Hoe kunt u toestellen inschrijven in Workspace ONE UEM?

Toestellen in bulk inschrijven gebeurt normaal gesproken voor nieuwe klanten die toestellen van eindgebruikers in hun omgeving willen onderbrengen, onder beheer van Workspace ONE UEM. Deze gedetailleerde usecases tonen elke stap voor het in bulk inschrijven van uw apparaten via drie van de populairste paden, Breng Uw Eigen Apparaat (BYOD), bedrijfseigen persoonlijk ingeschakeld (COPE) en gedeelde apparaten.

Bring Your Own Device (BYOD)

Privacy-overwegingen

U kunt zo preventieve stappen nemen om privacyproblemen die uw eindgebruikers wellicht hebben, te ondervangen. Zie Privacy voor BYOD-implementaties voor gedetailleerde instructies over het configureren van privacyinstellingen in Workspace ONE UEM.

1. Integratie met Directory Services

Directory services instellen met een wizard

De Workspace ONE UEM-console biedt een vereenvoudigde wizard die het installatieproces van directory services stroomlijnt. De wizard bevat stappen die Security Assertion Markup Language (SAML), Lightweight Directory Access Protocol (LDAP) of beide integreren. De wizard automatiseert ook de inrichting van Workspace ONE UEM applicaties op VMware Identity Manager, waardoor het proces sterk wordt vereenvoudigd.

Raadpleeg Workspace ONE UEM integratie met Workspace ONE Access voor meer informatie over de integratie van Workspace ONE UEM met Workspace ONE Access en de uitrol van Workspace ONE met single signon bij toestellen.

N.B: Als u al SAML- of LDAP-instellingen op uw directory services-server heeft geconfigureerd, detecteert de UEM-console deze automatisch.

U kunt de installatiewizard voor directory services vanaf twee plaatsen openen.
- De belangrijkste 'Aan de slag'-UEM Console-wizard.
- Navigeer naar Groepen en instellingen > Alle instellingen > Systeem- > Bedrijfsintegratie > Directory services en selecteer Installatiewizard starten.
Wanneer u de wizard start, selecteert u Configureren om de stappen uit te voeren.

Directory services handmatig instellen

U kunt ook de wizard overslaan en directoryservices handmatig configureren om uw de instellingen zelf te configureren.

2. Inschrijvingsopties instellen

Ga naar de organisatiegroep van het klanttype waarvoor u al uw BYOD-apparaten wilt beheren. Het configureren van inschrijvingsopties is eenvoudiger als u zich in de juiste organisatiegroep bevindt. Raadpleeg Organisatiegroepen wijzigen voor meer informatie.
Navigeer naar Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > inschrijving. Als de opties op het eerste tabblad, Verificatie grijs en niet selecteerbaar zijn, selecteert u de optie Ongedaan maken in Huidige instellingen om al deze opties in te schakelen.
1. Selecteer op het tabblad Verificatie de knop E-maildomein toevoegen. Het scherm E-maildomein toevoegen wordt weergegeven.
2. Voer uw zakelijke e-maildomein in, bijvoorbeeld acme.com, en een e-mailadres voor de bevestiging, bijvoorbeeld [email protected]. Als u meerdere domeinen gebruikt, herhaalt u stappen 1 en 2 voor elk domein dat uw werknemers gebruiken. Het e-mailadres dat u hier invoert, ontvangt inschrijvingsbevestigingen.
3. Schakel de selectie voor Basis uit en selecteer Directory onder Verificatiemode(s). Laat Verificatieproxy uitgevinkt.
4. Schakel Workspace ONE UEM in onder Verificatiebron voor Intelligent hub. Als u andere VMware-producten gebruikt, zoals vRA, vShield, NSX en dergelijke, selecteert u in plaats daarvan Workspace ONE Access.
5. Selecteer Open inschrijving under Mode voor toestelinschrijving. Deze instelling betekent dat u geen lijst met toestellen maakt die zich mogen inschrijven en dat u geen registratietoken vereist.
6. Voor de volgende drie opties voor iOS en macOS bekijkt u de infobadges naast elke optie om te bepalen welke opties het meest zinvol zijn voor uw gebruikersgroep.
7. Selecteer Opslaan.
Selecteer, terwijl u nog in Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > inschrijving zit, het tabblad Beheermode. Als de opties grijs en niet selecteerbaar zijn, selecteert u de optie Ongedaan maken in Huidige instelling om al deze opties in te schakelen.

