Untuk mendaftarkan organisasi baru melalui konsol EMM, Anda perlu membuat
untuk binding Enterprise. Channel
Enterprises
resource mewakili
ikatan antara EMM dan organisasi. Anda menggunakan sebuah instance untuk
memanggil operasi atas nama organisasi.
Play EMM API menyediakan tiga cara untuk membuat instance binding perusahaan:
Pendaftaran Managed Google Domains —Metode ini dapat digunakan sebagai pengganti kedua metode lainnya. Organisasi dengan Managed Google Domains dan organisasi yang sudah ada dan baru bekerja Google akan menggunakan UI pendaftaran yang sama. Perjalanan yang mereka ambil melalui UI akan bervariasi sesuai dengan situasi dan kebutuhan mereka. Organisasi tidak perlu mendapatkan token EMM terlebih dahulu.
Pendaftaran Akun Google Play Terkelola —Organisasi ingin menggunakan Akun Google Play terkelola. Anda dapat mengintegrasikan UI pendaftaran Android Google dengan konsol EMM Anda dan menyediakan cara cepat untuk membuat instance binding perusahaan yang mengikatnya ke EMM Anda. Tindakan ini akan mengaktifkan Akun Google Play terkelola untuk pengguna dan perangkat. Pendekatan ini terkadang disebut sebagai dimulai oleh EMM di API dokumentasi tambahan. Metode ini tidak digunakan lagi dan digantikan oleh Managed Google Domains metode pendaftaran sebelumnya.
Pendaftaran domain Google terkelola —Organisasi sudah memiliki Managed Google Domains. Admin IT selesai beberapa tugas manual, seperti memverifikasi kepemilikan domain dengan Google, token EMM, dan membuat akun layanan perusahaan. Pendekatan ini terkadang disebut sebagai dimulai oleh Google dalam dokumentasi API.
Anda dapat mendukung salah satu pendekatan di konsol EMM menggunakan
Referensi Enterprises
. Tabel 1
menunjukkan kolom dan operasi yang relevan dari resource ini untuk binding
organisasi ke EMM.
Tabel 1: Enterprise API dan proses binding alternatif
Akun Google Play perusahaan terkelola | Managed Google Domains | Deskripsi | |
---|---|---|---|
Kolom | |||
id | ID unik untuk organisasi, yang ditampilkan dari panggilan enroll dan completeSignup. | ||
jenis | Mengidentifikasi jenis resource menggunakan nilai string tetap, ⌘androidenterprise#enterprise. | ||
nama | Organisasi terkait
dengan objek enterprise . | ||
primaryDomain | Tidak ditetapkan | Karena Akun Google Play perusahaan terkelola tidak terikat di model domain Google, kolom ini hanya relevan untuk model domain. | |
administrator[] | Bukan tetapkan | Admin IT yang mendaftar ke Android menggunakan Proses pendaftaran yang dimulai EMM menjadi administrator (pemilik) untuk binding Enterprise. Dengan konsol Google Play terkelola, admin IT dapat mengundang pengguna lain dalam organisasi untuk berpartisipasi dalam tugas administrasi. Lihat Google Terkelola Pusat Bantuan Play. | |
administrator[].email | Tidak ditetapkan | ||
Metode | |||
completeSignup | Mengingat completionToken
dan enterpriseToken , akan menampilkan resource Enterprise di
isi respons. | ||
generateSignupUrl | Dengan callbackUrl ,
menampilkan URL dan completionToken . | ||
daftar | Mendaftarkan pemanggil dengan EMM yang token akses dikirimkan bersama permintaan. | ||
getServiceAccount | Menampilkan akun layanan dan memiliki kredensial yang lengkap. | ||
setAccount | Menetapkan akun yang akan digunakan untuk melakukan otentikasi ke API sebagai perusahaan. | ||
batalkan pendaftaran | EMM dapat memutuskan binding ke jenis perusahaan yang menggunakan pembatalan pendaftaran. Harus dipanggil menggunakan EMM kredensial untuk MSA, bukan kredensial ESA. |
Pendaftaran Akun Google Play Terkelola
Metode pendaftaran ini tidak digunakan lagi. Gunakan pengelolaan domain Google terkelola sebagai gantinya.
