Grupos organizativos

Entienda los grupos organizativos como ramas individuales de un árbol genealógico, en el que cada hoja es un usuario de dispositivo. Workspace ONE UEM basado en AirWatch identifica cada hoja y establece su posición en el árbol genealógico mediante grupos organizativos (GO). La mayoría de los clientes hacen que los árboles de GO reflejen la jerarquía corporativa: Ejecutivos, Administración, Operaciones, Ventas, etc.

También puede establecer GO basados en funciones y contenido de Workspace ONE UEM.

Puede acceder a los grupos organizativos si accede a Grupos y ajustes > Grupos > Grupos organizativos > Vista de lista o a través del menú desplegable del grupo organizativo.

• Cree grupos para las entidades de su organización (Administración, Asalariados, Por horas, Ventas, Minoristas, Recursos humanos, Ejecutivos, etc.).
• Personalice las jerarquías con niveles principales y secundarios (por ejemplo, "Asalariados" y "Por horas" como elementos secundarios de "Administración").
• Integre con varias infraestructuras internas en cada nivel.
• Delegue el acceso basado en roles y la administración basada en una estructura jerárquica.

Aviso: La Vista de lista de los grupos organizativos define como "Dispositivos activos" solo aquellos dispositivos que se han notificado a Workspace ONE UEM Console dentro del período de 8 horas anterior.

Características de los grupos organizativos

Los grupos organizativos tienen capacidad para admitir entidades funcionales, geográficas y organizacionales, además de permitir una solución de estructura jerárquica.

• Escalabilidad: soporte flexible para el crecimiento exponencial.
• Multiempresa: creación de grupos que funcionan como entornos independientes.
• Herencia: simplificación del proceso de configuración al asignar que los grupos secundarios hereden las configuraciones de los grupos primarios.

Como se ve en el ejemplo del menú desplegable de grupo organizativo, se pueden configurar perfiles, funciones y aplicaciones y otros ajustes de MDM en el nivel Empresas globales.

Los ajustes se heredan a los grupos organizativos secundarios, tales como Asia Pacífico y EMEA, o incluso en niveles inferiores de la jerarquía, como Asia Pacífico > División de fabricación o Asia Pacífico > División de operaciones > Corporativo.

Los ajustes entre grupos organizativos del mismo nivel como Asia Pacífico y EMEA aprovechan la naturaleza de estructura jerárquica de estos grupos, todo ello manteniendo los ajustes independientes los unos de los otros. Sin embargo, estos dos grupos organizativos del mismo nivel heredan los ajustes de los grupos primarios, Empresas Exportaciones Iberoamérica.

También puede reemplazar los ajustes en un nivel inferior y modificar solo aquellos que desee cambiar o mantener. Puede cambiar esos ajustes o transferirlos a cualquier nivel inferior.

Consideraciones para la configuración de los grupos organizativos

Antes de configurar la jerarquía de grupos organizativos (GO) en Workspace ONE UEM Console, debe diseñar la estructura de los grupos. La estructura de los grupos le permite aprovechar al máximo los ajustes, aplicaciones y recursos.

• Administración delegada: puede delegar la administración de grupos secundarios a los administradores de un nivel inferior mediante la restricción de su visibilidad a un grupo organizativo inferior.

• Los administradores corporativos pueden acceder y ver todo el entorno.
• El administrador de Los Ángeles tiene acceso al grupo organizativo de Los Ángeles y solo puede administrar estos dispositivos.
• El administrador de Nueva York tiene acceso al GO de Nueva York y solo puede administrar estos dispositivos.
• Ajustes del sistema: los ajustes se aplican a niveles diferentes en el árbol de grupos organizativos y heredarse en los niveles inferiores. También pueden remplazarse en cualquier nivel. Los ajustes incluyen opciones de inscripción de dispositivos, métodos de autenticación, configuración de privacidad y personalización de marca.

