EUC Man

Workspace ONE UEMのSaaS環境でLinux OSが管理ができるようになっていました。 Windows10、macOS、iOSやAndroidなどの主要なOSと比較するとまだ制御可能な項目が少ないようですが、管理可能なOSが増えたというのはここ最近でも大きな変化だと感じます。 まずはLinuxデバイスを加入してみて、加入のお作法や管理コンソールでの見え方を確認してみました。 大まかな流れは以下の通りです。      1．Intelligent Hubインストール      2．WS1 UEMに加入     3 ．プロファイル配信 1．Intelligent Hubインストール 複数のディストリビューションに対応しているようですが、今回はUbuntuを使用しました。 OSはインストールのみを行い、他のパッケージのインストールを事前に行ったりはしていません。 Docsに記載されているリンクからインストーラをダウンロードします。 今回はデバイスとしてはUbuntuを使用したので、「Debian Based」の「x86_64」をダウンロードしました。 【補足】 画像内のリンクはバージョンが上がるごとに新しいものになると思われるので、あくまで記事作成時点のものです。 インストーラがダウンロードできたら、ターミナルで以下のコマンドを実行します。 sudo apt install /[installer_path]/workspaceone-intelligent-hub-amd64-22.06.0.7.deb 【補足】 画像はUbuntuにデフォルトでインストールされていたFirefoxでインストーラをダウンロードした際に保存されたパスです。ここは環境に応じて書き換えが必要です。 パッケージが読み込まれます。プロンプトにYを入力してEnterキーを押します。 諸々必要なパッケージなどのインストールが行われ、最後にエラーっぽいものが出力されましたが、ここでは特に深追いはせずにインストールは完了したものと判断しました。 2．WS1 UEMに加入 加入の流れは他のOSと大きく変わりはなく、Hubインストール後はそのまま加入処理に移りました。しいて異なる点と言えば、Linux版のHubでの加入...

以前Windows10デバイスにてPer-App VPNにより社内システムを利用することができる、という内容の投稿をしました。（ コチラ ） macOSのデバイスでも同様にTunnelアプリを利用することでPer-App VPNが利用できるので、macOSでのセットアップと実際の使用感などを試してみます。 前提条件として、VMware Tunnelの構成とUAGのTunnelサービスの有効化は完了している状態とします。 大まかな流れは以下の通りです。      1．Tunnelのデバイストラフィックルール設定とVPNプロファイル配信      2．Tunnelアプリをインストール      3．動作確認（Tunnel対象アプリでアクセス確認）     Appendix． UEMに加入しているデバイスを持っていないユーザでログイン 1．Tunnelのデバイストラフィックルール設定とVPNプロファイル配信 必要な設定はWindows10のケースに近いです。TunnelのデバイストラフィックルールにてTunnel対象となるアプリのパスなど細かい値を定義するのと、VPNプロファイルの配信が必要になります。 Tunnel構成のデバイストラフィックルールを定義する必要がありますが、macOSの場合Tunnel対象のアプリを指定するためにこれだけの情報が必要になります。 [フレンドリ名]は任意の値でよいのですが、[パッケージID]と[指定要件]はアプリを定義するための一位の値をアプリごとに取得する必要があります。 今回はこの値をそれぞれ取得するためのツールを使います。 macOS用のTunnel設定では少々ややこしい値を取得する必要があるのですが、VMware Flingsというサイトに[App Finder for Tunnel]というありがたいツールが公開されており、これを使うと必要な値をサクッと取得することができます。（ 使用は自己責任で ） https://flings.vmware.com/app-finder-for-tunnel まずはmacOSデバイスにTunnel App Finderをインストールし、起動します。見た目はかなりさっぱりした感じで、項目を見...

Workspace ONE Accessには二要素認証の機能として長くVMware Verifyというアプリを使用した認証方法が利用可能でしたが、近いうちにサポート終了が予定されているのでVerify(Intelligent Hub)認証( こちらのポスト )という方法に切り替える必要があります。 ただし、Hubを使ったVerify認証はWS1 UEM管理下のスマートフォンが必要なので、PCだけを管理したいようなケースでは利用が難しいかもしれません。 そこで、最近 Authenticator App 認証という新しい機能が追加されたようなので、実際に使ってみることで設定方法や使い勝手などを確認してみたいと思います。 この機能はRFC 6238に準拠しているAuthenticatorアプリであれば利用ができるようなので、今回はMicrosoft Authenticatorを使用して動きを見てみます。 (試しては無いですが、おそらくGoogle Authenticatorなども利用可能です。) 大まかな流れは以下の通りです。      1．Authenticator App認証の有効化      2．認証ポリシーにAuthenticator App認証を追加     3 ．動作確認（Authenticator App認証でログイン） 1．Authenticator App認証の有効化 WS1 Accessの管理コンソールにログインし、[IDとアクセス管理]>[認証方法]をクリック後、[認証子アプリケーション]の編集ボタンをクリックします。 ※英語の機能名[Authenticator App]が日本語になると[認証子アプリケーション]となるようです。 [Authenticator Appを有効にする]にチェックを入れ、[保存]をクリックします。 ※記事作成時、日本語で表示すると文字化けしてしまったのでここだけ英語表示にしてます。 [IDとアクセス管理]>[IDプロバイダ]をクリックし、組み込みIDPで[認証子アプリケーション]にチェックを入れ保存します。 2．認証ポリシーに認証子アプリケーション認証を追加 次は、認証子アプリケーション認証用のポリシーを設定します。 [IDとアクセス管...

  前回、WS1 UEM加入時に同時にADドメイン参加も行うという内容をアップしましたが、その際「UEM加入時にドメイン参加も行うことはインターネット経由でできても、初回認証時にはどうしてもオンプレNWに接続する必要がある点は考慮が必要である」と記載しました。 今回は、Tunnel機能を利用して初回認証もインターネット経由で行うことにより行う、ということを実現してみたいと思います。 具体的には、AD認証を行う際に動作するプロセスの通信をTunnel経由とすることで、オンプレNWに接続することなくインターネットからADアカウントでログインする、という内容です。 前提としてWin10でTunnel機能が利用できる状態であることとします。 大まかな流れは以下の通りです。      1．デバイストラフィック規則設定      2．VPNプロファイル配信設定      3．ドメイン参加直後のPCでADアカウントでログイン 1．デバイストラフィック規則設定 以下のプロセスのトラフィックルールを設定します。 UEMの管理コンソールにログインし、グループと設定 > すべての設定 > システム > エンタープライズ統合 > VMware Tunnel に進みます。 「デバイス トラフィック規則」セクションの「編集」をクリックします。 「デフォルト」をクリックします。 「アプリケーションの管理」をクリックします。 [追加]をクリックします。 アプリケーションの追加画面で、前述の3つのプロセスを追加します。 　・System 　・lsass.exe 　・svchost.exe プラットフォーム:Windows フレンドリ名:任意の値 アプリタイプ:デスクトップアプリ アプリ識別子:アプリのフルパス [ルールを追加する]をクリック後、以下のルールを設定し、[保存して公開]をクリックします。 　-アプリケーション：System、lsass、svchost 　-アクション：TUNNEL 　-ターゲット：*.ad.domain,ad.domain 　　　　　　　 ※[ad.domain]の部分は実際のドメインに応じて変更 2．VPNプロファイル配信設定 VPNプロファイルにつ...