Voorwaardelijke toegang met Microsoft Entra ID

U kunt Workspace ONE UEM integreren met Entra ID-platforms (voorheen Azure AD) van Microsoft, als partner voor het netwerkbeleid voor het toestel, om eindpuntconformiteit en beheerstatus te gebruiken om risico's te beoordelen en beleid voor voorwaardelijke toegang af te dwingen.

Dankzij deze integratie kunt u het ecosysteem van tools van Workspace ONE UEM gebruiken, inclusief de krachtige netwerkbeleidsengine, om te bepalen of toestellen voldoen aan de beveiligingsnormen van uw organisatie op basis van een breed scala aan toestel- en gebruikerskenmerken, en de resulterende status delen met Microsoft. Entra ID interpreteert deze informatie over de eindpuntstatus om u te helpen bij het configureren van gedetailleerd beleid voor voorwaardelijke toegang.

Vereisten

• Omnissa

  • Workspace ONE UEM (elke momenteel ondersteunde versie) met beheerdersaccount

  • Intelligence

    • Standaard beschikbaar voor alle SaaS-omgevingen. U moet zich aanmelden bij Omnissa Intelligence via uw Workspace ONE UEM-omgeving en aangemeld blijven voor ononderbroken functionaliteit.
    • Als u toegang krijgt tot Omnissa-services via Omnissa Connect, moet de UEM-gegevensbron bevoegd zijn en dat moet zo blijven. U kunt de status bekijken vanuit de Intelligence Console door te navigeren naar Integraties > Gegevensbronnen > UEM.
    • Klanten op locatie moeten Omnissa Intelligence configureren. Hiervoor moet mogelijk een Omnissa Intelligence Connector op locatie worden geïmplementeerd.

    Raadpleeg de vereisten van Omnissa Intelligence voor meer informatie.

• Microsoft

  • Entra ID met relevante Microsoft-licenties om Microsoft voorwaardelijke toegang te configureren, en beheerderstoegang om in te loggen, mobiliteits- en bedrijfsapplicaties toe te voegen en toestemming te verlenen voor bedrijfsapplicaties.
    • Microsoft Entra ID (commercieel) - Gebruikt login.microsoftonline.com voor verificatie en wordt ondersteund in alle commerciële SaaS-omgevingen en omgevingen op locatie van Workspace ONE UEM.
    • Microsoft Entra ID voor de Amerikaanse overheid (GCC High) - Gebruikt login.microsoftonline.us voor verificatie en wordt alleen ondersteund in SaaS FedRAMP-omgevingen van Workspace ONE UEM
  • Zorg ervoor dat u gebruikmaakt van relevante Microsoft-licenties om Beheer conformiteit van Windows-partners te configureren, en beheerderstoegang voor het configureren van Beheer conformiteit van partners.

  Neem contact op met uw Microsoft-vertegenwoordiger voor gedetailleerde licentievereisten voor deze Microsoft-platformen.

Ondersteunde toestelplatforms

Alleen volledig beheerde, met MDM ingeschreven toestellen worden ondersteund voor voorwaardelijke toegang met Entra ID. Hub-geregistreerd of App-geregistreerd (via applicaties zoals Boxer, Content, enzovoort) worden niet ondersteund. Aanvullende vereisten per toestelplatform worden hieronder vermeld.

• iOS

  • Account Driven User Enrolled (ADUE)-apparaten worden ondersteund met Intelligent Hub 25.05.1 en later.
  • Toestellen die zijn ingeschreven via Intelligent Hub, browserinschrijving of geautomatiseerde toestelinschrijving/toestelinschrijvingsprogramma worden ondersteund met alle momenteel ondersteunde versies van Intelligent Hub.
  • Shared Device Mode (SDM)-registratie en Microsoft Single Sign-On voor gedeelde toestellen worden ondersteund met Intelligent Hub 25.09 of hoger. Zie Microsoft Single Sign-On (SSO) en Shared Device Mode (SDM) met Entra ID Voorwaardelijke toegang voor meer informatie.
    
    Opmerking: Deze functie is momenteel beschikbaar als onderdeel van ons programma met Beperkte beschikbaarheid. Als u toegang wilt aanvragen voor uw organisatie, neemt u contact op met uw accountteam.

