Als beheerder kunt u regels definiëren om taken voor apparaatbeheer te automatiseren en beveiligingswaarschuwingen te ontvangen. U kunt bijvoorbeeld apparaten die verdachte activiteiten melden automatisch blokkeren.
Je kunt apparaatbeheerregels toepassen op ondersteunde apparaten .
Opmerking: Om apparaten met regels goed te keuren, moeten de apparaten onder geavanceerd mobiel beheer vallen. Schakel geavanceerd mobiel beheer indien nodig in.
Hoe regels werken
Een apparaatbeheerregel wordt geactiveerd door een gebeurtenis op een beheerd apparaat. Wanneer de gebeurtenis wordt gedetecteerd, controleert de regel of aan de door u opgegeven voorwaarden is voldaan. Als aan de voorwaarden is voldaan, wordt een actie uitgevoerd.
U kunt bijvoorbeeld een apparaat blokkeren wanneer de accountregistratiestatus op Android-apparaten verandert, omdat een gebruiker zijn of haar zakelijke account van het apparaat afmeldt. In dit voorbeeld:
- De gebeurtenis betreft een wijziging van de accountregistratiestatus op een apparaat.
- De eerste voorwaarde is dat het apparaat van het type Android is.
- De tweede voorwaarde is dat een gebruiker zijn account van het apparaat verwijdert ( Accountstatus is 'Verwijderd van ').
- De actie blokkeert het apparaat.
Je kunt je eigen regel maken of met een vooraf gedefinieerde sjabloon werken. Voor het bereik kun je een regel toewijzen aan je hele organisatie, een organisatie-eenheid of een groep in Google Groepen. Je kunt ook een groep uitsluiten.
Opmerking: Met apparaatbeheerregels kunt u een apparaat goedkeuren, blokkeren of wissen naar aanleiding van een specifieke gebeurtenis. Om de toegang tot Google-apps voor apparaten te beheren op basis van apparaatkenmerken zoals besturingssysteemversie, beveiligingsstatus, IP-adres, geografische locatie of eigendom, kunt u contextbewuste toegangsniveaus gebruiken. Meer informatie
Regels maken en bewerken
Voor deze taak moet u zijn aangemeld als superbeheerder .Een apparaatbeheerregel maken
Ga in de Google Admin-console naar Menu.
Regels .Hiervoor is de beheerdersmachtiging 'Vertrouwensregels bekijken' vereist.
- Klik op Apparaatbeheerregels .
- Klik op Regel toevoegen en kies een optie:
- Om een regelsjabloon te gebruiken, klikt u op Regel vanuit sjabloon en vervolgens op de sjabloon. Zie Regelsjablonen gebruiken voor meer informatie.
- Om je eigen regel te maken, klik je op Nieuwe regel.
- Voer de titel en beschrijving van de regel in of bewerk deze.
- Kies op wie de regel van toepassing is. Standaard is de regel van toepassing op iedereen in uw organisatie.
- Om de regel alleen op bepaalde gebruikers toe te passen, klikt u op Organisatie-eenheden of -groepen specificeren en selecteert u de organisatie-eenheden en -groepen die u wilt opnemen.
- Om gebruikers in specifieke groepen uit te sluiten, selecteert u eerst ten minste één organisatie-eenheid of groep die u wilt opnemen. Klik vervolgens op Groepen uitsluiten en selecteer de groep die u wilt uitsluiten. Herhaal dit om meer groepen uit te sluiten.
Om bijvoorbeeld een regel toe te passen op iedereen in uw organisatie, behalve op één groep, neemt u de hoogste organisatie-eenheid op en sluit u de ene vrijgestelde groep uit.
Om een organisatie-eenheid of -groep te verwijderen, klikt u op Wissen.
ernaast. - Klik op Doorgaan .
- Selecteer indien nodig de gebeurtenis die de regel activeert. Zie ' Een trigger en voorwaarden kiezen' voor meer informatie.
- Klik op 'Voorwaarde toevoegen' en stel een voorwaarde voor het apparaattype in:
- Klik op Veld en selecteer Apparaattype .
- Klik op Waarde en selecteer het apparaattype: Alle apparaten , Android , ChromeOS , iOS , Linux , Mac of Windows .
Niet alle apparaattype-opties zijn mogelijk beschikbaar, omdat sommige gebeurtenissen alleen door bepaalde typen worden ondersteund.
Let op: een apparaattype is vereist voordat u verder kunt gaan naar de volgende stap.
- (Optioneel) Klik op Voorwaarde toevoegen en stel meer voorwaarden in. Een apparaat moet aan alle voorwaarden voldoen wil de regel van toepassing zijn.
