帐户管理

VMware Workspace ONE Intelligence 中的帐户管理功能包括管理员基于角色的访问控制 (RBAC)、数据访问策略、设置 Microsoft Azure Active Directory 以及管理分配给管理员的系统限制。在控制台的帐户区域中找到这些功能。

什么是 RBAC？

基于角色的访问控制 (RBAC) 具有预定义的角色，您可以将其分配给管理员以访问他们使用的资源。为需要对整个环境拥有权限的管理员分配单个角色或角色组合。

Workspace ONE UEM 中的基本帐户和目录帐户

Workspace ONE Intelligence 可从多个系统获取用户数据，Workspace ONE UEM 便是其中一个。RBAC 支持从 Workspace ONE UEM 为基本用户和基于目录的用户添加管理员。

  • 基本用户是不通过身份服务进行管理的单个帐户。这些用户不需要企业基础架构。这些凭据仅存在于 Workspace ONE UEM 中，且不具有联合安全性。
  • 基于目录的用户在身份服务中进行管理，并被提取到 Workspace ONE UEM 中。这些用户使用其目录凭据来访问资源，对其帐户所做的任何更改都将与 Workspace ONE UEM 同步。

使用管理员组的 Azure Active Directory (AD)

要将 Azure AD 管理员组与 RBAC 结合使用，您必须授权 Workspace ONE Intelligence 使用 Microsoft Graph API 访问公共 Azure AD 环境。

Workspace ONE Intelligence 存储来自 Azure 的最少信息，例如用户的名字和姓氏、用户的联系电子邮件地址或其附属组。集成不包括定期同步计划或轮询操作，而是在用户访问 Workspace ONE Intelligence 时验证信息。

现有用户和 RBAC 超级管理员

系统将为引入 RBAC 之前具有访问权限的当前 Workspace ONE Intelligence 用户分配所有角色。分配了所有角色的管理员称为超级管理员。RBAC 不为超级管理员提供单个角色。

设置过程

要设置 RBAC，请在帐户 > 管理员中配置多个组件。

  • 授权 Workspace ONE Intelligence 使用设置向导连接到 Azure AD 系统。
  • 添加和编辑管理员。

编辑 RBAC 权限

当您在 Workspace ONE Intelligence 中修改 RBAC 权限时，系统会向 RBAC 用户发送帐户角色已修改电子邮件。通知列出了更改权限的人员以及更改的权限。

转移仪表板和报告的所有权

您可以与其他Workspace ONE Intelligence用户共享仪表板和报告。对象的所有者（仪表板或报告）指定为具有完全访问权限，而共享该对象的用户指定为具有可以查看（只读）或可以编辑访问权限（读写）。作为共享功能的扩展，具有管理员角色的管理员也可以转移仪表板和报告的所有权。管理员离开您的组织后，此功能非常有用，因为其 Workspace ONE Intelligence 对象不再具有活动管理员来管理这些对象。要将这些对象分配给活动管理员，管理员可以找到无所有者对象并对其进行重新分配。

从 Workspace ONE UEM 添加管理员

要在 Workspace ONE Intelligence 中为基于角色的访问控制 (RBAC) 添加在 Workspace ONE UEM 中管理的基本管理员和基于目录的管理员，请将设置配置为允许管理员从 Workspace ONE UEM 访问 Workspace ONE Intelligence。

此过程包括 Workspace ONE UEM 中的配置。您可以在 Workspace ONE UEM 中添加或编辑管理员，并为其分配 Intelligence Admin 角色。您可以在 VMware Cloud 服务中对管理员角色和权限进行管理。

新的 RBAC 管理员必须登录到 Workspace ONE Intelligence 控制台，使用请求访问通知过程请求访问权限。系统会通过电子邮件向您发送他们的请求，电子邮件将提示您在 Workspace ONE Intelligence 中授予权限并配置 RBAC 帐户。

注意：您可以通过 VMware Cloud 服务编辑 Workspace ONE Intelligence 的管理员角色和权限。有关详细信息，请参见身份和访问管理。

