Comment enrôler des terminaux dans Workspace ONE UEM ?

L'enrôlement par lots se produit normalement pour les nouveaux clients souhaitant placer les terminaux des utilisateurs finaux dans leur environnement sous le cadre de l'émetteur Workspace ONE UEM. Ces cas d'utilisation détaillés indiquent chaque étape de l'enrôlement en masse de vos terminaux dans trois des chemins d'accès les plus populaires : Apportez votre appareil personnel (BYOD), terminaux professionnels et personnels (COPE) et terminaux partagés.

Bring Your Own Device (BYOD)

Affaires de confidentialité

Vous pouvez prendre des mesures préemptives pour résoudre les problèmes de confidentialité que vos utilisateurs finaux de terminaux peuvent rencontrer. Pour obtenir des instructions détaillées sur la configuration des paramètres de confidentialité dans Workspace ONE UEM, reportez-vous à Configuration pour les déploiements BYOD.

1. Intégration aux services d'annuaire

Configurer les services d'annuaire avec un assistant

Workspace ONE UEM Console fournit un assistant simplifié qui rationalise le processus de configuration des services d'annuaire. L'assistant inclut des étapes qui intègrent Security Assertion Markup Language (SAML), Lightweight Directory Access Protocol (LDAP) ou les deux. L'assistant automatise également le provisionnement d'applications Workspace ONE UEM pour VMware Identity Manager, ce qui simplifie considérablement le processus.

Pour plus d'informations sur l'intégration de Workspace ONE UEM à Workspace ONE Access et le déploiement de Workspace ONE avec l'authentification unique sur les terminaux, reportez-vous à la section Intégration de Workspace ONE UEM à Workspace ONE Access.

Remarque : Si vous avez déjà configuré les paramètres SAML ou LDAP sur votre serveur de services d'annuaire, UEM Console le détecte automatiquement.

Accédez à l'assistant de configuration des services d'annuaire depuis deux emplacements.
- L'assistant de démarrage principal d'UEM console.
- Accédez à Groupes et paramètres > Tous les paramètres > Système > Intégration d'entreprise > Services d'annuaire, puis sélectionnez Démarrage de l’assistant de configuration.
Pour suivre les étapes, sélectionnez Configurer.

Configurer les services d'annuaire manuellement

Vous pouvez également Ignorer l'assistant et configurer les services d'annuaire manuellement pour configurer les paramètres vous-même.

2. Configurer les options d'enrôlement

Passez au groupe organisationnel de type client à partir duquel vous souhaitez gérer tous vos terminaux BYOD. La configuration des options d'enrôlement est plus facile lorsque vous vous trouvez dans le bon groupe organisationnel. Pour plus d'informations reportez-vous à la section Groupes organisationnels.
Accédez à Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Enrôlement. Si les options sous le premier onglet, Authentification sont grisées et ne sont pas sélectionnables, sélectionnez l'option Remplacer dans Paramètre actuel pour activer toutes ces options.
1. Sous l'onglet Authentification, sélectionnez le bouton Ajouter un domaine de messagerie. L'écran Ajouter un domaine de messagerie s'affiche.
2. Entrez votre domaine de messagerie d'entreprise, par exemple acme.com, et une adresse e-mail de confirmation, par exemple [email protected]. Si vous utilisez plusieurs domaines, répétez les étapes 1 et 2 pour chaque domaine que vos employés utilisent. L'adresse e-mail que vous entrez ici reçoit des confirmations d'enrôlement.
3. Sous Mode(s) d'authentification désélectionnez Basic et sélectionnez Directoire. Laissez Proxy d'authentification décoché.
4. Sous Source d'authentification pour Intelligent Hub, activez Workspace ONE UEM. Si vous utilisez d'autres produits VMware, tels que vRA, vShield, NSX, sélectionnez plutôt Workspace ONE Access.
5. Sous Mode d'enrôlement des terminaux, sélectionnez Ouvrir l'enrôlement. Ce paramètre signifie que vous ne créez pas de liste de terminaux autorisés à l'enrôlement et que vous n'avez pas besoin d'un jeton d'enregistrement.
6. Pour les trois options iOS et macOS suivantes, examinez les badges d'informations en regard de chaque option pour déterminer les options les plus appropriées pour votre base d'utilisateurs.
7. Cliquez sur Enregistrer.
Toujours dans Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Enrôlement et sélectionnez l'onglet Mode de gestion. Si les options sont grisées et non sélectionnables, sélectionnez l'option Remplacer dans Paramètre actuel pour activer toutes ces options.

