Aby zarejestrować nową organizację za pomocą konsoli EMM, musisz utworzyć
Enterprise. An
Enterprises
zasób reprezentuje
między dostawcą usług EMM a organizacją. Użycie instancji pozwala na
wywoływania operacji w imieniu organizacji.
Interfejs Play EMM API oferuje 3 sposoby tworzenia instancji powiązań firmowych:
Rejestracja zarządzanej domeny Google – tej metody można używać zamiast obu innych metod. Organizacje z istniejąca zarządzana domena Google lub organizacja, które dopiero zaczynają współpracować Google będzie używać tego samego interfejsu rejestracji. Podróż klienta przez interfejs różnią się w zależności od ich sytuacji i potrzeb. Organizacja nie musi uzyskać token EMM z wyprzedzeniem.
Rejestracja w zarządzanych kontach Google Play – organizacja chce korzystać z kont zarządzanego Sklepu Google Play. Możesz zintegrować Interfejs rejestracji w aplikacji Google na Androida z konsolą EMM i umożliwiające organizacjom szybki sposób na utworzenie instancji powiązania w firmie, która wiąże je z usług EMM. Spowoduje to włączenie zarządzanych kont Google Play dla użytkowników i urządzeń. W interfejsie API ta metoda jest czasami nazywana inicjowaną przez EMM. dokumentacji. Ta metoda jest wycofana i zastąpiona zarządzaną domeną Google metody rejestracji.
Rejestracja domeny zarządzanej Google – organizacja ma już zarządzaną domenę Google. Ukończono przez administratorów IT kilku ręcznych działań, takich jak weryfikacja własności domeny w Google, uzyskanie token usług EMM i utworzyć konto usługi dla firm. To podejście czasami w dokumentacji interfejsu API określany jako zainicjowany przez Google.
Każdy z tych sposobów możesz włączyć w konsoli EMM za pomocą
Enterprises
. Tabela 1
pokazuje odpowiednie pola i operacje dla tego zasobu do powiązania
organizacji z dostawcami usług EMM.
Tabela 1. Interfejsy API dla firm i alternatywne procesy wiązania
Grupa kont zarządzanego Sklepu Google Play | Zarządzana domena Google | Opis | |
---|---|---|---|
Pole | |||
id | Unikalny identyfikator organizacji zwrócony z wywołań enroll i completeSignup. | ||
rodzaj | Określa typ zasobu za pomocą stałej wartości ciągu znaków: hangouts-androidenterprise#enterpriseenterprise. | ||
nazwa | Powiązana organizacja
z obiektem enterprise . | ||
primaryDomain | Nie ustawiono | Grupy kont zarządzanego Sklepu Google Play nie są powiązane w przypadku modelu domeny Google, to pole ma znaczenie tylko w przypadku zarządzanych domeny. | |
administrator[] | Nie ustaw | Administrator IT, który zarejestrował urządzenie z Androidem przy użyciu Proces rejestracji zainicjowany przez EMM staje się administratorem (właścicielem) konta Enterprise. W zarządzanej Konsoli Google Play administrator IT może zapraszać innym użytkownikom w organizacji do udziału w zadaniach administracyjnych. Zobacz Zarządzane konta Google Centrum pomocy Google Play. | |
administrator[].email | Nie ustawiono | ||
Metody | |||
completeSignup | Otrzymujesz: completionToken
i enterpriseToken zwraca zasób Enterprises w
treść odpowiedzi. | ||
generateSignupUrl | Biorąc pod uwagę callbackUrl ,
zwraca URL i completionToken . | ||
zarejestruj | Rejestruje rozmówcę u dostawcy usług EMM, którego wraz z żądaniem przesłano token. | ||
getServiceAccount | zwraca konto usługi, dane logowania. | ||
setAccount | Ustawia konto, które będzie używane do uwierzytelniać się w interfejsie API jako organizacja. | ||
wyrejestrowanie | Dostawcy usług EMM mogą przeciąć powiązania między typu firmy korzystającej z wyrejestrowania. Musi zostać wywołana za pomocą usług EMM dane logowania do umowy MSA, a nie dane logowania ESA. |
Rejestracja w zarządzanym Sklepie Google Play
Ta metoda rejestracji została wycofana. Użyj rejestracji w zarządzanej domenie Google.
