یک الزام آور سازمانی ایجاد کنید

برای ثبت نام یک سازمان جدید از طریق کنسول EMM خود، باید یک اتصال سازمانی ایجاد کنید. یک منبع Enterprises نشان دهنده پیوند بین یک EMM و یک سازمان است. شما از نمونه ای از آن برای فراخوانی عملیات از طرف سازمان استفاده می کنید.

Play EMM API سه راه برای ایجاد یک نمونه الزام آور سازمانی ارائه می دهد:

• ثبت نام دامنه مدیریت شده Google — این روش می تواند به جای هر دو روش دیگر استفاده شود. سازمان‌های دارای دامنه مدیریت‌شده Google و سازمان‌هایی که تازه با Google کار می‌کنند، از همان رابط کاربری ثبت‌نام استفاده خواهند کرد. سفری که آنها از طریق رابط کاربری انجام می دهند، بسته به موقعیت و نیاز آنها متفاوت است. سازمان نیازی به دریافت توکن EMM از قبل ندارد.

• ثبت‌نام در حساب‌های Google Play مدیریت شده — سازمانی می‌خواهد از حساب‌های مدیریت‌شده Google Play استفاده کند. می‌توانید رابط کاربری ثبت‌نام Android Google را با کنسول EMM خود ادغام کنید و به سازمان‌ها راه سریعی برای ایجاد یک نمونه الزام‌آور سازمانی ارائه دهید که آنها را به EMM شما متصل می‌کند. این حساب‌های مدیریت شده Google Play را برای کاربران و دستگاه‌ها فعال می‌کند. این رویکرد گاهی اوقات به عنوان EMM آغاز شده در اسناد API نامیده می شود. این روش به نفع روش ثبت نام دامنه مدیریت شده Google قبلی منسوخ شده است.

• ثبت نام دامنه Google مدیریت شده — یک سازمان دارای یک دامنه مدیریت شده Google موجود است. سرپرستان فناوری اطلاعات چندین کار دستی را انجام می‌دهند، مانند تأیید مالکیت دامنه با Google، دریافت رمز EMM و ایجاد حساب خدمات سازمانی. این رویکرد گاهی اوقات در اسناد API به عنوان راه اندازی شده توسط Google شناخته می شود.

شما می توانید با استفاده از منبع Enterprises از هر یک از روش ها در کنسول EMM خود پشتیبانی کنید. جدول 1 زمینه ها و عملیات مربوطه این منبع را برای سازمان های الزام آور به EMM ها نشان می دهد.

جدول 1: APIهای سازمانی و فرآیندهای اتصال جایگزین

ثبت نام در حساب‌های Google Play مدیریت شده

این روش ثبت نام منسوخ شده است. به جای آن از روش ثبت نام دامنه مدیریت شده Google استفاده کنید.

ثبت نام دامنه گوگل را مدیریت کرد

می توانید فرآیند ثبت نام را در کنسول EMM خود ادغام کنید:

یک مدیر فناوری اطلاعات فرآیند ایجاد یک شرکت را آغاز می کند. برای انجام این کار، مدیر فناوری اطلاعات:

1. وارد کنسول EMM خود شوید.
2. Configure Android را کلیک کرده یا انتخاب می‌کند (برای مثال) و به یک رابط کاربری ثبت‌نام که توسط Google میزبانی می‌شود هدایت می‌شود.
3. جزئیات مربوط به شرکت را در رابط کاربری ثبت نام ارائه می دهد.
4. به کنسول EMM شما هدایت می شود.

آدرس ایمیل سرپرست فناوری اطلاعات اکنون به یک حساب Google پیوند داده شده است که یک حساب سرپرست برای دامنه مدیریت شده Google است.

بهترین روش : دستورالعمل‌های امنیتی Google را دنبال کنید تا به حفظ امنیت حساب سرپرست کمک کنید.

پیش نیازها

برای مدیران IT

• دسترسی به کنسول EMM و مجوزهای مورد نیاز برای انتخاب مناسب در کنسول خود (مثلاً Android را به عنوان انتخاب منو مدیریت کنید ).

