Inscription pour Android avec Workspace ONE UEM

Pour commencer à gérer les terminaux Android, vous devrez inscrire Workspace ONE UEM comme fournisseur de gestion de la mobilité d'entreprise (EMM, Enterprise Mobility Management) avec Google. La page de démarrage dans Workspace ONE UEM Console fournit une solution détaillée pour configurer les outils de gestion d'entreprise nécessaires pour sécuriser et gérer votre flotte de terminaux.

Il existe deux méthodes pour terminer l'enregistrement d'Android Enterprise. L'utilisation d'une entreprise Google Domain gérée est désormais la méthode recommandée. Avec une entreprise Google Domain gérée, Google lie vos terminaux Enterprise Android au domaine de votre organisation. Tout au long de l'assistant de configuration de l'enregistrement EMM Android, vous fournissez le domaine de votre organisation. Si le domaine n'a pas encore été enregistré dans Google Workspace, vous êtes invité à fournir à Google des informations supplémentaires sur votre organisation. La vérification de votre domaine dans la console d'administration Google après avoir terminé l'enregistrement EMM Android permet d'utiliser le domaine avec d'autres services d'entreprise Google. Si votre organisation s'est déjà inscrite dans Google Workspace en utilisant ce domaine, vous serez uniquement invité à vous connecter à l'aide de votre compte Google d'entreprise. Plusieurs entreprises Google Domain gérées peuvent être liées à un seul domaine. Par conséquent, vous pouvez effectuer l'enregistrement EMM Android en utilisant le même domaine dans plusieurs environnements Workspace ONE UEM.

Terminer l'enregistrement EMM Android à l'aide d'une entreprise Google Play gérée est désormais recommandé par Google uniquement pour les cas limites dans lesquels une entreprise Google Domain gérée ne peut pas être utilisée. Lorsque vous utilisez une entreprise Google Play gérée, vous liez les terminaux de votre organisation à une entreprise gérée par un compte GMail. Les organisations qui ont précédemment terminé l'enregistrement EMM Android à l'aide de cette méthode pourront toujours rétablir la liaison entre Workspace ONE UEM et les entreprises Google Play gérées existantes.

Important : Après avoir terminé l'enregistrement à l'aide d'une entreprise Google Play gérée, il est vivement recommandé d'ajouter des comptes GMail supplémentaires en tant qu'administrateurs. Cela permet de maintenir la gestion de votre entreprise en cas d'inactivité du compte principal. Reportez-vous à la section Attribuer des rôles dans les entreprises pour plus d'informations. De plus, ne supprimez pas l'organisation associée à votre entreprise Google Play gérée. Sa suppression peut entraîner la perte de fonctionnalités de gestion pour vos terminaux Android.

Le compte de service Google est un compte Google spécial qui est utilisé par Workspace ONE UEM pour accéder aux API Google et qui est requis lors de la configuration d'Android à l'aide de la méthode héritée de création d'entreprises Google Domain gérées. Les informations d'identification du compte de service Google sont renseignées automatiquement une fois l'assistant de configuration de l'enregistrement EMM Android terminé.

Important : La configuration d'Android inclut l'intégration d'outils tiers qui ne sont pas gérés par VMware. Les informations contenues dans ce guide concernant la console d'administration Google et Google Developer Console correspondent à la version disponible à partir de mars 2024. L'intégration avec un produit tiers n'est pas garantie et dépend du bon fonctionnement des solutions tierces.

Enregistrer dans une entreprise Google Domain gérée

Pour configurer Android Enterprise à l'aide d'une nouvelle entreprise Google Domain gérée, sélectionnez Enregistrer avec Google sur les pages des paramètres Démarrage ou Enregistrement EMM Android. Ceci lance un assistant d'enregistrement Google et constitue la méthode recommandée pour les nouvelles organisations. Un autre flux d'inscription est disponible. Il permet aux organisations de fournir manuellement des jetons d'entreprise, des comptes de service et d'autres détails. Cette méthode n'est pas recommandée pour les organisations configurant Android dans un nouvel environnement Workspace ONE UEM.

