Vous pouvez définir des restrictions d'enrôlement supplémentaires afin de contrôler qui procède à l'enrôlement dans Workspace ONE UEM et quels types de terminaux sont autorisés.
La mise en place de restrictions d'enrôlement supplémentaires s'applique à tous les types de déploiement, quels que soient l'intégration des services d'annuaire, la prise en charge du BYOD, l'inscription des terminaux, ou d'autres configurations.
Vous pouvez également déterminer le nombre maximum de terminaux enrôlés par groupe organisationnel. Après avoir configuré les restrictions d'enrôlement, vous pouvez même les enregistrer en tant que politique.
Considération 1 : pensez-vous définir des limites relatives à des plateformes spécifiques, aux versions d'OS ou au nombre maximum de terminaux autorisés ?
- Voulez-vous uniquement prendre en charge les terminaux disposant de la fonction intégrée de gestion d'entreprise, tels que les appareils Samsung SAFE/Knox, HTC Sense, LG Enterprise et Motorola ? Si oui, vous pouvez demander à ce que les terminaux Android possèdent une version entreprise supportée en guise de restriction d'enrôlement.
- Voulez-vous limiter le nombre de terminaux qu'un utilisateur est autorisé à enrôler ? Si oui, vous pouvez définir ce nombre, en précisant la quantité de terminaux professionnels et de terminaux personnels.
- Certaines plateformes ne sont-elles pas prises en charge par votre déploiement ? Si oui, vous pouvez créer une liste de plateformes bloquées.
Votre organisation doit évaluer le nombre et les types de terminaux appartenant à vos employés. Elle doit également déterminer ceux qu'elle souhaite utiliser dans votre environnement de travail. Une fois que ce travail est terminé, vous pouvez enregistrer ces restrictions d'enrôlement en tant que politique.
Considération 2 : pensez-vous limiter l'enrôlement à une liste définie de terminaux professionnels ?
Les options supplémentaires d'inscription permettent de contrôler les terminaux autorisés à être enrôlés. Pour les déploiements BYOD, vous pouvez empêcher l'enrôlement des terminaux sur liste bloquée ou le limiter aux terminaux sur liste autorisée. Vous pouvez afficher les terminaux sur liste autorisée par type, plateforme, ID de terminal et numéro de série.
Par exemple, si vous souhaitez bloquer l'enrôlement des terminaux Windows Desktop dans Workspace ONE UEM via une OOBE (out-of-box experience), vous devez créer une liste bloquée incluant tous les numéros IMEI, de série ou UDID pour tous les terminaux Windows Desktop que vous souhaitez exclure.
Pour plus d'informations, reportez-vous à la section Enregistrement des terminaux sur liste bloquée et liste autorisée.
Considération 3 : pensez-vous limiter le nombre de terminaux enrôlés par groupe organisationnel ?
Vous pouvez appliquer une limite de terminaux enrôlés pour un groupe organisationnel. Cela vous permet de gérer votre déploiement en vous empêchant de dépasser le nombre d'enrôlements valides. Pour plus d'informations, consultez la section Limiter le nombre de terminaux enrôlés par groupe organisationnel sur cette page.
Configurer les paramètres de restriction d'enrôlement
Lors de l'intégration de Workspace ONE UEM aux services d'annuaire, vous pouvez déterminer quels utilisateurs peuvent enrôler des terminaux dans votre déploiement professionnel.
Vous pouvez limiter l'enrôlement aux groupes configurés ou aux utilisateurs connus. Les utilisateurs connus sont ceux qui existent dans la console. Les groupes configurés renvoient aux utilisateurs associés aux groupes du service d'annuaire si vous souhaitez une intégration aux groupes d'utilisateurs. Vous pouvez aussi limiter le nombre de terminaux enrôlés par groupe organisationnel et enregistrer les restrictions comme politique réutilisable.
Ces options sont disponibles en accédant à Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Général > Enrôlement et en cliquant sur l'onglet Restrictions. L'onglet Restrictions vous permet de personnaliser les politiques de restriction de l'enrôlement selon les rôles du groupe organisationnel ou du groupe d'utilisateurs.
- Créez et attribuez les politiques de restriction de l'enrôlement existantes à l'aide des paramètres de politique.
- Attribuez la politique à un groupe d'utilisateurs dans la section Paramètres d'attribution de groupe.
