Einrichtung in BES12 Android for Work (AfW)

Einrichtung in BES12 Android for Work (AfW) Stand: 01/2017 Claus Börschig und Carlo Frietschy LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 1 Hardware Software Konzeption Entwicklung - Fullservice

Inhaltsverzeichnis Android for Work (AfW)... 3 Anlegen eines Adminkontos bei Google... 4 Verifizierung der Inhaberschaft der Firmendomain... 5 Erstellung eines Dienstkontos... 10 Domänenweite Google Apps Delegation... 14 EMM und Admin-SDK API aktivieren... 16 Dem Dienstkonto API-Zugriff gewähren... 19 Erzwingen der EMM Richtlinie auf Geräten... 22 Erstellung der AfW-Verbindung in BES12... 23 Fertigstellen der AfW-Verbindung... 25 Zusätzliche Maildomains einbinden... 27 LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 2

Android for Work (AfW) Von Google im Web lernen wir über Android for Work (AfW): Android for Work ist ein Programm, das die Verwendung von Android in Unternehmen unterstützt. Es besteht aus Produktfunktionen in Android, Google Play for Work und anderen Produktivitätstools. Android for Work wird hauptsächlich über APIs freigeschaltet, die EMM-Anbieter (Enterprise Mobility Management) und Anwendungsentwickler für Unternehmen verwenden können, um den Mitarbeitern Ihrer Kunden eine sichere, produktive und umfangreiche Erfahrung auf Mobilgeräten bieten zu können. Auf Basis von Android for Work entwickelte Lösungen bieten die folgenden Vorteile: Datensicherheit: Unternehmensdaten befinden sich in einem getrennten Arbeitsprofil und sind auf unternehmensverwalteten Geräten auf Gerätebasis geschützt. Die IT-Mitarbeiter können Richtlinien zur Verhinderung von Datenlecks anwenden. App-Sicherheit: Work-Apps werden über Google Play for Work entwickelt. IT-Mitarbeiter können verhindern, dass Apps aus unbekannten Quellen installiert werden. Sie können außerdem App-Konfigurationen anwenden. Gerätesicherheit: Android for Work-Geräte sind über eine Laufwerkverschlüsselung, einen Sperrbildschirm, eine Remote- Zertifizierung und einen hardwarebasierten Schlüsselspeicher geschützt (je nach Verfügbarkeit). Google Apps for Work-Kunden können die Android for Work-Funktionen über einen EMM-Anbieter ihrer Wahl verwenden: Über Google Mobile Management oder einen externer EMM-Anbieter wie BES12. Kunden ohne Google Apps for Work verwenden einen externen EMM-Anbieter wie BES12. EMM-Anbieter sind Unternehmen, die erweiterte IT-Lösungen für die mobile Geräteverwaltung (MDM, Mobile Device Management), die mobile Anwendungsverwaltung, die mobile Ausgabenverwaltung und vieles mehr anbieten. Google bietet APIs für externe EMM-Anbieter, damit sie Android for Work-Lösungen erstellen können. So weit, so gut. Erst einmal. Um AfW unter den BlackBerry Enterprise Services 12 nutzen zu können, muss zuerst eine AfW-Verbindung hergestellt werden. Vor den Erfolg haben die Götter allerdings diesmal den Schweiß gestellt. Die Erstellung einer AfW-Verbindung unterteilt sich dabei in mehrere quasi LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 3

einzelne Schritte. 1. Anlegen eines Adminkontos bei Google 2. Verifizierung der Inhaberschaft der Firmendomain 3. Erstellung eines für die AfW-Verbindung notwendigen Dienstkontos 4. Berechtigung des Dienstkontos domänenweit bei Google ( Domänenweite Google Apps Delegation ) 5. EMM und Admin-SDK API aktivieren 6. Dem Dienstkonto API-Zugriff gewähren 7. Erzwingen der EMM Richtlinien auf Geräten 8. Erstellung der Verbindung in BES12 mit den ermittelten Parametern 9. Fertigstellen und Prüfen der AfW-Verbindung Hinweis: Diese Anleitung wurde inzwischen mehrmals überarbeitet. Daher wird mit einer Mischung an Screenshots gearbeitet. Die abgebildeten Daten. Soweit lesbar, dieser Abbildungen dürfen bei einer Einrichtung nicht verwendet werden. Sie dienen nur der Navigation und dem Vergleich. Anlegen eines Adminkontos bei Google Der erste Schritt ist das Anlegen eines Kontos für den Firmen-Admin unter der URL: https://www.google.com/a/signup/u/0/?enterprise_product=android_w ORK LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 4

