Skip to main content

Indeed Mobile Device Provisioning

Когда пользователь настраивает почтовый аккаунт на новом устройстве через Exchange ActiveSync, устройство автоматически попадает в карантин. Чтобы начать получать почту, необходимо вывести устройство из карантина. Сделать это можно с помощью модуля Indeed Mobile Device Provisioning (MDP).

Чтобы сформировать список устройств в карантине, модуль обращается к Active Directory через сервисную учетную запись, от имени которой происходит поиск по электронному адресу пользователя. Настройте сервисную учетную запись.

Модуль представляет собой дополнительную вкладку в User Console (Мобильные устройства Exchange), в которой пользователь может самостоятельно вывести устройство из карантина. Настройте отображение вкладки в User Console.

Для Indeed Mobile Device Provisioning предусмотрена двухфакторная аутентификация через Identity Provider. Если пользователь прошел аутентификацию в User Console, он автоматически проходит аутентификацию в модуль.

Для работы с MDP требуется лицензия. При авторизации в модуль происходит захват лицензии.

Сервисная учетная запись​

В Active Directory создайте сервисную учетную запись, добавьте запись в Exchange и назначьте следующие роли:

  • Mail Recipients — роль необходима для получения данных по устройствам;
  • Mailbox Search — роль необходима для получения электронного адреса. Если этой роли не будет, то под сервисной учетной записью можно будет получить только свой электронный адрес;
  • Organization Client Access — роль необходима для предоставления доступа к устройству и для блокировки.

После установки сервиса добавьте сервисную учетную запись в удостоверение пула приложений в Internet Information Services и выставьте параметр Загрузить профиль пользователя в значение true.

Установка​

Файл для установки IndeedAM.MobileDevProv-v8.2.2.x64.ru-ru.msi расположены в директории indeed AM <номер версии>/Indeed AM Mobile Device Provisioning/<номер версии>.

По завершении установки будет предложено сгенерировать новый сертификат IDP. Сертификат необходим для аутентификации через Identity Provider.

Настройка в Internet Information Services​

После установки выполните следующие настройки в Internet Information Services:

  • добавьте сервисную учетную запись в удостоверение пула приложений;
  • измените версию среды CLR.

Добавление сервисной учетной записи​

Чтобы добавить сервисную учетную запись в пул приложений, выполните следующее:

  1. Откройте оснастку Internet Information Services.
  2. В меню слева разверните узел, соответствующий вашему серверу Indeed Access Manager.
  3. Выберите Пулы приложений.
  4. В списке выберите IndeedAM.MDP. В открывшемся меню справа выберите Дополнительные параметры.
  5. В открывшемся окне Дополнительные параметры из списка в разделе Модель процессинга выберите Удостоверение и нажмите значок .
  6. В открывшемся окне Удостоверение пула приложений выберите Особая учетная запись и установите созданную сервисную запись Active Directory.
  7. Нажмите ОК. Окно Удостоверение пула приложений закроется.
  8. В окне Дополнительные параметры выберите Загрузить профиль пользователя и в выпадающем списке выберите значение True.
  9. Сохраните изменения.

Изменение версии среды CLR​

Чтобы изменить версию среды CLR, выполните следующее:

  1. Откройте оснастку Internet Information Services.
  2. В меню слева разверните узел, соответствующий вашему серверу Indeed Access Manager.
  3. Выберите Пулы приложений.
  4. В списке выберите IndeedAM.MDP. В открывшемся меню справа выберите Основные настройки.
  5. В открывшемся окне Изменение пула приложений в выпадающем списке Версия среды CLR.NET выберите Без управляемого кода и нажмите ОК.

Настройка конфигурации сервиса​

В конфигурационном файле MDP app-settings.json (расположен в каталоге C:\inetpub\wwwroot\am\mdp) выполните следующее:

  1. В параметре Exchange укажите адрес подключения к удаленному серверу PowerShell Exchange в формате http(s)://полноеdnsимя_сервера/Powershell в следующей строке:

    "ServerUrl": "EXCHANGE_SERVER_URL/Powershell"

  2. В параметре Server укажите адрес Log Server в формате http(s)://полноеdnsимя_сервера/Powershell /ls/api/ в следующей строке:

    "Url": "LOG_SERVER_URL"

  3. В параметре SAML настройте подключение к Identity Provider:

  • в SingleSignOnServiceUrl укажите адрес Single SignOn Service в формате http(s)://полноеdnsимя_сервера/am/idp/Account/SsoService;
  • в SingleLogoutServiceUrl укажите адрес Single Logout Service в формате https:// полноеdnsимя_сервера/am/idp/Account/SloService;
  • в Thumbprint укажите сертификат Identity Provider.

Настройка аутентификации через Identity Provider​

Как установить и настроить Identity Provider

В конфигурационном файле Identity Provider app-settings.json (расположен в каталоге inetpub\wwwroot\am\idp) выполните следующее:

  1. В секции SAML в параметре SingleSignOnServiceUrl укажите адрес модуля MPD в формате http(s)://полноеdnsимя_сервера/am/mdp/Account/SLOService.

  2. В параметре PartnerCertificates укажите отпечаток сертификата, сгенерированный при установке сервиса.

  3. В секции CustomAttributes в параметре ServiceProvider укажите urn сервиса и атрибуты, например:

    {
    "ServiceProvider": "urn:indeedid:mobiledeviceprovisioning",
      "Attributes": [
        {
          "Name": "user_name",
          "UserNameFormat": "PrincipalName"
        }
     ]
    }

Настройка модуля в User Console​

Для отображения модуля Indeed Mobile Device Provisioning вам необходимо выполнить настройку в конфигурационном файле User Console. По умолчанию модуль отключен.

Выполните следующую настройку:

  1. Откройте конфигурационный файл User Console web.config (расположен в каталоге C:\inetpub\wwwroot\am\uc).

  2. В секцию configSections добавьте строку

    section name="amMobileDeviceProvisioning" type="IndeedID.Web.SelfService.Settings.MobileDeviceProvisioningSettings"

  3. В строке

    amMobileDeviceProvisioning isEnabled="false" url="MOBILE_DEVICE_PROVISIONING_URL/device/embed"
    • в параметре isEnabled укажите значение true, чтобы настроить отображение вкладки в User Console;
    • в параметре url задан адрес сервиса Exchange для iframe.
    Важно!

    Для аутентификации в модуль MDP используется Identity Provider. Если User Console и Identity Provider находятся на разных машинах и у них разные доменные имена, добавьте в конфигурационный файл Identity Provider web.config заголовок Content-Security-Policy.

    Пример

    <customHeaders>
    <add name="Content-Security-Policy" value="frame-ancestors 'self' https://*.domain.local" />
    </customHeaders>

События​

При работе с модулем Log Server записывает следующие события:

  • пользователь успешно вывел мобильное устройство из карантина,
  • не удалось вывести мобильное устройство из карантина,
  • пользователь заблокировал мобильное устройство,
  • не удалось заблокировать мобильное устройство.

Подробнее в разделе События.