在 Omnissa Access 中将 Google Chrome Enterprise 设备验证设置为第二因素身份验证

在 Omnissa Access 控制台中，您可以启用 Google Chrome Enterprise 设备信号适配器并将其配置为辅助身份验证方法，以支持对受管设备和自带设备 (Bring Your Own Device, BYOD) 场景进行身份验证。您可以在 Omnissa Access 控制台中将 Google Chrome Enterprise 设备信号适配器配置为从受管设备和非受管设备上的受管配置文件中检索设备状态信息。用户可以从受管 Chrome 浏览器、受管 Chrome 配置文件和受管 Chrome OS 设备登录到 Omnissa Access。

有关 Google Chrome Enterprise 设备信任集成的信息，请参阅此 Google Chrome 帮助中心文章。

Chrome Enterprise 身份验证基于您在 Access 控制台中配置 Google Chrome Enterprise 设备信号适配器时启用的 Google Chrome Enterprise 设备信号属性设置。要与 Google 通信，您需要将 Omnissa Access 与 Google Admin 控制台中的 Chrome Enterprise 设备集成整合到一起。设置集成后，您可以在 Omnissa Access 控制台中配置访问策略规则。

当用户从 macOS、Windows 或 ChromeOS 设备使用 Chrome 浏览器登录时，对初始凭据进行身份验证后，通过 Google 进行的第二因素身份验证会根据您配置的设备信号属性设置检查设备的安全状态。Omnissa Access 将从 Chrome Enterprise 集成中检索信号状态。

当用户在 MacOS、Windows 和 ChromeOS 设备上使用受管配置文件运行 Chrome 浏览器时，可以使用 Google Chrome Enterprise 设备信号适配器身份验证。

必备条件

• Omnissa Access SaaS 租户

• Chrome Enterprise Core 或 ChromeOS Enterprise/Edu 升级

  注意：Google Chrome Enterprise 设备信任连接器要求。

  • 无痕浏览模式不支持 Chrome Enterprise 设备信任集成。
  • 来自 ChromeOS 的信号要求在 Google Admin 控制台的设备管理中注册设备。

用户和设备：

• Chrome 浏览器 109 或更高版本
• ChromeOS M108 或更高版本
• Windows 和 MacOS 设备上的受管 Chrome 浏览器配置文件

在 Omnissa Access 中设置 Google Chrome Enterprise 设备信号适配器身份验证

过程

1. 在 Omnissa Access 控制台的集成 > 身份验证方法页面中，选择 Google Chrome Enterprise 设备信号。

2. 单击配置，然后配置身份验证设置。

   选项	描述
   启用 Google Chrome Enterprise 设备信号适配器	将此选项设置为是以启用适配器。
   用于触发 Google 内嵌流的 URL 匹配器	复制并保存该 URL。您需要此值才能在 Google Admin 控制台中配置设备信任连接器。 重要信息：如果列出了多个 URL，请确保复制所有 URL 并在设备信任连接器中对其进行配置。根据知识库文章 6001062 中所述的即将进行的 URL 迁移更改，如果您的 Access 租户 FQDN 位于类别 2 - 证书品牌标识和 URL 更改下的环境列表中，将在 URL 匹配器字段中显示两个 URL，一个 URL 使用现有的 Access FQDN，另一个使用新的 Access FQDN。为了方便起见，在迁移之前已为此用例提供了新 FQDN。请勿将其用于任何其他用例。迁移时间表将通过知识库文章告知所有客户。
   IDP 服务帐户电子邮件	复制并保存租户的 IDP 服务帐户电子邮件。此设置在 Google Admin 控制台的“Omnissa 连接器”页面中进行配置。
   如果不是受管 Chrome 浏览器，则允许访问	默认情况下，将停用此设置，以防止从非受管 Chrome 浏览器进行访问。不建议激活此设置。如果要支持非受管 Chrome 浏览器，请在配置访问策略时设置一种将强验证作为回退身份验证的备用身份验证方法。
   验证设备的磁盘加密状态	如果必须加密设备磁盘，请启用此设置。选择从设备中访问应用程序所需的设置。选择具有多个选项的设置时，验证将使用 OR 逻辑运行，从而允许任何选定的值。 已加密。主磁盘已加密。如果选择此选项，检查将确认主磁盘必须已加密。可移动磁盘不会进行磁盘加密评估。 已加密 | 未指定。主磁盘已加密，或者 Chrome 未发送信号。 已加密 | 未知。主磁盘已加密，或者 Chrome 无法评估加密状态。 已加密 | 未指定 | 未知。主磁盘已加密、Chrome 未发送信号，或者 Chrome 无法评估加密状态。
   验证设备的防火墙状态	如果必须在设备上启用防火墙，请启用此设置。选择从设备中访问应用程序所需的设置。选择具有多个选项的设置时，如果值中的任何一个选项有效，则整个验证即视为成功。 已启用。防火墙已启用。 已启用 | 未指定。防火墙已启用，或者 Chrome 未发送信号。 已启用 | 未知。防火墙已启用，或者 Chrome 无法确定操作系统防火墙的状态。 已启用 | 未指定 | 未知。防火墙已启用、Chrome 未发送信号，或者 Chrome 无法确定操作系统防火墙的状态。
   验证设备的屏幕锁定状态	启用此设置可要求设备使用密码解除锁定设备。选择具有多个选项的设置时，如果值中的任何一个选项有效，则整个验证即视为成功。 已启用。屏幕锁定已启用。 已启用 | 未指定。屏幕锁定已启用，或者 Chrome 未发送信号。 已启用 | 未知。屏幕锁定已启用，或者 Chrome 无法确定屏幕锁定状态。 已启用 | 未指定 | 未知。屏幕锁定已启用、Chrome 未发送信号，或者 Chrome 无法确定屏幕锁定状态。

3. 单击保存。

   复制并保存 URL 匹配器和 IDP 服务帐户电子邮件设置。然后，要与 Chrome Enterprise 设备信任连接器集成，请将这些设置添加到 Google Admin 控制台中的“Omnissa 连接器”页面。

4. 将 Google Chrome Enterprise 设备信号身份验证方法与 Omnissa Access 身份提供程序相关联。 转到 Omnissa Access 控制台中的集成 > 身份提供程序页面，选择身份提供程序，然后在身份验证方法部分中启用 Google Chrome Enterprise 设备信号。单击保存。

与 Chrome 设备信任连接器集成

设备信任连接器是一项 Google Chrome 服务，用于验证使用 Chrome 浏览器通过 Omnissa Access 访问应用程序的设备的安全状况。

1. 以管理员身份登录到 Google Admin 控制台。

2. 转到设备 > Chrome > 连接器，然后单击新建提供程序配置。

3. 在设备信任连接器提供程序列表中选择 Omnissa，然后单击设置。

4. 在配置名称中，输入配置的唯一名称。

5. 在提供程序配置部分中，输入在 Omnissa Access 中设置 Google 设备信号适配器身份验证时保存的 URL 模式和服务帐户信息。

6. 单击添加配置。

7. 将此提供程序配置应用于其中用户使用 Google Chrome Enterprise 设备信号适配器进行身份验证的 Google 组织单位。

   • 选择树 UI 小组件上列出的组织 单位。
   • 向下滚动到设备信任连接器，然后选择单选按钮以应用相应的配置。

8. 单击保存。

接下来，在 Omnissa Access 控制台中向访问策略添加规则。

将 Google Chrome Enterprise 设备信号作为辅助身份验证方法添加到 Omnissa Access 策略

在 Google Admin 控制台中将 Omnissa Access 设置为 Chrome 信任连接器后，您可以在 Omnissa Access 中创建访问策略规则，以使用 Google Chrome Enterprise 设备信号进行第二因素身份验证。根据需要更新默认访问策略和其他策略。

过程

1. 在 Omnissa Access 控制台的资源 > 策略页面中，添加一个策略或编辑现有的策略。

2. 单击下一步以打开配置页面。

3. 选择要编辑的规则，或者单击添加策略规则以创建新规则。

   选项	描述
   如果用户的网络范围为	选择网络范围。
   并且用户访问内容来自	选择此规则管理的设备类型：Windows 10+、macOS 或 Chrome OS。
   并且用户属于组	选择该规则适用的组。如果未向规则添加组，则规则将应用于所有用户。
   然后执行此操作	选择使用以下方法进行身份验证...
   则用户可以使用以下方法进行身份验证	选择首先应用的用户身份验证方法。 如需用户选择 Google Chrome Enterprise 设备信号作为第二种身份验证方法，请单击添加身份验证，在下拉菜单中选择 Google Chrome Enterprise 设备信号，然后单击添加。

4. 要保存更改，请单击下一步，然后单击保存。
   
   

用户登录时，他们将首先使用其主要方法进行身份验证。获得批准后，通过 Google 进行的辅助身份验证过程将检查设备的安全状态，并与 Omnissa Access 共享该状态。如果设备不合规，身份验证将失败。Omnissa Access 审核事件报告会记录身份验证的成功或失败状态，包括失败的信号。