• آدرس ایمیل کاری این باید بخشی از یک دامنه متعلق به سازمان باشد، نه یک دامنه مشترک مانند Gmail.com

برای کنسول EMM شما

برای اجرای جریان ثبت نام دامنه مدیریت شده Google، کنسول EMM شما باید بتواند:

• هنگام فراخوانی تماس در APIهای Play EMM از اعتبارنامه MSA خود استفاده کنید. MSA شما برای فراخوانی بسیاری از عملیات از طرف یک سرپرست فناوری اطلاعات تا زمانی که حساب خدمات سازمانی سازمان (ESA) تنظیم شود، استفاده می شود.

• برای شروع جریان ثبت نام و تکمیل فرآیند ثبت نام، هدایت مجدد را از طریق یک URL ایمن به یک سایت خارجی ارائه شده توسط Google انجام دهید.

• پس از ثبت نام با اعتبارنامه ESA قابل تنظیم باشد. از آنجا که کنسول EMM شما می‌تواند برای ایجاد شرکت‌های زیادی در سایت هر سازمانی مورد استفاده قرار گیرد، شما به راهی برای مرتبط کردن هر enterpriseId با حساب خدمات و اعتبار خود نیاز دارید. با تماس با Enterprises.getServiceAccount و مدیریت کلید با استفاده از Serviceaccountkeys API، حساب‌های خدماتی را برای سازمان ایجاد کنید. برای جزئیات بیشتر به ایجاد حساب های خدمات سازمانی به صورت برنامه نویسی مراجعه کنید.

فرآیند ثبت‌نام اندروید از شما می‌خواهد که یک سرویس امن (https) برای استفاده کنسول خود در زمان اجرا ارائه دهید. URL این سرویس ایمن می‌تواند یک URL محلی باشد و می‌تواند شامل اطلاعات مربوط به جلسه یا سایر اطلاعات شناسایی منحصربه‌فرد باشد، به شرطی که به خوبی شکل گرفته باشد تا سیستم بتواند آن را تجزیه کند. به عنوان مثال:

https://localhost:8080/enrollmentcomplete?session=12345

فرآیند ثبت نام

فرآیند ثبت نام به گونه ای طراحی شده است که کمتر از 5 دقیقه طول بکشد. در مراحل زیر فرض می شود که سرور میزبان callbackUrl آماده و در حال اجرا است. این مراحل همچنین فرض می‌کنند که کنسول شما شامل یک مؤلفه رابط کاربری است، مانند انتخاب منو با مدیریت Android به‌عنوان یک گزینه، که با انتخاب یک سرپرست IT تأیید شده، فرآیند ثبت‌نام را شروع می‌کند.

1. یک سرپرست فناوری اطلاعات یک درخواست ثبت نام در کنسول EMM شما را آغاز می کند.

2. Enterprises.generateSignupUrl را با callbackURL به عنوان تنها پارامتر فراخوانی کنید. مثال:

   https://localhost:8080/enrollcomplete?session=12345

3. پاسخ شامل یک URL ثبت نام (معتبر برای 30 دقیقه) و یک نشانه تکمیل است. رمز تکمیل را استخراج و ذخیره کنید.

   بهترین روش: نشانه تکمیل را با سرپرست فناوری اطلاعات که شروع به ثبت نام کرده است مرتبط کنید.

4. url از پاسخ generateSignupURL استخراج کنید.

5. به URL استخراج شده در مرحله 4 تغییر مسیر دهید.

6. سرپرست فناوری اطلاعات جریان راه‌اندازی را در رابط کاربری ثبت‌نام دنبال می‌کند تا یک اتصال سازمانی ایجاد کند:

   1. سرپرست فناوری اطلاعات جزئیات مربوط به خود و سازمانش را وارد می‌کند و اگر از قبل حساب Google نداشته باشد، گذرواژه تعیین می‌کند.

   2. نام EMM به سرپرست فناوری اطلاعات نشان داده می شود و آنها تأیید می کنند که سازمان به این EMM متعهد خواهد بود.

   3. سرپرست فناوری اطلاعات با شرایط خدمات Google موافقت می کند.

7. رابط کاربری ثبت نام یک URL بازگشت به تماس را بر اساس URL مشخص شده در مرحله 2 ایجاد می کند.

