Bedingter Zugriff mit Google BeyondCorp

Sie können Workspace ONE UEM in Google Workplace (als BeyondCorp Alliance-Partner) integrieren, um Endpointkonformität und Verwaltungsstatus zur Risikobewertung und Durchsetzung von bedingten Zugriffsrichtlinien zu nutzen.

Durch diese Integration können Sie das Tool-Ökosystem von Workspace ONE UEM, einschließlich der leistungsstarken Compliance Engine, nutzen, um anhand einer Vielzahl von Geräte- und Benutzerattributen die Gerätekonformität mit den Sicherheitsstandards Ihrer Organisation zu ermitteln und den resultierenden Status an Google zu melden. Google Workspace interpretiert diese Endpoint-Statusinformationen, um Sie bei der Konfiguration detaillierter Richtlinien für kontextabhängigen Zugriff zu unterstützen.

Voraussetzungen

Omnissa

• Workspace ONE UEM (alle derzeit unterstützten Versionen) mit Administratorkonto.
• Intelligence
  • Standardmäßig für alle SaaS-Umgebungen verfügbar. Sie müssen sich bei Omnissa Intelligence über Ihre Workspace-ONE-UEM-Umgebung anmelden und für unterbrechungsfreie Funktionalität angemeldet bleiben.
  • Wenn Sie über Omnissa Connect auf Omnissa-Dienste zugreifen, muss die UEM-Datenquelle autorisiert sein und dies auch bleiben. Sie können den Status in der Intelligence Console anzeigen, indem Sie zu Integrationen > Datenquellen > UEM navigieren.
  • Lokale Kunden müssen Omnissa Intelligence konfigurieren, was möglicherweise die Bereitstellung eines lokalen Omnissa Intelligence Konnektors erfordert.
    Weitere Informationen finden Sie unter Anforderungen an Omnissa Intelligence.

Google

• Google Workspace mit entsprechender Lizenzierung zur Konfiguration und Verwaltung von BeyondCorp Alliance-Partnern und kontextbezogenem Zugriff
• Google Cloud mit entsprechender Lizenzierung, um das Cloud Identity API zu aktivieren und ein Dienstkonto und einen Schlüssel für die API-Integration zu erstellen und zu verwalten

Unterstützte Geräteplattformen

Für den BeyondCorp-kontextbezogenen Zugriff werden nur vollständig verwaltete, bei MDM registrierte Geräte unterstützt. Hub- oder App-Registrierungen (über Anwendungen wie Boxer, Content usw.) werden nicht unterstützt. Zusätzliche Anforderungen pro Geräteplattform sind unten aufgeführt.

• iOS: Intelligent Hub ab Version 2209
  • Gemeinschaftsgeräte (Check-in/Check-out) werden nicht unterstützt
  • Geräte, die über die kontogesteuerte Benutzerregistrierung (Account Driven User Enrollment, ADUE) registriert sind, werden nicht unterstützt
• Android: Intelligent Hub ab Version 2209
  • Gemeinschaftsgeräte (Check-in/Check-out) werden nicht unterstützt
• macOS: Intelligent Hub ab Version 2306
• Windows: Intelligent Hub ab Version 2310

Stellen Sie sicher, dass Ihre Geräte sich auf einer Betriebssystemversion befinden, die von Workspace ONE UEM unterstützt wird, und dass sie den Anforderungen an die Betriebssystemversion für die neueste Version von Workspace ONE Intelligent Hub entsprechen. Plattformspezifische Informationen finden Sie in den plattformspezifischen Handbüchern unter Omnissa Workspace ONE UEM. Informationen zum Hub finden Sie unter Omnissa Workspace ONE Intelligent Hub.

Unterstützte Bereitstellungen

Workspace ONE UEM unterstützt derzeit die Integration von Google BeyondCorp sowohl für von Omnissa verwaltete SaaS- als auch für lokale Bereitstellungen. Diese Integration ist jedoch in von Omnissa verwalteten FedRAMP-Umgebungen nicht verfügbar.

Darüber hinaus können Sie jetzt eine einzelne Google Workspace-Domain (Mandant) in mehrere Workspace ONE UEM Umgebungen integrieren. Jede Workspace ONE UEM-Organisationsgruppe (OG), für die Sie dieselbe Google-Domain für kontextbezogenen Zugriff konfigurieren möchten, muss zu einer eindeutigen Workspace-ONE-UEM-Umgebung gehören. Mit anderen Worten: Sie können für mehrere UEM Umgebungen eine Google-Domain haben, aber Sie können nicht eine Google-Domain für mehrere OGs in einer einzelnen UEM Umgebung haben.