• La compañía en general establece la inscripción con el servidor de Active Directory de la compañía.
• Los controladores de dispositivos anulan la autenticación primaria y permiten el uso de inscripción basada en token.
• Los dispositivos de almacén heredan los ajustes de AD desde el grupo principal.
• Escenario de uso del dispositivo: un perfil puede asignarse a uno o varios grupos organizativos. Los dispositivos de esos grupos podrán recibir ese perfil. Consulte la sección Perfiles para obtener más información. Contemple la posibilidad de configurar los dispositivos usando los ajustes de perfil, aplicación y contenido de acuerdo con atributos tales como la marca del dispositivo, el modelo, el tipo de propiedad o los grupos de usuarios antes de crear los grupos organizativos.

• Los dispositivos ejecutivos no pueden instalar aplicaciones ni tener acceso a la red Wi-Fi del equipo de ventas.
• Los dispositivos de ventas pueden instalar aplicaciones y tener acceso a la VPN.

Cambiar grupos organizativos

Puede cambiar los grupos organizativos seleccionando el indicador de grupo organizativo en la parte superior derecha de la pantalla.

Cuando se selecciona, un menú desplegable muestra la jerarquía del grupo organizativo, lo que le permite cambiar a otro grupo organizativo.

Cómo comparar los grupos organizativos

Puede comparar los ajustes de un grupo organizativo con los de otro para mitigar los problemas relacionados con la migración de la versión. La función de comparación de grupos organizativos solo está disponible para los clientes en la sede.

Puede realizar las siguientes tareas cuando compare los ajustes de GO.

• Cargar archivos XML que contengan los ajustes del GO de diferentes versiones del software de Workspace ONE UEM.
• Eliminar la posibilidad de que una diferencia en la configuración cause problemas durante la migración de una versión.
• Filtrar los resultados de la comparación para mostrar solo los ajustes que desea comparar.
• Buscar un ajuste concreto por su nombre con la función de búsqueda.

Un ejemplo de un escenario de migración de la versión es que cuando un servidor de pruebas de aceptación de usuario (UAT) se ha actualizado, configurado y probado, puede comparar directamente los ajustes de UAT con los ajustes de producción.

1. Vaya a Grupos y ajustes > Todos los ajustes > Administrador > Administración de ajustes > Comparación de ajustes.
2. Seleccione un GO del entorno en el menú desplegable que está a la izquierda (que está marcado con un 1). O bien cargue el archivo de ajustes XML mediante la selección del botón Cargar y elija un archivo XML de ajustes de GO que se haya exportado.
3. Seleccione el GO con el que desea realizar la comparación en el menú desplegable de la derecha (que está marcado con un 2).
4. Visualice una lista con todos los ajustes de ambos grupos organizativos seleccionados. Para ello, seleccione el botón Actualizar.
   • Las diferencias entre los dos conjuntos de ajustes del GO se marcan.
   • También tiene la opción de marcar la casilla de verificación Mostrar solo las diferencias. La casilla solo muestra los ajustes que se aplican a un GO, no al otro.
   • Los ajustes individuales que estén en blanco (o sin especificar) se muestran en la lista comparativa como "NULL".

Cómo crear grupos organizativos

Deberá crear un grupo organizativo (GO) para cada entidad de la empresa en la que haya dispositivos implementados. Debe saber que el GO en el que se encuentra actualmente será el GO principal del GO secundario que está a punto de crear.

1. Vaya a Grupos y ajustes > Grupos > Grupos organizativos > Detalles.

2. Seleccione la pestaña Agregar grupo organizativo secundario y realice los siguientes ajustes.

   Ajustes	Descripción
   Nombre	Introduzca el nombre del grupo organizativo (GO) secundario que se mostrará. Utilice únicamente caracteres alfanuméricos. No utilice caracteres especiales.
   ID del grupo	Los usuarios finales utilizan este identificador de GO obligatorio durante el inicio de sesión del dispositivo y durante la inscripción de dispositivos de grupo en el GO pertinente. Asegúrese de que los usuarios que comparten dispositivos reciban el ID de grupo, ya que es posible que lo necesiten para iniciar sesión en función de la configuración del dispositivo compartido. Si no está en un entorno local, el ID de grupo identifica el grupo organizativo en todo el entorno de SaaS compartido. Por este motivo, todos los ID de grupo deben ser exclusivos.
   Tipo	Seleccione el tipo de grupo organizativo preconfigurado que refleje la categoría del grupo organizativo secundario.
   País	Seleccione el país del GO.
   Región	Seleccione la clasificación del idioma del país seleccionado.
   Industria del cliente	Este ajuste solo está disponible cuando en Tipo se ha especificado como Cliente. Selecciónelo en la lista de industrias de clientes.
   Zona horaria	Seleccione la zona horaria para la ubicación del GO.