8. رابط کاربری ثبت‌نام، سرپرست فناوری اطلاعات را به URL بازگشت به تماس هدایت می‌کند. توکن سازمانی را در URL استخراج و ذخیره کنید. مثال:

   https://localhost:8080/enrollcomplete?session=12345&enterpriseToken=5h3jCC903lop1

9. با عبور از completionToken (مرحله 3) و enterpriseToken (مرحله 8) با Enterprises.completeSignup تماس بگیرید.

10. تماس یک نمونه Enterprises را در بدنه پاسخ برمی گرداند. id ، name و ایمیل سرپرست (در صورت وجود) را برای استفاده در آینده ذخیره کنید.

11. یک حساب خدمات سازمانی (ESA) ایجاد کنید. اعتبارنامه ESA به شکل یک آدرس ایمیل و یک کلید خصوصی است. دو راه برای ایجاد ESA وجود دارد:

    • بهترین روش: ESA را به صورت برنامه‌ریزی و با استفاده از Play EMM API ایجاد کنید .
    • صفحه‌ای را نمایش دهید که به سرپرست فناوری اطلاعات دستور می‌دهد یک ESA در Google API Console ایجاد کند. برای اطلاعات بیشتر به ایجاد یک حساب سرویس مراجعه کنید (به مدیر دستور دهید پروژه > ویرایشگر را به عنوان نقش خود انتخاب کند و کادر دانلود کلید خصوصی را علامت بزنید). پس از ایجاد ESA توسط سرپرست فناوری اطلاعات، کنسول خود را با اطلاعات کلید خصوصی ESA پیکربندی کنید.

12. با استفاده از اعتبارنامه MSA خود، با setAccount تماس بگیرید تا ESA را برای این سازمان تنظیم کنید.

مراحل ثبت نام به پایان رسیده است

• دامنه مدیریت شده Google جدید به EMM شما متصل است.
• حساب Google سرپرست فناوری اطلاعات به‌عنوان سرپرست دامنه پیکربندی شده است و می‌تواند برای مدیریت برنامه‌های سازمان به https://play.google.com/work دسترسی داشته باشد.
• کنسول EMM شما می‌تواند از ESA برای مدیریت داده‌های سازمان از طریق Google Play EMM API استفاده کند.

ESA ها را به صورت برنامه ای ایجاد کنید

برای ساده‌سازی مدیریت کلید برای ESA، از Google Play EMM API برای ایجاد حساب‌های خدماتی برای سازمان‌ها به جای Google Cloud Console استفاده کنید. حساب‌های سرویس ایجاد شده از طریق Play EMM API:

• در هیچ پروژه Cloud Console که متعلق به شما یا سازمان است قابل مشاهده نیستند. آنها باید به صورت برنامه ای مدیریت شوند.
• با لغو ثبت نام سازمان حذف می شوند.

برای ایجاد یک حساب سرویس به صورت برنامه ریزی شده:

1. با Enterprises.getServiceAccount با enterpriseId تماس بگیرید (مرحله 10 را در فرآیند ثبت نام ببینید) و نوع کلید ( keyType ) مورد نظر خود را مشخص کنید (googleCredentials، pkcs12). سیستم یک نام حساب سرویس و یک کلید خصوصی برای حساب سرویس (در همان قالب‌های بازگردانده شده توسط Google API Console) برمی‌گرداند.

2. با Enterprises.setAccount تماس بگیرید و حساب سرویس را برای سازمان تنظیم کنید.

بهترین روش: پشتیبانی از اینکه مدیر فناوری اطلاعات اعتبارنامه ESA را تغییر دهد. برای انجام این کار در کنسول EMM خود، از ESA موجود برای فراخوانی setAccount استفاده کنید.

کلیدهای حساب سرویس را مدیریت کنید

حساب‌های خدماتی که از Enterprises.getServiceAccount بازگردانده شده‌اند به‌طور شفاف توسط Google ایجاد می‌شوند. به عنوان یک EMM، به این حساب‌ها دسترسی ندارید. با این حال، می‌توانید API Serviceaccountkeys را در کنسول خود ادغام کنید تا به سازمان‌ها اجازه دهید ESAها و کلیدهای خود را که به صورت برنامه‌نویسی تولید شده‌اند مدیریت کنند.

