EnglishFrançaisDeutschEspañolItaliano日本語한국어NederlandsPortuguês (Brasil)中文 (简体)中文 (繁體, 台灣)
Skip to main content

2026 年 8 月 26 日

Google BeyondCorp を使用する条件付きアクセス

BeyondCorp Alliance パートナーとして、Workspace ONE UEM を Google Workspace と統合し、エンドポイント コンプライアンスと管理状態を使用してリスクを評価し、コンテキスト アウェア アクセス ポリシーを適用できます。

この統合により、強力なコンプライアンス エンジンを含む、ツールの Workspace ONE UEM エコシステムを使用して、さまざまなデバイス属性とユーザー属性に基づいてデバイスが組織のセキュリティ標準を順守しているかを判断し、その結果ステータスを Google と共有することができます。Google Workspace は、このエンドポイント ステータス情報を解釈し、詳細なコンテキスト アウェア アクセス ポリシーの構成に役立ちます。

前提条件

Omnissa

  • 管理者アカウントを持つ、Workspace ONE UEM（現在サポートされているすべてのバージョン）。
  • Intelligence
    • すべての SaaS 環境でデフォルトで使用できます。Workspace ONE UEM 環境を通じて Omnissa Intelligence にオプトインし、機能が中断しないようにオプトインを維持する必要があります。
    • Omnissa Connect を介して Omnissa サービスにアクセスする場合、UEM データ ソースが認証済みで、その状態を維持する必要があります。Intelligence Console からステータスを表示するには、[統合] > [データ ソース] > [UEM] の順に移動します。
    • オンプレミスのお客様は Omnissa Intelligence を構成する必要があります。これには、オンプレミスの Omnissa Intelligence Connector を導入する必要がある場合があります。
      詳細については、「Omnissa Intelligence の要件」を参照してください。

Google

  • BeyondCorp Alliance パートナーとコンテキスト アウェア アクセスを構成および管理するための、関連ライセンスを備えた Google Workspace
  • Cloud Identity API を有効にし、API 統合のためのサービス アカウントとキーを作成および管理するための、関連するライセンスを備えた Google Cloud

サポートされているデバイス プラットフォーム

BeyondCorp のコンテキスト アウェア アクセスでは、完全に管理された MDM 加入済みデバイスのみがサポートされます。登録済み Hub または登録済みアプリケーション (Boxer、Content などのアプリケーション経由) はサポートされていません。デバイス プラットフォームごとの追加要件を以下に示します。

  • iOS：Intelligent Hub 2209 以降
    • 共有デバイス（チェックインとチェックアウト）はサポートされません
    • アカウント駆動型ユーザー登録 (ADUE) を介して加入したデバイスはサポートされません
  • Android：Intelligent Hub 2209 以降
    • 共有デバイス（チェックインとチェックアウト）はサポートされません
  • macOS：Intelligent Hub 2306 以降
  • Windows：Intelligent Hub 2310 以降

デバイスの OS バージョンが Workspace ONE UEM でサポートされていること、および最新リリースの Workspace ONE Intelligent Hub の OS バージョン要件に準拠していることを確認します。各プラットフォーム固有の情報については、「Omnissa Workspace ONE UEM」のプラットフォーム固有のガイドを参照してください。Hub の詳細については、「Omnissa Workspace ONE Intelligent Hub」を参照してください。

サポートされている展開

Workspace ONE UEM は現在、Omnissa 管理の SaaS 展開とオンプレミス展開の両方で Google BeyondCorp 統合をサポートしています。ただし、この統合は、Omnissa 管理の FedRAMP 環境では使用できません。

また、単一の Google Workspace ドメイン（テナント）を複数の Workspace ONE UEM 環境と統合できるようになりました。コンテキスト アウェア アクセス用に、同じ Google ドメインを構成する各 Workspace ONE UEM 組織グループ (OG) は、個別の Workspace ONE UEM 環境に属している必要があります。つまり、複数の UEM 環境に対して 1 つの Google ドメインを持つことはできますが、単一の UEM 環境内の複数の組織グループに対して、1 つの Google ドメインを持つことはできません。

