הגדרת אישורים למכשירים ניידים ולמכשירי ChromeOS מנוהלים

מכשירים ניידים: התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard,‏ Education Plus ו-Endpoint Education Upgrade,‏ Cloud Identity Premium. השוואה בין המהדורות

מכשירי ChromeOS: נדרש Chrome Enterprise לאישורים מבוססי-מכשיר.

אתם יכולים להפיץ אישורים מהרשות המקומית לאישורים (CA) כדי לשלוט בגישה של המשתמשים לרשתות ה-Wi-Fi והאתרנט של הארגון, לרשתות וירטואליות פרטיות (VPN) ולאפליקציות ולאתרים פנימיים במכשירים ניידים ובמכשירי ChromeOS. ‫Google Cloud Certificate Connector הוא שירות של Windows שמפיץ באופן מאובטח אישורים ומפתחות אימות משרת Simple Certificate Enrollment Protocol‏ (SCEP) למכשירים הניידים ולמכשירי ChromeOS של המשתמשים. לפרטים, אפשר לעבור לקטע איך פועל אימות אישורים באמצעות Google Cloud Certificate Connector בדף הזה.

במכשירי ChromeOS, אתם יכולים להגדיר אישורים שמבוססים על משתמשים או על מכשירים. אישור משתמש מתווסף למכשיר עבור משתמש ספציפי, ורק המשתמש הספציפי הזה יכול לגשת אליו. אישור מכשיר מוקצה על סמך המכשיר, וכל משתמש שמחובר למכשיר יכול לגשת אליו. פרטים נוספים זמינים במאמר ניהול אישורי לקוח במכשירי Chrome.

אם אתם רוצים לשלוט בגישה לרשת ה-Wi-Fi גם במכשירים ניידים וגם במכשירי ChromeOS, תצטרכו להגדיר פרופילי SCEP ורשתות Wi-Fi נפרדים, כי מכשירים ניידים ומכשירי ChromeOS תומכים בסוגים שונים של מפתחות RSA.

הערות לגבי אחסון מפתחות:

  • במכשירים ניידים, המפתחות הפרטיים של האישורים נוצרים בשרתים של Google. המפתחות נמחקים מהשרתים של Google אחרי שהאישור מותקן במכשיר או אחרי 24 שעות, המוקדם מביניהם.
  • במכשירי ChromeOS, המפתחות הפרטיים של האישורים נוצרים במכשיר ChromeOS. המפתח הציבורי התואם מאוחסן באופן זמני בשרתים של Google ונמחק אחרי שהאישור מותקן.

דרישות מערכת

  • שירות האישורים של Microsoft Active Directory לשרת SCEP, ושירות רישום המכשירים ברשת (NDES) של מיקרוסופט להפצת אישורים.
  • מכשירים ניידים: מכשירי iOS ו-Android שמוגדרים בניהול מתקדם של מכשירים ניידים. מידע נוסף על דרישות המכשיר

  • מכשירי ChromeOS:

    • אישורי מכשיר: ChromeOS בגרסה 89 ואילך, שמנוהלת באמצעות Chrome Enterprise

    • אישורי משתמש: ChromeOS בגרסה 86 ואילך.

      הערה: בגרסאות שקודמות ל-87, המשתמשים צריכים להפעיל מחדש את המכשיר או להמתין כמה שעות עד שאישור המשתמש ייפרס.

לפני שמתחילים

  • אם אתם צריכים ששם הנושא של האישור ישתמש בשמות המשתמשים של Active Directory, אתם צריכים לסנכרן את Active Directory ואת Google Directory עם Google Cloud Directory Sync ‏ (GCDS). אם צריך, מגדירים את GCDS.
  • אם עדיין לא העליתם אישור CA במסוף Google Admin, הוסיפו אישור.
  • כדאי לעיין בבעיות מוכרות כדי להימנע מהתנהגות לא צפויה.