Pendaftaran Managed Google Domains
Anda dapat mengintegrasikan proses pendaftaran di konsol EMM:
![Pendaftaran admin Akun Google Play Terkelola](https://developers-dot-devsite-v2-prod.appspot.com/static/android/work/play/emm-api/images/mgpa-admin-workflow.png?authuser=7&hl=id)
Admin IT memulai proses pembuatan perusahaan. Untuk melakukannya, IT admin:
- Login ke konsol EMM.
- Mengklik atau memilih Konfigurasi Android (misalnya) dan dialihkan ke UI pendaftaran yang dihosting oleh Google.
- Memberikan detail tentang perusahaan di UI pendaftaran.
- Dialihkan ke konsol EMM Anda.
Alamat email admin IT kini ditautkan ke Akun Google yang merupakan admin untuk Managed Google Domains.
Praktik terbaik: Ikuti keamanan Google untuk membantu menjaga akun admin Anda aman.
Prasyarat
Untuk admin IT
Akses ke konsol EMM dan izin yang diperlukan untuk melakukan tindakan yang tepat di konsol Anda (misalnya, Kelola Android, sebagai pilihan menu).
Alamat email kantor. Ini harus menjadi bagian dari domain yang dimiliki oleh organisasi, bukan domain bersama seperti Gmail.com
Untuk konsol EMM
Untuk menerapkan alur pendaftaran domain Google terkelola, konsol EMM Anda harus bisa:
Gunakan kredensial MSA saat memanggil panggilan di Play EMM API. MSA Anda digunakan untuk memanggil banyak operasi atas nama admin IT hingga akun layanan perusahaan (ESA) organisasi ditetapkan.
Tangani pengalihan melalui URL aman ke situs eksternal yang disediakan Google untuk memulai alur pendaftaran dan menyelesaikan proses pendaftaran.
Dapat dikonfigurasi dengan kredensial ESA setelah pendaftaran. Karena EMM Anda konsol dapat digunakan untuk membuat banyak perusahaan dalam Anda memerlukan cara untuk mengaitkan setiap
enterpriseId
dengan layanannya sendiri akun dan kredensial. Pertimbangkan untuk membuat akun layanan untuk organisasi/pengaturan dengan memanggilEnterprises.getServiceAccount
dan menangani manajemen kunci menggunakanServiceaccountkeys
API. Lihat Membuat akun layanan perusahaan secara terprogram untuk mengetahui detail selengkapnya.
Proses pendaftaran Android mengharuskan Anda menyediakan layanan (https) yang aman untuk penggunaan konsol Anda pada saat {i>runtime<i}. URL ke layanan aman ini dapat berupa URL lokal dan dapat mencakup sesi atau informasi pengenal unik lainnya, selama hal itu tersusun dengan baik sehingga sistem dapat menguraikannya. Contoh:
https://localhost:8080/enrollmentcomplete?session=12345
Proses pendaftaran
Proses pendaftaran dirancang untuk memakan waktu kurang dari 5 menit. Langkah-langkah di bawah ini
mengasumsikan bahwa server yang menghosting callbackUrl
sudah aktif dan berjalan. Langkah-langkah ini
mengasumsikan bahwa konsol Anda menyertakan komponen UI, seperti pemilihan menu
dengan Kelola Android sebagai opsi, yang memulai proses pendaftaran saat
admin IT yang diotentikasi
akan memilih opsi tersebut.
![Proses 12 langkah untuk mendaftarkan Akun Google Play terkelola
perusahaan](https://developers-dot-devsite-v2-prod.appspot.com/static/android/work/play/emm-api/images/afwa-enroll-enterprise.png?authuser=7&hl=id)
Admin IT memulai permintaan pendaftaran di konsol EMM Anda.
