Accesso condizionale tramite Google BeyondCorp

È possibile integrare Workspace ONE UEM con Google Workspace, in qualità di partner BeyondCorp Alliance per la conformità dei dispositivi, per usare lo stato di conformità e gestione degli endpoint per valutare il rischio e applicare i criteri di accesso sensibile al contesto.

Questa integrazione aiuta ad utilizzare l'ecosistema di strumenti di Workspace ONE UEM, incluso il potente motore di conformità, per determinare la conformità del dispositivo con gli standard di sicurezza dell'organizzazione in base a un'ampia gamma di attributi dispositivo e utente e condividere lo stato risultante con Google. Google Workspace interpreta queste informazioni sullo stato dell'endpoint per aiutarti nella configurazione di criteri di accesso sensibile al contesto.

Requisiti

Omnissa

• Workspace ONE UEM (qualsiasi versione attualmente supportata) con un account amministratore.
• Intelligence
  • Disponibile per impostazione predefinita per tutti gli ambienti SaaS. È necessario attivare Omnissa Intelligence tramite l'ambiente Workspace ONE UEM e rimanere abilitati per non interrompere le funzionalità.
  • Se si accede ai servizi Omnissa tramite Omnissa Connect, l'origine dati UEM deve essere autorizzata e tale deve rimanere. È possibile visualizzare lo stato dalla console Intelligence andando su Integrazioni > Origini dati > UEM.
  • I clienti in locale devono configurare Omnissa Intelligence, che potrebbe richiedere la distribuzione di un Omnissa Intelligence Connector locale.
    Per ulteriori informazioni, consultare i Requisiti di Omnissa Intelligence.

Google

• Google Workspace con le licenze pertinenti per configurare e gestire i partner BeyondCorp Alliance e l'accesso sensibile al contesto
• Google Cloud con la licenza pertinente per abilitare l'API di Cloud Identity, creare e gestire un account di servizio e una chiave per l'integrazione dell'API

Piattaforme del dispositivo supportate

Per l'accesso sensibile al contesto BeyondCorp, sono supportati solo i dispositivi completamente gestiti e registrati in MDM. I dispositivi registrati tramite hub o app (tramite applicazioni come Boxer, Content e così via) non sono supportati. Di seguito sono riportati i requisiti aggiuntivi per piattaforma del dispositivo.

• iOS: Intelligent Hub 2209 e versioni successive
  • I dispositivi condivisi (check-in/check-out) non sono supportati
  • I dispositivi registrati tramite ADUE (Account Driven User Enrollment) non sono supportati
• Android: Intelligent Hub 2209 e versioni successive
  • I dispositivi condivisi (check-in/check-out) non sono supportati
• macOS: Intelligent Hub 2306 e versioni successive
• Windows: Intelligent Hub 2310 e versioni successive

Verificare che i dispositivi dispongano di una versione del sistema operativo supportata da Workspace ONE UEM e che siano conformi ai requisiti della versione del sistema operativo per l'ultima versione di Workspace ONE Intelligent Hub. Per informazioni specifiche su ciascuna piattaforma, consultare le guide specifiche della piattaforma all'indirizzo Omnissa Workspace ONE UEM. Per informazioni riguardo l'Hub, consultare Omnissa Workspace ONE Intelligent Hub.

Distribuzioni supportate

Workspace ONE UEM supporta attualmente l'integrazione di Google BeyondCorp per le distribuzioni SaaS gestite da Omnissa e in locale. Tuttavia, questa integrazione non è disponibile negli ambienti FedRAMP gestiti da Omnissa.

Inoltre, ora è possibile integrare un singolo dominio (tenant) Google Workspace con più ambienti Workspace ONE UEM. Ogni gruppo di organizzazioni di Workspace ONE UEM in cui si desidera configurare lo stesso dominio di Google Workspace per l'accesso sensibile al contesto deve appartenere a un ambiente Workspace ONE UEM distinto. In altre parole, è possibile disporre di un dominio Google per più ambienti UEM, ma non di un solo dominio Google per più gruppi in un singolo ambiente UEM.

