Apple ID restoren...

[Mx. Alba]

Als ICT-beheerder heb ik een stuk of 100 Apple devices van collega's onder mijn hoede. Om ervoor te zorgen dat wij (IT) geretourneerde devices altijd opnieuw kunnen inzetten en de controle over onze bedrijfsdata behouden, heb ik in alle gevallen voor de gebruikers een Apple ID aangemaakt met hun zakelijke e-mailadres, een standaard geboortedatum en drie standaard beveiligingsvragen en -antwoorden. Als iemand dan uit dienst gaat kunnen wij het Apple ID resetten en heeft de gebruiker dus geen toegang meer tot eventuele zakelijke gegevens die in hun zakelijke iCloud staan - ze hebben dan immers ook geen toegang meer tot het gekoppelde emailadres etc. En het stelt ons in staat om voor de users de toch wel veelvoorkomende case van "het vergeten wachtwoord" op te lossen. Tenminste, tot nu toe was dat zo...

Tot nu toe heb ik al een tiental keren gebruik gemaakt van die standaardgegevens om het vergeten wachtwoord van een Apple ID te resetten of om een gelockt ingeleverd iDevice weer te resetten zodat een andere collega het apparaat kon gebruiken. Maar recent heeft Apple kennelijk de beveiliging van Apple IDs verbeterd. Een user is zijn Apple ID wachtwoord vergeten en het lukt me niet om het te resetten.

Als ik naar iForgot ga, stuurt dat systeem eerst een pincode per SMS naar de telefoon van de user. So far so good, want gelukkig is zijn gelockte iDevice een iPad en is zijn telefoon een Blackberry zodat hij die SMS kan zien. Dan vraagt iForgot om de gegevens van de gekoppelde creditcard in te voeren, maar op de een of andere manier wordt die creditcard niet geaccepteerd. Er is dan een mogelijkheid om een "account restore" aan te vragen, en het systeem zegt dat meer informatie naar het vertrouwde telefoonnummer zal worden gestuurd, maar er komt niets, de restore blijft kennelijk "hangen".

Is er nog een manier om het wachtwoord van een Apple ID te resetten met de geboortedatum en de drie beveiligingsvragen?

Is er een andere/betere manier om de zakelijke Apple IDs van tientallen gebruikers centraal te beheren?

[ Voor 11% gewijzigd door Mx. Alba op 13-04-2016 09:29 ]

[Nicj56]

Hoi,

Dat is mogelijk https://www.apple.com/nl/support/business-education/mdm/

Misschien is dit een oplossing? Zo kan je ook bepalen wat wel en niet mogelijk is op de telefoons, van de collega's.

[diehard889]

zit in gelijke situatie, heb nu ook meestal een Free account aangemaakt ovb zakelijke email / standaard geboorte datum en vragen / antwoorden.

Denk dat je in dit geval een account hebt waar een credit card aanhang, kan je niet een andere validatie mode selecteren of blijft het bij de credit card.

Overigens hebben we een MDM oplossing (airwatch) maar daarin hebben we geen accounts opgenomen.
ga ik even in duiken of daar iets mee te doen is.

[ Voor 20% gewijzigd door diehard889 op 13-04-2016 10:09 ]

[Mx. Alba]

Wij hebben ook MDM: BES12. Sommige wat oudere devices hangen nog aan MobileIron of alleen aan IBM Traveler. Met BES12 is heel veel te beheren, maar niet de Apple IDs...

[Orion84]

Gewoon zorgen dat bij het inleveren van een device ter plekke altijd een factory reset wordt uitgevoerd samen met de gebruiker? Dat is hoe we het hier doen in elk geval, verder zijn de appleIDs gewoon de verantwoordelijkheid van de gebruiker (die doorgaans dus gewoon zijn eigen privé account gebruikt).

Juist door weer een extra account te introduceren kan ik me voorstellen dat je extra gedoe krijgt met vergeten wachtwoorden en dergelijke.

[diehard889]

Denk niet dat MDM een oplossing gaat bieden, IOS is te dicht getimmerd.
Airwatch kan wel apps pushen maar vraagt apparaat om apple ID
Er is niet iets als een Master Account waar die iDevices onderhangen

alleen de apple configurator kan er iets mee (2e kopje)
http://help.apple.com/configurator/mac/1.2/#cadf1802aed

[Mx. Alba]

Orion84 schreef op woensdag 13 april 2016 @ 10:18:
Gewoon zorgen dat bij het inleveren van een device ter plekke altijd een factory reset wordt uitgevoerd samen met de gebruiker? Dat is hoe we het hier doen in elk geval, verder zijn de appleIDs gewoon de verantwoordelijkheid van de gebruiker (die doorgaans dus gewoon zijn eigen privé account gebruikt).

