Snelstartgids voor VMware Workspace ONE Vernieuwd in mei 2018 VMware Workspace ONE VMware Identity Manager 3.2 VMware AirWatch 9.3
U vindt de recentste technische documentatie op de website van VMware: https://docs.vmware.com/nl/ Als u opmerkingen over deze documentatie heeft, kunt u uw feedback sturen naar: docfeedback@vmware.com VMware, Inc. 3401 Hillview Ave. Palo Alto, CA 94304 www.vmware.com Copyright 2017 2018 VMware, Inc. Alle rechten voorbehouden. Informatie over copyright en handelsmerken. VMware, Inc. 2
Inhoud Over het aan de slag gaan met Workspace ONE 4 1 Wizard Aan de slag voor Workspace ONE gebruiken 5 2 Enterprise Systems Connector configureren 7 Enterprise Systems Connector configureren 7 ACC Active Directory maken 9 Toegangsbeleid beheren voor toepassing op gebruikers 10 3 AirWatch Enterprise Mobility Management op Google voor Android instellen 14 4 Single Sign-On voor mobiel configureren 16 Wizard Single Sign-On voor mobiel configureren 17 5 Workspace ONE-gebruikersportal aanpassen 21 VMware, Inc. 3
Over het aan de slag gaan met Workspace ONE De begeleidt u bij het gebruik van de wizards Aan de slag met VMware Workspace ONE in de AirWatch Beheerdersconsole. In deze gids beschrijven we in detail hoe u belangrijke functies van Workspace ONE implementeert, waaronder Single Sign-On (SSO), voorwaardelijke toegang en beleid. Doelgroep Deze informatie is bedoeld voor beheerders die Workspace ONE implementeren voor mobiele SSO en apparaatbeheer. De informatie is geschreven voor ervaren Windows- of Linux-systeembeheerders die bekend zijn met technologie voor virtual machines en bewerkingen in datacenters. VMware, Inc. 4
Wizard Aan de slag voor 1 Workspace ONE gebruiken De wizards Aan de slag voor Workspace ONE helpen u bij de configuratiestappen om VMware AirWatchen VMware Identity Manager-services te integreren om de Workspace ONE-omgeving te maken. De Workspace ONE-wizard houdt bij hoe ver u bent in het configuratieproces. De wizards kunnen worden gestart, onderbroken en later opnieuw worden gestart. U kunt de configuratie controleren en zo nodig antwoorden wijzigen. Android EMM-registratie. De wizard helpt u stapsgewijs door de stappen om AirWatch te registreren als uw EMM-aanbieder voor Android-toestellen met Google. Enterprise Connector & Directory. De wizard leidt u door de stappen om de VMware Enterprise System Connector in te stellen en de Active Directory-verbinding te configureren om gebruikers en groepen uit uw bedrijfsdirectory te importeren. Single Sign-On voor mobiel. De wizard voert een reeks stappen uit om alle instellingen te configureren voor mobiele Single Sign-On op ios-, Android- en Windows 10-toestellen. Merkvermelding in gebruikersportal. De wizard opent de pagina Merkvermelding in gebruikersportal in de VMware Identity Manager-beheerconsole waar u de logo's, lettertypen en achtergronddetails voor de Workspace ONE-applicatie kunt aanpassen. Figuur 1 1. Wizards Aan de slag voor Workspace ONE VMware, Inc. 5
De Apple Push Notification-service (APNs) is het berichtenprotocol dat is gemaakt door Apple om mobiele apparaten te beheren. Er wordt vereist dat voor de MDM-provider een geldig APN-certificaat is geconfigureerd. Het configureren van de APN is een vereiste om ios-apparaten te kunnen beheren. Zie de handleiding Generating and Renewing an APNS Certificate op resources.air-watch.com als u een veilige pushverbinding vanaf Apple wilt instellen. Als u automatische ontdekking wilt instellen, volgt u de aanwijzingen op de configuratiepagina voor automatische ontdekking. Het configureren van automatische ontdekking is niet vereist om Workspace ONE te configureren en te gebruiken. De wizard Aan de slag waarschuwt u eventueel als er potentiële conflicten ontstaan met bestaande configuraties in AirWatch of de VMware Identity Manager-service. In dat geval kunt u deze stappen alleen gedeeltelijk door de wizard laten uitvoeren of de functies handmatig configureren. De wizard Aan de slag dient niet ter vervanging van de mogelijkheid om afzonderlijke instellingen te configureren of te wijzigen, maar biedt een manier om de eerste instellingen voor klanten grotendeels te automatiseren. Navigeer naar het menu Aan de slag voor Workspace ONE Ga naar de pagina Aan de slag voor Workspace ONE in het hoofdmenu van de AirWatch Beheerdersconsole. 1 Selecteer de organisatiegroep in de algemene lijst. 2 Klik op Aan de slag in het linkernavigatievenster. 3 Op de pagina Aan de slag klikt u in het gedeelte Workspace ONE op Start wizard. VMware, Inc. 6