过程

  1. 在 Workspace ONE UEM console 中，为管理员添加用于访问 Workspace ONE Intelligence 的角色。
    1. 选择组织组。
    2. 转到帐户 > 管理员 > 角色 > 添加角色。
    3. 输入名称和描述，以便在列表视图中查找角色。Intelligence Admin - Grants basic admins access to the WS1 Intelligence console.
    4. 在搜索资源文本框中，输入“Intelligence”以显示 Intelligence 角色。此角色位于类别 > 监控 > Intelligence 中。
    5. 向管理员授予读取和编辑权限。现在可以在 Workspace ONE UEM 中将 Intelligence Admin 角色分配给管理员。
  2. 在 Workspace ONE UEM console 中，添加管理员并为其分配 Intelligence 角色。
    • 转到帐户 > 管理员 > 列表视图 > 添加 > 添加管理员。
    • 选择基本选项卡，为用户类型设置选择基本或目录。
      • 基本 - 在基本选项卡上输入所需的设置，包括用户名、密码、名字和姓氏。您可以启用双因素身份验证，然后可以在电子邮件和短信传递方式和以分钟为单位的令牌到期时间之间进行选择。您还可以选择通知选项，在“无”、“电子邮件”和“短信”之间进行选择。管理员会收到自动生成的回复。
      • 目录 - 输入管理员的目录凭据的域和用户名。
    • 选择角色选项卡，选择“组织组”，然后输入之前添加的角色 Intelligence Admin。
  3. 让管理员登录到 Workspace ONE Intelligence 并完成请求访问过程。通过在受限访问页面上选择请求访问按钮，系统会向处于活动状态并且在控制台中具有管理员角色的 10 个管理员发送电子邮件通知，以批准进入。如果用户已请求访问并选择请求访问，则控制台会提示他们以前的请求，但允许他们发送另一个请求。
  4. 请检查您的电子邮件中是否有管理员访问请求通知。

从 Azure AD 添加管理员和管理员组

要在 Workspace ONE Intelligence 中为基于角色的访问控制 (RBAC) 添加来自 Azure Active Directory (AC) 的管理员和管理员组，请将设置配置为允许管理员从 Workspace ONE UEM 访问 Workspace ONE Intelligence。

必备条件

您必须授权 Workspace ONE Intelligence 与您的 Azure AD 环境连接。

过程

  1. 在 Workspace ONE Intelligence 中，转到帐户 > 管理员。除非您已配置与 Azure AD 的集成，否则不会显示添加菜单项。
  2. 在添加管理员页面上，在用户文本框中输入管理员的名称，然后从列表中选择该名称。如果要添加 Azure AD 管理员组，系统将导航到添加管理员组页面。在组文本框中输入管理员组的名称。
  3. 选择适用的权限并保存管理员帐户。添加的管理员显示为未知(未登录)，因为系统不会从 Azure 中提取此数据。管理员登录到 Workspace ONE Intelligence 后，此显示将得以解析。
  4. 让管理员登录 Workspace ONE Intelligence。此登录步骤可将管理员的用户名从未知（未登录）解析为已配置的用户名。

RBAC 角色描述

基于角色的访问控制 (RBAC) 包括职衔为分析员、审核员、管理员和自动化人员的管理员。每个角色都有特定权限，可以快速分配对 Workspace ONE Intelligence 功能的访问权限。