Ja, dat doe ik ook als ik zelf een iDevice inneem; in het bijzijn van de user een factory reset doen, zelfs als de user dat zelf al gedaan heeft. Maar soms wordt een iDevice door HR ingenomen omdat IT op dat moment niet aanwezig is en dan wil het nogal eens mis gaan. Bovendien is dat in dit geval geen oplossing. De iPad heeft een software update gedaan en wil bij de eerste keer opstarten per se het Apple ID wachtwoord van de user hebben. Juist om problemen daarmee te voorkomen heeft iedereen een Apple ID op zijn zakelijke emailadres met een standaard geboortedatum en beveiligingsvragen (die alleen bij IT bekend zijn) maar ook dat biedt in dit geval dus helaas geen soelaas.

Juist door weer een extra account te introduceren kan ik me voorstellen dat je extra gedoe krijgt met vergeten wachtwoorden en dergelijke.

Het onderliggende probleem is vooral dat de IT-policy van ons hoofdkantoor ondubbelzinnig stelt dat alle zakelijke gegevens slechts opgeslagen mogen worden op systemen die door onszelf beheerd worden. Eigenlijk mag iCloud dus niet eens gebruikt worden, want wij beheren de servers van Apple niet. Maar daar is een uitzondering voor gemaakt door gebruik te maken van door ons geleverde iDevices (die dus eigendom van het bedrijf zijn) en bijbehorende Apple IDs gekoppeld aan het zakelijke emailadres, zodanig opgezet dat IT het wachtwoord ervan kan resetten om toegang tot de iCloud te krijgen wanneer dat nodig zou zijn - of om de user juist toegang tot "zijn" iCloud te ontzeggen in een extreem geval.

[Orion84]

Je kan het gebruik van iCloud voor opslag van documenten / backups ook gewoon verbieden en blokkeren (al dan niet via MDM).

En misschien wordt het tijd om met HR afspraken te maken dat als zij het proces niet volgen, dat zij dan opdraaien voor de kosten van apparatuur die daardoor niet meer opnieuw inzetbaar is.

Als het echt puur zakelijke devices zijn valt er natuurlijk wel wat te zeggen voor de gekozen aanpak met aparte zakelijke AppleIDs, waar je als bedrijf probeert controle over te houden. Maar het is gewoon niet anders dan dat Apple daar helemaal niet op ingericht is en je daar dus geheid tegen problemen aan gaat blijven lopen.

[ Voor 34% gewijzigd door Orion84 op 13-04-2016 10:44 ]

[Mx. Alba]

Tja, een iDevice zonder iCloud daar heb je weinig aan. Al menig keer een user weer helemaal blij gemaakt doordat ik een iCloud backup kon terugzetten van een gestolen of gebrickte iPad waarin nog onverstuurde inspectiegegevens stonden, bijvoorbeeld. En zelfs als iCloud wordt uitgeschakeld is het niet de bedoeling dat men persoonlijke Apple IDs gebruikt op zakelijke iDevices dus blijf je met het hier beschreven probleem zitten.

[Orion84]

Ik weet niet precies hoe jullie die devices gebruiken natuurlijk, maar als daar apps op gebruikt worden die backups in icloud bewaren en dat meerwaarde heeft, dan is dat een valide punt natuurlijk.

Andere optie: bij uitgave device de user een wachtwoord laten kiezen en dat opslaan in een door jullie beheerde password vault? User instrueren het wachtwoord niet te wijzigen? Ook niet ideaal, maar dan heb je in elk geval het wachtwoord, in plaats van dat je afhankelijk bent van de ondersteuning van Apple om wachtwoorden te resetten.
Met enige procedures en logging rond toegang tot de password vault hoeft het niet veel minder veilig te zijn.

[Mx. Alba]

We geven de devices uit met een standaard wachtwoord. Of ze dat wachtwoord wel of niet wijzigen wordt aan de gebruikers zelf overgelaten. Als ze het wachtwoord wijzigen met het risico dat ze het vergeten, dan hebben we toch de mogelijkheid om het wachtwoord te resetten. Ten minste, dat dacht ik dus tot nu toe...

[diehard889]

is die persoon nog ingelogd op het idinges, kan je vanuit de itunes (of settings / itunes) een password reset doen ?
soms reageert die anders dan via je pc/laptop.

[Mx. Alba]

Ja hij is ingelogd op het idinges maar je kan er niets mee. Die idinges heeft net geüpdatet naar iOS 9.3.1 en vereist het iCloud wachtwoord om verder te gaan met de setup. En iTunes gebruiken we niet... (Irritant stuk bloatware...)

We gaan binnenkort eens proberen om samen Apple Support te bellen, het schijnt dat het via die weg te regelen is. Ze zullen dan alleen wel deels informatie nodig hebben die ik heb (standaard geboortedatum en standaard beveiligingsantwoorden) en informatie die hij heeft (bijvoorbeeld het creditcardnummer dat hij gebruikt).