בעיות מוכרות

  • אי אפשר לבטל אישורים אחרי שהם מותקנים במכשיר.
  • פרופילי SCEP לא תומכים באתגרים דינמיים.
  • במקרים מסוימים, יכול להיות שהירושה של פרופיל SCEP בין יחידות ארגוניות לא תפעל. לדוגמה, אם מגדירים פרופיל SCEP ליחידה ארגונית ומשנים את פרופיל ה-SCEP של יחידת בת ארגונית, אף אחד מפרופילי ה-SCEP של היחידה הארגונית הראשית לא יכול לעבור בירושה ליחידת הבת הארגונית שוב.
  • במכשירים ניידים, אי אפשר להחיל פרופילים של SCEP על הגדרות של VPN או אתרנט, אלא רק על Wi-Fi.
  • במכשירי ChromeOS, אי אפשר להחיל פרופילי SCEP ישירות על הגדרות VPN או Ethernet. כדי להחיל באופן עקיף פרופיל SCEP על הגדרות VPN או Ethernet, צריך להשתמש בתבניות של מנפיק או נושא כדי לבחור באופן אוטומטי באיזה אישור להשתמש.
  • במכשירי ChromeOS, אפשר לפרוס אישורים רק למשתמשים שמחוברים למכשיר מנוהל. המשתמש והמכשיר צריכים להיות שייכים לאותו דומיין.

שלב 1: מורידים את Google Cloud Certificate Connector

מבצעים את השלבים הבאים בשרת ה-SCEP או במחשב Windows עם חשבון שיכול להיכנס כשירות בשרת ה-SCEP. ודאו שפרטי הכניסה לחשבון בהישג יד.

אם לארגון שלכם יש כמה שרתים, אתם יכולים להשתמש באותו סוכן של מחבר האישורים בכולם. מורידים ומתקינים את קובץ ההתקנה, קובץ התצורה וקובץ המפתח במחשב אחד, כמו שמתואר בשלבים הבאים. אחר כך מעתיקים את שלושת הקבצים האלה למחשב השני ופועלים לפי הוראות ההגדרה במחשב הזה.

הערה: מורידים את Google Cloud Certificate Connector ואת הרכיבים שלו רק פעם אחת, כשמגדירים אישורים לארגון בפעם הראשונה. האישורים ופרופילי ה-SCEP יכולים להשתמש באותו מחבר אישורים.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז רשתות.

    נדרשת הרשאת אדמין להגדרות של מכשיר משותף.

  2. לוחצים על Secure SCEP ואז הורדת המחבר.
  3. בקטע התקנת Google Cloud Certificate Connector, לוחצים על הורדה.
  4. בדף Google Cloud Certificate Connector, לוחצים על Download כדי להוריד את הקובץ connector_installer.exe.
  5. סוגרים את הדף Thanks for downloading Google Cloud Certificate Connector!‎.
  6. במסוף Admin, בקטע הורדת קובץ התצורה של המחבר, לוחצים על הורדה כדי להוריד את הקובץ config.json.
  7. בקטע Get a service account key, לוחצים על Generate key כדי להוריד את הקובץ key.json.

  8. מריצים את connector_installer.exe כאדמין.

    הערה: תוכנת ההתקנה רושמת את שירות המחבר עם פרטי כניסה שמוגדרים כברירת מחדל (LocalService). בהמשך, תוכלו לשנות את השירות כך שיפעל כחשבון שירות אחר. כדי לעשות את זה, עוברים לספריית ההתקנה של המחבר ומריצים את configtool.exe כדי לפתוח את ConfigTool.

  9. מעבירים את קובצי התצורה והמפתחות (config.json ו-key.json) לתיקייה של Google Cloud Certificate Connector שנוצרה במהלך ההתקנה, בדרך כלל: C:\Program Files\Google Cloud Certificate Connector.

  10. פותחים את שירות Google Cloud Certificate Connector:

    1. פותחים את Windows Services.
    2. ברשימת השירותים, בוחרים באפשרות Google Cloud Certificate Connector.
    3. לוחצים על Start כדי להפעיל את השירות. מוודאים שהסטטוס משתנה ל-Running. השירות מופעל מחדש באופן אוטומטי אם המחשב מופעל מחדש.

אם תורידו מפתח חדש לחשבון השירות בשלב מאוחר יותר, תצטרכו להפעיל מחדש את השירות כדי להחיל אותו.

שלב 2: הוספת פרופיל SCEP

פרופיל ה-SCEP מגדיר את האישור שמאפשר למשתמשים לגשת לרשת ה-Wi-Fi, לרשת ה-Ethernet או ל-VPN. כדי להקצות את הפרופיל למשתמשים ספציפיים, צריך להוסיף אותו ליחידה ארגונית. אתם יכולים להגדיר כמה פרופילי SCEP כדי לנהל את הגישה לפי יחידה ארגונית וסוג מכשיר. מומלץ להגדיר פרופיל SCEP נפרד לכל יחידה ארגונית שרוצים להחיל עליה את הפרופיל.