• Android

  • Shared Device Mode (SDM)-registratie met Microsoft Authenticator. Zie Voorwaardelijke Shared Device-toegang voor vereisten.
  • Microsoft Single Sign-On (SSO) voor Shared Android-apparaten. Zie Microsoft Single Sign-On (SSO) voor Shared Android-apparaten voor meer informatie

• macOS

  • Verouderde Keychain-gebaseerde registratie wordt ondersteund in Intelligent Hub 21.11 of hoger. Raadpleeg macOs-toestellen registreren voor voorwaardelijke toegang met Microsoft Entra ID.
  • Beveiligde Enclave-gebaseerde registratie met behulp van Intune Company Portal (aanbevolen). Zie Platform-SSO en apparaatconformiteit met Entra ID met behulp van Intune Company Portal voor vereisten en configuratie-informatie.

• Windows

  • Windows-apparaten die zijn ingeschreven met OOBE en hybride apparaten worden alleen ondersteund in Workspace ONE UEM Commercial SaaS met Entra ID Commercial. Entra ID GCCH wordt niet ondersteund.

Ondersteunde implementatietypen

Workspace ONE UEM ondersteunt momenteel de volgende implementaties van Microsoft Entra ID.

• Microsoft Entra ID (commercieel) - Gebruikt login.microsoftonline.com voor verificatie.

  • Ondersteund voor alle commerciële, SaaS-omgevingen en omgevingen op locatie van Workspace ONE UEM.

• Microsoft Entra ID voor de Amerikaanse overheid (GCC High) - Gebruikt login.microsoftonline.us voor verificatie.

  • Wordt alleen ondersteund in door Omnissa gehoste SaaS FedRAMP-omgevingen van Workspace ONE UEM.

Daarnaast kunt u nu één Entra ID-tenant integreren met meerdere Workspace ONE UEM-omgevingen. Elke Workspace ONE UEM-organisatiegroep (OG) waar u dezelfde Entra ID-tenant wilt configureren voor voorwaardelijke toegang, moet tot een afzonderlijke Workspace ONE UEM-omgeving behoren. Met andere woorden, u kunt één Entra ID-tenant hebben voor meerdere UEM-omgevingen, maar u kunt niet één Entra ID-tenant hebben voor meerdere organisatiegroepen in één UEM-omgeving.

Omgevingen op locatie met de console op een gesloten netwerk

Omgevingen op locatie met een UEM Console-server die wordt gehost op een intern/beperkt netwerk, inclusief omgevingen zonder uitgaande toegang tot de relevante Intelligence-URL's zoals hier vermeld, moeten een Console-URL met een bijbehorend SSL-certificaat gebruiken. Console-URL's die alleen HTTP gebruiken, worden niet ondersteund voor integratie met voorwaardelijke toegang.

De mogelijkheid voor voorwaardelijke toegang tot het logboek werkt mogelijk niet in dergelijke omgevingen, omdat hiervoor uitgaande toegang van de console naar Intelligence is vereist.

Voorwaardelijke toegang met Microsoft Entra ID

Voer de volgende stappen uit om voorwaardelijke toegang met Entra ID in te schakelen. Bij deze stappen gaan we ervan uit dat u een browser gebruikt die door Workspace ONE UEM wordt ondersteund en dat u meerdere browsertabbladen tegelijkertijd open kunt hebben.

1. Voor iOS-, Android- of macOS-toestellen logt u via één tabblad van uw browser in bij het Microsoft Intune-beheercentrum met behulp van de inloggegevens van uw beheerdersaccount.

   1. Navigeer naar Tenantbeheer > Connectoren en tokens > Beheer conformiteit van partners > Nalevingspartner toevoegen.

   2. Configureer op het Partner voor netwerkbeleid aanmaken > Basis het volgende, indien van toepassing.

      • Partner voor netwerkbeleid - Selecteer Workspace ONE Voorwaardelijke toegang (selecteer in Entra ID GCC High Workspace ONE Voorwaardelijke toegang GCCH).

      • Platform - Selecteer het gewenste platform (iOS, Android en macOS).

   3. Configureer op het tabblad Partner voor netwerkbeleid aanmaken > Toewijzingen de in- en uitsluitingen van gebruikers en groepen zoals vereist.

   4. Controleer uw configuratiedetails op het tabblad Partner voor netwerkbeleid aanmaken > Controleren + aanmaken en selecteer vervolgens Aanmaken.