Toestellen die ingeschreven zijn met Intelligent hub worden standaard door MDM beheerd. Met de beheermode kunt u MDM-beheer op basis van platformen uitschrijven voor toestellen die u wilt inschrijven in Workspace ONE UEM door een alternatief beheermechanisme te kiezen, zoals een op apps gebaseerde, geregistreerde mode of onbeheerd. Schakel het platform in en selecteer de juiste smart group zodat deze toestellen zonder MDM-beheer kunnen worden ingeschreven. Inschrijving kan worden ingeschakeld op basis van de volgende criteria bij het gebruik van smart groups: Versie van het besturingssysteem, eigendomstype en gebruikersgroep. Gebruik applicatiebeleid voor adaptief beheer om apparaatbeheerniveaus te bepalen voor iOS-apparaten die zonder beheer zijn ingeschreven. Als u MDM-beheer wilt behouden, slaat u dit inschrijvingstabblad over en gaat u door met stap 4 (Hub-integratie).
1. Voor elk platform waarvoor u MDM-beheer wilt vervangen door een alternatief beheermechanisme, selecteert u de knop Inschakelen voor dat platform.
2. Selecteer onder Alle [platform]-apparaten in deze organisatiegroep Inschakelen als u wilt dat alle toestellen die zich inschrijven in deze organisatiegroep, zich afmelden voor MDM-beheer. Deze apparaten kunnen worden beheerd in de geregistreerde mode of op applicatieniveau. Ze kunnen ook onbeheerd blijven. Selecteer Uitgeschakeld en klik op het tekstvak om het dropdownmenu te activeren. Selecteer de naam van de smart group om inhoud aan die toestellen toe te wijzen. Alle toestellen op hetzelfde platform die zich inschrijven in deze organisatiegroep, maar niet zijn opgenomen in de smart group, worden ingeschreven als door MDM beheerd.
  
