Voorwaardelijke toegang met Google BeyondCorp

Als BeyondCorp Alliance-partner kunt u Workspace ONE UEM integreren met Google Workspace om de conformiteits- en beheerstatus van eindpunten te gebruiken voor risicobeoordeling en het afdwingen van Contextbewuste toegangsbeleidsregels.

Deze integratie helpt u het ecosysteem van tools van Workspace ONE UEM te gebruiken, inclusief de krachtige netwerkbeleidsengine, om te bepalen of toestellen voldoen aan de beveiligingsnormen van uw organisatie op basis van een breed scala aan toestel- en gebruikerskenmerken, en de resulterende status te delen met Google. Google Workspace interpreteert deze informatie over de eindpuntstatus om u te helpen bij het configureren van gedetailleerde Contextbewuste toegangsbeleidsregels.

Vereisten

Omnissa

• Workspace ONE UEM (elke momenteel ondersteunde versie) met beheerdersaccount.
• Intelligence
  • Standaard beschikbaar voor alle SaaS-omgevingen. U moet zich aanmelden bij Omnissa Intelligence via uw Workspace ONE UEM-omgeving en aangemeld blijven voor ononderbroken functionaliteit.
  • Als u toegang krijgt tot Omnissa-services via Omnissa Connect, moet de UEM-gegevensbron bevoegd zijn en dat moet zo blijven. U kunt de status bekijken vanuit de Intelligence Console door te navigeren naar Integraties > Gegevensbronnen > UEM.
  • Klanten op locatie moeten Omnissa Intelligence configureren. Hiervoor moet mogelijk een Omnissa Intelligence Connector op locatie worden geïmplementeerd.
    Raadpleeg de vereisten van Omnissa Intelligence voor meer informatie.

Google

• Google Workspace met relevante licenties voor het configureren en beheren van BeyondCorp Alliance-partners en Contextbewuste toegang
• Google Cloud met relevante licenties om de Cloud Identity API in te schakelen, een serviceaccount en sleutel voor API-integratie te maken en beheren

Ondersteunde toestelplatforms

Alleen volledig beheerde, met MDM ingeschreven toestellen worden ondersteund voor BeyondCorp Contextbewuste toegang. Hub-geregistreerd of App-geregistreerd (via applicaties zoals Boxer, Content, enzovoort) worden niet ondersteund. Aanvullende vereisten per toestelplatform worden hieronder vermeld.

• iOS: Intelligent Hub 2209 en hoger
  • Shared Devices (inchecken/uitchecken) worden niet ondersteund
  • Toestellen die zijn ingeschreven via Account Driven User Enrollment (ADUE) worden niet ondersteund
• Android: Intelligent Hub 2209 en hoger
  • Shared Devices (inchecken/uitchecken) worden niet ondersteund
• macOS: Intelligent Hub 2306 en hoger
• Windows: Intelligent Hub 2310 en hoger

Zorg ervoor dat uw toestellen een OS-versie hebben die door Workspace ONE UEM wordt ondersteund en dat ze voldoen aan de vereisten voor de OS-versie voor de nieuwste release van Workspace ONE Intelligent Hub. Raadpleeg de platformspecifieke handleidingen in Omnissa Workspace ONE UEM voor informatie specifiek voor elk platform. Zie Omnissa Workspace ONE Intelligent Hub voor informatie over de Hub.

Ondersteunde implementatietypen

Workspace ONE UEM ondersteunt momenteel Google BeyondCorp-integratie voor zowel door Omnissa beheerde SaaS-implementaties als implementaties op locatie. Deze integratie is echter niet beschikbaar in door Omnissa beheerde FedRAMP-omgevingen.

Daarnaast kunt u nu één Google Workspace-domein (tenant) integreren met meerdere Workspace ONE UEM-omgevingen. Elke Workspace ONE UEM-organisatiegroep (OG) waar hetzelfde Google-domein wilt configureren voor Contextbewuste toegang, moet tot een afzonderlijke Workspace ONE UEM-omgeving behoren. Met andere woorden, u kunt één Google-domein hebben voor meerdere UEM-omgevingen, maar u kunt niet één Google-domein hebben voor meerdere organisatiegroepen in één UEM-omgeving.

