odbierania poleceń administracyjnych. Komunikacja nie polega zwykle na ciągłym przesyłaniu pełnej konfiguracji. Platforma wysyła powiadomienie o dostępności zadania, a urządzenie pobiera szczegóły profilu przez uwierzytelniony kanał komunikacyjny.

Profil MDM może zawierać ustawienia konta pocztowego, wymagania dotyczące kodu blokady, certyfikaty, konfigurację sieci bezprzewodowej, reguły korzystania z aplikacji oraz ograniczenia funkcji urządzenia. Przy konfiguracji poczty istotne są między innymi adres serwera, typ używanego uwierzytelniania, nazwa użytkownika i sposób przekazania danych konfiguracyjnych. Hasła nie powinny być wpisywane do profilu w postaci jawnej, jeśli platforma udostępnia bezpieczniejszy mechanizm pobierania poświadczeń lub wykorzystuje logowanie federacyjne. Błędny profil może skutkować brakiem synchronizacji, wielokrotnymi monitami o hasło albo zablokowaniem aplikacji pocztowej.

Kontrola dostępu do poczty na urządzeniach mobilnych

MDM może współpracować z mechanizmem zarządzania dostępem warunkowym, ale te funkcje nie są tym samym. MDM odpowiada przede wszystkim za stan i konfigurację urządzenia, natomiast system kontroli dostępu ocenia, czy żądanie logowania spełnia wymagania ustalone dla konta, aplikacji lub zasobu. Połączenie obu mechanizmów pozwala uzależnić dostęp do poczty od rejestracji urządzenia, zgodności z profilem oraz aktualnego stanu zabezpieczeń. Gdy urządzenie zostanie wyrejestrowane albo oznaczone jako niezgodne, dostęp może zostać ograniczony niezależnie od tego, czy konto użytkownika nadal istnieje.

Ważnym elementem jest rozróżnienie danych służbowych od prywatnych. Na urządzeniach obsługujących profil roboczy lub kontener aplikacyjny polityka może dotyczyć wyłącznie zarządzanej aplikacji pocztowej i jej danych. Na innych urządzeniach administrator otrzymuje szerszy zakres kontroli nad konfiguracją systemu. Sposób działania zależy od modelu zarządzania wybranego dla danego systemu operacyjnego. W praktyce należy sprawdzić, czy urządzenie zostało zarejestrowane jako firmowe, prywatne czy współdzielone, ponieważ ten wybór wpływa na zakres dostępnych poleceń, możliwość usunięcia profilu i zachowanie danych po zakończeniu rejestracji.

Diagnostyka problemów z profilem MDM

Analizę problemu zaczyna się od ustalenia, na którym etapie występuje błąd: rejestracji urządzenia, pobierania profilu, zastosowania zasad, uwierzytelnienia czy synchronizacji poczty. Jeżeli rejestracja nie dochodzi do skutku, należy sprawdzić połączenie internetowe, poprawność kodu lub odnośnika enrolmentu, datę i godzinę urządzenia oraz istnienie przypisania użytkownika do właściwego profilu. Gdy profil jest widoczny, ale ustawienia nie działają, trzeba porównać jego wymagania z możliwościami konkretnego systemu operacyjnego i wersji oprogramowania urządzenia.

Problemy z pocztą mogą wynikać z konfliktu między ręcznie dodanym kontem a kontem utworzonym przez MDM, niezgodnych metod uwierzytelniania, wygasłego certyfikatu albo niespełnionego warunku dostępu. Pomocne są dzienniki platformy MDM, status zgodności urządzenia oraz logi aplikacji pocztowej. Należy również sprawdzić, czy użytkownik ma uprawnienie do korzystania z konta i czy profil nie został wycofany. W przypadku wymiany urządzenia stare przypisanie powinno zostać zamknięte zgodnie z procedurą platformy, ponieważ pozostawiona rejestracja może powodować duplikaty, błędne profile lub odrzucanie nowego urządzenia.