Rejestracja zarządzanej domeny Google
Proces rejestracji możesz zintegrować w konsoli EMM:
![Rejestracja administratora zarządzanych kont Google Play](https://developers-dot-devsite-v2-prod.appspot.com/static/android/work/play/emm-api/images/mgpa-admin-workflow.png?authuser=6&hl=pl)
Administrator IT rozpoczyna proces tworzenia firmy. W tym celu dział IT administrator:
- Zaloguj się w konsoli EMM.
- kliknie lub wybierze opcję Skonfiguruj Androida (np.) i zostanie przekierowany do interfejsu rejestracji udostępnianego przez Google.
- Wyświetla szczegółowe informacje o firmie w interfejsie rejestracji.
- Nastąpi przekierowanie do konsoli EMM.
Adres e-mail administratora IT jest teraz połączony z kontem Google, które jest administratorem w zarządzanej domenie Google.
Sprawdzona metoda: postępuj zgodnie z zasadami dotyczącymi bezpieczeństwa Google , dzięki którym aby zadbać o bezpieczeństwo konta administratora.
Wymagania wstępne
Dla administratorów IT
Dostęp do konsoli EMM i uprawnienia niezbędne do wyboru w konsoli (np. Zarządzaj Androidem jako opcja w menu).
Służbowy adres e-mail. Powinna to być część domeny należącej do organizacji, a nie domeny udostępnionej takiej jak Gmail.com
W konsoli EMM
Aby wdrożyć proces rejestracji zarządzanej domeny Google, użyj konsoli EMM. musi mieć możliwość:
Używaj swoich danych logowania MSA podczas wywoływania wywołań interfejsów API EMM Play. Obowiązkowe powiadomienie jest używany do wywoływania wielu operacji w imieniu administratora IT do momentu konto usługi Enterprise organizacji (ESA) zostało skonfigurowane.
Obsługa przekierowań przez bezpieczny adres URL do zewnętrznej witryny udostępnionej przez Google w celu: rozpocznij proces rejestracji i dokończ proces rejestracji.
Możliwość konfiguracji za pomocą danych logowania ESA po rejestracji. Ponieważ Twój dostawca usług EMM za pomocą konsoli Google Cloud można tworzyć wiele przedsiębiorstw w ramach jednej witryny, musisz mieć sposób powiązania każdego
enterpriseId
z jego własną usługą konta i danych logowania. Rozważ utworzenie kont usługi dla organizacji, dzwoniąc pod numerEnterprises.getServiceAccount
do zarządzania kluczami i zarządzania nimi za pomocą Interfejsy APIServiceaccountkeys
. Zobacz Automatyczne tworzenie firmowych kont usługi .
Proces rejestracji na Androidzie wymaga udostępnienia bezpiecznej usługi (https) korzystanie z konsoli w czasie działania. Adres URL tej bezpiecznej usługi może być lokalnym adresem URL i może zawierać informacje o sesji lub inne informacje umożliwiające identyfikację, pod warunkiem że są aby system mógł go przeanalizować. Na przykład:
https://localhost:8080/enrollmentcomplete?session=12345
Proces rejestracji
Proces rejestracji powinien potrwać mniej niż 5 minut. Aby to zrobić:
zakładamy, że serwer hostujący callbackUrl
działa. Aby to zrobić:
Zakładamy też, że konsola zawiera komponent interfejsu, taki jak wybór menu
z wybraną opcją Zarządzaj Androidem, która rozpoczyna proces rejestracji, gdy
wybierze tę opcję uwierzytelniony administrator IT.
![12-etapowy proces rejestracji kont zarządzanego Sklepu Google Play
Enterprise](https://developers-dot-devsite-v2-prod.appspot.com/static/android/work/play/emm-api/images/afwa-enroll-enterprise.png?authuser=6&hl=pl)
Administrator IT wysyła prośbę o rejestrację w konsoli EMM.