Panggil
Enterprises.generateSignupUrl
dengancallbackURL
sebagai satu-satunya parameter. Contoh:https://localhost:8080/enrollcomplete?session=12345
Respons akan berisi URL pendaftaran (berlaku selama 30 menit) dan token penyelesaian proyek. Ekstrak dan simpan token penyelesaian.
Praktik terbaik: Kaitkan token penyelesaian dengan admin IT yang memulai pendaftaran.
Ekstrak
url
dari responsgenerateSignupURL
.Alihkan ke URL yang diekstrak di langkah 4.
Admin IT mengikuti alur penyiapan di UI pendaftaran untuk membuat binding perusahaan:
Admin IT memasukkan detail tentang diri mereka sendiri dan organisasi mereka serta menetapkan sandi jika mereka belum memiliki Akun Google.
Admin IT akan melihat nama EMM, dan mereka mengonfirmasi bahwa organisasi Anda akan terikat dengan EMM ini.
Admin IT menyetujui persyaratan layanan Google.
UI pendaftaran menghasilkan URL callback berdasarkan URL yang ditentukan di langkah 2.
UI pendaftaran mengalihkan admin IT ke URL callback. Ekstrak dan simpan token Enterprise ke URL. Contoh:
https://localhost:8080/enrollcomplete?session=12345&enterpriseToken=5h3jCC903lop1
Panggil
Enterprises.completeSignup
, meneruskancompletionToken
(langkah 3) danenterpriseToken
(langkah 8).Panggilan akan mengembalikan Instance
Enterprises
dalam isi respons. Simpanid
,name
, dan email administrator (jika sekarang) untuk penggunaan di masa depan.Buat akun layanan perusahaan (ESA). Kredensial ESA berbentuk alamat email dan kunci pribadi. Ada dua cara untuk membuat ESA:
- Praktik terbaik: Membuat ESA secara terprogram, menggunakan Play EMM API.
- Menampilkan halaman yang menginstruksikan admin IT untuk membuat ESA di Google Konsol API. Lihat Membuat Layanan Akun untuk informasi lebih rinci (instruksikan administrator untuk memilih proyek > Editor sebagai perannya dan memeriksa download kunci pribadi boks). Setelah admin IT membuat ESA, konfigurasikan konsol Anda dengan kredensial kunci pribadi ESA
Menggunakan kredensial MSA Anda, panggil
setAccount
untuk ditetapkan ESA untuk organisasi ini.
Proses pendaftaran selesai
- Managed Google Domains baru akan dikaitkan dengan EMM Anda.
- Akun Google admin IT dikonfigurasi sebagai admin domain dan dapat mengakses https://play.google.com/work untuk mengelola aplikasi organisasi.
- Konsol EMM Anda dapat menggunakan ESA untuk mengelola data organisasi melalui API EMM Google Play.
Membuat ESA secara terprogram
Guna menyederhanakan pengelolaan kunci untuk ESA, gunakan Google Play EMM API untuk membuat akun layanan untuk organisasi, bukan Konsol Google Cloud. Layanan akun yang dibuat melalui Play EMM API:
- Tidak terlihat di project Konsol Cloud mana pun yang termasuk Anda atau organisasi tersebut; harus dikelola secara terprogram.
- Dihapus saat Anda batalkan pendaftaran organisasi/pengaturan.
Untuk membuat akun layanan secara terprogram:
Panggil
Enterprises.getServiceAccount
denganenterpriseId
(lihat langkah 10 di bagian Pendaftaran proses) dan tentukan jenis kunci (keyType
) yang Anda inginkan (googleCredentials, pkcs12). Sistem akan menampilkan nama akun layanan dan kunci pribadi untuk layanan tersebut akun Anda (dalam format sama yang ditampilkan oleh Konsol API Google).Panggil
Enterprises.setAccount
dan menetapkan akun layanan untuk organisasi.