Conditions prérequises

Si la page d'enregistrement Android EMM est bloquée, assurez-vous d'avoir sélectionné les URL Google dans votre architecture réseau pour communiquer avec des points de terminaison internes et externes.

Utilisation de l'assistant d'enregistrement Google (recommandé)

Workspace ONE UEM Console vous permet de suivre un processus de configuration simplifié pour relier UEM Console à Google en tant que fournisseur EMM.

Procédure

Accédez à Démarrage > Workspace ONE > Enregistrement EMM Android.
Sélectionnez Configurer. Vous êtes alors redirigé vers la page d'inscription EMM pour Android.
Sélectionnez Inscrire avec Google. Vous serez redirigé vers un assistant de configuration Google.
Saisissez votre adresse e-mail professionnelle. Ce compte doit appartenir au domaine de votre organisation.
Terminez la vérification des e-mails.
Si le domaine n'est pas enregistré dans Google Workspace, suivez les invites pour créer votre compte Google d'entreprise et pour fournir le nom de votre organisation.
Autorisez la liaison EMM pour cette organisation à Workspace ONE UEM.

Vous serez redirigé vers la page des paramètres d'enregistrement EMM Android dans la Workspace ONE UEM Console. Les détails de votre organisation et l'adresse e-mail de l'administrateur utilisé pour créer l'entreprise de domaine Google géré s'affichent ici.

Utilisation de l'assistant d'enregistrement Workspace ONE UEM

Pour configurer votre compte avec un domaine Google géré, l'organisation doit configurer un domaine Google s'ils n'en utilisent pas déjà un. Vous effectuerez également plusieurs tâches manuelles, comme vérifier la propriété du domaine avec Google, obtenir un jeton EMM et créer un compte de service d'entreprise pour utiliser ce type de configuration.

Accédez à Démarrage > Workspace ONE > Enregistrement EMM Android.
Sélectionnez Inscrire pour être redirigé vers l'assistant de configuration Android afin d'effectuer ces trois étapes :
1. Générer un jeton : obtenez votre jeton d'entreprise en inscrivant votre domaine d'entreprise auprès de Google.
2. Importer un jeton : entrez le jeton EMM dans l'assistant de configuration Android.
3. Configurer les utilisateurs : configurez le mode de création des utilisateurs pour l'ensemble de votre entreprise.
Sélectionnez Accéder à Google. Vous êtes redirigé vers le site G Suite.
Inscrivez votre entreprise et vérifiez votre domaine.

Configurer un compte de service Google

Le compte de service Google est un compte Google spécial utilisé par les applications pour accéder aux API Google. Vous devez créer ce compte après avoir généré votre jeton EMM afin de pouvoir importer toutes les informations en même temps.

Naviguez vers Google Cloud Platform – Google Developers Console.
Connectez-vous avec vos identifiants Google.

les identifiants Google de type Administrateur n'ont pas besoin d'être associés à votre domaine d'activité. Pensez à créer un compte Google spécialement pour Android pour votre organisation afin d'éviter tout conflit avec des comptes Google existants.

Remarque : Envisagez d'ajouter des comptes supplémentaires de sorte que, si un compte devient inactif, vous disposiez de comptes supplémentaires pour vous connecter et accéder à votre compte de service Google.
Utilisez le menu déroulant du menu Sélectionner un projet et sélectionnez Nouveau projet.
Entrez un Nom de projet pour créer votre projet API dans la fenêtre Nouveau projet. Pensez à utiliser Android EMM-NomSociété comme convention de dénomination.
Acceptez les conditions générales et sélectionnez Créer.

Votre projet est généré et Google Developer Console vous redirige vers la page API Manager.
Sélectionnez Activer les API et les services pour Android à partir du Tableau de bord des API et des services.
Recherchez et activez les API suivantes : Google Play EMM API et Admin SDK API.

