CocoaHeads Toulouse - Septembre 2011 - Déployer et gérer i os en entreprise

Déployer et Gérer des terminaux iOS en Entreprise

Copyright (c) 2009-2011 DLTA StudioTous Droits Réservés

Version 1.51Septembre 2011

Copyright © 2010-2011 DLTA StudioTous Droits RéservésReproduction Interdite

1

Sommaire• Présentation

• Les enjeux

• Bref historique

• iOS en tant que plateforme

• Quels types de contrat ?

• iOS dans l’entreprise

• Déploiement des applications

• Déploiement des terminaux

• iTunes

• Préparation des terminaux

• Gestion/administration

• Démonstration

• ConclusionCopyright © 2010-2011 DLTA StudioTous Droits RéservésReproduction Interdite

2

Présentation

• DLTA Studio

✦ Studio de développement iPhone / Android / Windows / Linux / Mac OS X

✦ Fondée en 2009 par 2 architectes freelances capitalisant plus de 20 ans en développement Web (J2EE, .net), client lourd (C++, Windows, Cocoa, MacOS X, iOS)

✦ Accompagnement aux stratégies de déploiement & mise en production d’iPhone, iPad, iPod touch

✦ Service d’édition et de publication sur l’AppStore (11 applications sur l’AppStore, plus de 80 000 utilisateurs)

✦ Formation au développement iOS depuis 2010 en partenariat avec Valtech Training


3

2010

iPhone 42009

iPhone 3GS

Historique


2007

iPhone Edge2008

iPhone 3G

2011

iPad 22010

iPad

2010

iPod touch4G

2009

iPod touch3G

2007

iPod touch

2008

iPod touch2G

120+ millions de terminaux

4

iPhoneCopyright © 2010-2011 DLTA StudioTous Droits RéservésReproduction Interdite

iOS en tant que plateformeDepuis 2010

5

iOS en tant que plateforme

iPhoneiPod touch iPad


Depuis 2010

6

iOS dans l’entreprise depuis 2009

• Démarrage discret avec iOS 2.0, early adopters

• S2/2009 fut surtout consacré à l’AppStore et les études portent surtout sur le marketing et la communication, peu sur les applications business

• S1/2010 voit le début des tests de déploiement de iOS 3.0 entreprise et le début de l’engouement pour l’iPad, plus sensible que pour l’iPhone.

• Déploiement de masse depuis iOS 4.0, émergence des applications métiers inHouse

• iPod touch reste une plateforme matérielle encore trop souvent mise de côté malgré un rapport qualité/prix indéniable


7

Les questions qu’ils se posent

• AppStore ou inHouse ? Ou les 2 ?

• Je voudrais gérer mes terminaux comme mes BlackBerry. Est-ce possible ?

• Et la sécurité ? Que faire en cas de vol ?

• iTunes, c’est obligatoire ?

• Est-ce que je peux TOUT contrôler ? Je ne veux pas de vidéos ni de musique sur mes terminaux ?

• iPad ? iPhone ? iPod touch ?

• J’ai un technicien qui n’en peut plus de préparer à la main les terminaux. Que faire ?


La plateforme iOS propose une réponse pour chacune de ces

questions

8

AppStore, inHouse, ou les 2 ?

• Apple propose 2 types de contrat pour le déploiement :

• Developer, destiné à déployer vos applications via l’AppStore sur les terminaux de vos clients

• Enterprise, destiné à déployer vos propres applications (inHouse) sur vos propres terminaux d’entreprise

➡ 2 types de contrat pour 2 profils d’utilisateur différents

➡ L’un n’exclut pas l’autre : vous pouvez parfaitement souscrire aux 2 types de contrats. Ce ne seront pas nécessairement les mêmes équipes qui souscriront à l’un et à l’autre contrat


La suite de la présentation se focalise sur le déploiement en entreprise

9

iOS en entreprise ?

• 2 problématiques à traiter :

• Le déploiement et la gestion des applications

• Le déploiement et la gestion des terminaux

➡ La gestion des terminaux est un pré-requis au déploiement efficace des applications même si cela reste possible de manière indépendante, cela demeure très pénible et coûteux.