Les terminaux enrôlés avec Intelligent Hub sont gérés par MDM par défaut. L'onglet Mode de gestion vous permet de vous désinscrire de la gestion MDM, par plateforme, pour les terminaux que vous souhaitez enrôler Workspace ONE UEM plutôt qu'un autre mécanisme de gestion tel que basé sur les applications, en mode enregistré ou non géré. Activez la plateforme et sélectionnez le Smart Group approprié pour permettre à ces terminaux de s'enrôler sans gestion MDM. L'enrôlement peut être activé en fonction des critères suivants lors de l'utilisation des Smart Groups : Version du système d'exploitation, type de propriété et groupe d'utilisateurs. Utilisez les stratégies d'application de gestion adaptative pour contrôler les niveaux de gestion des terminaux iOS enrôlés sans gestion. Si vous souhaitez conserver la gestion MDM, ignorez cet onglet d'enrôlement et passez à l'étape 4 (Intégration du Hub).
1. Pour chaque plateforme dont vous souhaitez retirer la gestion MDM, sélectionnez le bouton Activé pour cette plateforme.
2. Dans ce groupe organisationnel, sélectionnez Tous les terminaux enrôlés, sélectionnez Activé si vous souhaitez que tous les terminaux enrôlés dans ce groupe organisationnel ne prennent pas en charge la gestion MDM. Ces terminaux peuvent être gérés en mode Enregistré ou ils peuvent être gérés au niveau de l'application. Ils peuvent également rester non gérés. Sélectionnez Désactivé et cliquez sur la zone de texte pour activer le menu déroulant. Sélectionnez le nom du Smart Group pour attribuer du contenu à ces terminaux. Tous les terminaux de plateformes similaires qui s'enrôlent dans ce groupe organisationnel mais ne sont pas inclus dans le Smart Group sont enrôlés comme étant gérés par MDM.
  