Verifizierung der Inhaberschaft der Firmendomain Zum Start der Verifizierung der Domaininhaberschaft klicken wir im Assistenten auf START. In unserem Beispiel zeigen wir die Validierung über einen von Google vorgegebenem String. Dieser wird als TXT-Record im öffentlichen Nameserver der Firmendomain hinterlegt. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 5

Es gilt als erfolgreich validiert, wenn Google den vorgegebenen String erfolgreich abfragen kann. Hierzu ist schreibender Zugriff auf die Nameservereinträge erforderlich. Neben der Prüfung des TXT-Records ist es auch möglich, eine der anderen vom Assistenten vorgeschlagenen Methoden zu verwenden. Da es in der Administration von Nameservern verschiedene Techniken und Oberflächen gibt, können wir nicht detailliert und verbindlich abbilden. Holen Sie sich hier frühzeitig alle benötigten Informationen und stellen Sie die entsprechenden Rechte vor der AfW-Einrichtung bereit. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 6

Exkurs I: Anlegen eines DNS-Nameneintrag beim Provider ONE.COM Wenn das durchgeführt ist muss man die TTL der Zone abwarten, bis der Eintrag im Internet sichtbar wird. Also hier Geduld haben. (Google spricht in diesem Zusammenhang von ungefähr einer Stunde). LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 7

Dann auf der Google Website den Button BESTÄTIGEN anklicken und warten: Exkurs II: Manuelle Prüfung des TXT-Records Per dig kann unter Linux ein DNS TXT-Record abgefragt werden: cfrietschy@noc ~ $ dig ns bb10qnx.de ; <<>> DiG 9.7.3 <<>> ns bb10qnx.de ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 34177 LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 8

;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0 ;; QUESTION SECTION: ;bb10qnx.de. IN NS ;; ANSWER SECTION: bb10qnx.de. 14128 IN NS ns03.one.com. bb10qnx.de. 14128 IN NS ns02.one.com. bb10qnx.de. 14128 IN NS ns01.one.com. ;; Query time: 3 msec ;; SERVER: 217.28.98.62#53(217.28.98.62) ;; WHEN: Wed Nov 11 18:25:09 2015 ;; MSG SIZE rcvd: 92 cfrietschy@noc ~ $ dig txt bb10qnx.de @ns03.one.com ; <<>> DiG 9.7.3 <<>> txt bb10qnx.de @ns03.one.com ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 27820 ;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 ;; WARNING: recursion requested but not available ;; QUESTION SECTION: ;bb10qnx.de. IN TXT ;; ANSWER SECTION: bb10qnx.de. 3600 IN TXT "v=spf1 mx a ip4:217.28.96.51 a:mail.bb10qnx.de include: _custspf.one.com ~all" bb10qnx.de. 3600 IN TXT "google-site-verification=aws0fl_ttn1cqhplt6uqundj_elpdhnq185jkilxti" ;; Query time: 19 msec ;; SERVER: 46.30.211.20#53(46.30.211.20) ;; WHEN: Wed Nov 11 18:25:13 2015 ;; MSG SIZE rcvd: 199 LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 9

Wenn die Prüfung seitens Google erfolgreich verlaufen ist, schaltet der Webassistent weiter Durch einen Klick auf die Schaltfläche Weiter wird ein Token für den weiteren Prozess generiert. Dieser Token wird später benötigt, daher notieren und/oder digital als Text abspeichern. Damit ist die Verifizierung der Inhaberschaft abgeschlossen. Erstellung eines Dienstkontos Wir rufen nun die Google Developer Console unter der URL https://console.developers.google.com auf und melden uns, soweit das nicht schon durch Cookies automatisch passiert ist, mit dem erstellten Admin Konto an. An dieser Stelle muss nun ein Projekt erstellt werden. Wir wissen nicht LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 10

genau (und wollen es nicht genau wissen) was für Google ein Projekt ist. Tatsache ist aber, dass eines erstellt werden muss! Hinweis: Da bei einem neu erzeugten Firmen-Admin noch kein Projekt existieren kann, öffnet sich automatisch beim Klick auf Zugangsdaten der Assistent zum Erstellen eines solchen Projektes. Nach Erstellen des Projekts wird das erforderliche Dienstkonto erstellt. Hierzu navigieren wir zu Anmeldedaten erstellen und wählen dann Dienstkontoschlüssel aus: LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 11

Im sich öffnenden Menü wählen wir nun neues Dienstkonto aus. Wir wählen dann einen Namen für unseren Service Account Name (= Dienstkonto ) und den Schlüsseltyp P12 aus. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 12

