HP Dimension デバイスを Google 管理コンソールに登録するには、管理者権限を持つ Google Workspace アカウントが必要です。これは、ログインがインストール後の登録フローの一部であるためです。
IT 管理者は、A/V インテグレーター（AVI）と一緒にログインするか、インテグレーターがデバイスの登録に使用できるアカウントをインテグレーターに提供します。いずれの場合も、ログインに使用するアカウントには、少なくとも次の権限が必要です。
- Meet ハードウェアを登録する（Google Beam for Meet）
- Google Beam ハードウェアを登録する（Google Beam for Zoom）
このガイドでは、AVI の管理者アカウントを設定する際にデバイスの登録を選択した場合のセキュリティ上の懸念事項について説明します。
サードパーティの ID プロバイダとセキュリティ ポリシー
デバイス登録は、企業のセキュリティ ポリシーと競合することが多い認証シナリオです。管理対象のノートパソコンとは異なり、HP Dimension は登録プロセスが完了するまで「不明」で「信頼できない」状態です。また、インテグレーターのログインはサービス提供者としてデバイスから開始する必要があるため、インテグレーターの管理者アカウントにポリシー例外がない限り、Google 以外の ID プロバイダからログインを開始する必要がある認証フローは機能しません。
そのため、この管理者アカウントの設定には、組織のセキュリティ ポリシーに応じて異なる依存関係があります。
- Google Workspace へのログインが Okta などのサードパーティ（3P）ID プロバイダ（IdP）経由であるかどうか
- 組織のポリシーで、Beam 登録アプリ（サービス プロバイダ）ではなく IdP で 3P IdP ログインを開始する必要があるかどうか
- アカウントの例外を作成できるかどうか
次のフローチャートは、これらの要因間の依存関係を示しています。
Google Workspace の前提条件
ドメインの所有権が証明されている Google Workspace エディションが必要です。カスタムロールを作成するには、少なくとも Enterprise Standard エディションが必要です。詳しくは、HP Dimension with Google Beam の要件をご覧ください。
企業のセキュリティ ポリシーにより、Workspace ユーザー アカウントを SAML SSO で設定する必要がある場合があります。この場合は、Google 管理コンソールの [セキュリティ] 
[認証] [サードパーティの IdP による SSO] で、IdP のログインページの URL とエンティティ ID を入力し、検証証明書をアップロードする必要があります。サードパーティの ID プロバイダを使用した SSO の設定を参照してください。
専用の登録アカウントを作成する
AVI にデバイスの登録を許可する場合は、個々のインテグレーターに関連付けられた個人用管理者アカウントではなく、enrollment@<yourdomain>.com などの専用の登録アカウントを作成することをおすすめします。
- 直接的な方法: Google 管理コンソールからユーザー アカウントを作成します。
- IdP オプション: IdP でユーザー アカウントを作成し、Directory Sync または SCIM プロビジョニング（Okta/Azure で利用可能）を使用して Google と自動的に同期し、SSO の準備をします。詳しくは、Directory Sync と GCDS の比較をご覧ください。
いずれの場合も、インテグレーターに提供するために、アカウントの元のソース（Google 管理コンソールまたは IdP）から認証情報を収集する必要があります。次に、HP Dimension デバイスを登録するために必要な管理者権限を登録アカウントに付与する必要があります。
ライセンスに対応するタブをクリックします。
Google Beam for Meet
権限を割り当てるには、カスタムの管理者ロールを作成する必要があります。
- カスタムの管理者ロールを作成、編集、削除するの手順に沿って操作します。
- [権限名] リストの選択ステップで、[Google Meet ハードウェアの登録] チェックボックスをオンにします。
Google Beam for Zoom
権限を割り当てるには、カスタムの管理者ロールを作成する必要があります。
- カスタムの管理者ロールを作成、編集、削除するの手順に沿って操作します。
- [権限名] リストの選択ステップで、[Beam デバイスを登録する] チェックボックスをオンにします。
セキュリティの例外を構成する
ID プロバイダに、登録に必要な特定の動作をブロックするセキュリティ ポリシーが設定されている可能性があります。その場合は、登録者アカウントにのみスコープ設定された次の例外を構成またはリクエストします。
「SP-initiated」ログインを許可する
- 問題: デバイスの登録が IdP ダッシュボードではなく、実機（サービス プロバイダ）で開始される。一部の IdP では、ポータルから発信されていない「未承諾」のログイン リクエストがブロックされます。
- 解決策: IdP の Google Workspace アプリ設定で、登録ユーザーのサービス プロバイダ開始（SP 開始）SAML リクエストがポリシーで許可されていることを確認します。
[デバイスの信頼] と [コンプライアンス] のチェックをバイパスする
- 問題: 新しい HP Dimension デバイスに、管理証明書または MDM プロファイルがまだありません。ポリシーで「準拠」または「ハイブリッド参加」デバイスが必要な場合、登録は失敗します。
- 修正: 条件付きアクセスまたは認証ポリシーに除外または例外を追加します。
- 登録者のアカウントを [デバイスのコンプライアンス] または [管理対象デバイス] の要件から除外します。
- 登録者が「任意の」デバイスまたは「不明な」デバイスからログインできるようにします。
「署名付きリクエスト」の検証を無効にする
- 問題: デフォルトでは、Google Workspace は最初の SAML 認証リクエストにデジタル署名しません。IdP が署名付きリクエストを想定している場合（カスタム SAML 構成や ADFS で一般的）、接続が切断されます。
- 解決策: Google Workspace アプリの IdP の SAML の詳細設定で、[署名付き AuthnRequest を検証]（または [署名付きリクエストを必須にする]）が無効になっているか、チェックが外れていることを確認します。
IdP では、組織の他のユーザーのセキュリティ ポリシーに影響を与えることなく、登録アカウントにのみこれらの設定を適用できる必要があります。
アカウントを確認する
インテグレータのスケジュールを設定する前に、アカウントを確認します。
- ブラウザのシークレット ウィンドウやプライベート ウィンドウを開きます。
- Google 管理コンソールに移動します。
- ログインを求めるメッセージが表示されたら、登録者のメールアドレスを入力します。
- 成功: IdP にリダイレクトされ、ログインが許可され、Google 管理コンソールに正常に戻ります。
- 失敗: IdP から「アクセス拒否」または「403」エラーが表示された場合、デバイスの信頼またはポリシーの除外が有効になっていないか、正しく機能していません。