Zusätzliche Überlegungen für lokale Umgebungen

Lokale Umgebungen mit UEM Console Server, die in einem internen/eingeschränkten Netzwerk gehostet werden, einschließlich solcher ohne ausgehenden Zugriff auf die relevanten Intelligence-URLs, wie hier angegeben, müssen einen Konsolen-URL mit einem zugeordneten SSL-Zertifikat verwenden. Konsolen-URLs, die nur HTTP verwenden, werden für die Integration des bedingten Zugriffs nicht unterstützt.

Die Protokollfunktion für bedingten Zugriff funktioniert in solchen Umgebungen möglicherweise nicht, da sie ausgehenden Zugriff von Console auf Intelligence erfordert.

Schritte zur Integration von Google BeyondCorp in Workspace ONE UEM

Folgen Sie diesen Schritten, um Workspace ONE UEM in Google BeyondCorp zu integrieren.

1. Google-Cloud-Konsole konfigurieren

Für eine erfolgreiche Integration mit Workspace ONE UEM müssen in Ihrer Google-Cloud-Konsole die folgenden Konfigurationen implementiert werden.

a. Cloud-Identitäts-API aktivieren

Sie müssen sicherstellen, dass die Abrechnung im relevanten Google-Cloud-Projekt aktiviert ist, und dann das Cloud-Identity-API für dieses Projekt aktivieren. Weitere Informationen zum Verwalten der Abrechnung für Ihr Google-Cloud-Projekt finden Sie unter https://docs.cloud.google.com/billing/docs/how-to/modify-project.

Sie finden das Cloud-Identity-API in der Google-Cloud-Console unter APIs & Dienste > Aktivierte APIs & Dienste > APIs und Dienste aktivieren oder indem Sie den folgenden URL öffnen (mit dem entsprechenden Google-Cloud-Projektbezeichner).

https://console.cloud.google.com/apis/enableflow;apiid=cloudidentity.googleapis.com?project={{projectID}}

b. Dienstkonto und Schlüssel erstellen

1. Navigieren Sie zu APIs & Dienste > Anmeldedaten > Dienstkonto erstellen, um ein Dienstkonto zu erstellen. Dieses Konto wird für Authentifizierungsaufrufe von Workspace ONE UEM an Google-Cloud-Identity-APIs verwendet.

2. Navigieren Sie anschließend zu Dienstkonto > Schlüssel > Schlüssel hinzufügen > JSON, um einen Schlüssel für das Dienstkonto zu erstellen. Das Dienstkonto und die Schlüsseldetails werden als JSON-Datei auf Ihrem Computer gespeichert.

3. Navigieren Sie zu IAM & Admin > Dienstkonten > Dienstkontodetails und kopieren und speichern Sie die ID für das Dienstkonto.

   

2. Google-Admin-Konsole konfigurieren

Führen Sie die folgenden Schritte aus, um Ihren Google Workspace für die Integration von BeyondCorp vorzubereiten.

a. Aktivieren Sie domänenweite Delegierung

Aktivieren Sie in Ihrer Google-Verwaltungskonsole die domänenweite Delegierung für das Dienstkonto, das in den vorherigen Schritten über Sicherheit > Zugriff und Datensteuerung > API-Steuerelemente > domänenweite Delegierung > Neu hinzufügen generiert wurde.

Geben Sie die folgenden Details ein:

• Client-ID – Dienstkonto-ID, die im vorherigen Schritt von der Google-Cloud-Konsole abgerufen wurde.
• Geltungsbereich – https://www.googleapis.com/auth/cloud-identity.devices

b. Fügen Sie Workspace ONE Intelligent Hub als Vertrauenswürdige App hinzu

Legen Sie Workspace ONE Intelligent Hub in Ihrer Google-Verwaltungskonsole als vertrauenswürdige App fest, sodass Authentifizierungsanforderungen vom Hub, die für die Registrierung von Endbenutzern erforderlich sind, grundsätzlich vertrauenswürdig sind.

1. Navigieren Sie zu Sicherheit > Zugriff und Datensteuerung > API-Steuerelemente > App-Zugriffssteuerung > App-Zugriff verwalten > Neue App konfigurieren.

2. Suchen Sie nach Intelligent Hub. Führen Sie die folgenden Schritte für Client-IDs com.air-watch.agent (iOS) und com.airwatch.androidagent(Android) aus

   a. Definieren Sie den Geltungsbereich für die relevanten Organisationseinheiten.

   b. Legen Sie den Zugriff auf Google-Daten als vertrauenswürdig fest und beenden/speichern Sie Ihre Änderungen.