      Als u voorwaardelijke toegang voor meer dan één platform wilt configureren, herhaalt u deze stappen voor elk platform.

2. Meld u op een nieuw tabblad van uw browser aan bij de Microsoft Entra ID-beheerconsole met de inloggegevens van uw beheerdersaccount.

   1. (OPTIONEEL) Configureer Entra ID-beleid voor voorwaardelijke toegang op basis van de behoeften van uw organisatie. Zie Overzicht van Microsoft voorwaardelijke toegang voor meer informatie.

   2. Voeg voor Windows-apparaten de zakelijke applicatie AirWatch by Omnissa toe aan uw Entra-tenant.

      1. Selecteer uw directory en ga naar het tabblad Mobiliteit (MDM en WIP) in de Azure Management-instantie.

      2. Selecteer Applicatie toevoegen, selecteer de AirWatch by Omnissa-applicatie en selecteer Toevoegen.

3. Meld u op een nieuw tabblad van uw browser aan bij uw Omnissa Workspace ONE UEM-omgeving met behulp van de inloggegevens voor uw beheerdersaccount.

   1. Schakel over naar een organisatiegroep (OG) van het type Klant . Voorwaardelijke toegang en vereiste configuraties voor Entra ID in Workspace ONE UEM worden momenteel alleen ondersteund in organisatiegroepen van het type klant.

   2. Ga naar Bewaking > Intelligence en zorg ervoor dat u zich hebt aangemeld. Zo niet, voltooi dan het aanmeldingsproces. Raadpleeg de documentatie van Omnissa Intelligence voor meer informatie.

   3. Navigeer naar Groepen en instellingen > Alle instellingen > Systeem > Directory Services.

   4. Schuif op het tabblad Server naar beneden naar de sectie Geavanceerd.

   5. Voor Azure AD-integratie selecteert u de schuifregelaar Ingeschakeld.

4. Ga naar het tabblad Microsoft Entra ID van uw browser.

   1. Selecteer Microsoft Entra ID in het menu. De pagina Overzicht Microsoft Entra ID wordt weergegeven. Om de tenant-id van Microsoft Entra of de primaire domeinnaam te vinden, zoekt u naar tenant-id en primair domein in de sectie Basisinformatie.

   2. Kopieer deze tenant-id naar het klembord. Zie Tenant-id van Microsoft Entra ID voor meer informatie.

5. Ga terug naar het tabblad Workspace ONE UEM van uw browser.

   1. Plak de tenant-id in het tekstvak Directory-id onder de schuifregelaar voor Azure AD-integratie .

   2. Schuif omlaag en zoek naar de instelling Netwerkbeleidsgegevens gebruiken in Azure-beleid voor voorwaardelijke toegang en selecteer vervolgens de schuifregelaar Ingeschakeld.

   3. (OPTIONEEL voor Windows-toestellen) Voor Gebruik Netwerkbeleidsgegevens in Azure-beleid voor voorwaardelijke toegang voor Windows selecteert u de schuifregelaar Ingeschakeld.

   4. (OPTIONEEL voor iOS-, Android- en macOS-toestellen) Voor Gebruik Netwerkbeleidsgegevens in Azure-beleid voor voorwaardelijke toegang voor iOS, Android en macOS selecteert u de schuifregelaar Ingeschakeld.

      1. Wanneer u wordt gevraagd om Microsoft om te leiden, selecteert u Verdergaan, waarna een nieuw tabblad in uw browser wordt geopend. Verifieer met uw Entra ID-beheerdersinloggegevens en accepteer het toestemmingsverzoek op de resulterende toestemmingspagina. Nadat de toestemming is verleend, wordt de app Workspace ONE Voorwaardelijke toegang toegevoegd aan uw bedrijfsapplicaties in Azure.

      2. Na voltooiing gaat u terug naar UEM en selecteert u Voltooien.

   5. Het scherm met systeeminstellingen voor Directory Services verschijnt met alle schuifregelaars die u eerder heeft ingeschakeld.

   6. Klik op de knop Opslaan.

U kunt dezelfde Entra ID-tenant in meer dan één UEM-omgeving gebruiken door de grotere stappen 3-5 hierboven te herhalen, terwijl u in elke UEM-omgeving bent aangemeld als beheerder. Entra ID toont slechts één instantie van de app Workspace ONE Voorwaardelijke toegang, zelfs wanneer deze is geïntegreerd met meerdere Workspace ONE UEM-omgevingen.

