Configurer les intégrations partenaires tierces

Éditions compatibles avec cette fonctionnalité : Frontline Standard et Frontline Plus ; Enterprise Standard et Enterprise Plus ; Education Standard, Education Plus et Endpoint Education Upgrade ; Cloud Identity Premium. Comparer votre édition

En tant qu'administrateur, vous pouvez intégrer des solutions partenaires tierces compatibles (celles faisant partie de BeyondCorp Alliance) à la gestion des points de terminaison Google dans la console d'administration Google. Ces intégrations vous permettent d'utiliser des fournisseurs de systèmes de gestion unifiée des points de terminaison (UEM) et des services de protection contre les menaces mobiles avec vos services Google Workspace, Cloud Identity et Google Cloud protégés par la fonctionnalité Identity-Aware Proxy. Une fois que vous avez établi une connexion et activé le service pour une unité organisationnelle, le service tiers peut envoyer des informations sur les appareils que vous pouvez consulter dans l'inventaire des appareils et utiliser dans les règles d'accès contextuel.

Remarque : Google n'est pas responsable de la précision des données des appareils générées par des partenaires tiers. Les données fournies à Google par le partenaire tiers sont stockées telles quelles. Toute inexactitude ou information permettant d'identifier personnellement l'utilisateur signalée par le partenaire tiers relève de la seule responsabilité de celui-ci.

Lorsque vous établissez une connexion au service tiers, ce service est disponible pour toutes les unités organisationnelles de votre organisation. Toutefois, le service tiers ne s'applique que lorsque vous l'activez pour une unité organisationnelle.

Partenaires BeyondCorp Alliance

Check Point
CrowdStrike
Jamf
Lookout
Microsoft Intune (ordinateurs de bureau uniquement)
Omnissa

Conditions requises

Pour les appareils mobiles, configurez la gestion de base des appareils mobiles ou activez la gestion avancée des appareils mobiles. Si vous ne savez pas lequel utiliser, demandez à votre partenaire tiers.
Sur les ordinateurs, activez la validation des points de terminaison.

Étape 1 : Connectez-vous au partenaire BeyondCorp Alliance souhaité

Dans la console d'administration Google, accédez à Menu Appareils Mobiles et points de terminaison Paramètres Intégrations tierces.

Accéder aux intégrations tierces

Pour cette tâche, vous devez être connecté en tant que super-administrateur.
Cliquez sur Partenaires MDM et de sécurité Gérer.
Sur la ligne correspondant au partenaire auquel vous souhaitez vous connecter, cliquez sur Établir la connexion.
Effectuez la procédure de connexion sur le site Web du partenaire à l'ouverture :
- Si vous avez déjà souscrit un abonnement auprès de ce partenaire, il confirmera la connexion.
- Si vous n'avez pas d'abonnement, vous devrez peut-être en configurer un.
Dans la console d'administration, fermez la boîte de dialogue Gérer les connexions partenaires pour revenir à la page des paramètres. Le partenaire connecté figure maintenant dans la liste.

Étape 2 : Activez les services du partenaire pour une unité organisationnelle

Avant de commencer : Si vous devez configurer un service ou une équipe pour ce paramètre, consultez Ajouter une unité organisationnelle.

Dans la console d'administration Google, accédez à Menu Appareils Mobiles et points de terminaison Paramètres Intégrations tierces.

Accéder aux intégrations tierces

Pour cette tâche, vous devez être connecté en tant que super-administrateur.
Cliquez sur Partenaires MDM et de sécurité.
(Facultatif) Pour appliquer le paramètre à un service ou à une équipe, sélectionnez une unité organisationnelle sur le côté.
Cochez la case correspondant au partenaire dont vous souhaitez activer le service. Vous pouvez en sélectionner plusieurs.
Cliquez sur Enregistrer. Vous pouvez également cliquer sur Remplacer pour une unité organisationnelle.
Pour restaurer ultérieurement la valeur héritée, cliquez sur Hériter.

