MDM, cihazları uzaktan yapılandırmayı ve denetlemeyi sağlayan bir yönetim katmanıdır. Adında “mobil” geçse de bugün masaüstü işletim sistemlerini de aynı mekanizmayla yönetir; ayrım giderek anlamsızlaşmıştır.
Nasıl çalışır
Model, klasik alan adı yönetiminden farklıdır ve farkı bilmek çoğu yanlış beklentiyi önler.
Cihazda sürekli çalışan bir aracı yoktur. Bunun yerine işletim sisteminin kendi yönetim istemcisi kullanılır; üretici tarafından sağlanır ve sistemin içindedir.
Yönetim sunucusu cihaza doğrudan bağlanmaz. Bir bildirim gönderir — “benimle konuş” der — ve cihaz dışa doğru bağlanıp yapılacakları alır.
Bunun iki önemli sonucu vardır. Cihaz iç ağda olmak zorunda değildir; internet üzerinden yönetilir. Ve cihaz kapalıysa ya da bildirim ulaşmadıysa komut hemen uygulanmaz, sıradaki bağlantıda uygulanır.
İkincisi, “cihazı sildim ama hâlâ duruyor” durumunun açıklamasıdır. Silme komutu kuyruktadır; cihaz açılıp bağlanana kadar bekler.
Alan adı yönetimiyle karşılaştırması grup ilkesi nedir yazısı okunarak netleşir.
Kayıt: her şey buradan başlar
Bir cihazın yönetime alınması “kayıt” adı verilen adımla olur ve kaydın nasıl yapıldığı, sonradan neyin mümkün olacağını belirler.
Kullanıcı tarafından yapılan kayıt, kişinin kendi cihazını gönüllü olarak eklemesidir. Kullanıcı istediğinde kaydı kaldırabilir. Kişisel cihazlar için uygundur.
Kurumsal kayıt, cihazın satın alma aşamasında kurumun hesabına bağlanmasıyla yapılır. Cihaz kutudan çıkıp ilk açıldığında otomatik olarak yönetime girer ve kullanıcı bunu atlayamaz.
Aradaki fark kritiktir: ikinci yöntemde cihaz sıfırlansa bile yönetime geri döner. Birincisinde sıfırlama, yönetimden çıkmak demektir.
Bu yüzden kurumun satın aldığı her cihaz, satın alma sürecinde kurumsal kayda bağlanmalıdır. Sonradan bağlamak, cihazı sıfırlamayı gerektirir.
Profil ne yapar
Yapılandırma, cihaza gönderilen profiller aracılığıyla uygulanır. Her profil bir konuyu kapsar: kablosuz ayarları, sertifika, posta hesabı, VPN, parola kuralları, kısıtlamalar.
Profillerin gücü, işletim sisteminin izin verdiği kadardır. Bu sınır önemlidir ve sık yanlış anlaşılır: MDM, işletim sisteminin sunmadığı bir denetimi ekleyemez.
Somut örnek: kişisel bir iPhone’da kurumun kişisel fotoğrafları görmesi mümkün değildir — çünkü sistem böyle bir yetenek sunmaz. Kullanıcıya bunu net söylemek, benimsemeyi doğrudan artırır.
Kablosuz profillerinin neden elle değil profille dağıtılması gerektiği 802.1X ile kurumsal kablosuz yazısında.
Uyumluluk ile yapılandırma farkı
İki kavram karıştırılır ve karıştırıldığında güvenlik modeli çalışmaz.
Yapılandırma, cihaza bir ayarı dayatır: parola en az sekiz karakter olsun, şifreleme açık olsun.
Uyumluluk, cihazın durumunu değerlendirir: şifreleme açık mı, işletim sistemi sürümü yeterli mi, cihaz kurcalanmış mı?
Uyumluluk tek başına bir şey yapmaz; değeri, bir erişim kararına bağlandığında ortaya çıkar. Uyumsuz cihaz kurumsal veriye erişemez.
Bu bağlantı kurulmadığında elinizde yalnızca bir rapor olur. Kurulumu koşullu erişimi rapor modundan yayına geçirmek rehberinde; çerçevesi sıfır güven nedir yazısında.
Kullanıcı ne görüyor
Benimseme sorunlarının çoğu teknik değil, iletişim kaynaklıdır. Kullanıcı, kurumun cihazında ne görebildiğini bilmediğinde en kötüsünü varsayar.
Cihaz yönetim ekranı, uygulanan profilleri ve kısıtlamaları kullanıcıya gösterir. Bunu bir belgeyle desteklemek — kurum neyi görür, neyi göremez — çağrı sayısını belirgin biçimde düşürür.
Şeffaflığın ikinci faydası hukukidir: kişisel veri işlendiğine dair bilgilendirme zaten yapılmak zorundadır.
Nereden başlanır
Sırayı şöyle kurmak, en az sürtünmeyle sonuç verir.
Önce envanter: kaç cihaz var, kimin, hangi platformda. Sonra bir pilot grupla temel profilleri uygulayın: parola, şifreleme, kablosuz ve posta.
Ardından uyumluluk kurallarını önce raporlama kipinde açın; kaç cihazın uyumsuz olduğunu görmeden zorlamaya geçmeyin.
Son adım, uyumluluğu erişim kararına bağlamaktır — ve bir kaçış yolu bırakarak. Herkesi aynı gün dışarıda bırakan bir kural, geri alınmak zorunda kalır.
Kademeli yayına almanın genel karşılığı Windows güncelleme halkaları yazısında.
Aynı cihazda iki yönetim olmaz
Sık karşılaşılan ve teşhisi zor bir sorun, bir cihazın birden çok yönetim sistemine kayıtlı olmasıdır.
Birleşme sonrası devralınan filolar, sağlayıcı değişikliği yaşamış ortamlar ve eski bir pilot çalışmadan kalan kayıtlar bunun tipik kaynağıdır. Belirti, profillerin birbirini ezmesi ve kısıtların açıklanamayan biçimde değişmesidir.
İşletim sistemleri genelde tek bir yönetim kaydına izin verir; ikinci kayıt ya reddedilir ya da birincisini geçersiz kılar. Bu yüzden göç planında eski kayıtların kaldırılması ayrı bir adım olarak yer almalıdır.
Kısaca
MDM, işletim sisteminin kendi yönetim istemcisi üzerinden çalışır; cihaz iç ağda olmak zorunda değildir ve komutlar cihaz bağlandığında uygulanır.
Belirleyici karar kayıt türüdür: kurumsal kayıtla giren cihaz sıfırlansa da yönetimde kalır. Ve uyumluluk, bir erişim kararına bağlanmadığı sürece yalnızca bir rapordur.