10

Déploiement des applications

• 3 possibilités :

• En utilisant XCode

• En utilisant l’utilitaire de configuration iPhone (iPCU)

• Depuis un serveur Web

➡ Seul la dernière possibilité est scalable et déployable


11

Déploiement des applications

• Procédure :

1. Créer le fichier IPA depuis XCode, signé avec un profil d’approvisionnement d’entreprise

2. Créer le fichier Manifest contenant les URL vers l’icône de l’application et le fichier IPA(http://developer.apple.com/library/ios/#featuredarticles/FA_Wireless_Enterprise_App_Distribution/Introduction/Introduction.html)

3. Créer une page HTML avec un lien vers le fichier Manifest, avec comme protocole itms-services : <a href="itms-services://?action=download-manifest&url=http://example.com/manifest.plist">Install App</a>

• Ce système est en général encapsulé dans une application de type AppStore dans le solutions de déploiement du commerce.


Déploiement par le Web

12

http://developer.apple.com/library/ios/#

http://developer.apple.com/library/ios/#

http://example.com

http://example.com

Déploiement des terminaux

• 3 problèmatiques à traiter

• iTunes ?

• Préparation des terminaux, configuration d’usine, masterisation

• Gestion et administration


13

iTunes• iTunes gère les terminaux des utilisateurs

➡Il doit être déployé en même temps que les terminaux

• Gestion des mises à jour de iOS

• Gestion des backups (encryptés ou non)

• Synchronisation des données utilisateurs

• Le poids d’iTunes tend à diminuer avec le temps


14

Déploiement iTunes• Installation silencieuse possible

• A déployer sur chaque poste

• Gère les mises à jour automatiques de l’OS

• Possibilité de contrôler et valider ces mises à jour depuis iTunes au travers d’un serveur d’update sous Mac OS X Server

• Possibilité d’activer/désactiver les mises à jour de iPhone OS depuis iTunes via la base de registre

• Gestion des sauvegardes/restauration du téléphone


15

Préparation des terminaux

• Création des profils de configuration

• Déploiement des profils


16

Profils de configuration

• Chaque terminal contient un ou plusieurs profils de configuration pour le paramétrage du téléphone (réseau, sécurité, etc...)

• iPhone Configuration Utility (iPCU) permet d’éditer les profiles de configuration

• Ces profils vont vous permettre de définir comment vos terminaux seront pré-configurés pour vos utilisateurs : serveur de mail, VPN, certificat, calendrier, etc...

• Des règles de sécurité (mot de passe obligatoire, etc...) et des restrictions (vidéo, AppStore) peuvent être définies

• Chaque profil forme un TOUT indissociable : Si vous forcez l’utilisation d’un mot de passe dans le profil contenant les accès au serveur de mail, ce dernier ne pourra pas pas être utilisé sans mot de passe.

• L’administrateur peut empêcher l’utilisateur de modifier ou de supprimer les profils

• Il est recommandé de signer et de crypter les profils

• Un profil de configuration est un ficher XML qui peut être généré de manière automatiséeCopyright © 2010-2011 DLTA StudioTous Droits RéservésReproduction Interdite

Création

17

Profiles de configuration

• 3 possibilités :

• Directement par câble USB via le logiciel iPCU

• Par mail

• Depuis un portail Web (mode OTA : Over The Air)

➡Le mode OTA est largement recommandé

• Permet l’authentification des utilisateurs

• Permet de générer des profils personnalisés pour chaque utilisateur

• Automatise le déploiement et la préparation des terminaux


Déploiement

18


Profils de configurationDéploiement OTA - Phase 1 (authentification)

3

6JG�WUGT�GPVGTU�VJG�74.�QH�VJG�RTQ°�NG�UGTXKEG�KP�5CHCTK�QP�K2JQPG�QT�VCRU�C�74.�UGPV�XKC�5/5��CPF�KU�RTGUGPVGF�C�NQIKP�YGDRCIG��6JG�WUGT�GPVGTU�VJGKT�WUGTPCOG�CPF�RCUUYQTF�

6JG�WUGTU�KU�CWVJGPVKECVGF�WUKPI�GKVJGT�DCUKE�*662�CWVJGPVKECVKQP�QT�XKC�GZKUVKPI�FKTGEVQT[�UGTXKEGU�

1PEG�VJG�WUGT�KU�CWVJGPVKECVGF��C�EQP°�IWTCVKQP�RTQ°�NG�KU�UGPV�VQ�VJG�WUGT��6JKU�RTQ°�NG�KPENWFGU�C�TGSWGUV�HQT�FGXKEG�CVVTKDWVGU�KPENWFKPI�VJG�FGXKEG�KFGPVK°�GT�K2JQPG�QT�K2QF�6QWEJ��15�XGTUKQP��&GXKEG�+&��+/'+��CPF�+%%+&��(QT�C�UCORNG�EQP°�IWTCVKQP�RTQ°�NG�HQT�VJKU�RJCUG��UGG�¥5GTXGT�4GURQPUG¦�QP�RCIG��QH�VJG�'PVGTRTKUG�&GRNQ[OGPV�)WKFG�

6JG�WUGT�KU�RTQORVGF�VQ�KPUVCNN�VJG�RTQ°�NG��

1PEG�VJG�EQP°�IWTCVKQP�RTQ°�NG�HTQO�2JCUG��KU�KPUVCNNGF��VJG�FGXKEG�CWVQOCVKECNN[�TGURQPFU�VQ�VJG�UGTXGT��6JG�TGURQPUG�HTQO�VJG�FGXKEG�KPENWFGU�FGXKEG�CVVTKDWVGU�CPF�C�RTG�UJCTGF�MG[�EJCNNGPIG��6JG�EJCNNGPIG�ECP�DG�WUGF�VQ�XGTKH[�VJG�KFGPVKV[�QH�VJG�WUGT�VJTQWIJ�VJG�PGZV�RJCUG�QH�VJG�RTQEGUU��6JG�TGURQPUG�KU�UKIPGF�WUKPI�VJG�FGXKEG U�DWKNV�KP�KFGPVKV[�#RRNG�KUUWGF�EGTVK°�ECVG��CPF�UGPV�VQ�VJG�UGTXGT�WUKPI�*662�2QUV�

1PEG�VJG�RTQ°�NG�UGTXKEG�TGEGKXGU�VJG�FGXKEG�TGURQPUG��C�UGEQPF�EQP°�IWTCVKQP�RTQ°�NG�YKVJ�VJG�5%'2�RC[NQCF�KU�FGNKXGTGF�VQ�VJG�FGXKEG��(QT�C�UCORNG�EQP°�IWTCVKQP�RTQ°�NG�HQT�VJKU�RJCUG��UGG�¥5GTXGT�4GURQPUG�9KVJ�5%'2�5RGEK°�ECVKQPU¦�QP�RCIG��QH�VJG�'PVGTRTKUG�&GRNQ[OGPV�)WKFG�

6JG�RTQ°�NG�KU�KPUVCNNGF�CWVQOCVKECNN[��PQ�WUGT�KPVGTXGPVKQP�TGSWKTGF��6JG�5%'2�RC[NQCF�EQPVCKPU�KPUVTWEVKQPU�HQT�VJG�FGXKEG�VQ�IGPGTCVG�C�EGTVK°�ECVG�UKIPKPI�TGSWGUV�CPF�IGV�C�EGTVK°�ECVG�WUKPI�5%'2��

1PEG�VJG�TGSWGUV�KU�XGTK°�GF��VJG�%#�VJGP�KUUWGU�VJG�EGTVK°�ECVG�HQT�VJG�FGXKEG�

Phase 1: User Authentication

2JCUG��%GTVK°�ECVG�'PTQNNOGPV

Device +PHQTOCVKQP�4GSWGUV

5%'2

(KTGYCNN

(KTGYCNN

(KTGYCNN

(KTGYCNN

%GTVK°�ECVG�5GTXKEG5%'2�'PCDNGF�


1

1 4

4

3

2

3

2

Directory Service

Directory Service

Device

5%'2

2TQ°�NG�9GD�5GTXKEG


1

1

2

2

3

3

4

4

1. L’utilisateur se connecte sur l’URL d’enregistrement avec Safari et s’authentifie avec son login/mot de passe

2. Le système vérifie l’identité de l’utilisateur sur l’annuaire d’entreprise

3. Le système envoie un profil au terminal lui demandant de renvoyer sa configuration

4. Le terminal demande à l’utilisateur de valider l’installation du profil

19


Profils de configurationDéploiement OTA - Phase 2 (inscription du certificat)

1. Une fois l’installation acceptée par l’utilisateur, le terminal envoie sa configuration au serveur

2. Le système répond en envoyant un profil permettant au terminal d’obtenir un certificat depuis un serveur SCEP. Ce certificat va permettre de crypter de manière unique les données stockées sur le terminal et servira à l’identifier de manière unique. Cette étape est optionnelle, mais fortement recommandée.

