Gerätebeschränkung für Google Workspace (G Suite) aktivieren

1. Google Workspace (G Suite) in miniOrange konfigurieren

• Melden Sie sich bei miniOrange an Admin-Konsole.
• Gehe zu Apps und klicken Sie auf Anwendung hinzufügen .



• In Wählen Sie Anwendungstyp Klicken Sie auf App erstellen Schaltfläche im SAML/WS-FED-Anwendungstyp.



• Suchen Sie nach den Google in der Liste.



• Geben Sie Ihre Domain Name die Sie mit Google Workspace verwenden.
• Geben Sie die Einzelne Abmelde-URL as https://mail.google.com/a/out/tld/?logout.
• Von dem Provisioning Geben Sie den Domänenadministrator in Google Apps (G Suite)-Administrator und klicken Sie auf "Google Apps-Administrator bestätigen", um zu überprüfen, ob die eingegebene Domäne die eines Administrators ist (dies ist ein optionales Feld).



• Klicken Sie auf Gespeichert.

Holen Sie sich IdP-Metadatendetails zum Hochladen in Google Apps:

• Gehe zu Apps >> Apps verwalten.
• Suchen Sie nach Ihrer App und klicken Sie auf das wählen im Aktionsmenü für Ihre App.
• Klicken Sie auf Metadaten um Metadatendetails abzurufen, die später benötigt werden. Klicken Sie auf SSO-Link anzeigen um den vom IDP initiierten SSO-Link für Google Apps anzuzeigen.



• Hier sehen Sie 2 Optionen, wenn Sie einrichten miniOrange als IDP Kopieren Sie die Metadatendetails zu miniOrange, wenn Sie eine Authentifizierung benötigen über externe IDPs (OKTA, AZURE AD, ADFS, ONELOGIN, GOOGLE APPS) Sie können Metadaten aus dem 2. Abschnitt abrufen, wie unten gezeigt.



• Behalten SAML-Anmelde-URL und klicken Sie auf Zertifikat herunterladen , um das Zertifikat herunterzuladen, das Sie benötigen in Schritt 2.

2. SAML SSO in Google Workspace (G Suite) konfigurieren

• Melden Sie sich jetzt an Google Admin-Konsole und wählen Sicherheit Registerkarte in der Admin-Konsole.
• Gehe zu Authentifizierung >> SSO mit Drittanbieter-IDP. Hier, aus dem SSO-Profil für Ihre Organisation Klicken Sie im Abschnitt auf das Bearbeitungssymbol.





• Aktivieren Sie die Einrichten von SSO mit einem Identitätsanbieter eines Drittanbieters Kontrollkästchen.
• Enter URL der Anmeldeseite: SAML-Anmelde-URL aus Schritt 1.
• Enter URL der Abmeldeseite: <Basisserver-URL> /idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  Beispiel: https://login.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  
• Laden Sie das Zertifikat hoch, indem Sie auf Zertifikat ersetzen Link, der zuvor in Schritt 1 heruntergeladen wurde.
• Geben Sie die URL zum Ändern des Passworts ein: SAML-Anmelde-URL ab Schritt 1.
• Sichern Sie die Einstellungen.
• Ihre Google SSO SAML-Integration ist abgeschlossen.



2.1. SSO-Profile Organisationseinheiten oder Gruppen zuweisen:




Wenn Sie möchten, dass sich einige Ihrer Benutzer direkt bei Google anmelden, können Sie diese Benutzer in eine Organisationseinheit (OU) oder Gruppe verschieben. Verwalten Sie dann die SSO-Einstellungen für die OU oder Gruppe, sodass diese Benutzer von Google authentifiziert werden und nicht Ihren Drittanbieter-IdP verwenden. Führen Sie die folgenden Schritte aus:

• Wenn Sie möchten, dass sich alle Ihre (nicht-Superadministrator-)Benutzer über einen IdP eines Drittanbieters anmelden: Sie müssen keine Verwaltung durchführen.
• Wenn Sie möchten, dass sich einige Ihrer Benutzer direkt bei Google anmelden: Klicken Sie auf Verwalten von SSO-Profilzuweisungen und fahren Sie mit dem nächsten Schritt fort.
  • Wenn Sie das SSO-Profil zum ersten Mal zuweisen, klicken Sie auf Los geht´s. Andernfalls klicken Sie auf Verwalten. Note: Get started is only available if you’ve already enabled your third-party SSO profile.
  
  
  
  
  • Wählen Sie links die Organisationseinheit oder Gruppe aus, für die Sie das SSO-Profil zuweisen.
    Note: If the SSO profile assignment for an OU or group differs from your domain-wide profile assignment,
an override warning appears when you select that OU or group. You can’t assign the SSO profile on a
per-user basis. The Users view let you check the setting for a specific user.
    