Enterprise Systems Connector configureren 2 De installatiewizard Enterprise Connector & Directory begeleidt u bij alle stappen om de VMware Enterprise Systems Connector in te stellen, zodat de onderdelen van Workspace ONE, AirWatch en VMware Identity Manager kunnen communiceren met uw Active Directory. De aanbevolen configuratie bestaat uit het installeren van de volledige VMware Enterprise Systems Connector, inclusief het onderdeel met de identiteitsprovider. De VMware Identity Manager-service gebruikt het kanaal voor directorysynchronisatie van identiteitsbeheer in de connector in plaats van het ACC-kanaal van AirWatch. Deze optie biedt de beste compatibiliteit met geavanceerde Active Directoryomgevingen. Dit hoofdstuk omvat de volgende onderwerpen: Enterprise Systems Connector configureren ACC Active Directory maken Toegangsbeleid beheren voor toepassing op gebruikers Enterprise Systems Connector configureren De VMware Enterprise System Connector-configuratie is altijd vereist voor SaaS-klanten. Klanten op locatie kunnen deze connector mogelijk vereisen afhankelijk van hun netwerkarchitectuur. Raadpleeg de handleiding VMware AirWatch Reference Architecture voor aanbevelingen en informatie. Vereisten Als u de Enterprise System Connector wilt installeren, is het volgende vereist. Zie de handleiding Installatie en configuratie van VMware Enterprise Systems Connector voor de vereisten en overige gedetailleerde informatie. Certificaat voor beveiligd kanaal geïnstalleerd om beveiliging tussen AWCM en AirWatch-console, apparaatservices, API en de selfserviceportal tot stand te brengen Meld u als lokale beheerder aan bij de VMware Identity Manager-beheerconsole en genereer een activeringscode. a b Ga naar het tabblad Identiteits- en toegangsbeheer > Instellen. Op de pagina Connectoren klikt u op Connectoren toevoegen. Voer de naam voor de connector in. VMware, Inc. 7
c d Klik op Activeringscode genereren. Kopieer de activeringscode en sla deze op voor gebruik bij het instellen van de connector. Procedure 1 Meld u aan bij de AirWatch-console met het beheerderswachtwoord. Maak zo nodig een wachtwoord. 2 Accepteer de gebruiksvoorwaarden en stel de vragen voor wachtwoordherstel en de beveiligings-pin in. 3 Voor implementaties op locatie maakt of selecteert u de organisatiegroep op klantniveau om de wizard uit te voeren. De organisatiegroep op klantniveau is het enige niveau waarop de wizard Aan de slag beschikbaar is. 4 Selecteer Aan de slag > Workspace ONE. 5 Klik in het gedeelte Enterprise Connector & Directory op Configureren. 6 Als u de VMware Enterprise Systems Connector wilt downloaden, maakt u een wachtwoord en klikt u op Installatieprogramma voor VMware Enterprise Systems Connector downloaden. Als u het AirWatch ACC-kanaal wilt installeren, klikt u op Overslaan en voltooit u de installatie van de ACC-directory. Zie ACC Active Directory maken. 7 Voer het installatieprogramma voor de VMware Enterprise Systems Connector uit. Controleer de stappen in de InstallShield-wizard. 8 Nadat de installatie van de connector is voltooid, klikt u op Verbinding testen. 9 Klik op Doorgaan. De pagina Instellingen > Enterprise Integration > Directoryservices wordt geopend. 10 Selecteer Active Directory via LDAP/IWA toevoegen als u daarom wordt gevraagd. 11 Voer de gegevens van de Active Directory-server in. Optie Directorynaam Directorytype Directory synchroniseren en verificatie Serverlocatie Beschrijving Voer een naam in om deze directory te identificeren. Selecteer Active Directory via LDAP. Selecteer de connector die u hebt geïnstalleerd. Deze connector wordt gesynchroniseerd met Active Directory. Verificatie is ingesteld op Ja. Het zoekkenmerk voor de directory is gewoonlijk ingesteld op samaccountname. Schakel dit selectievakje in als u de DNS-servicelocatierecords wilt gebruiken om de Active Directory-domeinen te vinden. Als u de opzoekfunctie van DNSservicelocatie niet gebruikt, schakelt u het selectievakje uit en voert u de naam en poort van de Active Directory-serverhost in. Het standaardpoortnummer is 389. VMware, Inc. 8