3. Seleccione Guardar.

Eliminar un grupo organizativo

Puede eliminar un grupo organizativo (GO) siempre que no contenga grupos secundarios del grupo organizativo, ni dispositivos en ninguna sección de su línea descendente.

1. Desplácese hasta el grupo organizativo que desea eliminar y selecciónelo en el menú desplegable del grupo organizativo.

   

2. Vaya a Grupos y ajustes > Grupos > Grupos organizativos > Detalles.

3. En la parte inferior de la pantalla Detalles, revise los recuentos de Dispositivos en el grupo organizativo y de Grupos organizativos secundarios. Si alguna de las entradas no es cero, no podrá eliminar el grupo organizativo y el botón Eliminar no estará disponible.

   Debe mover todos los dispositivos de este grupo organizativo a otro grupo organizativo. Cualquier grupo organizativo secundario que desee eliminar tampoco debe contener ningún dispositivo antes de poder eliminarlo.

4. Una vez que los recuentos de Dispositivos en el grupo organizativo y Grupos organizativos secundarios sean ambos cero, puede continuar con la eliminación del grupo organizativo.

5. Seleccione el botón Eliminar.
6. La pantalla Acción restringida: eliminar grupo organizativo muestra y proporciona advertencias sobre los preparativos que debe realizar antes de eliminar el grupo organizativo.
7. Antes de poder continuar con la eliminación, debe introducir el PIN de seguridad de cuatro dígitos que seleccionó al inscribirse como administrador de UEM. Restablezca este PIN seleccionando el vínculo ¿Ha olvidado el PIN de seguridad?.

Identificar el ID de grupo de cualquier grupo organizativo

Puede realizar los siguientes pasos para identificar el ID de grupo de cualquier grupo organizativo (GO).

1. Desplácese hasta el grupo organizativo que desea identificar y selecciónelo en el menú desplegable del grupo organizativo.

   

2. Coloque el puntero sobre la etiqueta del GO. Un menú emergente muestra el nombre y el ID de grupo del grupo organizativo seleccionado actualmente.

Herencia, multiempresa y autenticación

El concepto de la anulación de ajustes en un grupo organizativo, cuando se combina con características de grupo organizativo (GO) como la herencia y la multiempresa, puede combinarse además con la autenticación. Esta combinación proporciona una configuración flexible.

El siguiente modelo de grupo organizativo demuestra dicha flexibilidad.

En este modelo, los Administradores, normalmente en posesión de permisos y funcionalidad superiores, se sitúan en la parte superior de esta rama de GO. Estos administradores inician sesión en su GO mediante SAML, que es de uso exclusivo para los administradores.

Los Usuarios corporativos están subordinados a los administradores, de modo que su grupo organizativo queda organizado como su elemento secundario. Dado que son usuarios y no administradores, la configuración de SAML para el inicio de sesión no puede heredar la configuración de administrador. Por lo tanto, se anula el ajuste de SAML de los usuarios corporativos.

Los usuarios de BYOD son diferentes de los usuarios corporativos. Los dispositivos que utilizan los usuarios de BYOD pertenecen a los propios usuarios y es probable que contengan más información personal. Por lo tanto, estos perfiles de dispositivo pueden requerir una configuración ligeramente distinta. Los usuarios de BYOD pueden contar con un acuerdo de términos de uso diferente. Es posible que los dispositivos de BYOD necesiten parámetros de eliminación empresarial diferentes. Por estas y otras razones, es lógico que los usuarios de BYOD inicien sesión en un GO distinto.