  Si vous n'avez pas encore créé ce Smart Group, sélectionnez le bouton Créer un Smart Group en bas du menu déroulant. Suivez ensuite les instructions de Créer un Smart Group en vous assurant de suivre le chemin Critères et en vous assurant également que vos plateformes correspondent : créez un Smart Group iOS pour le mode de gestion iOS, créez un Smart Group Android pour le mode de gestion Android, et ainsi de suite.
3. Cliquez sur Enregistrer.
Toujours dans Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Enrôlement et sélectionnez l'onglet Intégration du Hub. Si les options sont grisées et non sélectionnables, sélectionnez l'option Remplacer dans Paramètre actuel pour activer toutes ces options.
1. Sous Utiliser les fonctionnalités des services du Hub dans Intelligent Hub, sélectionnez Activé pour permettre aux terminaux de ce groupe organisationnel de se connecter aux services Workspace ONE Hub pour des fonctionnalités telles que Catalogue d'applications et People. Sélectionnez Désactivé pour vous retirer de ces fonctionnalités des services du Hub.
2. Cliquez sur Enregistrer.
Toujours dans Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Enrôlement et sélectionnez l'onglet Conditions d'utilisation. Si les options sont grisées et non sélectionnables, sélectionnez l'option Remplacer dans Paramètre actuel pour activer toutes ces options.
1. Sous Exiger l'acceptation des conditions d'utilisation de l'inscription, sélectionnez Activé pour demander à vos utilisateurs finaux d'accepter les conditions d'utilisation que vous spécifiez avant qu'ils ne soient autorisés à s'inscrire. Sélectionnez Désactivé pour rendre l'acceptation des conditions d'utilisation facultative pour l'enrôlement.
2. (Facultatif) Cliquez sur le bouton Ajouter de nouvelles conditions d'inscription et l'écran Créer de nouvelles conditions d'utilisation s'affiche et permet de saisir des conditions d'utilisation. Vous pouvez spécifier des options, notamment Plateformes, Propriété du terminal, Type d'enrôlement et Propriété. Consultez votre équipe juridique afin de créer des conditions d'utilisation effectives. Sélectionnez Enregistrer pour enregistrer l’accord.
3. Sélectionnez Enregistrer pour enregistrer vos sélections de l'onglet Conditions d'utilisation.
Toujours dans Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Enrôlement et sélectionnez l'onglet Groupe. Si les options sont grisées et non sélectionnables, sélectionnez l'option Remplacer dans Paramètre actuel pour activer toutes ces options.
1. Sous Mode d'attribution de l'ID de groupe, sélectionnez Par défaut.
2. Sous la section Par défaut, pour Propriété par défaut du terminal, sélectionnez Personnel, qui est la caractéristique principale d'un déploiement BYOD.
3. Sous la section Par défaut, pour Rôle par défaut, sélectionnez Accès basique, Accès complet ou sélectionnez un rôle que vous avez préparé.
4. Dans la section Par défaut, pour Action par défaut pour les utilisateurs inactifs, sélectionnez Effacement des données professionnelles des terminaux actuellement enrôlés. Cette option applique la protection la plus élevée contre la perte de données intellectuelle/professionnelle en cas de vol de terminaux ou lorsqu'un terminal est manquant.
5. Dans la section Synchronisation des groupes d'utilisateurs, pour Synchroniser les groupes d'utilisateurs en temps réel pour Workspace ONE, sélectionnez Désactivé. Lorsqu’il est activé, Workspace ONE permet de synchroniser les groupes d'utilisateurs pour un utilisateur donné lorsqu'il s'enregistre auprès d'UEM Console. En raison de son impact sur les performances de Workspace ONE UEM, activez cette option uniquement si les groupes d'utilisateurs changent fréquemment, car ils affectent si un terminal doit être autorisé à s'enregistrer."
6. La section Mappage de rôle utilisateur pour Activer le mappage basé sur un groupe d'annuaire décochez la case ici pour ne pas appliquer les rôles en fonction des groupes d'utilisateurs de vos services d'annuaire. Activez la case à cocher pour tenir compte de tous les groupes d'utilisateurs dans votre service d'annuaire et utilisez ces informations pour attribuer des rôles spécifiques. Par exemple, vous pouvez appliquer « Rôle x » à tous les membres de votre groupe d'utilisateurs du service d'annuaire « Gestionnaires » tout en appliquant « Rôle y » à tous les membres d'un autre groupe d'utilisateurs.
Toujours dans Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Enrôlement, sélectionnez l'onglet Restrictions. Si les options sont grisées et non sélectionnables, sélectionnez l'option Remplacer dans Paramètre actuel pour activer toutes ces options.

1. Si les utilisateurs finaux de votre terminal n'ont pas été ajoutés en tant qu'utilisateurs à Workspace ONE UEM et qu'ils enrôlent des terminaux pour la première fois, sous Contrôle d'accès utilisateur, laissez la case vide (désélectionnée) pour Enrôlement des utilisateurs connus. Cependant, si vous avez importé des utilisateurs en masse ou les avez envoyés au portail self-service pour les ajouter eux-mêmes, vous pouvez envisager d'activer cette case. 2. Si vous n'avez pas intégré votre service d'annuaire à des groupes d'utilisateurs, sous Contrôle d'accès utilisateur, laissez la case vide (désélectionnée) pour Enrôlement dans les groupes configurés. Cependant, si vous avez correctement intégré votre service d'annuaire à Workspace ONE UEM qui crée des groupes d'utilisateurs dans UEM en fonction de vos groupes d'utilisateurs dans les services d'annuaire, vous pouvez alors cocher cette case pour limiter l'enrôlement aux utilisateurs qui font partie de l'un de ces groupes d'utilisateurs du service d'annuaire.

3. Dans la section Paramètres de stratégie, vous pouvez sélectionner le bouton Ajouter une stratégie pour limiter manuellement l'enrôlement en fonction des facteurs que vous décidez. Ces facteurs incluent le type de propriété, le type d'enrôlement, la plateforme du terminal, le modèle du terminal et le système d'exploitation.

