Как администратор, вы можете настроить правила, чтобы автоматизировать управление устройствами и получать предупреждения системы безопасности. Например, можно автоматически блокировать устройства, на которых обнаружена подозрительная активность.
Правила управления устройствами можно применять к поддерживаемым устройствам.
Примечание. Чтобы одобрять устройства с помощью правил, для них должно быть включено расширенное управление мобильными устройствами. При необходимости включите расширенное управление мобильными устройствами.
Принцип работы правил
Любое правило, используемое для управления устройствами, срабатывает в ответ на событие, происходящее на устройстве. При обнаружении такого события проверяются указанные вами условия. Если событие соответствует им, выполняется заданное действие.
Например, вы можете заблокировать устройство, когда статус регистрации аккаунта на устройстве Android изменится, потому что пользователь отменил регистрацию корпоративного аккаунта на устройстве. В этом примере:
- событие – это изменение статуса регистрации аккаунта на устройстве;
- первое условие – устройство должно работать под управлением Android;
- Второе условие – пользователь отменил регистрацию аккаунта на устройстве (Статус аккаунта – Отменена регистрация).
- действие – блокировка устройства.
Вы можете создать собственные правила или использовать шаблон. В качестве области действия можно назначить правило для всей организации, организационного подразделения или группы в Google Группах. Вы также можете исключить группу из области действия.
Примечание. Правила управления устройствами позволяют одобрять, блокировать или очищать устройство в ответ на определенное событие. С помощью уровней контекстно-зависимого доступа можно контролировать доступ к приложениям Google, используя такие атрибуты устройств, как "Версия операционной системы", "Статус защиты", "IP-адрес", "Географическое местоположение" или "Владелец". Подробнее…
Создание и редактирование правил
Для выполнения этого действия необходим аккаунт суперадминистратора.Как создать правило управления устройствами
-
В консоли администратора Google нажмите на значок меню
Правила.У вас должны быть права администратора на просмотр правил доверия.
- Нажмите Правила управления устройствами.
- Нажмите Добавить правило и выберите один из вариантов:
- Чтобы создать правило по шаблону, нажмите Использовать шаблон и выберите нужный. Подробнее…
- Чтобы создать собственное правило, нажмите Создать правило.
- Задайте название и описание правила.
- Выберите, к кому применяется правило. По умолчанию правило применяется ко всем пользователям организации.
- Чтобы применить правило только к отдельным пользователям, нажмите Выберите организационные подразделения или группы.
- Чтобы исключить пользователей в отдельных группах, сначала включите в область действия хотя бы одно организационное подразделение или группу. Затем нажмите Исключить группы и выберите группу, которую нужно исключить. Повторите описанные выше шаги, если нужно исключить другие группы.
Например, чтобы применить правило ко всем пользователям в организации, кроме одной группы, включите организационное подразделение верхнего уровня и исключите соответствующую группу.
Чтобы удалить организационное подразделение или группу из списка, нажмите на значок
рядом с ней. - Нажмите Продолжить.
- При необходимости выберите событие, при котором правило должно сработать. Подробнее о выборе триггеров и условий…
- Нажмите Добавить условие и задайте условие для типа устройства:
- Выберите Поле, затем Тип устройства.
- Нажмите Значение и выберите тип устройства: Все устройства, Android, ChromeOS, iOS, Linux, Mac или Windows.
Некоторые варианты типов устройств могут быть недоступны, поскольку определенные события поддерживаются только на устройствах определенных типов.
Примечание. Чтобы перейти к следующему шагу, нужно обязательно указать тип устройства.
- При необходимости нажмите Добавить условие, чтобы настроить дополнительные условия. Чтобы правило применялось, устройство должно соответствовать всем условиям.
- Нажмите Продолжить.
- При необходимости выберите действие, которое нужно предпринять при выполнении условий правила. Не все действия доступны для каждого из событий.
- Блокировать устройство – запрет синхронизации корпоративных данных.
- Одобрить устройство (только при использовании расширенного управления мобильными устройствами) – разрешить устройству синхронизировать корпоративные данные.
- Выполнить удаление данных. Корпоративный аккаунт пользователя и связанные с ним данные удаляются с устройства. Подробнее об удалении аккаунта…
- Нет действия: не предпринимать никаких действий. Этот вариант можно использовать в том случае, если вы хотите только получить уведомления о событии (как описано далее).