オンプレミス環境に関するその他の考慮事項

UEM Console サーバが内部ネットワークまたは制限付きネットワークでホストされているオンプレミス環境（ここに記載するように、関連する Intelligence URL に送信アクセスできない環境を含む）では、Console URL と、関連付けられた SSL 証明書を使用する必要があります。条件付きアクセスの統合では、HTTP のみを使用した Console URL はサポートされていません。

条件付きアクセス ログ機能は、Console から Intelligence への送信アクセスを必要とするため、そのような環境では機能しない可能性があります。

Google BeyondCorp と Workspace ONE UEM の統合

Workspace ONE UEM を Google BeyondCorp と統合するには、次の手順を実行します。

1. Google Cloud コンソールの構成

Workspace ONE UEM と正しく統合するには、Google Cloud コンソールに次の構成を実装する必要があります。

a. Cloud Identity API を有効にする

関連する Google Cloud プロジェクトで請求が有効になっていることを確認してから、そのプロジェクトの Cloud Identity API をアクティブ化する必要があります。Google Cloud プロジェクトの請求管理の詳細については、https://docs.cloud.google.com/billing/docs/how-to/modify-project を参照してください。

Cloud Identity API を見つけるには、Google Cloud コンソールで [API とサービス] > [有効な API とサービス] > [API とサービスを有効にする] に移動するか、次の URL（適切な Google Cloud プロジェクト ID を使用）を開いてください。

https://console.cloud.google.com/apis/enableflow;apiid=cloudidentity.googleapis.com?project={{projectID}}

Cloud Identity API が正常に有効にされたことを、Google Cloud コンソールで確認する

b. サービス アカウントとキーの作成

  1. [API とサービス] > [認証情報] > [サービス アカウントを作成] の順に移動し、サービス アカウントを作成します。このアカウントは、Workspace ONE UEM から Google Cloud Identity API への呼び出しを認証するために使用されます。

  2. 次に、[サービス アカウント] > [キー] > [キーの追加] > [JSON] の順に移動して、サービス アカウントのキーを作成します。サービス アカウントとキーの詳細は、JSON ファイルとしてコンピュータに保存されます。

  3. [IAM と管理者] > [サービス アカウント] > [サービス アカウントの詳細] に移動し、サービス アカウントの一意の ID をコピーして保存します。

    Workspace ONE UEM 統合に必要なサービス アカウントの E メールと一意の ID を確認できる、Google Cloud コンソールの [サービス アカウントの詳細] ページ

2. Google 管理 Console の構成

次の手順を実行して、BeyondCorp 統合用に Google Workspace を準備します。

a. [ドメイン全体の委任] を有効にする

Google 管理者コンソールで、[セキュリティ] > [アクセスとデータ コントロール] > [APIコントロール] > [ドメイン全体の委任] > [新規追加] に移動して、前の手順で生成したサービス アカウントの [ドメイン全体の委任] をアクティブ化します。

次の詳細を入力します。

b. Workspace ONE Intelligent Hub を信頼するアプリとして追加する

Google 管理者コンソールで Workspace ONE Intelligent Hub を信頼できるアプリとして指定すると、エンドユーザー登録に必要な、Hub からの認証要求が本質的に信頼されます。

  1. [セキュリティ] > [アクセスとデータ コントロール] > [API コントロール] > [アプリ アクセス コントロール] > [アプリ アクセスの管理] > [新しいアプリを構成] の順に移動します。

  2. Intelligent Hub を検索します。クライアント ID com.air-watch.agent (iOS) および com.airwatch.androidagent (Android) で次の手順を実行します。

    a. 関連する組織ユニットに対して、[スコープ] を定義します。

    b. [Google データへのアクセス] を [信頼] に設定し、変更を [完了して保存] します。

    Intelligent Hub を信頼できるアプリケーションとして追加するための [Google 管理者コンソール] ページ

    c. [コンテキスト アウェア アクセス レベルによる API アクセスのブロックを免除する] オプションがある場合は、このオプションを有効にして、変更を [完了して保存] します。