  Als u deze smart group nog niet hebt gemaakt, selecteert u de knop Smart Group maken onderaan het dropdownmenu. Volg vervolgens de instructies in Een smart group creëren, zorg ervoor dat u het criteria-pad volgt en zorg er ook voor dat uw platformen overeenkomen: maak een iOS-smart group voor de iOS-beheermode, maak een Android-smart group voor de Android-beheermode, enzovoort.
3. Selecteer Opslaan.
Selecteer, terwijl u nog in Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > inschrijving zit, het tabblad Hub-integratie. Als de opties grijs en niet selecteerbaar zijn, selecteert u de optie Ongedaan maken in Huidige instelling om al deze opties in te schakelen.
1. Selecteer Ingeschakeld onder Hub services-functies in Intelligent hub om toestellen in deze organisatiegroep toestemming te geven verbinding met Workspace ONE Hub Services te maken voor functies zoals Appcatalogus en Personen. Selecteer Uitschakelen om u af te melden voor die Hub services-functies.
2. Selecteer Opslaan.
Selecteer, terwijl u nog in Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > inschrijving zit, het tabblad Gebruiksovereenkomst. Als de opties grijs en niet selecteerbaar zijn, selecteert u de optie Ongedaan maken in Huidige instelling om al deze opties in te schakelen.
1. Selecteer Ingeschakeld onder Vereis acceptatie van gebruiksvoorwaarden voor inschrijving om te vereisen dat uw eindgebruikers akkoord gaan met de gebruiksvoorwaarden die u specificeert voordat ze zich mogen inschrijven. Selecteer Uitgeschakeld om acceptatie van de gebruiksvoorwaarden optioneel te maken voor inschrijving.
2. (Optioneel) Klik op de knop Gebruiksvoorwaarden voor nieuwe inschrijving toevoegen en het scherm Nieuwe gebruiksvoorwaarden maken wordt weergegeven, zodat u een gebruikersovereenkomst kunt invoeren. U kunt opties opgeven zoals Platformen, Eigendomstype van toestel, Inschrijvingstype en Taal. Raadpleeg uw juridische team om effectieve gebruiksvoorwaarden te creëren. Selecteer Opslaan om de overeenkomst op te slaan.
3. Selecteer Opslaan om uw tabbladselecties voor gebruiksvoorwaarden op te slaan.
Selecteer, terwijl u nog in Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > Inschrijving zit, het tabblad Groeperen. Als de opties grijs en niet selecteerbaar zijn, selecteert u de optie Ongedaan maken in Huidige instelling om al deze opties in te schakelen.
1. Selecteer Standaard onder Groeps-ID toewijzingsmode.
2. Selecteer Eigendom van werknemer als Standaard apparaateigendom onder de Standaard-sectie. Dit is het hoofdkenmerk van een BYOD-uitrol.
3. Selecteer in de sectie Standaard voor Standaardrol Basistoegang, Volledige toegang of selecteer een rol die u hebt voorbereid.
4. Ga naar de sectie Standaard voor Standaardactie voor inactieve gebruikers en selecteer Bedrijfsgegevens momenteel ingeschreven toestellen wissen. Deze optie past de beste bescherming toe tegen intellectuele/zakelijke datalekken in geval van diefstal of verlies van een toestel.
5. Selecteer onder de sectie Synchronisatie van gebruikersgroepen voor Synchroniseer gebruikersgroepen in realtime voor Workspace ONE de optie Uitgeschakeld. Als dit is ingeschakeld kan Workspace ONE gebruikersgroepen synchroniseren voor een bepaalde gebruiker als hij of zij zich met de UEM-console registreert. Vanwege de gevolgen voor de snelheid van Workspace ONE UEM moet u deze optie alleen inschakelen als gebruikersgroepen regelmatig veranderen, omdat deze invloed hebben het feit of een toestel mag worden geregistreerd of niet.
6. Vink de checkbox voor Inschakelen Directory Group-Based Mapping uit onder Gebruikersrol mapping om niet te kiezen voor het inrichten van rollen op basis van de gebruikersgroepen in uw directory services. Vink de checkbox aan om alle gebruikersgroepen in uw directoryservice te beheren en gebruik deze informatie om specifieke rollen toe te wijzen. Zo kunt u bijvoorbeeld "Rol x" toepassen op iedereen in uw directory service-gebruikersgroep "Beheerders", terwijl u "Rol y" toepast op iedereen in een andere gebruikersgroep.
Selecteer, terwijl u nog in Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > inschrijving zit, het tabblad Beperkingen. Als de opties grijs en niet selecteerbaar zijn, selecteert u de optie Ongedaan maken in Huidige instelling om al deze opties in te schakelen.

1. Als uw eindgebruikers niet zijn toegevoegd als gebruikers aan Workspace ONE UEM en ze toestellen voor het eerst inschrijven, laat u de checkbox onder Toegangscontrole van gebruikers leeg voor Beperk inschrijving tot bekende gebruikers. Als u echter gebruikers in bulk hebt geïmporteerd of naar het Selfservice-portaal heeft verzonden om zichzelf toe te voegen, kunt u overwegen deze checkbox uit te vinken. 2. Als u uw directory service niet met gebruikersgroepen heeft geïntegreerd dan vinkt u onder Toegangscontrole voor gebruikers de checkbox voor Beperk inschrijving tot geconfigureerde groepen uit. Als u echter uw directory service doelbewust hebt geïntegreerd met Workspace ONE UEM die gebruikersgroepen in UEM maakt op basis van uw gebruikersgroepen in de directory services, kunt u overwegen deze checkbox aan te vinken om inschrijving te beperken tot alleen die gebruikers die deel uitmaken van een van deze gebruikersgroepen in de directory service.

3. In de sectie Beleidsinstellingen kunt u de knop Beleid toevoegen selecteren om inschrijven handmatig te beperken op basis van factoren die u bepaalt. Deze factoren zijn onder andere eigendomstype, inschrijvingstype, toestelplatform, toestelmodel en besturingssysteem.

U kunt meerdere regels, bijvoorbeeld één beleid per platform, een minimummodel of OS-versie specificeren, en alleen die toestellen toestaan in te schrijven. Dit kan een krachtige gereedschap zijn, zoals u verderop in stap 5 zult zien.

