非Blackberry Dynamics容器内iOS应用访问UEM部署证书方案咨询

核心限制 #

iOS KeyChain采用沙箱机制，每个应用仅能访问自身沙箱内的条目。Blackberry UEM部署的证书默认存储于系统级KeyChain或Blackberry Dynamics专属容器，非Dynamics应用无默认访问权限，因此直接调用SecItemCopyMatching无法获取。

无需Blackberry Dynamics SDK的可行方案 #

• 调整UEM证书分发策略，授予应用系统KeyChain访问权限
  Blackberry UEM支持将证书部署至iOS系统KeyChain，而非仅Dynamics容器。操作步骤：

  1. 在UEM控制台找到目标证书配置文件，将部署目标改为「系统KeyChain」
  2. 在配置文件的「应用权限」模块，添加你的iOS应用Bundle ID，授予证书读取权限
     重新推送配置文件与证书后，应用可通过SecItemCopyMatching查询证书，需指定匹配属性（如kSecAttrLabel或kSecAttrIssuer）。

• 系统根证书获取（仅适用于根CA证书）
  若目标证书为系统信任的根CA，可通过SecTrustCopyAnchorCertificates接口获取系统信任存储中的根证书，但此方法无法访问用户级或自定义客户端证书。

必须使用Blackberry Dynamics SDK的场景 #

若企业安全策略强制证书存储于Blackberry Dynamics容器，则必须对接SDK：

• 使用SDK提供的GDKeychain类访问容器内KeyChain，该类封装了UEM部署证书的查询接口
• 应用需打包为Dynamics容器应用，通过UEM部署后才能获得证书访问权限

注意事项 #

• UEM证书部署策略需与应用权限配置严格匹配，否则代码调整无效
• 调用SecItemCopyMatching时，确保查询字典包含正确属性：kSecClass设为kSecClassCertificate，kSecReturnRef设为kCFBooleanTrue等

内容的提问来源于stack exchange，提问作者Herbert Gerngroß