c. Omnissa を BeyondCorp Alliance パートナーに設定

  1. [デバイス] > [モバイル & エンドポイント] > [設定] > [サードパーティ統合] > [セキュリティおよび MDM パートナー] から、Omnissa の [接続を開く] をクリックして、BeyondCorp Alliance パートナーとして Omnissa を有効にします。
  2. [デバイス] > [モバイル & エンドポイント] > [設定] > [サードパーティ統合] > [Android EMM] で、[サードパーティ製 Android モバイル管理] を [無効] に設定します。
  3. [デバイス] > [モバイル & エンドポイント] > [設定] > [ユニバーサル] > [全般] で、次のように構成します。
    • モバイル管理：基本
    • パスワード要件：オフ
  4. [デバイス] > [モバイル & エンドポイント] > [設定] > [ユニバーサル] > [データ アクセス] で、次のように構成します。
    • Android 同期：オン
    • iOS 同期：オン
    • [デバイス信号] > [エンドポイント検証を使用してデバイス信号を収集]：オン

d. アクセス レベルの構成と割り当て

Google 管理者コンソールでコンテキスト アウェア アクセス ポリシーを構成し、デバイスの Workspace ONE UEM の加入とコンプライアンス状態に基づいて、Google Workspace リソースへのアクセスを許可または拒否することができます。 次の手順を使用して、[セキュリティ] > [アクセスおよびデータ コントロール] > [コンテキスト アウェア アクセス] > [アクセス レベル] > [アクセス レベルの作成] からコンテキスト アウェア アクセス ポリシーを構成します。

  1. コンテキスト アウェア ポリシーは、複数の条件で構成されます。これらのポリシーの値と条件を指定するには、高度なコンテキスト条件を使用する必要があります。例については、Google のドキュメントを参照してください。

  2. [セキュリティ] > [アクセスとデータ コントロール] > [コンテキスト アウェア アクセス] > [アクセス レベル] > [アクセス レベルの割り当て] > [アプリにアクセス レベルを割り当て] から、関連する Google Workspace アプリケーションにアクセス レベルを割り当てます。

    a. 1 つ以上のアプリを選択し、関連するアクセス レベルを割り当てます。

    b. [ポリシー設定] で、[アクセス レベルが満たされていない場合、他のアプリが選択したアプリに API 経由でアクセスできないようにする] をアクティブ化しないでください。この設定をアクティブ化する必要がある場合は、[許可リストに追加されたアプリを除外して、アクセス レベルに関係なく常に、特定の Google サービスの API にアクセスできるようにする] が有効になっており、Intelligent Hub の iOS および Android インスタンス（上記の「Workspace ONE Intelligent Hub を信頼できるアプリとして追加」セクションに記載）が除外許可リストに追加されていることを確認します。

  3. [セキュリティ] > [アクセスおよびデータ コントロール] > [コンテキスト アウェア アクセス] > [一般設定] から、エンド ユーザーに対する修正メッセージをアクティブ化します。

    a. [修正メッセージ] を有効にします。

    b. 必要に応じて、関連するガイダンスをエンド ユーザーに提供するための、追加のカスタム メッセージを構成します。これは、エンド ユーザーが Google Workspace リソースにアクセスしようとしたときに表示され、コンテキスト アウェア アクセス レベルでブロックされます。例:

    「このアプリにアクセスするためには、企業 Google アカウントが Workspace ONE Intelligent Hub に接続されていません。Workspace ONE Intelligent Hub に接続するには、ここをクリックしてください。https://{{Your Omnissa Intelligence URL}}/#/compliance/tenants/UEM_tenant/google/remediation」。

    Omnissa Intelligence の URL を見つけるには、Intelligence Console を起動して、URL を調べます。例：ap2.data.workspaceone.com

3. Workspace ONE UEM を Google BeyondCorp に接続する

Workspace ONE UEM Console で、カスタマー タイプの組織グループにいることを確認します。組織グループのタイプを確認するには、[グループと設定] > [グループ] > [組織グループの詳細] > [タイプ] の順に選択します。

  1. [グループと設定] > [統合] に移動し、[Google BeyondCorp コンテキスト アウェア アクセス統合のセットアップ] をクリックします。

  2. [開始する] をクリックし、次の情報を入力します。

    • 顧客 ID - これは、Google 管理者コンソールの [アカウント] > [アカウント設定] > [プロファイル] > [顧客 ID] から取得できます。
    • 管理者のメール アドレス - Google 管理者コンソールの管理者のメール アドレスを入力します。
    • Google サービス アカウント JSON ファイルのインポート - Google Cloud コンソールから取得した、Google Cloud サービス アカウントとキーの詳細を含む、.json ファイルをアップロードします。「サービス アカウントとキーの作成」を参照してください。