  
  
  
  • Wählen Drittanbieter-SSO-Profil der Organisation wenn Sie möchten, dass sich Ihre Benutzer in der Organisationseinheit oder Gruppe mit dem im Drittanbieter-SSO-Profil Ihrer Domäne angegebenen IdP bei Google-Diensten anmelden.
  • Wählen Non wenn Sie möchten, dass sich Ihre Benutzer in der Organisationseinheit oder Gruppe direkt bei Google anmelden.
  • Wählen Ein weiteres SSO-Profil falls Sie bereits einen anderen Identitätsanbieter konfiguriert haben und diesen zur Benutzerauthentifizierung verwenden möchten.
  • Dann klick Gespeichert.

2.2. So deaktivieren Sie SSO für alle Benutzer:

Wenn Sie die Drittanbieter-Authentifizierung für alle Ihre Benutzer deaktivieren möchten, ohne die SSO-Profilzuweisung für Organisationseinheiten oder Gruppen zu ändern, können Sie das Drittanbieter-SSO-Profil deaktivieren:

• Deaktivieren Einrichten von SSO mit einem Identitätsanbieter eines Drittanbieters.
• Klicke Gespeichert.

3. Gerätebeschränkung konfigurieren: Zugriffsbeschränkung durch Begrenzung der Anzahl der Geräte

Mithilfe der adaptiven Authentifizierung können Sie auch die Anzahl der Geräte beschränken, auf denen der Endbenutzer auf die Dienste zugreifen kann. Sie können Endbenutzern den Zugriff auf Dienste auf einer festen Anzahl von Geräten gestatten. Wenn „Gerät für eine Richtlinie“ aktiviert ist, wird das Gerät des Endbenutzers mit dem zuvor für diesen Benutzer registrierten Gerät abgeglichen. Die Endbenutzer können auf dieser festen Anzahl von Geräten dieses bestimmten Benutzers auf von uns bereitgestellte Dienste zugreifen.

• Gehe zu Adaptive Authentifizierung aus der linken Navigationsleiste.
• Klicken Sie auf Richtlinie hinzufügen Tab.



• Hinzufügen Versicherungsname für Ihre adaptive Authentifizierungsrichtlinie.



• Scrollen Sie nach unten Gerätekonfiguration Abschnitt und klicken Sie auf Bearbeiten.
• Geben Sie die Anzahl der Geräte die sich im Feld registrieren dürfen Anzahl der zulässigen Geräteregistrierungen.



• Sie können das aktivieren oder deaktivieren Einschränkung für Mobilgeräte um sicherzustellen, ob Anmeldeversuche von Mobilgeräten akzeptiert oder abgelehnt werden.
• Ebenso können Sie aktivieren oder deaktivieren Einschränkung basierend auf MAC-Adresse.



• Scrollen Sie nun nach unten zum Maßnahmen zur Verhaltensänderung Abschnitt und klicken Sie auf Bearbeiten. Wählen Sie die Aktion aus, die Sie ausführen möchten, wenn die IP-Adresse außerhalb des Bereichs liegt. Zulassen, Anfechten oder Ablehnen.




Aktion für Verhaltensänderungsoptionen:




Attribut	Beschreibung
Erlauben	Erlauben Sie dem Benutzer, sich zu authentifizieren und Dienste zu verwenden, wenn die Bedingung für die adaptive Authentifizierung erfüllt ist.
Herausforderung	Fordern Sie Benutzer mit einer der drei unten genannten Methoden zur Überprüfung der Benutzerauthentizität heraus.
Ablehnen	Verweigern Sie Benutzerauthentifizierungen und den Zugriff auf Dienste, wenn die Bedingung für die adaptive Authentifizierung erfüllt ist.




Optionen für den Herausforderungstyp:




Attribut	Beschreibung
Benutzer zweiter Faktor	Der Benutzer muss sich mit dem zweiten Faktor authentifizieren, den er gewählt oder zugewiesen hat, wie zum Beispiel OTP über SMS Push-Benachrichtigung OTP über E-Mail Und 12 weitere Methoden.
KBA (Wissensbasierte Authentifizierung)	Das System stellt dem Benutzer zwei von drei Fragen, die er in seiner Self-Service-Konsole konfiguriert hat. Erst wenn der Benutzer beide Fragen richtig beantwortet hat, kann er fortfahren.
OTP über alternative E-Mail	Der Benutzer erhält ein OTP an die alternative E-Mail-Adresse, die er über die Self Service Console konfiguriert hat. Sobald der Benutzer das richtige OTP eingegeben hat, kann er fortfahren.



• Scrollen Sie bis zum Ende und klicken Sie auf Speichern.

4. Aktivieren Sie die Einschränkung für Google Apps

• Gehe zu Richtlinien >> App-Anmelderichtlinie aus der linken Navigationsleiste.
• Klicken Sie auf Bearbeiten Option für Ihre ausgewählte App.



• Legen Sie Ihren Anwendungsnamen im Antragsprozess und wählen Sie Passwort als Anmeldemethode.
• Ermöglichen Adaptive Authentifizierung.
• Von dem Wählen Sie „Anmelderichtlinie“ Wählen Sie aus der Dropdown-Liste die Richtlinie aus, die wir im letzten Schritt erstellt haben, und wählen Sie die gewünschte Einschränkungsmethode als eine Option.
• Klicke Gespeichert.




So fügen Sie ein vertrauenswürdiges Gerät hinzu

1. Wenn sich der Endbenutzer nach Aktivierung der Richtlinie zur Gerätebeschränkung bei der Self-Service-Konsole anmeldet, hat er die Möglichkeit, das aktuelle Gerät als vertrauenswürdiges Gerät hinzuzufügen.

1. Registrieren Sie Ihre Organisation bei Android Enterprise.

• Melden Sie sich beim miniOrange MDM-Dashboard an, indem Sie auf ..



• Navigieren Sie nach der Anmeldung zu ANDROID -> Android Enterprise und klicken Sie auf Registrieren Schaltfläche. Sie müssen Ihre Organisation zunächst bei Android Enterprise registrieren. Dies ist ein einmaliger Vorgang.



• Klicke . für detaillierte Anweisungen zur Registrierung Ihrer Organisation bei Android Enterprise.

2. Erstellen Sie eine neue Richtlinie

• Gehe zu ANDROID -> Richtlinien im miniOrange MDM Dashboard. Hier die Standardrichtlinie wurde bereits für Sie erstellt, ohne dass Play Store-Apps hinzugefügt wurden. Sie können diese Richtlinie verwenden, um das Gerät zu registrieren, ohne Zugriff auf Anwendungen zu gewähren.
• Klicken Sie auf die Richtlinie erstellen Schaltfläche, um eine neue Richtlinie zu entwerfen.



• Jetzt geh zum Antragsprozess und wählen Sie die spezifische Google Workspace-Anwendungen die Sie auf den zugelassenen Geräten installieren möchten.
• Überprüfen Sie alle vorherigen Einstellungen noch einmal. Klicken Sie anschließend auf das Richtlinie erstellen Schaltfläche, um die Richtlinie abzuschließen.



• Ebenso können Sie mehrere Richtlinien mit unterschiedlichen Anwendungssätzen und Einschränkungen erstellen, die dem Mobilgerät basierend auf seinem Gerätegenehmigungsstatus zugewiesen werden können, z. B. AUSSTEHEND, BENUTZER-MFA ABGESCHLOSSEN, DURCH ADMINISTRATION GENEHMIGT usw.

3. Richtlinie an Gerätegruppe anhängen

• Gehe zu ANDROID -> Gerätegruppen, klicke auf Gruppe hinzufügen um eine Gruppe für genehmigte Geräte zu erstellen.
• Fügen Sie die neu erstellte Richtlinie der ausgewählten Gerätegruppe hinzu. Dadurch wird sichergestellt, dass die Richtlinie für alle Geräte innerhalb dieser Gruppe durchgesetzt wird.

4. Konfigurieren der Geräteregistrierungseinstellungen

• Gehe zu ANDROID -> Geräte, Und klicken Sie auf Einschreiben um das Geräteregistrierungstoken zu erstellen.



• Wählen Sie den Benutzer aus, dessen Gerät registriert werden soll, der Gerätebesitzmodus ist „Persönlich“, wenn das Gerät dem Endbenutzer gehört, oder „Unternehmen“, wenn das Gerät von der Organisation ausgegeben wurde.



• Wenn das Gerät den Benutzer- oder Administratorüberprüfungsablauf durchläuft, wie in der Abbildung oben gezeigt, wird empfohlen, die anfängliche Registrierung mit der Standardgruppe durchzuführen und nach der Überprüfung entsprechende Gruppen zuzuweisen.
• Das obige Beispiel hat gezeigt, dass das Gerät registriert wird mit Standardrichtlinie und wird zunächst keine Play Store-Anwendung haben. Sobald die Benutzerüberprüfung über die MFA-Methode abgeschlossen ist, wird das Gerät zum MFA_Abgeschlossen Gruppe und die zugehörige Richtlinie werden zugewiesen.



Hinweis

Die Standard-MFA-Methode für den Endbenutzer wird von miniOrange abgerufen. IAM Dashboard und dementsprechend wird die MFA initiiert, zB OTP über E-Mail/Push-Benachrichtigung usw.



• Die Einschreibungsoption „Durch Benutzereinladung“ sendet die Schritte zur Geräteregistrierung per E-Mail an den ausgewählten Benutzer. Die Option 'Allein' zeigt die Registrierungsdetails auf demselben Bildschirm an.

5. Administratorgenehmigung für registrierte Geräte

• Basierend auf den Einstellungen des Registrierungstokens wird das registrierte Gerät auf dem Dashboard aufgeführt. Wir können den aktuellen Status des Geräts in der Spalte „Gerätegenehmigung“ überprüfen, in der es zur Genehmigung durch den Administrator, zur Genehmigung, zur ausstehenden MFA-Verifizierung usw. aufgeführt ist.



• Nach dem Zugriff auf die Benutzer- und Gerätedetails kann der Administrator auf das genehmigen Schaltfläche, um die entsprechende Richtlinie zu genehmigen und dem Gerät zuzuweisen.