使用 Microsoft Entra ID 的条件访问

作为设备合规性合作伙伴，可以将 Workspace ONE UEM 与 Microsoft 的 Entra ID（以前称为 Azure AD）平台集成，以使用端点合规性和管理状态来评估风险并强制实施条件访问策略。

通过此集成，可以使用 Workspace ONE UEM 的工具生态系统（包括强大的合规引擎），根据各种设备和用户属性来确定设备是否符合贵组织的安全标准，并与 Microsoft 共享生成的状态。Entra ID 会解释此端点状态信息，以帮助您配置详细的条件访问策略。

必备条件

Omnissa
- 具有管理员帐户的 Workspace ONE UEM（当前支持的任何版本）
- Intelligence
  - 默认情况下适用于所有 SaaS 环境。您必须通过 Workspace ONE UEM 环境选择加入 Omnissa Intelligence，并保持选择加入状态才能获得不间断的功能。
  - 如果您通过 Omnissa Connect 访问 Omnissa 服务，则必须授权 UEM 数据源，并且该数据源必须保持这种状态。您可以通过导航到集成 > 数据源 > UEM，从 Intelligence Console 查看该状态。
  - 内部部署的客户必须配置 Omnissa Intelligence，这可能需要部署内部部署的 Omnissa Intelligence Connector。
  有关详细信息，请参阅 Omnissa Intelligence 要求。
Microsoft
- 具有相关 Microsoft 许可（用于配置 Microsoft 条件访问）以及管理员访问权限（用于登录、添加移动性和企业级应用程序以及授予对企业级应用程序的许可）的 Entra ID。
  - Microsoft Entra ID (Commercial) - 使用 login.microsoftonline.com 进行身份验证，并且在所有 Workspace ONE UEM SaaS Commercial 和内部部署环境中受支持。
  - 适用于美国政府的 Microsoft Entra ID (GCC High) - 使用 login.microsoftonline.us 进行身份验证，并且仅在 Workspace ONE UEM SaaS FedRAMP 环境中受支持。
- 具有相关 Microsoft 许可（用于配置 Microsoft 合作伙伴合规性管理）以及管理员访问权限（用于配置合作伙伴合规性管理）的 Intune。
有关这些 Microsoft 平台的详细许可要求，请联系您的 Microsoft 代表。

支持的设备平台

Entra ID 条件访问仅支持完全受管的已注册 MDM 的设备。不支持 Hub 注册或应用注册的设备（通过 Boxer、Content 等应用程序）。每个设备平台的其他要求如下所述。

iOS
- Intelligent Hub 25.05.1 及更高版本支持帐户驱动的用户注册 (ADUE) 设备。
- 所有当前受支持的 Intelligent Hub 版本均支持通过 Intelligent Hub、浏览器注册或自动设备注册/设备注册计划注册的设备。
- Intelligent Hub 25.09 或更高版本支持共享设备的共享设备模式 (SDM) 注册和 Microsoft 单点登录。有关详细信息，请参阅使用 Entra ID 条件访问的 Microsoft 单点登录 (SSO) 和共享设备模式 (SDM)。
  
  注意：此功能目前以有限可用性方式提供。要请求访问您的组织，请联系您的客户团队。
Android
- 使用 Microsoft Authenticator 的共享设备模式 (SDM) 注册。有关要求，请参阅共享设备条件访问。
- 适用于共享 Android 设备的 Microsoft 单点登录 (SSO)。请参阅适用于共享 Android 设备的 Microsoft 单点登录 (SSO) 以了解更多详细信息
macOS
- Intelligent Hub 21.11 或更高版本支持基于钥匙串的旧版注册。请参阅注册 macOS 设备使用 Entra ID 进行条件访问。
- 使用 Intune Company Portal 进行基于安全区的注册（推荐）。有关要求和配置详细信息，请参阅使用 Intune Company Portal 与 Entra ID 的平台 SSO 和设备合规性。
Windows
- 仅在搭配 Entra ID Commercial 的 Workspace ONE UEM Commercial SaaS 中支持 Windows OOBE 注册和混合加入的设备。不支持 Entra ID GCCH。