Optie Certificaten Beschrijving Als voor uw Active Directory STARTTLS-versleuteling is vereist, schakelt u het onderstaande selectievakje in en geeft u het Root-CA-certificaat op. Opmerking Als de Active Directory STARTTLS vereist en u verstrekt het certificaat niet, kunt u de directory niet maken. Gegevens van bindingsgebruiker Basis-DN: voer de DN in vanwaar zoekopdrachten worden gestart. Bijvoorbeeld OU=mijnAfdeling,DC=mijnOnderneming,DC=com. Bind-DN Voer het account in waarmee u kunt zoeken naar gebruikers. Bijvoorbeeld CN=binduser,OU=myUnit,DC=myCorp,DC=com. Wachtwoord Bind-DN Voer wachtwoord voor het Bind-account in. Het gebruik van een gebruikersaccount van Bind DN met een wachtwoord dat niet verloopt, wordt aanbevolen. 12 Klik op Verbinding testen om de connectiviteit te controleren. 13 Klik op Opslaan. Wat nu te doen Voor een directoryservice met VMware Identity Manager controleert u de gebruikerskenmerken die worden gesynchroniseerd van Active Directory en selecteert u groepen en gebruikers om te synchroniseren. Ga naar de VMware Identity Manager-beheerconsole, de pagina Identiteits- en toegangsbeheer, Instellen > Gebruikerskenmerken om gebruikers- en groepskenmerken te verifiëren. Als u de synchronisatie-instellingen wilt beheren, inclusief het toevoegen van gebruikers en groepen, gaat u naar de pagina Beheren > Directory's en selecteert u de weergave Synchronisatie-instellingen van de directory. Voer de wizard Eenmalige aanmelding voor mobiel uit om mobiele SSO voor ios-, Android- en Windows 10-apparaten te configureren. ACC Active Directory maken Het configureren van ACC is een eenvoudige implementatie, maar zonder al te veel functies. U stelt een verbinding naar de Active Directory in om gebruikers en groepen te synchroniseren met de AirWatchdirectory. Procedure 1 Selecteer de wizard Enterprise Connector & Directory en installeer het AirWatch ACC-kanaal, klik op Overslaan en voltooi de volledige installatie van de ACC-directory. 2 Voer op de pagina Directory installatie de gegevens van de Active Directory-server in voor ACC. Optie Directorytype Server Beschrijving Active Directory is geselecteerd. Voer de hostnaam of het IP-adres van de directoryserver in. Bijvoorbeeld: typ de hostnaam als mijnbedrijf.voorbeeld.nl. VMware, Inc. 9
Optie Encryptietype Poort Beschrijving Selecteer de encryptie die wordt gebruikt voor communicatie met Directory Services: Geen, SSL of Start TLS. Voer de TCP-poort die wordt gebruikt voor communicatie met de domeincontroller. Het standaardpoortnummer is 389. Protocolversie Voer de versie van het LDAP-protocol in dat wordt gebruikt. De versie is 2 of 3. Als u niet zeker weet welke protocolversie u moet gebruiken, behoudt u de waarde 3. Verificatietype BIND Gebruikersnaam BIND Bind-wachtwoord Domein Selecteer het type Bind-verificatie dat wordt gebruikt om de communicatie tussen de AirWatch-server en de domeincontroller mogelijk te maken. De veel gebruikte waarde is GSS-NEGOTIATE. Voer de gebruikersnaam van het Bind-account in dat u wilt verifiëren bij de directoryserver. Voer het wachtwoord voor het Bind-account in. Voer de naam van het standaarddomein en de standaardserver in voor het directory-gebaseerde gebruikersaccount. 3 Klik op Opslaan. 