  3. [Google BeyondCorp に接続] をクリックし、統合が保存されたことを確認します。

複数の Workspace ONE UEM 環境を 1 つの Google Workspace ドメインに統合する

複数の Workspace ONE UEM 環境を統合するには、各環境の Workspace ONE UEM 構成でこの手順を繰り返す必要があります。Google Cloud コンソールと Google 管理者コンソールを構成する手順は 1 回のみ実行します。ただし、Workspace ONE UEM 環境ごとに個別の Google Cloud サービス アカウントまたはキーを使用します。その場合は、Google 管理者コンソールで各サービス アカウントの [ドメイン全体の委任] をアクティブ化する必要があります。

デバイス登録

デバイス登録のためにユーザーの操作が必要なプラットフォームでは、通常 2 つのパスがサポートされます。

  • セルフサービスの登録フロー
    デバイスのエンド ユーザーは、デバイスにプッシュされるディープリンクを使用するか、（サポートされているプラットフォームで）Hub の [条件付きアクセス登録] ボタンを使用して自己登録できます。これは、Console からアクティブ化できます。ディープリンクまたは登録ボタンを展開する手順は、プラットフォーム固有のガイドで指定されています。

  • 修正フロー
    または、デバイスのユーザーは、デバイスを遵守状態としてマークする必要がある、コンテキスト アウェア アクセス ポリシーの対象となる、Google Workspace アプリケーションを介してログインするか、データへのアクセスを試みることができます。Google Workspace がデバイスのエンド ユーザーのアクセスを制限している場合、Google Workspace で設定された修正メッセージがエンド ユーザーに表示されます。エンド ユーザーは、修正リンクに従って、Intelligent Hub を介した条件付きアクセスに登録できます。これらのプロンプトに従うよう、デバイスのエンド ユーザーに指示します。

iOS

Intelligent Hub と、少なくとも 1 つの Google Workspace アプリ（Gmail、カレンダー、ドライブ、ドキュメント、スプレッドシート、スライド）は、コンテキスト アウェア アクセスを使用する iOS デバイス上で必須のアプリケーションです。Workspace ONE UEM Console を使用して、これらのアプリケーションを管理対象アプリケーションとして iOS デバイスに割り当てて展開します。詳細については、「iOS アプリケーションの管理の概要」を参照してください。

Google Workspace アプリケーションの展開と構成

この手順では、例として Gmail を使用します。これらの手順は、上記の Google Workspace アプリのいずれでも実行できます。

  1. Gmail をパブリックまたは VPP アプリケーションとして Workspace ONE UEM に追加し、関連するデバイスに割り当てます。

  2. 割り当ての [制限] セクションで、[ユーザーがインストールしたアプリを MDM 管理対象にする] がアクティブ化されていることを確認します。この手順により、エンド ユーザーが以前にアプリを管理対象外としてインストールしている場合に、Workspace ONE UEM がアプリの管理を引き継ぐことができます。監視対象デバイスでは、管理がサイレントに引き継がれます。非監視対象デバイスでは、Workspace ONE によるアプリの管理を許可するよう求めるプロンプトがエンドユーザーに表示され、エンドユーザーが承認する必要があります。これは、次のステップが成功するために不可欠です

  3. 割り当ての [アプリケーション構成] セクションで、[構成の送信] をアクティブ化して、以下に一覧表示されたキーと値のペア (KVP) を追加します。

    構成キー値タイプ構成値
    partnerString2e0b4c99-5fa7-489e-b256-1ca0f9d78113
    iosDeviceIdString{DeviceUid}

これらの KVP は、Workspace ONE UEM がアプリの管理を開始すると、デバイスに展開されます。

セルフサービス登録フローは、次の 2 つの方法でアクティブ化できます。

  • Intelligent Hub で [条件付きアクセス登録] ボタンをアクティブ化します。
  • ディープリンクを Web クリップとして構成して配信します。

Intelligent Hub の [登録] ボタン（推奨）

Intelligent Hub for iOS バージョン 25.11 以降では、Hub 内の [条件付きアクセス登録] ボタンをアクティブ化することで、エンド ユーザーの登録プロセスを簡素化できます。