Après avoir créé votre projet et activé les API, créez votre compte de service dans la console de Google Developer.
Accédez à API et services > Identifiants > Créer des identifiants > Clé de compte de service > Nouveau compte de service.
Définissez le nom du compte de service pour votre compte de service. Pensez à respecter la convention de dénomination Android et assurez-vous de noter le nom que vous choisissez car vous en aurez besoin dans les étapes suivantes. L'ID de compte de service est généré automatiquement. Cliquez sur Créer et Continuer.
Dans le menu déroulant, sélectionnez Rôle > Projet sur Propriétaire et sélectionnez Continuer.
Vous pouvez ignorer l'étape 3 affichée pour accorder à d'autres utilisateurs l'accès au compte de service. Sélectionnez Terminé.
Sélectionnez le compte de service créé. Accédez à l'onglet Clés et sélectionnez Ajouter une clé > Créer une clé. Sélectionnez P12 et Créer.

Le certificat d'identité est automatiquement créé et téléchargé sur votre disque local. assurez-vous d'enregistrer votre certificat d'identité et le mot de passe lorsque vous importez le certificat dans Workspace ONE UEM Console.
Sélectionnez Gérer les comptes de service sur la page Compte de service. Sous Paramètres avancés, il existe un lien vers En savoir plus sur la délégation à l'échelle du domaine Suivez les étapes pour activer la délégation à l'échelle du domaine.

Pour déléguer une autorité à l'échelle du domaine à un compte de service, un super administrateur du domaine Google Workspace doit effectuer les étapes suivantes : 1. Dans la console d'administration de votre domaine Google Workspace, accédez au Menu principal > Sécurité > Contrôle d'accès et de données > Contrôles d'API. 2. Dans le volet Délégation à l'échelle du domaine, sélectionnez Gérer la délégation à l'échelle du domaine. 3. Cliquez sur Ajouter. 4. Dans le champ ID de client, entrez l'ID client du compte de service. Vous pouvez trouver l'ID client de votre compte de service sur la page Comptes de service. 5. Dans le champ Portées OAuth (délimitées par des virgules), entrez la liste des portées auxquelles l'accès doit être accordé à votre application : https://www.googleapis.com/auth/admin.directory.user 6. Cliquez sur Autoriser.
Dans les paramètres avancés de votre compte de service créé dans la console d'administration Google, notez/copiez l'e-mail et l'ID unique dans les détails du compte de service. Vous les utiliserez ultérieurement lors de l'enregistrement EMM Android.

Configurer la console d'administration Google

La console d'administration Google permet aux administrateurs de gérer les services Google pour les utilisateurs d'une organisation. Workspace ONE UEM utilise la console d'administration Google pour l'intégration avec les systèmes d'exploitation Android et Chrome.

La page Gérer l'accès client des API vous permet de contrôler l'accès des applications internes personnalisées et des applications tierces aux API Google prises en charge (portées).

Connectez-vous à la console d'administration Google et accédez à Sécurité > Paramètres avancés > Gérer l'accès client des API.

Remplissez les informations suivantes :

Paramètre	Description
Nom du client	Entrer l'ID client généré lors de la création de votre compte de service Google
Un ou plusieurs champs d'application de l'API	Copiez et collez les champs d'application de l'API Google suivants pour Android : https://www.googleapis.com/auth/admin.directory.user

Sélectionnez Autoriser.

Générer un jeton EMM

Votre jeton EMM unique lie votre domaine pour la gestion d'Android au Workspace ONE UEM optimisé par AirWatch. Vous êtes dirigé vers le site de configuration de G Suite après avoir sélectionné Accéder à Google à partir de la tâche précédente.

La procédure décrite dans la tâche consiste à générer un jeton EMM pour un nouveau domaine. La tâche de génération du jeton EMM est différente selon que vous vous enregistrez avec un nouveau domaine ou un domaine existant.

Si vous générez un jeton pour un domaine existant, vous pouvez simplement accéder à Sécurité > Fournisseur EMM géré pour Android et sélectionner Générer le jeton EMM, puis passer à l'étape 5.

Remplissez les champs suivants :
1. À propos de vous – Entrez vos coordonnées administratives.
2. À propos de votre entreprise – Remplissez les informations sur votre entreprise.
3. Votre compte administrateur Google – Créez un compte administrateur Google.
4. Finalisation – Entrez les données de vérification de la sécurité.
Sélectionnez Accepter et créer votre compte après avoir lu et accepté les conditions définies par Google.
Suivez les invites suivantes pour vérifier la propriété du domaine et vous connecter avec votre fournisseur. Une fois les vérifications effectuées, celui-ci devient votre domaine Google géré.