   

   c. Wenn Sie die Option Von der Blockierung des API-Zugriffs durch kontextbezogene Zugriffsebenen ausnehmen wählen können, aktivieren Sie diese, beenden Sie und speichern Sie Ihre Änderungen.

c. Omnissa als BeyondCorp Alliance-Partner festlegen

1. Aktivieren Sie Omnissa als BeyondCorp Alliance-Partner über Geräte > Mobilgeräte & Endpoints > Einstellungen > Drittanbieterintegrationen > Sicherheits- und MDM-Partner > Partner verwalten, indem Sie für Omnissa auf Verbindung öffnen klicken.
2. Legen Sie unter Geräte > Mobilgeräte & Endpoints > Einstellungen > Drittanbieter-Integrationen > Android EMM die Option Android-Mobilgeräteverwaltung von Drittanbietern auf „Nicht aktiviert“ fest.
3. Konfigurieren Sie unter Geräte > Mobilgeräte & Endpoints > Einstellungen > Universell > Allgemein Folgendes:
   • Mobiles Management: Standard
   • Kennwortanforderungen: Aus
4. Konfigurieren Sie unter Geräte > Mobilgeräte & Endpoints > Einstellungen > Universell > Datenzugriff Folgendes:
   • Android-Synchronisierung: An
   • iOS-Synchronisierung: An
   • Gerätesignale > Gerätesignale mit Hilfe der Endpointüberprüfung erfassen: Ein

d. Konfigurieren und Zuweisen von Zugriffsebenen

Sie können Richtlinien für kontextbezogenen Zugriff in der Google-Verwaltungskonsole konfigurieren, um den Zugriff auf Google Workspace-Ressourcen basierend auf der Workspace ONE UEM-Registrierung und dem Konformitätsstatus eines Geräts zuzulassen oder zu verweigern. Konfigurieren Sie Richtlinien für kontextsensitiven Zugriff über Sicherheit > Zugriff und Datensteuerung > kontextbezogener Zugriff > Zugriffsebenen > Zugriffsebene erstellen, indem Sie die folgenden Schritte ausführen:

1. Kontextbezogene Richtlinien bestehen aus Bedingungen. Um die Werte und Bedingungen für diese Richtlinien anzugeben, müssen Sie erweiterte Kontextbedingungen verwenden. Beispiele finden Sie in der Google-Dokumentation.

   • Erstellen und Zuweisen kontextbezogener Zugriffsebenen
   • Beispiele für den erweiterten Modus
   • Common Expression Language (CEL): Geräteattributspezifikation
     Die folgende Zugriffsstufe lässt beispielsweise nur Geräte zu, die in Workspace ONE UEM registriert und konform sind und für den kontextbezogenen Zugriff von Google über Workspace ONE UEM registriert sind: (device.vendors["Omnissa"].is_compliant_device == true) && (device.vendors["Omnissa"].is_managed_device == true)

2. Weisen Sie der/den relevanten Google Workspace-Anwendung(en) über Sicherheit > Zugriff und Datensteuerung > kontextbezogener Zugriff > Zugriffsebenen > Zugriffsebenen zuweisen > Zugriffsebenen an Apps zuweisen eine Zugriffsebene zu.

   a. Wählen Sie eine oder mehrere Apps aus und weisen Sie die entsprechende Zugriffsebene zu.

   b. Aktivieren Sie in den Richtlinieneinstellungen nicht die Option Zugriff anderer Apps auf die ausgewählten Apps über APIs blockieren, wenn die Zugriffsebenen nicht erfüllt sind. Wenn Sie diese Einstellung aktivieren müssen, stellen Sie sicher, dass die Option Apps auf der Positivliste ausschließen, damit diese unabhängig von den Zugriffsebenen immer auf APIs für bestimmte Google-Dienste zugreifen können aktiviert ist und die iOS- und Android-Instanzen von Intelligent Hub (siehe Abschnitt „Hinzufügen von Workspace ONE Intelligent Hub als vertrauenswürdige App“ oben) zur Ausnahmeliste hinzugefügt werden.

3. Aktivieren Sie für Ihre Endbenutzer eine Wartungsmeldung über Sicherheit > Zugriff und Datensteuerung > Kontextbezogener Zugriff> Allgemeine Einstellungen.

   a. Standardisierungsmeldungen aktivieren.

   b. Konfigurieren Sie optional eine zusätzliche benutzerdefinierte Meldung, um Ihren Endbenutzern relevante Anleitungen bereitzustellen. Dies wird Endbenutzern angezeigt, wenn sie versuchen, auf eine Google Workspace-Ressource zuzugreifen und dabei von einer kontextbezogenen Zugriffsebene blockiert werden. Zum Beispiel:

   „Ihr geschäftliches Google-Konto ist nicht mit Workspace ONE Intelligent Hub verbunden, um auf diese App zugreifen zu können. Klicken Sie hier, um sich mit dem Workspace ONE Intelligent Hub zu verbinden. https://{{Your Omnissa Intelligence URL}}/#/compliance/tenants/UEM_tenant/google/remediation“.

