Separera jobbdata och privat data på iOS-enheter

Utgåvor som stöds för den här funktionen: Frontline Starter, Frontline Standard och Frontline Plus, Business Plus, Enterprise Standard och Enterprise Plus, Education Standard, Education Plus och Endpoint Education Upgrade, Enterprise Essentials och Enterprise Essentials Plus, G Suite Basic och G Suite Business, Cloud Identity Premium. Jämför utgåvor

Som administratör kan du hantera all data på en användares personliga iOS-enhet eller enbart jobbdata. Användarregistrering i Apple håller isär jobbdata och privat data på iOS-enheter så att du får full kontroll över jobbdata på enheten samtidigt som användarna behåller integriteten över sin privata data.

Jämföra alternativ för iOS-enhetsregistrering

Du kan välja mellan enhetsregistrering och användarregistrering för iOS-enheter som används i BYOD-syfte (använd din egen enhet). Varje registreringstyp ger dig olika funktionsuppsättningar.

  • Använd användarregistrering om du vill skydda jobbdata på enheten och ge användaren integritet över sin privata data.
  • Använd enhetsregistrering för mer kontroll över enheten, inklusive möjligheten att rensa enheten.
Funktion för mobilhantering Enhetsregistrering Användarregistrering
Konfigurera konton för åtkomst till jobbdata i inbyggda iOS-appar ✔ ✔
Installera och konfigurera appar ✔ ✔
Kräv lösenord för enheter ✔ ✔
Se översikt över jobbappar ✔ ✔
Ta enbart bort jobbdata ✔ ✔
Kräv ett starkt lösenord ✔
Få åtkomst till översikt över personliga appar ✔
Fjärrensa hela enheten (inklusive personuppgifter) ✔

Innan du börjar

  • Användarregistrering stöds på personliga enheter med iOS 15.5 och senare. Det är inte tillgängligt för företagsägda enheter.

Obs! Den ursprungliga profilbaserade metoden för användarregistrering (stöds på iOS 15.5 och senare) stöds inte längre för enheter med iOS 18 och senare.

  • Förbered inloggningsuppgifterna för både Googles administratörskonsol och organisationens Apple Business Manager eller Apple School Manager.
  • Aktivera avancerad mobilhantering för organisationsenheten som ska använda enheterna.
  • Konfigurera Apple Volume Purchase Program (VPP) för att distribuera jobbappar till användare.

Du länkar Apple Business Manager eller Apple School Manager till Google Workspace så att användarna kan använda sina Google Workspace-användarnamn som hanterade Apple-id:n. De kan använda dessa uppgifter för att logga in på sin iOS-enhet. Du behöver licenser för Google Device Policy-appen och andra appar som du vill distribuera till användarregistrerade enheter. Så här länkar du Apple Business Manager till Google Workspace:

  1. Öppna Apple Business Manager eller Apple School Manager och logga in med företagets Apple-id.
  2. Välj ditt namn följt av Preferences följt av Managed Apple Accounts nere till vänster.
  3. Bredvid Federated Authentication klickar du på Edit.
  4. Välj Google Workspace följt av Connect och logga in med administratörskontot för Google Workspace.
  5. Markera rutan bredvid var och en av de begärda behörigheterna och klicka på Continue följt av Done.
  6. Klicka på Edit bredvid Domains.
  7. Klicka på Federate bredvid din verifierade domän.
  8. Till vänster klickar du på Directory Sync och aktiverar Google Workspace Sync.

Steg 2: Skaffa applicenser för Google Device Policy

Du behöver licenser för Device Policy-appen och andra appar som du vill distribuera till användarregistrerade enheter. Mer information finns i Distribuera iOS-appar med Apple VPP.

Steg 3: Välj registreringstyp

Innan du börjar: Om du har enheter med olika registreringskrav konfigurerar du en organisationsenhet för varje registreringstyp. Företagsägda enheter är till exempel enhetsregistrerade, så se till att de finns i en organisationsenhet med Enhetsregistrering eller Användarens val valt. Mer information finns i Lägg till en organisationsenhet.

  1. I Googles administratörskonsol går du till menyn följt av Enheter följt av Mobil och ändpunkter följt av Inställningar följt av iOS.

    Kräver administratörsbehörighet för hantering av mobila enheter.

  2. Klicka på Registrering.
  3. (Valfritt) Välj en organisationsenhet vid sidan om du vill att inställningen ska gälla för en avdelning eller ett team.
  4. Välj ett alternativ (ett per organisationsenhet):
    • (Standard) Om du vill hantera jobbdata och privat data på personliga iOS-enheter väljer du Enhetsregistrering.
    • Om du bara vill hantera jobbdata på personliga enheter väljer du Användarregistrering.
      Om du bara vill tillämpa inställningen på nya enheter markerar du rutan Tillåt enhetsregistrering för befintliga användare.
    • Välj Användarens val om du vill låta användaren välja registreringstyp.
      • Om användaren väljer Enhetsregistrering måste hen installera Google Device Policy-appen och konfigurationsprofilen. Mer information finns i Installera Google Device Policy-appen.
      • Om de väljer Användarregistrering går du till steg 5 (längre ned på den här sidan) för att registrera enheten.
  5. Klicka på Spara. Du kan även klicka på Åsidosätt för en organisationsenhet.

    Om du vill återställa det ärvda värdet senare klickar du på Ärv.

Steg 4: Konfigurera kontodriven användarregistrering

Krävs för enheter med iOS 18 eller senare. Valfritt för enheter med iOS 17 och tidigare.

Konfigurera kontobaserad användarregistrering så att användarna kan registrera sina personliga enheter i iOS-inställningsappen. Om du vill konfigurera kontobaserad registrering måste du konfigurera tjänstidentifiering genom att vara värd för registreringsinformation på webbservern. Detta gör att Apple kan hämta informationen från Googles ändpunktshantering.

Konfigurera tjänstidentifiering

  1. Definiera JSON-dokumentet för tjänsteidentifiering:

    {
   "Servers": [
    {
       "BaseURL":"https://ios-mdm.google.com/userenrollment/enroll",
       "Version":"mdm-byod"
    }
   ]
}

  2. Konfigurera webbhotellet så att JSON-dokumentet visas från följande plats:

     https://YOUR_DOMAIN/.well-known/com.apple.remotemanagement

    Viktigt!

    • Se till att Content-Type-rubriken i HTTP-svaret är inställd på application/json.
    • SSL-certifikatet för webbservern måste utfärdas av en betrodd certifikatutfärdare och ha samma fullständiga domännamn (FQDN) som den verifierade domänkonfigurationen i steg 1 (tidigare på den här sidan).
    • Konfigurationen för tjänstidentifiering måste finnas på en server som stöder HTTPS GET-begäranden.

  3. Verifiera konfigurationen för tjänstidentifiering genom att köra kommandot:

    curl -I https://YOUR_DOMAIN/.well-known/com.apple.remotemanagement

    Se till att webbservern som hanterar JSON-filen kan hantera ytterligare webbadressparametrar. Vissa iOS-versioner kan bifoga följande parametrar till HTTP GET-begäran:

    • user-identifier – användarkontots identifierare (till exempel email@example.com)
    • model-family – enhetens modellfamilj (till exempel iPhone eller iPad)

    Kommandot ska skriva ut ett svar som liknar följande:

    HTTP/2 200  content-type: application/json
last-modified: Wed, 30 Oct 2024 19:14:12 GMT
accept-ranges: bytes
date: Fri, 27 Dec 2024 18:40:36 GMT
content-length: 138

Med den här konfigurationen kan iOS-enheten hitta registreringsservrarna för Googles ändpunktshantering under den kontobaserade registreringsprocessen. När en användare har angett e-postadressen för sitt hanterade Apple-konto händer följande:

  1. Enheten extraherar domännamnet från det hanterade Apple-kontot.
  2. Enheten skickar en HTTP-begäran till webbservern som är värd för registreringsinformationen.

Exempel
Om användaren Dana loggar in på en enhet med hanterat Apple-id dana@example.com:

  • Enheten extraherar example.com och använder tjänstidentifieringsprocessen för att göra en HTTPS-begäran om registreringsinformationen som finns på https://example.com/.well-known/com.apple.remotemanagement.
  • Enheten identifierar Googles ändpunktshantering från konfigurationen för tjänstupptäckt och startar registreringen.

Mer information om processen för tjänstidentifiering finns i dokumentationen Discover Authentication Servers på webbplatsen Apple Developer.

Steg 5: Be användarna att registrera sin enhet

Om du vill registrera iOS-enheter för hantering ber du användarna att göra följande:

  1. Om användarens enhet redan har registrerats för hantering ber du hen att avregistrera sitt Google Workspace-konto från Device Policy-appen och sedan avinstallera appen. Mer information finns i Hantera Device Policy-appen.
  2. Välj ett alternativ:
    • Om du har konfigurerat kontodriven användarregistrering (tidigare i den här artikeln) ber du användarna att trycka på Inställningar följt av Allmänt följt av VPN och enhetshantering följt av Logga in på jobb- eller skolkonto och logga in med sitt Workspace-konto.
    • Annars kan du låta användarna logga in med sitt jobbkonto i Gmail-appen som har installerats från Apple App Store.
  3. Följ anvisningarna för att installera konfigurationsprofilen. Användaren kan behöva öppna iOS-inställningsappen för att installera den nedladdade profilen. Google Device Policy-appen installeras automatiskt.
  4. Användaren måste logga in med appen Device Policy när den har laddats ned. Mer information finns i Konfigurera en personlig enhet.
  5. Installera hanterade appar från Device Policy-appen. Om en app är markerad som Obligatorisk i Device Policy-appen måste användaren avinstallera appen och sedan installera om den från Device Policy-appen. Mer information finns i Skaffa godkända jobbappar på iOS-enheter.

Obs!

  • Av integritetsskäl kan Googles ändpunktshantering inte läsa listan över installerade appar på användarregistrerade enheter. Om en användare ännu inte har installerat en hanterad app från Device Policy-appen kan vi inte avgöra om appen redan är installerad som ohanterad från App Store. Om appen redan finns på enheten måste användaren avinstallera den innan hen installerar den från Device Policy-appen. Mer information om att skydda användarens integritet finns i Apple-dokumentationen.
  • E-postaviseringar om administratörsgodkännande skickas inte för Apple User Enrollment. Du måste kontrollera och godkänna enheter manuellt med hjälp av listan över väntande enheter.

Hantera mobilappar för organisationen