3. Le terminal installe le profil SCEP automatiquement, génère la clé privée et contacte le serveur SCEP pour obtenir le certificat.

4. Le serveur SCEP génère un certificat qui sera installé sur le terminal

3

6JG�WUGT�GPVGTU�VJG�74.�QH�VJG�RTQ°�NG�UGTXKEG�KP�5CHCTK�QP�K2JQPG�QT�VCRU�C�74.�UGPV�XKC�5/5��CPF�KU�RTGUGPVGF�C�NQIKP�YGDRCIG��6JG�WUGT�GPVGTU�VJGKT�WUGTPCOG�CPF�RCUUYQTF�

6JG�WUGTU�KU�CWVJGPVKECVGF�WUKPI�GKVJGT�DCUKE�*662�CWVJGPVKECVKQP�QT�XKC�GZKUVKPI�FKTGEVQT[�UGTXKEGU�

1PEG�VJG�WUGT�KU�CWVJGPVKECVGF��C�EQP°�IWTCVKQP�RTQ°�NG�KU�UGPV�VQ�VJG�WUGT��6JKU�RTQ°�NG�KPENWFGU�C�TGSWGUV�HQT�FGXKEG�CVVTKDWVGU�KPENWFKPI�VJG�FGXKEG�KFGPVK°�GT�K2JQPG�QT�K2QF�6QWEJ��15�XGTUKQP��&GXKEG�+&��+/'+��CPF�+%%+&��(QT�C�UCORNG�EQP°�IWTCVKQP�RTQ°�NG�HQT�VJKU�RJCUG��UGG�¥5GTXGT�4GURQPUG¦�QP�RCIG��QH�VJG�'PVGTRTKUG�&GRNQ[OGPV�)WKFG�

6JG�WUGT�KU�RTQORVGF�VQ�KPUVCNN�VJG�RTQ°�NG��

1PEG�VJG�EQP°�IWTCVKQP�RTQ°�NG�HTQO�2JCUG��KU�KPUVCNNGF��VJG�FGXKEG�CWVQOCVKECNN[�TGURQPFU�VQ�VJG�UGTXGT��6JG�TGURQPUG�HTQO�VJG�FGXKEG�KPENWFGU�FGXKEG�CVVTKDWVGU�CPF�C�RTG�UJCTGF�MG[�EJCNNGPIG��6JG�EJCNNGPIG�ECP�DG�WUGF�VQ�XGTKH[�VJG�KFGPVKV[�QH�VJG�WUGT�VJTQWIJ�VJG�PGZV�RJCUG�QH�VJG�RTQEGUU��6JG�TGURQPUG�KU�UKIPGF�WUKPI�VJG�FGXKEG U�DWKNV�KP�KFGPVKV[�#RRNG�KUUWGF�EGTVK°�ECVG��CPF�UGPV�VQ�VJG�UGTXGT�WUKPI�*662�2QUV�

1PEG�VJG�RTQ°�NG�UGTXKEG�TGEGKXGU�VJG�FGXKEG�TGURQPUG��C�UGEQPF�EQP°�IWTCVKQP�RTQ°�NG�YKVJ�VJG�5%'2�RC[NQCF�KU�FGNKXGTGF�VQ�VJG�FGXKEG��(QT�C�UCORNG�EQP°�IWTCVKQP�RTQ°�NG�HQT�VJKU�RJCUG��UGG�¥5GTXGT�4GURQPUG�9KVJ�5%'2�5RGEK°�ECVKQPU¦�QP�RCIG��QH�VJG�'PVGTRTKUG�&GRNQ[OGPV�)WKFG�

6JG�RTQ°�NG�KU�KPUVCNNGF�CWVQOCVKECNN[��PQ�WUGT�KPVGTXGPVKQP�TGSWKTGF��6JG�5%'2�RC[NQCF�EQPVCKPU�KPUVTWEVKQPU�HQT�VJG�FGXKEG�VQ�IGPGTCVG�C�EGTVK°�ECVG�UKIPKPI�TGSWGUV�CPF�IGV�C�EGTVK°�ECVG�WUKPI�5%'2��

1PEG�VJG�TGSWGUV�KU�XGTK°�GF��VJG�%#�VJGP�KUUWGU�VJG�EGTVK°�ECVG�HQT�VJG�FGXKEG�

Phase 1: User Authentication

2JCUG��%GTVK°�ECVG�'PTQNNOGPV

Device +PHQTOCVKQP�4GSWGUV

5%'2

(KTGYCNN

(KTGYCNN

(KTGYCNN

(KTGYCNN



1

1 4

4

3

2

3

2

Directory Service

Directory Service

Device

5%'2



1

1

2

2

3

3

4

4

20


Profils de configurationDéploiement OTA - Phase 3 (installation du profil)

1. Le terminal va alors renvoyer sa configuration, signée avec la clé privée du certificat générée. Cela lui permet d’envoyer sa clé publique d’encryption

2. Le système peut alors envoyer le profil de configuration encrypté avec la clé publique du terminal. De la sorte, seul le terminal peut installer et décrypter le profil de configuration

3. Le profil est installé automatiquement sans intervention de l’utilisateur

4

��#RRNG�+PE��#NN�TKIJVU�TGUGTXGF��#RRNG��VJG�#RRNG�NQIQ��K2QF��CPF�5CHCTK�CTG�VTCFGOCTMU�QH�#RRNG�+PE��TGIKUVGTGF�KP�VJG�7�5��CPF�QVJGT�EQWPVTKGU��K2JQPG�KU�C�VTCFGOCTM�QH�#RRNG�+PE��1VJGT�RTQFWEV�CPF�EQORCP[�PCOGU�OGPVKQPGF�JGTGKP�OC[�DG�VTCFGOCTMU�QH�VJGKT�TGURGEVKXG�EQORCPKGU��2TQFWEV�URGEK°�ECVKQPU�CTG�UWDLGEV�VQ�EJCPIG�YKVJQWV�PQVKEG��6JKU�OCVGTKCN�KU�RTQXKFGF�HQT�KPHQTOCVKQP�RWTRQUGU�QPN[��#RRNG�CUUWOGU�PQ�NKCDKNKV[�TGNCVGF�VQ�KVU�WUG��,WPG��.��#

2JCUG��&GXKEG�%QP°�IWTCVKQP

1PEG�VJG�FGXKEG�EGTVK°�ECVG�KU�TGEGKXGF��VJG�FGXKEG�IGPGTCVGU�C�TGURQPUG�DCEM�VQ�VJG�RTQ°�NG�UGTXKEG�YJKEJ�KU�UKIPGF�YKVJ�VJG�PGY�EGTVK°�ECVG�CICKP��XKC�*662�RQUV��6JG�TGURQPUG�KPENWFGU�FGXKEG�CVVTKDWVGU�RTQFWEV�KFGPVK°�GT��15�XGTUKQP��&GXKEG�+&��+/'+��CPF�+%%+&��6JKU�KPHQTOCVKQP�RTQXKFGU�C�EQP°�TOCVKQP�VQ�VJG�UGTXGT��CV�VJG�VKOG�QH�TGSWGUV��CPF�ECP�DG�WUGF�VQ�GPUWTG�FGXKEGU�CTG�WR�VQ�FCVG�YKVJ�VJG�NCVGUV�15�XGTUKQP�DGHQTG�FGNKXGTKPI�C�EQP°�IWTCVKQP�RTQ°�NG�

6JG�RTQ°�NG�UGTXKEG�VJGP�TGURQPFU�YKVJ�CP�GPET[RVGF��OQDKNGEQP°�I�°�NG��6JKU�EQP°�IWTCVKQP�RTQ°�NG�ECP�EQPVCKP�RQNKEKGU��UGVVKPIU��ETGFGPVKCNU��QT�CFFKVKQPCN�5%'2�TGSWGUVU�

6JG�RTQ°�NG�KU�TGEGKXGF�D[�VJG�FGXKEG�CPF�KPUVCNNGF�CWVQOCVKECNN[�PQ�WUGT�KPVGTXGPVKQP�KU�TGSWKTGF��

'PET[RVGF�2TQ°�NG

(KTGYCNN (KTGYCNN


1

3

2

Directory Service


1

2

3

21


Profils de configurationDéploiement OTA - Conclusion

• Avantages :

• Garantit une sécurité maximale

• Automatise le déploiement, plus d’intervention manuelle

• Largement documenté par Apple : http://www.apple.com/fr/iphone/business/

• Inconvénients :

• Pas de possibilité de mettre à jour sans intervention de l’utilisateur

• Impossible de collecter les infos sur un terminal (asset management)

• Impossible d’intervenir sur un périphérique compromis (perte, vol...)