4 Klik op Verbinding testen om de connectiviteit te controleren. Wat nu te doen Ga voor de directoryservice met ACC naar de pagina's Systeem > Bedrijfsintegratie > Directory Services om gebruikers en groepen te configureren, indien ze nog niet eerder zijn geconfigureerd. Voer de wizard Eenmalige aanmelding voor mobiel uit om mobiele SSO voor ios-, Android- en Windows 10-apparaten te configureren. Toegangsbeleid beheren voor toepassing op gebruikers Om gebruikers veilige toegang tot de Workspace ONE-app-portal te verlenen en om web- en desktopapplicaties te starten, configureert u toegangsbeleid. Toegangsbeleid bevat regels die criteria vastleggen waaraan moet worden voldaan om u aan te melden bij de app-portal en gebruik te maken van de bronnen. Met toegangsbeleid kunnen beheerders functies configureren zoals Single Sign-On voor mobiel, voorwaardelijke toegang tot applicaties op basis van inschrijving, compliancestatus, opwaardering en multi-factorverificatie. Beleidsregels wijzen het IP-adres toe dat het verzoek indient bij netwerkbereiken en geven het type apparaat aan dat gebruikers kunnen gebruiken om zich aan te melden. De regel definieert de verificatiemethoden en het aantal uur dat de verificatie geldig is. U kunt een of meer groepen selecteren om ze te koppelen aan de toegangsregel. Er zijn tal van configuratieopties beschikbaar, maar in deze snelstartgids beschrijven we beheerd en nietbeheerd niveau van applicatietoegang voor zakelijke mobiliteit. VMware, Inc. 10
Het standaardtoegangsbeleid wordt geconfigureerd wanneer u de wizard Single Sign-On voor mobiel configureren uitvoert om toegang tot alle geconfigureerde apparaattypen toe te staan. Dit beleid wordt beschouwd als toegang op niveau 1 voor applicaties die toegankelijk zijn voor niet-beheerde apparaten. U kunt beleid maken voor applicaties waarvoor beperkte toegang vanaf beheerde conforme apparaten is vereist. VMware Identity Manager biedt diverse ingebouwde verificatieadapters om deze ervaring tot stand te brengen. Wanneer Single Sign-On voor mobiel is geconfigureerd, worden deze verificatiemethoden ingeschakeld. Mobiele SSO (voor ios). Kerberos-gebaseerde adapter voor ios-apparaten Mobiele SSO (voor Android). Speciaal aangepaste implementatie van certificaatverificatie voor Android Certificaat (cloudimplementatie). Certificaatverificatieservice bedoeld voor browsers en desktopapparaten Wachtwoord. Staat verificatie van directorywachtwoorden toe met één connector wanneer VMware Identity Manager en AirWatch samen zijn geïmplementeerd met beide onderdelen van de VMware Enterprise Systems Connector. Wachtwoord (AirWatch Connector). Staat verificatie van directorywachtwoorden toe met één connector wanneer VMware Identity Manager en AirWatch samen zijn geïmplementeerd met alleen ACC. Compliance van apparaat (met AirWatch). Meet de status van beheerde apparaten die resulteren in Goedgekeurd/Mislukt op basis van in AirWatch gedefinieerde criteria. Compliance kan worden geketend aan elke andere ingebouwde adapter behalve wachtwoord. Standaardtoegangsbeleid op niveau 1 voor niet-beheerde apparaten Gebruik het standaardtoegangsbeleid als uitgangswaarde voor beleid op niveau 1 voor toegang tot alle applicaties. Wanneer Single Sign-On voor mobiel is geconfigureerd, worden toegangsregels gemaakt voor ios-, Android- en Windows 10-apparaten. Elk apparaat is ingeschakeld voor Single Sign-On (SSO) met de verificatiemethode specifiek voor dat apparaat. In elke regel is de back-upmethode wachtwoord. Deze configuratie biedt de beste ervaring voor het beheer van apparaten, terwijl nog steeds een handmatige aanmeldoptie wordt geboden voor niet-beheerde apparaten. Het standaardbeleid is geconfigureerd om toegang tot alle netwerkbereiken toe te staan. De time-out voor de sessie is acht uur. U wilt toegang voor niet-beheerde apparaten mogelijk nog verder beveiligen met VMware Verify of andere multi-factorverificatie. VMware, Inc. 11