לפני שמתחילים:אם צריכים להגדיר מחלקה או צוות עבור ההגדרה הזאת, עוברים אל הוספת יחידה ארגונית.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז רשתות.

    נדרשת הרשאת אדמין להגדרות של מכשיר משותף.

  2. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  3. בקטע פרוטוקול SCEP מאובטח, לוחצים על יצירת פרופיל SCEP מאובטח. אם כבר יצרתם פרופיל SCEP, לוחצים על פרוטוקול SCEP מאובטח ואז הוספת פרופיל SCEP מאובטח.

  4. מזינים את פרטי ההגדרות של הפרופיל. אם הרשות לאישורי אימות מנפיקה תבנית מסוימת, צריך להתאים את פרטי הפרופיל לתבנית.

    • הפלטפורמות שהפרופיל הזה חל עליהן – הפלטפורמות של המכשירים שמשתמשים בפרופיל SCEP. במכשירי ChromeOS, חשוב לסמן את האפשרות Chromebook (משתמש), Chromebook (מכשיר) או את שתיהן, בהתאם לסוג האישור שרוצים לפרוס.
    • שם פרופיל SCEP – שם תיאורי לפרופיל. השם מוצג ברשימת הפרופילים ובבורר הפרופילים בהגדרות של רשת ה-Wi-Fi.
    • פורמט שם הנושא – בוחרים איך לזהות את בעלי האישור. אם בוחרים באפשרות שם ייחודי מלא, השם הנפוץ של האישור הוא שם המשתמש.

    • שם חלופי של בעלים (subject) – צריך לספק SAN. ברירת המחדל היא ללא. במכשירי ChromeOS, אתם יכולים להגדיר שמות חלופיים של בעלים (subject) על סמך מאפייני המשתמש והמכשיר. כדי להשתמש בבקשה מותאמת אישית לחתימה על אישור (CSR), צריך להגדיר את תבנית האישור ב-CA כך שתצפה לאישור עם ערכי הנושא שמוגדרים בבקשה עצמה ותיצור אותו. צריך לספק לפחות ערך אחד ל-CommonName של הנושא.

      אפשר להשתמש ב-placeholder הבאים. כל הערכים אפשריים.

      • ‫${DEVICE_DIRECTORY_ID} – מזהה הספרייה של המכשיר
      • ‫${USER_EMAIL} – כתובת האימייל של המשתמש שמחובר לחשבון
      • ${USER_EMAIL_DOMAIN} – שם הדומיין של המשתמש שמחובר לחשבון
      • ‫${DEVICE_SERIAL_NUMBER} – המספר הסידורי של המכשיר
      • ${DEVICE_ASSET_ID} – מזהה הנכס שהוקצה למכשיר על ידי האדמין
      • ${DEVICE_ANNOTATED_LOCATION} – מיקום שהוקצה למכשיר על ידי האדמין
      • ${USER_EMAIL_NAME} – החלק הראשון (לפני הסימן @) של כתובת האימייל של המשתמש שמחובר לחשבון

      אם אין ערך זמני לשמירת מקום (פלייסהולדר), הוא מוחלף במחרוזת ריקה.

    • אלגוריתם חתימה – פונקציית הגיבוב (hash) שמשמשת להצפנת מפתח ההרשאה. רק SHA256 עם RSA זמין.

    • שימוש במפתח – אפשרויות לשימוש במפתח, הצפנת מפתח וחתימה. אפשר לבחור יותר מאפשרות אחת.

    • גודל המפתח (בביטים) – הגודל של מפתח ה-RSA. במכשירי ChromeOS, בוחרים באפשרות 2048.

    • בקטע אבטחה, בוחרים את סוג האימות שיידרש למכשירים מחוברים. ההגדרה הזו לא רלוונטית למכשירים ניידים.

    • בקטע מאפייני שרת SCEP, מגדירים ערכים והעדפות לשרת ה-SCEP.