要创建超级管理员，请将所有角色分配给管理员帐户。Workspace ONE Intelligence 不为超级管理员提供单独的单个角色。

  • 管理员 - 管理员可以创建身份和访问管理、管理员和集成。
    • 见解权限 - 读取
    • 设置权限 - 创建、更新和删除
  • 分析师 - 分析师可以创建、处理和删除自己的对象，还可以处理其他对象，具体取决于其权限。他们无法在设置或工作流中工作。
    • 见解权限 - 读取
    • 仪表板权限 - 创建、更新和删除
    • 报告权限 - 创建、更新和删除
  • 审核员 - 审核员可以查看出于审核目的而创建的其他管理员。他们对所有内容以及创建的所有内容具有读取访问权限。如果您的审核员也需要编辑对象，请向该帐户添加其他角色之一。
    • 见解权限 - 读取
    • 仪表板权限 - 读取
    • 报告权限 - 读取
    • 工作流权限 - 读取
    • 设置权限 - 读取
  • 自动化人员 - 自动化人员可以创建、处理和删除自动化。他们还可以在设置中配置自动化中使用的集成。限制其他管理员创建自动化有助于控制自动化对端点产生的重大影响。它还有助于避免创建的自动化重叠或相冲突。
    • 见解权限 - 读取
    • 工作流权限 - 创建、更新和删除
    • 集成权限 - 创建、更新和删除

什么是数据访问策略？

Workspace ONE Intelligence 中的数据访问策略控制用户（尤其是分析师）在仪表板和报告中查看的数据。为了控制访问，Workspace ONE Intelligence 使用在 VMware Workspace ONE UEM 中配置的组织组。如果您不希望分析师查看组织组中的数据，请使用 DAP 限制他们加入该组，方法是授予他们访问所需组织组下的组的权限。

数据访问策略位于哪里？

在控制台的帐户 > 数据访问策略中查找数据访问策略。在 Workspace ONE Intelligence 的“帐户”区域中查找数据访问策略

DAP 和调度报告

当您的 Intelligence 环境使用 DAP，并且您的报告按计划运行时，报告下载机制会添加某些步骤以适应 DAP。对于按计划运行的报告，请考虑此行为，因为用户在手动生成此报告之前不会收到该报告。

注意：如果您拥有报告，则不必手动生成报告以在激活了 DAP 的租户中下载它。此外，分配了与报告所有者相同的 DAP 的用户也不需要生成报告。

  • 如果报告按计划运行，并且您已在 Intelligence 中激活 DAP，则所有用户（无论其 RBAC 权限如何）必须先生成调度报告，然后才能下载这些报告。您可以在控制台中生成报告。
    1. 在 Workspace ONE Intelligence 中，转到工作区 > 报告。
    2. 选择所需的报告，然后选择下载选项卡。
    3. 找到报告的所需日期/时间，然后在操作列中选择生成。请注意，此日期/时间版本的报告在状态列中具有挂起完成。生成操作完成后，状态将更改为已完成。
    4. 生成报告后，在操作列中为报告的所需日期/时间版本选择下载。
      生成报告后，在“操作”列中选择“下载”。
  • 如果您共享按计划运行的报告，并且已在 Intelligence 中激活了 DAP，则与您共享报告的用户必须先生成报告，然后才能下载该报告。
    • 配置共享后，系统会向与您共享报告的用户发送电子邮件。电子邮件提供了报告的下载链接。但是，如果激活了 DAP，用户会收到两封电子邮件。
      • 第一封电子邮件要求用户生成报告。用户必须先在控制台中生成报告，然后才能下载该报告。
      • 第二封电子邮件为用户提供报告下载。
    • 如果您与之共享报告的用户是分析师，则这些用户与其他用户一样，必须先生成报告，然后才能下载该报告。下载报告时，他们只能查看 DAP 设置允许的 Workspace ONE UEM 数据。

DAP、调度报告和 Download Report API

使用 DAP 并使用 Download Report API 提取已调度报告下载的 Intelligence 环境必须满足列出要求。符合列出的要求可确保 Download Report API 调用成功运行。如果报告未按计划运行，则无需满足这些要求。

DAP 和报告公共链接共享功能

使用 DAP 的 Intelligence 环境要求您在控制台中生成公开共享报告，然后用户才能使用公共链接下载该报告。如果不手动生成报告，公共链接将显示为 N/A 而不是下载。

  1. 在 Workspace ONE Intelligence 中，转到 Workspace > 报告，然后打开要共享公共链接的报告。
  2. 在概览选项卡上，选择共享。
  3. 激活公共链接共享菜单项，然后保存设置。激活公共链接共享菜单项以获取链接，以便为组织外部的人员提供链接，以允许他们访问报告。
  4. 选择报告的下载选项卡。
  5. 找到报告的所需日期/时间，然后在操作列中选择生成。