Aanvullende overwegingen voor omgevingen op locatie

Omgevingen op locatie met een UEM Console-server die wordt gehost op een intern of beperkt netwerk, inclusief omgevingen zonder uitgaande toegang tot de relevante Intelligence-URL's zoals hier vermeld, moeten een Console-URL met een bijbehorend SSL-certificaat gebruiken. Console-URL's die alleen HTTP gebruiken, worden niet ondersteund voor integratie met voorwaardelijke toegang.

De mogelijkheid voor voorwaardelijke toegang tot het logboek werkt mogelijk niet in dergelijke omgevingen, omdat hiervoor uitgaande toegang van de Console naar Intelligence is vereist.

Google BeyondCorp met Workspace ONE UEM integreren

Volg de onderstaande stappen om Google BeyondCorp te integreren met Workspace ONE UEM.

1. Google Cloud Console configureren

De volgende configuraties moeten in uw Google Cloud Console worden geïmplementeerd voor een succesvolle integratie met Workspace ONE UEM.

a. Cloud Identity API inschakelen

U moet ervoor zorgen dat facturering is geactiveerd in het relevante Google Cloud-project en vervolgens de Cloud Identity API voor dat project activeren. Zie https://docs.cloud.google.com/billing/docs/how-to/modify-project voor meer informatie over het beheren van facturering voor uw Google Cloud-project.

U kunt de Cloud Identity API vinden onder API's en services > Ingeschakelde API's en services > API's en services inschakelen in de Google Cloud Console of open de volgende URL (met de juiste Google Cloud Project-ID).

https://console.cloud.google.com/apis/enableflow;apiid=cloudidentity.googleapis.com?project={{projectID}}

b. Serviceaccount en sleutel maken

1. Navigeer naar API's en services > Inloggegevens > Serviceaccount maken om een serviceaccount te genereren. Dit account wordt gebruikt voor het verifiëren van aanroepen van Workspace ONE UEM naar Google Cloud Identity API's.

2. Navigeer vervolgens naar Serviceaccount > Sleutels > Sleutel toevoegen > JSON om een sleutel voor het serviceaccount te maken. Het serviceaccount en de belangrijke gegevens worden als JSON-bestand op uw computer opgeslagen.

3. Navigeer naar IAM en beheer > Serviceaccounts > Serviceaccountgegevens, kopieer de unieke ID voor het serviceaccount en sla deze op.

   

2. Configureer de Google-beheerdersconsole

Voer de volgende stappen uit om uw Google Workspace voor te bereiden op BeyondCorp-integratie.

a. Domeinbrede delegatie inschakelen

Activeer in de Google Beheerdersconsole Domeinbrede delegatie voor het serviceaccount dat in de vorige stappen is gegenereerd, via Beveiliging > Toegang en gegevensbeheer > API-besturingselementen > Domeinbrede delegatie > Nieuwe toevoegen.

Vul de volgende gegevens in:

• Client-ID - Unieke ID van het serviceaccount, verkregen in de vorige stap van Google Cloud Console.
• Toepassingsgebied - https://www.googleapis.com/auth/cloud-identity.devices

b. Workspace ONE Intelligent Hub toevoegen als vertrouwde app

Wijs Workspace ONE Intelligent Hub aan als vertrouwde app in uw Google Beheerdersconsole, zodat verificatieverzoeken van Hub, die nodig zijn voor registratie van eindgebruikers, inherent worden vertrouwd.

1. Navigeer naar Beveiliging > Toegang en gegevensbeheer > API-besturingselementen > App-toegangscontrole > App-toegang beheren > Nieuwe app configureren.

2. Zoek naar Intelligent Hub. Voer de volgende stappen uit voor client-ID's com.air-watch.agent (iOS) en com.airwatch.androidagent(Android)

   a. Definieer het bereik voor relevante organisatie-eenheden.

   b. Stel Toegang tot Google-gegevens in als Vertrouwd en voltooi/sla uw wijzigingen op.