Serviceaccountkeys API به یک سازمان اجازه می دهد تا اطلاعات کاربری فعال حساب های خدمات خود را درج، حذف و فهرست کند. این APIها باید در زمانی که به عنوان ESA تنظیم شده برای سازمان مجاز هستند، فراخوانی شوند و ESA باید از getServiceAccount ایجاد شده باشد. به عبارت دیگر، پس از اینکه یک سازمان Enterprises.setAccount را فراخوانی کرد (با استفاده از حساب سرویس ایجاد شده توسط Enterprises.getServiceAccount )، فقط آن سازمان مجاز است برای مدیریت حساب، از API Serviceaccountkeys فراخوانی کند.

جدول 2. Serviceaccountkeys API

اطلاعیه ها

می‌توانید با فراخوانی Enterprises.pullNotificationSet ، اعلان‌هایی را از ESA‌هایی که به صورت برنامه‌نویسی تولید می‌شوند، دریافت کنید. برای اطلاعات بیشتر به تنظیم اعلان‌های EMM مراجعه کنید.

ثبت نام دامنه Google را مدیریت کرد

برای مدیریت دستگاه‌های متعلق به یک دامنه مدیریت‌شده Google، باید بین کنسول EMM، سازمان و Google یک ارتباط (که به عنوان binding شناخته می‌شود) برقرار کنید.

پیش نیازها

سازمان باید دامنه مدیریت شده Google، رمز ثبت نام EMM و حساب خدمات سازمانی (ESA) داشته باشد. دستورالعمل‌هایی برای سرپرستان فناوری اطلاعات در مورد نحوه به دست آوردن این جزئیات در مرکز راهنمای Android Enterprise موجود است.

دامنه گوگل مدیریت شد

اگر سرپرست فناوری اطلاعات سازمان هنگام ثبت‌نام در Google Workspace ادعای یک دامنه مدیریت شده را داشته باشد، می‌تواند مدیریت Android را از کنسول Google Admin فعال کند. اگر سازمان دامنه مدیریت شده Google ندارد، سرپرست فناوری اطلاعات آن باید یک بار فرآیند ثبت وب در Google را طی کند.

رمز EMM

سرپرستان فناوری اطلاعات می‌توانند یک رمز EMM را از کنسول مدیریت Google (در زیر دستگاه‌ها > تلفن همراه و نقاط پایانی > تنظیمات > ادغام‌های شخص ثالث ) دریافت کنند.

ESA

سرپرست فناوری اطلاعات سازمان شما می‌تواند ESA را معمولاً از طریق Google Cloud Console در پروژه‌ای مرتبط با کنسول EMM شما ایجاد کند. ESA ها دارای یک نام، یک شناسه و کلیدی هستند که اعتبار حساب را برای اقدامات انجام شده از طرف آنها تأیید می کند. شناسه مشابه یک آدرس ایمیل، با نام حساب سرویس قبل از نماد @ و نام پروژه در زیر، همراه با اطلاعات خدمات Google (به عنوان مثال، some-orgs-esa@myemmconsole313302.iam.gserviceaccount.com) فرمت شده است. .

فرآیند ثبت نام

1. یک سرپرست فناوری اطلاعات یک رمز EMM از کنسول مدیریت Google دریافت می کند.
2. سرپرست فناوری اطلاعات، رمز EMM را با شما به اشتراک می‌گذارد، که به شما اجازه می‌دهد Android را در دامنه خود مدیریت کنید.
3. از طریق کنسول EMM خود، از رمز EMM برای فراخوانی Enterprises.enroll استفاده کنید. این راه حل Android سازمان را به دامنه Google آنها متصل می کند.
   • روش enroll یک enterpriseId منحصربه‌فرد را برمی‌گرداند که می‌توانید بعداً (فقط برای دامنه‌های مدیریت‌شده Google) با استفاده از روش list را بازیابی کنید.
   • به صورت اختیاری، می‌توانید اطلاعات مربوط به binding ( enterpriseId ، primaryDomain ) را در یک دیتا استور ذخیره کنید تا از برقراری تماس‌های API برای به دست آوردن این جزئیات اجتناب کنید. در سناریوی حساب‌های Google، primaryDomain سازمان، کلید منحصربه‌فردی است که سازمان را به EMM و Google شناسایی می‌کند.
4. برای برقراری تماس‌های سازمانی خاص با Google Play EMM API:
   • یا از طرف سازمان یک ESA ایجاد می‌کنید، یا یک سرپرست ESA را ایجاد می‌کند، سپس آن را با شما به اشتراک می‌گذارد.
   • از طریق کنسول EMM خود، setAccount ، با استفاده از enterpriseId و آدرس ایمیل ESA تماس بگیرید. این ESA را قادر می‌سازد تا در API به عنوان شرکت احراز هویت کند.