- Klik op Doorgaan .
- Selecteer indien nodig de actie die moet worden uitgevoerd wanneer aan de voorwaarden van de regel is voldaan. Niet alle acties zijn beschikbaar voor alle gebeurtenissen.
- Apparaat blokkeren — Hiermee voorkomt u dat het apparaat bedrijfsgegevens synchroniseert.
- Apparaat goedkeuren — (alleen geavanceerd mobiel beheer) Hiermee kan het apparaat bedrijfsgegevens synchroniseren.
- Gegevens wissen — Hiermee worden de zakelijke accountgegevens van de gebruiker en de bijbehorende data van het apparaat verwijderd. Lees meer over het wissen van accounts .
- Geen actie — Voer geen actie uit op het apparaat. U kunt deze optie gebruiken als u alleen een melding wilt ontvangen dat de gebeurtenis heeft plaatsgevonden (zoals beschreven in de volgende stappen).
- (Optioneel) Om e-mailmeldingen naar alle superbeheerders te sturen, vinkt u het vakje ' Verzenden naar waarschuwingscentrum' aan en vervolgens het vakje ' Alle superbeheerders' . Opmerking: Meldingen naar het waarschuwingscentrum worden nog niet ondersteund, maar moeten wel zijn ingeschakeld om e-mails naar superbeheerders te kunnen verzenden.
- Klik op Doorgaan .
- Controleer de regelinstellingen. Als ze correct zijn, klikt u op Voltooien . Zo niet, klik dan op Terug om de regel te bewerken.
- Kies in het dialoogvenster dat verschijnt een optie:
- Om de regel aan te maken en direct in te schakelen, klikt u op Actief .
- Om de regel aan te maken en later in te schakelen, klikt u op Inactief .
- Klik op Voltooien .
- Om een inactieve regel te activeren, klikt u in de lijst met regels op de betreffende regel. Klik vervolgens aan de linkerkant op het menu en selecteer 'Actief' .
Een bestaande apparaatbeheerregel bewerken
Ga in de Google Admin-console naar Menu.
Regels .Hiervoor is de beheerdersmachtiging 'Vertrouwensregels bekijken' vereist.
- Klik op Apparaatbeheerregels .
- Klik op de regel die u wilt bewerken.
- Klik op het gedeelte dat u wilt bewerken en breng uw wijzigingen aan. Klik indien nodig op 'Doorgaan' om naar de overzichtspagina te gaan.
- Controleer de regelinstellingen. Als ze correct zijn, klikt u op Voltooien . Zo niet, klik dan op Terug om de regel te bewerken.
- Kies in het dialoogvenster dat verschijnt of de regel actief of inactief is.
- Klik op Voltooien .
Gebruik de regelsjablonen.
Regelsjablonen zijn bedoeld voor veelvoorkomende situaties en acties. U kunt er een als uitgangspunt gebruiken en deze aanpassen aan de behoeften van uw organisatie. Om bijvoorbeeld iPhones en iPads automatisch goed te keuren, maar Android-apparaten handmatig, gebruikt u het sjabloon 'Automatische goedkeuring apparaatregistratie' en wijzigt u het apparaattype naar iOS.
Account blokkeren na meerdere mislukte pogingen om het scherm te ontgrendelen (alleen Android)
Deze regel blokkeert een Android-apparaat wanneer er meer dan 5 mislukte pogingen zijn om het te ontgrendelen. De regel voorkomt dat de werk- of schoolgegevens van de gebruiker met het apparaat worden gesynchroniseerd.
Om e-mailmeldingen naar alle superbeheerders te sturen, vinkt u het vakje ' Verzenden naar waarschuwingscentrum' aan en vervolgens het vakje 'Alle superbeheerders' . Let op: Meldingen naar het waarschuwingscentrum worden nog niet ondersteund, maar moeten wel zijn ingeschakeld om e-mails naar superbeheerders te kunnen verzenden.
Voer een wisactie uit bij een verdachte gebeurtenis.
Deze regel verwijdert bedrijfsgegevens van een Android-apparaat, iPhone of iPad wanneer verdachte activiteiten worden gedetecteerd.
Bij iPhones en iPads wordt het account verwijderd wanneer het wifi-MAC-adres van het apparaat verandert.