   Sie finden Ihren Omnissa Intelligence-URL, indem Sie Ihre Intelligence Console starten und den URL anzeigen lassen. Beispiel: ap2.data.workspaceone.com

3. Workspace ONE UEM mit Google BeyondCorp verbinden

Stellen Sie in Ihrer Workspace ONE UEM Console sicher, dass Sie sich in der Organisationsgruppe des Typs Kunde befinden. Sie können den Organisationsgruppentyp über Gruppen & Einstellungen > Gruppen > OG-Details > Typ überprüfen.

1. Navigieren Sie zu Gruppen & Einstellungen > Integrationen und klicken Sie auf Einrichten für die Integration des kontextsensitiven Zugriffs von Google BeyondCorp.

2. Klicken Sie auf Erste Schritte und geben Sie die folgenden Informationen ein:

   • Kunden-ID – Diese können Sie über die Google-Admin-Konsole unter Konto > Kontoeinstellungen > Profil > Kunden-ID abrufen.
   • Admin-E-Mail-Adresse – Geben Sie die E-Mail-Adresse des Administrators der Google-Admin-Konsole an.
   • JSON-Datei des Google-Dienstkontos importieren – Laden Sie die von der Google Cloud-Konsole erhaltene .json-Datei hoch, die das Google Cloud-Dienstkonto und wichtige Details enthält. Siehe Dienstkonto und Schlüssel erstellen.

3. Klicken Sie auf Mit Google BeyondCorp verbinden und bestätigen Sie, dass die Integration gespeichert wurde.

Integrieren mehrerer Workspace ONE UEM-Umgebungen in eine Google Workspace-Domäne

Um mehrere Workspace ONE UEM-Umgebungen zu integrieren, müssen Sie die Schritte für die Workspace ONE UEM-Konfiguration in jeder Umgebung wiederholen. Die Schritte zum Konfigurieren der Google Cloud-Konsole und der Google-Admin-Konsole werden nur einmal ausgeführt. Verwenden Sie jedoch für jede Workspace ONE UEM-Umgebung ein separates Google Cloud-Dienstkonto oder einen separaten Schlüssel. Wenn Sie sich dafür entscheiden, müssen Sie die domänenweite Delegierung in der Google Admin-Konsole für jedes Dienstkonto aktivieren.

Geräteeintragung

Plattformen, die eine Benutzerinteraktion zur Geräteregistrierung erfordern, unterstützen in der Regel zwei Pfade.

• Self-Service-Registrierungsablauf
  Die Endbenutzer Ihres Geräts können sich über einen Deeplink, den Sie auf ihre Geräte übertragen, oder über die Schaltfläche „Registrierung mit bedingtem Zugriff“ in Hub (auf unterstützten Plattformen) selbst registrieren, wenn Sie diese über die Console aktivieren. Die Schritte zur Bereitstellung des Deeplinks oder der Registrierungsschaltfläche sind in den unten aufgeführten plattformspezifischen Handbüchern angegeben.

• Wartungsablauf
  Alternativ kann der Endbenutzer des Geräts sich über eine Google Workspace-Anwendung, die einer Richtlinie für bedingten Zugriff unterliegt, anmelden oder versuchen, auf Daten zuzugreifen. Dies setzt voraus, dass das Gerät als konform markiert wird. Wenn Google Workspace den Zugriff des Endbenutzers auf das Gerät einschränkt, wird ihm die in Google Workspace konfigurierte Wartungsmeldung angezeigt. Der Endbenutzer kann dem Link „Wartung“ folgen, um sich für den bedingten Zugriff über Intelligent Hub zu registrieren. Weisen Sie den Endbenutzer des Geräts an, diese Aufforderungen zu befolgen.

iOS

Intelligent Hub und mindestens eine Google Workspace-App (Gmail, Kalender, Drive, Docs, Tabellen und Präsentationen) sind erforderliche Anwendungen auf iOS-Geräten, die den kontextbezogenen Zugriff verwenden. Weisen Sie Ihren iOS-Geräten diese Anwendungen über die Workspace ONE UEM Console als verwaltete Anwendungen zu und stellen Sie sie bereit. Weitere Informationen finden Sie unter Einführung in die iOS-Anwendungsverwaltung.

Bereitstellen und Konfigurieren einer Google Workspace-Anwendung

Das Verfahren verwendet Gmail als Beispiel. Sie können diese Schritte für jede der oben genannten Google Workspace-Apps durchführen.

