Bekannte Probleme

Exchange-Richtlinie: Kein Nutzerzertifikat des Subtyps Exchange #

Beim Anwenden einer Richtlinie mit Exchange-Konfiguration schlägt die Aktion Richtlinie ändern in den Aktionen des Geräts fehl. Als Nachricht erscheint:

Mindestens eine Unteraktion ist fehlgeschlagen: ErrorCode: -, Message: Kein Nutzerzertifikat des Subtyps Exchange für den Nutzer <Benutzername> gefunden.

Ursache ist die Einstellung Benutzerdefiniertes Zertifikat verwenden im Abschnitt Zertifikat der Exchange-Konfiguration. Mit dieser Option sucht Relution für den Benutzer des Geräts ein Nutzerzertifikat des Subtyps Exchange. Ist für den Benutzer kein solches Zertifikat vorhanden, kann das Konto nicht ausgerollt werden.

Lösung: In der angewendeten Exchange-Konfiguration wird im Abschnitt Zertifikat die Option Zertifikat wählen gesetzt. Ein Zertifikat muss dabei nicht ausgewählt werden; die Konfiguration kann direkt gespeichert werden.

Dasselbe gilt für die S/MIME-Zertifikate weiter unten in der Exchange-Konfiguration. Ist die S/MIME-Signierung bzw. -Verschlüsselung aktiviert, erscheinen dort die Abschnitte S/MIME Signierungszertifikat und S/MIME Verschlüsselungs-Zertifikat mit derselben Auswahl. Steht einer dieser Abschnitte auf Benutzerdefiniertes Zertifikat verwenden, sucht Relution zusätzlich ein Nutzerzertifikat des Subtyps S/MIME-Signierung bzw. S/MIME-Verschlüsselung, und die Aktion schlägt mit der entsprechenden Meldung fehl, wenn keines vorhanden ist. In diesem Fall wird auch in diesen Abschnitten die Option Zertifikat wählen gesetzt.

Weitere Informationen: Exchange-Konfiguration →

Kurzbefehle als Pflicht-App #

Für die App Kurzbefehle wurde von Apple die Bundle-ID geändert. Das ältere VPP-Listing mit der Bundle-ID is.workflow.my.app lässt sich auf Geräten mit iOS 26 und neuer nicht mehr installieren, da iOS die Installation aktiv mit dem Fehler AppBlacklisted verweigert. Ist dieses ältere Listing in der Liste Erforderliche Apps hinterlegt, wird das Deployment fortlaufend neu angestoßen, ohne dass die Installation jemals erfolgreich abgeschlossen wird.

Typisches Fehlerbild:

• Betroffene iOS-Geräte werden im Geräte-Inventar als nicht konform angezeigt.
• Unter Installierte Apps ist Kurzbefehle korrekt vorhanden.
• Das Deployment der App startet wiederholt neu, wird aber nie erfolgreich abgeschlossen.
• Im Geräte-Log erscheint die Meldung Diese App darf auf dieser Version des OS nicht mehr installiert werden. zusammen mit dem Fehlercode AppBlacklisted.

Workaround: Die veraltete VPP-App mit der Bundle-ID is.workflow.my.app wird aus der Liste Erforderliche Apps entfernt und die zugehörige VPP-Zuweisung gelöscht.

Update hängt bei GeneratedSelfSignedSignerKeyStore (Docker) #

Bei Docker-Installationen mit veraltetem Host-Kernel kann das Update beim Erzeugen des selbstsignierten Signaturzertifikats (GeneratedSelfSignedSignerKeyStore) hängen bleiben.

Ursache und Lösung: Bekannte Fehlermeldungen der Docker-Installation →

Serverstart schlägt bei S3 mit selbstsigniertem Zertifikat fehl #

Nach einem Update von einer Version vor 26.2 direkt auf Relution 26.4 oder neuer startet der Server nicht mehr, wenn der angebundene S3-Objektspeicher über TLS mit einem selbstsignierten oder unternehmensinternen Zertifikat erreichbar ist. Im Log erscheint folgender Fehler:

AccessDeniedException: software.amazon.awssdk.core.exception.SdkClientException: Unable to execute HTTP request: (certificate_unknown) PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target (SDK Attempt Count: 3)

Ursache und Lösung — inklusive der erforderlichen erneuten Anmeldung aller Benutzer: Serverstart bei S3 mit selbstsigniertem Zertifikat →

EntraID-/OIDC-Anmeldung hinter ausgehendem Proxy schlägt fehl #

Seit Relution 26.3 schlägt die Anmeldung über EntraID (und andere OIDC-Provider) fehl, wenn der Relution-Server nur über einen ausgehenden Firmen-Proxy ins Internet gelangt. Nach dem Klick auf Mit Microsoft anmelden lädt der Callback rund fünf Minuten und endet anschließend in einem Timeout (nginx-Fehler 504 bzw. Fehlerseite). Ursache ist, dass die interne OIDC-Komponente den konfigurierten Proxy nicht mehr verwendet und direkt zum Identity Provider verbindet, was von der Firewall geblockt werden kann. Der Fehler ist als REL-13391 erfasst und wird in einer kommenden Version behoben.