   

   c. Als u de optie heeft om API-toegang vrij te stellen van het blokkeren van Contextbewuste toegangsniveaus, schakelt u deze in en voltooit/slaat u uw wijzigingen op.

c. Omnissa instellen als BeyondCorp Alliance-partner

1. Schakel Omnissa in als de BeyondCorp Alliance-partner via Toestellen > Mobiel en eindpunten > Instellingen > Externe integraties > Beveiligings- en MDM-partners > Partners beheren door op Verbinding openen voor Omnissa te klikken.
2. Onder Toestellen > Mobiel en eindpunten > Instellingen > Externe integraties > Android EMM stelt u Extern mobiel Android-beheer in op Niet ingeschakeld.
3. Configureer onder Toestellen > Mobiel en eindpunten > Instellingen > Universeel > Algemeen het volgende:
   • Mobiel beheer: Basis
   • Wachtwoordvereisten: Uit
4. Configureer onder Toestellen > Mobiel en eindpunten > Instellingen > Universeel > Algemeen het volgende:
   • Android-synchronisatie: Aan
   • iOS-synchronisatie: Aan
   • Toestelsignalen > Toestelsignalen verzamelen met eindpuntverificatie: Aan

d. Configureer en wijs toegangsniveaus toe

U kunt Contextbewuste toegangsbeleidsregels configureren in de Google Beheerdersconsole om toegang tot Google Workspace-resources toe te staan of te weigeren op basis van de Workspace ONE UEM-inschrijving en de conformiteitsstatus van een apparaat. Configureer Contextbewuste toegangsbeleidsregels via Beveiliging > Toegang en gegevensbeheer > Contextbewuste toegang > Toegangsniveaus > Toegangsniveau creëren aan de hand van de volgende stappen:

1. Contextbewuste beleidsregels bestaan uit voorwaarden. Als u de waarden en voorwaarden voor deze beleidsregels wilt opgeven, moet u geavanceerde contextvoorwaarden gebruiken. Raadpleeg de documentatie van Google voor voorbeelden.

   • Contextbewuste toegangsniveaus creëren en toewijzen
   • Voorbeelden van geavanceerde modus
   • Common Expression Language (CEL): Toestelkenmerkspecificatie
     Het volgende toegangsniveau staat bijvoorbeeld alleen toestellen toe die zijn ingeschreven en voldoen aan Workspace ONE UEM en die zijn geregistreerd voor Google Contextbewuste toegang via Workspace ONE UEM: (device.vendors["Omnissa"].is_compliant_device == true) && (device.vendors["Omnissa"].is_managed_device == true)

2. Wijs een toegangsniveau toe aan de relevante Google Workspace-applicatie(s) via Beveiliging > Toegang en gegevensbeheer > Contextbewuste toegang > Toegangsniveaus > Toegangsniveaus toewijzen > Toegangsniveaus toewijzen aan apps.

   a. Selecteer één of meer applicaties en wijs het relevante toegangsniveau toe.

   b. Activeer in de beleidsinstellingen Toegang van andere apps blokkeren tot de geselecteerde apps via API's als de toegangsniveaus niet worden bereikt niet. Als u deze instelling moet activeren, zorg er dan voor dat Apps op de toestemmingslijst uitzonderen zodat ze altijd toegang hebben tot API's voor specifieke Google-services, ongeacht de toegangsniveaus is ingeschakeld en dat de iOS- en Android-instanties van Intelligent Hub (vermeld in de sectie 'Workspace ONE Intelligent Hub toevoegen als vertrouwde apps' hierboven) worden toegevoegd aan de toestemmingslijst met uitzonderingen.

3. Activeer een Correctiebericht voor uw eindgebruikers via Beveiliging > Toegang en gegevensbeheer > Contextbewuste toegang > Algemene instellingen.

   a. Schakel Correctieberichten in.

   b. U kunt ook een extra aangepast bericht configureren om uw eindgebruikers relevante richtlijnen te geven. Dit wordt weergegeven aan eindgebruikers wanneer ze toegang proberen te krijgen tot een Google Workspace-resource en worden geblokkeerd door een Contextbewust toegangsniveau. Bijvoorbeeld:

   "Uw zakelijke Google-account is niet verbonden met Workspace ONE Intelligent Hub voor toegang tot deze app. Klik hier om verbinding te maken met de Workspace ONE Intelligent Hub. https://{{Your Omnissa Intelligence URL}}/#/compliance/tenants/UEM_tenant/google/remediation".

