Mobileiron: iOS App-Autorisierung in Active Directory

Question

Wir entwickeln eine iOS-Anwendung in Xamarin, die über MobileIron vertrieben wird. Wir entwickeln auch die Backend WebServices (Rest).

Was ich wissen muss ist, wenn ein Web-Service-Aufruf zu meiner API kommt, möchte ich sicherstellen, dass der Anruf von einem Client kommt, der mit seinen Active-Directory-Anmeldeinformationen in meiner App angemeldet ist. mit MobileIron.

Die Website von MobileIron bietet viele Informationen, ist aber auch etwas chaotisch.

• Welche Produkte von MobileIron werden für meinen Anwendungsfall benötigt?
• Was ist der beste Weg, um meine WebServices zu schützen und nur Anfragen von unserer iOS-Anwendung mit korrekten AD-Credentials zu erlauben?
• Benötige ich das AppConnect-SDK oder kann ich die iOS-Anwendung einfach in MobileIron einfügen? Wenn ich das SDK benötige, gibt es Beispiele?

Vielen Dank im Voraus!

Prost Immi

Answer 1

Hier ist eine Möglichkeit, wie es funktionieren sollte, wir haben dies in unserer Umgebung aufgebaut. Angenommen, die Zielgeräte werden vom MobileIron MDM-System mit MobileIron Core (MDM) & MobileIron Sentry (Gateway -> Intranet) verwaltet. Sie können MobileIron Sentry auf diese Weise so konfigurieren, dass ein Webrequest von einer AppConnect-fähigen App (egal ob SDK enthalten oder umgebrochen!) Mit Benutzerzertifikat vom Gerät authentifiziert wird, Sentry erhält Kerberos-Ticket vom Domänencontroller für den Benutzer und leitet es weiter die Webanforderung an eine Website/einen Webservice, in der die Kerberos-Authentifizierung aktiviert ist und der Benutzer Zugriff gewährt hat. Es gibt viele Dinge zu konfigurieren, damit dies funktioniert (CA, Benutzerzertifikat -> Gerät, Dienstkonto mit Delegierung in AD konfiguriert, SPN für Website in AD konfiguriert, ...) und es gibt ein gutes Support-Dokument von MobileIron zur Verfügung machen Sie das & läuft. Es ist zu umfangreich, hier alle Schritte zu beschreiben. Wenn dies bereits in der Zielumgebung eingerichtet ist (wenn es bereits eine andere AppConnect-App gibt), bleiben nur noch wenige Schritte (SPN- und MI-App-spezifische AppConnect-Konfiguration).

Die gute Nachricht ist, dass die App selbst sich nicht um die Authentifizierung kümmern muss. Das MobileIron-Zeug macht das alleine ...