[登録] ボタンをアクティブ化するには、次の手順を実行します。

  1. Workspace ONE UEM Console で、[グループと設定] > [すべての設定] > [アプリ] > [設定とポリシー] > [設定] の順に移動します。

  2. [カスタム設定] を有効にし、次のキーと値のペアを [カスタム設定] フィールドに貼り付け、[保存] を選択します。

    { "displayRegisterConditionalAccessButton":true }

Hub でこれらの設定が適用されると、[条件付きアクセス登録] ボタンが表示されます。以前加入したデバイスでは、変更を有効にするために、Hub を強制終了して再起動することが必要になる場合があります。

登録 Web クリップ

ディープリンクを Web クリップとして構成して配信するには、次の手順を実行します。

  1. Workspace ONE UEM Console で [リソース] > [アプリ] > [Web リンク] の順に移動し、[アプリケーションを追加] を選択します。
  2. [Apple iOS] を選択し、[続行] を選択します。
  3. [詳細] タブで、Web リンクの適切な名前を指定します - これは、デバイス上および Hub カタログ内でウェブ クリップ アイコンの名前として表示されます。
  4. URL を wsonehub://conditionalaccess?partner=google に設定します
  5. オプションで関連する説明を入力します。
  6. [割り当て] タブで、割り当てに関連するスマート グループを選択し、必要に応じて除外を構成します。
  7. Push を Auto に設定します (推奨)
  8. 高度な設定を構成し、[保存して公開] を選択します。

ユーザー エクスペリエンス

ユーザーのエクスペリエンスは、Gmail などの Google Workspace アプリケーションにユーザーがアクセスできるかどうかによって異なります。

ユーザーがすでに Gmail にログインしている場合

ユーザーがすでに Gmail のエンタープライズ アカウントにアクセスできる場合は、次の手順を実行する必要があります。

  1. Gmail が Workspace ONE UEM によって管理されていることを確認します。UEM は、アプリケーションの管理が引き継がれるとすぐに、アプリ構成 KVP を自動的に展開します。前述のように、非監視対象デバイスでは、管理を引き継ぐにはエンドユーザーが Workspace ONE UEM からのプロンプトに同意する必要があります。
  2. Gmail を開いて、アプリが KVP を Google Workspace にリレーできるようにします。これにより、Google は DURN をデバイスの UEM DeviceUDID に一意に関連付けることができます。
  3. 次のいずれかの方法で、条件付きアクセスに再登録します。
    • 管理者がデバイスに展開した CA 登録 Web クリップを選択する、または
    • Intelligent Hub 内の [条件付きアクセス登録] ボタンを使用する（管理者がこのオプションを有効にしている場合）。

ユーザーが Gmail にログインしていない場合

ユーザーが Gmail のエンタープライズ アカウントにアクセスできない場合は、次の手順を実行する必要があります。

  1. Gmail が Workspace ONE UEM によって管理されていることを確認します。UEM は、アプリケーションの管理が引き継がれるとすぐに、アプリ構成 KVP を自動的に展開します。前述のように、非監視対象デバイスでは、管理を引き継ぐにはエンドユーザーが Workspace ONE UEM からのプロンプトに同意する必要があります。

  2. Gmail を開き、エンタープライズ アカウントを使用してログインを試みます。

    a. 加入と遵守を要求する CA ポリシーが、Gmail のユーザーに適用されている場合、Google によって「修正メッセージ」が表示され、ユーザーは Intelligent Hub を介して CA 登録を実行するようにリダイレクトされます。登録プロンプトに沿って、Hub から CA に正常に登録した後、再び Gmail にログインする必要があります。

    b. 加入と遵守を要求する CA ポリシーが Gmail のユーザーに適用されていない場合、Google はユーザーを認証し、ユーザーは Gmail にアクセスできます。CA 登録は、次のいずれかの方法で開始できます。

    • 管理者がデバイスに展開した CA 登録 Web クリップを選択する、または
    • Intelligent Hub 内の [条件付きアクセス登録] ボタンを使用する（管理者がこのオプションを有効にしている場合）。

Android

セルフサービス登録フローは、次の 2 つの方法でアクティブ化できます。

  • Intelligent Hub で [条件付きアクセス登録] ボタンをアクティブ化します。
  • ディープリンクをブックマークとして構成して配信します。

Intelligent Hub の [登録] ボタン（推奨）

Intelligent Hub for Android バージョン 25.11 以降では、Hub 内の [条件付きアクセス登録] ボタンをアクティブ化することで、エンド ユーザーの登録プロセスを簡素化できます。[登録] ボタンをアクティブ化するには、次の手順を実行します。