4. Als MDM voor Workspace ONE vereist is ingeschakeld in de sectie Beheervereisten voor Workspace ONE, worden toestellen die aan de toegewezen criteria voldoen gevraagd zich onmiddellijk in te schrijven na het inloggen in Workspace ONE. Toestellen die niet aan de toegewezen criteria voldoen, mogen inloggen met een onbeheerde status. Deze worden op een later tijdstip mogelijk beheerd via Adaptief beheer. Voor deze optie is Workspace ONE applicatie 3.2 of hoger vereist.

5. In de sectie Groeptoewijzingsinstellingen kunt u beleidsregels die u in stap 3 definieert toepassen en de relevante toestellen naar de gebruikersgroep van uw keuze sturen.

Bijvoorbeeld: als u een beperkingsbeleid heeft gemaakt dat alleen persoonlijke (BYOD) Android-toestellen versie 10 of hoger toestaat en een tweede beperkingsbeleid dat alleen persoonlijke (BYOD) iPhones versie 15 of hoger toestaat, kunt u het zo configureren dat Android-gebruikers aan één gebruikersgroep worden toegevoegd en iPhone gebruikers aan een andere gebruikersgroep worden toegevoegd. Een dergelijke organisatie kan in de toekomst nuttig zijn voor inhoudsbeheer.
De overige tabbladen, Optionele prompt en Aanpassingen zijn de gebruikersvriendelijke opties voor de eindgebruiker, die minder belangrijk zijn voor de BYOD-functionaliteit. Raadpleeg Optionele prompt en Aanpassingen voor gedetailleerde instructies over alle beschikbare opties.

3. Inschrijven met Intelligent Hub

Toestellen inschrijven met de Workspace ONE Intelligent Hub is de primaire optie voor Android-, iOS- en Windows-toestellen in Workspace ONE Express en Workspace ONE UEM.

Download en installeer de Workspace ONE Intelligent Hub van de Google Play Store (voor Android-toestellen) of van de App Store (voor Apple-toestellen).

Voor het downloaden van Workspace ONE Intelligent Hub via een publieke App Store heeft u een Apple ID of een Google-account nodig.

Windows 10-toestellen moeten de standaardbrowser op het toestel verwijzen naar https://getwsone.com om de hub te downloaden.
Voer de Workspace ONE Intelligent Hub uit na het downloaden of keer terug naar uw browsersessie.

Belangrijk: Om ervoor te zorgen dat Workspace ONE Intelligent Hub correct op uw Android-toestel wordt geïnstalleerd en goed functioneert, dient het toestel tenminste 60 MB aan ruimte beschikbaar hebben. U kunt CPU en Run Time Memory op appbasis toewijzen op het Android-platform. Als een applicatie meer resources gebruikt dan zijn toegewezen, wordt deze applicatie op Android-toestellen automatisch gesloten.
Voer uw e-mailadres in wanneer u daarom wordt gevraagd. De Workspace ONE console controleert of uw adres aan de omgeving is toegevoegd. In dat geval bent u al als eindgebruiker bekend en is er al een organisatiegroep aan u toegewezen.

Als de Workspace ONE console op basis van uw e-mailadres geen inloggegevens voor u kan vinden, wordt u gevraagd om uw Server, Groeps-ID en Inloggegevens in te voeren. Uw beheerder kan u voorzien van de omgevings-URL en groeps-ID.
Rond de inschrijving af door de resterende vragen te beantwoorden. U kunt uw e-mailadres gebruiken in plaats van uw gebruikersnaam. Als twee gebruikers hetzelfde e-mailadres hebben, mislukt de inschrijving.

Het toestel is nu ingeschreven bij de Workspace ONE Intelligent Hub-app. Op het tabblad Samenvatting van het Detailoverzicht voor toestellen voor dit toestel wordt in het beveiligingspaneel 'Hub geregistreerd' weergegeven om deze inschrijfmethode aan te geven.