Considerar a los usuarios de BYOD como elemento secundario de los usuarios corporativos conlleva una serie de ventajas, aunque los primeros no estén subordinados a los usuarios corporativos en un sentido jerárquico dentro de la empresa. Esta organización significa que los usuarios de BYOD heredan configuraciones aplicables a TODOS los dispositivos de usuario corporativos asignándolos al GO de usuarios de la empresa.

La herencia también afecta a los ajustes de autenticación mediante SAML. Dado que los usuarios de BYOD son un elemento secundario de los usuarios corporativos, los usuarios de BYOD heredan su SAML para los ajustes de autenticación.

Otro modelo es convertir a los usuarios de BYOD en elemento del mismo nivel que los usuarios corporativos.

Con este modelo alternativo, se cumpliría lo siguiente.

• Todos los perfiles de dispositivo creados para aplicarse globalmente en TODOS los dispositivos, incluidas las políticas de conformidad y otros ajustes de dispositivo globalmente aplicables, se aplican a dos grupos organizativos en lugar de uno. El motivo de esta duplicación se debe a que la herencia de los usuarios corporativos a los usuarios de BYOD ya no es un factor en este modelo. Los usuarios corporativos y los usuarios de BYOD son elementos del mismo nivel y, por lo tanto, no existe herencia.
• Se debe aplicar otra anulación SAML a los usuarios de BYOD. Esta anulación es necesaria porque el sistema supone que hereda configuraciones de SAML de su elemento principal: los administradores. Esta suposición es un error, ya que los usuarios de BYOD no son administradores y no tienen los mismos derechos de acceso y permisos.
• Los usuarios de BYOD siguen considerándose distintos de los usuarios corporativos. Este modelo alternativo significa que siguen contando con su propia configuración de perfil de dispositivo.

¿Cómo saber qué modelo es el mejor? Compare la cantidad de configuraciones de dispositivo globalmente aplicables con la cantidad de configuraciones de dispositivo para los grupos. Básicamente, si, en general, desea considerar todos los dispositivos por igual, evalúe la opción de convertir a los usuarios de BYOD en elemento secundario de los usuarios corporativos. Si le interesa más contar con configuraciones independientes, evalúe la opción de convertir a los usuarios de BYOD en elemento del mismo nivel que los usuarios corporativos.

Restricciones del grupo organizativo

Si trata de configurar un ajuste limitado para el grupo organizativo (GO), las páginas de ajustes disponibles en Grupos y ajustes > Todos los ajustes le informarán acerca del límite.

Las siguientes restricciones aplican a la creación de grupos organizativos de tipo cliente.

• Tanto si se trata de un entorno de software como servicio (SaaS) o local, no se pueden crear GO de cliente anidados.

Funciones y personalizaciones del tipo de grupo organizativo

El tipo de grupo organizativo puede afectar los ajustes que los administradores podrán configurar.

• Global: el grupo organizativo de nivel más elevado. Normalmente, este grupo se denomina Global y es de tipo global.
  • En entornos alojados de SaaS, no es posible acceder a este grupo.
  • En las instalaciones, los clientes pueden activar un nivel de registro Detallado.
• Cliente – el grupo organizativo de nivel superior para cada cliente.
  • Un grupo organizativo de clientes no puede tener grupos organizativos primarios y secundarios de tipo cliente.
  • Los flujos de trabajo esenciales solo pueden producirse dentro de un GO de tipo Cliente o dentro de su jerarquía. Estos flujos de trabajo incluyen agregar un dispositivo, registrar e inscribir un dispositivo, asignar grupos de usuarios, crear y asignar grupos inteligentes, cambiar el GO de un dispositivo (o mover un dispositivo de un GO a otro) y retirar el dispositivo.
  • Algunos ajustes solo pueden configurarse en un grupo de clientes. Estos ajustes se filtran a los GO de tipo contenedor inferiores.
    • Dominios de correo electrónico de detección automática
    • Ajustes del programa de inscripción de dispositivos (antes de AirWatch 8.0)
    • Contenido personal
    • El VPP (programa de compras por volumen) de Apple debe estar habilitado en el GO principal del cliente para que la funcionalidad del VPP funcione en los GO de tipo contenedor secundarios.
    • Samsung Enterprise FOTA
    • Paquetes de Hub
    • Atributos personalizados
    • Servidor de retransmisión
    • Intelligence
    • Sensores
    • Protección contra el análisis y la eliminación de aplicaciones
    • CDN (Content Delivery Network) para la entrega de aplicaciones
    • El almacenamiento NFS para la administración de contenido se podrá configurar
    • Servicios de Workspace One Hub
    • Acceso condicional
    • MAG (Mobile Access Gateway)
    • LBUS (Local Basic User Sync)
    • Dynamic Environment Manager
    • Flujos de trabajo móviles
• Contenedor: el tipo predeterminado de grupo organizativo.
  • Todos los grupos organizativos por debajo de un grupo organizativo de clientes deben ser de tipo contenedor. Puede tener contenedores entre los grupos de socios y clientes.
• Socio: grupo organizativo de nivel superior para los socios (distribuidores externos de Workspace ONE UEM).
• Cliente potencial: los clientes potenciales. Similar a un grupo organizativo de clientes y puede tener menos funcionalidad que un verdadero grupo de clientes.