Anschließend wird ein PKCS#12 Zertifikat für das Dienstkonto des Projekt erzeugt und zum Download angeboten sowie ein Kennwort für das Zertifikat (Keyring) angezeigt: Das Passwort lautete bislang immer einheitlich notasecret. Dieses PKCS#12-Zertifikat ist eines der Parameter, mit der die AfW- Verbindung mittels der BES12 Konsole aufgebaut wird. Anmerkung: Wir fahren dabei die Strategie alle Parameter zuerst zu erarbeiten und dann in einem Rutsch in die Maske des BES einzugeben. Füllt man Stück für Stück aus erhält man den unweigerlichen Timeout. Der erarbeitet Ausschnitt sieht jetzt so aus: LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 13

Domänenweite Google Apps Delegation Anschließend wird in der Google Developer Console unter Zugangsdaten die domänenweite Delegation aktiviert und die E-Mail Adresse des erstellten Dienstkontos ermittelt. Hierzu Dienstkonten verwalten wählen. Folgende Seite erscheint. Bitte auf den Hamburger, der mit rot 2. bezeichnet ist, anklicken und fortfahren. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 14

Bearbeiten auswählen. Wichtig: Den HAKEN bei Domain-weite Google Apps-Delegation aktivieren UNBEDINGT setzen! Speichern nicht vergessen. Mit der rot unterstrichenen Service Account ID in Form einer E-Mail- Adresse des Dienstkontos (eng: Service Account Email Address) haben wir einen weiteren Parameter für die BES12 Konfigurationsseite. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 15

Diese wird hier in die BES12 Konsole eingefügt: EMM und Admin-SDK API aktivieren Zur Aktivierung der EMM- und Admin-SDK API wechseln wir erneut zum Hauptmenü unter https://console.developers.google.com. Dazu kann die Seite auch neu aufgerufen werden. Anschließend muss in der Google Developer Console das Admin SDK und die Google Play EMM API innerhalb des Projekts für das Firmenkonto aktiviert werden Dies kann über die Übersicht -> Google Apps APIs bzw. über die Suchfunktion geschehen. Die Suchfunktion ist hilfreich, da die Seite sehr unübersichtlich ist- LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 16

Klicken auf API aktivieren aktiviert das Admin-SDK Mit dem Pfeil wieder in das Hauptmenü LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 17

Der Effizienz wegen suchen wir mittels der Suchfunktion (Eintrag EMM) die Google Play EMM API. Das angezeigte Ergebnis ist ein aktiver Hyperlink und kann geklickt werden. Die EMM-API ebenfalls aktiviert. Der Pfeil führt uns wieder zurück zur Google Developer Console Damit ist dieser Schritt beendet. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 18

Dem Dienstkonto API-Zugriff gewähren Wir beginnen mit dem Aufruf der Google Admin Konsole unter der URL https://admin.google.com. Anschließend wird unter Sicherheit (vorher bitte mehr anzeigen auswählen) der AfW-Token, welcher bereits bei der Erstanmeldung generiert wurde, nochmals angezeigt. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 19

Das generierte Token stellt zusammen mit der E-Mail Adresse des Google AfW-Administrators ein weiteres Parameterpaar in der BES 12 Management Konsole dar. Zuletzt muss nun noch in den erweiterten Einstellungen des Google Admin Accounts dem zuvor angelegten Dienstkonto der API Zugriff zur Accountverwaltung erlaubt werden. Hierzu auf der Seite erweiterte Einstellungen klicken und API Client Zugriff verwalten wählen. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 20

Es öffnet sich folgende Maske Ins das Feld Client-Name wird nun die Client-ID des Dienstkontos eingetragen. Diese findet man in der Developer Console unter Berechtigungen (rot umkreist): Ins Feld Ein oder mehrere API-Bereiche wird diese URL als einfacher String eingetragen: https://www.googleapis.com/auth/admin.directory.user Mittels eines Klicks auf Autorisieren werden die Einstellungen gespeichert. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 21

Erzwingen der EMM Richtlinie auf Geräten Im nächsten Schritt einrichten, dann erst untenstehendes Wir wechseln nochmals auf die Google Adminseite unter der URL http://admin.google.com. Nach der Anmeldung wird unter Sicherheit -> (Mehr anzeigen) -> Android for Work Einstellungen der Haken bei EMM- Richtlinien auf Android-Geräten erzwingen gesetzt. Folgende Erklärung wurde der Google Hilfe entnommen: Wenn Sie diese Einstellung aktivieren, müssen Ihre Android-Nutzer eine EMM-App installieren und konfigurieren, damit sie ihr verwaltetes Google- Konto nutzen können. Wenn diese Einstellung nicht aktiviert wird, können Android-Nutzer ein verwaltetes Google-Konto außerhalb des Work-Profils auf ihren Android- Geräten hinzufügen und so alle EMM-Geräterichtlinien für Ihre Domain umgehen. Benachrichtigen Sie vor dem Aktivieren dieser Einstellung Ihre Nutzer über die Änderung ihrer Geräterichtlinien. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 22