Bedrijfseigen persoonlijk ingeschakelde (COPE) Workspace ONE directe inschrijving

Directe inschrijving is de eenvoudigste manier om toestellen in te schrijven die bedrijfseigendom zijn en ook privé gebruikt mogen worden (corporate-owned and personally enabled, COPE). Het COPE-model geeft bedrijven de mogelijkheid om een balans te vinden tussen de gebruikersgerichtheid van toestellen en de beveiliging en controle die IT nodig heeft.

Als beheerder kunt u Directe inschrijving configureren met de gewenste opties. Met deze opties kunt u een optionele vraag stellen, beperkingen opleggen per toesteltype, beperkingen opleggen per gebruikersgroep en de installatie van applicaties naar de gebruiker uitstellen.

Directe inschrijving is standaard gedeactiveerd. Zo schakelt u directe inschrijving in met Workspace ONE.

Schakel over naar de organisatiegroep waarvoor u wilt Directe inschrijving voor Workspace ONE wilt inschakelen. De organisatiegroep waarnaar u wilt verplaatsen, is de organisatiegroep waarin u alle COPE-apparaten die zich inschrijven wilt opnemen. Dezelfde organisatiegroep is degene die u in de nabije toekomst selecteert om smart groups te beheren die u gebruikt om toestelprofielen te leveren voor COPE, conformiteitsbeleid voor COPE, apps voor COPE en andere inhoud voor COPE.
Navigeer naar Groepen en instellingen > Alle instellingen > Toestellen en gebruikers > Algemeen > Inschrijving en selecteer het tabblad Beperkingen.

Schuif omlaag naar de beheervereisten voor Workspace ONE en selecteer uw configuratie-opties. Selecteer indien nodig, dat u de bovenliggende organisatiegroep-instellingen wilt overschrijven.

deze gedeeltelijke schermafbeelding toont het tabblad Beperkingen voor Inschrijvingsinstellingen

Instelling	Beschrijving
MDM verplichten voor Workspace ONE	Vraag gekwalificeerde toestellen en gebruikers om direct na het inloggen bij Workspace ONE te worden ingeschreven. Toestellen die buiten de ingestelde criteria vallen, mogen worden ingeschreven met een onbeheerde status. Deze kunnen op een later tijdstip wel worden beheerd (Adaptief beheer).
Toegewezen gebruikersgroep	Deze instelling bepaalt welke gebruikersgroep u wilt opnemen in het directe inschrijvingsproces. U kunt ook Alle gebruikers selecteren. Dit is de standaardselectie wanneer u MDM verplichten voor Workspace ONE inschakelt.
iOS	Schakel deze instelling in als u iOS-toestellen wilt opnemen. Als u Gedeactiveerd kiest, komen iOS-toestellen niet in aanmerking komen voor directe inschrijving, hoewel deze nog wel met een onbeheerde status kunnen worden ingeschreven in Workspace ONE UEM.
Android Legacy	Schakel deze optie in om oudere Android-toestellen op te nemen. Als u Gedeactiveerd kiest, komen oudere Android-toestellen niet in aanmerking voor directe inschrijving, hoewel deze nog wel met een onbeheerde status kunnen worden ingeschreven in Workspace ONE UEM.
Android Enterprise	Schakel deze instelling in om Android-bedrijfstoestellen op te nemen. Als u Gedeactiveerd kiest, komen Android-bedrijfstoestellen niet in aanmerking voor directe inschrijving, hoewel deze nog wel met een onbeheerde status kunnen worden ingeschreven in Workspace ONE UEM.

De overige stappen moeten door de eindgebruiker worden uitgevoerd. Een e-mail met gedetailleerde inschrijfstappen naar uw eindgebruikers verzenden is over het algemeen de aangewezen manier om dit te doen.