Vous pouvez définir plusieurs stratégies, par exemple une stratégie par plateforme, spécifier un modèle minimum ou une version d'exploitation, et autoriser uniquement les terminaux à s'enrôler. Il peut s'agir d'un outil puissant comme vous pouvez le voir ultérieurement à l'étape 5.

4. Dans la section Configuration de la gestion pour Workspace ONE, lorsque Exiger MDM pour Workspace ONE est activé, les terminaux qui répondent aux critères attribués sont invités à s'enrôler immédiatement après leur connexion à Workspace ONE." Les terminaux qui ne répondent pas aux critères attribués sont autorisés à se connecter avec un état non géré. Elles peuvent être gérées ultérieurement à l'aide de la gestion adaptative. Cette option requiert l'application Workspace ONE 3.2 ou version ultérieure.

5. Dans la section paramètres d'attribution Groupes, vous pouvez appliquer les stratégies que vous définissez à l'étape 3 et envoyer les terminaux éligibles au groupe d'utilisateurs de votre choix.

Par exemple, si vous avez créé une politique de restriction qui autorisait uniquement les terminaux Personnels (BYOD) Android version 10 ou ultérieure et une deuxième stratégie de restriction autorisant uniquement les iPhone personnels (BYOD) version 15 ou ultérieure, vous pouvez la configurer de sorte que les utilisateurs Android soient ajoutés à un groupe d'utilisateurs et iPhone utilisateurs soient ajoutés à un autre groupe d'utilisateurs. Ce type d'organisation peut être utile à l'avenir pour la gestion du contenu.
Les onglets restants, Invite facultative et Personnalisation, sont des options conviviales moins critiques pour la fonctionnalité BYOD. Pour obtenir des instructions détaillées sur chaque option disponible, reportez-vous à Exéquence d'invite facultative et Personnalisation.

3. Enrôlement auprès de Intelligent Hub

L'enrôlement d'un terminal avec Workspace ONE Intelligent Hub est la principale option pour les terminaux Android, iOS et Windows dans Workspace ONE Express et Workspace ONE UEM.

Téléchargez et installez Workspace ONE Intelligent Hub depuis Google Play Store (pour les terminaux Android) ou depuis l'App Store (pour les terminaux Apple).

Le téléchargement de Workspace ONE Intelligent Hub depuis une boutique d'applications publiques nécessite un ID Apple ou un compte Google.

Les terminaux Windows 10 doivent diriger le navigateur par défaut du terminal sur https://getwsone.com pour télécharger le Hub.
Exécutez Workspace ONE Intelligent Hub à l'issue du téléchargement ou revenez à votre session de navigateur.

Important : Pour éviter tout problème lors de l'installation et de l'utilisation de Workspace ONE Intelligent Hub sur un terminal Android, le terminal doit disposer de 60 Mo d'espace libre minimum. Vous pouvez allouer du CPU et de la mémoire d'exécution par application sur la plateforme Android. Si une application utilise plus de ressources que celles qui lui sont allouées, les périphériques Android l'arrêtent afin d'optimiser leurs performances.
Saisissez votre adresse e-mail lorsque vous y êtes invité. Workspace ONE Console vérifie si votre adresse a été ajoutée à l'environnement. Si c'est le cas, vous êtes déjà configuré en tant qu'utilisateur final et votre groupe organisationnel vous a déjà été attribué.

Si Workspace ONE Console ne peut pas vous identifier en tant qu'utilisateur final d'après votre adresse e-mail, vous serez invité à indiquer votre Serveur, votre ID de groupe et vos Identifiants. Votre administrateur peut fournir l'URL d'environnement et l'ID de groupe.
Finalisez l'enrôlement en suivant tous les autres messages qui s'affichent. Vous pouvez utiliser votre adresse e-mail à la place du nom d'utilisateur. Si deux utilisateurs ont la même adresse e-mail, l'enrôlement échoue.

Le terminal est maintenant enrôlé avec l'application Workspace ONE Intelligent Hub. Dans l'onglet Résumé de la Vue détaille du terminal pour ce terminal, le panneau de sécurité affiche « Hub enregistré » pour refléter cette méthode d'enrôlement.