支持的部署模式

Workspace ONE UEM 当前支持以下 Microsoft Entra ID 部署。

Microsoft Entra ID (Commercial) - 使用 login.microsoftonline.com 进行身份验证。
- 支持所有商用 SaaS 和 Workspace ONE UEM 内部部署环境。
适用于美国政府的 Microsoft Entra ID (GCC High) - 使用 login.microsoftonline.us 进行身份验证。
- 仅在 Omnissa 托管的 Workspace ONE UEM SaaS FedRAMP 环境中受支持。

此外，您现在还可以将单个 Entra ID 租户与多个 Workspace ONE UEM 环境集成。要在其中配置同一个 Entra ID 租户进行条件访问的每个 Workspace ONE UEM 组织组 (OG)，必须属于不同的 Workspace ONE UEM 环境。换句话说，您可以将一个 Entra ID 租户用于多个 UEM 环境，但不能将一个 Entra ID 租户用于单个 UEM 环境中的多个 OG。

封闭式网络上具有 Console 的内部部署环境

在内部/受限网络上托管了 UEM Console 服务器的内部部署环境（包括没有出站访问权限，无法访问如此处所述的相关 Intelligence URL 的环境），必须将 Console URL 与关联的 SSL 证书一起使用。条件访问集成不支持仅使用 HTTP 的 Console URL。

条件访问日志功能在此类环境中可能不起作用，因为它需要从 Console 到 Intelligence 的出站访问权限。

配置使用 Entra ID 的条件访问

执行以下步骤以启用使用 Entra ID 的条件访问。这些步骤假设您正在运行受 Workspace ONE UEM 支持的浏览器，并且可以同时打开多个浏览器标签页。

对于 iOS、Android 或 macOS 设备，在浏览器的一个标签页中，使用管理员帐户凭证登录到 Microsoft Intune 管理中心。
1. 导航到租户管理 > 连接器和令牌 > 合作伙伴合规性管理 > 添加合规性合作伙伴。
2. 在创建合规性合作伙伴 > 基本标签页中，根据需要配置以下内容。
  - 合规性合作伙伴 - 选择"Workspace ONE 条件访问"（在 Entra ID GCC High 中，选择"Workspace ONE 条件访问 GCCH"）。
  - 平台 - 选择所需的平台（iOS、Android 和 macOS）。
3. 在创建合规性合作伙伴 > 分配标签页中，根据需要配置用户和组包含项与排除项。
4. 在创建合规性合作伙伴 > 查看 + 创建标签页中，查看您的配置详细信息，然后选择创建。
  
  如果要为多个平台配置条件访问，请对每个平台重复上述步骤。
在浏览器的新标签页中，使用您的管理员帐户凭证登录到 Microsoft Entra ID 管理控制台。
1. （可选）根据您的组织需求配置 Entra ID 条件访问策略。有关详细信息，请参阅 Microsoft 条件访问概述。
2. 对于 Windows 设备，将 AirWatch by Omnissa 企业级应用程序添加到您的 Entra 租户。
  1. 在 Azure 管理门户实例中，选择您的目录，然后导航到**移动性（MDM 和 WIP）**标签页。
  2. 依次选择添加应用程序、AirWatch by Omnissa 应用和添加。
在浏览器的新标签页中，使用您的管理员帐户凭证登录 Omnissa Workspace ONE UEM 环境。
1. 切换到客户类型组织组 (OG)。当前仅在客户类型的 OG 中支持 Workspace ONE UEM 中的 Entra ID 条件访问和必备条件配置。
2. 导航到监控 > Intelligence，并确保您已选择加入。如果没有，请完成选择加入流程。有关详细信息，请参阅 Omnissa Intelligence 文档。
3. 导航到组与设置 > 所有设置 > 系统 > 目录服务。
4. 在服务器标签页中，向下滚动到高级部分。
5. 对于 Azure AD 集成，选择已启用滑块。
切换到浏览器的 Microsoft Entra ID 标签页。
1. 从菜单中选择 Microsoft Entra ID。此时将显示 Microsoft Entra ID 概览页面。要查找 Microsoft Entra 租户 ID 或主域名，请在基本信息部分查找租户 ID 和主域。
2. 将此租户 ID 复制到剪贴板。有关详细信息，请参阅 Microsoft Entra ID 租户 ID。
切换回浏览器的 Workspace ONE UEM 标签页。
1. 将租户 ID 粘贴到 Azure AD 集成滑块下的目录 ID 文本框中。
2. 向下滚动并找到设置在 Azure 条件访问策略中使用合规性数据，然后选择其已启用滑块。
3. （对于 Windows 设备为可选）对于在适用于 Windows 的 Azure 条件访问策略中使用合规性数据，请选择已启用滑块。
4. （对于 iOS、Android 和 macOS 设备为可选）对于在适用于 iOS、Android 和 macOS 的 Azure 条件访问策略中使用合规性数据，请选择已启用滑块。
  1. 当系统提示您重定向到 Microsoft 时，选择继续，这会在浏览器中启动一个新标签页。使用您的 Entra ID 管理员凭证进行身份验证，然后在生成的同意页面中接受权限请求。获得同意后，Workspace ONE 条件访问应用将被添加到 Azure 中的企业级应用程序。
  2. 成功完成后，返回到 UEM 并选择完成。
5. 目录服务的"系统设置"屏幕将显示您之前启用的所有滑块。
6. 选择保存按钮。

