לפני שמתקינים את Google Credential Provider for Windows (GCPW) במכשירים, צריך:
- מחליטים איך לסנכרן את הסיסמאות בין Google ל-Windows.
- לתת לצוות התמיכה גישה למכשירים.
- מחליטים איך לטפל בפרופילים קיימים ב-Windows.
טיפ: GCPW תומך באימות דו-שלבי (2SV), כולל מפתחות אבטחה מסוג USB. פרטים נוספים מופיעים במאמר הגנה על העסק באמצעות אימות דו-שלבי.
אחרי שתשלימו את שלבי ההגדרה הראשוניים, תוכלו להתקין את GCPW במכשירי Windows.
שלב 1. בחירת אסטרטגיה לניהול סיסמאות
כשמתקינים את GCPW במכשיר עם Windows 10 או 11, המשתמש נכנס באמצעות הסיסמה לחשבון Google שלו. לאחר מכן, GCPW מכניס את המשתמש באופן אוטומטי לפרופיל שלו ב-Windows ולדפדפן Chrome. כדי שהכניסה האוטומטית הזו תפעל, הסיסמה לחשבון Google והסיסמה ל-Windows צריכות להיות מסונכרנות.
יש שתי דרכים לסנכרן סיסמאות: להשתמש ב-Google (מומלץ) או להשתמש בכלי סנכרון כדי להעביר עדכוני סיסמאות מ-Active Directory, מ-Microsoft Entra ID או מכלים אחרים של צד שלישי ל-Google.
בשתי הגישות, המשתמשים מנהלים רק את הסיסמה לחשבון Google. הם לא יכולים לאפס את הסיסמה שלהם ממסך Ctrl+Alt+Delete במכשיר, כי GCPW חוסם את התכונה הזו.
אם למשתמשים מסוימים, כמו תלמידים, אין הרשאה לנהל את הסיסמה שלהם, אתם צריכים לאפס ולעדכן את הסיסמה של המשתמש במסוף Admin.
מסוף Google Admin לניהול סיסמאות
מומלץ כשמשייכים פרופילים מקומיים של Windows לחשבונות Google
אם אתם משתמשים במסוף Google Admin כדי לנהל סיסמאות והמשתמשים משנים את הסיסמאות שלהם בחשבון Google, אתם לא צריכים לעשות שום דבר. GCPW מסנכרן באופן אוטומטי את הסיסמה לחשבון Google עם הסיסמה ל-Windows. הסנכרון מתבצע כשהמשתמשים נכנסים לחשבון במכשיר עם הסיסמה החדשה כשהמכשיר מחובר לאינטרנט.
שימו לב:
- אם למשתמשים יש פרופילי Windows שמשויכים לחשבונות מיקרוסופט, כמו @outlook.com ו-hotmail.com, כלי GCPW לא יכול לסנכרן סיסמאות בין חשבון מיקרוסופט לחשבון Google. כשמשתמש משנה את הסיסמה לחשבון שלו במיקרוסופט, הוא צריך לשנות באופן ידני את הסיסמה לחשבון שלו ב-Google. אם הם לא יעשו את זה, הם יקבלו שגיאות בסנכרון הסיסמאות.
- אם למשתמשים יש פרופילים של Windows שמגובים ב-AD, יכול להיות שסנכרון הסיסמאות בשיטה הזו לא יתבצע אם המכשיר לא יכול להתחבר לשרת ה-AD. במקום זאת, מומלץ להשתמש בשיטה הבאה.
Active Directory, Entra ID או כלים של צד שלישי לניהול סיסמאות
מומלץ כשמשייכים פרופילים של Windows שמגובים ב-AD לחשבונות Google
אם אתם משתמשים ב-Active Directory, ב-Entra ID או בכלים אחרים כדי לנהל סיסמאות במכשירי Windows, אתם יכולים לסנכרן את הסיסמאות לחשבון Google עם הסיסמאות ל-Windows באמצעות G Suite Password Sync (GSPS) או כלי אחר.
הערה: בגישה הזו, המשתמשים עדיין צריכים לנהל את הסיסמאות שלהם בחשבון Google. אם אתם רוצים לדרוש ממשתמש לאפס את הסיסמה שלו, מומלץ להשתמש במסוף Google Admin ולא ב-AD או בכלים אחרים. עדיין אפשר להשתמש ב-AD או בכלים אחרים, אבל המשתמש יצטרך לאפס את הסיסמה שלו ב-Microsoft ואז לאפס את הסיסמה שלו ב-Google כדי שתהיה זהה.
אם לחלק מהמשתמשים אין הרשאה לשנות את הסיסמאות שלהם, אתם צריכים לאפס את הסיסמאות שלהם בשבילם במסוף Admin. אם תאפסו את הסיסמה שלהם ב-AD או בכלים אחרים, המשתמשים לא יוכלו לעבור את השגיאות "הסיסמה שגויה" כי הם לא יכולים לשנות את הסיסמה לחשבון Google שלהם.
שלב 2. התאמה של רמות המורכבות של הסיסמאות
מגדירים דרישות מורכבות לסיסמאות של חשבונות Google של המשתמשים, כך שיהיו זהות או חזקות יותר מהדרישות לסיסמאות של Active Directory או של Windows. אם דרישות הסיסמה של Google חלשות יותר, המשתמש יכול לשנות את הסיסמה שלו לסיסמה שלא עומדת בדרישות הסיסמה של Windows. הם לא יוכלו לגשת לחשבון Windows שלהם עד שהם ישנו שוב את הסיסמה לחשבון Google, כך שהיא תעמוד בדרישות הסיסמה של Windows.
שלב 3. איך בוחרים את הדרך לנהל את הגדרות GCPW
כשמגדירים את GCPW, המשתמשים לא יכולים להיכנס דרך GCPW עד שמגדירים אילו דומיינים מורשים להיכנס. אתם יכולים גם להשבית את ההרשמה האוטומטית לניהול מכשירי Windows, לנהל עדכונים אוטומטיים ולדרוש כניסה אונליין אחרי פרק זמן מוגדר. אתם יכולים לנהל את ההגדרות האלה במסוף Admin או בהגדרות הרישום בכל מכשיר.
- מסוף Admin –השתמשו בגישה הזו אם לכל המשתמשים בארגון יהיו אותם דומיינים מותרים. אתם יכולים להגדיר אפשרויות אחרות לפי יחידה ארגונית. הגישה הזו מאפשרת לכם לבדוק איך GCPW מוגדר. היא גם מאפשרת לשנות הגדרות בצורה יעילה יותר, כי ההגדרות נשלחות אוטומטית לכל המכשירים.
- הגדרות הרישום – משתמשים בגישה הזו כשרוצים לאפשר דומיינים שונים למכשירים שונים. לא תוכלו לבדוק איך המכשירים מוגדרים ממסוף Admin, ולכן תצטרכו לשמור תיעוד משלכם. אם אתם צריכים לעדכן או להוסיף הגדרה, אתם צריכים לעדכן כל מכשיר בנפרד.
שלב 4. שיוך חשבונות Google של משתמשים לפרופילי Windows קיימים
אם במכשיר Windows כבר מוגדר פרופיל Windows לחשבון לצורכי עבודה של משתמש, אתם יכולים להגדיר את GCPW כך שישייך את הפרופיל הקיים לחשבון Google של המשתמש.
אם לא משייכים את פרופיל Windows לחשבון Google, הכלי GCPW יוצר פרופיל Windows חדש לכניסה באמצעות חשבון Google. משתמשים עם פרופילים מקומיים עדיין יכולים להיכנס לפרופיל השני, אבל משתמשי AD לא יוכלו לגשת לפרופיל השני. איך המשתמשים נכנסים לפרופילים קיימים ב-Windows באמצעות GCPW
איך משייכים חשבונות Google לפרופילים קיימים ב-Windows
שלב 5. אם אתם משתמשים בניהול מכשירי Windows, תנו לצוות התמיכה שלכם גישה למכשירים
חשוב לוודא שצוותי התמיכה (משתמשי Active Directory, קבוצות Active Directory ומשתמשים מקומיים) מקבלים את הרשאות האדמין המקומיות הנכונות. פרטים נוספים זמינים במאמר ניהול הגדרות חשבון במכשירי Windows 10 או 11.
שלב 6. אם משתמשים בניהול מכשירי Windows, מתכננים רישום אוטומטי
אם אתם פורסים את GCPW באופן אוטומטי, אתם יכולים לדלג על השלב הזה.
כברירת מחדל, GCPW רושם באופן אוטומטי את המשתמש הראשון שנכנס למכשיר דרך GCPW בניהול מכשירי Windows (כשהניהול של מכשירי Windows מופעל אצל המשתמש הזה). אם הארגון שלכם פורס תוכנות באופן ידני, יכול להיות שהאדם שמגדיר את המכשיר הוא לא המשתמש שאתם רוצים לנהל באמצעות ניהול מכשירי Windows. אם מי שמגדיר את המכשיר נכנס לחשבון באמצעות GCPW, הוא יכול להירשם במקום המשתמש המיועד. בגלל מגבלות הניהול של Microsoft Windows, רק משתמש אחד בכל מכשיר יכול להירשם לניהול מכשירי Windows. לכן, אם מי שמגדיר את המכשיר כבר רשום, ההגדרות של המשתמש המיועד לא יחולו.
כדי לנהל או למנוע את הרישום האוטומטי של המשתמש שמגדיר את המכשיר, אתם יכולים:
- אם מי שמגדיר את המכשיר משתמש בחשבון אדמין מקומי במקום להיכנס עם חשבון Google, הוא לא יירשם לניהול מכשירי Windows.
- אם האדם שמגדיר את המכשירים נכנס דרך GCPW (עם חשבון בעל הרשאות או עם חשבון העבודה שלו כדי להגדיר מכשירים), אתם יכולים להשבית את הרישום האוטומטי ליחידה הארגונית עם החשבונות האלה.
- אם אתם מאפשרים למשתמש שמגדיר את המכשיר להירשם באופן אוטומטי, אתם יכולים לבטל את הרישום של המשתמש הזה לפני שאתם נותנים את המכשיר למשתמש המיועד. איך עושים את זה?
Google, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.