Considerazioni aggiuntive per gli ambienti in locale

Gli ambienti in locale con un server UEM Console ospitato in una rete interna o limitata, inclusi quelli senza accesso in uscita agli URL di Intelligence pertinenti, come indicato qui, devono utilizzare un URL della Console con un certificato SSL associato. Gli URL della Console che utilizzano solo HTTP non sono supportati per l'integrazione dell'accesso condizionale.

La funzionalità di registrazione dell'accesso sensibile al contesto potrebbe non funzionare in tali ambienti, poiché richiede l'accesso in uscita da Console a Intelligence.

Integrazione di Google BeyondCorp con Workspace ONE UEM

Seguire i passaggi seguenti per integrare Google BeyondCorp con Workspace ONE UEM.

1. Configura console Google cloud

Per integrare correttamente con Workspace ONE UEM, nella console di Google Cloud devono essere implementate le seguenti configurazioni.

a. Abilita API identità cloud

È necessario assicurarsi che la fatturazione sia attivata nel progetto Google Cloud pertinente e quindi attivare l'API di Cloud Identity per tale progetto. Per ulteriori informazioni sulla gestione della fatturazione per il progetto Google Cloud, consultare https://docs.cloud.google.com/billing/docs/how-to/modify-project.

È possibile trovare l'API di Cloud Identity in API e servizi > API e servizi abilitati > Abilita API e servizi nella console di Google Cloud o aprire il seguente URL (con l'identificatore del progetto Google Cloud appropriato).

https://console.cloud.google.com/apis/enableflow;apiid=cloudidentity.googleapis.com?project={{projectID}}

b. Crea account di servizio e chiave

1. Andare su API e servizi > Credenziali > Crea account di servizio per generare un account di servizio. Questo account viene utilizzato per l'autenticazione delle chiamate da Workspace ONE UEM alle API di Google Cloud Identity.

2. Poi andare su Account di servizio > Chiavi > Aggiungi chiave > JSON per creare una chiave per l'account di servizio. I dettagli dell'account di servizio e della chiave vengono salvati nel computer come file JSON.

3. Andare su IAM e amministratore > Account di servizio > Dettagli account di servizio, copiare e salvare l'ID univoco per l'account di servizio.

   

2. Configura Console di amministrazione Google

Completa i seguenti passaggi per preparare l'integrazione di Google Workspace for BeyondCorp.

a. Abilita delega a livello dell'intero dominio

Nella console di amministrazione di Google, attivare la delega a livello dell'intero dominio per l'account di servizio generato nei passaggi precedenti, da Sicurezza > controllo accessi e dati > controlli API > Delega a livello di dominio > Aggiungi nuovo.

Immettere i seguenti dettagli:

• ID client: ID univoco dell'account di servizio, ottenuto nel passaggio precedente da Google Cloud Console.
• Ambito: https://www.googleapis.com/auth/cloud-identity.devices

b. Aggiungi Workspace ONE Intelligent Hub come app attendibile

È possibile designare Workspace ONE Intelligent Hub come app attendibile nella console di amministrazione di Google, in modo che le richieste di autenticazione di Hub, necessarie per la registrazione dell'utente finale, vengano considerate implicitamente attendibili.

1. Andare su Sicurezza > accesso e controllo dati > Controlli API > Controllo accesso app > Gestisci accesso app > Configura nuova app.

2. Cerca Intelligent Hub. Eseguire i passaggi seguenti per gli com.air-watch.agent ID client (iOS) e com.airwatch.androidagent(Android)

   a. Definire l'ambito in base alle unità organizzative pertinenti.

   b. Impostare Accesso ai dati di Google come attendibile e completare/salvare le modifiche.

