Вопрос или проблема
В нашей компании мы только что передали на аутсорсинг нашу IT и MDM, и нам пришлось переосмыслить возможность использования личных Apple-аккаунтов на Macbook. У наших разработчиков (все на Mac) был отнят локальный администраторский доступ, и теперь MSP имеет администраторский доступ ко всем машинам.
Неясно, может ли отдельный локальный администраторский аккаунт (который, предположительно, имеет доступ к root) получить доступ к аккаунтам Apple ID, связкам ключей или локально синхронизированным директориям iCloud пользователей. Здравый смысл подсказывает, что да, потому что root — это root; но я знаю, что на macOS существуют дополнительные уровни контроля доступа выше root, у кого-нибудь есть окончательный ответ?
(Я бы предпочел не обсуждать достоинства личных/компаний AppleID на рабочих машинах или необходимость локального администраторского доступа для разработчиков, эти темы уже обсуждались до бесконечности.)
Ответ или решение
Доступность Apple ID/iCloud для администраторов macOS: Все, что вам нужно знать
Ситуация, в которой находится ваша компания, весьма распространена в условиях современного бизнеса, когда управление ИТ и обеспечением безопасности становится частью сторонних услуг. Ваша озабоченность относительно возможности доступа администратора к Apple ID и iCloud пользователей на MacBook’ах вполне обоснована. Давайте рассмотрим этот вопрос более детально.
Понимание структуры доступа в macOS
В macOS существует несколько уровней доступа, которые необходимо учитывать. Даже если администратор обладает правами root (глубокого доступа к системе), это не всегда означает, что он сможет беспрепятственно получить доступ к Apple ID или данным iCloud пользователей.
-
Права Root и уровень безопасности:
- Права root предоставляют почти неограниченные возможности для изменения системы, однако Apple внедрила дополнительные механизмы защиты, такие как System Integrity Protection (SIP), которые ограничивают доступ к критическим системным файлам и процессам, даже для пользователей с правами admin.
- SIP запрещает изменения в определённых каталогах системы, а также защиту от выполнения кода на уровне системы.
-
Ключницы и данные iCloud:
- Данные, хранящиеся в Keychain (ключнице), защищены не только паролем пользователя, но и механизмами шифрования, которые усложняют доступ к этим данным без соответствующих учетных данных.
- Само хранилище данных iCloud и Apple ID использует строгие протоколы шифрования и аутентификации, что делает их недоступными для извлечения даже с правами root.
-
Шифрование и безопасность:
- Данные Apple ID и iCloud шифруются на уровне устройств. Даже если учетная запись администратора имеет доступ к файлам на уровне системы, доступ к зашифрованным данным Apple ID потребует дополнительных средств аутентификации (включая пароль и, возможно, двухфакторную аутентификацию).
Практическое применение для вашей ситуации
В вашем случае, когда услуги администрирования и управления устройствами были переданы стороннему провайдеру, администраторы могут иметь доступ ко многим аспектам оборудования и программного обеспечения. Тем не менее, их возможность доступа к персональным Apple ID и iCloud будет ограничена следующими факторами:
-
Политика безопасности компании: Важно установить чёткие политики относительно использования личных аккаунтов и доступа к ним. Возможно, стоит рассмотреть использование корпоративных Apple ID, которые будут принадлежать вашей компании.
-
Настройки конфиденциальности: Убедитесь, что политики MDM (Управления мобильными устройствами) вашей компании регламентируют доступ к личным данным пользователей.
-
Обязанности и формальное согласие: Если ваша компания решила работать с внешними администраторами, важно установить их обязанности и получить письменное согласие на управление личными данными сотрудников.
Заключение
Таким образом, хотя администраторы macOS могут иметь значительные привилегии в управлении устройствами, доступ к Apple ID и iCloud данных пользователей не является прямолинейным делом. Механизмы защиты, такие как SIP и шифрование, значительно ограничивают их возможности. Тем не менее, важно поддерживать прозрачность и безопасность в вопросах, касающихся использования персональных идентификаторов и данных. Введение четких политик и практик обеспечения безопасности будет ключевым шагом в создании безопасной IT-среды в вашей компании.