   U kunt uw Omnissa Intelligence-URL vinden door de Intelligence Console te starten en de URL te inspecteren. Bijvoorbeeld, ap2.data.workspaceone.com

3. Workspace ONE UEM verbinden met Google BeyondCorp

Controleer in de Workspace ONE UEM Console dat u in de organisatiegroep van het type Klant bent. U kunt het type organisatiegroep controleren in Groepen en instellingen > Groepen > OG-gegevens > Type.

1. Navigeer naar Groepen en instellingen > Integraties en klik op Instellen voor Google BeyondCorp Contextbewuste toegangsintegratie.

2. Klik op Aan de slag en voer de volgende informatie in:

   • Klant-ID - Deze kunt u verkrijgen in uw Google Beheerdersconsole onder Account > Accountinstellingen > Profiel > Klant-ID.
   • E-mailadres beheerder - Geef het e-mailadres van uw beheerder van de Google Beheerdersconsole in.
   • JSON-bestand van Google-serviceaccount importeren - Upload het .json-bestand met het Google Cloud-serviceaccount en belangrijke gegevens, verkregen van de Google Cloud Console. Zie Serviceaccount en sleutel maken.

3. Klik op Verbinden met Google BeyondCorp en bevestig dat de integratie is opgeslagen.

Meerdere Workspace ONE UEM-omgevingen met één Google Workspace-domein integreren

Als u meerdere Workspace ONE UEM-omgevingen wilt integreren, moet u de stappen voor Workspace ONE UEM-configuratie in elke omgeving herhalen. De stappen voor het configureren van de Google Cloud Console en de Google Beheerdersconsole worden slechts één keer uitgevoerd. Gebruik echter een aparte Google Cloud Service-account of -sleutel voor elke Workspace ONE UEM-omgeving. Als u hiervoor kiest, moet u voor elk serviceaccount Domeinbrede delegatie activeren in de Google Beheerdersconsole.

Toestelregistratie

Platformen die gebruikersinteractie voor toestelregistratie vereisen, ondersteunen doorgaans twee paden.

• Zelfserviceregistratiestroom
  De eindgebruikers van uw apparaat kunnen zichzelf registreren met behulp van een deeplink die u naar hun apparaten pusht, of via de knop voor registratie met voorwaardelijke toegang in Hub (op ondersteunde platforms), die u kunt activeren vanaf de console. De stappen voor het implementeren van de deeplink of registratieknop worden beschreven in de platformspecifieke handleidingen.

• Correctiestroom
  Als alternatief kan de gebruiker van het apparaat inloggen of proberen toegang te krijgen tot gegevens via een Google Workspace-applicatie die onderworpen is aan een Contextbewust toegangsbeleid, waarvoor het apparaat als conform moet zijn gemarkeerd. Als Google Workspace de toegang van de eindgebruiker van het apparaat beperkt, krijgen ze het Correctiebericht te zien dat is geconfigureerd in Google Workspace. De eindgebruiker kan de Correctielink volgen om zich te registreren voor Voorwaardelijke toegang via Intelligent Hub. Vraag de eindgebruiker van het toestel om deze instructies op te volgen.

iOS

Intelligent Hub en ten minste één Google Workspace-app (Gmail, Calendar, Drive, Docs, Sheets en Slides) zijn verplichte applicaties op iOS-toestellen die gebruikmaken van Contextbewuste toegang. Wijs deze applicaties toe aan en implementeer ze op uw iOS-toestellen als beheerde applicaties via de Workspace ONE UEM Console. Raadpleeg Inleiding tot het beheer van iOS-applicaties voor meer informatie.

Een Google Workspace-applicatie implementeren en configureren

In deze procedure wordt Gmail als voorbeeld gebruikt. U kunt deze stappen uitvoeren voor elk van de hierboven genoemde Google Workspace-apps.