生成操作完成后，公共链接显示为下载而不是 N/A。

其他 DAP 注意事项

  • 仅适用于分析师 - 要分配给数据访问策略的用户必须具有 RBAC 分析师权限，并且仅具有该权限。这些用户不能具有其他 RBAC 权限。
  • 激活是即时的 - 激活第一个数据访问策略后，仅具有分析师权限且未分配给数据访问策略的用户在 Workspace ONE Intelligence 中无法看到 Workspace ONE UEM 数据。要确保您的分析师继续查看数据，请将其分配给策略。
  • 按组织组控制访问或允许所有访问
    • 您可以通过将分析师用户的访问权限分配给限制性数据访问策略来限制用户对 Workspace ONE UEM 数据的访问。Workspace ONE Intelligence 使用 Workspace ONE UEM 组织组控制数据。要限制分析师用户的数据集，请将其分配给使用适用组织组配置的数据访问策略。有关 Workspace ONE UEM 中组织组的详细信息，请访问主题组织组。
    • 如果您不希望限制分析师用户对 Workspace ONE UEM 数据的访问权限，请将其分配给配置为允许所有访问的数据访问策略。
  • 分配给单个策略 - 为避免意外限制或允许访问数据，请为单个策略分配分析师用户。请勿将分析师用户分配给多个数据访问策略。
  • 共享对象和对象预览 - 数据访问策略适用于对象中的查询，当您共享对象时，您可以共享这些查询。
    • 共享对象时，请考虑此行为。
    • 您可能会与分配有数据访问策略的用户共享对象，该策略限制他们无法在仪表板或报告预览中查看所有数据。
    • 此行为适用于预览版，而不适用于实际生成用户对数据的访问权限。
  • 数据访问策略需要与 Workspace ONE UEM 集成 - 您可以使用 Workspace ONE UEM 组织组层次结构来配置数据访问策略和控制数据访问。
  • 有限的 UEM 数据集 - 数据访问策略适用于有限的一组数据，而不适用于 Workspace ONE UEM 中的所有数据集。
  • 仪表板和报告 - 数据访问策略控制在仪表板和报告中显示的数据。
  • RBAC 管理员创建和管理 - 您必须具有 RBAC 管理员权限才能创建和分配数据访问策略。

如何创建第一个数据访问策略？

要开始使用数据访问策略，请使用帐户区域。

  1. 在 Workspace ONE Intelligence 中，转到帐户 > 数据访问策略 > 添加。您必须至少添加一个策略才能开始使用该功能。
  2. 在添加数据访问策略窗口中选择数据类别。
    • 所有访问：分配了此策略的用户可以查看所有 Workspace ONE UEM 数据。
    • Workspace ONE UEM 组织组：分配了此策略的用户可以在所选组织组级别查看在 Workspace ONE UEM 中管理的数据。
    • 在组织组层次结构菜单项中选择组。
  3. 在用户区域中选择用户。这些用户只能具有分析师角色，以便查看仪表板和报告中显示的适用数据。
  4. 查看摘要并保存您的策略。Workspace ONE Intelligence 会在数据访问策略列表视图中列出策略。
  5. 当您准备好控制已分配用户的数据访问权限时，请激活策略激活。

如何将策略分配给未分配的分析师？

为确保您的管理员能够继续访问数据，您可以通过活动用户筛选器在管理员页面上筛选用户，并为每个管理员仅分配数据访问策略的分析师权限。

  1. 在 Workspace ONE Intelligence 中，转到帐户 > 管理员。
  2. 选择活动用户筛选器。
  3. 查找仅具有分析师角色且未在数据访问策略列中列出任何策略的管理员。
  4. 选择用户，然后选择编辑。
  5. 选择分配数据访问策略。
  6. 选择要分配给分析师的数据访问策略，然后单击添加。

Microsoft Azure Active Directory 设置

要在基于角色的访问控制 (RBAC) 功能中使用 Azure Active Directory (AD) 组，请授权 Workspace ONE Intelligence 与您的 Azure AD 环境连接。

