התקנה של 'ספק פרטי הכניסה של Google ל-Windows'

אדמינים יכולים להגדיר את "ספק פרטי הכניסה של Google ל-Windows" ‏(GCPW) כדי לאפשר למשתמשים להיכנס למכשיר עם Windows 10 או 11 באמצעות חשבון Google שמשמש אותם בעבודה או בלימודים. במכשירים בבעלות החברה, אתם או אנשי מקצוע אחרים בתחום ה-IT בארגון מגדירים את GCPW במכשירים. במכשירים אישיים שלמשתמש יש בהם הרשאות אדמין, אתם יכולים לבקש מהמשתמש להתקין את GCPW.

דרישות

דרישות לגבי רישיונות

  • GCPW (עצמאי) – התכונה הזו נתמכת במהדורות הבאות: Frontline Starter,‏ Frontline Standard ו-Frontline Plus,‏ Business Starter,‏ Business Standard ו-Business Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Fundamentals,‏ Education Standard,‏ Education Plus ו-Endpoint Education Upgrade,‏ Essentials,‏ Enterprise Essentials ו-Enterprise Essentials Plus,‏ Nonprofits,‏ G Suite Basic ו-G Suite Business,‏ Cloud Identity Free ו-Cloud Identity Premium. השוואה בין המהדורות
  • ‫GCPW עם ניהול מכשירי Windows – התכונה הזו נתמכת במהדורות הבאות: Frontline Starter, ‏Frontline Standard ו-Frontline Plus, ‏Business Plus, ‏Enterprise Standard ו-Enterprise Plus, ‏Education Standard, ‏Education Plus ו-Endpoint Education Upgrade, ‏Enterprise Essentials ו-Enterprise Essentials Plus, ‏Cloud Identity Premium. השוואה בין המהדורות

דרישות מערכת

  • ‫Windows 10 או 11 Pro, ‏Pro for Workstations, ‏Enterprise או Education (גרסאות 32 ביט ו-64 ביט בלבד). אין תמיכה במכשירים עם מעבדי ARM.
  • דפדפן Chrome בגרסה 81 ואילך (גרסה יציבה), שמותקן עם הרשאות אדמין.
  • מקום פנוי בכונן ל-ChromeOS‏ (100MB) ול-GCPW‏ (3MB).
  • כדי להפעיל את תוכנת ההתקנה, צריך הרשאות אדמין במכשיר. אפשר גם לפרוס את תוכנת ההתקנה במכשירים באמצעות כלים לפריסת תוכנות.
  • ‫GCPW לא תואם לספקי צד שלישי של ניהול מכשירים ניידים.

לפני שמתחילים – הכנות לפריסה

  1. אם עדיין לא עשיתם את זה, התכוננו להתקנת GCPW והתקינו את דפדפן Chrome במכשירים.
  2. אם אתם מתכננים להשתמש ב-Chrome Enterprise Core, הגדירו אותו לפני שאתם מתקינים את GCPW. פרטים נוספים זמינים במאמר הגדרה של Chrome Enterprise Core.

שלב 1: הורדת GCPW

בשלבים הבאים מוסבר איך להגדיר את GCPW באופן ידני. אפשר גם להשתמש בכלי להפצת אפליקציות או בסקריפט של Microsoft PowerShell כדי להפיץ ולהתקין את GCPW. פרטים נוספים זמינים בסקריפט PowerShell לדוגמה.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על הגדרת Google Credential Provider for Windows ואז הורדת GCPW.
  3. מורידים את קובץ ההתקנה של GCPW בגרסת 64 ביט או 32 ביט ומפיצים אותו למכשירים.

שלב 2: מגדירים את הדומיינים המורשים ב-GCPW והגדרות אופציונליות

אתם יכולים להשתמש בשיטת ההגדרה שמתאימה ליעדים שלכם:

  • כדי להחיל את אותן הגדרות על כל מכשירי Windows בארגון, הדרך הכי קלה היא להשתמש במסוף Admin.
  • כדי להחיל הגדרות שונות על מכשירים שונים, משאירים את ההגדרות במסוף Admin במצב לא מוגדר ועורכים את הגדרות הרישום בכל מכשיר.