      • כתובת ה-URL של שרת ה-SCEP – כתובת ה-URL של שרת ה-SCEP.
      • תקופת התוקף של האישור (בשנים) – משך הזמן שבו האישור של המכשיר תקף. צריך להזין מספר.
      • חידוש תוך מספר ימים – כמה זמן לפני שתוקף האישור של המכשיר פג צריך לנסות לחדש את האישור.
      • שימוש מורחב במפתח – איך אפשר להשתמש במפתח. אפשר לבחור יותר מערך אחד.
      • סוג אתגר – כדי לדרוש מ-Google לספק ביטוי אתגר מסוים כשהיא מבקשת אישור משרת ה-SCEP, בוחרים באפשרות סטטי ומזינים את הביטוי. אם בוחרים באפשרות ללא, השרת לא דורש את הבדיקה הזו.
      • שם התבנית – שם התבנית שבה משתמש שרת ה-NDES.
      • רשות אישורים – השם של האישור שהעליתם כדי להשתמש בו כרשות האישורים.
      • סוג הרשת שהפרופיל הזה חל עליה – סוג הרשתות שמשתמשות בפרופיל SCEP.
  5. לוחצים על שמירה. לחלופין, אפשר ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.

אחרי שמוסיפים פרופיל, הוא מופיע ברשימה עם השם שלו והפלטפורמות שבהן הוא מופעל. בעמודה פלטפורמה, הפרופיל מופעל בפלטפורמות עם סמלים כחולים ומושבת בפלטפורמות עם סמלים אפורים. כדי לערוך פרופיל, מצביעים על השורה ולוחצים על סמל העריכה .

פרופיל ה-SCEP מופץ באופן אוטומטי למשתמשים ביחידה הארגונית.

שלב 3: מגדירים את מאגר המפתחות של Google Cloud Certificate Connector

אם האישור הונפק על ידי רשות אישורים מהימנה או שכתובת ה-URL של שרת ה-SCEP מתחילה ב-HTTP, אפשר לדלג על השלב הזה.

אם האישור לא הונפק על ידי רשות אישורים מהימנה, כמו אישור בחתימה עצמית, צריך לייבא את האישור למאגר המפתחות של Google Cloud Certificate Connector. אחרת, אי אפשר להקצות את אישור המכשיר והמכשיר לא יכול להתחבר.

  1. נכנסים לחשבון ב-CA.
  2. אם עדיין לא התקנתם Java JRE, תצטרכו להתקין אותו כדי להשתמש ב-keytool.exe.
  3. פותחים שורת פקודה.

  4. מייצאים את אישור ה-CA וממירים אותו לקובץ PEM באמצעות הפקודות הבאות:

    certutil ‑ca.cert C:\root.cer
    certutil ‑encode cacert.cer cacert.pem

  5. מייבאים את אישור ה-CA למאגר המפתחות. מתיקיית המשנה של Google Cloud Certificate Connector שנוצרה במהלך ההתקנה, בדרך כלל C:\Program Files\Google Cloud Certificate Connector, מריצים את הפקודה הבאה ומחליפים את java-home-dir בנתיב ל-JRE בתיקיית Google Cloud Certificate Connector ואת cert-export-dir בנתיב לאישור שייצאתם בשלב 4: java-home-dir\bin\keytool.exe ‑import ‑keystore rt\lib\security\cacerts ‑trustcacerts ‑file cert-export-dir\cacert.pem ‑storepass changeit

שלב 4: מגדירים את הרשתות כך שידרשו את פרופיל ה-SCEP (אופציונלי)

בהתאם לסוג הרשת, אתם יכולים להגדיר אותה כך שתדרוש את פרופיל ה-SCEP.

דרישה לפרופיל SCEP ברשתות Wi-Fi

כדי לשלוט בגישה לרשת ה-Wi-Fi גם במכשירים ניידים וגם במכשירי ChromeOS, צריך להגדיר רשתות Wi-Fi נפרדות לכל אחד מהם. לדוגמה, אפשר להגדיר רשת Wi-Fi אחת למכשירים ניידים ולהקצות לה פרופיל SCEP למכשירים ניידים. לאחר מכן, מגדירים רשת Wi-Fi אחרת למכשירי ChromeOS ומקצים פרופיל SCEP למכשירי ChromeOS.

לפני שמתחילים:אם צריכים להגדיר מחלקה או צוות עבור ההגדרה הזאת, עוברים אל הוספת יחידה ארגונית.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז רשתות.

    נדרשת הרשאת אדמין להגדרות של מכשיר משותף.

