Konfigurieren von Omnissa Access für die Single Sign-On-Authentifizierung von Workspace ONE UEM-Geräten

Wenn Workspace ONE UEM- und Omnissa Access-Dienste integriert werden, können sich Benutzer über registrierte Workspace ONE UEM-Geräte bei der Workspace ONE Intelligent Hub-App anmelden, um ohne Eingabe mehrerer Kennwörter auf ihre aktivierten Apps zuzugreifen.

Inhalt dieses Abschnitts

Die im folgenden Abschnitt enthaltenen Themen führen Sie durch die Konfiguration der SSO-Authentifizierung (Single Sign-On) für Benutzer, die über bei Workspace ONE UEM registrierte Geräte auf Anwendungen zugreifen. Bei ordnungsgemäßer Konfiguration können Benutzer mit minimalen Authentifizierungsaufforderungen auf ihre Workspace ONE Intelligent Hub-App- und Unternehmensressourcen zugreifen, wodurch ein nahtloses und sicheres Benutzererlebnis entsteht.

Die Workflows in diesem Abschnitt legen das grundlegende Authentifizierungs- und Zugriffssteuerungs-Framework fest, das Workspace ONE UEM mit Omnissa Access verbindet. Sie konfigurieren die Synchronisation von Benutzern zwischen Systemen, richten Authentifizierungsmethoden ein und definieren Zugriffsrichtlinien, die den Zeitpunkt und die Art und Weise des Benutzerzugriffs auf die jeweiligen Anwendungen festlegen.

Dieser Abschnitt behandelt die folgenden wichtigen Konfigurationsbereiche:

• Benutzersynchronisierung: Einrichten von Identitätsdatenflüssen zwischen Workspace ONE UEM- und Omnissa Access-Verzeichnissen, um sicherzustellen, dass sich Benutzer bei den entsprechenden Identitätsquellen authentifizieren können.

• Authentifizierungsmethoden: Konfigurieren kennwortbasierter Authentifizierung über AirWatch Cloud Connector und Einrichten integrierter Identitätsanbieter zur Validierung der Benutzeranmeldedaten.

• Integration der Gerätekonformität (optional): Sicherstellen, dass verwaltete Geräte die Richtlinien zur Sicherheitsübereinstimmung erfüllen, bevor Zugriff auf Anwendungen gewährt wird.

• Konfiguration der Zugriffsrichtlinie: Erstellen von Richtlinienregeln, die die Authentifizierung und den Zugriff von Benutzern auf Anwendungen basierend auf Netzwerkstandort, Gerätetyp und Konformitätsstatus steuern.

Bedeutung dieser Schritte

• Nahtlose Benutzererfahrung: Single Sign-On reduziert Hürden bei der Authentifizierung. Nach der ersten Anmeldung greifen Benutzer ohne wiederholte Eingabe von Anmeldedaten auf ihre Anwendungen zu, wodurch die Produktivität bei gleichzeitiger Aufrechterhaltung der Sicherheit gesteigert wird.

• Einheitliche Identitätsverwaltung: Indem Benutzer zwischen Workspace ONE UEM und Omnissa Access synchronisiert werden, entsteht eine Single Source of Truth für Benutzeridentitäten, was die Verwaltung vereinfacht und konsistenten Zugriff in Ihrer Umgebung gewährleistet.

• Sicherheit durch Konformität: Mit der optionalen Compliance-Überprüfung wird sichergestellt, dass nur Geräte, die die Sicherheitsstandards erfüllen, auf Unternehmensressourcen zugreifen können. Wenn ein Gerät kompromittiert wird oder die Richtlinien nicht mehr einhält, wird der Zugriff automatisch blockiert, bis die Probleme behoben sind.

• Flexible Zugriffssteuerung: Mit Zugriffsrichtlinien können Sie Authentifizierungsanforderungen je nach Kontextfaktoren wie Netzwerk, Gerätetyp und Konformitätsstatus präzise steuern. Auf diese Weise können Sicherheit und Benutzerfreundlichkeit risikobasiert abgewogen werden.

• Grundlagen für erweiterte Szenarien: Die Konfigurationen in diesem Abschnitt legen die Grundlage für erweiterte Authentifizierungsszenarien, wie z. B. Mobile SSO für iOS-Geräte, die in späteren Abschnitten behandelt werden.