Figuur 2 1. Voorbeeld van het standaardbeleid voor niet-beheerde apparaten Wanneer de wizard Eenmalige aanmelding voor mobiel wordt gebruikt om eenmalige aanmelding voor mobiel te configureren, komen de standaardtoegangsbeleidsregels overeen met dit niveau van toegangscontrole. Beleid op niveau 2 configureren voor beheerde apparaten Als uw organisatie applicaties implementeert die gevoelige gegevens bevatten, kunt u toegang tot deze applicaties beperken tot alleen MDM-beheerde apparaten. Beheerde apparaten kunnen zo nodig worden gevolgd en gewist, en bedrijfsgegevens kunnen worden verwijderd wanneer de registratie van het apparaat ongedaan wordt gemaakt. Om deze beheerde vereiste op een selectie van applicaties te forceren, maakt u applicatiespecifiek beleid voor deze applicaties. Wanneer u het beleid maakt in het gedeelte Van toepassing op, selecteert u de applicaties voor dit beleid. Maak een beleidsregel voor elk apparaatplatform in uw implementatie. Definieer de juiste SSOverificatiemethode. Omdat niet-beheerde apparaten geen toegang tot deze applicaties mogen krijgen, definieert u geen back-upmethode voor verificatie. Bijvoorbeeld: als een niet-beheerd ios-apparaat verbinding probeert te maken met een applicatie die alleen is geconfigureerd voor toegang door beheerde apparaten, reageert het apparaat niet met het juiste ingepakte Kerberos-certificaat. De verificatiepoging mislukt en de gebruiker krijgt geen toegang tot de inhoud. VMware, Inc. 12
Figuur 2 2. Voorbeeld van toegangsbeleid op niveau 2 voor beheerde apparaten VMware, Inc. 13
AirWatch Enterprise Mobility Management op Google voor Android instellen 3 U moet voor het beheer van Android-toestellen in Workspace ONE, AirWatch registreren als de provider voor Zakelijke mobiliteit Management (EMM) met Google. De wizard helpt u stapsgewijs door de stappen om AirWatch te registreren als de EMM-provider. Opmerking Als u de G Suite implementeert, raadpleegt u de handleiding VMware AirWatch Integration with Android for Work voor configuratiegegevens. Vereisten Een Google gebruikersaccount. Procedure 1 Selecteer de organisatiegroep voor Workspace ONE uit de globale lijst. 2 Klik op Aan de slag in het linkernavigatievenster. 3 Op de pagina Aan de slag klikt u in het gedeelte Workspace ONE op Start wizard. 4 Klik op Configurerenin de sectie Android EMM-registratie. VMware, Inc. 14
5 Klik op Registreren met Google. U wordt omgeleid naar Google Play om de naam van uw organisatie toe te voegen. De EMM-provider is al ingevuld met AirWatch. 6 Voltooi de configuratie op de pagina en klik op BEVESTIGEN. 7 Klik op INSCHRIJVING VOLTOOIEN. U keert terug naar de AirWatch beheerdersconsole, Android for Work-pagina. De instellingen voor de Google-beheerdersconsole en API zijn aan de pagina toegevoegd. 8 Klik op Opslaan en vervolgens op Verbinding testen. U bent nu klaar om Android-toestellen in te schrijven met behulp van Android Enterprise. VMware, Inc. 15
Single Sign-On voor mobiel 4 configureren Met mobiele Single Sign-On kunnen gebruikers zich eenvoudig en veilig automatisch aanmelden bij geselecteerde mobiele applicaties. De apparaten die worden geconfigureerd voor Single Sign-On (SSO) voor mobiel werken met ios, Android en Windows 10. Configuratie van het onderdeel Single Sign-On voor ios Single Sign-On voor mobiel voor ios gebruikt het PKINIT Kerberos-protocol voor certificaattransport, maar vereist geen infrastructuur op locatie. Een ingebouwde Kerberos-adapter is beschikbaar in de identiteitsbeheerdersservice, die ios-verificatie kan afhandelen zonder behoefte aan apparaatcommunicatie met uw interne domeincontroller. Daarenboven kan AirWatch identiteitscertificaten distribueren aan apparaat, en zo de vereiste elimineren om een CA op locatie te hebben. Ondersteunde apparaten ios versie 9 en hoger Configuratie van het onderdeel Single Sign-On voor Android Workspace ONE biedt universele Single Sign-On voor mobiel voor Android. Met Single Sign-On voor mobiel kunnen gebruikers zich veilig aanmelden bij bedrijfsapplicaties, zonder behoefte aan een wachtwoord. De mobiele app VMware Tunnel wordt geïnstalleerd op Android-apparaten om certificaten en apparaat-id-informatie in verificatieprocessen toe te voegen. Deze oplossing ondersteunt zowel klassiek Android-beheer als Android for Work. Ondersteunde apparaten Android 5 en hoger Apps moeten SAML of een andere ondersteunde federatiestandaard ondersteunen De verificatiemethode Eenmalige aanmelding voor mobiel voor Android-apparaten kan worden geconfigureerd om de Tunnel-server te negeren wanneer geen VPN-toegang nodig is. Voor Single Sign- On is alleen de mobiele app Tunnel vereist. VMware, Inc. 16