   

   c. Se è possibile esentare dal blocco dell'accesso all'API mediante i livelli di accesso sensibile al contesto, abilitarla e Completare/salvare le modifiche.

c. Imposta Omnissa come partner dell'alleanza BeyondCorp

1. Abilitare Omnissa come partner dell'alleanza BeyondCorp da Dispositivi > dispositivi mobili ed endpoint > Impostazioni > Integrazioni di terze parti > i partner di sicurezza e MDM > Gestisci partner facendo clic su Apri connessione per Omnissa.
2. In Dispositivi > Dispositivi mobili ed endpoint > Impostazioni > Integrazioni di terze parti > Android EMM, impostare Gestione dispositivi mobili Android di terze parti su Non abilitato.
3. In Dispositivi > dispositivi mobili ed endpoint > Impostazioni > Universale > Generale, configurare quanto segue:
   • Gestione dispositivi mobili: Base
   • Requisiti della password: Off
4. In Dispositivi > Dispositivi mobili ed endpoint > Impostazioni > Universale > Dati di accesso, configurare quanto segue:
   • Sincronizzazione Android: On
   • Sincronizzazione iOS: On
   • Segnali dei dispositivi > Raccogli i segnali dei dispositivi utilizzando la verifica dell'endpoint: On

d. Configurare e assegnare i livelli di accesso

È possibile configurare i criteri di accesso contestuale nella console di amministrazione di Google per consentire o negare l'accesso alle risorse di Google Workspace in base allo stato di registrazione e conformità di Workspace ONE UEM di un dispositivo. Configurare i criteri di accesso sensibile al contesto da Sicurezza > Controllo accessi e dati > Accesso sensibile al contesto > Livelli di accesso > Crea livello di accesso, attenendosi alla procedura seguente:

1. I criteri sensibili al contesto sono costituiti da condizioni. Per specificare i valori e le condizioni per questi criteri, è necessario utilizzare le condizioni del contesto avanzato. Per alcuni esempi, fare riferimento alla documentazione di Google.

   • Creare e assegnare livelli di accesso contestuali
   • Esempi di modalità avanzata
   • Common Expression Language (CEL): specifica dell'attributo del dispositivo
     Ad esempio, il livello di accesso seguente consente solo i dispositivi registrati e conformi in Workspace ONE UEM e registrati per l'accesso contestuale di Google tramite Workspace ONE UEM: (device.vendors["Omnissa"].is_compliant_device == true) && (device.vendors["Omnissa"].is_managed_device == true)

2. Assegnare un livello di accesso alle applicazioni Google Workspace pertinenti da Sicurezza > Accesso e controllo dei dati > Accesso contestuale> Livelli di accesso > Assegna livelli di accesso > Assegna livelli di accesso alle app.

   a. Selezionare una o più app e assegnare il livello di accesso pertinente.

   b. Nelle impostazioni dei criteri, non attivare Impedisci ad altre app di accedere alle app selezionate tramite API se i livelli di accesso non vengono soddisfatti. Se è necessario attivare questa impostazione, assicurarsi che l'opzione Esenta le app inserite nella lista consentita in modo che possano sempre accedere alle API per servizi Google specifici, indipendentemente dai livelli di accesso sia abilitata e che le istanze iOS e Android di Intelligent Hub (indicate nella sezione precedente Aggiungi Workspace ONE Intelligent Hub come app attendibile) vengano aggiunte all'elenco di elementi consentiti esenti.

3. Attivare un messaggio di correzione per gli utenti finali da Sicurezza > Controllo dati e controllo dati > Accesso contestuale> Impostazioni generali.

   a. Abilita Messaggi di correzione.

   b. Facoltativamente, configurare un messaggio personalizzato aggiuntivo per fornire istruzioni pertinenti agli utenti finali. Questa schermata viene visualizzata agli utenti finali quando tentano di accedere a una risorsa Google Workspace e sono bloccati da un livello di accesso sensibile al contesto. Ad esempio:

   "Il tuo account aziendale di Google non è connesso a Workspace ONE Intelligent Hub per accedere a questa app. Fai clic qui per connetterti al Workspace ONE Intelligent Hub. https://{{Your Omnissa Intelligence URL}}/#/compliance/tenants/UEM_tenant/google/remediation".