Workspace ONE Intelligence 使用 Microsoft Graph API 与 Azure 环境进行通信。

必备条件

您必须具有配置公共 Azure AD 帐户的权限。使用 Azure AD 管理员帐户凭据进行注册。如果您没有设置 Azure AD 的管理员权限，请让 Azure AD 管理员向 Workspace ONE Intelligence 注册您的环境。

过程

  1. 在 Workspace ONE Intelligence 中，转到帐户 > 管理员 > 设置 Azure Active Directory > 入门。
  2. 在 Microsoft Azure Active Directory 卡上选择设置。
    系统会将您定向到您组织的 Microsoft 区域。如果您具有 Azure AD 管理员权限，系统将提示您输入 Azure AD 凭据。
  3. 在 Microsoft 窗口中选择接受，向 Workspace ONE Intelligence 授予访问 Azure 中的数据的权限。如果系统接受权限，则 Microsoft Azure Active Directory 集成将显示为状态：已授权。
    • 授予登录到 Azure 以及在其中读取用户配置文件的权限。
    • 授予读取 Azure 中所有组的权限。
    • 授予读取 Azure 中所有用户的完整配置文件的权限。

结果

在 Workspace ONE Intelligence 中添加管理员或组时，您可以从 Azure Active Directory 环境中的用户和组进行选择。

系统限制

Workspace ONE Intelligence限制管理员可以创建的对象数量。要了解您的环境是否即将达到这些限制，请使用系统限制页面。在此页面中，您可以查看管理员在环境中创建的对象数量，并且可以在其中更改设置的限制（如果需要）。

导航

在控制台的帐户 > 系统限制中找到系统限制。

页面上显示什么？

系统限制页面显示环境中最高组织组的衡量指标（客户租户级别），并显示部署中其他租户级别的各个用户的衡量指标。查找包含以下项目的已创建对象的衡量指标。- 自定义仪表板（数据可视化对象）- 自定义报告（报告对象）- 自定义自动化（面向操作的对象）

Workspace ONE Intelligence 中的“系统限制”页面，其中描述了自动化、自定义报告和自定义仪表板限制。

UI 顶部的卡片报告所有组织组（所有租户级别）的总值。

  • 自动化 - 此卡仅显示活动自动化的数据，不包括已创建且处于非活动状态的自动化。
  • 自定义报告 - 此卡显示所有已创建和已保存报告的数量。
  • 自定义仪表板 - 此卡显示所有已创建和已保存仪表板的数量。

对象是否受欢迎并与其他管理员共享？

客户租户级别卡下方的自动化、自定义报告和自定义仪表板标签页列出了特定于用户的数据。这些选项卡列出了所有管理员及其创建的自动化、自定义报告和自定义仪表板的相应计数。使用选项卡查看对象是否已共享以及与谁共享。了解某个对象是否已共享表明其很受欢迎。使用此数据决定是保留常用对象还是删除不常用的对象以便为其他对象腾出空间。

RBAC 权限指示可用操作

超级管理员、管理员和版主可以查看“系统限制”页面，但超级管理员可以在此页面上执行操作。

超级管理员（具有所有 RBAC 权限的管理员）可以在客户租户级别查看和设置限制。他们具有此可见性，因此可以监控数据访问、处理增加限制的请求以及更改限制值。在系统限制页面上，超级管理员可以执行各种操作来管理部署。- 超级管理员可以监控和控制哪些管理员可以创建对象。- 他们可以在租户级别为所有管理员使用设置默认用户限制功能。
此菜单选项使超级管理员能够根据需要向每个管理员或管理员区域分配偶数个对象。- 他们可以处理增加任何对象限制的请求。- 他们可以查看各个管理对象。- 搜索离开公司的用户，以查看他们拥有多少个创建的对象。- 转让这些对象的所有权或将其删除，以允许将这些未使用的对象分配给其他管理员。- 他们可以使用已停用的用户筛选器筛选整个管理员列表，以查看哪些未完成的对象需要转让所有权。

check-circle-line exclamation-circle-line close-line
Scroll to top icon