Pour vérifier la propriété du domaine, les options suivantes sont disponibles : ajouter une balise meta à votre page d'accueil, ajouter un enregistrement d'hôte de domaine ou télécharger un fichier HTML sur votre site de domaine. Configurez les paramètres des options disponibles.
Sélectionnez Vérifier pour continuer. Si ce processus réussit, la section Connexion avec votre fournisseur affiche votre jeton EMM. Ce jeton est valable 30 jours. si vous rencontrez des problèmes au cours de cette étape, reportez-vous au service d'assistance Google en utilisant le numéro et le code PIN unique figurant sur la liste.
Copiez le jeton EMM généré et sélectionnez Terminer.

Workspace ONE UEM vous recommande de créer votre compte de service Google avant de retourner à Workspace ONE UEM Console pour télécharger le jeton EMM, afin que vous puissiez importer tous les identifiants de connexion en une seule fois.

Générer le jeton EMM pour le domaine existant

Votre jeton EMM unique lie votre domaine pour la gestion d'Android au Workspace ONE UEM optimisé par AirWatch. Pour le domaine existant, vous êtes dirigé vers la console d'administration Google pour générer le jeton EMM. La procédure décrite dans la tâche consiste à générer un jeton EMM pour un domaine existant. La tâche de génération du jeton EMM est différente selon que vous vous enregistrez avec un nouveau domaine ou un domaine existant. Pour plus d'informations sur la génération d'un jeton EMM pour un nouveau domaine, voir Générer un jeton EMM. Connectez-vous à la console d'administration Google à l'aide de vos informations d'identification de l'administrateur Google. Accédez à Sécurité > Fournisseur EMM géré pour Android et sélectionnez Générer le jeton EMM. Copiez et collez le jeton dans Workspace ONE UEM Console.

La procédure décrite dans la tâche consiste à générer un jeton EMM pour un domaine existant. La tâche de génération du jeton EMM est différente selon que vous vous enregistrez avec un nouveau domaine ou un domaine existant.

Connectez-vous à la console d'administration Google à l'aide de vos informations d'identification Google admin.
Accédez à Sécurité > Fournisseur EMM géré pour Android et sélectionnez Générer le jeton EMM.
Copiez et collez le jeton dans la console Workspace ONE UEM.

Importer un jeton EMM

Entrez les informations que vous avez obtenues de Google lors de l'enregistrement. Cela inclut le domaine enregistré, le jeton d'entreprise et l'adresse e-mail de l'administrateur Google que vous avez créés.

Vous pouvez également obtenir votre jeton d'entreprise en vous connectant à https://admin.google.com avec votre adresse e-mail d'administrateur Google dans Sécurité→Gérer le fournisseur EMM pour Android.

Accédez à Démarrage > Workspace ONE > Enregistrement EMM Android. Si vous avez fermé la fenêtre ou si vous n'êtes pas automatiquement redirigé vers Workspace ONE UEM.
Sélectionnez Enregistrer pour être redirigé vers l'assistant de configuration Android.
Sélectionnez Importer un jeton à partir de l'assistant de configuration Android.

Cela est également appelé jeton d'entreprise.

Remplissez les champs suivants :

Paramètre	Description
Domaine	Domaine demandé pour l'activation d'Android, associé à votre entreprise.Important : si votre domaine a déjà été inscrit auprès d'un autre fournisseur EMM, vous ne serez pas autorisé à télécharger un nouveau jeton EMM.
Jeton EMM d'entreprise	Jeton généré dans la console d'administration Google.
Adresse e-mail de l'administrateur Google	Il s'agit du compte d'administrateur utilisé pour l'enregistrement de domaine, la console de développeur Google et la console d'administration Google.
ID client	ID client généré lors de la création de votre compte de service Google. Cet ID est récupéré à partir des Paramètres de la console de développeur Google.
Adresse de messagerie de compte de service Google	E-mail généré à partir de la création du compte de service Google. Cet ID est récupéré à partir des Paramètres de la console de développeur Google.
ID de certificat	Téléchargez le certificat P12 créé lors de la génération du compte de service Google. Nécessite un mot de passe. Cet ID est récupéré à partir des Paramètres de la console de développeur Google.