  1. Workspace ONE UEM Console で、[グループと設定] > [すべての設定] > [アプリ] > [設定とポリシー] > [設定] の順に移動します。

  2. [カスタム設定] を有効にし、次のキーと値のペアを [カスタム設定] フィールドに貼り付け、[保存] を選択します。

    { "displayRegisterConditionalAccessButton":true }

Hub でこれらの設定が適用されると、[条件付きアクセス登録] ボタンが表示されます。以前加入したデバイスでは、変更を有効にするために、Hub を強制終了して再起動することが必要になる場合があります。

  1. Intelligent Hub の [条件付きアクセスに登録] ボタンをクリックして登録を開始するよう、エンド ユーザーに指示します。

登録ブックマーク

ディープリンクを Web クリップとして構成して配信するには、次の手順を実行します。

  1. Workspace ONE UEM Console で [リソース] > [アプリ] > [Web リンク] の順に移動し、[アプリケーションを追加] を選択します。
  2. プラットフォームとして [Android] を選択し、[続行] を選択します。
  3. [詳細] タブで、Web リンクの適切な名前を指定します。これは、デバイス上および Hub カタログ内で [ブックマーク] アイコンの名前として表示されます。
  4. URL を wsonehub://conditionalaccess?partner=google に設定します
  5. オプションで関連する説明を入力します。
  6. [割り当て] タブで、割り当てに関連する [スマート グループ] を選択し、必要に応じて [除外] を構成します。
  7. Push を Auto に設定します (推奨)
  8. ホーム画面に追加を [はい] に設定します。
  9. 展開されたブックマークを選択して登録を開始するよう、エンド ユーザーに指示します。

macOS

macOS デバイスで CA を登録するには、Google の Chrome Endpoint Verification 拡張機能が必要です。コンテキスト アウェア アクセスに登録できるように、エンドユーザーの macOS デバイスにこれをインストールして有効にする必要があります。

セルフサービス登録フローを有効にするには、次の手順に従ってディープリンクをウェブ クリップとして構成して配信します。

  1. Workspace ONE UEM Console で [リソース] > [アプリ] > [Web リンク] の順に移動し、[アプリケーションを追加] を選択します。
  2. プラットフォームとして [Apple macOS] を選択し、[続行] をクリックします。
  3. [詳細] タブで、Web リンクの適切な名前を指定します。これは、デバイス上および Hub カタログ内で [ブックマーク] アイコンの名前として表示されます。
  4. URL を wsonehub://conditionalaccess?partner=google に設定します
  5. オプションで関連する説明を入力します。
  6. [割り当て] タブで、割り当てに関連する [スマート グループ] を選択し、必要に応じて [除外] を構成します。
  7. Push を Auto に設定します (推奨)
  8. 展開されたブックマークを選択して登録を開始するよう、エンド ユーザーに指示します。

Windows

Windows デバイスで CA を登録するには、Google の Chrome Endpoint Verification 拡張機能が必要です。コンテキスト アウェア アクセスに登録できるように、エンドユーザーの Windows デバイスにこれをインストールして有効にする必要があります。

セルフサービス登録フローを有効にするには、次の手順に従ってディープリンクをウェブ クリップとして構成して配信します。

  1. Workspace ONE UEM Console で [リソース] > [アプリ] > [Web リンク] の順に移動し、[アプリケーションを追加] を選択します。
  2. プラットフォームとして [Windows] を選択し、[続行] をクリックします。
  3. [詳細] タブで、Web クリップの適切な名前を指定します。これは、Hub カタログ内で Web クリップ アイコンの名前として表示されます。
  4. URL を ws1winhub://conditionalaccess?partner=google に設定します
  5. オプションで関連する説明を入力します。
  6. [割り当て] タブで、割り当てに関連する [スマート グループ] を選択し、必要に応じて [除外] を構成します。
  7. Push を Auto に設定します (推奨)
  8. 展開されたブックマークを選択して登録を開始するよう、エンド ユーザーに指示します。

Google BeyondCorp 統合の監視とトラブルシューティング

Workspace ONE UEM は、Google BeyondCorp 統合の健全性を監視し、デバイス登録の問題をトラブルシューティングするための複数のツールとインターフェイスを提供します。