Zadzwoń pod numer
Enterprises.generateSignupUrl
zcallbackURL
jako jedynym parametrem. Przykład:https://localhost:8080/enrollcomplete?session=12345
Odpowiedź będzie zawierać URL do rejestracji (ważny 30 minut) oraz token ukończenia. Wyodrębnij i zapisz token ukończenia.
Sprawdzona metoda: powiąż token ukończenia z administratorem IT, który zainicjował rejestrację.
Wyodrębnij
url
z odpowiedzigenerateSignupURL
.Przekieruj użytkownika na adres URL wyodrębniony w kroku 4.
Administrator IT wykonuje proces konfiguracji w interfejsie rejestracji, aby utworzyć powiązanie w firmie:
Administrator IT podaje informacje o sobie i organizacji oraz ustawia hasło, jeśli klient nie ma jeszcze konta Google.
Administrator IT widzi nazwę usługi EMM i potwierdza, że Twoja organizacja będzie powiązana z tym dostawcą usług EMM.
Administrator IT akceptuje warunki korzystania z usług Google.
Interfejs rejestracji generuje adres URL wywołania zwrotnego na podstawie adresu URL określonego w kroku 2.
Interfejs rejestracji przekierowuje administratora IT na adres URL wywołania zwrotnego. Rozpakuj i zapisz token przedsiębiorstwa dla adresu URL. Przykład:
https://localhost:8080/enrollcomplete?session=12345&enterpriseToken=5h3jCC903lop1
Zadzwoń pod numer
Enterprises.completeSignup
. przechodzące testycompletionToken
(krok 3) ienterpriseToken
(krok 8).Wywołanie zwraca
Enterprises
instancja w treści odpowiedzi. Przechowujid
,name
oraz adres e-mail administratora (jeśli obecne) do wykorzystania w przyszłości.Utwórz firmowe konto usługi (ESA). Dane logowania ESA mają postać adresu e-mail i klucza prywatnego. Istnieją 2 sposoby tworzenia ESA:
- Sprawdzona metoda: automatycznie utwórz ESA. za pomocą interfejsu Play EMM API.
- Wyświetl stronę, na której administrator IT może utworzyć ESA w Google Konsola API. Zobacz Tworzenie usługi Konto aby uzyskać bardziej szczegółowe informacje (poproś administratora, aby wybrał projekt > Edytujący i sprawdź pobrany klucz prywatny. ). Gdy administrator utworzy ESA, skonfiguruj w konsoli dane logowania do klucza prywatnego ESA.
Korzystając z obowiązkowych danych logowania MSA,
setAccount
, aby ustawić z ESA tej organizacji.
Proces rejestracji został zakończony
- Nowa zarządzana domena Google jest powiązana z Twoim dostawcą usług EMM.
- Konto Google administratora IT jest skonfigurowane jako administrator domeny. ma dostęp do strony https://play.google.com/work, aby zarządzać aplikacjami dostępnymi w organizacji.
- Konsola EMM może używać ESA do zarządzania danymi organizacji za pomocą: interfejs Google Play EMM API.
Automatyczne tworzenie ESA
Aby uprościć zarządzanie kluczami w ramach ESA, użyj interfejsu Google Play EMM API do generowania kont usługi dla organizacji, a nie konsoli Google Cloud. Usługa kont wygenerowanych przy użyciu interfejsu Play EMM API:
- nie są widoczne w żadnym projekcie Cloud Console należącym do Ty lub organizacja; muszą być zarządzane w sposób zautomatyzowany.
- są usuwane, gdy: wyrejestruj Twojej organizacji.
Aby automatycznie wygenerować konto usługi:
Zadzwoń pod numer
Enterprises.getServiceAccount
zenterpriseId
(zobacz krok 10 w sekcji Rejestracja ) i określ typ klucza (keyType
) (googleCredentials, pkcs12). System zwraca nazwę konta usługi i klucz prywatny usługi. (w tych samych formatach, które są zwracane przez Konsolę interfejsów API Google).Zadzwoń pod numer
Enterprises.setAccount
i ustawiać konto usługi dla organizacji.