1. Voeg Gmail toe als een openbare of VPP-applicatie in Workspace ONE UEM en wijs het toe aan relevante toestellen.

2. Controleer in de sectie Beperkingen van de toewijzing of Applicatie onder MDM-beheer stellen als deze door de gebruiker is geïnstalleerd is geactiveerd. Met deze stap kan Workspace ONE UEM het beheer van de app overnemen als de eindgebruiker de app eerder als onbeheerd heeft geïnstalleerd. Op toestellen die onder toezicht staan, wordt het beheer op de achtergrond overgenomen. Op toestellen zonder toezicht wordt de eindgebruiker gevraagd om Workspace ONE toestemming te geven voor het beheer van de applicatie en moet hij/zij deze toestemming geven. Dit is essentieel om de volgende stap te laten slagen.

3. Activeer Configuratie verzenden in de sectie Applicatieconfiguratie van de toewijzing en voeg de weergegeven sleutelwaardeparen (KVP's) toe:

   Configuratiesleutel	Waardetype	Configuratiewaarde
   partner	String	2e0b4c99-5fa7-489e-b256-1ca0f9d78113
   iosDeviceId	String	{DeviceUid}

Deze KVP's worden op het toestel geïmplementeerd zodra Workspace ONE UEM begint met het beheren van de app.

De Zelfserviceregistratieflow kan op twee manieren worden geactiveerd.

• Activeer de knop 'Registratie met voorwaardelijke toegang' in Intelligent Hub.
• Configureer en lever een deeplink als een Webclip.

Registratieknop in Intelligent Hub (aanbevolen)

Vanaf Intelligent Hub voor iOS versie 25.11 kunt u het registratieproces voor eindgebruikers vereenvoudigen door de knop 'Registratie met voorwaardelijke toegang' in Hub te activeren.

Om de registratieknop te activeren, volgt u de volgende procedure:

1. Navigeer in Workspace ONE UEM Console naar Groepen en instellingen > Alle instellingen > Apps > Instellingen en beleid > Instellingen.

2. Schakel Aangepaste instellingen in en plak het volgende sleutelwaardepaar in het veld Aangepaste instellingen. Selecteer vervolgens Opslaan.

   { "displayRegisterConditionalAccessButton":true }

U ziet de knop voor Registratie met voorwaardelijke toegang zodra de Hub deze instellingen heeft toegepast. Op eerder ingeschreven apparaten moet u de Hub mogelijk geforceerd afsluiten en opnieuw opstarten om de wijzigingen door te voeren.

Webclip-registratie

Om een deeplink als Webclip te configureren en weer te geven, volgt u deze stappen:

1. Navigeer in de Workspace ONE UEM Console naar Resources > Applicaties > Weblinks en selecteer Applicatie toevoegen
2. Selecteer Apple iOS en klik dan op Doorgaan.
3. Geef op het tabblad Details een geschikte Naam voor de weblink op - dit wordt weergegeven als de naam van het webclippictogram op het toestel en in de Hub-catalogus.
4. URL instellen op wsonehub://conditionalaccess?partner=google
5. Geef eventueel ook een relevante Beschrijving op.
6. Op het tabblad Toewijzing selecteert u de Smart Groups die u wilt toewijzen en configureert u Uitsluitingen , indien nodig.
7. Push instellen op Automatisch (aanbevolen)
8. Configureer Geavanceerde instellingen en klik op Opslaan en Publiceren.

Gebruikerservaring

De ervaring van de gebruiker varieert op basis van hun toegang tot een Google Workspace-applicatie, bijvoorbeeld Gmail.

Gebruiker is al ingelogd bij Gmail

Als de gebruiker al toegang heeft tot zijn bedrijfsaccount in Gmail, moeten hij de volgende stappen voltooien:

1. Zorg ervoor dat Gmail door Workspace ONE UEM wordt beheerd. UEM implementeert de app-configuratie-KVP's automatisch zodra het beheer van de applicatie op zich heeft genomen. Zoals eerder opgemerkt, moet de eindgebruiker op toestellen zonder toezicht de prompt van Workspace ONE UEM accepteren om het beheer over te nemen.
2. Open Gmail zodat de app de KVP's kan doorsturen naar Google Workspace, zodat Google de DURN op unieke wijze kan koppelen aan de UEM DeviceUDID van het toestel.
3. Registreer opnieuw voor Voorwaardelijke toegang door:
   • De CA-registratiewebclip te selecteren die de beheerder naar zijn toestel heeft geïmplementeerd, OF
   • Door gebruik te maken van de knop Registratie met voorwaardelijke toegang in Intelligent Hub, als de beheerder deze optie heeft ingeschakeld.

