Безопасность общего iPad в iPadOS
Общий iPad — это многопользовательский режим использования iPad. В этом режиме несколько человек могут использовать один iPad, не имея доступа к документам и данным друг друга. Каждый пользователь получает собственное хранилище, которое создается на томе файловой системы Apple (APFS), защищенном учетными данными пользователя. Для использования общего iPad нужен управляемый Apple ID, который выпускается организацией и принадлежит ей.
В режиме общего iPad пользователь может входить в систему на любом устройстве, принадлежащем организации, если оно настроено на использование несколькими пользователями. Данные пользователей хранятся в разных папках, каждая из которых находится в собственном домене защиты данных и защищена правами доступа UNIX и механизмом песочницы. В iPadOS 13.4 или новее пользователи также могут выполнить вход для временного сеанса. Когда пользователь завершает временный сеанс, том APFS этого пользователя удаляется, а зарезервированное пространство возвращается в систему.
Вход в систему общего iPad
При входе в систему общего iPad поддерживаются как собственные, так и федеративные управляемые Apple ID. При первом использовании федеративной учетной записи пользователь перенаправляется на портал входа поставщика услуг идентификации (IdP). После прохождения аутентификации выпускается краткосрочный токен доступа для управляемых Apple ID, после чего процесс входа продолжается аналогично процессу входа с собственным управляемым Apple ID. После входа в систему на общем iPad отображается Ассистент настройки, который предлагает пользователю установить код-пароль (учетные данные), который будет использоваться для защиты локальных данных на устройстве и последующей аутентификации на экране входа в систему. Аналогично однопользовательскому устройству, на котором пользователь один раз входит в свой управляемый Apple ID через свою федеративную учетную запись, а затем выполняет разблокировку устройства с помощью своего код‑пароля, на общем iPad пользователь один раз входит в систему через свою федеративную учетную запись, а затем использует заданный код‑пароль.
Когда пользователь входит в систему без федеративной аутентификации, служба идентификации Apple (IDS) выполняет аутентификацию управляемого Apple ID по протоколу SRP. В случае успешной аутентификации устройству предоставляется кратковременный токен доступа. Если пользователь ранее использовал данное устройство, выполнив вход с теми же учетными данными, учетная запись локального пользователя будет разблокирована.
Если пользователь еще не использовал данное устройство или начал временный сеанс, общий iPad создаст новый идентификатор пользователя в UNIX, том APFS для сохранения данных пользователя и локальную связку ключей. Поскольку во время создания тома APFS пользователю выделяется пространство (резервируется за ним), пространства, доступного на устройстве, может быть недостаточно для создания нового тома. В таком случае система идентифицирует текущего пользователя, данные которого синхронизированы с облаком, и выполняет выход из системы за этого пользователя, подготавливая устройство для нового пользователя. В редких случаях, если выгрузка данных всех текущих пользователей в облако не завершена, новый пользователь не сможет выполнить вход. Чтобы выполнить вход, новый пользователь должен дождаться окончания синхронизации или попросить системного администратора принудительно удалить данные, связанные с учетной записью текущего пользователя, что может привести к их потере.
Если устройство не подключено к интернету (например, когда у устройства нет точки доступа к Wi-Fi), аутентификация может выполняться по локальной учетной записи в течение ограниченного периода времени. В этой ситуации только пользователи, у которых ранее существовали локальные учетные записи, могут войти в систему. Второй вариант — начать временный сеанс. По достижении лимита времени пользователи должны пройти аутентификацию онлайн, даже если локальная учетная запись уже существует.
Если после разблокировки или создания локальной учетной записи выполнена удаленная аутентификация, краткосрочный токен, выданный серверами Apple, преобразуется в токен iCloud, позволяющий входить в iCloud. После этого выполняется восстановление настроек пользователя и синхронизация его документов и данных из iCloud.
Пока сеанс пользователя активен и устройство подключено к интернету, документы и данные сохраняются в iCloud сразу после создания или изменения. Кроме того, механизм фоновой синхронизации помогает обеспечить отправку изменений в iCloud или другие веб-службы с помощью фоновых сеансов NSURLSession после выхода пользователя из системы. После завершения фоновой синхронизации для этого пользователя его том APFS отключается и не может быть подключен снова, пока пользователь не войдет в систему.
В ходе временных сеансов данные не синхронизируются с iCloud. Несмотря на то, что при временном сеансе может выполняться вход в сторонние службы синхронизации, такие как Box или Google Drive, синхронизация данных прерывается по окончании сеанса.
Выход из системы общего iPad
Когда пользователь выходит из системы на общем iPad, хранилище ключей пользователя мгновенно блокируется, а все приложения закрываются. Чтобы ускорить вход нового пользователя, iPadOS временно откладывает некоторые стандартные действия по выходу из системы и отображает окно входа для нового пользователя. Если пользователь входит в систему в течение выделенного времени (приблизительно 30 секунд), общий iPad выполняет отложенную очистку в рамках входа в учетную запись нового пользователя. А если общий iPad не используется, он запускает отложенную очистку. В процессе очистки происходит перезапуск окна входа, как будто был выполнен еще один выход из системы.
Как только временный сеанс завершится, общий iPad выполняет полную последовательность действий для выхода из системы и незамедлительно удаляет том APFS временного сеанса.