- Créez des listes bloquées ou autorisées de terminaux selon la plateforme, le système d'exploitation, l'UDID, le numéro IMEI, etc.
| Paramètre | Description |
|---|---|
| Gestion de l'accès utilisateur | L'enrôlement direct de Workspace ONE prend en charge toutes les options de contrôle de l'accès utilisateur. |
| Restreindre l'enrôlement aux utilisateurs connus – Permet de restreindre l'enrôlement aux seuls utilisateurs qui existent dans UEM Console. Cette restriction s'applique aux utilisateurs de l'annuaire que vous avez ajoutés un par un à UEM Console, manuellement ou par lot. Elle peut également être utilisée pour verrouiller un enrôlement suite à un déploiement initial autorisant tout le monde à s'enrôler. Cette option vous permet de sélectionner les utilisateurs capables de s'enrôler. | |
| Vous pouvez autoriser tous les utilisateurs de l'annuaire qui ne possèdent pas de compte dans UEM Console à s'enrôler dans Workspace ONE UEM en désactivant cette option. Les comptes utilisateur sont automatiquement créés au cours de l'enrôlement. | |
| Restreindre l'enrôlement aux groupes configurés –Activez cette option pour limiter l'enrôlement aux utilisateurs appartenant à tous les groupes ou aux groupes sélectionnés (en cas d'intégration aux groupes d'utilisateurs). Ne sélectionnez pas cette option si vous n'avez pas procédé à l'intégration aux groupes d'utilisateurs du service d'annuaire. | |
| Remarque : La restriction de l'enrôlement aux groupes configurés est uniquement prise en charge avec l'enrôlement utilisateur Juste-à-temps (JIT), lorsque chacun des éléments suivants est vérifié : | |
| * Workspace ONE UEM est configuré comme source d'authentification pour Omnissa Workspace ONE Intelligent Hub, que vous configurez en accédant à Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Général > Enrôlement puis à l'onglet Authentification. | |
| * SAML pour l'authentification est désactivé pour les utilisateurs d'enrôlement. Configurez ce paramètre en accédant à Groupes et paramètres > Tous les paramètres > Système Intégration d'entreprise > Services d'annuaire et consultez la Documentation relative aux paramètres système des services d'annuaire. | |
| Vous pouvez créer des comptes utilisateur Workspace ONE UEM lors de l'enrôlement en désactivant l'option pour autoriser tous les utilisateurs de l'annuaire à s'enrôler. Sélectionnez Effacer les données professionnelles sur les terminaux des utilisateurs qui sont supprimés des groupes configurés pour effacer automatiquement les données professionnelles des terminaux. Si l'option Tous les groupes est sélectionnée, les terminaux n'appartenant à aucun groupe d'utilisateurs sont supprimés. Si l'option Groupes sélectionnés est définie, les terminaux n'appartenant à un groupe d'utilisateurs spécifique sont supprimés. | |
| Une possibilité d'intégration aux groupes d'utilisateurs consiste à créer un groupe de service d'annuaire « Approuvé par le MDM », à l'importer vers Workspace ONE UEM. puis à ajouter les groupes d'utilisateurs du service d'annuaire existants au groupe « Approuvé par le MDM » lorsqu'ils sont éligibles pour Workspace ONE UEM. | |
| Définir la limite du nombre maximum de terminaux enrôlés au niveau de ce groupe organisationnel et au niveau inférieur | Activez ce paramètre et saisissez le nombre limite de terminaux pour restreindre le nombre de terminaux autorisés à s'enrôler dans le groupe organisationnel actuel. L'enrôlement direct de Workspace ONE prend en charge cette option. |
Limiter le nombre de terminaux enrôlés par groupe organisationnel
Vous pouvez appliquer une limite au nombre de terminaux enrôlés pour n'importe quel type de groupe organisationnel (global, client, partenaire). Cela vous permet de gérer votre déploiement en vous empêchant de dépasser le nombre d'enrôlements valides dans un environnement d'allocation de licence par terminal.
Lorsqu'une limite est définie sur un groupe organisationnel, vous ne pouvez pas définir d'autre limite dans la même branche de groupe organisationnel. Vous pouvez définir une limite de terminal enrôlé si vous la configurez dans une autre branche de groupe organisationnel.
Si cette option n'est pas disponible, vérifiez le groupe organisationnel parent (supérieur au groupe actuel) ou un sous-groupe (inférieur au groupe actuel). Une limite est probablement déjà définie au-dessus ou en dessous du groupe organisationnel actuel.
- Accédez à Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Général > Enrôlement et cliquez sur l'onglet Restrictions.
- Activez la limite dans Définir la limite du nombre maximum de terminaux enrôlés au niveau de ce groupe organisationnel et au niveau inférieur.
Créer une politique de restriction d'enrôlement
Votre organisation doit évaluer le nombre et les types de terminaux appartenant à vos employés. Elle doit également déterminer les terminaux à utiliser dans votre environnement de travail. Une fois que ce travail est terminé, vous pouvez enregistrer ces restrictions d'enrôlement en tant que politique.
-
Naviguez vers Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Général > Enrôlement.
-
Sélectionnez l'onglet Restrictions, puis cliquez sur Ajouter une politique, dans la section Paramètres de la politique.