Gebruiker is niet ingelogd bij Gmail

Als de gebruiker nog geen toegang heeft tot zijn bedrijfsaccount in Gmail, moeten hij de volgende stappen voltooien:

1. Zorg ervoor dat Gmail door Workspace ONE UEM wordt beheerd. UEM implementeert de app-configuratie-KVP's automatisch zodra het beheer van de applicatie op zich heeft genomen. Zoals eerder opgemerkt, moet de eindgebruiker op toestellen zonder toezicht de prompt van Workspace ONE UEM accepteren om het beheer over te nemen.

2. Open Gmail en probeer in te loggen met het bedrijfsaccount.

   a. Als voor de gebruiker een CA-beleid dat inschrijving en conformiteit van Gmail vereist, wordt afgedwongen, toont Google een 'Correctiebericht', dat hem/haar doorverwijst om CA-registratie uit te voeren via Intelligent Hub. Ze moeten de registratieprompts volgen en zich registreren voor CA via Hub, en vervolgens terugkeren om zich aan te melden bij Gmail.

   b. Als er voor Gmail geen CA-beleid wordt afgedwongen dat inschrijving en conformiteit vereist voor de gebruiker, autoriseert Google de gebruiker en krijgt deze toegang tot Gmail. Ze kunnen de CA-registratie starten door:

   • De CA-registratiewebclip te selecteren die de beheerder naar zijn toestel heeft geïmplementeerd, OF
   • Door gebruik te maken van de knop Registratie met voorwaardelijke toegang in Intelligent Hub, als de beheerder deze optie heeft ingeschakeld.

Android

De Zelfserviceregistratieflow kan op twee manieren worden geactiveerd.

• Activeer de knop 'Registratie met voorwaardelijke toegang' in Intelligent Hub.
• Configureer en lever een deeplink als een Bladwijzer.

Registratieknop in Intelligent Hub (aanbevolen)

Vanaf Intelligent Hub voor Android versie 25.11 kunt u het registratieproces voor eindgebruikers vereenvoudigen door de knop 'Registratie met voorwaardelijke toegang' in de Hub te activeren. Om de registratieknop te activeren, volgt u de volgende procedure:

1. Navigeer in Workspace ONE UEM Console naar Groepen en instellingen > Alle instellingen > Apps > Instellingen en beleid > Instellingen.

2. Schakel Aangepaste instellingen in en plak het volgende sleutelwaardepaar in het veld Aangepaste instellingen. Selecteer vervolgens Opslaan.

   { "displayRegisterConditionalAccessButton":true }

U ziet de knop voor Registratie met voorwaardelijke toegang zodra de Hub deze instellingen heeft toegepast. Op eerder ingeschreven apparaten moet u de Hub mogelijk geforceerd afsluiten en opnieuw opstarten om de wijzigingen door te voeren.

3. Geef eindgebruikers de instructie om de registratie te starten door te klikken op de knop "Registratie met voorwaardelijke toegang" in Intelligent Hub

Bladwijzer-registratie

Om een deeplink als Webclip te configureren en weer te geven, volgt u deze stappen:

1. Navigeer in de Workspace ONE UEM Console naar Resources > Applicaties > Weblinks en selecteer Applicatie toevoegen.
2. Selecteer Android als platform en selecteer vervolgens Doorgaan.
3. Geef op het tabblad Details een geschikte Naam voor de weblink op - dit wordt weergegeven als de naam van de bladwijzer op het toestel en in de Hub-catalogus.
4. URL instellen op wsonehub://conditionalaccess?partner=google
5. Geef eventueel ook een relevante Beschrijving op.
6. Op het tabblad Toewijzing selecteert u de Smart Groups die u wilt toewijzen en configureert u Uitsluitingen, indien nodig.
7. Push instellen op Automatisch (aanbevolen)
8. Stel Toevoegen aan startscherm in op Ja.
9. Geef eindgebruikers van het toestel de instructie om de registratie te starten door op de geïmplementeerde bladwijzer te klikken.