הערה: אם מגדירים גם את ההגדרות במסוף Admin וגם את ההגדרות במרשם, ההגדרות במסוף Admin מבטלות את ההגדרות במרשם.

כדי להשתמש ב-GCPW, צריך להגדיר דומיינים מורשים. כדי להגדיר דומיינים מותרים במסוף Admin, צריך להיות במכשיר אסימון רישום. יש כמה דרכים להגדיר אסימון:

  • אם הורדתם את GCPW ממסוף Admin, קובץ ההתקנה מגדיר את הטוקן באופן אוטומטי ואתם יכולים להמשיך.
  • אם הגדרתם בעבר אסימוני רישום ל-Chrome Enterprise Core, האסימונים האלה מאפשרים לכם גם לנהל את הגדרות GCPW ממסוף Admin.
  • אם הורדתם את GCPW מדף ההורדה הקלאסי (https://tools.google.com/dlpage/gcpw/‎), קובץ ההתקנה לא כולל טוקן. בלי הטוקן, אי אפשר לשנות את הדומיינים המורשים ממסוף Admin, אבל אפשר לערוך את ההגדרות במכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז הגדרות Windows ואז הגדרות GCPW. אם צריך, מגדירים את הטוקן של GCPW במכשירים.

עריכת ההגדרות במסוף Admin

לפני שמתחילים:אם צריכים להגדיר מחלקה או צוות עבור ההגדרה הזאת, עוברים אל הוספת יחידה ארגונית.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לבצע את המשימה הזאת אתם צריכים להיות מחוברים לחשבון בתור סופר-אדמינים.

  2. לוחצים על הגדרת Google Credential Provider for Windows ‏ (GCPW) ואז דומיינים מורשים.
  3. מזינים את הדומיינים שמורשים להיכנס לחשבון באמצעות GCPW. אם לא תוסיפו דומיינים, אף משתמש לא יוכל להיכנס לחשבון באמצעות GCPW.
  4. לוחצים על שמירה. יכול להיות שיעבור עד שעה עד שהדומיינים המורשים יסתנכרנו עם המכשירים.

    ההגדרה היחידה שחובה להגדיר היא דומיינים מורשים. כדי לקבוע הגדרות אחרות של GCPW, עוברים לשלבים הבאים.

  5. בחלק העליון של הדף, לוחצים על הגדרות Windows בנתיב הניווט.
  6. לוחצים על הגדרות GCPW.
  7. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  8. לוחצים על אחת מההגדרות הבאות ומעדכנים אותה לפי הצורך:
    הגדרה תיאור והגדרה
    עדכון אוטומטי של GCPW

    כדי להתקין גרסאות חדשות של GCPW באופן אוטומטי במכשירי Windows, מסמנים את התיבה עדכון אוטומטי של GCPW (היא מסומנת כברירת מחדל).

    כדי לאפשר עדכונים רק עד גרסה מסוימת, מסמנים את התיבה השבתה של עדכונים אחרי גרסה מסוימת ומזינים את הגרסה האחרונה שמותרת. כדאי להשתמש באפשרות הזו אם רוצים לבדוק את הגרסה העדכנית לפני שפורסים אותה לכל המשתמשים.

    הערה: צריך לעדכן את ההגדרה הזו כשמאשרים גרסאות, כדי שהמשתמשים לא ייחסמו מקבלת תכונות חדשות ועדכוני אבטחה. אם מזינים גרסה מוקדמת יותר מהגרסה שמותקנת במכשיר, GCPW לא חוזר לגרסה הזו.

    כדי להשבית את העדכונים האוטומטיים של GCPW (לא מומלץ), מבטלים את הסימון של התיבה עדכון אוטומטי של GCPW.
    ניהול של כמה חשבונות

    כדי לאפשר כניסה ליותר מחשבון Google Workspace אחד במכשיר באמצעות GCPW, בוחרים באפשרות מופעל. אם אתם משתמשים בניהול מכשירי Windows, גם אם אתם מאפשרים כמה חשבונות ב-GCPW, רק משתמש אחד יכול להירשם לניהול מכשירי Windows בכל מכשיר.

    כדי לאפשר רק לחשבון Google Workspace אחד להיכנס למכשיר דרך GCPW, בוחרים באפשרות מושבת.

    אם המדיניות מוגדרת כלא מוגדרת, אפשר להיכנס ליותר מחשבון Google Workspace אחד במכשיר, אלא אם הגדרת הרישום enable_multi_user_login מוגדרת כ-0 במכשיר.
    רישום לניהול מכשירים

    אם הארגון שלכם משתמש בניהול מכשירי Windows, אתם יכולים להגדיר שהמכשירים יירשמו באופן אוטומטי כשהמשתמש נכנס בפעם הראשונה דרך GCPW.

    אם התיבה רישום אוטומטי לניהול מכשירים לא מסומנת והארגון שלכם משתמש בניהול מכשירי Windows, אתם צריכים לרשום מכשירים באופן ידני, אלא אם הגדרתם את מפתח הרישום enable_dm_enrollment לערך 1 במכשיר.
    גישה אופליין

    כדי להגביל את משך הזמן שבו המשתמשים יכולים להיכנס למכשירים שלהם דרך GCPW במצב אופליין, משנים את הערך למופעל ומגדירים את מספר הימים.

    כשהמגבלה תסתיים, המשתמשים לא יוכלו להיכנס למכשיר עד שהם יתחברו לאינטרנט.

    כשהמדיניות מוגדרת כלא מוגדרת, המשתמשים יכולים להיכנס לחשבון במצב אופליין ללא הגבלת זמן, אלא אם הגדרת הרישום validity_period_in_days מוגדרת במכשיר.
  9. לוחצים על שמירה. אפשר גם ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.

ההגדרות של GCPW מסתנכרנות עם המכשירים כל שעה, ולכן יכול להיות שיעברו עד 60 דקות לפני שההגדרות יחולו והמשתמש יוכל להיכנס לחשבון באמצעות GCPW.

הגדרת GCPW באמצעות הגדרות הרישום של המכשיר

אם אתם לא מנהלים את GCPW באמצעות ההגדרות במסוף Admin, או שאתם רוצים לקבוע ערכים להגדרות שלא נקבעו במסוף Admin, אתם יכולים לקבוע אותם ברישום של כל מכשיר.

בהוראות הבאות מוסבר איך להגדיר מפתחות רישום באופן ידני, אבל אתם או משתמש עם הרשאות אדמין יכולים גם להגדיר מפתחות באמצעות סקריפט PowerShell.

הערה: אם מגדירים את GCPW במסוף Admin ובמרשם של המכשיר, ההגדרות במסוף Admin מבטלות את ההגדרות במרשם.

  1. מגדירים את מפתח הרישום שחובה להגדיר כדי לאפשר למשתמשים בדומיינים שצוינו להיכנס לחשבון באמצעות GCPW, וכל מפתח רישום אחר שהארגון צריך.
    הגדרה התנהגות ברירת המחדל והגדרה ידנית

    חובה: מציינים את הדומיינים שמורשים להיכנס באמצעות GCPW.

    הערה: המשתמשים לא יכולים להיכנס באמצעות GCPW עד שמגדירים את מפתח הרישום הזה.

    ברירת מחדל: אין דומיינים שיכולים להיכנס לחשבון באמצעות GCPW

    הגדרה

    1. בתפריט ההתחלה של Windows, לוחצים על הפעלה.
    2. בתיבה "הפעלה", מזינים regedit.
    3. ב-Registry Editor, עוברים אל HKEY_LOCAL_MACHINE\Software\Google, לוחצים לחיצה ימנית על Google, ואז לוחצים על New (חדש) ואז Key (מפתח) כדי ליצור תיקייה.
    4. נותנים לתיקייה את השם GCPW.
    5. לוחצים לחיצה ימנית על התיקייה GCPW ולוחצים על חדש ואז ערך מחרוזת.
    6. בשדה השם, מזינים domains_allowed_to_login.
    7. לוחצים לחיצה כפולה על השם ובתיבה נתוני ערך מזינים רשימה מופרדת בפסיקים של שמות דומיינים מותרים. לדוגמה: example.com, ‏ example.org, ‏ example.net.
    8. לוחצים על אישור.
    השבתת הרישום האוטומטי בניהול מכשירי Windows

    ברירת מחדל: 1 (רישום אוטומטי של מכשירים)

    הגדרה

    1. בעורך הרישום, לוחצים לחיצה ימנית על התיקייה GCPW ולוחצים על חדש ואז DWORD.
    2. בשדה השם, מזינים enable_dm_enrollment.
    3. לוחצים לחיצה כפולה על השם ובתיבה נתוני ערך מזינים 0. אם רוצים לאפס את המפתח כדי לאפשר רישום אוטומטי, משנים את הערך ל-1.
    4. לוחצים על אישור.
    המשתמשים נדרשים להיכנס אונליין אחרי שהמכשיר שלהם היה אופליין למשך זמן מוגדר

    ברירת מחדל: אין ערך (לא נדרשת כניסה אונליין)

    הגדרה

    1. בעורך הרישום, לוחצים לחיצה ימנית על התיקייה GCPW ולוחצים על חדש ואז DWORD.
    2. בשדה השם, מזינים validity_period_in_days.
    3. לוחצים לחיצה כפולה על השם ובתיבה נתוני ערך מזינים את מספר הימים בין כניסות אונליין ל-GCPW.

      לדוגמה, אם מזינים 5, המשתמשים צריכים להיכנס לחשבון אונליין אחרי שהמכשיר שלהם היה אופליין במשך 5 ימים. אם מזינים 0, המשתמש צריך להיכנס אונליין מיד אחרי שהמכשיר מתנתק מהאינטרנט.

    4. לוחצים על אישור.
    רק משתמש אחד יכול להיכנס למכשיר באמצעות חשבון Google

    ברירת מחדל: ריבוי משתמשים יכולים להיכנס למכשיר באמצעות חשבון Google שלהם. אם אתם משתמשים בניהול מכשירי Windows, גם אם אתם מאפשרים כמה חשבונות ב-GCPW, רק משתמש אחד יכול להירשם לניהול מכשירי Windows בכל מכשיר.

    הגדרה

    1. בעורך הרישום, לוחצים לחיצה ימנית על התיקייה GCPW ולוחצים על חדש ואז DWORD.
    2. בשדה השם, מזינים enable_multi_user_login.
    3. לוחצים לחיצה כפולה על השם ובתיבה נתוני ערך מזינים 0. אם רוצים לאפס את המפתח כדי לאפשר כניסה אוטומטית למספר חשבונות במכשיר, משנים את הערך ל-1.
    4. לוחצים על אישור.
    מאפשרת למשתמש להיכנס באמצעות GCPW בפעם הראשונה עם פרופיל Windows המקומי הקיים שלו (בלי ללחוץ על הוספת חשבון לצורכי עבודה)

    ברירת מחדל: הכניסה ל-GCPW לא מתבצעת באמצעות הפרופיל המקומי הקיים. המשתמשים צריכים ללחוץ על הוספת חשבון לצורכי עבודה כשהם נכנסים בפעם הראשונה.

    הגדרה

    1. בעורך הרישום, לוחצים לחיצה ימנית על התיקייה GCPW ולוחצים על חדש ואז מפתח.
    2. נותנים למפתח את השם Users.
    3. לוחצים לחיצה ימנית על התיקייה Users ולוחצים על New (חדש) ואז Key (מפתח).
    4. נותנים למפתח את השם של מזהה האבטחה (SID) של חשבון Windows של המשתמש. כדי למצוא את ה-SID של משתמש, אפשר לעיין במסמכי התיעוד של מיקרוסופט.
    5. לוחצים לחיצה ימנית על תיקיית ה-SID ולוחצים על חדש ואז ערך מחרוזת.
    6. בשדה השם, מזינים email.
    7. לוחצים לחיצה כפולה על השם ובתיבה נתוני ערך מזינים את חשבון העבודה שרוצים לשייך לחשבון Windows המקומי של המשתמש. משתמשים בכתובת האימייל המלאה של המשתמש, למשל user@your-company.com.
    8. לוחצים על אישור.
    הגדרת שם חשבון Windows חדש ב-GCPW, שכולל רק את החלק של שם המשתמש בכתובת האימייל של המשתמש לצורכי עבודה או בית ספר

    ברירת מחדל: כש-GCPW יוצר פרופיל Windows למשתמש בכניסה הראשונה (אם לא משייכים חשבונות Google לפרופילי Windows קיימים או שאין פרופיל Windows), שם החשבון נוצר מכתובת האימייל של המשתמש בפורמט username_domain.

    הגדרה

    1. בעורך הרישום, לוחצים לחיצה ימנית על התיקייה GCPW ולוחצים על חדש ואז DWORD.
    2. בשדה השם, מזינים use_shorter_account_name.
    3. לוחצים לחיצה כפולה על השם ובתיבה נתוני ערך מזינים 1.
    4. לוחצים על אישור.
  2. מפעילים את המכשיר מחדש.

שלב 3: מתקינים את GCPW

יש כמה דרכים להתקין את GCPW:

  • באופן ידני, כמו שמתואר בקטע הזה.
  • באמצעות סקריפט PowerShell. לפרטים נוספים, עיינו בסקריפט PowerShell לדוגמה.
  • באמצעות כלי להפצת אפליקציות של צד שלישי או כחלק מתמונת המערכת של המחשב.

כדי להתקין את GCPW באופן ידני

  1. מפעילים את תוכנת ההתקנה במכשיר. אפשר ללחוץ לחיצה כפולה על קובץ ההתקנה או להריץ אותו משורת הפקודה:

    1. פותחים את שורת הפקודה.
    2. כדי להתקין את הלקוח בגרסת 64 ביט, מריצים את הקובץ gcpwstandaloneenterprise64.exe כאדמין. כדי להתקין את הלקוח של 32 ביט, מריצים את gcpwstandaloneenterprise.exe כאדמין. כדי להריץ את תוכנת ההתקנה במצב שקט, צריך לכלול את הארגומנטים ‎/silent /install.

    ההתקנה יוצרת 4 קבצים:

    • C:\Program Files\Google\CredentialProvider<i>version number\Gaia.dll
    • C:\Program Files\Google\CredentialProvider<i>version number\gcp_setup.exe
    • C:\Program Files\Google\CredentialProvider<i>version number\gcp_eventlog_provider.dll
    • C:\Program Files\Google\CredentialProvider<i>version number\extension\gcpw_extension.exe

  2. (אופציונלי) כדי לעזור ל-Google לשפר את GCPW, אפשר להפעיל במכשיר דיווח אוטומטי על שגיאות ב-GCPW.

שלב 4: ניהול מכשירי GCPW

חוויית המשתמש

ניהול אדמינים

  • אחרי שהמשתמשים נכנסים לחשבון בפעם הראשונה, אתם יכולים לבדוק את פרטי המכשיר במסוף Admin.
  • אם אתם צריכים לאפס סיסמה של משתמש, מומלץ מאוד לאפס את הסיסמה שלו בשבילו במסוף Admin. אם אתם צריכים לאפס סיסמה דרך Microsoft Active Directory או כלי אחר, תצטרכו לעדכן את הסיסמה ל-Windows ואז לעדכן את הסיסמה לחשבון Google כדי שתהיה זהה. משתמשים שלא יכולים לעדכן את הסיסמה שלהם, כמו תלמידים, לא יוכלו להיכנס לחשבון שלהם.

הגדרת GCPW באמצעות סקריפט PowerShell

אתם יכולים להשתמש בסקריפט של PowerShell כדי להוריד את GCPW, להתקין אותו, ואם רוצים, להגדיר מפתחות רישום. מומלץ להשתמש במסוף Admin כדי לנהל את ההגדרות של GCPW.

הערה: Google לא מספקת תמיכה בשימוש בסקריפטים לדוגמה. לפני שמשתמשים בסקריפט לדוגמה, צריך להיות לכם ניסיון בשימוש בסקריפטים של PowerShell.

סקריפט לדוגמה

הסקריפט הזה מוריד את GCPW מהאתר הציבורי הקלאסי (לא כולל אסימון ספציפי לארגון) ומתקין אותו, ואז מגדיר את מפתח הרישום הנדרש שמגביל את הכניסות למכשיר לחשבונות בדומיינים ספציפיים. כדי להשתמש בסקריפט, מעתיקים אותו לכלי לעריכת טקסט ומזינים את הדומיינים המותרים בשורה 11. אם אתם רוצים לנהל את ההגדרות של GCPW במסוף Admin, אתם צריכים לקבל את האסימון ממסוף Admin ולהשתמש בסקריפט כדי להגדיר מפתח רישום עם האסימון.

<# This script downloads Google Credential Provider for Windows from
https://tools.google.com/dlpage/gcpw/, then installs and configures it.
Windows administrator access is required to use the script. #>

<# Set the following key to the domains you want to allow users to sign in from.

For example:
$domainsAllowedToLogin = "solarmora.com,altostrat.com"
#>

$domainsAllowedToLogin = ""

Add-Type -AssemblyName System.Drawing
Add-Type -AssemblyName PresentationFramework

<# Check if one or more domains are set #>
if ($domainsAllowedToLogin.Equals('')) {
    $msgResult = [System.Windows.MessageBox]::Show('The list of domains cannot be empty! Please edit this script.', 'GCPW', 'OK', 'Error')
    exit 5
}

function Is-Admin() {
    $admin = [bool](([System.Security.Principal.WindowsIdentity]::GetCurrent()).groups -match 'S-1-5-32-544')
    return $admin
}

<# Check if the current user is an admin and exit if they aren't. #>
if (-not (Is-Admin)) {
    $result = [System.Windows.MessageBox]::Show('Please run as administrator!', 'GCPW', 'OK', 'Error')
    exit 5
}

<# Choose the GCPW file to download. 32-bit and 64-bit versions have different names #>
$gcpwFileName = 'gcpwstandaloneenterprise.msi'
if ([Environment]::Is64BitOperatingSystem) {
    $gcpwFileName = 'gcpwstandaloneenterprise64.msi'
}

<# Download the GCPW installer. #>
$gcpwUrlPrefix = 'https://dl.google.com/credentialprovider/'
$gcpwUri = $gcpwUrlPrefix + $gcpwFileName
Write-Host 'Downloading GCPW from' $gcpwUri
Invoke-WebRequest -Uri $gcpwUri -OutFile $gcpwFileName

<# Run the GCPW installer and wait for the installation to finish #>
$arguments = "/i `"$gcpwFileName`""
$installProcess = (Start-Process msiexec.exe -ArgumentList $arguments -PassThru -Wait)

<# Check if installation was successful #>
if ($installProcess.ExitCode -ne 0) {
    $result = [System.Windows.MessageBox]::Show('Installation failed!', 'GCPW', 'OK', 'Error')
    exit $installProcess.ExitCode
}
else {
    $result = [System.Windows.MessageBox]::Show('Installation completed successfully!', 'GCPW', 'OK', 'Info')
}

<# Set the required registry key with the allowed domains #>
$registryPath = 'HKEY_LOCAL_MACHINE\Software\Google\GCPW'
$name = 'domains_allowed_to_login'
[microsoft.win32.registry]::SetValue($registryPath, $name, $domainsAllowedToLogin)

$domains = Get-ItemPropertyValue HKLM:\Software\Google\GCPW -Name $name

if ($domains -eq $domainsAllowedToLogin) {
    $msgResult = [System.Windows.MessageBox]::Show('Configuration completed successfully!', 'GCPW', 'OK', 'Info')
}
else {
    $msgResult = [System.Windows.MessageBox]::Show('Could not write to registry. Configuration was not completed.', 'GCPW', 'OK', 'Error')

}

הסרת Google Credential Provider for Windows


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.