-
Dans l'écran Ajouter/Modifier la politique de restriction d'enrôlement, configurez les options de votre politique de restriction d'enrôlement en fonction des descriptions suivantes.
Paramètre Description Nom de la politique de restriction d'enrôlement Saisissez un nom pour votre politique de restriction d'enrôlement. Groupe organisationnel Sélectionnez un groupe organisationnel dans la liste déroulante. Il s'agit du groupe organisationnel auquel votre nouvelle politique de restriction d'enrôlement s'appliquera. Type de politique Sélectionnez le type de politique, qui peut être Par défaut pour le groupe organisationnel pour l'appliquer au groupe organisationnel choisi, ou Politique des groupes d'utilisateurs pour l'appliquer à des groupes d'utilisateurs spécifiques grâce aux paramètres d'attribution du groupe dans l'onglet Restrictions. Types de propriété autorisés Sélectionnez si vous autorisez ou non les terminaux Professionnel - Dédié, Professionnel - Partagé et Personnels. L'enrôlement direct de Workspace ONE prend uniquement en charge les types de propriété professionnel et personnel. Types d'enrôlement autorisés Sélectionnez si vous autorisez ou non l'enrôlement des terminaux utilisant les applications MDM (Workspace ONE Intelligent Hub) et Container (pour iOS/Android). Nombre maximal de terminaux par utilisateur Choisissez Illimité pour permettre aux utilisateurs d'enrôler autant de terminaux qu'ils le souhaitent dans le groupe organisationnel configuré.
Les limites de terminal configurées par utilisateur s'appliquent uniquement au groupe organisationnel dans lequel la stratégie est configurée.
L'enrôlement direct de Workspace ONE prend en charge la définition d'une limite de terminaux par utilisateur. Décochez cette case pour saisir des valeurs dans la section Nombre maximal de terminaux par utilisateur afin de définir le nombre maximal de terminaux par type de propriété.* Nombre maximum de terminaux par utilisateur * Nombre maximum de terminaux professionnels * Nombre maximum de terminaux partagés * Nombre maximum de terminaux personnels Types de terminaux autorisés Cochez la case Limiter l'enrôlement à des plateformes, modèles ou systèmes d'exploitation spécifiques pour ajouter des restrictions supplémentaires, propres au terminal. Cette option est prise en charge par l'enrôlement direct de Workspace ONE. Mode de restrictions au niveau du terminal Cette option est disponible seulement si Limiter l'enrôlement à des plateformes, modèles ou systèmes d'exploitation spécifiques est sélectionné dans Types de terminaux autorisés. Déterminez le type de limitations de terminal que vous souhaitez. * Autoriser uniquement les types de terminaux répertoriés (liste autorisée) – Sélectionnez cette option pour autoriser explicitement les terminaux correspondant aux paramètres saisis et bloquer tous les autres. * Bloquer les types de terminaux répertoriés (liste bloquée) – Sélectionnez cette option pour bloquer les terminaux correspondant aux paramètres saisis et autoriser tous les autres. Pour l'un ou l'autre des modes de restrictions au niveau du terminal, cliquez sur Ajouter une restriction de terminal afin de sélectionner une plateforme, un modèle, un fabricant (terminaux Android uniquement), un système d'exploitation. Vous pouvez aussi ajouter une limite de terminaux par restriction de terminal définie. Vous pouvez ajouter plusieurs restrictions de terminaux. Vous pouvez également bloquer des terminaux spécifiques en fonction de leur IMEI, de leur numéro de série ou de leur UDID en naviguant vers Terminaux > Cycle de vie > État de l'enrôlement et en cliquant sur Ajouter. Ceci est une manière efficace de bloquer un seul et unique terminal et de l'empêcher de se réenrôler sans affecter d'autres terminaux d'utilisateurs. Vous pouvez aussi empêcher le réenrôlement lors d'un effacement des données professionnelles. Cette option est prise en charge par l'enrôlement direct de Workspace ONE. -
Cliquez sur Enregistrer pour sauvegarder vos modifications et revenir à l'écran Terminaux et utilisateurs > Général > Enrôlement.
Dépannage des terminaux restreints
Les enrôlements de terminaux peuvent échouer en raison des différentes stratégies de restriction d'enrôlement configurées dans UEM Console. En cas d'échec de l'enrôlement, la vérification manuelle des journaux du terminal et la vérification de tous les types de restriction peuvent être longues et fastidieuses.
Pour identifier rapidement la restriction d'enrôlement qui a causé l'échec, vous pouvez vérifier l'événement consigné sur la page Événements du terminal.