Sprawdzona metoda: poproś administratora IT o zmianę danych logowania ESA. Do zrobienia
w konsoli EMM, użyj istniejącego ESA, aby wywołać setAccount
.
Zarządzaj kluczami konta usługi
Konta usługi zwrócone z
Enterprises.getServiceAccount
tworzone w sposób przejrzysty przez Google. Jako dostawca usług EMM nie masz do nich dostępu
kont. Możesz jednak zintegrować
Serviceaccountkeys
za pomocą interfejsu API, który umożliwia organizacjom zarządzanie
automatycznie generowanych ESA i kluczy.
Interfejs API Serviceaccountkeys
umożliwia organizacji wstawianie, usuwanie i wyświetlanie aktywnych danych uwierzytelniających
swoich kont usługi. Te interfejsy API muszą być wywoływane podczas autoryzacji jako ESA
ustawionym dla organizacji, a ESA musi być wygenerowany.
od getServiceAccount
. Innymi słowy, gdy organizacja zadzwoni do firmy
Enterprises.setAccount
(przy użyciu konta usługi wygenerowanego przez
Enterprises.getServiceAccount
),
tylko ta organizacja jest uprawniona do wywoływania wywołań na
Interfejs API Serviceaccountkeys do
zarządzać kontem.
Tabela 2. Interfejs API Serviceaccountkeys
Pola | |
id | Nieprzejrzysty, unikalny identyfikator ciągu znaków dla ServiceAccountKey przypisany przez serwer. |
rodzaj | Identyfikuje zasób za pomocą ustalonego ciągu znaków
androidenterprise#serviceAccountKey |
typ | Format pliku wygenerowanych danych klucza. Akceptowane wartości:
|
dane | Ciąg tekstowy zawierający treść prywatnych danych logowania . Wypełnianie podczas tworzenia. Nie są przechowywane przez Google. |
Metody | |
usuń | Usuń i unieważnij określone dane uwierzytelniające dla
konto usługi (określone za pomocą zasad enterpriseId i keyId ).
|
Insert | Wygeneruj nowe dane logowania dla konta usługi powiązane z daną firmą. |
lista | Wyświetl wszystkie aktywne dane logowania dla konta usługi powiązane z daną firmą. Zwraca tylko identyfikator i typ klucza. |
Powiadomienia
Powiadomienia z automatycznie wygenerowanych raportów ESA możesz otrzymywać przez
Wywołuję: Enterprises.pullNotificationSet
.
Zobacz Konfigurowanie powiadomień EMM.
.
Rejestracja zarządzanej domeny Google
Aby zarządzać urządzeniami należącymi do zarządzanej domeny Google, musisz utworzyć połączenia między konsolą EMM, organizacją Google.
Wymagania wstępne
Organizacja musi mieć zarządzaną domenę Google, token rejestracji EMM oraz firmowe konto usługi (ESA). Instrukcje dla administratorów IT dotyczące uzyskiwania szczegółowe informacje znajdziesz w Centrum pomocy Androida Enterprise pomocy.
Zarządzana domena Google
Jeśli administrator IT organizacji zgłosił własność zarządzaną podczas rejestracji w Google Workspace, będą mogli włączyć Androida w konsoli administracyjnej Google. Jeśli organizacja nie ma zarządzanej domeny Google, jego administrator musi przejść przez jednorazową konfigurację rejestracji w Google.
Token EMM
Administratorzy IT mogą uzyskać token EMM z Konsola administracyjna Google (w sekcji Urządzenia > Urządzenia mobilne i Punkty końcowe > Ustawienia > Integracja z rozwiązaniami innych firm).
ESA
Administrator IT w organizacji może utworzyć ESA, zwykle przez w konsoli Google Cloud w projekcie powiązanym z konsolą EMM. ESA mieć nazwę, identyfikator i klucz, który uwierzytelnia konto na potrzeby wykonanych działań. w ich imieniu. Identyfikator ma format podobny do adresu e-mail, gdzie przedrostek nazwa konta usługi poprzedzająca symbol @ i nazwę projektu wraz z informacjami o usługach Google (na przykład some-orgs-esa@myemmconsole313302.iam.gserviceaccount.com).
