Restrizione del dispositivo Office365

2. Configurare Office 365 in miniOrange

• Effettua il login alla Console di amministrazione miniOrange.
• Vai su Apps e cliccare su Aggiungi applicazione pulsante.



• In Scegli il tipo di applicazione cliccare su Crea app pulsante nel tipo di applicazione SAML/WS-FED.



• Nel passaggio successivo, cerca Office 365. Fai clic su Ufficio 365 app.



• Assicurarsi che la ID entità SP or Emittente è: urn:federazione:MicrosoftOnline
• Assicurarsi che la URL ACS è: https://login.microsoftonline.com/login.srf
• Fare clic su Avanti.



• Configura l'ID nome in base all'archivio utenti che stai utilizzando:
  • Utilizzo del servizio di intermediazione Active Directory/miniOrange: Selezionare Attributo IDP esterno dal menu a discesa e aggiungere objectguid nella casella di testo visualizzata.
  
  • Utilizzo di miniOrange come archivio utente: Selezionare Attributo profilo personalizzato e scegliere un attributo personalizzato dal menu a discesa.
  
• Impostare il politica di accessoPuoi scegliere di abilitare 2FA per l'accesso o di far effettuare l'accesso agli utenti utilizzando un nome utente e una password standard.
• Fare clic su Salva per configurare Office 365.

3. Configurare i Microsoft Online Services

• Fare clic su Seleziona menu a discesa e scegliere Metadati.
  



• Clicca sul Scarica lo script del dominio federato pulsante sotto "INFORMAZIONI RICHIESTE PER L'AUTENTICAZIONE TRAMITE IDPS ESTERNI"



• Inserire il nome di dominio che vuoi federare e clicca su Scaricare. Nota: Non puoi federare il tuo predefinito "onmicrosoft.com" dominio. Per federare il tuo tenant di Office 365, devi aggiungere un dominio personalizzato a Office 365.



• Dopo aver scaricato lo script, Apri PowerShell eseguire lo script federate_domain utilizzando: cd ./Downloads powershell -ExecutionPolicy ByPass -File federate_domain.ps1



• Il tuo dominio è ora federato. Utilizza i comandi sottostanti per controllare le impostazioni della tua federazione: Connect-MsolService Get-MsolDomainFederationService

4. Configurare la restrizione del dispositivo: limitare l'accesso limitando il numero di dispositivi

Utilizzando l'Autenticazione adattiva puoi anche limitare il numero di dispositivi su cui l'utente finale può accedere ai Servizi. Puoi consentire agli utenti finali di accedere ai servizi su un numero fisso di dispositivi. Quando Dispositivo per una policy è abilitato, il dispositivo dell'utente finale verrà abbinato al dispositivo precedentemente registrato per quell'utente. Gli utenti finali saranno in grado di accedere ai servizi forniti da noi su questo numero fisso di dispositivi di quell'utente particolare.

• Vai su Autenticazione adattiva dalla barra di navigazione a sinistra.
• Fare clic su Aggiungi criterio scheda.



• Aggiungere un Nome della politica per la tua politica di autenticazione adattiva.



• Scorri fino a Configurazione del dispositivo sezione e fare clic su Modifica.
• Inserire il Numero di dispositivi che sono autorizzati a registrarsi nel campo Numero di registrazioni di dispositivi consentite.



• Puoi abilitare o disabilitare il Restrizione dispositivi mobili per garantire che i tentativi di accesso da dispositivi mobili vengano accettati o rifiutati.
• Allo stesso modo, puoi abilitare o disabilitare Restrizione basata sull'indirizzo MAC.



• Ora scorri verso il basso Azione per il cambiamento del comportamento sezione e fare clic su Modifica. Seleziona l'azione che vuoi eseguire se l'indirizzo IP è fuori dall'intervallo. ad esempio Consentire, contestare o negare.




Azione per le opzioni di modifica del comportamento:




Attributo	Descrizione
Consentire	Consentire all'utente di autenticarsi e utilizzare i servizi se la condizione di autenticazione adattiva è vera.
La sfida	Prova gli utenti con uno dei tre metodi indicati di seguito per verificare l'autenticità dell'utente.
Rifiuta	Nega le autenticazioni utente e l'accesso ai servizi se la condizione di autenticazione adattiva è vera.




Opzioni tipo sfida:




Attributo	Descrizione
Fattore secondo utente	L'utente deve autenticarsi utilizzando il secondo fattore che ha scelto o assegnato, ad esempio OTP tramite SMS Notifica PUSH OTP tramite e-mail E altri 12 metodi.
KBA (autenticazione basata sulla conoscenza)	Il sistema chiederà all'utente 2 delle 3 domande che ha configurato nella sua Self Service Console. Solo dopo aver risposto correttamente a entrambe le domande, all'utente sarà consentito di procedere ulteriormente.
OTP tramite e-mail alternativa	L'utente riceverà un OTP sull'email alternativa che ha configurato tramite Self Service Console. Una volta che l'utente fornisce l'OTP corretto, gli è consentito procedere ulteriormente.