Ursache und Übergangslösung: OIDC-Login hinter ausgehendem Proxy →

Prometheus-Metriken werden nicht bereitgestellt #

Seit Relution 26.4 wird aus Sicherheitsgründen standardmäßig nur der Health-Endpoint bereitgestellt; der Prometheus-Endpoint (/actuator/prometheus) ist deaktiviert. Ein Prometheus-Monitoring erhält daher keine Metriken, bis der Endpoint einmalig in der application.yml freigeschaltet wurde.

Ursache und Lösung: Prometheus-Metriken in Relution aktivieren →

Log-Level lassen sich nicht über das System-Portal ändern #

Seit Relution 26.4 wird aus Sicherheitsgründen standardmäßig nur der Health-Endpoint bereitgestellt. Das System-Portal zeigt daher nur noch den Bereich Details; die Bereiche Logger, Environment, Metrics und Threads erscheinen erst, nachdem die zugehörigen Endpoints einmalig in der application.yml freigeschaltet wurden. Unabhängig davon lassen sich Log-Level weiterhin über die Web API ändern.

Ursache und Lösung: Freischaltung der Actuator-Endpoints →

Datenbank-Update schlägt bei Update auf 26.1/26.2 fehl (MariaDB) #

Beim Update von Relution 26.0.3 auf 26.1 oder 26.2 kann das automatische Datenbank-Update mit der Fehlermeldung Cannot change column 'action_uuid': used in a foreign key constraint fehlschlagen. Betroffen sind die MariaDB-Versionen 10.11.5–10.11.7 (bekanntes MariaDB-Problem).

Ursache und Lösung: Bekannte Fehlermeldungen bei Datenbank-Updates →

Fehler beim Update auf Relution 26.1 #

Nach einem Update auf Relution 26.1 startet der Docker-Container nicht mehr. Im Container-Log erscheint wiederholt folgender Fehler:

Exception in thread "main" java.lang.reflect.InvocationTargetException
Caused by: java.io.IOException: Permission denied
    at java.base/java.io.File.createTempFile(File.java:2184)
    at io.relution.boot.Main.checkTempDirectory(Main.java:291)
    at io.relution.boot.Main.main(Main.java:216)

Ursache und Lösung: Problem bei Update auf 26.1 →

OIDC + Entra ID #

• Die OIDC-Authentifizierung mit Microsoft Entra ID wurde gemäß unserer Dokumentation neu konfiguriert.
  Die Konfiguration selbst ist korrekt, die Anmeldung funktioniert jedoch nicht direkt nach der Einrichtung.
  Benutzer erhalten nach der Anmeldung mit ihren Microsoft-Anmeldeinformationen eine Fehlermeldung:
  

Lösung / Workaround #

Erst nach einem Neustart des Relution-Servers funktioniert die OIDC-Anmeldung wie erwartet.

Backups mit iOS 26.4 #

• Beim Wiederherstellen von Backups von iOS 26.3 oder früher auf einem Gerät, auf dem iOS 26.4 installiert ist, geht der Status der Geräteverwaltung (Device Management) verloren.

Geteiltes iPad #

• Auf Geteiltes iPad ist es seit iOS 26 nicht möglich, lokale Dateien zu erstellen oder abzuspeichern im Gast-Modus. Wir haben hierzu ein Case bei Apple eröffnet, um den Vorgang zu beschleunigen, gerne auch ein Case bei Apple anlegen → und unseren Support informieren.
  • Workaround: Dateien über eine angebundene Dateifreigabe erstellen und bearbeiten. paed.ML x Relution →

Apple ID Anmeldung #

• Anmeldung über System-Apps mit Apple ID möglich, obwohl in den Restriktionen Account modifizieren erlaubt deaktiviert ist.

Neue Apps #

• Neue Apps und die Bundle IDs zum Blockieren
  • Preview → com.apple.Preview
  • Games → com.apple.games
  • Tipps → com.apple.tips

Relution Agent 5.19.0 #

Aktuell gibt es mit dem Relution Agent in der Version 5.19.0 zwei Probleme.

1. Beim Login an Relution Shared Device kann es in einzelnen Fällen zu einem Fehler kommen. Dieser wird nach dem Login angezeigt. Die Fehlermeldung lautet Bad state: Stream has already been listened to.. Als Workaround kann einfach die Home-Taste auf dem iPad gedrückt werden. Der User sollte angemeldet sein und das Gerät normal nutzbar sein.