Proces rejestracji
- Administrator IT otrzymuje token usług EMM z konsoli administracyjnej Google.
- Administrator IT udostępnia Ci token usług EMM, który upoważnia Cię do zarządzania Androida w domenie klienta.
- W konsoli EMM użyj tokena EMM, aby wykonywać połączenia
Enterprises.enroll
. Spowoduje to powiązanie rozwiązania na Androida używanego w organizacji z domeną Google.- Metoda
enroll
zwraca unikalnyenterpriseId
, który można pobrać (tylko w przypadku zarządzanych domen Google) za pomocąlist
. - Opcjonalnie możesz zapisać informacje o powiązaniu (
enterpriseId
,primaryDomain
) w magazynie danych, tak aby uniknąć wywoływania interfejsu API w celu . W przypadku kont GoogleprimaryDomain
organizacji to unikalny klucz identyfikujący organizację przez dostawcę usług EMM oraz Google.
- Metoda
- Aby wywoływać specyficzne dla organizacji wywołania interfejsu Google Play EMM API:
- Możesz utworzyć umowę ESA w imieniu organizacji lub administrator utworzy ESA, a następnie Ci ją udostępnia.
- W konsoli EMM
setAccount
, w użyciuenterpriseId
i adres e-mail ESA. Dzięki temu ESA aby uwierzytelnić się w interfejsie API jako organizacja.
Przykład
Oto przykład rejestrującego organizację (primaryDomainName
),
serviceAccountEmail
i authenticationToken
:
public void bind(String primaryDomainName, String serviceAccountEmail, String authenticationToken) throws IOException { Enterprise enterprise = new Enterprise(); enterprise.setPrimaryDomain(primaryDomainName); Enterprise result = androidEnterprise.enterprises() .enroll(authenticationToken, enterprise) .execute(); EnterpriseAccount enterpriseAccount = new EnterpriseAccount(); enterpriseAccount.setAccountEmail(serviceAccountEmail); androidEnterprise.enterprises() .setAccount(result.getId(), enterpriseAccount) .execute(); }
W tym przykładzie wykorzystano bibliotekę klienta dla języka Java oraz
AndroidEnterprise
klasa usługi z
com.google.api.services.androidenterprise.model
.
pakietu SDK. Procedurę przedstawioną w przykładzie można podsumować w następujących krokach:
- Utwórz nowy obiekt
AndroidEnterprise
z parametrami dostarczona przezbind
, klasę modelu zawierającą nazwę domeny podstawowej, adres e-mail konta usługi i token rejestracji usług EMM. - Podaj nazwę domeny podstawowej nowo utworzonego obiektu firmowego.
- Wywołaj metodę enroll, podając obiekt firmy i token rejestracji.
- Utwórz nowy obiekt EnterpriseAccount z identyfikatorem ESA klienta
(
serviceAccountEmail
). - Skonfiguruj konto, podając zarówno identyfikator
enterpriseId
(zwrócony w kroku 3) ienterpriseAccount
.
Opcjonalnie możesz zapisać informacje o powiązaniu (enterpriseId
,
primaryDomain
) w magazynie danych, tak aby uniknąć wywoływania interfejsu API w celu
. W przypadku kont Google primaryDomain
organizacji to
niepowtarzalny klucz identyfikujący organizację w usługach EMM i Google.
Konfigurowanie wdrożenia lokalnego
Jeśli organizacja wymaga, aby jej dane pozostawały w witrynie, niedostępne dla Ciebie, musisz zadbać o to, aby serwery nigdy nie widziały aktywnego zestawu danych logowania dla ESA. W tym celu wygeneruj i zapisz zestaw danych logowania ESA w witrynie:
- Wykonaj proces rejestracji:
- Jak pokazano w kroku 11, użyj obowiązkowego powiadomienia, aby wywołać
getServiceAccount
. Ten który generuje dane logowania ESA. - Jak pokazano w kroku 12, użyj elementu
setAccount
w ESA, aby ustawić ją jako ESA dla tej organizacji.