Toestellen registreren voor voorwaardelijke toegang, Microsoft Entra ID

Platformen die gebruikersinteractie voor toestelregistratie vereisen, ondersteunen doorgaans twee paden.

Selfserviceregistratieflow: De eindgebruikers van uw toestel kunnen zichzelf registreren met behulp van een deeplink die u naar hun toestellen pusht. De stappen voor het implementeren van de deeplink worden beschreven in de onderstaande platformspecifieke handleidingen.

Correctiestroom: Daarnaast kan de eindgebruiker van het apparaat inloggen of proberen toegang te krijgen tot gegevens via een systeemeigen applicatie die onderworpen is aan een Entra ID-beleid voor voorwaardelijke toegang dat vereist dat het apparaat wordt gemarkeerd als conform. Als de toegang van de eindgebruiker van het toestel is beperkt, wordt de eindgebruiker door Microsoft omgeleid om zich te registreren voor voorwaardelijke toegang via Intelligent Hub. Vraag de eindgebruiker van het toestel om deze instructies op te volgen.

Toestellen registreren voor voorwaardelijke toegang met Microsoft Entra ID

Intelligent Hub en Microsoft Authenticator zijn vereiste applicaties op iOS-toestellen die gebruikmaken van voorwaardelijke toegang met Entra ID. Wijs beide applicaties toe aan en implementeer ze op uw iOS-toestellen als beheerde applicaties via de Workspace ONE UEM Console. Raadpleeg Inleiding tot het beheer van iOS-applicaties voor meer informatie.

De zelfservice-registratiestroom kan op twee manieren worden geactiveerd.

• Activeer de knop 'Registratie met voorwaardelijke toegang' in Intelligent Hub.
• Configureer en lever een deeplink als een Webclip.

Registratieknop in Intelligent Hub (aanbevolen)

Vanaf Intelligent Hub voor iOS versie 25.11 kunt u het registratieproces voor eindgebruikers vereenvoudigen door de knop 'Registratie met voorwaardelijke toegang' in Hub te activeren. Om de registratieknop te activeren, volgt u de volgende procedure:

1. Navigeer in Workspace ONE UEM Console naar Groepen en instellingen > Alle instellingen > Apps > Instellingen en beleid > Instellingen.

2. Schakel Aangepaste instellingen in en plak het volgende sleutelwaardepaar in het veld Aangepaste instellingen. Selecteer vervolgens Opslaan.

   { "displayRegisterConditionalAccessButton":true }

U ziet de knop voor Registratie met voorwaardelijke toegang zodra de Hub deze instellingen heeft toegepast. Op eerder ingeschreven apparaten moet u de Hub mogelijk geforceerd afsluiten en opnieuw opstarten om de wijzigingen door te voeren.

Als Hub Services al zijn geactiveerd, tikt u op Account in de rechterbovenhoek van het scherm van uw apparaat. Op de pagina Accountgegevens wordt de knop Voorwaardelijke toegang weergegeven.
Als Hub Services niet zijn geactiveerd, wordt de pagina Accountgegevens automatisch weergegeven wanneer u de Hub-app opent.

Webclip-registratie

Om een deeplink als Webclip te configureren en weer te geven, volgt u deze stappen:

1. Navigeer in Workspace ONE UEM Console naar Resources > Apps > Weblinks, kies Applicatie toevoegen, selecteer Apple iOS als platform en selecteer Verdergaan.

2. Geef in het tabblad Details een geschikte Naam op voor de weblink. Deze naam verschijnt als de naam van het Webclip-pictogram op het apparaat en in de Hub-catalogus.

3. URL instellen op airwatch://conditionalaccess?partner=microsoft

4. Geef eventueel ook een relevante Beschrijving op.

5. Selecteer in het tabblad Toewijzing de relevante Smart groups voor toewijzing en configureer indien nodig Uitsluitingen.

6. Push instellen op Automatisch (aanbevolen)

7. Configureer Geavanceerde instellingen en klik op Opslaan en Publiceren.

8. Geef eindgebruikers van het toestel de instructie om de registratie te starten door op de geïmplementeerde webclip te klikken.