Het implementeren van de Workspace ONE-applicatie op alle Android-apparaten implementeert niet automatisch de Android for Work-containers voor de applicatie. Android for Work is vereist voor het gebruik van de functie Adaptief beheer van de Workspace ONE-app. Als u deze app ook wilt toevoegen aan Android for Work-apparaten, en voor meer informatie over de extra opties beschikbaar als onderdeel van AirWatch MAM, raadpleegt u de handleiding VMware AirWatch Integration with Android for Work, beschikbaar bij AirWatch Resources. Configuratie van het onderdeel Single Sign-On voor Windows 10 Certificaat-gebaseerde SSO is de aanbevolen ervaring voor beheerde Windows-desktops en -laptops. Certificaatverificatie wordt ondersteund op alle x86-gebaseerde Windows-installaties. Wizard Single Sign-On voor mobiel configureren Configureer Single Sign-On (SSO) voor mobiel zodat gebruikers van apparaten die bij AirWatch zijn geregistreerd, zich veilig bij hun ingeschakelde applicatie kunnen aanmelden zonder meerdere wachtwoorden in te moeten voeren. De wizard doorloopt een reeks stappen om alle instellingen voor alle ondersteunde platformen te configureren. U kunt de configuratie bewerken nadat de wizardconfiguratie is voltooid. Figuur 4 1. Lijst met onderdelen die worden geconfigureerd De wizardconfiguratie kan enkele minuten in beslag nemen. Vernieuw of verlaat de configuratiepagina van de wizard niet wanneer de configuratie wordt uitgevoerd. VMware, Inc. 17
U kunt afzonderlijke onderdelen selecteren voor handmatige configuratie. Procedure 1 Meld u aan bij de AirWatch-console met het beheerderswachtwoord. 2 Selecteer Aan de slag > Workspace ONE. 3 Klik in het gedeelte Single Sign-On voor mobiel op Configureren. 4 Klik op de pagina Snelle en gemakkelijke configuratie! op Aan de slag om de wizard alle onderdelen van Single Sign-On voor mobiel te laten configureren voor Workspace ONE. Klik op Handmatige installatie om Single Sign-On voor mobiel handmatig te configureren. 5 Klik op de pagina Aan de slag op Doorgaan. 6 Klik op de pagina Automatisch configureren op Configuratie starten. Wanneer een stap is voltooid, wordt een vinkje weergegeven naast de stap. 7 Klik op Voltooien wanneer de configuratie is voltooid. Klik op Instellingen bewerken als u de configuratie van onderdelen wilt wijzigen of controleren. Anders klikt u op Sluiten. De wizard Eenmalige aanmelding voor mobiel configureert automatisch de volgende onderdelen om Single Sign-On voor mobiel voor ios-, Android for Work- en Windows 10-apparaten in te stellen voor Workspace ONE. Tabel 4 1. Onderdelen geconfigureerd voor Single Sign-On voor mobiel Onderdeel geconfigureerd Certificaatautoriteit Certificaatsjablonen VMware Tunnel Beschrijving Er wordt een verbinding ingesteld met de systeemeigen AirWatch-certificaatautoriteit die is gebruikt om verificatiecertificaten uit te reiken voor Single Sign-On voor mobiel voor beheerde iosapparaten. Een AirWatch-certificaatsjabloon is vooraf geconfigureerd om certificaten uit te reiken voor Single Sign-On voor mobiel. VMware Tunnel is geconfigureerd en configureert een certificaat om lokale Single Sign-On (SSO)-services te bieden aan externe Android-applicaties die zijn verbonden met VMware Identity Manager. Pagina met instellingen in de beheerconsole AirWatch-console > Systeem > Bedrijfsintegratie > Certificaatautoriteiten AirWatch-console > Systeem > Bedrijfsintegratie > Sjablonen aanvragen AirWatch-console > Systeem > Bedrijfsintegratie > VMware Tunnel VMware, Inc. 18