Sélectionnez Suivant pour définir les utilisateurs.

Utilisateurs installés

Les utilisateurs de votre entreprise utilisant Android ont tous besoin de disposer d'un compte Google pour se connecter à leurs terminaux. Cette dernière étape dans l'assistant d'inscription EMM Android vous permet de déterminer la méthode d'installation que vous préférez pour la création d'utilisateurs.

Vous avez deux options pour créer des utilisateurs sous Android :

Autoriser Workspace ONE UEM à créer automatiquement des comptes Google lors de l'enrôlement.
Créer des utilisateurs manuellement en se connectant à la console d'administration Google ou en utilisant l'outil Google Active Directory Sync (GADS).

Le format du nom d'utilisateur est nom_utilisateur@<votre_domaine_professionnel>.com.

Activez l'une des options suivantes pour déterminer la manière dont les utilisateurs sont configurés :
- Créer le compte Google pendant l'enrôlement à partir de l'adresse e-mail de l'utilisateur enrôlé.
- Utiliser SAML pour l'authentification : activez SAML pour le processus d'enrôlement.
- Utiliser SAML pour l'authentification du compte Google : pour utiliser cette méthode, configurez Single Sign-On en accédant à Sécurité > Single Sign On dans la console d'administration Google. Si la création automatique des utilisateurs n'est pas activée avec l'une des méthodes ci-dessus, la Workspace ONE UEM Console vous dirige vers la méthode alternative de création de comptes Google par l'outil Google Active Directory Sync ou la console d'administration Google.
Utilisez l'option Tester la connexion pour vérifier l'établissement de la communication avec Google.
- Accès à l'API Play : Garantit que l'API Google EMM est activée et que les applications peuvent être installées.
- Accès à l'API Directory : Garantit que l'API Admin SDK est définie sur activée et que la portée pour https://www.googleapis.com/auth/admin.directory.user est autorisée sur la console d'administration Google.
Cliquez sur Enregistrer.

S'inscrire avec une entreprise Google Play gérée

Si votre organisation doit rétablir la liaison entre Workspace ONE UEM et une entreprise Google Play gérée ou si une entreprise Google Domain gérée ne peut pas être utilisée, les organisations peuvent configurer Android pour utiliser une entreprise Google Play gérée. Cela n'est pas recommandé pour les nouveaux environnements Workspace ONE UEM.

Procédure

Accédez à Démarrage > Workspace ONE > Enregistrement EMM Android.
Sélectionnez Configurer. Vous êtes alors redirigé vers la page d'inscription EMM pour Android.
Sélectionnez Inscrire avec Google. Vous serez redirigé vers un assistant de configuration Google.
Lorsque vous êtes invité à saisir votre adresse e-mail professionnelle, saisissez l'adresse e-mail du compte GMail qui doit gérer l'entreprise Google Play gérée. Si vous créez une entreprise, sélectionnez S'inscrire pour Android uniquement.
Suivez les invites pour terminer l'enregistrement de l'entreprise Google Play gérée. Si nécessaire, fournissez des informations supplémentaires sur votre organisation.

Création d'utilisateurs d'enrôlement Android (entreprises Google Domain gérées héritées uniquement)

VMware vous suggère de créer automatiquement des utilisateurs pour Android lors de l'inscription. L'assistant de configuration Android vous permet d'indiquer si vous voulez créer automatiquement des comptes d'utilisateur pendant l'enrôlement, et si oui, si vous souhaitez utiliser SAML pour authentifier les comptes. Si vous n'avez pas configuré SAML auparavant, l'assistant affichera un lien qui vous dirigera vers la configuration de vos paramètres.

Création automatique des utilisateurs

Répondez Oui à l'invite Créer des comptes Google lors de l'enrôlement à partir de l'e-mail de l'utilisateurs enrôlé.
Sélectionnez Oui pour utiliser le point de terminaison SAML pour l'authentification des comptes.

Si vous n'avez pas configuré SAML, l'assistant vous demandera de configurer les paramètres d'authentification SAML.
Répondez Oui à l'invite Utiliser SAML pour l'authentification du compte Google, ce qui vous oblige à configurer l'authentification Single Sign-On dans la console d'administration Google.
Sélectionnez Enregistrer pour terminer la configuration d'Android.