2. Im App Store werden alle Apps mit einem verfügbaren Update angezeigt. Hierbei handelt es sich um einen Anzeigefehler.

iOS Hintergrundbild #

Es gibt derzeit ein Problem mit der Bereitstellung von Hintergrundbildern. Das Problem kann auf allen iOS-Geräten auftreten, auf denen eine Richtlinie für Hintergrundbilder bereitgestellt wird. Das Problem kann nicht die ganze Zeit reproduziert werden, sondern tritt auf, wenn eine Richtlinienänderung auf dem Gerät erfolgt. Wir haben einen Workaround mit der Relution Server Version 5.29.1 erstellt, aber das Problem kann in einigen Fällen immer noch auftreten. Wir haben bereits ein Ticket bei Apple erstellt, um dieses Problem so schnell wie möglich zu lösen.

Die andere Lösung für das Problem wäre, eine Gerätegruppe zu erstellen, in der das Gerät nur für einen kurzen Moment ist und in der das Wallpaper bereitgestellt wird. Nach der Bereitstellung des Hintergrundbildes wird das Hintergrundbild nicht mehr vom Gerät entfernt, allerdings verschwindet dadurch die Richtlinie, die das Problem verursacht. Dies sollte nicht zu dem erwähnten Wallpaper-Problem führen.

Apple Dateien App #

Aktuell besteht ein Fehler in der Dateien-App auf Apple geteilten iPads (getestet mit iOS 18.2 und 18.3).

Der Fehler macht sich auch dadurch bemerkbar, dass heruntergeladene Dateien im Downloads-Ordner fehlen. Wenn Daten geöffnet werden, sind diese bis zum Schließen und erneuten Öffnen der Apple-Files-App im Downloads-Ordner sichtbar.

Probleme mit SMB-Zugriffen in iOS 18 #

Mit iOS 18 gibt es aktuell ein bekanntes Problem, das beim Schreiben in SMB-Shares auftreten kann. Es handelt sich dabei um einen Fehler, der unabhängig von Relution auftritt und auf ein Problem innerhalb von iOS 18 selbst zurückzuführen ist. Apple ist sich dieses Problems bewusst, und wir empfehlen, die aktuellen Updates von Apple zu verfolgen, da eine Lösung möglicherweise mit einer zukünftigen iOS-Version bereitgestellt wird.

Airdrop #

In iOS 18 kann es zu Schwierigkeiten mit Airdrop kommen, da der neue Bundle Identifier für das Airdrop-UI in der App-Konformität positiv hinterlegt werden muss. Der korrekte Identifier lautet:

com.apple.Sharing.AirDropUI

Passwort-App #

Mit iOS 18 hat Apple eine neue System-App eingeführt, die als Passwort-Safe dient. Falls eine Positivliste freigegebener Apps über die App-Konformität definiert ist, muss auch hier der neue Bundle Identifier der Passwort-App hinterlegt werden, um sie korrekt zuzulassen.

QR-Code-Scanner #

Ein weiteres bekanntes Problem betrifft den QR-Code-Scanner in iOS 18 mit Geräten ab Generation 9. Hier wurde der Bundle Identifier verkürzt. Der aktuelle Identifier lautet:

com.apple.BarcodeScanner

Um dies zu beheben, muss in der App-Konformität die Positivliste manuell ergänzt werden. Der Name ist hierbei irrelevant; es ist lediglich wichtig, den oben genannten Bundle Identifier einzutragen.

Geräte kleiner Generation 9 müssen die separate App Code Scanner verwenden. Diese kann aufgerufen werden indem die Spotlight-Suche vom Homescreen aus von oben nach unten aufgerufen und nach Code gesucht wird.

Langsame Anmeldung bei geteilten iOS Geräten #

Mit iOS 17.x bewirkt das Festlegen der Restriktionskonfiguration Synchronisierung des iCloud-Schlüsselbunds erlauben auf nein, dass die Anmeldung auf gemeinsam genutzten Geräten verlangsamt wird.

Um dieses Verhalten zu umgehen, muss in der angewendeten Restriktions-Konfiguration der Punkt Synchronisierung des iCloud-Schlüsselbunds erlauben auf ja gesetzt werden.

Fehlender Speicherplatz auf iOS Geräten #

Auf iOS Geräten kann es trotz ausreichendem Speicher bei App-Installationen zu einem Hinweis kommen, dass nicht genügend Speicherplatz zur Verfügung steht. Dies wird auch entsprechend in den Systemeinstellungen angezeigt.

Das Problem entsteht durch die Anwendung der Richtlinienkonfiguration Einstellungen geteiltes iPad. Durch wiederholte An- und Abmeldungen von Gastbenutzern am geteilten Gerät kann es spontan zu diesem Fehler kommen.

Um das Auftreten dieses Problems zu vermeiden, empfiehlt es sich, die Richtlinie nicht zu verwenden. Alternativ sollten zumindest die beiden Punkte Speicherplatzquota und Anzahl der Benutzer vermieden werden.

Bei betroffenen Geräten ist es erforderlich, diese auf Werkseinstellungen zurückzusetzen.