在每个 UEM 环境中以管理员身份登录时，您可以通过大致重复上述步骤 3-5，在多个 UEM 环境中使用相同的 Entra ID 租户。即使与多个 Workspace ONE UEM 环境集成时，Entra ID 也仅显示 Workspace ONE 条件访问应用的一个实例。

注册设备使用 Microsoft Entra ID 进行条件访问

需要用户交互进行设备注册的平台通常支持两种路径。

**自助注册流程：**您的设备最终用户可以使用您推送到其设备的深度链接自行注册。下面的平台特定指南中说明了部署深度链接的步骤。

**修复流程：**或者，设备最终用户可以通过受 Entra ID 条件访问策略（该策略要求将设备标记为合规）约束的本机应用程序登录或尝试访问数据。如果设备最终用户的访问受到限制，则 Microsoft 将重定向最终用户以通过 Intelligent Hub 注册条件访问。指导设备最终用户按照这些提示进行操作。

注册 iOS 设备使用 Entra ID 进行条件访问

Intelligent Hub 和 Microsoft Authenticator 是使用 Entra ID 条件访问的 iOS 设备上的必需应用程序。通过 Workspace ONE UEM Console 将这两个应用程序作为受管应用程序分配并部署到您的 iOS 设备。有关详细信息，请参阅管理 iOS 应用程序简介。

可以通过两种方式激活自助注册流程。

激活 Intelligent Hub 上条件访问注册按钮。
配置和交付网页剪辑形式的深层链接。

Intelligent Hub 中的注册按钮（推荐）

从适用于 iOS 的 Intelligent Hub 版本 25.11 开始，您可以通过在 Hub 中激活条件访问注册按钮来简化最终用户的注册过程。要激活注册按钮，请执行以下步骤：

在 Workspace ONE UEM Console 中，导航到组与设置 > 所有设置 > 应用 > 设置和策略 > 设置。
启用自定义设置，并将以下键值对粘贴到自定义设置字段中，然后选择"保存"。

{ "displayRegisterConditionalAccessButton":true }

在 Hub 应用这些设置后，可以立即看到"条件访问注册"按钮。在之前注册的设备上，您可能需要强制退出然后重新启动 Hub，才能使更改生效。

如果已激活 Hub 服务，请点击设备屏幕右上角的帐户。"帐户详细信息"页面随即显示"条件访问"按钮。
如果未激活 Hub 服务，则在打开 Hub 应用时，会自动显示"帐户详细信息"页面。

注册网页剪辑

要配置和交付网页剪辑形式的深层链接，请执行以下步骤：

在 Workspace ONE UEM Console 中，导航到资源 > 应用 > Web 链接，选择添加应用程序，选择 Apple iOS 作为平台，然后选择继续。
在详细信息标签页中，为 Web 链接提供适当的名称 - 这将在设备上和 Hub 目录中显示为网页剪辑图标的名称。
将 URL 设置为 airwatch://conditionalaccess?partner=microsoft
（可选）提供相关说明。
在分配标签页中，选择要用于分配的相关智能组，并根据需要配置排除项。
将"推送"设置为"自动"（推荐）。
配置高级设置，然后选择保存并发布。
指示设备最终用户通过单击部署的网页剪辑来启动注册。