Terminaux professionnels et personnels (COPE) Workspace ONE l'enrôlement direct

L'enrôlement direct représente la manière la plus régulière d'enrôler des terminaux qui appartiennent à l'entreprise et qui sont personnellement activés (COPE). Le modèle COPE permet aux entreprises de trouver un équilibre entre la consumérisation des terminaux et la sécurité et le contrôle requis.

En tant qu'administrateur, vous pouvez configurer l'enrôlement direct avec les options de votre choix. Vous pouvez configurer une invite facultative, appliquer des restrictions par type de terminal ou des limites par groupe d'utilisateurs, et permettre à l'utilisateur d'installer les applications.

L'enrôlement direct est désactivé par défaut. Pour activer l'enrôlement direct de Workspace ONE, procédez comme suit.

Basculez vers le groupe organisationnel pour lequel vous souhaitez activer l'enrôlement direct de Workspace ONE. Le groupe organisationnel vers lequel vous souhaitez vous déplacer est celui dans lequel vous prévoyez de contenir tous les terminaux COPE qui s'enrôlent. Ce même groupe organisationnel est celui que vous sélectionnez dans un avenir proche pour gérer les Smart Groups que vous utilisez pour fournir des profils de terminaux pour COPE, des stratégies de conformité pour COPE, des applications pour COPE et d'autres contenus pour COPE.
Naviguez vers Terminaux et paramètres > Tous les paramètres > Terminaux et utilisateurs > Général > Enrôlement et sélectionnez l'onglet Restrictions.

Faites défiler vers le bas jusqu'à la section Conditions de gestion pour Workspace ONE et sélectionnez vos options de configuration. Si nécessaire, sélectionnez Remplacer pour remplacer les paramètres du groupe organisationnel parent.

Cette capture d'écran partielle montre l'onglet Restrictions pour les Paramètres d'enrôlement.

Paramètre	Description
MDM requis pour Workspace ONE	Invitez les terminaux et les utilisateurs qualifiés à s'enrôler immédiatement après s'être connectés à Workspace ONE. Les terminaux en dehors des critères définis sont autorisés à s'enrôler à un état non géré et peuvent être gérés ultérieurement (gestion adaptative).
Groupe d'utilisateurs affecté	Ce paramètre spécifie le groupe d'utilisateurs que vous souhaitez inclure dans le processus d'enrôlement direct. Vous pouvez également choisir l'option Tous les utilisateurs qui correspond à la sélection par défaut lorsque vous activez Exiger MDM pour Workspace ONE.
iOS	Activez ce paramètre pour inclure les terminaux iOS. S'il est désactivé, les terminaux iOS ne sont pas éligibles à l'enrôlement direct, mais ils peuvent toujours s'enrôler dans Workspace ONE UEM avec un état non géré.
Android hérité	Activez cette option pour inclure les terminaux Android hérités. S'il est désactivé, les périphériques Android hérités ne sont pas éligibles à l'enrôlement direct, mais ils peuvent toujours s'enrôler dans Workspace ONE UEM avec un état non géré.
Android Enterprise	Activez ce paramètre pour inclure les terminaux Android Enterprise. S'il est désactivé, les périphériques Android Enterprise ne sont pas éligibles à l'enrôlement direct, mais ils peuvent toujours s'enrôler dans Workspace ONE UEM avec un état non géré.

Les étapes restantes sont destinées à l'utilisateur final. L'envoi d'un e-mail contenant des étapes d'enrôlement détaillées à vos utilisateurs finaux est généralement la manière d'y parvenir.

Indiquez à l'utilisateur final de télécharger, d'installer et d'exécuter l'application Workspace ONE depuis la boutique d'applications ou le référentiel spécifique à la plateforme.
Entrer l'adresse e-mail ou l'URL du serveur. Vous pouvez inclure ces informations dans l'e-mail d'enrôlement aux utilisateurs finaux.
Entrer son nom d'utilisateur et son mot de passe pour les services d'annuaire.
Installer ou activer Workspace Services en sélectionnant les étapes positives propres à la plateforme utilisée.
1. iOS – Autoriser le serveur à ouvrir les Paramètres, entrer le code d'accès du terminal, installer un profil de terminal non signé et ouvrir un écran dans Workspace.
2. Android hérité – Installer Workspace ONE Intelligent Hub, lui permettre de passer et de gérer les appels téléphoniques, sélectionner le propriétaire de son terminal avec une option pour entrer le numéro d'actif du terminal, activer l'application d'administration du terminal, puis se connecter à Workspace ONE.
3. Android Enterprise – Accepter (ou refuser) les conditions d'utilisation, établir le profil de travail et créer le code d'accès Workspace ONE.
Lorsque Workspace ONE termine la routine d'installation, l’utilisateur final peut Continuer à installer des applications.
L’utilisateur final peut installer les applications une par une en les sélectionnant dans une liste, toutes les installer ou ignorer complètement cette étape.

Options prises en charge par l'enrôlement direct de Workspace ONE

Naviguez vers Groupes et paramètres > Tous les paramètres > Terminaux et utilisateurs > Général > Enrôlement, sélectionnez chaque onglet applicable et effectuez vos sélections en fonction de la compatibilité avec l'enrôlement direct de Workspace ONE.

Authentification

Les options d'authentification suivantes sont compatibles avec l'enrôlement direct de Workspace ONE.

Utilisateurs des services d'annuaire.
Les utilisateurs SAML plus Active Directory sont pris en charge « à la volée ». Les utilisateurs SAML sans LDAP sont pris en charge tant que l'enregistrement de l'utilisateur préexiste dans Workspace ONE UEM au moment de la connexion initiale.
Les utilisateurs basiques, préenrôlés, SAML sans annuaire et Proxy d'authentification ne sont pas pris en charge actuellement.
Enrôlement ouvert.
Workspace ONE ne contrôle pas les paramètres Exiger l'enrôlement par Workspace ONE Intelligent Hub pour les terminaux iOS ou macOS qui sont utilisés pour bloquer l'enrôlement Web sur leurs plateformes respectives.

Conditions d'utilisation

Toutes les options des conditions d'utilisation sont compatibles avec l'enrôlement direct de Workspace ONE.

Regroupement

Toutes les options de regroupement sont compatibles avec l'enrôlement direct de Workspace ONE.

Restrictions

Les options des restrictions suivantes sont compatibles avec l'enrôlement direct de Workspace ONE.

Utilisateurs connus et groupes configurés.
Limite du nombre maximal de terminaux enrôlés.
Les paramètres de la politique sont partiellement pris en charge.
- Types de propriété autorisés – Workspace ONE affiche une invite uniquement pour les terminaux personnels et professionnels. Pour éviter cela, désactivez l'invite facultative et utilisez le type de propriété par défaut.
- Les types d'enrôlement autorisés ne sont pas pris en charge.
Les restrictions relatives au système d'exploitation, au modèle et à la plateforme du terminal sont prises en charge.
Restrictions de groupe d'utilisateurs.

Invites facultatives

Les invites facultatives suivantes sont compatibles avec l'enrôlement direct de Workspace ONE.

Demander la propriété du terminal.
Demander le numéro d'actif (uniquement prise en charge lorsque l'option Demander la propriété du terminal est activée.).
Toutes les autres invites facultatives ne sont pas prises en charge.

Personnalisation

Les options de personnalisation suivantes sont compatibles avec l'enrôlement direct de Workspace ONE.

Utiliser un modèle de message spécifique pour chaque plateforme.
URL de redirection après l'enrôlement (iOS uniquement).
Message de profil MDM (iOS uniquement).
Utiliser les applications MDM personnalisées.
Les options E-mail de support pour l'enrôlement et Numéro de téléphone de support pour l'enrôlement ne sont pas prises en charge.

Préenrôlement

Le préenrôlement des terminaux dans ce modèle COPE à l'aide du processus d'enrôlement direct n'est pas pris en charge. Si vous devez préenrôler un terminal pour un ou plusieurs utilisateurs, vous devez enrôler le terminal avec Workspace ONE Intelligent Hub compte tenu des configurations spécifiques à la plate-forme suivantes :