[ Voor 41% gewijzigd door Mx. Alba op 13-04-2016 13:01 ]

[diehard889]

same here no Itunes.

en gebruiker vragen naar zn wachtwoord ook al is hij left the company

[Mx. Alba]

Update...

We hebben Apple gebeld en zelfs met ons tweeën aan de telefoon met Apple support is het na anderhalf uur niet gelukt om verder te komen. Uiteindelijk is dus besloten om de iPad te wipen, te laten unlocken, en een nieuwe Apple ID aan te maken voor de gebruiker. Dat wipen is gelukt (via iTunes met de iPad in DFU mode), het unlocken alleen nog niet. Daarvoor moest ik een aankoopbewijs naar Apple sturen. Nu weet ik dat deze iPad in 2014 is uitgeleverd maar in 2014 heb ik tientallen iPad Retina's uitgegeven. Ik vermoedde dat deze iPad er een was van een factuur waar 14 iPads op staan (helaas staan er geen serienummers op de facturen) dus die doorgestuurd. Komt Apple een dag later bij me terug dat die factuur niet overeenkomt met de gegevens die zij hebben. Oké, what next? Alle facturen waarop een of meerdere iPad Retina's staan (minimaal een stuk of 10) opsturen en ze dan zelf laten kiezen welke het beste bij hun gegevens past?

En ondertussen ook privé een "Apple ID fight" bij de kladden gehad. Mijn vriendin had een hele tijd geleden haar oude iPhone 4S aan haar moeder gegeven. Ze had die niet ontkoppeld van haar Apple ID. En toen opeens kregen we mailtjes dat het wachtwoord, geboortedatum, etc. gewijzigd waren. Dus ik meteen naar iForgot en het wachtwoord succesvol weer gereset en daarna die iPhone 4S uit haar iCloud geknikkerd. Ik hoop dat die nu daardoor unlocked is zodat mijn schoonmoeder zelf een Apple ID kan aanmaken om met die iPhone te gebruiken. (Communicatie gaat vaak wat moeizaam door tijdsverschil, schoonmoeder woont namelijk in Australië...)

[Nicj56]

De Apple bied wel het volgende:

iOS features for supporting user-owned devices:

Opt-in enrollment
Over-the-air configuration
Managed apps, books, domains
Managed accounts (geen idee of dit o.a. geld voor Apple ID's)
Managed extensions
MDM user interface for greater transparency
Selective wipe of corporate accounts, apps, and documents

[pacificocean]

Mx. Alba schreef op zaterdag 16 april 2016 @ 08:58:
Update...

We hebben Apple gebeld en zelfs met ons tweeën aan de telefoon met Apple support is het na anderhalf uur niet gelukt om verder te komen. Uiteindelijk is dus besloten om de iPad te wipen, te laten unlocken, en een nieuwe Apple ID aan te maken voor de gebruiker. Dat wipen is gelukt (via iTunes met de iPad in DFU mode), het unlocken alleen nog niet. Daarvoor moest ik een aankoopbewijs naar Apple sturen. Nu weet ik dat deze iPad in 2014 is uitgeleverd maar in 2014 heb ik tientallen iPad Retina's uitgegeven. Ik vermoedde dat deze iPad er een was van een factuur waar 14 iPads op staan (helaas staan er geen serienummers op de facturen) dus die doorgestuurd. Komt Apple een dag later bij me terug dat die factuur niet overeenkomt met de gegevens die zij hebben. Oké, what next? Alle facturen waarop een of meerdere iPad Retina's staan (minimaal een stuk of 10) opsturen en ze dan zelf laten kiezen welke het beste bij hun gegevens past?

En ondertussen ook privé een "Apple ID fight" bij de kladden gehad. Mijn vriendin had een hele tijd geleden haar oude iPhone 4S aan haar moeder gegeven. Ze had die niet ontkoppeld van haar Apple ID. En toen opeens kregen we mailtjes dat het wachtwoord, geboortedatum, etc. gewijzigd waren. Dus ik meteen naar iForgot en het wachtwoord succesvol weer gereset en daarna die iPhone 4S uit haar iCloud geknikkerd. Ik hoop dat die nu daardoor unlocked is zodat mijn schoonmoeder zelf een Apple ID kan aanmaken om met die iPhone te gebruiken. (Communicatie gaat vaak wat moeizaam door tijdsverschil, schoonmoeder woont namelijk in Australië...)

Je hebt van die sites waar je het serienummer invuld en dat de activerings en of verkoop datum wordt weergegeven.

[Whatson]

pacificocean schreef op zaterdag 16 april 2016 @ 11:00:
[...]

Je hebt van die sites waar je het serienummer invuld en dat de activerings en of verkoop datum wordt weergegeven.

https://checkcoverage.apple.com/

https://www.icloud.com/activationlock/