Microsoft Authenticator 的受管应用配置

您不需要通过 Workspace ONE UEM 为 Authenticator 部署受管应用配置。建议不要使用 {sharedDeviceMode} 配置键。如果使用专用设备，请为其设置以下参数。

**值类型：**布尔 **配置值：**False

注册 Boxer 和 iOS 本机邮件使用 Entra ID 进行条件访问

Microsoft 条件访问适用于包含 Microsoft 身份验证库 (MSAL) 的应用程序。此功能可通过 SSO 扩展配置文件扩展到支持 SafariViewController 的应用程序，如 Workspace ONE Boxer 和 iOS 本机邮件客户端。

在 Workspace ONE UEM Console 中，导航到资源 > 配置文件和基准 > 配置文件 > 添加配置文件。
创建一个 Apple iOS 配置文件，将管理类型设置为"强制性"，将上下文设置为"设备"。在 SSO 扩展负载中添加以下建议的配置。
1. **扩展类型：**通用。
2. 扩展标识符：com.microsoft.azureauthenticator.ssoextension
3. **类型：**重定向
4. URL：
- 其他设置（自定义 XML）： <dict> <key>TeamIdentifier</key> <string>SGGM6D27TK</string> </dict>
  - SGGM6D27TK 是用于由 Microsoft 发布到 App Store 的 iOS 应用程序的团队标识符。
分配给相关的智能组，然后选择保存并发布。

注册 Android 设备使用 Entra ID 进行条件访问

Intelligent Hub 和 Microsoft Authenticator 是使用 Entra ID 条件访问的 Android 设备上的必需应用程序。通过 Workspace ONE UEM Console 将这两个应用程序作为受管应用程序分配并部署到您的 Android 设备。此外，通过 Workspace ONE UEM 将受条件访问策略约束的任何其他应用程序部署为受管应用程序。有关详细信息，请参阅使用 Omnissa Workspace ONE UEM 管理 Android 应用程序。

可以通过两种方式激活自助注册流程。

激活 Intelligent Hub 上条件访问注册按钮。
配置和交付书签形式的深层链接。

Intelligent Hub 中的注册按钮（推荐）

从适用于 Android 的 Intelligent Hub 版本 25.11 开始，您可以通过在 Hub 中激活条件访问注册按钮来简化最终用户的注册过程。

要激活注册按钮，请执行以下步骤：

在 Workspace ONE UEM Console 中，导航到组与设置 > 所有设置 > 应用 > 设置和策略 > 设置。
启用自定义设置，并将以下键值对粘贴到自定义设置字段中，然后选择"保存"。

{ "displayRegisterConditionalAccessButton":true }

在 Hub 应用这些设置后，可以立即看到"条件访问注册"按钮。在之前注册的设备上，您可能需要强制退出然后重新启动 Hub，才能使更改生效。

注册书签

要配置和交付书签形式的深层链接，请执行以下过程：

在 Workspace ONE UEM Console 中，导航到资源 > 应用 > Web 链接，选择添加应用程序，选择 Android 作为平台，然后选择继续。
在详细信息选项卡中，为 Web 链接提供适当的名称 - 这将在设备上和 Hub 目录中显示为网页剪辑图标的名称。
将 URL 设置为 awagent://com.airwatch.androidagent?component=conditionalaccess&partnertype=microsoft
（可选）提供相关说明。
在分配标签页中，选择要用于分配的相关智能组，并根据需要配置排除项 。
将"推送"设置为"自动"（推荐）。
将添加到主屏设置为"是"。
指示最终用户通过选择部署的书签来启动注册。

Android 共享设备模式

Workspace ONE UEM 支持注册共享设备模式 (SDM)，以便在 Android 设备上进行 Entra ID 条件访问。有关详细信息，请参阅适用于 Android 设备上的 Microsoft Azure 条件访问策略的共享设备模式 (SDM)。

Microsoft 单点登录

除了共享设备模式 (SDM) 外，您还可以在基于 Launcher 的签入/签出设备上使用基于 MSAL 的全局登录/注销。有关详细信息，请参阅适用于共享 Android 设备的 Microsoft 单点登录 (SSO)。