Praktik terbaik: Dukungan yang meminta admin IT mengubah kredensial ESA. Yang akan dilakukan
ini di konsol EMM, gunakan ESA yang ada untuk memanggil setAccount
.
Kelola kunci akun layanan
Akun layanan yang ditampilkan dari
Enterprises.getServiceAccount
dibuat secara transparan oleh Google. Sebagai EMM, Anda tidak memiliki akses ke
menggunakan akun layanan. Namun, Anda dapat mengintegrasikan
Serviceaccountkeys
ke konsol Anda agar organisasi dapat mengelola platform mereka sendiri
ESA dan kunci yang dihasilkan
secara terprogram.
Serviceaccountkeys API
memungkinkan organisasi menyisipkan, menghapus, dan membuat daftar kredensial aktif untuk
akun layanan mereka. API ini harus dipanggil saat diberi otorisasi sebagai ESA
yang telah ditetapkan untuk organisasi, dan bahwa ESA harus dibuat
dari getServiceAccount
. Dengan kata lain, setelah
organisasi memanggil
Enterprises.setAccount
(menggunakan akun layanan yang dibuat oleh
Enterprises.getServiceAccount
),
hanya organisasi tersebut yang berwenang
untuk memanggil panggilan di
Serviceaccountkeys API untuk
mengelola akun.
Tabel 2. API Serviceaccountkeys
Kolom | |
id | ID string unik buram untuk ServiceAccountKey yang ditetapkan oleh server. |
jenis | Mengidentifikasi resource menggunakan string tetap
androidenterprise#serviceAccountKey . |
jenis | Format file data kunci yang dihasilkan. Nilai yang dapat diterima:
|
data | String yang terdiri dari isi kredensial pribadi . Diisi saat pembuatan. Tidak disimpan oleh Google. |
Metode | |
hapus | Hapus dan batalkan validasi kredensial yang ditentukan untuk
akun layanan (ditentukan dengan enterpriseId dan keyId ).
|
insert | Membuat kredensial baru untuk akun layanan yang terkait dengan perusahaan. |
list | Menampilkan daftar semua kredensial aktif untuk akun layanan yang terkait dengan perusahaan. Hanya menampilkan ID dan jenis kunci. |
Notifikasi
Anda bisa mendapatkan notifikasi dari ESA yang dihasilkan secara terprogram dengan
memanggil Enterprises.pullNotificationSet
.
Lihat Menyiapkan notifikasi EMM
untuk informasi selengkapnya.
Pendaftaran domain Google terkelola
Untuk mengelola perangkat yang termasuk dalam Managed Google Domains, Anda harus membuat (dikenal sebagai binding) antara konsol EMM, organisasi, dan Google.
Prasyarat
Organisasi harus memiliki Managed Google Domains, token pendaftaran EMM, dan akun layanan perusahaan (ESA). Petunjuk untuk admin IT tentang cara mendapatkan detail ini tersedia di Bantuan Android Enterprise Google.
Domain Google terkelola
Jika admin IT organisasi mengklaim domain saat mendaftar ke Google Workspace, mereka dapat mengaktifkan Android dari konsol Google Admin. Jika organisasi tidak memiliki Managed Google Domains, admin IT mereka harus melalui link web satu kali proses pendaftaran Anda dengan Google.
Token EMM
Admin IT dapat memperoleh token EMM dari Konsol Google Admin (di bagian Perangkat > Seluler & Endpoint > Pengaturan > Integrasi pihak ketiga).
ESA
Admin IT organisasi Anda dapat membuat ESA, biasanya melalui Konsol Google Cloud di project yang terkait dengan konsol EMM Anda. ESA memiliki nama, ID, dan kunci yang mengautentikasi akun untuk tindakan yang dilakukan atas nama mereka. ID memiliki format yang serupa dengan alamat email, dengan nama akun layanan sebelum simbol @ dan nama project berikut, beserta informasi layanan Google (misalnya, beberapa-orgs-esa@myemmconsole313302.iam.gserviceaccount.com).