   È possibile trovare l'URL di Omnissa Intelligence avviando la console di Intelligence e controllando l'URL. Ad esempio, ap2.data.workspaceone.com

3. Connetti Workspace ONE UEM a Google BeyondCorp

In Workspace ONE UEM Console, assicurarsi di far parte del gruppo di tipo cliente. È possibile verificare il tipo di gruppo da Gruppi e impostazioni > Gruppi > Dettagli gruppo > Tipo.

1. Andare su Gruppi e impostazioni > Integrazioni e fare clic su Configura per l'integrazione dell'accesso contestuale di Google BeyondCorp.

2. Fare clic su Inizia e inserire le informazioni seguenti:

   • ID cliente: può essere ottenuto dalla console dell'amministratore Google in Account > Impostazioni account > Profilo > ID cliente.
   • Indirizzo email amministratore: fornire il proprio indirizzo email dell'admin della console di amministrazione di Google.
   • Importa file JSON dell'account di Google Service: caricare il file .json contenente l'account del servizio Google Cloud e i dettagli della chiave, ottenuti da Google Cloud Console. Consutare Crea account di servizio e chiave.

3. Fare clic su Connetti a Google BeyondCorp e verificare che l'integrazione sia stata salvata.

Integrazione di più ambienti Workspace ONE UEM con un unico dominio di Google Workspace

Per integrare più ambienti Workspace ONE UEM, è necessario ripetere i passaggi per la configurazione di Workspace ONE UEM in ogni ambiente. I passaggi per la configurazione di Google Cloud Console e della console di amministrazione di Google vengono eseguiti una sola volta. Utilizzare tuttavia una chiave o un account del servizio Google Cloud separato per ogni ambiente Workspace ONE UEM. Se si sceglie di eseguire questa operazione, è necessario attivare la delega a livello di dominio nella console di amministrazione di Google per ciascun account di servizio.

Registrazione del dispositivo

Le piattaforme che richiedono l'interazione dell'utente per la registrazione del dispositivo supportano in genere due percorsi.

• Flusso di registrazione self-service
  Gli utenti finali dei dispositivi possono registrarsi autonomamente utilizzando un deeplink di cui eseguire il push ai loro dispositivi o tramite il pulsante di registrazione dell'accesso condizionale in Hub (sulle piattaforme supportate), che è possibile attivare dalla Console. I passaggi per la distribuzione del collegamento diretto o il pulsante di registrazione sono specificati nelle guide specifiche della piattaforma.

• Flusso di correzione
  In alternativa, l'utente del dispositivo può accedere o tentare di accedere ai dati tramite un'applicazione Google Workspace soggetta a un criterio di accesso sensibile al contenuto di Entra ID che richiede che il dispositivo sia contrassegnato come conforme. Se Google Workspace limita l'accesso dell'utente finale del dispositivo, viene visualizzato il messaggio di correzione configurato in Google Workspace. L'utente finale può utilizzare il collegamento Correzione per registrarsi per l'accesso condizionale tramite Intelligent Hub. Indicare all'utente finale del dispositivo di seguire le istruzioni.

iOS

Intelligent Hub e almeno un'app Google Workspace (Gmail, Calendar, Drive, Documenti, Fogli e Presentazioni) sono applicazioni necessarie sui dispositivi iOS che utilizzano l'accesso contestuale. Assegna e distribuisci queste applicazioni ai dispositivi iOS come applicazioni gestite tramite Workspace ONE UEM Console. Per ulteriori informazioni, vai su Introduzione alla gestione delle applicazioni iOS.

Distribuire e configurare un'applicazione Google Workspace

La procedura utilizza Gmail come esempio. Puoi eseguire questi passaggi per qualsiasi app Google Workspace menzionata sopra.

1. Aggiungere Gmail come applicazione pubblica o VPP in Workspace ONE UEM e assegnarla ai dispositivi pertinenti.

2. Nella sezione Limitazioni dell'assegnazione, verificare che l'opzione Rendi gestita l'app MDM se installata dall'utente sia attivata. Questo passaggio consente a Workspace ONE UEM di assumere la gestione dell'app se l'utente finale l'ha precedentemente installata come non gestita. Sui dispositivi controllati, la gestione viene assunta in modo invisibile all'utente. Nei dispositivi non controllati, all'utente finale viene chiesto se consentire a Workspace ONE di gestire l'app e l'utente deve approvarla. Questo è essenziale per il successo del passo successivo.

3. Nella sezione Configurazione applicazione dell'assegnazione, attivare Invia configurazione e aggiungere le coppie chiave-valore (KVP) elencate:

   Chiave di configurazione	Tipo valore	Valore di configurazione
   partner	Stringa	2e0b4c99-5fa7-489e-b256-1ca0f9d78113
   iosDeviceId	Stringa	{DeviceUid}

Queste KVP vengono distribuite al dispositivo non appena Workspace ONE UEM inizia a gestire l'app.

Il flusso di registrazione self-service può essere attivato in due modi.

• Attivare il pulsante Registrazione accesso condizionale in Intelligent Hub.
• Configurare e fornire un collegamento diretto come clip Web.

Pulsante di registrazione in Intelligent Hub (opzione consigliata)

A partire da Intelligent Hub per iOS versione 25.11, è possibile semplificare il processo di registrazione per gli utenti finali attivando il pulsante Registrazione accesso condizionale in Hub.

Per attivare il pulsante Registrazione, attenersi alla seguente procedura:

1. In Workspace ONE UEM console, andare su Gruppi e impostazioni > Tutte le impostazioni > App > Impostazioni e criteri > Impostazioni.

2. Abilitare Impostazioni personalizzate e incollare la seguente coppia chiave-valore nel campo Impostazioni personalizzate, quindi selezionare Salva.

   { "displayRegisterConditionalAccessButton":true }

È possibile vedere il pulsante Registrazione accesso condizionale dopo che l'Hub avrà applicato queste impostazioni. Sui dispositivi precedentemente registrati, potrebbe essere necessario forzare l'uscita e riavviare l'Hub per rendere effettive le modifiche.

Webclip di registrazione

Per configurare e fornire un collegamento diretto come clip Web, seguire questi passaggi:

1. In Workspace ONE UEM console, andare su Risorse > App > Web Link e selezionare Aggiungi applicazione
2. Selezionare Apple iOS e poi selezionare Continua.
3. Nella scheda Dettagli, specifica un Nome appropriato per il link Web, che verrà visualizzato come nome dell'icona clip Web sul dispositivo e nel catalogo Hub.
4. Imposta URL su wsonehub://conditionalaccess?partner=google
5. Facoltativamente, fornisci una Descrizione pertinente.
6. Nella scheda Assegnazione, seleziona i gruppi smart rilevanti per l'assegnazione e configura le Esclusioni, se necessario.
7. Imposta Push su automatico (consigliato).
8. Configura le impostazioni Avanzate e seleziona Salva e pubblica.

User experience

L'esperienza dell'utente varia in base all'accesso a un'applicazione Google Workspace, ad esempio Gmail.