Le service MDM (Mobile Device Management) permet de palier les

manques du déploiement OTA

22


Profils de configurationMDM - Mobile Device Management

• API apparue avec iOS 4

• API uniquement disponible pour les éditeurs de logiciels de solutions mobiles pour l’entreprise

➡ Nécessité de passer par un intégrateur pour déployer une solution de MDM

• Basé sur le déploiement OTA : La configuration du serveur MDM est fournie dans le profil installé par le serveur OTA

• Principale fonctionnalités :

• Asset Management

• Installation/suppression des profils de configuration

• Installation/suppression des profils d’approvisionnement

• Gestion des procédures d’urgence (wipe, réinitialisation de mot de passe, verrouillage)

• Magasin d’application inHouse

23

Profils de configurationMDM - Principe de fonctionnement


1

23

Serveur MDMServeur Push

Apple

4

5

Le serveur MDM réveille le terminal en envoyant une notification Push

Le serveur APNS réveille le terminal

Le serveur envoie la

commande à exécuter

Le terminal va chercher la

commande à exécuter

Le terminal exécute la commande et renvoie le résultat au serveur

MDM

24


DLTA Deploy

Serveur d’enregistrement

OTABase de données

1 23

DLTAStore

Serveur MDM

Serveur d’administration

4

5Inscription du périphérique

Asset Management

Console d’administration

AppStore d’entreprise

Pilotage du terminal

SI Entreprise

DMZ

Internet

Profils de configurationMDM - Un exemple d’architecture

25


Profiles de configurationMDM - Conclusion

• Avantages :

• Permet une solution de configuration Out-Of-Box : Le terminal peut directement passer dans les mains de l’utilisateur final sans préconfiguration

• Solution unique dans la gestion de flotte mobile et indépendante de tout produit propriétaire : L’infrastucture de gestion iOS est ouverte.

• Solution totalement sécurisée, basée sur TLS : tous les échanges d’information sont cryptés et signés

• Inconvénients :

• L’utilisateur reste maître de son terminal : vous n’aurez jamais plus de contrôle que ce que l’utilisateur vous accorde. Il peut à tout instant mettre fin à la gestion de son terminal, perdant toutes les configurations installées

• Infrastructure parfois lourde à mettre en oeuvre pour une PME, bien que scalable

• Apple ne fournit pas de solution de référence ni de partenaire privilégié

26

Démonstration


27

Configuration d’un terminal en entreprise

1. Déploiement de iTunes sur l’ordinateur de l’utilisateur

2. Mise à disposition du téléphone pour l’utilisateur

3. Activation du terminal par l’utilisateur sur iTunes

4. Inscription du terminal sur le serveur MDM.


Résumé

28

Conclusion• Déployer iOS en entreprise est un projet à part entière

• Bien que cela paraisse complexe, la complexité n’est pas liée à iOS mais à la nature du projet : il s’agit d’ouvrir une partie du SI de l’entreprise sur l’extérieur, et c’est un sujet délicat

• Impliquez les équipes sécurité et réseau

• Mettez en place une organisation robuste, des manuels simplifiés.

• Consultez régulièrement la documentation en ligne (http://www.apple.com/fr/iphone/enterprise/integration.html)

• ...et préparez-vous à répondre aux demandes de vos utilisateurs pour des applications métiers spécifiques


29

ContactsDavid ScrèveDLTA Studio+ 33 6 27 69 58 [email protected]

Accompagnement au déploiement / gestion de projet :


Patrice TrognonDLTA Studio+ 33 6 21 09 36 [email protected]

30

mailto:[email protected]




Technology

CocoaHeads Toulouse - Septembre 2011 - Déployer et gérer i os en entreprise