1. Fügen Sie Gmail in Workspace ONE UEM als öffentliche oder VPP-Anwendung hinzu und weisen Sie sie relevanten Geräten zu.

2. Stellen Sie im Abschnitt Einschränkungen der Zuweisung sicher, dass Anwendung bei Benutzerinstallation unter MDM-Verwaltung setzen aktiviert ist. Mit diesem Schritt kann Workspace ONE UEM die Verwaltung der App übernehmen, wenn der Endbenutzer die App zuvor als nicht verwaltet installiert hat. Auf überwachten Geräten wird von einer automatischen Verwaltung ausgegangen. Auf nicht überwachten Geräten wird der Endbenutzer aufgefordert, Workspace ONE die Verwaltung der App zu gestatten, und er muss dies genehmigen. Dies ist wichtig, damit der nächste Schritt gelingen kann.

3. Aktivieren Sie im Abschnitt Anwendungskonfiguration der Zuweisung Konfiguration senden und fügen Sie die aufgelisteten Schlüssel-Wert-Paare (KVPs) hinzu:

   Konfigurationsschlüssel	Werttyp	Konfigurationswert
   partner	Zeichenkette	2e0b4c99-5fa7-489e-b256-1ca0f9d78113
   iosDeviceId	Zeichenkette	{DeviceUid}

Diese KVPs werden auf dem Gerät bereitgestellt, sobald Workspace ONE UEM beginnt, die App zu verwalten.

Der Self-Service-Registrierungsablauf kann auf zwei Arten aktiviert werden.

• Aktivieren der Schaltfläche „Registrierung mit bedingtem Zugriff“ auf Intelligent Hub.
• Konfigurieren und Liefern eines Deeplinks als Webclip.

Registrierungsschaltfläche in Intelligent Hub (empfohlen)

Ab Intelligent Hub für iOS Version 25.11 können Sie den Registrierungsprozess für Endbenutzer vereinfachen, indem Sie in Hub die Schaltfläche „Registrierung mit bedingtem Zugriff“ aktivieren.

Um die Registrierungsschaltfläche zu aktivieren, gehen Sie wie folgt vor:

1. Navigieren Sie in der Workspace OEM Console zu Gruppen & Einstellungen > Alle Einstellungen > Apps > Einstellungen und Richtlinien > Einstellungen.

2. Aktivieren Sie Benutzerdefinierte Einstellungen, fügen Sie das folgende Schlüssel-Wert-Paar in das Feld Benutzerdefinierte Einstellungen ein und wählen Sie dann Speichern.

   { "displayRegisterConditionalAccessButton":true }

Sobald der Hub diese Einstellungen anwendet, wird die Schaltfläche „Registrierung für bedingten Zugriff“ angezeigt. Auf zuvor registrierten Geräten müssen Sie möglicherweise das Beenden erzwingen und den Hub neu starten, damit die Änderungen wirksam werden.

Registrierungs-Webclip

Um einen Deeplink als Webclip zu konfigurieren und zu liefern, folgen Sie diesen Schritten:

1. Navigieren Sie in der Workspace ONE UEM Console zu Ressourcen > Apps > Weblinks und wählen Sie Anwendung hinzufügen
2. Wählen Sie Apple iOS und dann Weiter.
3. Geben Sie auf der Registerkarte Details für den Weblink einen geeigneten Namen ein. Dieser wird als Name des Webclip-Symbols auf dem Gerät und im Hub-Katalog angezeigt.
4. URL festlegen auf wsonehub://conditionalaccess?partner=google
5. Optional können Sie eine aussagekräftige Beschreibung vergeben.
6. Wählen Sie auf dem Tab Zuweisung die relevanten Smartgruppen für die Zuweisung aus und konfigurieren Sie, falls erforderlich, Ausschlüsse.
7. „Push“ auf „Automatisch“ festlegen (empfohlen)
8. Konfigurieren Sie die erweiterten Einstellungen und wählen Sie Speichern und veröffentlichen.

Benutzererfahrung

Die Benutzererfahrung variiert je nachdem, wie dieser auf eine Google Workspace-Anwendung, z.B. Gmail, zugreift.