L'utente è già connesso a Gmail

Se l'utente ha già accesso al proprio account aziendale in Gmail, deve completare i seguenti passaggi:

1. Verificare che Gmail sia gestito da Workspace ONE UEM. UEM distribuisce automaticamente i KVP di configurazione dell'app non appena assume la gestione dell'applicazione. Come indicato in precedenza, nei dispositivi non controllati, l'utente finale deve accettare la richiesta di Workspace ONE UEM per assumere la gestione.
2. Apri Gmail in modo che l'app possa inoltrare le KVP a Google Workspace, consentendo a Google di associare in modo univoco DURN con l'UDID dispositivo UEM del dispositivo.
3. Registrarsi nuovamente per l'accesso condizionale:
   • Selezionando il webclip di registrazione CA che l'amministratore ha distribuito sul proprio dispositivo, OPPURE
   • Utilizzando il pulsante Registrazione accesso condizionale in Intelligent Hub, se l'amministratore ha abilitato questa opzione.

L'utente non ha effettuato l'accesso a Gmail

Se l'utente non ha effettuato accesso al proprio account aziendale in Gmail, deve completare i seguenti passaggi:

1. Verificare che Gmail sia gestito da Workspace ONE UEM. UEM distribuisce automaticamente i KVP di configurazione dell'app non appena assume la gestione dell'applicazione. Come indicato in precedenza, nei dispositivi non controllati, l'utente finale deve accettare la richiesta di Workspace ONE UEM per assumere la gestione.

2. Aprire Gmail e provare ad accedere con l'account aziendale.

   a. Se per Gmail viene applicato un criterio CA che richiede registrazione e conformità, Google mostra un "Messaggio di correzione" che lo reindirizza a eseguire la registrazione CA tramite Intelligent Hub. Devono seguire le istruzioni di registrazione e registrarsi correttamente per l'autorità di certificazione tramite Hub, quindi tornare ad accedere a Gmail.

   b. Se per l'utente non viene applicato un criterio CA che richiede registrazione e conformità per Gmail, Google autorizza l'utente e può accedere a Gmail. Possono avviare la registrazione CA in uno dei seguenti modi:

   • Selezionando il webclip di registrazione CA che l'amministratore ha distribuito sul proprio dispositivo, OPPURE
   • Utilizzando il pulsante Registrazione accesso condizionale in Intelligent Hub, se l'amministratore ha abilitato questa opzione.

Android

Il flusso di registrazione self-service può essere attivato in due modi.

• Attivare il pulsante Registrazione accesso condizionale in Intelligent Hub.
• Configurare e fornire un collegamento diretto come segnalibro.

Pulsante di registrazione in Intelligent Hub (opzione consigliata)

A partire da Intelligent Hub per Android versione 25.11, è possibile semplificare il processo di registrazione per gli utenti finali attivando il pulsante Registrazione accesso condizionale in Hub. Per attivare il pulsante Registrazione, attenersi alla seguente procedura:

1. In Workspace ONE UEM console, andare su Gruppi e impostazioni > Tutte le impostazioni > App > Impostazioni e criteri > Impostazioni.

2. Abilitare Impostazioni personalizzate e incollare la seguente coppia chiave-valore nel campo Impostazioni personalizzate, quindi selezionare Salva.

   { "displayRegisterConditionalAccessButton":true }

È possibile vedere il pulsante Registrazione accesso condizionale dopo che l'Hub avrà applicato queste impostazioni. Sui dispositivi precedentemente registrati, potrebbe essere necessario forzare l'uscita e riavviare l'Hub per rendere effettive le modifiche.

3. Indica agli utenti finali di avviare la registrazione facendo clic sul pulsante "Registrati per l'accesso condizionale" in Intelligent Hub

Segnalibro di registrazione

Per configurare e fornire un collegamento diretto come clip Web, seguire questi passaggi:

1. In Workspace ONE UEM console, andare su Risorse > App > Web Link e selezionare Aggiungi applicazione
2. Selezionare Android come piattaforma, quindi selezionare Continua.
3. Nella scheda Dettagli specificare un nome per appropriato per Web Link, che verrà visualizzato come nome dell'icona Segnalibri sul dispositivo e nel catalogo Hub.
4. Imposta URL su wsonehub://conditionalaccess?partner=google
5. Facoltativamente, fornisci una Descrizione pertinente.
6. Nella scheda Assegnazione, selezionare i gruppi smart rilevanti per l'assegnazione e configurare Esclusioni, se necessario.
7. Imposta Push su automatico (consigliato).
8. Imposta Aggiungi alla schermata principale su Sì.
9. Chiedere agli utenti finali dei dispositivi di avviare la registrazione selezionando il Segnalibro distribuito.

macOS

L'estensione di verifica dell'endpoint Chrome di Google è necessaria per la registrazione CA sui dispositivi macOS. È necessario assicurarsi che sia installato e abilitato sui dispositivi macOS degli utenti finali in modo che possano registrarsi per l'accesso contestuale.

Per abilitare il flusso di registrazione self-service, attieniti alla seguente procedura per configurare e fornire un collegamento diretto come clip Web.

1. In Workspace ONE UEM console, andare su Risorse > App > Web Link e selezionare Aggiungi applicazione
2. Selezionare Apple macOS come piattaforma e Continua.
3. Nella scheda Dettagli specificare un nome per appropriato per Web Link, che verrà visualizzato come nome dell'icona Segnalibri sul dispositivo e nel catalogo Hub.
4. Imposta URL su wsonehub://conditionalaccess?partner=google
5. Facoltativamente, fornisci una Descrizione pertinente.
6. Nella scheda Assegnazione, selezionare i gruppi smart rilevanti per l'assegnazione e configurare Esclusioni, se necessario.
7. Imposta Push su automatico (consigliato).
8. Chiedere agli utenti finali dei dispositivi di avviare la registrazione selezionando il Segnalibro distribuito.

Windows

L'estensione di verifica dell'endpoint Chrome di Google è necessaria per la registrazione CA sui dispositivi Windows. È necessario assicurarsi che sia installato e abilitato sui dispositivi Windows degli utenti finali in modo che possano registrarsi per l'accesso sensibile al contesto.

Per abilitare il flusso di registrazione self-service, attieniti alla seguente procedura per configurare e fornire un collegamento diretto come clip Web.

1. In Workspace ONE UEM console, andare su Risorse > App > Web Link e selezionare Aggiungi applicazione
2. Selezionare Windows come piattaforma e Continua.
3. Nella scheda Dettagli specificare un nome per appropriato per Webclip, che verrà visualizzato come nome dell'icona Webclip nel catalogo Hub.
4. Impostare URL su ws1winhub://conditionalaccess?partner=google
5. Facoltativamente, fornisci una Descrizione pertinente.
6. Nella scheda Assegnazione, selezionare i gruppi smart rilevanti per l'assegnazione e configurare Esclusioni, se necessario.
7. Imposta Push su automatico (consigliato).
8. Chiedere agli utenti finali dei dispositivi di avviare la registrazione selezionando il Segnalibro distribuito.

Monitoraggio e risoluzione dei problemi dell'integrazione di Google BeyondCorp

Workspace ONE UEM offre diversi strumenti e interfacce per monitorare l'integrità dell'integrazione di Google BeyondCorp e risolvere i problemi di registrazione dei dispositivi.

Stato di integrazione

Nella Workspace ONE UEM Console, è possibile visualizzare i dettagli dell'integrazione di Google BeyondCorp in Gruppi e impostazioni > Integrazioni >integrazione dell'accesso contestuale di Google BeyondCorp facendo clic su Visualizza. Sono disponibili le seguenti informazioni:

• Stato integrazione: mostra se l'integrazione è stata abilitata. Questo non è un indicatore della connettività corrente.
• ID cliente: ID cliente dell'account Google Workspace.
• Indirizzo e-mail amministratore: indirizzo e-mail di Google utilizzato quando si abilita l'integrazione.
• Data di configurazione: data della prima configurazione dell'integrazione.