Bij Android-apparaten worden de gegevens gewist wanneer een van de volgende apparaateigenschappen verandert:
- Bootloader-versie
- Apparaatmerk
- Apparaathardware
- Fabrikant
- Apparaatmodel
- App-privileges op basis van apparaatbeleid
- IMEI-nummer
- MEID-nummer
- Serienummer
- Wi-Fi MAC-adres
Voor Android-apparaten die eigendom zijn van het bedrijf en voor persoonlijke apparaten die alleen voor werkdoeleinden zijn ingesteld, worden alle gegevens van het apparaat gewist en wordt het apparaat teruggezet naar de fabrieksinstellingen. Voor persoonlijke apparaten met een werkprofiel wordt alleen het werkprofiel gewist, waardoor persoonlijke gegevens intact blijven.
Zie Bedrijfsgegevens van een apparaat verwijderen voor meer informatie over hoe het wissen van accounts en apparaten werkt.
Om e-mailmeldingen naar alle superbeheerders te sturen, vinkt u het vakje ' Verzenden naar waarschuwingscentrum' aan en vervolgens het vakje 'Alle superbeheerders' . Let op: Meldingen naar het waarschuwingscentrum worden nog niet ondersteund, maar moeten wel zijn ingeschakeld om e-mails naar superbeheerders te kunnen verzenden.
Automatische goedkeuring van apparaatregistratie
Alle ondersteunde apparaten worden automatisch goedgekeurd wanneer een gebruiker zijn of haar apparaat aanmeldt voor beheer. Bedrijfsgegevens worden gesynchroniseerd met het apparaat wanneer de gebruiker inlogt met zijn of haar account.
Om e-mailmeldingen naar alle superbeheerders te sturen, vinkt u het vakje ' Verzenden naar waarschuwingscentrum' aan en vervolgens het vakje 'Alle superbeheerders' . Let op: Meldingen naar het waarschuwingscentrum worden nog niet ondersteund, maar moeten wel zijn ingeschakeld om e-mails naar superbeheerders te kunnen verzenden.
Kies een trigger en voorwaarden.
Kies de gebeurtenis die de regel activeert. Gebruik voorwaarden om het apparaattype en andere criteria te selecteren die bepalen of de regel op een apparaat van toepassing is. De actie van de regel wordt alleen uitgevoerd wanneer de gebeurtenis plaatsvindt op apparaten die aan de opgegeven voorwaarden voldoen.
U kunt voor elke regel één gebeurtenis en meerdere voorwaarden selecteren. U moet een voorwaarde voor het apparaattype instellen. Voor alle regels kunt u een regel ook beperken tot specifieke apparaten op basis van apparaat-ID, serienummer, model of voorwaardespecifieke waarden. Om meer dan één voorwaarde aan een regel toe te voegen, klikt u op 'Voorwaarde toevoegen' .
Wijziging accountregistratie
De regel wordt geactiveerd wanneer de registratiestatus van een apparaat in uw organisatie verandert. De registratiestatus kan veranderen wanneer:
- Een gebruiker voegt zijn of haar beheerde werk- of schoolaccount toe aan een nieuw apparaat.
- Een gebruiker deactiveert zijn beheerde werk- of schoolaccount op een beheerd apparaat.
- De beheerrechten die uw organisatie heeft op een Android-apparaat veranderen.
Standaard wordt de regel geactiveerd wanneer een van deze gebeurtenissen wordt gedetecteerd.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Accountstatus | Selecteer het type registratiewijziging:
|
| App-privileges op basis van apparaatbeleid | Selecteer de beheerrechten die uw organisatie op het apparaat heeft:
|
Apparaatactie-gebeurtenis
De regel wordt geactiveerd wanneer de toegang van een gebruiker tot werk- of schoolgegevens verandert. Deze gebeurtenissen omvatten:
- Een apparaat wordt goedgekeurd, geblokkeerd of gewist.
- Het beheerde account wordt verwijderd, afgemeld door een beheerder of uitgeschreven.
Standaard wordt de regel geactiveerd wanneer er een actie van het apparaat plaatsvindt.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Status van een actie uitgevoerd op een apparaat | Selecteer de status van de actie: Actie afgewezen door gebruiker , Geannuleerd , Uitgevoerd , Mislukt , In behandeling , Verzonden naar apparaat of Onbekende status van de actie-uitvoering . |
| Soort actie die op een apparaat wordt uitgevoerd | Selecteer de actie die aan de gebeurtenis is gekoppeld:
|
Bijvoorbeeld om een apparaat te blokkeren wanneer het wissen van de apparaatgegevens niet lukt:
- Stel het type actie dat op een apparaat wordt uitgevoerd in op Apparaat wissen .
- Stel de status van een actie die op een apparaat is uitgevoerd in op 'Mislukt' .