Übersicht über Konfigurations-Workflows

Die Verfahren in diesem Abschnitt folgen einer logischen Reihenfolge, wobei einige Schritte obligatorisch sind und andere von den Anforderungen Ihrer konkreten Bereitstellung abhängen:

Phase 1: Benutzersynchronisierung (erforderlich)

Auswählen der Methode für die Benutzersynchronisierung

Benutzer können sich erst authentifizieren, nachdem Benutzerkonten zwischen Workspace ONE UEM und Omnissa Access synchronisiert wurden. Ihre Methode richtet sich danach, wie Benutzerkonten in Workspace ONE UEM verwaltet werden:

• Synchronisieren verzeichnisbasierter Konten: Verwenden Sie diesen Workflow, wenn Ihre Workspace ONE UEM-Bereitstellung in Active Directory oder OpenLDAP integriert wird. Hierbei handelt es sich um das häufigste Unternehmensszenario, das Folgendes umfasst:

  • Zuordnen von Benutzerattributen zwischen UEM- und Access-Verzeichnissen.
  • Konfigurieren der Verzeichnissynchronisierung.
  • Verwalten von Gruppenmitgliedschaften.

• Synchronisieren lokaler Workspace ONE UEM-Standardbenutzerkonten mit Omnissa Access: Verwenden Sie diesen Workflow, wenn Benutzer ohne Verzeichnisintegration lokal in Workspace ONE UEM erstellt werden. Bei dieser Methode wird Folgendes durchgeführt:

  • Synchronisierung eigenständiger Benutzerkonten mit Omnissa Access.
  • Unterstützung von Umgebungen ohne Verzeichnisinfrastruktur.
  • Aktivierung grundlegender Authentifizierungsszenarien.

Wichtig: Wählen Sie nur eine Synchronisierungsmethode basierend auf dem Typ Ihres UEM-Benutzerkontos aus. Synchronisieren Sie dieselben Benutzer nicht unter Verwendung beider Methoden, da dies zu Konflikten und Authentifizierungsfehlern führen kann.

Phase 2: Authentifizierungskonfiguration (erforderlich)

• Implementieren der Authentifizierung mit AirWatch Cloud Connector: Konfigurieren Sie den AirWatch Cloud Connector, um Kennwortauthentifizierung zu aktivieren. Diese Komponente umfasst Folgendes:

  • Vermittlung von Authentifizierungsanforderungen zwischen Omnissa Access und Ihren Identitätsquellen.
  • Unterstützung der Validierung von Active Directory-Anmeldedaten.
  • Just-in-Time-Benutzerbereitstellung für die erstmalige Anmeldung.

• Konfigurieren integrierter Identitätsanbieter in Omnissa Access: Verknüpfen Sie Authentifizierungsmethoden mit integrierten Identitätsanbietern, um die Art und Weise der Validierung von Benutzeranmeldedaten in Omnissa Access festzulegen. Dazu gehören:

  • Verknüpfen der Kennwort-Authentifizierungsmethoden mit integrierten Identitätsanbietern
  • Konfigurieren der Priorität von Authentifizierungsmethoden
  • Einrichten von Parametern für die Sitzungszeitüberschreitung

Phase 3: Integration der Gerätekonformität (optional – Sicherheitserweiterung)

• Zeitpunkt für die Aktivierung der Compliance-Überprüfung: Wenn Ihre Sicherheitsanforderungen erfordern, dass nur konforme Geräte auf Unternehmensressourcen zugreifen können, führen Sie die folgenden optionalen Verfahren durch:

  • Aktivieren der Compliance-Überprüfung für von Workspace ONE UEM verwaltete Geräte Aktivieren Sie Funktion zur Compliance-Überprüfung, damit Omnissa Access den Konformitätsstatus der Geräte in Workspace ONE UEM abfragen kann. Auf diese Weise wird die technische Integration zwischen den beiden Systemen hergestellt.

  • Konfigurieren von Compliance-Überprüfungsregeln in Omnissa Access: Definieren Sie bestimmte Konformitätsregeln in den Zugriffsrichtlinien, um den Zugriff von konformen Geräten zu sperren. Mit Regeln kann Folgendes überprüft werden:

    • Verschlüsselungsstatus des Geräts.
    • Anforderungen an die Betriebssystemversion.
    • Jailbreak- und Root-Erkennung.
    • Erforderliche Anwendungen oder Profile.

  Hinweis: Die Compliance-Überprüfung erfordert, dass Konformitätsrichtlinien bereits in Workspace ONE UEM konfiguriert sind. Wenn Sie diese Verfahren überspringen, können sich Benutzer unabhängig vom Konformitätsstatus über jedes registrierte Gerät authentifizieren.