Benutzer ist bereits bei Gmail angemeldet

Wenn der Nutzer in Gmail bereits Zugriff auf sein Unternehmenskonto hat, muss er die folgenden Schritte ausführen:

1. Sicherstellen, dass Gmail von Workspace ONE UEM verwaltet wird. UEM stellt die App-Konfigurations-KVPs automatisch bereit, sobald es die Verwaltung der Anwendung übernommen hat. Wie bereits erwähnt, muss der Endbenutzer auf nicht überwachten Geräten die Aufforderung von Workspace ONE UEM akzeptieren, um die Verwaltung zu übernehmen.
2. Öffnen Sie Gmail, damit die App die Schlüssel-Wert-Paare an Google Workspace weiterleiten kann, sodass Google die DURN eindeutig mit der UEM-Geräte-UDID des Geräts verknüpfen kann.
3. Registrieren Sie sich erneut für bedingten Zugriff, indem Sie eine der folgenden Methoden durchführen:
   • Durch Auswahl des Webclips für die ZS-Registrierung, den der Administrator auf seinem Gerät bereitgestellt hat, ODER
   • Verwenden der Schaltfläche „Registrierung mit bedingtem Zugriff“ in Intelligent Hub, wenn der Administrator diese Option aktiviert hat.

Benutzer ist nicht bei Gmail angemeldet

Wenn der Nutzer in Gmail noch nicht auf sein Unternehmenskonto zugegriffen hat, muss er die folgenden Schritte ausführen:

1. Stellen Sie sicher, dass Gmail durch Workspace ONE UEM verwaltet wird. UEM stellt die App-Konfigurations-KVPs automatisch bereit, sobald es die Verwaltung der Anwendung übernommen hat. Wie bereits erwähnt, muss der Endbenutzer auf nicht überwachten Geräten die Aufforderung von Workspace ONE UEM akzeptieren, um die Verwaltung zu übernehmen.

2. Öffnen Sie Gmail und versuchen Sie, sich mit dem Unternehmenskonto anzumelden.

   a. Wenn für den Benutzer eine CA-Richtlinie erzwungen wird, die Registrierung und Compliance für Gmail erfordert, wird ihm von Google eine „Wartungsmeldung“ angezeigt, die ihn zur Durchführung der CA-Registrierung über Intelligent Hub umleitet. Sie müssen den Registrierungsaufforderungen folgen und sich über Hub erfolgreich bei der Zertifizierungsstelle registrieren und dann zurückkehren, um sich bei Gmail anzumelden.

   b. Wenn eine Zertifizierungsstellenrichtlinie, die Registrierung und Compliance erfordert, für den Benutzer für Gmail nicht erzwungen wird, autorisiert Google den Benutzer, so dass er auf Gmail zugreifen kann. Sie können die CA-Registrierung wie folgt initiieren:

   • Durch Auswahl des Webclips für die ZS-Registrierung, den der Administrator auf seinem Gerät bereitgestellt hat, ODER
   • Verwenden der Schaltfläche „Registrierung mit bedingtem Zugriff“ in Intelligent Hub, sofern der Administrator diese Option aktiviert hat.

Android

Der Self-Service-Registrierungsablauf kann auf zweierlei Weise aktiviert werden.

• Aktivieren der Schaltfläche „Registrierung mit bedingtem Zugriff“ auf Intelligent Hub.
• Konfigurieren und Ausliefern eines Deeplinks als Webclip.

Registrierungsschaltfläche in Intelligent Hub (empfohlen)

In Intelligent Hub für Android ab Version 25.11 können Sie den Registrierungsvorgang für Endbenutzer vereinfachen, indem Sie in Hub die Schaltfläche für die Registrierung für bedingten Zugriff aktivieren. Um die Registrierungsschaltfläche zu aktivieren, gehen Sie wie folgt vor:

1. Navigieren Sie in der Workspace OEM Console zu Gruppen & Einstellungen > Alle Einstellungen > Apps > Einstellungen und Richtlinien > Einstellungen.

2. Aktivieren Sie Benutzerdefinierte Einstellungen, fügen Sie das folgende Schlüssel-Wert-Paar in das Feld „Benutzerdefinierte Einstellungen“ ein und wählen Sie dann Speichern.

   { "displayRegisterConditionalAccessButton":true }

Sobald der Hub diese Einstellungen anwendet, wird die Schaltfläche „Registrierung für bedingten Zugriff“ angezeigt. Auf zuvor registrierten Geräten müssen Sie möglicherweise das Beenden erzwingen und den Hub neu starten, damit die Änderungen wirksam werden.