Wijziging van apparaattoepassing
De regel wordt geactiveerd wanneer een gebruiker een app installeert, verwijdert of bijwerkt op zijn of haar apparaat. Voor persoonlijke Android-apparaten zonder werkprofiel moet de instelling 'App-controle' zijn ingeschakeld. Voor iPhones en iPads worden alleen wijzigingen in beheerde apps gedetecteerd die zijn geïnstalleerd met de Google Apparaatbeleid-app.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Applicatie-ID | Voer de volledige of een deel van de app-ID in voor de app die is gewijzigd. Om de regel bijvoorbeeld alleen toe te passen wanneer de mobiele YouTube-app verandert, selecteer je 'Bevat' en voer je 'youtube' in. |
| Applicatie SHA-256 | Voer de volledige of een deel van de SHA-256-hash van het app-pakket in voor de app die is gewijzigd. |
| Toepassingsstatus | Selecteer de status waarnaar de app is overgegaan:
|
| Nieuwe waarde | Voer het volledige of een deel van het versienummer in waarnaar een app is gewijzigd. Om de regel bijvoorbeeld te activeren wanneer de Chrome-app wordt bijgewerkt naar versie 86, selecteert u 'Bevat' en voert u 86 in. |
| Potentieel schadelijke app-categorie | Selecteer het type potentieel schadelijke app:
|
Apparaatconformiteitsstatus (alleen Android)
De regel wordt geactiveerd wanneer een apparaat niet langer voldoet aan het beleid van uw organisatie. Bijvoorbeeld wanneer een gebruiker het wachtwoord van zijn apparaat wijzigt en het apparaat niet langer voldoet aan uw wachtwoordbeleid. Zie 'Status van apparaatconformiteit' voor meer informatie.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Past de regel toe op |
|---|---|
| Apparaatconformiteitsstatus | Apparaten waarvan de conformiteitsstatus is gewijzigd. Kies een optie:
|
| Reden voor de deactivering van het mobiele apparaat | Selecteer de reden waarom het apparaat niet voldoet:
|
Apparaatcompromis (alleen Android)
De regel wordt geactiveerd wanneer een Android-apparaat gecompromitteerd raakt of niet langer gecompromitteerd is. Een Android-apparaat is gecompromitteerd wanneer het geroot is – een proces dat beperkingen op een apparaat opheft. Gecompromitteerde apparaten kunnen duiden op een potentieel beveiligingsrisico.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Apparaat gecompromitteerde toestand | Selecteer waarnaar de status van het apparaat is gewijzigd:
|
Apparaat OS-update
De regel wordt geactiveerd wanneer het besturingssysteem (OS) van een apparaat verandert. Welke soorten OS-wijzigingen de regel activeren, hangt af van het type apparaat:
- Android—Wijzigingen in de OS-versie, het buildnummer, de kernelversie, de basebandversie, de beveiligingspatch of de bootloaderversie.
- iOS — Alleen wijzigingen in de OS-versie en het buildnummer. Bijvoorbeeld, een gebruiker werkt zijn apparaat bij naar een nieuw besturingssysteem of installeert de nieuwste beveiligingspatch.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Oude waarde | Voer (een deel van) de waarde van de OS-eigenschap in waarvan het apparaat is gewijzigd. |
| Nieuwe waarde | Voer (een deel van) de waarde van de besturingssysteemeigenschap in waarnaar het apparaat is gewijzigd. |
| OS-eigenschap | Selecteer de eigenschap van het besturingssysteem die de regel activeert wanneer de waarde ervan verandert:
Voor iOS worden alleen de OS-versie en het buildnummer ondersteund. |
Apparaateigendom (alleen Android)
De regel treedt in werking wanneer het eigendom van een apparaat verandert van privé naar bedrijfseigendom, of van bedrijfseigendom naar privé.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Apparaateigendom van het apparaat | Selecteer de status van het apparaatbezit waarnaar het apparaat is overgegaan:
|
Apparaatinstellingen wijzigen (alleen Android)
De regel wordt geactiveerd wanneer apparaatinstellingen op Android-apparaten wijzigen, zoals USB-debugging, onbekende bronnen, ontwikkelaarsopties of het verifiëren van apps.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Oude waarde | Voer (een deel van) de apparaatinstelling in waarvan de waarde is gewijzigd. |
| Nieuwe waarde | Voer (een deel van) de apparaatinstelling in waarnaar het apparaat is gewijzigd. |
| Apparaatinstelling | Selecteer de apparaatinstelling die de regel activeert wanneer de waarde ervan verandert:
|
Apparaatsynchronisatie
De regel wordt geactiveerd wanneer een gebruikersaccount synchroniseert op een apparaat.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Datum van de laatste synchronisatiecontrole | Voer een datum in als een UNIX-timestamp. Bijvoorbeeld: 1606167154. Je kunt de regel activeren wanneer de laatste synchronisatie van het apparaat plaatsvond na de opgegeven datum ( is groter dan ) of op of na de opgegeven datum ( is groter dan of gelijk aan ). |
Mislukte pogingen om het scherm te ontgrendelen (alleen Android)
De regel wordt geactiveerd wanneer een apparaat een bepaald aantal mislukte ontgrendelingspogingen heeft bereikt. Standaard wordt de regel toegepast bij meer dan 5 mislukte pogingen.