Hay otros tipos de grupos organizativos, por ejemplo, de división y región, y dispone de la capacidad de definir su propio tipo de grupo organizativo.

Agregar tipo de grupo organizativo

Puede agregar tipos de grupos organizativos personalizados. Estos tipos no tienen ninguna característica especial y funcionan de forma idéntica al grupo organizativo de tipo contenedor.

Para crear su propio tipo de GO…

1. Vaya a Grupos y ajustes > Grupos > Grupos organizativos > Tipos y, a continuación, seleccione el botón Agregar tipo de grupo organizativo.
2. Introduzca el Nombre que desee para el tipo de grupo organizativo y su Descripción.
3. Seleccione Guardar.

Razones por las que no debería inscribir dispositivos en Global

Existen varias razones por las que no es buena idea inscribir dispositivos directamente en el grupo organizativo (GO) de nivel superior, comúnmente conocido como Global. Estas razones son la arquitectura multiempresa, la herencia y la funcionalidad.

Arquitectura multiempresa

Puede crear todos los grupos organizativos que necesite y configurar cada uno de ellos de forma independiente con respecto al resto. Los ajustes que aplique a un GO secundario no afectarán a otros elementos del mismo nivel.

Herencia

Los cambios realizados en un GO primario se aplican a los elementos secundarios. A la inversa, los cambios realizados en un GO secundario no se aplican a los elementos primarios ni del mismo nivel.

Funcionalidad

Existen ajustes y funcionalidades que solo pueden configurarse en grupos organizativos de tipo Cliente. Entre ellos se incluyen protección contra eliminaciones, Telecom y contenido personal. Los dispositivos añadidos directamente al grupo organizativo global del nivel más alto se excluyen de estos ajustes y esta funcionalidad.

El grupo organizativo (GO) Global está diseñado para albergar a Cliente y otros tipos de GO. Dada la forma en la que funciona la herencia, si agrega servicios a Global y configura Global con ajustes que afectarán a estos dispositivos, también resultarán afectados todos los GO de Cliente inferiores. Esto reduce las ventajas de la estructura jerárquica y la herencia.

Reemplazar frente a Heredar para los grupos organizativos

La jerarquía de la estructura del grupo organizativo (GO) que cree determina qué grupos organizativos son elementos secundarios y cuáles son principales. Los GO secundarios heredan la configuración del grupo primario, pero pueden optar por reemplazar esta herencia.

Cada página de ajustes del sistema aplica sus ajustes según dos tipos de opciones de herencia o reemplazo en lo que concierne a la jerarquía de grupos organizativos: 1) Ajuste actual y 2) Permiso del grupo secundario. El GO al que aplica la configuración es el GO en el que se encuentra actualmente.

En otras palabras, si se encuentran en GO Empleados\Almacén, los cambios que realice en la configuración se aplicarán a ese GO y a todos los GO que sean secundarios del GO Almacén.