macOS

De Google Chrome-eindpuntverificatie-extensie is vereist voor CA-registratie op macOS-apparaten. U moet ervoor zorgen dat het is geïnstalleerd en ingeschakeld op macOS-toestellen van eindgebruikers zodat zij zich kunnen registreren voor Contextbewuste toegang.

Om de Selfserviceregistratieflow in te schakelen, voert u de volgende stappen uit om een deeplink te configureren en aan te leveren als een webclip.

1. Navigeer in de Workspace ONE UEM Console naar Resources > Applicaties > Weblinks en selecteer Applicatie toevoegen.
2. Selecteer Apple macOS als het platform en vervolgens Doorgaan.
3. Geef op het tabblad Details een geschikte Naam voor de weblink op - dit wordt weergegeven als de naam van de bladwijzer op het toestel en in de Hub-catalogus.
4. URL instellen op wsonehub://conditionalaccess?partner=google
5. Geef eventueel ook een relevante Beschrijving op.
6. Op het tabblad Toewijzing selecteert u de Smart groups die u wilt toewijzen en configureert u Uitsluitingen, indien nodig.
7. Push instellen op Automatisch (aanbevolen)
8. Geef eindgebruikers van het toestel de instructie om de registratie te starten door op de geïmplementeerde bladwijzer te klikken.

Windows

De Google Chrome-eindpuntverificatie-extensie is vereist voor CA-registratie op Windows-apparaten. U moet ervoor zorgen dat het is geïnstalleerd en ingeschakeld op Windows-toestellen van eindgebruikers zodat zij zich kunnen registreren voor Contextbewuste toegang.

Om de Selfserviceregistratieflow in te schakelen, voert u de volgende stappen uit om een deeplink te configureren en aan te leveren als een webclip.

1. Navigeer in de Workspace ONE UEM Console naar Resources > Applicaties > Weblinks en selecteer Applicatie toevoegen.
2. Selecteer Windows als het platform en vervolgens Doorgaan.
3. Geef op het tabblad Details een geschikte Naam voor de Webclip op - dit wordt weergegeven als de naam van het webclippictogram in de Hub-catalogus.
4. Stel URL in op ws1winhub://conditionalaccess?partner=google
5. Geef eventueel ook een relevante Beschrijving op.
6. Op het tabblad Toewijzing selecteert u de Smart groups die u wilt toewijzen en configureert u Uitsluitingen, indien nodig.
7. Push instellen op Automatisch (aanbevolen)
8. Geef eindgebruikers van het toestel de instructie om de registratie te starten door op de geïmplementeerde bladwijzer te klikken.

De Google BeyondCorp-integratie bewaken en problemen oplossen

Workspace ONE UEM biedt meerdere tools en interfaces om de status van uw Google BeyondCorp-integratie te bewaken en problemen met toestelregistratie op te lossen.

Verbindingsstatus

In de Workspace ONE UEM Console kunt u de Google BeyondCorp-integratiegegevens bekijken onder Groepen en instellingen > Integraties > Google BeyondCorp Contextbewuste toegangsintegratie door op Weergeven te klikken. De volgende informatie is beschikbaar:

• Integratiestatus: geeft aan of de integratie is ingeschakeld. Dit is geen indicator voor de huidige connectiviteit.
• Klant-ID: Klant-ID van Google Workspace-account.
• E-mailadres beheerder: Google-e-mailadres dat is gebruikt bij het inschakelen van de integratie.
• Geconfigureerd op: de datum waarop de integratie voor het eerst werd ingesteld.