Beheerde app-configuratie voor Microsoft Authenticator

U bent niet verplicht om beheerde appconfiguratie voor Authenticator te implementeren via Workspace ONE UEM. Het wordt aanbevolen om de configuratiesleutel {sharedDeviceMode} niet te gebruiken. Als deze optie wordt gebruikt, stel dan de volgende parameters in voor toegewezen toestellen.

Waardetype: Booleaans Configuratiewaarde: Onwaar

Boxer en systeemeigen iOS-mail registreren voor voorwaardelijke toegang met Microsoft Entra ID

Microsoft Voorwaardelijke Toegang is beschikbaar voor applicaties die Microsoft Authentication Library (MSAL) bevatten. Deze functie kan worden uitgebreid naar applicaties zoals Workspace ONE Boxer en het systeemeigen iOS-e-mailprogramma die SafariViewController ondersteunen via een SSO-extensieprofiel.

1. Navigeer naar Resources > Profielen en uitgangswaarden > Profielen > Toevoegen in Workspace ONE UEM Console.

2. Maak een Apple iOS-profiel met het Beheertype ingesteld op Imperatief en Context ingesteld op Toestel. Voeg de volgende aanbevolen configuratie toe aan de SSO-extensielading.

   1. Extensietype: Generiek.

   2. Extensie-identificatie: com.microsoft.azureauthenticator.ssoextension

   3. Type: Omleiden

   4. URL's:

      • https://login.microsoftonline.com
      • https://login.windows.net
      • https://sts.windows.net
      • https://login.microsoft.com
   • Aanvullende instellingen (aangepaste XML): <dict> <key>TeamIdentifier</key> <string>SGGM6D27TK</string> </dict>
     • SGGM6D27TK is de teamidentificatie voor iOS-applicaties die door Microsoft in de App Store worden gepubliceerd.

3. Wijs de applicatie aan de relevante Smart groups toe en selecteer dan Opslaan en publiceren.

Android-toestellen registreren voor voorwaardelijke toegang met Microsoft Entra ID

Intelligent Hub en Microsoft Authenticator zijn vereiste applicaties op een Android-toestel die gebruikmaken van voorwaardelijke toegang tot Entra ID. Wijs beide applicaties toe aan en implementeer ze op uw Android-toestellen als beheerde applicaties via de Workspace ONE UEM Console. Daarnaast implementeert u alle andere applicaties die onderworpen zijn aan een beleid voor voorwaardelijke toegang als beheerde applicaties via Workspace ONE UEM. Zie Android-applicaties beheren met Omnissa Workspace ONE UEM voor meer informatie.

De zelfservice-registratiestroom kan op twee manieren worden geactiveerd.

• Activeer de knop 'Registratie met voorwaardelijke toegang' in Intelligent Hub.
• Configureer en lever een deeplink als een Bladwijzer.

Registratieknop in Intelligent Hub (aanbevolen)

Vanaf Intelligent Hub voor Android versie 25.11 kunt u het registratieproces voor eindgebruikers vereenvoudigen door de knop 'Registratie met voorwaardelijke toegang' in de Hub te activeren.

Om de registratieknop te activeren, volgt u de volgende procedure:

1. Navigeer in Workspace ONE UEM Console naar Groepen en instellingen > Alle instellingen > Apps > Instellingen en beleid > Instellingen.

2. Schakel Aangepaste instellingen in en plak het volgende sleutelwaardepaar in het veld Aangepaste instellingen. Selecteer vervolgens Opslaan.

   { "displayRegisterConditionalAccessButton":true }

U ziet de knop voor Registratie met voorwaardelijke toegang zodra de Hub deze instellingen heeft toegepast. Op eerder ingeschreven apparaten moet u de Hub mogelijk geforceerd afsluiten en opnieuw opstarten om de wijzigingen door te voeren.

Bladwijzer-registratie

Om een deeplink als Bladwijzer te configureren en te gebruiken, volgt u de volgende procedure:

1. Navigeer in Workspace ONE UEM Console naar Resources > Apps > Weblinks, kies Applicatie toevoegen, selecteer Android als platform en klik op Verdergaan.

2. Geef op het tabblad Details een geschikte Naam voor de weblink op - dit wordt weergegeven als de naam van de bladwijzer op het toestel en in de Hub-catalogus.