  2. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  3. ב-Wi-Fi, לוחצים על יצירת רשת Wi-Fi. אם כבר הגדרתם רשת Wi-Fi, לוחצים על Wi-Fi ואז הוספת Wi-Fi.
  4. בקטע גישה לפלטפורמה, מסמנים את התיבות הבאות לפי הצורך: Android,‏ iOS,‏ מכשירי Chromebook (לפי משתמש),‏ מכשירי Chromebook (לפי מכשיר) או ציוד ל-Google Meet.
  5. בקטע פרטים:
    1. מזינים שם ו-SSID לרשת ה-Wi-Fi.
    2. בהגדרות אבטחה, בוחרים באפשרות WPA/WPA2 Enterprise (802.1X) או Dynamic WEP (802.1X).
    3. בשדה פרוטוקול אימות שניתן להרחבה, בוחרים באפשרות EAP-TLS או EAP-TTLS.
    4. אם בחרתם באפשרות EAP-TLS, בקטע סוג הקצאת הרשאות ידנית, בוחרים באפשרות פרופיל SCEP או תבנית אישור ואז בוחרים אפשרות:
      • בקטע פרופיל SCEP, בוחרים את פרופיל ה-SCEP שהוספתם בשלב 2.
      • בשדה תבנית אישור, מזינים ערך בשדה כתובות URL לרישום לקוח וערך אחד או יותר בשדה תבנית מנפיק או תבנית נושא.
    5. מזינים ערכים או בוחרים אפשרויות לכל פרט אחר של ה-Wi-Fi שצריך.
  6. לוחצים על שמירה.
  7. משתפים עם המשתמשים מידע על ההתחברות לרשת:
    • המכשיר שלהם צריך לספק את האישור בכל פעם שהם מנסים להתחבר לרשת Wi-Fi.
    • במכשירי Android ו-ChromeOS, האישור שתואם לפרופיל ה-SCEP של המשתמש והרשת מוזנים באופן אוטומטי, כך שהמשתמשים רק צריכים ללחוץ על התחברות.
    • במכשירי iOS, המשתמש בוחר את האישור שבו הוא רוצה להשתמש ולוחץ על התחברות.

דרישה לפרופיל SCEP ברשתות אתרנט

אתם יכולים לשלוט בגישה לרשת אתרנט במכשירי ChromeOS. אתם מגדירים את הרשת למכשירים ואז מקצים לה פרופיל SCEP.

לפני שמתחילים:אם צריכים להגדיר מחלקה או צוות עבור ההגדרה הזאת, עוברים אל הוספת יחידה ארגונית.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז רשתות.

    נדרשת הרשאת אדמין להגדרות של מכשיר משותף.

  2. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  3. בקטע אתרנט, לוחצים על יצירת רשת אתרנט. אם כבר הגדרתם רשת אתרנט, לוחצים על אתרנט ואז הוספת אתרנט.
  4. במקטע גישה לפלטפורמה, סמנו את התיבות הבאות לפי הצורך: Chromebooks (לפי משתמש), Chromebooks (לפי מכשיר) או ציוד ל-Google Meet.
  5. בקטע פרטים:
    1. הזנת שם עבור רשת ה-Ethernet.
    2. בקטע אימות, בוחרים באפשרות Enterprise‏ (802.1X).
    3. בשדה פרוטוקול אימות שניתן להרחבה, בוחרים באפשרות EAP-TLS או EAP-TTLS.
    4. אם בחרתם באפשרות EAP-TLS, בקטע סוג הקצאת הרשאות ידנית, בוחרים באפשרות פרופיל SCEP או תבנית אישור ואז בוחרים אפשרות:
      • בקטע פרופיל SCEP, בוחרים את פרופיל ה-SCEP שהוספתם בשלב 2.
      • בשדה תבנית אישור, מזינים ערך בשדה כתובות URL לרישום לקוח וערך אחד או יותר בשדה תבנית מנפיק או תבנית נושא.
    5. מזינים ערכים או בוחרים אפשרויות לפרטים אחרים של Ethernet שצריך.
  6. לוחצים על שמירה.
  7. משתפים עם המשתמשים מידע על ההתחברות לרשת:
    • המכשיר שלהם צריך לספק את האישור בכל פעם שהם מנסים להתחבר לרשת האתרנט.
    • האישור שתואם לפרופיל ה-SCEP ולרשת מוזן באופן אוטומטי במכשיר ה-ChromeOS, כך שהמשתמשים רק צריכים ללחוץ על התחברות.