- Если нужно отправлять уведомления по электронной почте всем суперадминистраторам, установите флажок Отправить в Центр оповещений, а затем флажок Все суперадминистраторы. Примечание. Уведомления центра оповещений пока не поддерживаются, но их нужно включить, чтобы отправлять письма суперадминистраторам.
- Нажмите Продолжить.
- Проверьте настройки правила. Если все указано верно, нажмите Готово. Если это не так, выберите Назад и измените правило.
- В открывшемся диалоговом окне выберите один из вариантов:
- Чтобы создать и включить правило, нажмите Активно.
- Чтобы создать правило, но пока не включать его, нажмите Неактивно.
- Нажмите Завершить.
- Чтобы включить неактивное правило, нажмите на него. Нажмите на значок меню слева и выберите Активно.
Как изменить правило управления устройствами
-
В консоли администратора Google нажмите на значок меню
Правила.У вас должны быть права администратора на просмотр правил доверия.
- Нажмите Правила управления устройствами.
- Выберите правило, которое хотите изменить.
- Выбрав нужный раздел, внесите в него изменения. Завершив работу над изменениями, нажмите Продолжить, чтобы перейти на страницу проверки.
- Проверьте настройки правила. Если все указано верно, нажмите Готово. Если это не так, выберите Назад и измените правило.
- В открывшемся диалоговом окне выберите, будет ли правило активно.
- Нажмите Завершить.
Использование шаблонов
Шаблоны правил настраиваются для часто выполняемых условий и действий. Вы можете использовать один из них в качестве отправной точки и изменить его в соответствии с потребностями вашей организации. Например, чтобы автоматически одобрять регистрацию устройств iPhone и iPad, но вручную одобрять регистрацию устройств Android, используйте шаблон Автоматическое одобрение регистрации устройств и измените тип устройства на iOS.
Блокировка аккаунта после нескольких неудачных попыток разблокировать экран (только на устройствах Android)
Это правило блокирует устройство Android после шестой неудачной попытки разблокировки. Правило запрещает синхронизацию рабочих или учебных данных пользователя с устройством.
Если нужно отправлять уведомления по электронной почте всем суперадминистраторам, установите флажок Отправить в Центр оповещений, а затем флажок Все суперадминистраторы. Примечание. Уведомления Центра оповещений пока не поддерживаются, но их необходимо включить, чтобы отправлять электронные письма суперадминистраторам.
Удаление данных при подозрительных действиях
Это правило удаляет корпоративные данные с устройства Android, iPhone или iPad при обнаружении подозрительных действий.
На iPhone и iPad аккаунт удаляется, когда меняется MAC-адрес Wi-Fi устройства.
С устройств Android данные удаляются, когда меняется значение любого из следующих свойств:
- Версия загрузчика
- Бренд устройства
- Аппаратное обеспечение
- Производитель
- Модель устройства
- Права приложения Device Policy
- Номер IMEI
- Номер MEID
- Серийный номер
- MAC-адрес сети Wi-Fi
На корпоративных устройствах и личных устройствах, используемых только для работы, удаляются все данные и выполняется сброс настроек. На личных устройствах с рабочим профилем удаляется только рабочий профиль, а личные данные остаются нетронутыми.
Подробнее о том, как удалить корпоративные данные с устройства…
Если нужно отправлять уведомления по электронной почте всем суперадминистраторам, установите флажок Отправить в Центр оповещений, а затем флажок Все суперадминистраторы. Примечание. Уведомления Центра оповещений пока не поддерживаются, но их необходимо включить, чтобы отправлять электронные письма суперадминистраторам.
Автоматическое одобрение регистрации устройства
Это правило автоматически одобряет все поддерживаемые устройства, регистрируемые пользователями. Корпоративные данные синхронизируются с устройством, как только пользователь входит в аккаунт.
Если нужно отправлять уведомления по электронной почте всем суперадминистраторам, установите флажок Отправить в Центр оповещений, а затем флажок Все суперадминистраторы. Примечание. Уведомления Центра оповещений пока не поддерживаются, но их необходимо включить, чтобы отправлять электронные письма суперадминистраторам.
Как выбрать триггер и условия
Выберите событие, при котором должно срабатывать правило. Используйте условия, чтобы выбрать тип устройства и другие условия, определяющие, применяется ли правило к устройству. Действие, заданное в правиле, будет выполняться, только если событие произойдет на устройстве, соответствующем указанным условиям.