3. URL instellen op awagent://com.airwatch.androidagent?component=conditionalaccess&partnertype=microsoft

4. Geef eventueel ook een relevante Beschrijving op.

5. Op het tabblad Toewijzing selecteert u de Smart Groups die u wilt toewijzen en configureert u Uitsluitingen, indien nodig.

6. Push instellen op Automatisch (aanbevolen)

7. Stel Toevoegen aan startscherm in op Ja.

8. Geef eindgebruikers van het toestel de instructie om de registratie te starten door op de geïmplementeerde bladwijzer te klikken.

Gedeelde Android-toestelmodus

Workspace ONE UEM ondersteunt registratie van de modus met gedeelde toestellen (SDM) voor voorwaardelijke toegang met Entra ID op Android-toestellen. Zie Modus met gedeelde toestellen (SDM) voor beleid voor voorwaardelijke toegang van Microsoft Azure op Android-toestellen voor meer informatie.

Microsoft Single Sign-On

Naast de Shared Device Mode (SDM) kunt u ook gebruik maken van Global Sign-in/Out (MSAL) op basis van Check-in-/check-out-toestellen met Launcher. Zie voor meer informatie Microsoft Single Sign-On (SSO) voor Shared Android-apparaten.

macOs-toestellen registreren voor voorwaardelijke toegang via Microsoft Entra ID

Intelligent Hub is vereist op elk macOS-toestel om voorwaardelijke toegang met Entra ID te gebruiken.

Registratie met voorwaardelijke toegang via Entra ID wordt ondersteund via twee methoden:

• Beveiligde Enclave-gebaseerde registratie met behulp van Intune Company Portal (aanbevolen). Zie Platform-SSO en apparaatconformiteit met Entra ID met behulp van Intune Company Portal voor informatie over vereisten en configuratie-informatie.
• Verouderde Keychain-gebaseerde registratie met behulp van een met Hub geïntegreerd registratiehulpprogramma. Zie de instructies hieronder om deze methode te configureren.

Om de Selfserviceregistratieflow in te schakelen, voert u de volgende stappen uit om een deeplink te configureren en aan te leveren als een webclip.

1. Navigeer in Workspace ONE UEM Console naar Resources > Apps > Weblinks, kies Applicatie toevoegen, selecteer Apple macOS als platform en klik op Verdergaan.
2. Geef op het tabblad Details een geschikte Naam voor de weblink op - dit wordt weergegeven als de naam van de bladwijzer op het toestel en in de Hub-catalogus.
3. URL instellen op wsonehub://conditionalaccess?partner=microsoft
4. Geef eventueel ook een relevante Beschrijving op.
5. Op het tabblad Toewijzing selecteert u de Smart Groups die u wilt toewijzen en configureert u Uitsluitingen, indien nodig.
6. Push instellen op Automatisch (aanbevolen)
7. Geef eindgebruikers van het toestel de instructie om de registratie te starten door op de geïmplementeerde bladwijzer te klikken.

Voor registratie van voorwaardelijke toegang vereist macOS Intelligent Hub dat de eindgebruiker zich verifieert met Entra ID. Het Entra ID-account dat wordt gebruikt voor verificatie (bijvoorbeeld user@your-entra-id-domain) moet overeenkomen met een specifiek kenmerk in Workspace ONE UEM, gekoppeld aan het gebruikersbestand waarin het apparaat is ingeschreven.

1. Als u Hub Service voor macOS heeft geconfigureerd, moet het gebruikersrecord voor UEM-inschrijving het volgende bevatten:

   • UserPrincipalName = user@your-entra-id-domain. Als UserPrincipalName leeg is
   • E-mailadres = user@your-entra-id-domain

2. Als u Hub Services voor macOS niet hebt geconfigureerd, moet het inschrijvingsgebruikersrecord in UEM het volgende bevatten:

   • E-mailadres = user@your-entra-id-domain

Als u de kenmerken van de inschrijvingsgebruiker in Workspace ONE UEM wilt vinden, navigeert u naar Accounts > Gebruikers > Detailoverzicht (van de specifieke gebruiker).