Om het aantal mislukte pogingen te wijzigen voordat de regel wordt toegepast, gebruikt u deze optie:
| Voorwaarde | Waarden |
|---|---|
| Mislukte pogingen om het scherm te ontgrendelen | Selecteer hoe het aantal mislukte pogingen wordt geteld ( Is groter dan of Is groter dan of gelijk aan ) en voer het aantal mislukte pogingen in. Als je bijvoorbeeld 3 invoert en ' Is groter dan ' selecteert, wordt de regel geactiveerd bij de vierde mislukte poging. Als je 3 invoert en 'Is groter dan of gelijk aan' selecteert, wordt de regel geactiveerd bij de derde mislukte poging. |
Verdachte activiteit
De regel wordt geactiveerd wanneer een apparaateigenschap van een beheerd apparaat verandert en die eigenschap niet een is die normaal gesproken verandert. Bijvoorbeeld, het apparaatmodel verandert terwijl het apparaat zelf niet is gewijzigd.
Bij Android-apparaten omvat verdachte activiteit wijzigingen in de volgende apparaateigenschappen:
- Bootloader-versie
- Apparaatmerk
- Apparaathardware
- Fabrikant
- Apparaatmodel
- App-privileges op basis van apparaatbeleid
- IMEI-nummer
- MEID-nummer
- Serienummer
- Wi-Fi MAC-adres
Voor iPhones en iPads betreft het alleen wijzigingen in het Wi-Fi MAC-adres.
Om de regel alleen op bepaalde apparaten toe te passen, kunt u voorwaarden instellen op basis van apparaateigenschappen en de volgende gebeurtenisspecifieke opties:
| Voorwaarde | Waarden |
|---|---|
| Apparaateigenschap | Selecteer de apparaateigenschap die de regel activeert wanneer deze verandert. Om meerdere eigenschappen te selecteren, maakt u een aparte regel voor elke eigenschap. Als u meerdere eigenschappen aan een regel toevoegt, moet het apparaat wijzigingen in alle geselecteerde eigenschappen melden. Let op: bij iOS-apparaten worden alleen wijzigingen in het Wi-Fi MAC-adres gedetecteerd. |
| Oude waarde | Selecteer voor Android-apparaten de apparaatbeheerbevoegdheid waarvan het apparaat is gewijzigd. |
| Nieuwe waarde | Selecteer voor Android-apparaten de apparaatbeheerbevoegdheid waarnaar het apparaat is gewijzigd. |
Ondersteuning voor werkprofielen (alleen Android)
Deze regel wordt toegepast wanneer een Android-apparaat werkprofielen begint te ondersteunen. Bijvoorbeeld wanneer de OS-versie wordt geüpgraded en het apparaat nu werkprofielen ondersteunt.
Bekijk gegevens over gedetecteerde gebeurtenissen
U kunt gegevens over gebeurtenissen op beheerde apparaten bekijken in een regelsaudit.
Ga in de Google Admin-console naar Menu.
Rapportage Audit en onderzoek Regels voor het loggen van gebeurtenissen .Hiervoor is de beheerdersbevoegdheid Audit & Onderzoek vereist.
- Om acties met betrekking tot uw apparaatbeheerregels te bekijken, klikt u op Filter toevoegen. Apparaatbeheer . U kunt ook filteren op andere gebeurteniskenmerken, zoals de regelnaam of het account van de apparaateigenaar (filteren op Resource Owner ).
(Optioneel) Om aan te passen welke gegevens u ziet, klikt u rechts op Kolommen beheren.
Selecteer de kolommen die u wilt zien of verbergen. Klik op Opslaan .(Optioneel) Om de rapportgegevens rechtstreeks naar een Google Sheets-bestand in Google Drive te exporteren of een CSV-bestand met de rapportgegevens te downloaden:
- Klik op Downloaden
. - Klik onder 'Kolommen selecteren ' op 'Momenteel geselecteerde kolommen' of 'Alle kolommen' .
- Selecteer een formaat en klik op Downloaden .
Met beide bestandstypen kunt u tot 100.000 rijen gegevens exporteren.
- Klik op Downloaden