- Jak pokazano w kroku 11, użyj obowiązkowego powiadomienia, aby wywołać
- Przekaż ESA na serwer lokalny organizacji.
- Wykonaj te czynności na serwerze lokalnym :
- Zadzwoń pod numer
Serviceaccountkeys.insert
aby utworzyć nowy dla ESA. Ten klucz prywatny nie jest przechowywany na serwerach Google i jest zwracany tylko raz – po utworzeniu konta. Nie ma dostępu do w inny sposób. - Użyj nowych danych logowania ESA do wywoływania
Serviceaccountkeys.list
. Zwrócone zostaną dane logowania do aktywnego konta usługi. - Zadzwoń do nas
Serviceaccountkeys.delete
usuń wszystkie dane logowania z wyjątkiem danych logowania ESA, które utworzone lokalnie. - (Opcjonalnie) Zadzwoń
Serviceaccountkeys.list
pozwala zweryfikować, czy dane logowania używane obecnie lokalnie są jedynymi prawidłowe dane logowania dla konta usługi.
- Zadzwoń pod numer
Serwer lokalny jest teraz jedynym serwerem z danymi logowania ESA. Tylko
ESA wygenerowana przez getServiceAccount
ma dostęp
ServiceAccountKeys
– Twoje MSA nie może go wywołać.
Sprawdzona metoda: nie przechowuj danych logowania do głównego konta usługi (MSA) w nieruchomości. Użyj oddzielnego ESA dla każdego wdrożenia lokalnego.
Wyrejestrowywanie, ponowne rejestrowanie i usuwanie powiązania firmowego
Wyrejestruj
Aby usunąć powiązanie organizacji od rozwiązania EMM, użyj
unenroll
. Dla firm
nie jest usuwane po wyrejestrowaniu, ale użytkownicy zarządzani przez EMM i wszyscy
powiązane z nimi dane użytkowników są usuwane po 30 dniach. Oto przykład:
implementacja:
public void unbind(String enterpriseId) throws IOException {
androidEnterprise.enterprises().unenroll(enterpriseId).execute();
}
Sprawdzona metoda: jeśli masz magazyn danych dla nazwy organizacji i firmy
mapowania identyfikatorów, usuń informacje z magazynu danych po wywołaniu
unenroll
Zarejestruj ponownie
Administrator IT może ponownie zarejestrować firmę, korzystając z dotychczasowego systemu enterpriseId
. Do
W tym celu loguje się na konto właściciela i postępuje zgodnie z procedurą rejestracji
.
Proces ponownej rejestracji jest przejrzysty z Twojej perspektywy: nie ma możliwości określić, czy token przedsiębiorstwa zwrócony w adresie URL przekierowania (krok 8) pochodzi z nową organizację lub organizację, która została wcześniej zarejestrowana w innej organizacji. usług EMM.
Jeśli organizacja była już wcześniej zarejestrowana przy użyciu Twojego rozwiązania EMM, w usłudze rozpoznawania identyfikatora powiązania firmy. Możesz przywrócić użytkowników zarządzanych przez EMM i powiązane z nimi dane użytkowników, jeśli administrator IT zarejestruje ponownie w organizacji maksymalnie 30 osób dni po jego wyrejestrowaniu. Jeśli organizacja była wcześniej zarejestrowanych u innego dostawcy usług EMM, identyfikatory użytkowników zarządzanych przez EMM utworzone przez inne usługi EMM nie będą dla Ciebie dostępne. Dzieje się tak, ponieważ identyfikatory użytkowników Typowe dla usługi EMM.
Usuń
Administrator IT może usunąć swoją organizację z zarządzanego Sklepu Google Play. W ciągu 24
dane organizacji, konta, przypisania licencji i inne kwestie
zasoby stają się niedostępne dla administratora, użytkowników i Ciebie. Jako
wynik, wywołania interfejsu API będą zwracać kod stanu odpowiedzi HTTP 404 Not Found
dla parametru enterpriseId
. Aby naprawić ten błąd w konsoli EMM,
poproś administratora IT o potwierdzenie przed usunięciem powiązania z usługą
Twojej organizacji.