• Scorri fino alla fine e clicca su salvare.

5. Abilitare la restrizione dei dispositivi di Office 365

• Vai su Politiche >> Politica di accesso all'app dalla barra di navigazione a sinistra.
• Fare clic su Modifica opzione per l'app selezionata.



• Imposta il nome della tua applicazione in Applicazione e seleziona la password come Metodo di accesso.
• Consentire a tutti Autenticazione adattiva.
• Dal Seleziona la politica di accesso menu a discesa, seleziona la policy creata nell'ultimo passaggio e seleziona quella richiesta metodo di restrizione come opzione.
• Clicchi Salva.





Come aggiungere un dispositivo attendibile

• Quando l'utente finale accede alla console self-service dopo aver attivato il criterio di restrizione del dispositivo, gli viene offerta la possibilità di aggiungere il dispositivo corrente come dispositivo attendibile.

1. Registra la tua organizzazione su Android Enterprise.

• Accedi alla dashboard miniOrange MDM cliccando Qui..



• Una volta effettuato l'accesso, vai a ANDROID -> Android Enterprise e cliccare su Registrati pulsante. Inizialmente dovrai registrare la tua organizzazione con Android Enterprise e questo sarà un processo una tantum.



• Clicchi Qui. per istruzioni dettagliate sulla registrazione della tua organizzazione su Android Enterprise.

2. Crea una nuova politica

• Vai su ANDROID -> Politiche nella dashboard miniOrange MDM. Qui il politica predefinita è già stato creato per te senza alcuna app del Play Store aggiunta. Puoi usare questa policy per registrare il dispositivo senza dare accesso ad alcuna applicazione.
• Clicca su Crea politica pulsante per progettare una nuova politica.



• Ora vai al Applicazione e seleziona le applicazioni Microsoft 365 specifiche che desideri installare sui dispositivi approvati.
• Ricontrolla tutte le impostazioni precedenti. Una volta fatto, clicca su Crea politica pulsante per finalizzare la policy.



• Allo stesso modo, è possibile creare più policy con diversi set di applicazioni e restrizioni che possono essere associate al dispositivo mobile in base al suo stato di approvazione, ad esempio IN ATTESA, UTENTE MFA COMPLETATO, AMMINISTRATORE APPROVATO, ecc.

3. Allega il criterio al gruppo di dispositivi

• Vai su ANDROID -> Gruppi di dispositivi, clicca su Aggiungere gruppo per creare un gruppo per i dispositivi approvati.
• Allega la policy appena creata al gruppo di dispositivi selezionato. Ciò garantirà che la policy venga applicata a tutti i dispositivi all'interno di quel gruppo.

4. Configurare le impostazioni di registrazione del dispositivo

• Vai su ANDROID -> Dispositivie fare clic su Iscriversi per creare il token di registrazione del dispositivo.



• Seleziona l'utente il cui dispositivo verrà registrato, la modalità di proprietà del dispositivo è Personale se il dispositivo è di proprietà dell'utente finale o Aziendale se il dispositivo è fornito dall'organizzazione.



• Se il dispositivo sta attraversando il flusso di verifica Utente o Amministratore come mostrato nell'immagine sopra, si consiglia di effettuare la registrazione iniziale con il gruppo predefinito e di assegnare i gruppi appropriati dopo la verifica.
• L'esempio sopra ha mostrato che il dispositivo verrà registrato con politica predefinita e inizialmente non avrà alcuna applicazione Play Store. Una volta completata la verifica dell'utente tramite il metodo MFA, il dispositivo verrà aggiunto al MFA_Completato verrà assegnato il gruppo e la policy associata.



Note:

La configurazione predefinita del metodo MFA per l'utente finale viene recuperata da miniOrange IAM dashboard e di conseguenza verrà avviato l'MFA, ad esempio OTP tramite e-mail/notifica push, ecc.



• L'opzione di iscrizione 'Su invito dell'utente' invierà i passaggi di registrazione del dispositivo tramite e-mail per l'utente selezionato. L'opzione "Da solo" mostrerà i dettagli dell'iscrizione nella stessa schermata.

5. Approvazione dell'amministratore per i dispositivi registrati

• In base alle impostazioni del token di registrazione, il dispositivo registrato verrà elencato nella dashboard. Possiamo controllare lo stato attuale del dispositivo nella colonna Device Approval, dove è elencato per l'approvazione da parte dell'amministratore, approvato, verifica MFA in sospeso, ecc.



• Dopo aver effettuato l'accesso ai dettagli dell'utente e del dispositivo, l'amministratore può fare clic su approvare pulsante per approvare e assegnare la policy appropriata al dispositivo.