3. Weisen Sie Endbenutzer an, die Registrierung zu initiieren, indem Sie in Intelligent Hub auf die Schaltfläche „Für bedingten Zugriff registrieren“ klicken

Lesezeichen für Registrierung

Um einen Deeplink als Webclip zu konfigurieren und auszuliefern, folgen Sie diesen Schritten:

1. Navigieren Sie in der Workspace ONE UEM Console zu Ressourcen > Apps > Weblinks und wählen Sie Anwendung hinzufügen.
2. Wählen Sie als Plattform Android und dann Weiter.
3. Geben Sie auf der Registerkarte Details für den Weblink einen geeigneten Namen ein. Dieser wird als Name des Bookmark-Symbols auf dem Gerät und im Hub-Katalog angezeigt.
4. URL festlegen auf wsonehub://conditionalaccess?partner=google
5. Optional können Sie eine aussagekräftige Beschreibung vergeben.
6. Wählen Sie für die Zuweisung auf der Registerkarte Zuweisung die relevanten Smartgruppen aus und konfigurieren Sie Ausschlüsse, falls erforderlich.
7. „Push“ auf „Automatisch“ festlegen (empfohlen)
8. Setzen Sie Zum Startbildschirm hinzufügen auf Ja.
9. Weisen Sie die Endanwender des Geräts an, die Registrierung durch Anklicken des bereitgestellten Bookmarks einzuleiten.

macOS

Googles Chrome Endpoint Verification-Erweiterung ist für die CA-Registrierung auf macOS-Geräten erforderlich. Sie müssen sicherstellen, dass diese auf den macOS-Geräten der Endbenutzer installiert und aktiviert ist, damit sie sich für den kontextbezogenen Zugriff registrieren können.

Führen Sie zum Aktivieren des Self-Service-Registrierungsablaufs die folgenden Schritte aus, um einen Deeplink als Webclip zu konfigurieren und bereitzustellen.

1. Navigieren Sie in der Workspace ONE UEM Console zu Ressourcen > Apps > Weblinks und wählen Sie Anwendung hinzufügen.
2. Wählen Sie als Plattform Apple macOS aus und wählen Sie dann Weiter.
3. Geben Sie auf der Registerkarte Details für den Weblink einen geeigneten Namen ein. Dieser wird als Name des Bookmark-Symbols auf dem Gerät und im Hub-Katalog angezeigt.
4. URL festlegen auf wsonehub://conditionalaccess?partner=google
5. Optional können Sie eine aussagekräftige Beschreibung vergeben.
6. Wählen Sie in der Registerkarte Zuweisung die relevanten Smartgroups für die Zuweisung aus und konfigurieren Sie Ausschlüsse, falls erforderlich.
7. „Push“ auf „Automatisch“ festlegen (empfohlen)
8. Weisen Sie die Endanwender des Geräts an, die Registrierung durch Anklicken des bereitgestellten Bookmarks einzuleiten.

Windows

Googles Chrome Endpoint Verification-Erweiterung ist für die CA-Registrierung auf Windows-Geräten erforderlich. Sie müssen sicherstellen, dass diese auf den Windows-Geräten der Endbenutzer installiert und aktiviert ist, damit sie sich für den kontextbezogenen Zugriff registrieren können.

Führen Sie zum Aktivieren des Self-Service-Registrierungsablaufs die folgenden Schritte aus, um einen Deeplink als Webclip zu konfigurieren und bereitzustellen.

1. Navigieren Sie in der Workspace ONE UEM Console zu Ressourcen > Apps > Weblinks und wählen Sie Anwendung hinzufügen.
2. Wählen Sie als Plattform Windows aus und wählen Sie dann Weiter.
3. Geben Sie auf der Registerkarte Details für den Weblink einen geeigneten Namen ein. Dieser wird als Name des Webclip-Symbols im Hub-Katalog angezeigt.
4. URL festlegen auf ws1winhub://conditionalaccess?partner=google
5. Optional können Sie eine aussagekräftige Beschreibung vergeben.
6. Wählen Sie in der Registerkarte Zuweisung die relevanten Smartgroups für die Zuweisung aus und konfigurieren Sie Ausschlüsse, falls erforderlich.
7. „Push“ auf „Automatisch“ festlegen (empfohlen)
8. Weisen Sie die Endanwender des Geräts an, die Registrierung durch Anklicken des bereitgestellten Bookmarks einzuleiten.

Überwachung und Fehlerbehebung der Google BeyondCorp-Integration

Workspace ONE UEM bietet mehrere Tools und Schnittstellen, um den Status Ihrer Google BeyondCorp-Integration zu überwachen und Probleme bei der Geräteregistrierung zu beheben.

Integrationsstatus

In der Workspace ONE UEM Console können Sie die Details zur Google BeyondCorp-Integration unter Gruppen & Einstellungen > Integrationen > Integration des kontextsensitiven Zugriffs von Google BeyondCorp anzeigen, indem Sie auf Anzeigen klicken. Die folgenden Informationen sind verfügbar:

• Integrationsstatus: Zeigt an, ob die Integration aktiviert wurde. Dies ist kein Indikator für die aktuelle Konnektivität.
• Kunden-ID: Kunden-ID des Google Workspace-Kontos.
• Admin-E-Mail-Adresse: Die beim Aktivieren der Integration verwendete Google-E-Mail-Adresse.
• Konfiguriert am: Datum, an dem die Integration erstmals eingerichtet wurde.