Windows-toestellen registreren voor voorwaardelijke toegang met Microsoft Entra ID

Windows-toestellen profiteren van systeemeigen ondersteuning voor Entra ID-integratie voor voorwaardelijke toegang en vereisen geen aanvullende configuratie voor registratie. Intelligent Hub geeft de Azure-toestelidentificatie en Azure-gebruikersidentificatie door aan Workspace ONE UEM via steekproeven, zodra deze zijn verkregen van het besturingssysteem. UEM markeert het toestel als geregistreerd voor voorwaardelijke toegang en geeft beheer- en conformiteitsstatusupdates door aan Entra ID.

Aanvullende resources, functies en probleemoplossing

U hebt toegang tot andere resources voor probleemoplossing of onderzoeksdoeleinden.

Toestelregistratiestatus

Versie: Workspace ONE UEM 2310 en hoger

• Op de pagina Toestelgegevens > Overzicht wordt de status van een Azure Active Directory-registratie weergegeven op de kaart Beveiliging. Deze status is ingesteld op Ingeschakeld wanneer UEM een geldige Azure-toestelidentificatie (Azure-toestel-ID) ontvangt van een toestel - deze gegevens worden door Intelligent Hub doorgegeven aan UEM.
• De Azure-toestelidentificatie wordt weergegeven op de kaart Toestelgegevens .

Voorwaardelijke toegang tot logboek

De pagina Toestelgegevens > Meer > Voorwaardelijke toegang tot logboek biedt een geschiedenis van interacties tussen Workspace ONE en Microsoft voor het toestel, met de nadruk op aanroepen tussen de Nalevingsbroker en Microsoft Intune/Graph-API's. Deze geschiedenis bevat de beheer- en netwerkbeleidsstatussen die aan Microsoft zijn doorgegeven, en de datum en het tijdstip waarop deze informatie is doorgegeven. De gebeurtenisdetails bevatten meestal het volgende.

• Verzoek tijdstempel verzenden
• Toestel-id van partner - De Azure-toestel-id
• Gebruikers-id van partner - De Azure-gebruikersidentificatie
• Bericht-id
• Toestelbeheerstatus - De UEM-inschrijvingsstatus van het toestel
• Netwerkbeleidsstatus - De UEM-netwerkbeleidsstatus van het toestel
• API-aanvraagtekst - De details die zijn opgenomen in de tekst van de API-aanvraag die naar Microsoft is verzonden
• API-antwoordtekst - De details die zijn opgenomen in het antwoord dat is ontvangen van Microsoft

Logboek voor toestelgebeurtenissen en probleemoplossing

Een subset van de informatie die wordt weergegeven in het logboek voor voorwaardelijke toegang is ook beschikbaar op de volgende pagina's.

• Toestelgebeurtenissen: Bewaking > Gebeurtenissen en logboeken > Toestelgebeurtenissen.

• Toestelgegevens > Meer > Probleemoplossing > Gebeurtenislogboek.

  Deze pagina's bevatten twee soorten gebeurtenissen:

  • Voorwaardelijke toegang - Wordt geregistreerd wanneer de UEM relevante gegevens van de Hub ontvangt en deze doorgeeft aan de Nalevingsbroker (om te worden doorgestuurd naar Microsoft)
  • Voorwaardelijke toegang Wijziging in toestelstatus - Wordt geregistreerd wanneer UEM een wijziging in de netwerkbeleids- of inschrijvingsstatus van het toestel detecteert en een update naar de Compliance Broker stuurt (wordt doorgestuurd naar Microsoft)

  De gebeurtenisgegevens voor deze gebeurtenissen bevatten meestal:

  • Toestel-UUID - Workspace ONE UEM's unieke identificatie van het toestel
  • Toestelbeheerstatus - Inschrijvingsstatus in UEM
  • Conformiteitsstatus - Netwerkbeleidsstatus in UEM
  • Aanvraag Compliance Broker : details van de informatie die wordt doorgegeven aan de Workspace ONE Compliance Broker-service, moet worden doorgegeven aan Microsoft
  • Geslaagd : geeft aan of de aanvraag naar de Nalevingsbroker is verzonden

Systeeminstellingen

De pagina Directory Services (navigeer naar Groepen en instellingen > Alle instellingen > Systeem > Bedrijfsintegratie > Directory Services) biedt aanvullende mogelijkheden voor voorwaardelijke toegang met Entra ID.