Le service du partenaire est désormais appliqué aux comptes de l'unité organisationnelle sélectionnée.

L'application des modifications peut prendre jusqu'à 24 heures, mais cela va généralement plus vite. En savoir plus

Étape 3 : Utiliser les données d'état du service dans les niveaux d'accès contextuel

Chaque service envoie des données à Google sur les appareils, que vous pouvez utiliser pour définir des niveaux d'accès contextuel.

Remarque : Pour que les niveaux d'accès contextuel basés sur l'état des services tiers s'appliquent aux utilisateurs des appareils iOS, ces utilisateurs doivent être connectés à une application Google autre que le navigateur Chrome (comme YouTube ou Gmail) avec leur compte professionnel ou scolaire. En savoir plus

Consultez la documentation du service pour connaître les valeurs que le service tiers envoie à Google.
Dans la console Google Cloud, configurez un niveau d'accès personnalisé en fonction des valeurs du partenaire. Pour obtenir des instructions, consultez Créer un niveau d'accès personnalisé.

Lorsque vous arrivez à l'étape où vous devez remplir le champ Conditions, saisissez un attribut device.vendors correspondant à une valeur d'état. Par exemple, device.vendors["some_vendor"].data["status_value"] == true, où some_vendor correspond au nom du partenaire (Checkpoint ou Lookout) et status_value à la clé de l'état définie par le partenaire. Pour en savoir plus, reportez-vous à la section portant sur les fournisseurs de ce tableau de référence.
Attribuez des niveaux d'accès contextuel aux applications.

Résoudre les problèmes d'intégration de services tiers

Si l'intégration ne fonctionne pas comme prévu, suivez la procédure ci-dessous pour identifier le problème.

Étape 1 : Vérifiez la connexion depuis Google et depuis le service partenaire

De Google

Dans la console d'administration Google, accédez à Menu Appareils Mobiles et points de terminaison Paramètres Intégrations tierces.

Accéder aux intégrations tierces

Pour cette tâche, vous devez être connecté en tant que super-administrateur.
Cliquez sur Partenaires MDM et de sécurité.
À côté de Partenaires, cliquez sur Gérer.
Sur la ligne correspondant au partenaire, vérifiez que l'action disponible est Fermer la connexion. Si l'action est Établir la connexion, cliquez dessus et suivez les instructions de l'Étape 1 : Connectez-vous au partenaire BeyondCorp Alliance souhaité.

Depuis le service partenaire

Consultez la documentation du partenaire pour vérifier que le service partenaire est prêt à être intégré.

Étape 2 : Assurez-vous que l'utilisateur appartient à une unité organisationnelle pour laquelle la connexion est activée

Assurez-vous que la connexion est configurée pour l'utilisateur. Les connexions sont activées par unité organisationnelle et ne fonctionnent que pour les utilisateurs des unités organisationnelles pour lesquelles elles sont activées.

Dans la console d'administration Google, accédez à Menu Appareils Mobiles et points de terminaison Paramètres Intégrations tierces.

Accéder aux intégrations tierces

Pour cette tâche, vous devez être connecté en tant que super-administrateur.
Cliquez sur Partenaires MDM et de sécurité.
Sur la gauche, cliquez sur l'unité organisationnelle à laquelle l'utilisateur appartient.
À côté de Partenaires MDM et de sécurité, examinez les intégrations d'applications activées pour cette unité organisationnelle.
Si l'intégration n'est pas répertoriée, cliquez sur Partenaires MDM et de sécurité, puis cochez la case à côté du partenaire concerné. Si le partenaire ne figure pas dans la liste, vous devez d'abord établir la connexion. Pour obtenir des instructions, consultez l'Étape 1 : Connectez-vous au partenaire BeyondCorp Alliance souhaité.

Étape 3 : Vérifiez que Google récupère les données de l'appareil de l'utilisateur auprès du service tiers

Les partenaires d'intégration envoient à Google des données concernant l'appareil d'un utilisateur. Vous pouvez vérifier que Google récupère ces données dans la console d'administration.