Vraag de eindgebruiker om de Workspace ONE-app te downloaden, te installeren en uit te voeren vanuit de apstore of repository voor het betreffende platform.
Voer de server-URL of uw e-mailadres in. U kunt deze informatie in de inschrijvingse-mail aan eindgebruikers toevoegen.
Voer uw gebruikersnaam en wachtwoord voor de directory services in.
Installeer of activeer Workspace Services door voor uw platform specifieke bevestigende stappen te selecteren.
1. iOS – Geef de server toestemming om Instellingen te openen, voer de toegangscode van uw toestel in, installeer een niet-ondertekend toestelprofiel en open een scherm in Workspace.
2. Android Legacy – Installeer Workspace ONE Intelligent Hub, geef dit toestemming om oproepen te plaatsen en te beheren, selecteer het eigendomstype voor uw toestel met een optie om het activanummer van uw toestel in te voeren, activeer de beheerapplicatie van het toestel en meld u vervolgens aan bij Workspace ONE.
3. Android Enterprise – Accepteer (of weiger) de gebruiksvoorwaarden, stel het werkprofiel in en maak de toegangscode voor Workspace ONE.
Als het installatieproces van Workspace ONE is voltooid, kan een eindgebruiker Doorgaan om apps te installeren.
Eindgebruikers kunnen individuele applicaties die zijn geselecteerd uit een lijst installeren via Alle installeren of deze stap in zijn geheel Overslaan.

Ondersteunde opties voor Directe inschrijving voor Workspace ONE

Navigeer naar Groepen en Instellingen > Alle instellingen > Toestellen en gebruikers > Algemeen > Inschrijving, selecteer elk relevant tabblad en maak uw selecties op basis van de compatibiliteit met Directe inschrijving voor Workspace ONE.

Verificatie

De volgende verificatieopties zijn compatibel met Directe inschrijving voor Workspace ONE.

Directorygebruikers.
SAML plus Active Directory-gebruikers worden 'ad hoc' ondersteund. SAML zonder LDAP-gebruikers wordt ondersteund, zolang het record van de gebruiker reeds bestaat in Workspace ONE UEM op het moment van de eerste aanmelding.
Basisgebruikers, Staging-gebruikers, SAML zonder Directory-gebruikers en verificatieproxygebruikers worden niet ondersteund.
Open inschrijving.
Workspace ONE controleert niet de instellingen Workspace ONE Intelligent Hub vereisen voor iOS of Workspace ONE Intelligent Hub vereisen voor macOS, die worden gebruikt om inschrijving via het internet op hun respectieve platforms te blokkeren.

Gebruiksvoorwaarden

Alle opties voor gebruiksvoorwaarden zijn compatibel met Directe inschrijving voor Workspace ONE.

Groepen

Alle groeperingsopties zijn compatibel met Directe inschrijving voor Workspace ONE.

Beperkingen

De volgende beperkingsopties zijn compatibel met Directe inschrijving voor Workspace ONE.

Bekende gebruikers en geconfigureerde groepen.
Limiet voor maximumaantal ingeschreven toestellen.
Instellingen voor beleid worden gedeeltelijk ondersteund.
- Toegestane eigendomstypen – Workspace ONE vraagt alleen bij persoonlijke en bedrijfseigen toestellen. Als u beide niet wilt, deactiveert u optionele vraag en gebruikt u het standaard eigendomstype.
- Toegestane inschrijvingstypen worden niet ondersteund.
Toestelplatform, Toestelmodel en OS-beperkingen worden ondersteund.
Beperkingen op basis van gebruikersgroep.

Optionele vragen

De volgende opties voor optionele vragen zijn compatibel met Directe inschrijving voor Workspace ONE.

Vraag naar eigendom van het toestel.
Vraag naar toestelnummer (alleen ondersteund wanneer Vraag naar eigendom van het toestel is ingeschakeld).
Alle andere optionele vragen worden niet ondersteund.

Aanpassing

De volgende aanpassingsopties zijn compatibel met Directe inschrijving voor Workspace ONE.

Gebruik een specifiek berichtsjabloon voor elk platform.
URL van bestemmingspagina na inschrijving (alleen iOS).
MDM-profielbericht (alleen iOS).
Gebruik op maat gemaakte MDM-applicaties.
Inschrijving van het e-mailadres en telefoonnummer van de helpdesk worden niet ondersteund.

Inrichtings-

Het stagen van toestellen in dit COPE-model met behulp van het proces voor directe inschrijving wordt niet ondersteund. Als u de toestelinrichting voor één of meerdere gebruikers moet voorbereiden, moet u het toestel inschrijven door middel van VMware Workspace ONE Intelligent Hub volgens de volgende platformspecifieke configuraties: