Como administrador, puedes definir reglas para automatizar las tareas de administración de dispositivos y recibir alertas de seguridad. Por ejemplo, puedes bloquear automáticamente los dispositivos que informen actividad sospechosa.
Puedes aplicar reglas de administración de dispositivos a dispositivos móviles compatibles.
Nota: Para aprobar dispositivos móviles con reglas, estos deben estar bajo la administración avanzada de dispositivos móviles. Si es necesario, activa la Administración avanzada de dispositivos móviles.
Cómo funcionan las reglas
Un evento en un dispositivo administrado activa una regla de administración de dispositivos. Cuando se detecta el evento, la regla comprueba las condiciones que especificaste. Si se cumplen las condiciones, se lleva a cabo una acción.
Por ejemplo, puedes bloquear un dispositivo cuando cambia el estado de registro de la cuenta en dispositivos Android porque un usuario anula el registro de su cuenta corporativa en el dispositivo. En este ejemplo:
- El evento es un cambio de estado de registro de la cuenta en un dispositivo.
- La primera condición es que el tipo de dispositivo sea Android.
- La segunda condición es que un usuario anule el registro de su cuenta en el dispositivo (el estado de la cuenta es Anulada la inscripción en).
- La acción está bloqueando el dispositivo.
Puedes crear tu propia regla o trabajar con una plantilla predefinida. En el alcance, puedes asignar una regla a toda tu organización, a una unidad organizativa o a un grupo de Google Groups. También puedes excluir un grupo.
Nota: Las reglas de administración de dispositivos te permiten aprobar, bloquear o borrar un dispositivo en respuesta a un evento específico. Para controlar el acceso a las apps de Google en dispositivos según atributos como la versión del SO, el estado de seguridad, la dirección IP, la ubicación geográfica o la propiedad, puedes usar los niveles de acceso adaptado al contexto. Más información
Cómo crear y editar reglas
Debes acceder como administrador avanzado para realizar esta tarea.Crea una regla de administración de dispositivos
-
Ve a Menú
Reglas.
- Haz clic en Reglas de administración de dispositivos.
- Haz clic en Agregar regla y elige una opción:
- Para usar una plantilla de regla, haz clic en Regla a partir de plantilla y, luego, en la plantilla. Para obtener más información, consulta Cómo usar las plantillas de reglas.
- Para crear tu propia regla, haz clic en Regla nueva.
- Ingresa o edita el título y la descripción de la regla.
- Elige a quién se aplica la regla. De forma predeterminada, la regla se aplica a todos los miembros de tu organización.
- Para aplicar la regla solo a usuarios seleccionados, haz clic en Especificar unidades organizativas o grupos y selecciona las unidades organizativas y los grupos que deseas incluir.
- Para excluir a los usuarios de grupos específicos, primero selecciona al menos una unidad organizativa o un grupo para incluir. Luego, haz clic en Excluir grupos y selecciona el grupo que quieras excluir. Repite el proceso para excluir más grupos.
Por ejemplo, para aplicar una regla a todos los miembros de tu organización, excepto a un grupo, incluye la unidad organizativa de nivel superior y excluye el grupo exento.
Para quitar una unidad organizativa o un grupo, haz clic en Borrar
junto a él. - Haz clic en Continuar.
- Si es necesario, selecciona el evento que activa la regla. Para obtener más información, consulta Cómo elegir un activador y condiciones.
- Haz clic en Agregar condición y establece una condición de tipo de dispositivo:
- Haz clic en Campo y selecciona Tipo de dispositivo.
- Haz clic en Valor y selecciona el tipo de dispositivo: Todos los dispositivos, Android o iOS. Es posible que no todas las opciones de tipo de dispositivo estén disponibles, ya que algunos eventos solo se admiten para ciertos tipos.
Nota: Se requiere una condición de tipo de dispositivo antes de que puedas continuar con el siguiente paso.
- (Opcional) Haz clic en Agregar condición y configura más condiciones. Un dispositivo debe cumplir todas las condiciones para que se aplique la regla.
- Haz clic en Continuar.
- Si es necesario, selecciona la acción que se llevará a cabo cuando se cumplan las condiciones de la regla. No todas las acciones están disponibles para todos los eventos.
- Bloquear dispositivo móvil: Impide que el dispositivo sincronice datos corporativos.
- Aprobar dispositivo móvil: (solo para la administración avanzada de dispositivos móviles) Permite que el dispositivo sincronice los datos corporativos.
- Realizar limpieza: Borra la cuenta corporativa del usuario y los datos asociados del dispositivo. Obtén más información sobre el borrado de cuentas.
- No action: No se realiza ninguna acción en el dispositivo. Puedes usar esta opción cuando solo quieras recibir una notificación de que ocurrió el evento (se describe en los próximos pasos).
- (Opcional) Para enviar notificaciones por correo electrónico a todos los administradores avanzados, marca la casilla Enviar al Centro de alertas y, luego, marca la casilla Todos los administradores avanzados. Nota: Las notificaciones del centro de alertas aún no son compatibles, pero deben estar activadas para enviar correos electrónicos a los administradores avanzados.
- Haz clic en Continuar.
- Revisa la configuración de la regla. Si son correctos, haz clic en Finalizar. De lo contrario, haz clic en Atrás para editar la regla.
- En el diálogo que se abre, elige una opción:
- Para crear la regla y activarla ahora, haz clic en Activa.
- Para crear la regla y activarla más adelante, haz clic en Inactiva.
- Haz clic en Completar.
- Para activar una regla inactiva, haz clic en ella en la lista de reglas. A la izquierda, haz clic en el menú y selecciona Activo.
Cómo editar una regla de administración de dispositivos existente
-
Ve a Menú
Reglas.
- Haz clic en Reglas de administración de dispositivos.
- Haz clic en la regla que deseas editar.
- Haz clic en la sección que quieras editar y realiza los cambios. Haz clic en Continuar según sea necesario para avanzar a la página de revisión.
- Revisa la configuración de la regla. Si son correctos, haz clic en Finalizar. De lo contrario, haz clic en Atrás para editar la regla.
- En el diálogo que se abre, elige si la regla está activa o inactiva.
- Haz clic en Completar.
Usa las plantillas de reglas
Las plantillas de reglas están configuradas para condiciones y acciones comunes. Puedes usar una como punto de partida y cambiarla para que se ajuste a las necesidades de tu organización. Por ejemplo, para aprobar automáticamente iPhones y iPads, pero aprobar manualmente dispositivos Android, usa la plantilla Aprobar automáticamente el registro del dispositivo y cambia el tipo de dispositivo a iOS.
Bloquear la cuenta luego de varios intentos fallidos de desbloqueo (solo para Android)
Esta regla bloquea un dispositivo Android cuando hay más de 5 intentos fallidos para desbloquearlo. La regla impide que los datos laborales o educativos del usuario se sincronicen con el dispositivo.
Para enviar notificaciones por correo electrónico a todos los administradores avanzados, marca la casilla Enviar al Centro de alertas y, luego, la casilla Todos los administradores avanzados. Nota: Las notificaciones del centro de alertas aún no son compatibles, pero deben estar activadas para enviar correos electrónicos a los administradores avanzados.
Realizar la limpieza ante un evento sospechoso
Esta regla quita los datos corporativos de un dispositivo Android, iPhone o iPad cuando se detecta actividad sospechosa.
En el caso de iPhones y iPads, la cuenta se borra cuando cambia la dirección MAC de Wi-Fi del dispositivo.
En el caso de los dispositivos Android, se borran los datos cuando cambia alguna de las siguientes propiedades del dispositivo:
- Versión del cargador de inicio
- Marca del dispositivo
- Hardware del dispositivo
- Fabricante
- Modelo del dispositivo
- Privilegio de la app de Device Policy
- Número de IMEI
- Número de MEID
- Número de serie
- Dirección MAC de Wi-Fi
En el caso de los dispositivos Android propiedad de la empresa y los dispositivos personales configurados solo para el trabajo, se borran todos los datos del dispositivo y se restablece la configuración de fábrica. En el caso de los dispositivos personales con un perfil de trabajo, solo se borra el perfil de trabajo, y los datos personales permanecen intactos.
Para obtener más información sobre cómo funciona el borrado de cuentas y dispositivos, consulta Cómo quitar datos corporativos de un dispositivo.
Para enviar notificaciones por correo electrónico a todos los administradores avanzados, marca la casilla Enviar al Centro de alertas y, luego, la casilla Todos los administradores avanzados. Nota: Las notificaciones del centro de alertas aún no son compatibles, pero deben estar activadas para enviar correos electrónicos a los administradores avanzados.
Aprobar automáticamente el registro del dispositivo
Aprueba automáticamente todos los dispositivos compatibles cuando un usuario inscribe su dispositivo para la administración. Los datos corporativos se sincronizarán con el dispositivo cuando el usuario acceda con su cuenta.
Para enviar notificaciones por correo electrónico a todos los administradores avanzados, marca la casilla Enviar al Centro de alertas y, luego, la casilla Todos los administradores avanzados. Nota: Las notificaciones del centro de alertas aún no son compatibles, pero deben estar activadas para enviar correos electrónicos a los administradores avanzados.
Elige un activador y condiciones
Elige el evento que activa la regla. Usa condiciones para seleccionar el tipo de dispositivo (Android, iOS o todos) y otras condiciones que determinan si la regla se aplica a un dispositivo. La acción de la regla solo se lleva a cabo cuando el evento ocurre en dispositivos que cumplen con las condiciones especificadas.
Puedes elegir un evento y varias condiciones para cada regla. Debes establecer una condición de tipo de dispositivo. En todas las reglas, también puedes limitarlas a dispositivos específicos por ID, número de serie, modelo o valores específicos de la condición. Para aplicar más de una condición a una regla, haz clic en Agregar condición.
Cambio en el registro de la cuenta
La regla se activa cuando cambia el estado de registro de la cuenta de un dispositivo de tu organización. El estado de registro puede cambiar en las siguientes situaciones:
- Un usuario agrega su cuenta laboral o educativa administrada en un dispositivo nuevo.
- Un usuario anula el registro de su cuenta laboral o educativa administrada en un dispositivo administrado.
- Cambia el privilegio de administración que tiene tu organización en un dispositivo Android.
De forma predeterminada, la regla se activa cuando se detecta cualquiera de estos eventos.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Estado de la cuenta |
Selecciona el tipo de cambio de registro:
|
| Privilegio de la app de Device Policy |
Selecciona el privilegio de administración que tiene tu organización en el dispositivo:
|
Evento de acción del dispositivo
La regla se activa cuando cambia el acceso del usuario a los datos laborales o educativos. Estos eventos incluyen lo siguiente:
- Se aprueba, bloquea o borra un dispositivo
- Se borró la cuenta administrada, un administrador cerró la sesión o se canceló la inscripción
De forma predeterminada, la regla se activa cuando ocurre cualquier evento de acción del dispositivo.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Estado de una acción realizada en un dispositivo | Selecciona el estado de la acción: Acción rechazada por el usuario, Cancelada, Ejecutada, Con errores, Pendiente, Enviada al dispositivo o Estado de ejecución de la acción desconocido. |
| Tipo de acción realizada en un dispositivo |
Selecciona la acción asociada al evento:
|
Por ejemplo, para bloquear un dispositivo cuando no se realiza correctamente la limpieza:
- Establece Tipo de acción realizada en un dispositivo como Borrado del dispositivo.
- Establece Estado de una acción realizada en un dispositivo como Falló.
Cambio de la aplicación del dispositivo
La regla se activa cada vez que un usuario instala, desinstala o actualiza una app en su dispositivo. En el caso de los dispositivos Android personales que no tienen un perfil de trabajo, se debe activar el parámetro de configuración Auditoría de aplicaciones. En el caso de iPhones y iPads, solo se detectan los cambios en las apps administradas instaladas con la app de Google Device Policy.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| ID de aplicación |
Ingresa todo o parte del ID de la app que cambió. Por ejemplo, para aplicar la regla solo cuando cambie la app de YouTube para dispositivos móviles, selecciona Contiene y, luego, ingresa youtube. |
| SHA-256 de la aplicación | Ingresa todo o parte del hash SHA-256 del paquete de la app que cambió. |
| Estado de la aplicación |
Selecciona el estado al que cambió la app:
|
| Valor nuevo | Ingresa todo o parte del número de versión al que cambió una app. Por ejemplo, para activar la regla cuando la app de Chrome se actualice a cualquier versión 86, selecciona Contiene y, luego, ingresa 86. |
| Categoría de app potencialmente dañina |
Selecciona el tipo de app potencialmente dañina:
|
Estado de cumplimiento del dispositivo (solo para Android)
La regla se activa cuando un dispositivo deja de cumplir con las políticas de tu organización. Por ejemplo, un usuario cambia la contraseña de su dispositivo, y esta ya no cumple con tu política de contraseñas. Para obtener más información, consulta Estado de cumplimiento del dispositivo.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Aplica la regla a |
|---|---|
| Estado de cumplimiento del dispositivo |
Dispositivos cuyo estado de cumplimiento cambió. Elige una opción:
|
| Motivo de la desactivación del dispositivo móvil | Selecciona el motivo por el que el dispositivo no cumple con los requisitos:
|
Vulneración del dispositivo (solo para Android)
La regla se activa cuando un dispositivo Android se ve comprometido o deja de estarlo. Un dispositivo Android se ve comprometido cuando se rootea, un proceso que quita las restricciones del dispositivo. Los dispositivos vulnerados pueden indicar una posible amenaza de seguridad.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Estado de vulneración del dispositivo |
Selecciona el estado al que cambió el dispositivo:
|
Actualización del SO del dispositivo
La regla se activa cuando cambia el sistema operativo (SO) de un dispositivo. Los tipos de cambios en el SO que activan la regla dependen del tipo de dispositivo:
- Android: Cambios en la versión del SO, el número de compilación, la versión del kernel, la versión de banda base, el parche de seguridad o la versión del cargador de arranque
- iOS: Solo se cambian la versión del SO y el número de compilación. Por ejemplo, un usuario actualiza su dispositivo a un nuevo SO o aplica el parche de seguridad más reciente.
| Condición | Valores |
|---|---|
| Valor anterior | Ingresa parte o la totalidad del valor de la propiedad del SO desde el que cambió el dispositivo. |
| Valor nuevo | Ingresa parte o la totalidad del valor de la propiedad del SO al que cambió el dispositivo. |
| Propiedad del SO |
Selecciona la propiedad del SO que activa la regla cuando cambia su valor:
En iOS, solo se admiten la versión del SO y el número de compilación. |
Propiedad del dispositivo (solo para Android)
La regla se activa cuando la propiedad de un dispositivo cambia de personal a empresarial, o de empresarial a personal.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Propiedad del dispositivo |
Selecciona el estado de propiedad del dispositivo al que cambió:
|
Cambio en la configuración del dispositivo (solo para Android)
La regla se activa cuando cambian los parámetros de configuración del dispositivo en dispositivos Android, como la depuración por USB, las fuentes desconocidas, las opciones para desarrolladores o la verificación de apps.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Valor anterior | Ingresa parte o la totalidad del valor del parámetro de configuración del dispositivo desde el que se cambió. |
| Valor nuevo | Ingresa parte o la totalidad del valor de configuración del dispositivo al que cambió. |
| Configuración del dispositivo | Selecciona el parámetro de configuración del dispositivo que activa la regla cuando cambia su valor:
|
Sincronización del dispositivo
La regla se activa cuando la cuenta de un usuario se sincroniza en un dispositivo.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Fecha del último evento de auditoría de sincronización |
Ingresa una fecha como marca de tiempo de UNIX. Por ejemplo, 1606167154. Puedes activar la regla cuando la última sincronización del dispositivo ocurrió después de la fecha especificada (es mayor que) o en la fecha especificada o después de ella (es mayor o igual que). |
Intentos fallidos de desbloqueo de pantalla (solo para Android)
La regla se activa cuando un dispositivo alcanza una cantidad establecida de intentos fallidos para desbloquearlo. De forma predeterminada, la regla se aplica cuando hay más de 5 intentos fallidos.
Para cambiar la cantidad de intentos fallidos antes de que se aplique la regla, usa esta opción:
| Condición | Valores |
|---|---|
| Intentos fallidos para desbloquear la pantalla |
Selecciona cómo se cuenta la cantidad de intentos fallidos (Es mayor que o Es mayor o igual que) y, luego, ingresa la cantidad de intentos fallidos. Por ejemplo, si ingresas 3 y seleccionas Es mayor que, la regla se activará en el 4º intento fallido. Si ingresas 3 y seleccionas Es mayor o igual que, la regla se activará en el 3ᵉʳ intento fallido. |
Actividad sospechosa
La regla se activa cuando cambia una propiedad del dispositivo en un dispositivo administrado y esa propiedad no es una que suele cambiar. Por ejemplo, el modelo del dispositivo cambia cuando el dispositivo no cambió.
En el caso de los dispositivos Android, la actividad sospechosa incluye cambios en las siguientes propiedades del dispositivo:
- Versión del cargador de inicio
- Marca del dispositivo
- Hardware del dispositivo
- Fabricante
- Modelo del dispositivo
- Privilegio de la app de Device Policy
- Número de IMEI
- Número de MEID
- Número de serie
- Dirección MAC de Wi-Fi
En el caso de iPhones y iPads, solo incluye los cambios en la dirección MAC de Wi-Fi.
Para aplicar la regla solo a ciertos dispositivos, puedes establecer condiciones basadas en las propiedades del dispositivo y las siguientes opciones específicas del evento:| Condición | Valores |
|---|---|
| Propiedad del dispositivo |
Selecciona la propiedad del dispositivo que activa la regla cuando cambia. Para seleccionar más de una propiedad, crea una regla independiente para cada una. Si agregas más de una propiedad a una regla, el dispositivo debe informar los cambios en todas las propiedades que selecciones. Nota: En el caso de los dispositivos iOS, solo se detectan los cambios en la dirección MAC de Wi-Fi. |
| Valor anterior | En el caso de los dispositivos Android, selecciona el privilegio de administración de dispositivos desde el que se cambió el dispositivo. |
| Valor nuevo | En el caso de los dispositivos Android, selecciona el privilegio de administración de dispositivos al que cambió el dispositivo. |
Compatibilidad con el perfil de trabajo (solo para Android)
Se aplica la regla cuando un dispositivo Android comienza a admitir perfiles de trabajo. Por ejemplo, cuando se actualiza la versión del SO y el dispositivo ahora admite perfiles de trabajo.
Cómo ver datos sobre los eventos detectados
Puedes revisar los datos sobre los eventos en los dispositivos administrados en una auditoría de reglas.
-
En la Consola del administrador de Google, ve a Menú
Informes
Investigación y auditoría
Eventos de registro de reglas.Es necesario tener el privilegio de administrador de Auditoría e investigación.
- Para revisar las acciones relacionadas con las reglas de administración de dispositivos, haz clic en Agregar filtro
Administración de dispositivos. También puedes filtrar por otras características del evento, como el nombre de la regla o la cuenta del propietario del dispositivo (filtra por Propietario del recurso).
-
(Opcional) Para personalizar qué datos aparecen, en la derecha, haz clic en Administrar columnas
. Selecciona las columnas que quieras ocultar o mostrar
haz clic en Guardar. (Opcional) Para exportar los datos del informe directamente a un archivo de Hojas de cálculo de Google en Google Drive o para descargar un archivo CSV con los datos del informe, sigue estos pasos:
- Haz clic en Descargar
. - En Seleccionar columnas, haz clic en Columnas seleccionadas actualmente o Todas las columnas.
- Selecciona un formato y haz clic en Descargar.
Con cualquiera de los dos tipos de archivo, puedes exportar hasta 100,000 filas de datos.
- Haz clic en Descargar