Dans la console d'administration Google, accédez à Menu Appareils Mobiles et points de terminaison Appareils.

Accédez à la page Appareils.

Vous devez disposer du droit d'administrateur Gestion des appareils mobiles.
Recherchez l'appareil de l'utilisateur. Pour filtrer la liste, saisissez son adresse e-mail dans la barre de recherche, puis ajoutez un filtre par type d'appareil.
Cliquez sur l'appareil pour ouvrir la page d'informations le concernant.
Accédez à la section Services tiers. Si vous ne la trouvez pas, il est possible que la connexion au partenaire ne soit pas correctement configurée. Examinez les deux premières étapes de dépannage.
Recherchez la ligne correspondant au service partenaire, puis vérifiez que les valeurs associées aux options Évaluation, État de la gestion et État de la conformité ne sont pas Non spécifié. Si les valeurs ne correspondent pas à vos attentes, contactez le partenaire pour obtenir de l'aide.

Étape 4 : Vérifiez que le niveau d'accès personnalisé est correctement défini

Dans la console Google Cloud, accédez à Access Context Manager.
Recherchez le niveau d'accès personnalisé, puis vérifiez les points suivants :
1. Les conditions utilisent le nom tiers approprié. Ce nom est spécifié dans la documentation tierce.
2. Les conditions utilisent une valeur correspondant à celle reçue du tiers.

Si ces conditions sont incorrectes, découvrez comment utiliser les données d'état du service dans les niveaux d'accès contextuel.

Étape 5 : Vérifiez que le niveau d'accès personnalisé est appliqué au service Google Workspace ou à la ressource Google Cloud appropriés.

Dans la console d'administration Google, accédez à Menu Sécurité Accès et contrôle des données Accès contextuel.

Accéder à la page "Accès contextuel"

Nécessite le niveau d'accès "Sécurité des données" et les droits "Gestion des règles", ainsi que les droits de lecture de l'API Admin pour les groupes et les utilisateurs.
Cliquez sur Attribuer, puis sur Attribuer des niveaux d'accès.
Une liste d'applications s'affiche.
Vérifiez les applications et les services auxquels le niveau d'accès personnalisé est appliqué.

(Appareils iOS uniquement) Supprimer les entrées d'appareils en double causées par l'utilisation de BeyondCorp Alliance pour les rapports sur les appareils tiers

Dans certains cas, l'enregistrement d'appareils auprès d'un partenaire de services tiers peut entraîner des doublons pour le même appareil dans la console d'administration. Cela peut entraîner le blocage incorrect de l'accès aux services Google d'un appareil géré par les règles d'accès contextuel.

Pour supprimer les appareils en double, procédez comme suit :

Dans la console d'administration Google, accédez à Menu Annuaire Utilisateurs.

Accéder aux utilisateurs

Vous devez disposer du droit de gestion des utilisateurs approprié. Sans quoi, vous n'aurez pas accès à toutes les commandes requises.
Repérez l'utilisateur de l'appareil en double, puis cliquez sur son nom pour ouvrir la page "Informations sur l'utilisateur".
Dans l'onglet Sécurité, cliquez sur Applications associées.
Supprimez toutes les applications listées.

Sur l'appareil de l'utilisateur :

Déconnectez-vous de tous les comptes Google et supprimez-les.
Dans Safari, accédez à la page Web d'un service Google (par exemple, gmail.com) et vérifiez que l'utilisateur n'est pas connecté.
Réinstallez une application Google, comme Gmail ou Drive, puis connectez-vous. (N'accédez pas à une application Google via sa page Web dans Safari.)
Les règles d'accès contextuel bloquent l'accès à l'appli Google et affichent un lien permettant de résoudre le blocage de l'application.
Cliquez sur le lien de correction, puis suivez la procédure pour réenregistrer l'appareil auprès du partenaire de services.
Fermez, puis rouvrez le service Google. L'accès ne devrait plus être bloqué.

Modifier les paramètres d'intégration des services tiers

Désactiver un partenaire pour une unité organisationnelle