Для каждого правила можно выбрать одно событие и несколько условий. Необходимо задать условие для типа устройства. Для всех правил можно также ограничить их действие определенными устройствами, указав идентификатор, серийный номер или модель устройства, а также значения, относящиеся к условию. Чтобы применить к правилу несколько условий, используйте кнопку Добавить условие.
Изменение статуса регистрации устройства
Правило срабатывает, если меняется статус регистрации аккаунта на устройстве в организации. Это происходит, когда:
- пользователь добавляет управляемый рабочий или учебный аккаунт на новое устройство;
- пользователь удаляет управляемый рабочий или учебный аккаунт с управляемого устройства;
- уровень прав управления в вашей организации меняется (на устройствах Android).
По умолчанию правило срабатывает, когда происходит любое из этих событий.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Статус аккаунта |
Выберите тип изменения регистрации:
|
| Права приложения Device Policy |
Выберите право управления, которое есть у организации относительно устройства:
|
Событие действия с устройством
Правило срабатывает, если изменяется доступ пользователя к рабочим или учебным данным. Несколько примеров:
- одобрение, блокировка или очистка устройства;
- удаление управляемого аккаунта, выполненный администратором выход или отмена регистрации.
По умолчанию правило срабатывает, когда происходит любое из этих событий.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Статус действия на устройстве | Выберите статус действия: Отменено пользователем, Отменено, Выполнено, Сбой при выполнении, В ожидании, Отправлено на устройство или Неизвестно. |
| Тип действия на устройстве |
Выберите действие, связанное с событием:
|
Например, чтобы заблокировать устройство в случае ошибки при удалении данных с него:
- Установите для параметра Тип действия на устройстве значение Очистить устройство.
- Выберите для параметра Статус действия на устройстве значение Сбой при выполнении.
Изменение приложения, установленного на устройстве
Правило применяется, когда пользователь устанавливает, удаляет или обновляет приложение на устройстве. На личных устройствах Android без рабочего профиля необходимо включить параметр Аудит приложений. На устройствах iPhone и iPad фиксируются только изменения управляемых приложений, установленных с помощью Google Device Policy.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Идентификатор приложения |
Введите полностью или частично идентификатор приложения, которое изменилось. Например, чтобы применять правило только при изменении мобильного приложения YouTube, выберите Содержит и введите youtube. |
| Хеш SHA-256 приложения | Введите полностью или частично хеш (SHA-256) пакета приложения, которое изменилось. |
| Статус приложения |
Выберите новый статус приложения:
|
| Новое значение | Введите полностью или частично новый номер версии приложения. Например, чтобы применять правило при обновлении приложения Chrome до любой из версий 86, выберите Содержит и введите 86. |
| Категория потенциально опасных приложений |
Выберите тип потенциально опасного приложения:
|
Статус соответствия устройства (только для Android)
Правило активируется, когда устройство перестает соответствовать правилам организации. (например, пользователь изменил пароль доступа к своему устройству, и оно больше не соответствует правилам использования паролей). Подробнее о статусе соответствия устройства нормативным требованиям…
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Область действия правила |
|---|---|
| Статус соответствия устройства |
Устройства, статус соответствия которых изменился. Выберите нужный вариант:
|
| Причина отключения мобильного устройства | Выберите причину несоответствия устройства требованиям:
|
Взлом устройства (только для Android)
Правило срабатывает, когда обнаруживается, что устройство Android взломано, а также в случае восстановления контроля над устройством. Устройство Android считается скомпрометированным, если на нем выполнены действия, снимающие ограничения (например, получен root-доступ). Взлом устройства создает потенциальную угрозу безопасности.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Подверженность взлому |
Выберите новый статус устройства:
|
Обновление ОС устройства
Правило применяется, когда на устройстве меняется операционная система. Типы изменений ОС, которые активируют правило, зависят от типа устройства:
- Android – изменения в версии ОС, номере сборки, версии ядра, версии модема, исправлении системы безопасности или версии загрузчика.
- На устройствах iOS отслеживаются только изменения версии ОС и номера сборки. Например, пользователь обновил ОС устройства или установил последнее исправление безопасности.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Старое значение | Введите некоторые или все старые значения свойства ОС. |
| Новое значение | Введите некоторые или все новые значения свойства ОС. |
| Свойство ОС |
Выберите свойство ОС, при изменении которого должно срабатывать правило.