統合状態

Workspace ONE UEM Consoleの [グループと設定] > [統合] > [Google BeyondCorp コンテキスト アウェア アクセスの統合] で [表示] をクリックして、Google BeyondCorp 統合の詳細を表示できます。次の情報を使用できます。

  • 統合ステータス：統合が有効になっているかどうかを示します。これは現在の接続の指標ではありません。
  • 顧客 ID：Google Workspace アカウントの顧客 ID。
  • 管理者のメール アドレス：統合を有効にするときに使用される Google メール アドレス。
  • 構成日：統合が最初に設定された日付。

デバイス登録状態

[デバイスの詳細] > [概要] 画面の [セキュリティ] カードに Google BeyondCorp の登録状態が表示されます。この状態は、UEM がデバイスから有効な Google デバイス識別子を受信すると [有効] に設定され、Intelligent Hub によって UEM に中継されます。

Google デバイス ID が [デバイス情報] カードに表示されます。この識別子は、Google 管理者コンソールの [デバイス] > [モバイルとエンドポイント] > [デバイス詳細] > [デバイス情報] の [デバイス リソース ID] フィールドで確認できます。

条件付きアクセス ログ

[デバイス詳細] > [その他] > [条件付きアクセス ログ] 画面には、デバイスに対する Workspace ONE と Google のやり取りの履歴が表示されます。コンプライアンス ブローカと Google Cloud API 間の呼び出しに重点を置いています。この履歴には、Google に中継された管理状態と遵守状態、およびこの情報が中継された日時が含まれます。通常、イベントの詳細には次のものが含まれます。

  • 送信タイムスタンプの要求
  • パートナー デバイス ID - ユーザーとデバイスの完全な Google リソース識別子。通常、これは devices/{device}/deviceUsers/{Google Device ID} の形式です。Google Device ID は、[デバイス詳細] > [サマリ] > [デバイス情報] に表示される識別子です。
  • メッセージID
  • デバイス管理状態 - デバイスの UEM 加入状態
  • 順守状態 - デバイスの UEM 順守状態
  • API 要求の本文 - Google に送信される API 要求の本文に含まれる詳細
  • API 応答本文 - Google から受信した応答に含まれる詳細

デバイス イベントとデバイス トラブルシューティング ログ

条件付きアクセス ログに表示される情報のサブセットは、次のページでも使用できます。

  • デバイス イベント：[モニター] > [イベントとログ] > [デバイス イベント]
  • [デバイス詳細] > [その他] > [トラブルシューティング] > [イベント ログ]

これらのページには、次の 2 種類のイベントが含まれます。

  • 条件付きアクセス デバイス登録 - UEM が Hub から関連データを受信し、コンプライアンス ブローカに中継する（Google に転送される）ときに記録されます。
  • 条件付きアクセス デバイス状態の変更 - UEM がデバイスの遵守状態または加入状態の変更を検出し、コンプライアンス ブローカに更新を送信する（Google に転送される）ときに記録されます。

これらのイベントのイベント データには通常、次のものが含まれます。

  • デバイス UUID - デバイスの Workspace ONE UEM の一意の識別子
  • デバイス管理状態 - UEM の加入状態
  • 順守状態 - UEM の順守状態
  • コンプライアンス ブローカの要求 - Workspace ONE コンプライアンス ブローカ サービスに中継され、Google に中継される情報の詳細。
  • 成功 - 要求がコンプライアンス ブローカに正常に送信されたかどうかを示します

REST API

REST API エンドポイントを使用して、Workspace ONE UEM デバイス UUID で識別される特定のデバイスの条件付きアクセス登録情報を取得できます。

GET /devices/{deviceUuid}/conditional-access-device-registration-information

デバイスが登録されている場合、API 応答には次の情報が含まれます。

  • partner_device_id - Google デバイス ID
  • partner_tenant_id - Google Workspace アカウントの顧客 ID

詳細については、/api/help にある REST API のドキュメントを参照してください。特定の環境で API ドキュメントにアクセスする方法については、「API ドキュメントへのアクセス」を参照してください。

このページは役に立ちましたか?

このトピックについてフィードバックを送信

このトピックは役に立ちましたか?

個人情報や機密情報は入力しないでください。

リンクを生成しています…