Geräteeintragungsstatus

Auf der Seite Gerätedetails > Übersicht wird auf der Karte „Sicherheit“ ein Google BeyondCorp-Registrierungsstatus angezeigt. Dieser Status wird auf „Aktiviert“ gesetzt, wenn UEM von einem Gerät einen gültigen Google-Gerätebezeichner empfängt – diese Daten werden von Intelligent Hub an UEM weitergeleitet.

Die Google-Geräte-ID wird auf der Karte „Geräteinformationen“ angezeigt. Sie finden diesen Bezeichner in der Google-Verwaltungskonsole unter Geräte > Mobilgeräte und Endpoints > Gerätedetails > Geräteinformationen im Feld Geräteressourcen-ID.

Protokoll des bedingten Zugriffs

Auf der Seite Gerätedetails > Weitere > Protokoll für bedingten Zugriff wird ein Verlauf der Interaktionen zwischen Workspace ONE und Google für das Gerät angezeigt. Der Schwerpunkt liegt auf Aufrufen zwischen dem Compliance Broker und Google-Cloud-APIs. Dieser Verlauf enthält die an Google weitergeleiteten Verwaltungs- und Konformitätsstatus sowie das Datum/die Uhrzeit, zu dem/der diese Informationen weitergeleitet wurden. Die Ereignisdetails enthalten in der Regel Folgendes.

• Zeitstempel für Versand der Anforderung
• Partnergeräte-ID – Der vollständige Google-Ressourcenbezeichner für den Benutzer und das Gerät. Typischerweise ist das Format devices/{device}/deviceUsers/{Google Device ID}, wobei „Google Device ID“ der unter Gerätedetails > Übersicht > Geräteinfo angezeigte Bezeichner ist.
• Nachrichten-ID
• Geräteverwaltungsstatus – Der UEM-Registrierungsstatus des Geräts
• Konformitätsstatus – Der UEM-Konformitätsstatus des Geräts
• API-Anforderungstext – Die im Text der an Google gesendeten API-Anforderung enthaltenen Details
• API-Antworttext – Die in der Antwort von Google enthaltenen Details

Protokoll für Geräteereignisse und Gerätefehlerbehebung

Ein Teil der im Protokoll für bedingten Zugriff angezeigten Informationen ist auch auf den folgenden Seiten verfügbar.

• Geräteereignisse: Überwachung > Ereignisse und Protokolle > Geräteereignisse
• Gerätedetails > Weitere > Fehlerbehebung > Ereignisprotokoll

Diese Seiten enthalten zwei Arten von Ereignissen:

• Geräteregistrierung mit bedingtem Zugriff – Wird aufgezeichnet, wenn UEM vom Hub relevante Daten empfängt und diese an den Compliance-Broker weiterleitet (zur Weiterleitung an Google).
• Änderung des Gerätestatus mit bedingtem Zugriff – Wird aufgezeichnet, wenn UEM eine Änderung im Konformitäts- oder Registrierungsstatus des Geräts feststellt und ein Update an den Compliance Broker sendet (zur Weiterleitung an Google)

Die Ereignisdaten für diese Ereignisse enthalten in der Regel:

• Geräte-UUID – Der eindeutige Bezeichner von Workspace ONE UEM für das Gerät
• Geräteverwaltungsstatus – Der UEM-Registrierungsstatus des Geräts
• Konformitätsstatus – Der UEM-Konformitätsstatus des Geräts
• Compliance-Broker-Anforderung – Details der Informationen, die an den Workspace ONE Compliance-Broker-Dienst weitergeleitet werden, um an Google weitergeleitet zu werden.
• Erfolgreich – Gibt an, ob die Anforderung erfolgreich an den Compliance Broker gesendet wurde

REST API

Ein REST-API-Endpoint ist verfügbar, um die Registrierungsinformationen für bedingten Zugriff für ein bestimmtes Gerät abzurufen, identifiziert durch seine Workspace ONE UEM Geräte-UUID.

GET /devices/{deviceUuid}/conditional-access-device-registration-information

Die API-Antwort enthält Folgendes, wenn ein Gerät registriert ist.

• partner_device_id – Google-Geräte-ID
• partner_tenant_id – Kunden-ID des Google Workspace-Kontos.

Weitere Informationen finden Sie in der REST-API-Dokumentation unter /api/help. Eine Erläuterung des Zugriffs auf die API-Dokumentation in Ihrer spezifischen Umgebung finden Sie unter Zugriff auf die API-Dokumentation.