Tabel 4 1. Onderdelen geconfigureerd voor Single Sign-On voor mobiel (Vervolgd) Onderdeel geconfigureerd Verificatiemethoden Gebruikersverificatieprofiel en Toegangsbeleid Beschrijving De verificatiemethoden vereist voor Single Sign-On voor mobiel worden geconfigureerd in de VMware Identity Manager-service. Deze verificatiemethoden brengen een vertrouwensketen tot stand tussen de AirWatch-certificaatautoriteit en de VMware Identity Manager-service. De verificatiemethoden die worden geconfigureerd zijn: Mobiele SSO voor ios, Mobiele SSO voor Android, Wachtwoord (AirWatch Connector) en Certificaat (cloudimplementatie). Daarenboven wordt Compliance van apparaat (met AirWatch) ingeschakeld. AirWatch-configuratieprofielen voor ios en Windows worden gemaakt. De profielen worden gebruikt om een certificaat te distribueren en apparaten te configureren voor verificatie met de VMware Identity Manager-service. Het standaardtoegangsbeleid in de VMware Identity Manager-service wordt geconfigureerd met toegangsregels voor elk iosapparaat, Android-apparaten en Windows 10- apparaten. Gebruikers worden geverifieerd met Single Sign-On voor mobiel voor beheerde apparaten. Zie Toegangsbeleid beheren voor toepassing op gebruikers. Pagina met instellingen in de beheerconsole VMware Identity Managerbeheerconsole > Identiteits- en toegangsbeheer > Beheren > Verificatiemethoden AirWatch-console > Toestellen > Profielen en resources > Profielen VMware Identity Managerbeheerconsole > Identiteits- en toegangsbeheer > Beheren > Netwerkregels Wat nu te doen Voor ios-apparaten moeten de services worden geïntegreerd met Kerberos. Deze verificatiemethode voor ios-apparaten gebruikt een Key Distribution Center (KDC) zonder een systeem van derden te gebruiken. Voor implementaties op locatie zijn twee KDC-opties beschikbaar. KDC als een in de cloud gehoste VMware Identity Manager-service en een ingebouwde KDC op de appliance. Dit wordt geconfigureerd in de VMware Identity Manager-beheerconsole. Zie Een Key Distribution Center gebruiken voor verificatie van ios-apparaten. Schakel VPN in voor elke Android-app die de apptunnelfunctionaliteit gebruikt via de AirWatch Beheerdersconsole. Publiceer het ios-profiel om SSO in te schakelen in de AirWatch Beheerdersconsole. Het probleem wordt gegenereerd, maar niet automatisch gepubliceerd. Voor Windows-implementaties moet het certificaat voor cloudimplementatie handmatig worden geconfigureerd. Dit wordt geconfigureerd in de VMware Identity Manager-beheerconsole. Zie de handleiding Beheer VMware Identity Manager. Maak beleid voor applicaties waarvoor beperkte toegang vanaf beheerde apparaten is vereist. Zie Toegangsbeleid beheren voor toepassing op gebruikers. VMware, Inc. 19
Een Key Distribution Center gebruiken voor verificatie van iosapparaten Voor ios-apparaten integreert u de service met Kerberos. Kerberos-verificatie biedt gebruikers die zijn aangemeld bij hun domein toegang tot hun applicatieportal zonder dat ze om aanvullende verificatiegegevens worden gevraagd. Deze verificatiemethode voor ios-apparaten gebruikt een Key Distribution Center (KDC) zonder connector of systeem van derden. Voor VMware Identity Manager-cloudtenants hoeft u het KDC niet te beheren of te configureren. Voor implementaties op locatie zijn twee KDC-serviceopties beschikbaar. Ingebouwde KDC. Voor het ingebouwde KDC moet het KDC op de appliance worden geïnitialiseerd en moeten openbare DNS-vermeldingen worden gemaakt zodat de Kerberos-clients het KDC kunnen vinden. Zie de VMware Identity Manager-beheerhandleiding voor meer informatie over het inschakelen van het ingebouwde KDC. KDC als een in de cloud gehoste VMware Identity Manager-service. Voor het gebruik van KDC in de cloud moet de betreffende realmnaam worden geselecteerd op de pagina voor de iosverificatieadapter. Opmerking Wanneer u VMware Identity Manager samen met AirWatch installeert en configureert in een Windows-omgeving, moet u de mobiele ios-verificatiemethode configureren voor gebruik met de in de cloud gehoste KDC-service van VMware Identity Manager. VMware, Inc. 20
