Guides

Il existe des scénarios occasionnels dans lesquels l'établissement de la gestion des appareils sur un appareil nécessitant l'accès aux ressources organisationnelles n'est pas possible. Cela inclut :

• Les appareils des sous-traitants pour lesquels la gestion des appareils est liée à une autre instance de gestion des appareils.
• Les scénarios BYO Mac / BYO PC où la gestion des appareils ne peut pas être déployée pour des raisons de confidentialité.

Erreur : Avertissement de sécurité

Si l'accès aux ressources de données est étendu à des appareils non gérés, vous diminuez considérablement l'efficacité du modèle de sécurité Trusted Access pour ces données.

En n'exigeant plus un appareil autorisé ou sûr pour accéder à cette ressource de données, la ressource est nécessairement disponible sur n'importe quel appareil, ce qui la rend beaucoup plus vulnérable aux attaques basées sur les identifiants d'utilisateur.

Si vous utilisez cette méthode, soyez conscient de la sensibilité des données exposées et définissez l'accès aux appareils inscrits réservés aux utilisateurs de manière aussi étroite que possible.

Avec cette méthode d'inscription, un utilisateur installe Jamf Trust et l'active en utilisant ses identifiants IdP. Les ressources de données sont ensuite disponibles pour l'utilisateur et l'appareil en fonction de leurs stratégies d'accès attribuées.

Activation de l'accès aux données réservé aux utilisateurs via Jamf Trust

La configuration de ce modèle de déploiement implique la configuration des inscriptions basées sur l'identité, en permettant aux appareils sans gestion d'activer Jamf Trust en utilisant uniquement les identifiants IdP.

1. Suivez les étapes décrites dans Activation de l'accès pour les appareils de confiance pour configurer Private Access dans RADAR, avec les modifications suivantes :
   1. Créez un nouveau Profil d'activation intitulé Unmanaged Devices avec les configurations suivantes :
      1. Définissez le Groupe d'appareils sur un nouveau groupe nommé Unmanaged User-Only Devices
      2. Sélectionnez le fournisseur d'identité que les utilisateurs de ce profil d'activation doivent utiliser.
      3. Pour Fonctionnalités, sélectionnez au minimum Zero Trust Network Access.
   2. Configurez Provisionnement basé sur l'identité pour le profil d'activation Unmanaged Devices que vous venez de créer.
   3. Modifiez vos stratégies d'accès dans RADAR comme suit :
      1. Pour les applications sensibles, assurez-vous que Everyone n'est PAS sélectionné dans la configuration Utilisateurs et groupes de la stratégie.
      2. Pour les applications qui doivent être accessibles aux appareils réservés aux utilisateurs, sélectionnez l'option Limité pour Utilisateurs et groupes et assurez-vous d'inclure le groupe Unmanaged User-Only Devices créé ci-dessus.
      3. Il est FORTEMENT recommandé que les stratégies d'accès disponibles pour Unmanaged User-Only Devices soient configurées avec toute définition de trafic à l'échelle du sous-réseau (par exemple /24) dans la configuration Correspondance de trafic.

Les utilisateurs peuvent maintenant télécharger l'application Jamf Trust depuis l'App Store public de leur plateforme (ou ici pour Windows), puis se connecter avec leurs identifiants IdP comme indiqué. L'application s'activera et l'accès réseau sera disponible pour les applications configurées dans les stratégies d'accès pour l'appareil.

L'accès peut être révoqué de l'utilisateur à tout moment en supprimant son entrée d'appareil dans RADAR > Appareils > Gérer. Notez que l'utilisateur sera en mesure de se réinscrire si ses identifiants sont toujours valides et que la configuration de votre intégration du fournisseur d'identité le permet.