Proses pendaftaran
- Admin IT mendapatkan token EMM dari konsol Google Admin.
- Admin IT membagikan token EMM dengan Anda, yang mengizinkan Anda untuk mengelola Android di domainnya.
- Melalui konsol EMM, gunakan token EMM untuk memanggil
Enterprises.enroll
. Tindakan ini akan mengikat solusi Android organisasi ke domain Google mereka.- Metode
enroll
menampilkanenterpriseId
unik, yang dapat Anda ambil nanti (khusus Managed Google Domains) menggunakan Metodelist
. - Secara opsional, Anda dapat menyimpan informasi tentang binding (
enterpriseId
,primaryDomain
) di datastore agar tidak melakukan panggilan API untuk mendapatkan spesifikasi pendukung. Dalam skenario Akun Google,primaryDomain
organisasi adalah kunci unik yang mengidentifikasi organisasi ke EMM dan Google.
- Metode
- Untuk melakukan panggilan khusus organisasi ke Google Play EMM API:
- Anda dapat membuat ESA atas nama organisasi, atau admin membuat ESA, kemudian membagikannya dengan Anda.
- Melalui konsol EMM, panggil
setAccount
, menggunakanenterpriseId
dan alamat email ESA. Hal ini memungkinkan ESA untuk melakukan otentikasi ke API sebagai perusahaan.
Contoh
Berikut adalah contoh yang mendaftarkan organisasi, dengan primaryDomainName
,
serviceAccountEmail
, dan authenticationToken
:
public void bind(String primaryDomainName, String serviceAccountEmail, String authenticationToken) throws IOException { Enterprise enterprise = new Enterprise(); enterprise.setPrimaryDomain(primaryDomainName); Enterprise result = androidEnterprise.enterprises() .enroll(authenticationToken, enterprise) .execute(); EnterpriseAccount enterpriseAccount = new EnterpriseAccount(); enterpriseAccount.setAccountEmail(serviceAccountEmail); androidEnterprise.enterprises() .setAccount(result.getId(), enterpriseAccount) .execute(); }
Contoh ini menggunakan library klien untuk Java dan
Class layanan AndroidEnterprise
dari
com.google.api.services.androidenterprise.model
paket. Prosedur yang ditampilkan dalam contoh dapat diringkas dalam langkah-langkah berikut:
- Membuat objek
AndroidEnterprise
baru dengan parameter disediakan olehbind
, class model yang berisi nama domain primer, alamat email akun layanan, dan token pendaftaran EMM. - Tentukan nama domain primer objek perusahaan yang baru dibuat.
- Panggil metode pendaftaran, dengan memberikan objek perusahaan dan token pendaftaran.
- Membuat objek EnterpriseAccount baru dengan ID ESA pelanggan
(
serviceAccountEmail
). - Tetapkan akun dengan memberikan
enterpriseId
(yang ditampilkan di langkah 3) danenterpriseAccount
kolom.
Secara opsional, Anda dapat menyimpan informasi tentang binding (enterpriseId
,
primaryDomain
) di datastore agar tidak melakukan panggilan API untuk mendapatkan
spesifikasi
pendukung. Dalam skenario Akun Google, primaryDomain
organisasi
kunci unik yang mengidentifikasi organisasi ke EMM dan Google.
Menyiapkan deployment lokal
Jika suatu organisasi memerlukan datanya untuk tetap berada di lokasi dan tidak dapat Anda akses, perlu memastikan server Anda tidak pernah melihat kumpulan kredensial yang aktif untuk ESA. Untuk melakukannya, buat dan simpan satu set kredensial ESA di situs:
- Selesaikan alur pendaftaran:
- Seperti yang ditunjukkan pada langkah 11, gunakan MSA untuk memanggil
getServiceAccount
. Ini dan menghasilkan kredensial ESA. - Seperti yang ditunjukkan di langkah 12, gunakan
setAccount
di ESA untuk menetapkannya sebagai ESA untuk organisasi ini.