Por ejemplo, la página de ajustes Marca a la que se llega al navegar a Grupos y ajustes > Todos los ajustes > Sistema > Marca controla todas las imágenes de fondo, los logotipos y las combinaciones de colores personalizados del GO que aparecen en el menú desplegable visible del grupo organizativo.

Al aplicar nuestro ejemplo anterior, puede importar una nueva imagen de fondo, un nuevo logotipo o una combinación de colores diferente, específicamente para el GO Empleados/Almacén. También puede configurar los ajustes para que se apliquen al GO Almacén únicamente. Esta opción se habilita si se cambia la herencia de los GO en la página Ajustes.

Permiso del grupo secundario

Considere el ajuste Permiso del grupo secundario como la actitud del GO principal respecto al GO secundario. Existen tres ajustes diferentes para Permiso del grupo secundario: Heredar o reemplazar, Solo heredar y Solo reemplazar.

El ajuste Heredar o reemplazar simplemente significa que el elemento principal no tiene preferencia respecto a los permisos del elemento secundario. Cuando el valor del ajuste Permiso del grupo secundario de un elemento principal es Heredar o reemplazar, el Ajuste actual del GO secundario determina si el ajuste se reemplaza o hereda. Los permisos secundarios se establecen en Heredar o reemplazar de forma predeterminada.

Un ajuste de permiso secundario Heredar solamente en el elemento principal fuerza la herencia en todos los elementos secundarios. Este ajuste significa que todos los objetos secundarios tienen la misma configuración que el elemento principal. La configuración de Permiso secundario Reemplazar solamente elimina el efecto de herencia en todos los grupos organizativos secundarios, lo que requiere que configure los ajustes específicos de ese grupo organizativo secundario.

La configuración de permisos secundarios solo afecta a los secundarios de un nivel inferior. Este ajuste no tiene ningún impacto en los grupos secundarios de segundo nivel o inferiores.

Configuración actual

El permiso secundario es la posición del elemento principal respecto al secundario, el ajuste actual de un GO es la conducta del elemento secundario con respecto al principal. Una configuración actual puede ser solo Heredar o Reemplazar.

Una configuración actual Heredar significa que el GO secundario acepta toda la configuración del GO principal. Seleccione una configuración actual Reemplazar para que el secundario rechace al principal y se quede solo. La selección de reemplazo significa que puede crear una nueva configuración para el elemento secundario.

Solo puede cambiar el Ajuste actual del GO si el valor de Permiso del grupo secundario del GO principal es Heredar o reemplazar.

Siguiendo con el ejemplo anterior, si desea modificar los ajustes de Marca del GO Almacén únicamente, puede cambiar el Ajuste actual de cada GO secundario de Almacén a Reemplazar, siempre y cuando el valor de Permiso del grupo secundario para Almacén sea Heredar o reemplazar (predeterminado). A continuación, puede configurar los ajustes Personalización de marca de los elementos secundarios del almacén, de forma distinta o igual al almacén.

Cómo cambiar los ajustes de permisos

No puede cambiar el Ajuste actual de un elemento secundario si el valor de Permiso del grupo secundario de su elemento principal no lo permite. Por ejemplo, si el ajuste de Permiso del grupo secundario de MomandDadOG es Reemplazar solamente, no puede cambiar el Ajuste actual de JuniorOG a Heredar. En resumen, el ajuste Permiso del grupo secundario del GO principal tiene prioridad sobre el Ajuste actual del GO secundario.

Al cambiar el Ajuste actual de un elemento secundario de Reemplazar a Heredar, el cambio del ajuste Permiso del grupo secundario de su principal a Heredar solamente bloquea el ajuste Permiso del grupo secundario del GO secundario. No puede cambiar la configuración de los permisos secundarios en esta situación. Este comportamiento no se aplica si el ajuste de GO secundario nunca se reemplaza.

La solución a este comportamiento es que cambie la configuración de Permiso secundario del GO principal de nuevo a Heredar o reemplazar, con lo que se desbloquea el ajuste Permiso secundario del GO secundario.

La mejor estrategia es planificar por adelantado y configurar los ajustes de herencia y reemplazo a los niveles de GO que tengan sentido según la estructura de jerarquía que desee.