注册 macOS 设备使用 Entra ID 进行条件访问

任何 macOS 设备上都需要 Intelligent Hub 才能使用 Entra ID 条件访问。

通过两种方法支持 Entra ID 条件访问注册：

使用 Intune Company Portal 进行基于安全区的注册（推荐）。有关要求和配置详细信息，请参阅使用 Intune Company Portal 与 Entra ID 的平台 SSO 和设备合规性。
使用集成 Hub 的注册实用程序进行基于钥匙串的旧版注册。请参阅下面的说明以配置此方法。

要启用自助注册流程，请执行以下步骤，配置深度链接并以网页剪辑的形式提供深度链接。

在 Workspace ONE UEM Console 中，导航到资源 > 应用 > Web 链接，选择添加应用程序，选择 Apple macOS 作为平台，然后选择继续。
在详细信息选项卡中，为 Web 链接提供适当的名称 - 这将在设备上和 Hub 目录中显示为网页剪辑图标的名称。
将 URL 设置为 wsonehub://conditionalaccess?partner=microsoft
（可选）提供相关说明。
在分配标签页中，选择要用于分配的相关智能组，并根据需要配置排除项 。
将推送设置为"自动"（推荐）
指示最终用户通过选择部署的书签来启动注册。

对于条件访问注册，macOS Intelligent Hub 要求最终用户使用 Entra ID 进行身份验证。用于身份验证的 Entra ID 帐户（例如 user@your-entra-id-domain）必须与 Workspace ONE UEM 中的特定属性（该属性与设备注册到的用户记录相关联）相匹配。

如果您已为 macOS 配置 Hub 服务，则 UEM 注册用户记录必须包含：
- UserPrincipalName = user@your-entra-id-domain。如果 UserPrincipalName 为空
- 电子邮件地址 = user@your-entra-id-domain
如果您还没有为 macOS 配置 Hub 服务，则 UEM 中的注册用户记录必须包含：
- 电子邮件地址 = user@your-entra-id-domain

要在 Workspace ONE UEM 中查找注册用户的特征，请导航到帐户 > 用户 >（特定用户的）详细信息视图。

注册 Windows 设备使用 Entra ID 进行条件访问

Windows 设备享有对 Entra ID 条件访问集成的原生支持，并且不需要进行额外的注册配置。Intelligent Hub 从操作系统获取 Azure 设备标识符和 Azure 用户标识符后，会通过样本将这些信息中继到 Workspace ONE UEM。UEM 将设备标记为已注册条件访问，并将管理和合规性状态更新中继到 Entra ID。

其他资源、功能和故障排除

您可以访问其他资源，以用于故障排除或调查目的。

设备登记状态

版本：Workspace ONE UEM 2310 及更高版本

设备详细信息 > 摘要页面在"安全"卡中显示 Azure Active Directory 注册状态。当 UEM 从设备收到有效的 Azure 设备标识符（Azure 设备 ID）时，此状态将设置为"已启用" - 此数据由 Intelligent Hub 中继到 UEM。
Azure 设备 ID 显示在设备信息卡中。

条件访问日志

设备详细信息 > 更多 > 条件访问日志页面提供设备的 Workspace ONE 与 Microsoft 之间的交互历史记录，重点是合规代理与 Microsoft Intune/Graph API 之间的调用。此历史记录包括中继到 Microsoft 的管理和合规性状态，以及中继此信息的日期/时间。事件详细信息通常包含以下内容。

请求发送时间戳
合作伙伴设备 ID - Azure 设备 ID
合作伙伴用户 ID - Azure 用户标识符
消息 ID
设备管理状态 - 设备的 UEM 注册状态
合规性状态 - 设备的 UEM 合规性状态
API 请求正文 - 发送到 Microsoft 的 API 请求正文中包含的详细信息
API 响应正文 - 从 Microsoft 收到的响应中包含的详细信息

设备事件和设备故障排除日志

以下页面中还提供了条件访问日志中显示的部分信息。

设备事件：监控 > 事件和日志 > 设备事件。
设备详细信息 > 更多 > 故障排除 > 事件日志。

这些页面包含两种类型的事件：
- 条件访问设备注册 - 在 UEM 从 Hub 收到相关数据并将这些数据中继到合规代理（以转发给 Microsoft）时记录
- 条件访问设备状态更改 - 在 UEM 检测到设备的合规性或注册状态发生更改并向合规代理发送更新（以转发给 Microsoft）时记录
这些事件的事件数据通常包含：
- 设备 UUID - 设备在 Workspace ONE UEM 中的唯一标识符
- 设备管理状态 - 在 UEM 中的注册状态
- 合规性状态 - 在 UEM 中的合规性状态
- 合规代理请求 - 中继到 Workspace ONE 合规代理服务（以中继到 Microsoft）的信息的详情
- 成功 - 指示请求是否已成功发送到合规代理