דרישה לפרופיל SCEP לרשתות VPN

אתם יכולים לשלוט בגישה ל-VPN במכשירי ChromeOS. אתם מגדירים את הרשת למכשירים ואז מקצים לה פרופיל SCEP.

לפני שמתחילים:אם צריכים להגדיר מחלקה או צוות עבור ההגדרה הזאת, עוברים אל הוספת יחידה ארגונית.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז רשתות.

    נדרשת הרשאת אדמין להגדרות של מכשיר משותף.

  2. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  3. בקטע VPN, לוחצים על Create VPN Network. אם כבר הגדרתם VPN, לוחצים על VPN ואז הוספת VPN.
  4. בקטע גישה לפלטפורמה, מסמנים את התיבות הבאות לפי הצורך: מכשירי Chromebook (לפי משתמש) או מכשירי Chromebook (לפי מכשיר).
  5. בקטע פרטים:
    1. מזינים שם ומארח מרוחק ל-VPN.
    2. בסוג VPN, בוחרים את סוג ה-VPN הרצוי ומזינים את הפרטים של הסוג הזה.
    3. אם בחרתם באפשרות OpenVPN וסימנתם את התיבה שימוש באישור לקוח, בשדה סוג הקצאת הרשאות, בוחרים באפשרות פרופיל SCEP או תבנית אישור ואז בוחרים אפשרות:
      • בקטע פרופיל SCEP, בוחרים את פרופיל ה-SCEP שהוספתם בשלב 2.
      • בשדה תבנית אישור, מזינים ערך בשדה כתובות URL לרישום לקוח וערך אחד או יותר בשדה תבנית מנפיק או תבנית נושא.
    4. מזינים ערכים או בוחרים אפשרויות לכל פרטי ה-VPN האחרים שצריך.
  6. לוחצים על שמירה.
  7. משתפים עם המשתמשים מידע על ההתחברות לרשת:
    • המכשיר שלהם צריך לספק את האישור בכל פעם שהם מנסים להתחבר ל-VPN.
    • האישור שתואם לפרופיל ה-SCEP ולרשת מוזן באופן אוטומטי במכשיר ה-ChromeOS, כך שהמשתמשים רק צריכים ללחוץ על התחברות.

איך פועל אימות אישורים באמצעות Google Cloud Certificate Connector

‫Google Cloud Certificate Connector הוא שירות של Windows שיוצר חיבור בלעדי בין שרת ה-SCEP לבין Google. המחבר של האישורים מוגדר ומאובטח באמצעות קובץ תצורה וקובץ מפתח, ששניהם מיועדים לארגון שלכם בלבד.

אתם מקצים אישורי מכשירים למכשירים ולמשתמשים באמצעות פרופילי SCEP. כדי להקצות פרופיל, בוחרים יחידה ארגונית ומוסיפים את הפרופיל ליחידה הארגונית הזו. הפרופיל כולל את רשות האישורים שמנפיקה אישורים למכשירים. כשמשתמש רושם את המכשיר הנייד או את מכשיר ChromeOS שלו לניהול, המערכת של ניהול נקודות הקצה ב-Google מאחזרת את פרופיל ה-SCEP של המשתמש ומתקינה את האישור במכשיר. במכשירי ChromeOS, אישור מכשיר מותקן לפני שהמשתמש נכנס לחשבון, ואישור משתמש מותקן אחרי שהמשתמש נכנס לחשבון. אם המכשיר כבר רשום, האישור מותקן כחלק ממחזור סנכרון רגיל.

כשמשתמש מנסה להתחבר לרשת, הוא מתבקש לספק את האישור. במכשירי Android, האישור נבחר באופן אוטומטי והמשתמש לוחץ על התחברות. במכשירי iOS, המשתמש צריך לבחור את האישור באופן ידני ואז להתחבר. המכשיר ניגש לרשת של הארגון באמצעות מפתח ש-Google מנהלת דרך מחבר האישורים. ‫Google מאחסנת את המפתח באופן זמני במהלך משא ומתן האבטחה, אבל מוחקת את המפתח אחרי שהוא מותקן במכשיר (או אחרי 24 שעות).


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.