Toestelregistratiestatus

Op de pagina Toestelgegevens > Overzicht wordt de status van een Google BeyondCorp-registratie weergegeven op de beveiligingskaart. Deze status wordt ingesteld op 'Ingeschakeld' wanneer UEM een geldige Google-toestelidentificatie van een toestel ontvangt, die Intelligent Hub vervolgens doorstuurt naar UEM.

De Google-toestelidentificatie wordt weergegeven op de kaart Toestelgegevens. U kunt deze identificatie vinden in de Google Beheerdersconsole onder Toestellen > Mobiel en eindpunten > Toestelgegevens > Toestelinformatie in het veld Toestelresource-ID.

Voorwaardelijke toegang tot logboek

De pagina Toestelgegevens > Meer > Logboek voorwaardelijke toegang toont een geschiedenis van interacties tussen Workspace ONE en Google voor het toestel. Het richt zich op aanroepen tussen de Conformiteitsbroker en Google Cloud-API's. Deze geschiedenis bevat de beheer- en netwerkbeleidsstatussen die aan Google zijn doorgegeven, en de datum en het tijdstip waarop deze informatie is doorgegeven. De gebeurtenisdetails bevatten meestal het volgende.

• Verzoek verzenden timestamp
• Partnertoestel-ID - De volledige Google-resource-identificatie voor de gebruiker en het toestel. Dit gebeurt meestal in de indeling devices/{device}/deviceUsers/{Google Device ID}, waarbij Google Device ID de identificatie is die wordt weergegeven onder Toestelgegevens > Samenvatting > Toestelinfo
• Bericht-ID
• Toestelbeheerstatus - De UEM-inschrijvingsstatus van het toestel
• Netwerkbeleidsstatus - De UEM-netwerkbeleidsstatus van het toestel
• API-aanvraagtekst - De details die zijn opgenomen in de tekst van de API-aanvraag die naar Google is verzonden
• API-antwoordtekst - De details die zijn opgenomen in het antwoord dat is ontvangen van Google

Logboek voor toestelgebeurtenissen en probleemoplossing

Een subset van de informatie die wordt weergegeven in het logboek voor voorwaardelijke toegang is ook beschikbaar op de volgende pagina's.

• Toestelgebeurtenissen: Bewaking > Gebeurtenissen en logboeken > Toestelgebeurtenissen
• Toestelgegevens > Meer > Probleemoplossing > Gebeurtenislogboek

Deze pagina's bevatten twee soorten gebeurtenissen:

• Voorwaardelijke toegang - Wordt geregistreerd wanneer de UEM relevante gegevens van de Hub ontvangt en deze doorgeeft aan de Conformiteitsbroker (om te worden doorgestuurd naar Google)
• Wijziging in toestelstatus met Voorwaardelijke toegang - Wordt geregistreerd wanneer UEM een wijziging in de netwerkbeleids- of inschrijvingsstatus van het toestel detecteert en een update naar de Conformiteitsbroker stuurt (wordt doorgestuurd naar Google)

De gebeurtenisgegevens voor deze gebeurtenissen bevatten meestal:

• Toestel-UUID - Workspace ONE UEM's unieke identificatie van het toestel
• Toestelbeheerstatus - Inschrijvingsstatus in UEM
• Conformiteitsstatus - Netwerkbeleidsstatus in UEM
• Aanvraag Conformiteitsbroker - Details van de informatie die wordt doorgegeven aan de Workspace ONE Conformiteitsbrokerservice, moet worden doorgegeven aan Google.
• Geslaagd : geeft aan of de aanvraag naar de Nalevingsbroker is verzonden

REST-API

Er is een REST API-eindpunt beschikbaar om de registratiegegevens voor voorwaardelijke toegang op te halen voor een bepaald toestel, geïdentificeerd door de Workspace ONE UEM toestel-UUID.

GET /devices/{deviceUuid}/conditional-access-device-registration-information

De API-respons bevat het volgende als een toestel is geregistreerd.

• partner_device_id - Google-toestel-ID
• partner_tenant_id - Klant-ID van Google Workspace-account.

Raadpleeg de REST API-documentatie die beschikbaar is op /api/help voor meer informatie. Zie Toegang tot API-documentatie voor uitleg over hoe u toegang krijgt tot API-documentatie in uw specifieke omgeving.