Phase 4: Konfiguration der Zugriffsrichtlinie (erforderlich)

• Konfigurieren von Zugriffsrichtlinien in Omnissa Access zum Verwalten des Benutzerzugriffs auf Apps im Hub-Katalog: Machen Sie sich mit den Grundlagen von Zugriffsrichtlinien und der Frage vertraut, wie Authentifizierungs- und Autorisierungsentscheidungen durch Richtlinienregeln gesteuert werden. In diesem konzeptuellen Thema wird Folgendes erläutert:

  • Die Funktionsweise der Richtlinienauswertung.
  • Der Unterschied zwischen der Standardzugriffsrichtlinie und benutzerdefinierten Anwendungsrichtlinien.
  • Struktur und Komponenten der Richtlinienregel.

• Hinzufügen von Authentifizierungsregeln zur Omnissa Access-Standardzugriffsrichtlinie: Konfigurieren Sie Authentifizierungsregeln in der Standardzugriffsrichtlinie, die für alle Anwendungen gilt. Die Regeln geben Folgendes an:

  • Die zu verwendenden Authentifizierungsmethoden.
  • Netzwerkbereiche, in denen Regeln gelten.
  • Zulässige Gerätetypen.
  • Sitzungsdauer.

• Konfigurieren einer Richtlinie in Omnissa Access zur Einschränkung des Zugriffs auf Anwendungen: Erstellen Sie benutzerdefinierte Zugriffsrichtlinien für Anwendungen, die strengere Zugriffskontrollen als die Standardrichtlinie erfordern. Dies ermöglicht Ihnen Folgendes:

  • Anwenden unterschiedlicher Authentifizierungsanforderungen auf kritische Anwendungen.
  • Erzwingen der Compliance-Überprüfung für bestimmte Anwendungen.
  • Einschränken des Zugriffs anhand von Benutzergruppen oder Geräteplattformen.

Wichtige Hinweise und Überlegungen

• Konflikte bei der Benutzersynchronisierung: Stellen Sie sicher, dass Benutzer und Gruppen, die zwischen Workspace ONE UEM und Omnissa Access synchronisiert werden, eindeutig sind. Synchronisieren Sie Benutzer nicht gleichzeitig über UEM und eine separate Omnissa Access-Verzeichnisverbindung mit derselben Quelle (Active Directory oder LDAP), da doppelte Benutzer mit gemeinsam genutzten externen IDs Synchronisierungsfehler verursachen können.

• Externe Identitätsanbieter: Während in diesem Abschnitt der Schwerpunkt auf der Verwendung von Workspace ONE UEM als Identitätsquelle liegt, können Sie alternativ auch externe Identitätsanbieter wie Okta oder Ping Federation für SSO verwenden. Weitere Informationen zu diesen Szenarien finden Sie unter Gewähren des Zugriffs auf extern verwaltete Anwendungen in Omnissa Access.

• Voraussetzungen für AirWatch Cloud Connector: Der AirWatch Cloud Connector muss in Workspace ONE UEM installiert und konfiguriert werden, bevor Authentifizierung implementiert wird. Anweisungen zur Installation finden Sie im AirWatch Cloud Connector-Installationsvorgang.

• Verfügbarkeit der Compliance-Überprüfung: Die Authentifizierungsmethode „Gerätekonformität“ erfordert Konnektivität mit Workspace ONE UEM. Sie funktioniert nicht während geplanter Wartungsfenster oder unerwarteter Ausfälle des UEM-Diensts.

• Auswirkungen der Konfigurationsänderungen: Wenn Details des Workspace ONE UEM-Diensts (z. B. URLs, API-Schlüssel oder Zertifikate) geändert werden, müssen Sie die entsprechende Konfiguration zur Vermeidung von Authentifizierungsfehlern in Omnissa Access aktualisieren.

Nächste Schritte

Nach Abschluss der Verfahren in diesem Abschnitt haben Sie SSO-Authentifizierung für Benutzer auf von Workspace ONE UEM verwalteten Geräten eingerichtet. Benutzer können sich bei Workspace ONE Intelligent Hub anmelden und mit einem optimierten Authentifizierungserlebnis auf ihre berechtigten Anwendungen zugreifen.

• Für iOS Mobile SSO: Wenn Sie zertifikatsbasierte Kerberos-Authentifizierung für iOS-Geräte implementieren müssen, fahren Sie mit dem Abschnitt Implementieren der Mobile Single Sign-On-Authentifizierung für von Workspace ONE UEM verwaltete iOS-Geräte fort, nachdem Sie die hier beschriebenen Konfigurationen abgeschlossen haben.

• Für die laufende Verwaltung: Überprüfen Sie in regelmäßige Abständen Ihre Zugriffsrichtlinien und Konformitätsregeln, um sicherzustellen, dass sie mit den aktuellen Sicherheitsanforderungen und Benutzerbedürfnissen übereinstimmen. Überwachen Sie Authentifizierungsprotokolle, um mögliche Zugriffsprobleme der Benutzer zu erkennen und zu beheben.