Løsningen:
Tre isolasjonslag
Ingen enkelt mekanisme gir fullstendig tenant-isolasjon.
De tre lagene
Apple Network Relay (MASQUE/HTTP3 QUIC) fanger opp all trafikk til Microsoft-domener på OS-nivå og tunnelerer den gjennom omveien. Applikasjoner kan ikke omgå dette. Det finnes ingen direkte vei til Microsoft fra klientenheten.
Omveien krever at klienten presenterer et hardware-bundet ACME-enhetssertifikat. Kun MDM-administrerte enheter med gyldig sertifikat kan etablere QUIC-tilkoblingen. Ingen sertifikat — ingen tilgang, ingen logg.
De to autentiseringsdomenene rutes via DNS til en lokal TLS-termineringsproxy som injiserer TR v2-headeren. Alt annet går uendret.
Hvert lag er nødvendig
| Uten lag | Konsekvens |
|---|---|
| Uten lag 1 (MASQUE) | Trafikk går direkte — lag 2 og 3 kan ikke håndheves siden vi ikke kontrollerer veien |
| Uten lag 2 (mTLS) | Enhver enhet kan nå omveien — ingen enhetsgodkjenning |
| Uten lag 3 (TLS-avskjæring & TR v2) | TR v2-headeren injiseres aldri |
Nøkkelinnsikten: MASQUE er det manglende leddet. Tenant Restrictions v2 har eksistert lenge, men har ikke vært håndhevbar på klientnivå uten en mekanisme som tvinger all relevant trafikk gjennom en kontrollert proxy. MASQUE er denne mekanismen.