Stato di registrazione del dispositivo

La pagina Dettagli dispositivo > Riepilogo mostra uno stato di registrazione Google BeyondCorp nella scheda di sicurezza. Questo stato è impostato su Abilitato quando UEM riceve un identificatore dispositivo Google valido da un dispositivo. i cui dati vengono inoltrati a UEM da Intelligent Hub.

L'ID del dispositivo Google viene visualizzato nella scheda Informazioni dispositivo. Puoi trovare questo identificatore nella console di amministrazione di Google in Dispositivi > dispositivi mobili ed endpoint > Dettagli dispositivo > Informazioni sul dispositivo nel campo ID risorsa dispositivo.

Registro di Accesso condizionale

La pagina Dettagli dispositivo > altro > Registro di accesso condizionale mostra una cronologia delle interazioni tra Workspace ONE e Google per il dispositivo. Riguarda le chiamate tra Compliance Broker e le API di Google Cloud. Questa cronologia include gli stati di gestione e conformità trasmessi a Google, nonché la data e l'ora in cui queste informazioni sono state trasmesse. I dettagli dell'evento contengono in genere quanto segue.

• Richiedi indicazione oraria dell'invio
• ID dispositivo partner: l'identificatore completo della risorsa Google per l'utente e il dispositivo. In genere è nel formato devices/{device}/deviceUsers/{Google Device ID}, dove Google Device ID è l'identificatore visualizzato in Dettagli dispositivo > Riepilogo > Informazioni sul dispositivo
• ID del messaggio
• Stato gestione dispositivo: lo stato di registrazione UEM del dispositivo
• Stato di conformità: lo stato di conformità UEM del dispositivo
• Corpo della richiesta API: i dettagli inclusi nel corpo della richiesta API inviata a Google
• Corpo della risposta dell'API: i dettagli inclusi nella risposta ricevuta da Google

Registro degli eventi sul dispositivo e risoluzione dei problemi del dispositivo

Nelle pagine seguenti è disponibile anche un sottoinsieme delle informazioni visualizzate nel registro di Accesso condizionale.

• Eventi dispositivo: Monitora > Eventi e registri > Eventi dispositivo.
• Dettagli dispositivo > Altro > Risoluzione dei problemi > Registro eventi.

Queste pagine contengono due tipi di eventi:

• Registrazione dispositivo di accesso condizionale: registrata quando UEM riceve i dati pertinenti da Hub e li inoltra al Broker di conformità (da inoltrare a Google)
• Modifica dello stato del dispositivo di accesso condizionale: registrato quando UEM rileva una modifica dello stato di conformità o registrazione del dispositivo e invia un aggiornamento al Broker di conformità (da inoltrare a Google)

I Dati degli eventi per questi eventi contengono in genere:

• UUID dispositivo: l'identificatore univoco di Workspace ONE UEM per il dispositivo
• Stato gestione dispositivo: lo stato di registrazione in UEM
• Stato di conformità: lo stato di conformità in UEM
• Richiesta Broker di conformità: dettagli delle informazioni inoltrate al servizio broker di conformità Workspace ONE per essere inoltrate a Google.
• Operazione riuscita: indica se la richiesta è stata inviata correttamente al Broker di conformità

REST API

Per recuperare le informazioni di registrazione dell'accesso condizionale per un determinato dispositivo, è disponibile un endpoint API REST, identificato dall'UUID del dispositivo Workspace ONE UEM.

GET /devices/{deviceUuid}/conditional-access-device-registration-information

Se un dispositivo è registrato, la risposta dell'API contiene quanto segue.

• partner_device_id: ID dispositivo Google
• partner_tenant_id: ID cliente dell'account Google Workspace.

Per ulteriori dettagli, fare riferimento alla documentazione API REST disponibile su /api/help. Per visualizzare una spiegazione su come accedere alla documentazione API nell'ambiente specifico, vai su Accesso alla documentazione API.