Lorsque l'enrôlement d'un terminal pour un utilisateur échoue en raison de restrictions, l'événement « Terminal bloqué en raison d'une restriction d'enrôlement » est créé et affiché sous la forme d'un lien cliquable dans la colonne Événement de la page Événements du terminal. La gravité de l'événement est consignée en tant que « Avis ». Cliquez sur le lien pour afficher des détails spécifiques sur la restriction à l'origine de l'échec.
L'utilisateur voit également un message s'afficher sur le terminal pour l'informer de la raison spécifique de l'échec de l'enrôlement.
Tous les enrôlements qui ont échoué en raison de restrictions d'enrôlement pour un utilisateur particulier sont également consignés dans la page Utilisateurs > Affichage des détails de l'utilisateur > Journal des événements.
Exemple
Imaginez un scénario dans lequel vous avez configuré une restriction permettant d'enrôler uniquement les terminaux Android exécutant une version spécifique du système d'exploitation ou une version ultérieure. Si un utilisateur final tente d'enrôler un terminal exécutant une version antérieure du système d'exploitation, l'enrôlement échoue et le message suivant s'affiche : « Le terminal ne peut pas être enrôlé en raison de restrictions de version du système d'exploitation ».
Les détails de l'événement s'affichent sur la console comme indiqué ci-dessous :
Ce que les utilisateurs finaux voient en cas d'échec de l'enrôlement
Cette section répertorie les messages affichés aux utilisateurs lorsque l'enrôlement du terminal échoue en raison des restrictions d'enrôlement configurées. Lorsque vous aidez les utilisateurs à résoudre des échecs d'enrôlement, ces messages sur le terminal vous aident à identifier rapidement la cause du problème et à le résoudre plus efficacement.
| Type de restriction d'enrôlement | Message d'échec sur l'écran du terminal |
|---|---|
| Terminal sur liste noire L'utilisateur tente d'enrôler un terminal qui se trouve sur la liste bloquée. | Le terminal n'est pas éligible pour l'enrôlement. Contactez votre administrateur pour plus d'informations. |
| Terminaux enregistrés uniquement Seuls les terminaux enregistrés peuvent être enrôlés, mais l'utilisateur tente d'enrôler un terminal qui n'est pas enregistré. | Le terminal ne peut pas être enrôlé en raison de restrictions d'inscription. Contactez votre administrateur pour plus d'informations. |
| Restriction de plateforme L'utilisateur tente d'enrôler un terminal avec une plateforme restreinte. | Le terminal ne peut pas être enrôlé en raison de restrictions du système d'exploitation. Contactez votre administrateur pour plus d'informations. |
| Restriction de fabricant L'utilisateur tente d'enrôler un terminal avec un fabricant restreint. | Le terminal ne peut pas être enrôlé en raison de restrictions de fabricant. Contactez votre administrateur pour plus d'informations. |
| Restriction de version du système d'exploitation L'utilisateur tente d'enrôler un terminal avec une version du système d'exploitation restreinte. | Le terminal ne peut pas être enrôlé en raison de restrictions de version du système d'exploitation. Contactez votre administrateur pour plus d'informations. |
| Restriction de modèle L'utilisateur tente d'enrôler un terminal avec un modèle restreint. | Le terminal ne peut pas être enrôlé en raison de restrictions de modèle. Contactez votre administrateur pour plus d'informations. |
| Limiter l'enrôlement aux utilisateurs connus Un utilisateur inconnu essaie d'enrôler un terminal. | Le terminal ne peut pas être enrôlé en raison de restrictions d'accès utilisateur. Contactez votre administrateur pour plus d'informations. |
| Limiter l'inscription aux groupes configurés Un utilisateur en dehors des groupes d'utilisateurs configurés essaie d'enrôler un terminal. | Le terminal ne peut pas être enrôlé en raison de restrictions d'accès de groupe. Contactez votre administrateur pour plus d'informations. |
| Nombre maximum de terminaux autorisés par utilisateur dans le groupe organisationnel L'utilisateur a dépassé la limite du nombre maximum de terminaux autorisés pour l'enrôlement. | Le terminal ne peut pas être enrôlé, car vous avez atteint le nombre maximal de terminaux. Contactez votre administrateur pour plus d'informations. |
| Uniquement les terminaux enregistrés Le groupe organisationnel autorise uniquement l'enrôlement des terminaux enregistrés, mais l'utilisateur tente d'enrôler un terminal pour lequel il n'existe aucun enregistrement d'inscription. | Le terminal ne peut pas être enrôlé en raison de restrictions d'inscription. Contactez votre administrateur pour plus d'informations. |
| Uniquement les terminaux enregistrés avec jeton Le groupe organisationnel requiert un jeton pour l'enrôlement, mais un jeton incorrect est fourni par l'utilisateur au moment de l'enrôlement. | Le terminal ne peut pas être enrôlé en raison de restrictions d'inscription. Contactez votre administrateur pour plus d'informations. |
Cette page vous a-t-elle été utile ?