مثال

در اینجا نمونه‌ای وجود دارد که یک سازمان را با داشتن یک primaryDomainName ، serviceAccountEmail و authenticationToken ثبت می‌کند:

    public void bind(String primaryDomainName, String serviceAccountEmail,
        String authenticationToken) throws IOException {

      Enterprise enterprise = new Enterprise();
      enterprise.setPrimaryDomain(primaryDomainName);

      Enterprise result = androidEnterprise.enterprises()
          .enroll(authenticationToken, enterprise)
          .execute();

      EnterpriseAccount enterpriseAccount = new EnterpriseAccount();
      enterpriseAccount.setAccountEmail(serviceAccountEmail);
      androidEnterprise.enterprises()
          .setAccount(result.getId(), enterpriseAccount)
          .execute();
    }

این مثال از کتابخانه مشتری برای جاوا و کلاس سرویس AndroidEnterprise از بسته com.google.api.services.androidenterprise.model استفاده می کند. روش نشان داده شده در نمونه را می توان در این مراحل خلاصه کرد:

1. یک شی AndroidEnterprise جدید با پارامترهای ارائه شده توسط bind ایجاد کنید، یک کلاس مدل حاوی نام دامنه اصلی، آدرس ایمیل حساب سرویس، و رمز ثبت نام EMM.
2. نام دامنه اصلی شیء سازمانی جدید ایجاد شده را مشخص کنید.
3. روش ثبت نام را فراخوانی کنید و شیء سازمانی و رمز ثبت نام را ارائه دهید.
4. یک شی EnterpriseAccount جدید با شناسه ESA مشتری ( serviceAccountEmail ) ایجاد کنید.
5. حساب را با ارائه هر دو فیلد enterpriseId (در مرحله 3 برگردانده شده) و enterpriseAccount تنظیم کنید.

به صورت اختیاری، می‌توانید اطلاعات مربوط به binding ( enterpriseId ، primaryDomain ) را در یک دیتا استور ذخیره کنید تا از برقراری تماس‌های API برای به دست آوردن این جزئیات اجتناب کنید. در سناریوی حساب‌های Google، primaryDomain سازمان، کلید منحصربه‌فردی است که سازمان را به EMM و Google شناسایی می‌کند.

استقرار در محل را تنظیم کنید

اگر سازمانی می‌خواهد داده‌هایش در سایت باقی بماند و برای شما غیرقابل دسترسی باشد، باید مطمئن شوید که سرورهای شما هرگز مجموعه‌ای از اعتبارنامه‌های فعال برای ESA را نمی‌بینند. برای انجام این کار، مجموعه ای از اعتبارنامه های ESA را در سایت ایجاد و ذخیره کنید:

1. تکمیل جریان ثبت نام :
   1. همانطور که در مرحله 11 نشان داده شده است، از MSA خود برای تماس گرفتن با getServiceAccount استفاده کنید. این اعتبارنامه ESA را تولید می کند.
   2. همانطور که در مرحله 12 نشان داده شده است، از setAccount در ESA برای تنظیم آن به عنوان ESA برای این سازمان استفاده کنید.
2. ESA را به سرور داخلی سازمان منتقل کنید.
3. مراحل زیر را در سرور داخلی انجام دهید:
   1. برای ایجاد یک کلید جدید برای ESA با Serviceaccountkeys.insert تماس بگیرید. این کلید خصوصی در سرورهای گوگل ذخیره نمی شود و تنها یک بار، زمانی که حساب ایجاد می شود، بازگردانده می شود. به هیچ طریق دیگری قابل دسترسی نیست.
   2. از اعتبارنامه های جدید ESA برای تماس با Serviceaccountkeys.list استفاده کنید. این اطلاعات اعتبار حساب سرویس فعال را برمی گرداند.
   3. با Serviceaccountkeys.delete تماس بگیرید تا همه اطلاعات کاربری را حذف کنید به جز اعتبارنامه های ESA که به تازگی در محل ایجاد شده اند.
   4. (اختیاری) با Serviceaccountkeys.list تماس بگیرید تا بررسی کنید که اعتبارنامه هایی که در حال حاضر در محل استفاده می شوند، تنها اعتبارنامه های معتبر برای حساب سرویس هستند.