• Azure-services synchroniseren - U kunt een eenmalige synchronisatie tussen Workspace ONE en Microsoft Intune starten, zodat eventuele wijzigingen in de configuratie voor partnerconformiteit van Intune worden afgestemd op Workspace ONE UEM.
• Toestelgegevens van UEM naar Azure-services opnieuw synchroniseren - U kunt een eenmalige update naar Microsoft starten met de netwerkbeleids- en beheerstatus voor alle toestellen die zijn geregistreerd voor voorwaardelijke toegang in uw Workspace ONE UEM tenant. Opnieuw synchroniseren kan eenmaal per 4 uur worden uitgevoerd.

REST-API

Er is een REST API-eindpunt beschikbaar om de registratiegegevens voor voorwaardelijke toegang op te halen voor een bepaald toestel, geïdentificeerd door de Workspace ONE UEM toestel-UUID.

GET /devices/{deviceUuid}/conditional-access-device-registration-information

De API-respons bevat het volgende als een toestel is geregistreerd.

• partner_device_id - Azure-toestel-id
• partner_user_id - Azure-gebruikers-id (reeks nullen voor toestellen met SDM-registratie)
• partner_tenant_id - Tenant-id van Entra-id

Raadpleeg de REST API documentatie die beschikbaar is op <YourAPIURL>/api/help voor meer informatie. Zie Toegang tot API-documentatie voor uitleg over hoe u toegang krijgt tot API-documentatie in uw specifieke omgeving.

Omnissa Intelligence

De Azure-toestelidentificatie is ook beschikbaar in Omnissa Intelligence, weergegeven als Microsoft AAD-toestel-ID, en kan worden gebruikt in rapporten en Freestyle-werkstromen.

Voorwaardelijke toegang deactiveren

Als u de integratie van voorwaardelijke toegang met Entra ID op een goede en volledige manier wilt deactiveren, voert u de volgende stappen uit.

1. Zorg ervoor dat u bent aangemeld voor Workspace ONE Intelligence.

2. Navigeer naar Groepen en instellingen > Alle instellingen > Systeem > Bedrijfsintegratie > Directory Services in Workspace ONE UEM.

3. Schakel Gebruik netwerkbeleidsgegevens in het Azure-beleid voor voorwaardelijke toegang voor iOS, Android en macOS en gebruik netwerkbeleidsgegevens in Entra-beleid voor voorwaardelijke toegang voor Windows uit, als deze zijn ingeschakeld.

4. Schakel vervolgens Netwerkbeleidsgegevens in Azure-beleid voor voorwaardelijke toegang gebruiken uit. Sla de wijzigingen op.

5. U kunt ook de applicatie Workspace ONE Voorwaardelijke toegang van uw Entra ID-tenant verwijderen en vervolgens de configuraties voor partnerconformiteit verwijderen uit de gekoppelde Intune-beheerconsole.

Entra ID-tenant bijwerken

Als u voorwaardelijke toegang al heeft ingeschakeld bij een bepaalde organisatiegroep en u wilt de Entra ID-tenant die aan die organisatiegroep is gekoppeld, vervangen, voert u de volgende stappen uit.

1. Deactiveer de bestaande integratie in Workspace ONE UEM.

   1. Zorg ervoor dat u bent aangemeld voor Workspace ONE Intelligence.

   2. Navigeer naar Groepen en instellingen > Alle instellingen > Systeem > Bedrijfsintegratie > Directory Services in Workspace ONE UEM.

   3. Schakel Gebruik netwerkbeleidsgegevens in het Azure-beleid voor voorwaardelijke toegang voor iOS, Android en macOS en gebruik netwerkbeleidsgegevens in Entra-beleid voor voorwaardelijke toegang voor Windows uit, als deze zijn ingeschakeld.

   4. Schakel vervolgens Netwerkbeleidsgegevens in Azure-beleid voor voorwaardelijke toegang gebruiken uit. Sla de wijzigingen op.

   5. U kunt ook de applicatie Workspace ONE Voorwaardelijke toegang van uw Entra ID-tenant verwijderen en vervolgens de configuraties voor partnerconformiteit verwijderen uit de gekoppelde Intune-beheerconsole.

2. Configureer de integratie met de nieuwe tenant door de Configuratiestappen in Workspace ONE UEM, Intune en Entra ID uit te voeren.

Fout bij opslaan, ondersteuning en probleemoplossing