Workspace ONEgebruikersportal 5 aanpassen De wizard Merkvermelding in gebruikersportal leidt u naar de pagina Merkvermelding in gebruikersportal van Workspace ONE in de VMware Identity Manager-beheerconsole. u kunt de logo's, lettertypen en vormgeving van de achtergrond aanpassen in de Workspace ONE-portal zodat deze overeenkomt met de uitstraling van uw bedrijfskleuren, -logo's en-ontwerp. Vereisten VMware Identity Manager-service is geconfigureerd. Procedure 1 Meld u aan bij de AirWatch-console met het beheerderswachtwoord. 2 Selecteer Aan de slag > Merkvermelding in gebruikersportal. U wordt doorverwezen naar de identity manager-beheerconsole. Als u niet bent aangemeld bij de identity manager-beheerconsole, wordt het aanmeldscherm weergegeven. Voer de VMware Identity Manager-beheerdersnaam en het wachtwoord in en ga naar Catalogus > Instellingen > Merkvermelding in gebruikersportal. Als u al bent aangemeld, wordt de pagina Merkvermelding in gebruikersportal weergegeven. 3 Bewerk de instellingen op het formulier naar wens. Formulieritem Logo Beschrijving Voeg een impressumlogo toe dat als banner gaat dienen aan de bovenzijde van de webpagina's van de Workspace ONE-portal. De afbeelding mag maximaal 220 x 40 px groot zijn. De indeling kan JPEG, PNG of GIF zijn. Portal Achtergrondkleur voor impressum Tekstkleur voor impressum Voer een hexadecimale kleurcode van zes cijfers in over de bestaande kleurcode om de achtergrondkleur van het impressum te wijzigen. De achtergrondkleur in het voorbeeldscherm van de toepassingen-portal wijzigt wanneer u een nieuwe kleurcode invoert. Voer een hexadecimale kleurcode van zes cijfers in over de bestaande kleurcode om de tekstkleur in het impressum te wijzigen. VMware, Inc. 21
Formulieritem Achtergrondkleur Achtergrondkleur pictogram Ondoorzichtigheid van pictogramachtergrond Kleur van naam en pictogram Lettereffect Achtergrondmarkering Achtergrondpatroon Afbeelding (optioneel) Beschrijving De kleur die wordt weergegeven voor de achtergrond van het scherm Webportal. Voer een nieuwe hexadecimale kleurcode van zes cijfers in om de bestaande achtergrondkleur te wijzigen in de nieuwe achtergrondkleur. De achtergrondkleur in het voorbeeldscherm van de toepassingen-portal wijzigt wanneer u een nieuwe kleurcode invoert. Selecteer Achtergrondmarkering om de achtergrondkleur te accentueren. Wanneer Achtergrondmarkering is ingeschakeld, geven browsers die meerdere achtergrondafbeeldingen ondersteunen, de overlay weer in de start- en cataloguspagina's. Selecteer Achtergrondpatroon om het kant-en-klare driehoekpatroon in de achtergrondkleur in te stellen. Voer een hexadecimale kleurcode van zes cijfers in om de achtergrondkleur van het vak rond de toepassingspictogrammen te wijzigen. Als u transparantie wilt instellen, verplaatst u de schuifknop op de balk. U kunt de tekstkleur selecteren voor namen die worden weergegeven onder de pictogrammen op de app-portalpagina's. Voer een hexadecimale kleurcode in over de bestaande kleurcode om de kleur van de lettertypen te wijzigen. Selecteer het lettertype dat moet worden gebruikt voor de tekst op de schermen van de Workspace ONE-portal. Indien ingeschakeld, wordt de achtergrondoverlay op de pagina's Bladwijzers en Catalogus weergegeven voor browsers die meerdere achtergrondafbeeldingen ondersteunen. Indien ingeschakeld, voor browsers die meerdere achtergrondafbeeldingen ondersteunen, wordt het patroon op de pagina's Bladwijzers en Catalogus weergegeven. Upload een afbeelding om deze toe te voegen aan de achtergrond van het app-portalscherm in plaats van een kleur. 4 Klik op Opslaan. Controleer de vormgeving en wijzigingen in de merkvermelding. Updates van aangepaste merkinformatie voor de gebruikersportal worden iedere 24 uur vernieuwd. Om de wijzigingen eerder door te voeren, kunt u als beheerder een nieuw tabblad openen en deze URL invoeren, waarbij u uw domeinnaam vervangt door myco.example.com. https://<myco.example.com>/catalog-portal/services/api/branding? refreshcache=true. VMware, Inc. 22