Для устройств iOS можно выбрать только версию ОС и номер сборки. |
Владелец устройства (только для Android)
Правило срабатывает, когда право собственности на устройство меняется с личного на корпоративное или наоборот.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Владелец устройства |
Выберите новый статус собственности:
|
Изменение настроек устройства (только для Android)
Правило срабатывает, когда меняются настройки устройства Android, например "Отладка по USB", "Установка приложений из неизвестных источников", "Режим разработчика" или "Проверка приложений".
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Старое значение | Введите некоторые или все старые значения параметра устройства. |
| Новое значение | Введите некоторые или все новые значения параметра устройства. |
| Параметр устройства | Выберите параметр устройства, изменение значения которого будет активировать правило:
|
Синхронизация устройства
Правило срабатывает при синхронизации аккаунта пользователя на устройстве.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Дата события аудита последней синхронизации |
Укажите дату в формате временной метки UNIX. Пример: 1606167154. Это правило можно настроить на срабатывание при синхронизации устройства после указанной даты (больше чем) либо в указанный день или позже (больше или равно). |
Неудачные попытки разблокировки экрана (только для Android)
Правило срабатывает при заданном количестве неудачных попыток разблокировки. По умолчанию правило применяется, если было более пяти неудачных попыток.
Чтобы изменить количество неудачных попыток до срабатывания правила, используйте указанный ниже параметр.
| Условие | Значения |
|---|---|
| Неудачные попытки разблокировки экрана |
Выберите способ подсчета неудачных попыток (Больше чем или Больше или равен) и укажите их количество. Например, если ввести 3 и выбрать Больше чем, правило сработает при четвертой неудачной попытке. Если указать 3 и выбрать Больше или равен, правило сработает при третьей неудачной попытке. |
Подозрительные действия
Правило срабатывает при изменении свойства управляемого устройства, которое, как правило, не должно меняться. Например, модель устройства меняется, хотя само устройство не менялось.
Для устройств Android в качестве подозрительных действий регистрируются изменения следующих свойств:
- Версия загрузчика
- Бренд устройства
- Аппаратное обеспечение
- Производитель
- Модель устройства
- Права приложения Device Policy
- Номер IMEI
- Номер MEID
- Серийный номер
- MAC-адрес сети Wi-Fi
Для устройств iPhone и iPad регистрируются только изменения MAC-адреса в сети Wi-Fi.
Чтобы применить правило только к определенным устройствам, можно задать условия на основе свойств устройств и следующих параметров, относящихся к событиям:
| Условие | Значения |
|---|---|
| Свойство устройства |
Выберите свойство, при изменении которого должно срабатывать правило. Чтобы задать несколько свойств, создайте отдельное правило для каждого из них. Если вы добавите несколько свойств к правилу, оно сработает только тогда, когда изменятся все выбранные свойства. Примечание. На устройствах iOS обнаруживаются только изменения MAC-адреса Wi-Fi. |
| Старое значение | Для устройств Android выберите старое право на управление устройствами. |
| Новое значение | Для устройств Android выберите новое право на управление устройствами. |
Поддержка рабочего профиля (только для Android)
Правило применяется, когда устройство Android начинает поддерживать рабочие профили, например после обновления версии ОС.
Просмотр сведений об обнаруженных событиях
Данные о событиях на управляемых устройствах можно посмотреть в журнале аудита правил.
-
В консоли администратора Google нажмите на значок меню
Отчеты
Аудит и анализ
События журнала правил.Требуется право администратора Аудит и анализ.
- Чтобы посмотреть действия, связанные с правилами управления устройствами, нажмите Добавить фильтр Управление устройствами. Вы также можете отфильтровать события по другим характеристикам, например по названию правила или аккаунту владельца устройства (Владелец ресурса).
Чтобы выбрать данные для отображения, нажмите "Управление столбцами"
. Выберите столбцы, которые нужно показать или скрыть нажмите Сохранить.Чтобы экспортировать данные отчета непосредственно в файл Google Таблиц на Google Диске или скачать CSV-файл с данными отчета:
- Нажмите "Скачать"
. - В разделе Выбор столбцов установите переключатель в положение Выбранные столбцы или Все столбцы.
- Выберите формат и нажмите Скачать.
Можно экспортировать до 100 000 строк.
- Нажмите "Скачать"