Erstellung der AfW-Verbindung in BES12 Nun sind alle Parameter, die wir zum Herstellen der AfW-Verbindung benötigen, bekannt. Damit wird die BES Konsole vollständig ausgefüllt: LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 23

Durch Klicken auf Weiter wird, bei korrekten Parametern, die Verbindung hergestellt und gespeichert. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 24

Fertigstellen der AfW-Verbindung Um im AfW Container, speziell des BlackBerry PRIV, auch die BlackBerryspezifischen Anwendungen betreiben zu können, müssen diese abschließend administrativ definiert und dem Benutzer des Gerätes direkt oder per App-Gruppe zugewiesen werden. Dies geschieht weitgehend automatisch durch routiniertes Durchklicken der folgenden APP Konfigurationseinstellungen. Nach Abschluss prüft man die Verbindung nochmals durch klicken auf Test Connection. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 25

Wenn bei Status successfull erscheint ist alles gut. Wenn nicht, dann kann man Fehlersuche betreiben. Erst nach erfolgter Einrichtung finden sich in den Einstellungen des Aktivierungsprofils unter Android nun zusätzlich vier weitere, ROT markierte, AfW-Aktivierungsmodi. Damit ist die Einrichtung von AfW abgeschlossen und es können Geräte aktiviert werden. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 26

Zusätzliche Maildomains einbinden Sehr oft hat man den Fall, dass innerhalb einer Unternehmensorganisation mehrere E-Mail-Domains verwendet werden. Ein Beispiel hierfür ist ein Konzern mit mehreren Töchtern, die zusammen in einer MS Exchange- Organisation betrieben werden. Hier bekommt man beim Einbinden eines Accounts, dessen primäre Adresse noch nicht hinterlegt ist im BES/UEM den typischen Fehler, dass die Google- ID nicht erstellt werden konnte: Achtung: Um es an dieser Stelle gleich zu sagen: Wir wissen nicht sicher, was dann wirklich passiert. Wir haben Fälle, wo es auf den ersten Blick scheinbar trotzdem funktioniert, ein Gerät zu aktivieren. Wahrscheinlich wird dann beim Gebrauch weiterer AfW-Verwaltungsfunktionen irgendwann später ein Fehler auftreten. In anderen Beispielen hat es nicht funktioniert. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 27

In solchen Fällen ist es notwendig, alle weiteren in der Organisation gebräuchlichen primären Maildomains (also alle die, unter deren Name gesendet wird) in der bestehenden AfW-Verbindung des BES/UEM zu hinterlegen. Es wird keine weitere oder zusätzliche Verbindung erzeugt. Dies geschieht bei Google mit dem eingangs erstellten Firmen-Admin unter https://admins.google.com. Auf der Webseite können nun, je nach Alter des Firmen-Accounts zwei unterschiedliche Ansichten auftauchen. Eine gekürzte mit 6 Piktogrammen und eine erweiterte mit mehreren. Wir beschreiben den Weg mit der Seite, die aus 6 Piktogrammen besteht. Die fehlenden Optionen muss man zuerst sichtbar machen. Hier erst mal auf mehr Widgets (gelb) am unteren Rand klicken. Dann erscheinen weitere Unterpunkte. Unter anderem auch das gesuchte LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 28

Piktogramm für Domains, welches wir brauchen. Mit Drag-and-Drop oder durch Klicken auf das PLUS -Zeichen kann man die Piktogramme in die Hauptseite schieben. Damit steht jetzt das notwendige Werkzeug Domains zur Verfügung. (Am Auffinden dieses Piktogramms dürften die meisten mit wenig Geduld scheitern). Klicken auf Domains führt zu einem entsprechenden Assistenten: LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 29

Unter ADD A DOMAIN OR DOMAIN ALIAS (gelb hinterlegt) kann man nun weitere Domains hinzufügen. Auch hier wird wieder geprüft, ob man der Eigentümer der Mail-Domain ist. Wir zeigen hier den vorigen Fall mit der Methodik des TXT-Record im DNS. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 30

Unter Select your domain registrar or provider den nun Typ other wählen Nach einem Hinterlegen des Textstrings als TXT-Record im DNS wird die Domain akzeptiert. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 31

Man kann mittels des Assistenten durch Mehrfachaufruf auch mehrere Domains auf einmal einfügen. Und diese dann alle zusammen nach Einfügen der für jede Domain einzeln erhaltenen Textstrings ins DNS alle zusammen aktivieren. LEITWERK AG Im Ettenbach 13a 77767 Appenweier Fon: +49 (7805) 918-0 Fax: +49 (7805) 918-200 www.leitwerk.de Seite 32