سرور داخلی اکنون تنها سروری است که دارای اعتبارنامه ESA است. فقط ESA ایجاد شده از طریق getServiceAccount می تواند به ServiceAccountKeys دسترسی داشته باشد — MSA شما مجاز به تماس با آن نیست.

بهترین روش : اعتبار حساب سرویس اصلی (MSA) خود را در محل ذخیره نکنید. از یک ESA جداگانه برای هر استقرار در محل استفاده کنید.

لغو ثبت نام، ثبت نام مجدد، یا حذف الزام آور سازمانی

لغو ثبت نام

برای جدا کردن سازمان از راه حل EMM خود، از unenroll استفاده کنید. الزام‌آوری سازمانی در صورت لغو ثبت‌نام حذف نمی‌شود، اما کاربران تحت مدیریت EMM و همه داده‌های کاربر مرتبط با آن‌ها پس از 30 روز حذف می‌شوند. در اینجا یک نمونه پیاده سازی آورده شده است:

    public void unbind(String enterpriseId) throws IOException {
      androidEnterprise.enterprises().unenroll(enterpriseId).execute();
    }

بهترین روش: اگر برای نگاشت نام سازمان و شناسه الزام آور شرکت، ذخیره داده ای دارید، پس از فراخوانی unenroll ، اطلاعات را از فروشگاه داده خود حذف کنید.

ثبت نام مجدد

یک سرپرست فناوری اطلاعات می‌تواند یک شرکت را با استفاده از enterpriseId موجود خود دوباره ثبت‌نام کند. برای انجام این کار، آنها با یک حساب در سطح مالک وارد سیستم می شوند و روند ثبت نام را دنبال می کنند.

جریان ثبت نام مجدد از دیدگاه شما شفاف است: هیچ راهی برای تعیین اینکه آیا نشانه سازمانی بازگردانده شده در URL تغییر مسیر (مرحله 8) از یک سازمان جدید است یا سازمانی که قبلاً در EMM دیگری ثبت نام کرده است وجود ندارد.

اگر سازمانی قبلاً با راه حل EMM شما ثبت نام کرده است، ممکن است بتوانید شناسه الزام آور سازمانی را تشخیص دهید. اگر یک سرپرست فناوری اطلاعات سازمانی را بیش از 30 روز پس از لغو ثبت نام از شما مجدداً ثبت نام کند، می‌توانید کاربران تحت مدیریت EMM و داده‌های کاربر مرتبط را بازیابی کنید. اگر سازمانی قبلاً با EMM دیگری ثبت‌نام کرده بود، شناسه‌های کاربری کاربران مدیریت‌شده توسط EMM ایجاد شده توسط EMM دیگر برای شما قابل دسترسی نخواهد بود. این به این دلیل است که این شناسه‌های کاربری مختص EMM هستند.

حذف کنید

یک سرپرست فناوری اطلاعات می‌تواند سازمان خود را از Google Play مدیریت شده حذف کند. ظرف 24 ساعت، داده‌ها، حساب‌ها، تخصیص مجوزها و سایر منابع سازمان برای سرپرست، کاربران نهایی و شما غیرقابل دسترس می‌شوند. در نتیجه، تماس‌های API شما کد وضعیت پاسخ HTTP 404 Not Found برای پارامتر enterpriseId برمی‌گرداند. برای رسیدگی به این خطا در کنسول EMM خود، قبل از حذف هرگونه ارتباط با سازمان، از سرپرست فناوری اطلاعات بخواهید تا تأیید کند.