系统设置

目录服务页面（导航到组与设置 > 所有设置 > 系统 > 企业集成 > 目录服务）提供了更多 Entra ID 条件访问功能。

同步 Azure 服务 - 您可以启动 Workspace ONE 和 Microsoft Intune 之间的一次性同步，以便将对 Intune 的合作伙伴合规性配置所做的任何更改协调到 Workspace ONE UEM。
将设备数据从 UEM 重新同步到 Azure 服务 - 您可以启动对 Microsoft 的一次性更新，其中包含在 Workspace ONE UEM 租户中注册进行条件访问的所有设备的合规性和管理状态。可以每 4 小时执行一次重新同步。

REST API

REST API 端点可用于检索给定设备（由其 Workspace ONE UEM 设备 UUID 标识）的条件访问注册信息。

GET /devices/{deviceUuid}/conditional-access-device-registration-information

如果设备已注册，则 API 响应将包含以下内容。

partner_device_id - Azure 设备 ID
partner_user_id - Azure 用户 ID（SDM 注册设备为 0 字符串）
partner_tenant_id - Entra ID 租户 ID

更多详细信息，请参阅在 <YourAPIURL>/api/help 提供的 REST API 文档。要查看有关如何在特定环境中访问 API 文档的说明，请参阅访问 API 文档。

Omnissa Intelligence

Azure 设备标识符也可在 Omnissa Intelligence 中使用，显示为 Microsoft AAD 设备 ID，并且可以在报告和 Freestyle 工作流中使用。

停用条件访问

如果要以适当且全面的方式停用与 Entra ID 的条件访问集成，请执行以下步骤。

确保您已选择加入 Workspace ONE Intelligence。
在 Workspace ONE UEM 中，导航到组与设置 > 所有设置 > 系统 > 企业集成 > 目录服务。
禁用在适用于 iOS、Android 和 macOS 的 Azure 条件访问策略中使用合规性数据和在适用于 Windows 的 Entra 条件访问策略中使用合规性数据（如果已启用）。
然后禁用在 Azure 条件访问策略中使用合规性数据。保存更改。
（可选）从 Entra ID 租户中移除 Workspace ONE 条件访问应用程序，然后从关联的 Intune 管理控制台中移除合作伙伴合规性配置。

更新 Entra ID 租户

如果已在给定 OG 中启用条件访问，并且想要替换与该 OG 关联的 Entra ID 租户，请执行以下步骤。

停用 Workspace ONE UEM 中的现有集成。
1. 确保您已选择加入 Workspace ONE Intelligence。
2. 在 Workspace ONE UEM 中，导航到组与设置 > 所有设置 > 系统 > 企业集成 > 目录服务。
3. 禁用在适用于 iOS、Android 和 macOS 的 Azure 条件访问策略中使用合规性数据和在适用于 Windows 的 Entra 条件访问策略中使用合规性数据（如果已启用）。
4. 然后禁用在 Azure 条件访问策略中使用合规性数据。保存更改。
5. （可选）从 Entra ID 租户中移除 Workspace ONE 条件访问应用程序，然后从关联的 Intune 管理控制台中移除合作伙伴合规性配置。
完成跨 Workspace ONE UEM、Intune 和 Entra ID 的配置步骤，配置与新租户的集成。

保存故障、支持和故障排除

类别	详细信息
问题	启用条件访问后，"配置 - 目录服务"页面无法保存。
症状	控制台显示"保存置备租户故障失败"。
相关日志	Web 控制台
解决方案	确保在 Intune 管理控制台中将 Workspace ONE 条件访问选作至少一个平台的合规性合作伙伴。请参阅 Microsoft Intune。
其他详细信息	Web 控制台日志通常显示以下内容。无法在组织组 1234 保存条件访问配置，因为出现错误：provision-tenant-failure，错误详细信息为：无法置备 MICROSOFT 租户后跟状态代码。 401 UNAUTHORIZED

此页面对您有帮助吗?