- Seperti yang ditunjukkan pada langkah 11, gunakan MSA untuk memanggil
- Teruskan ESA ke server lokal organisasi.
- Lakukan langkah-langkah berikut di server lokal :
- Panggil
Serviceaccountkeys.insert
untuk membuat untuk ESA. Kunci pribadi ini tidak disimpan di server Google dan merupakan hanya dikembalikan sekali, yaitu ketika akun dibuat. Tidak dapat diakses dengan cara lain. - Menggunakan kredensial ESA baru untuk memanggil
Serviceaccountkeys.list
. Tindakan ini akan menampilkan kredensial akun layanan yang aktif. - Telepon
Serviceaccountkeys.delete
untuk menghapus semua kredensial kecuali kredensial ESA yang baru saja dibuat secara lokal. - (Opsional) Panggilan Telepon
Serviceaccountkeys.list
untuk memverifikasi bahwa kredensial yang saat ini digunakan secara lokal adalah satu-satunya dan kredensial yang valid untuk akun layanan.
- Panggil
Server lokal kini menjadi satu-satunya server dengan kredensial ESA. Hanya
ESA yang dibuat melalui getServiceAccount
dapat mengakses
ServiceAccountKeys
—MSA Anda tidak diizinkan untuk memanggilnya.
Praktik terbaik: Jangan simpan kredensial akun layanan utama (MSA) Anda di aplikasi. Gunakan ESA terpisah untuk setiap deployment lokal.
Membatalkan pendaftaran, mendaftarkan ulang, atau menghapus binding perusahaan
Batalkan pendaftaran
Untuk melepaskan organisasi dari solusi EMM, gunakan
unenroll
. Perusahaan
binding tidak dihapus saat dibatalkan pendaftarannya, tetapi pengguna yang dikelola EMM dan semua
data pengguna yang terkait akan dihapus setelah 30 hari. Berikut ini contohnya
penerapan:
public void unbind(String enterpriseId) throws IOException {
androidEnterprise.enterprises().unenroll(enterpriseId).execute();
}
Praktik terbaik: Jika Anda memiliki datastore untuk nama organisasi dan perusahaan
pemetaan ID binding, hapus informasi dari datastore setelah memanggil
unenroll
.
Daftarkan ulang
Admin IT dapat mendaftarkan ulang perusahaan menggunakan enterpriseId
yang sudah ada. Kepada
melakukannya, mereka masuk dengan akun tingkat pemilik dan mengikuti pendaftaran
{i>checkout<i}.
Alur pendaftaran ulang transparan dari perspektif Anda: tidak ada cara untuk Tentukan apakah token perusahaan yang ditampilkan di URL pengalihan (langkah 8) berasal dari organisasi baru atau organisasi yang sebelumnya terdaftar di organisasi lain EMM.
Jika organisasi sebelumnya telah terdaftar dengan solusi EMM, Anda mungkin dapat mengenali ID binding perusahaan. Anda dapat memulihkan pengguna yang dikelola EMM dan data pengguna terkait jika admin IT mendaftarkan ulang organisasi tidak lebih dari 30 hari setelah pendaftarannya dibatalkan dari Anda. Jika suatu organisasi sebelumnya terdaftar dengan EMM yang berbeda, ID pengguna pengguna yang dikelola EMM yang dibuat oleh EMM lainnya tidak akan dapat Anda akses. Hal ini karena ID pengguna ini Khusus EMM.
Hapus
Admin IT dapat menghapus organisasinya dari Google Play terkelola. Dalam 24
jam kerja untuk data organisasi, akun, pemberian lisensi, dan
resource menjadi tidak dapat diakses oleh admin, pengguna akhir, dan Anda. Sebagai seorang
tersebut, panggilan API Anda akan menampilkan kode status respons 404 Not Found
HTTP
untuk parameter enterpriseId
. Untuk menangani error ini di konsol EMM,
minta konfirmasi dari admin IT sebelum menghapus pengaitan apa pun dengan
organisasi/pengaturan.