Création manuelle des utilisateurs

Vous pouvez créer manuellement des comptes utilisateurs pour l'ensemble de votre entreprise en dehors de Workspace ONE UEM Console en utilisant l'outil Google Cloud Directory Sync (GCDS) ou la console d'administration Google. Pour accéder à la console d'administration Google, vous pouvez cliquer sur le lien fourni dans l'assistant de configuration. Vous devrez contacter Google pour en savoir plus sur l'utilisation de la console.

La méthode GCDS exige que vous utilisiez des paramètres similaires à ceux des services d'annuaire AirWatch. Accédez aux paramètres des services d'annuaire en naviguant vers Groupes et paramètres ► Tous les paramètres ► Système ► Intégration d'entreprise ► Services d'annuaire.

Vous pouvez accéder à l'outil GCDS en cliquant sur le lien affiché dans l'assistant de configuration ou en téléchargeant l'outil directement sur votre ordinateur à partir de la page d'assistance Google.

L'outil GDCS vous permet de créer manuellement en une seule fois des comptes Google pour tous les employés de votre entreprise. Les comptes sont créés en se synchronisant avec les informations stockées de vos services d'annuaire VMware Workspace ONE Directory.

Remarque : les informations présentées ici sont à jour par rapport à la dernière version de GCDS v4.4.0 pour mars 2017.

Sélectionnez le lien à partir de l'assistant de configuration ou téléchargez l'outil GDCS directement depuis Google.
Ouvrez l'outil à partir de votre bureau et sélectionnez les Comptes utilisateur et les Groupes à synchroniser.
Sélectionnez l'onglet Configuration du domaine Google et entrez les informations suivantes :
1. Entrez le nom du domaine principal.
2. Sélectionnez cette option pour remplacer les noms de domaine dans l'adresse e-mail LDAP (des utilisateurs et des groupes) par ce nom de domaine. Cela permettra de s'assurer que toutes les adresses e-mail des utilisateurs correspondent au nom de domaine.
Sélectionnez le bouton Autoriser maintenant.
Suivez les étapes pour poursuivre le processus d'autorisation lorsque la boîte de dialogue Autoriser la synchronisation de l'annuaire des applications Google s'affiche.
1. Connectez-vous à votre compte administrateur Android.
2. Entrez le code de vérification reçu par e-mail.
3. Sélectionnez Valider pour confirmer ces paramètres.
Sélectionnez l'onglet Configuration LDAP pour entrer les paramètres de connexion afin de synchroniser les services d'annuaire AirWatch avec Google. Vous pouvez alors entrer les mêmes paramètres que ceux enregistrés dans les services d'annuaire AirWatch pour les synchroniser avec cet outil. Pour accéder à ces paramètres, naviguant vers Groupes et paramètres ► Tous les paramètres ► Système ► Intégration d'entreprise ► Services d'annuaire.
Sélectionnez Test de la connexion. Si la synchronisation a réussi, les comptes Active Directory liés et les comptes Google d'entreprise sont automatiquement créés dans Google.

Vous serez redirigé vers l'assistant de configuration pour terminer la configuration.

Effacement de la liaison Android Enterprise avec Workspace ONE UEM

Vous pouvez annuler la liaison de votre environnement Workspace ONE UEM d'une entreprise Google Domain gérée ou d'une entreprise Google Play gérée.

Avertissement : La liaison Android Enterprise est requise pour la fonctionnalité critique de gestion des terminaux Android. La seule façon de restaurer cette fonctionnalité de gestion pour les terminaux précédemment enrôlés dans l'environnement Workspace ONE UEM consiste à rétablir la liaison au même Android Enterprise. Google supprime automatiquement les entreprises qui n'ont pas été liées à Workspace ONE UEM depuis 30 jours, auquel cas elles sont irrécupérables.

Accédez à Terminaux > Paramètres des terminaux > Terminaux et utilisateurs > Android > Enregistrement EMM Android.
Sélectionnez Effacer les paramètres sur la page d'inscription EMM pour Android.