Настройка мобильного приложения Workday для единого входа с помощью идентификатора Microsoft Entra

В этой статье вы узнаете, как интегрировать идентификатор Microsoft Entra, условный доступ и Intune с мобильным приложением Workday. При интеграции мобильных приложений Workday с платформой Майкрософт можно выполнить указанные ниже действия.

• Перед входом убедитесь, что устройства соответствуют политикам.
• Добавьте элементы управления в мобильное приложение Workday, чтобы пользователи могли безопасно получать доступ к корпоративным данным.
• Управляйте, кто имеет доступ к Workday через Microsoft Entra ID.
• Включите автоматический вход пользователей в Workday с помощью учетных записей Microsoft Entra.
• Централизованное управление учетными записями через портал Azure.

Предварительные условия

Чтобы начать работу:

• Интеграция Workday с Microsoft Entra ID.
• Ознакомьтесь с интеграцией единого входа Microsoft Entra с Workday.

Описание сценария

В этой статье описана настройка и проверка политик условного доступа Microsoft Entra и Intune с помощью мобильного приложения Workday.

Для включения единого входа можно настроить федеративное приложение Workday с идентификатором Microsoft Entra. Дополнительные сведения см. в статье об интеграции единого входа Microsoft Entra с Workday.

Убедитесь, что пользователи имеют доступ к мобильному приложению Workday.

Настройте Workday, чтобы разрешить доступ к мобильным приложениям. Необходимо настроить указанные ниже политики для мобильных приложений Workday.

1. Получите доступ к отчету о политиках безопасности домена для функциональной области.
2. Выберите соответствующую политику безопасности:
   • Использование мобильных устройств — Android
   • Использование мобильных устройств — iPad
   • Использование мобильных устройств — iPhone
3. Выберите Изменить разрешения.
4. Установите флажок Просмотреть или Изменить, чтобы предоставить группам безопасности доступ к защищаемым элементам отчета или задачи.
5. Установите флажок Get или Put, чтобы предоставить группам безопасности доступ к интеграции и управляемым действиям в отчетах или задачах.

Активируйте ожидающие изменения политики безопасности, запустив соответствующую задачу.

Откройте страницу входа в Workday в мобильном браузере Workday

Чтобы применить условный доступ к мобильному приложению Workday, необходимо открыть приложение во внешнем браузере. В разделе Edit Tenant Setup — Security (Изменение настройки клиента — безопасность) выберите Enable Mobile Browser SSO for Native Apps (Включить единый вход браузера мобильного устройства для собственных приложений). Для этого на устройстве iOS и в рабочем профиле для Android будет установлен браузер, утвержденный Intune.

Настройка политики условного доступа

Эта политика влияет только на вход на устройстве iOS или Android. Если вы хотите расширить ее на всех платформах, выберите Любое устройство. Эта политика потребует, чтобы устройство соответствовало ей, и проверит это с помощью Intune. Так как в Android есть рабочие профили, вход пользователей в Workday блокируется, если они не выполняют вход с помощью своего рабочего профиля и не установили приложение с помощью корпоративного портала Intune. Есть еще один дополнительный шаг для iOS, чтобы убедиться в том, что будет применен тот же подход.

Workday поддерживает указанные ниже элементы управления доступом.

• Требование многофакторной проверки подлинности
• Требовать, чтобы устройство было отмечено как соответствующее

Приложение Workday не поддерживает указанные ниже действия.

• Требовать утвержденное клиентское приложение
• Требуется политика защиты приложений (предварительная версия)

Чтобы настроить Workday в качестве управляемого устройства, выполните указанные ниже действия.

1. Выберите Главная>Microsoft Intune>Политики условного доступа. Затем щелкните Managed Devices Only (Только управляемые устройства).

2. Для параметра Managed Devices Only (Только управляемые устройства) в разделе Имя выберите Managed Devices Only (Только управляемые устройства), а затем — Облачные приложения или действия.

3. В разделе Облачные приложения или действия выполните указанные ниже действия.

   1. Для параметра Выбрать объект, к которому будет применяться эта политика выберите значение Облачные приложения.

   2. В параметре "Включить" выберите " Выбрать ресурсы".

   3. В списке Выбор выберите Workday.

   4. Нажмите кнопку Готово.

4. Переключите Включить политику на Вкл..

5. Выберите Сохранить.

Для предоставления доступа выполните следующие действия:

1. Выберите Главная>Microsoft Intune>Политики условного доступа. Затем щелкните Managed Devices Only (Только управляемые устройства).

2. Для параметра Только управляемые устройства в разделе Имя выберите Только управляемые устройства. В разделе Элементы управления доступом выберите Разрешить.

3. В Grant выполните следующие действия:

   1. Выберите контроли, которые следует применять в качестве параметра Предоставить доступ.

   2. Выберите " Требовать, чтобы устройство было помечено как соответствующее".

   3. Выберите Требовать один из выбранных элементов управления.

   4. Выберите Выбрать.

4. Переключите Включить политику на Вкл..

5. Выберите Сохранить.

Настройка политики соответствия устройств

Чтобы устройства iOS могли входить только через приложение Workday, управляемое MDM, необходимо заблокировать приложение App Store, добавив com.workday.workdayapp в список ограниченных приложений. Это обеспечит доступ к Workday только для устройств, на которых установлено приложение Workday, скачанное с помощью корпоративного портала. При использовании браузера устройства смогут получить доступ к Workday только в том случае, если устройством управляет Intune и работа осуществляется через управляемый браузер.

Настройка политик конфигурации приложений Intune

Политики конфигурации iOS

1. Войдите на портал Azure.

2. Найдите Intune или выберите виджет из списка.

3. Последовательно выберите Клиентские приложения>Приложения>Политики конфигурации приложений. Затем выберите + Добавить>Управляемые устройства.

4. Введите имя.

5. В разделе Платформа выберите iOS/iPadOS.

6. В разделе Связанное приложение выберите добавленное приложение Workday для iOS.

7. Выберите Параметры конфигурации. В разделе Формат параметров конфигурации выберите Введите данные XML.

8. Ниже приведен пример XML-файла. Добавьте конфигурации, которые вы хотите применить. Замените STRING_VALUE строкой, которую вы хотите использовать. Замените <true /> or <false /> на <true /> или <false />. Если вы не добавите конфигурацию, этот пример будет работать так, как если бы он был настроен на True.

   <dict>
   <key>UserGroupCode</key>
   <string>STRING_VALUE</string>
   <key>AppServiceHost</key>
   <string>STRING_VALUE</string>
   <key>AllowCutCopyPaste</key>
   <true /> or <false />
   <key>AllowPrint</key>
   <true /> or <false />
   <key>AllowSuggestedUpdates</key>
   <true /> or <false />
   <key>AppUpdateURL</key>
   <string>STRING_VALUE</string>
   </dict>
   
   

9. Выберите Добавить.

10. Обновите страницу и выберите только что созданную политику.

11. Щелкните Назначения и выберите к кому нужно применить приложение.

12. Выберите Сохранить.

Политики конфигурации Android

1. Войдите на портал Azure.
2. Найдите Intune или выберите виджет из списка.
3. Последовательно выберите Клиентские приложения>Приложения>Политики конфигурации приложений. Затем выберите + Добавить>Управляемые устройства.
4. Введите имя.
5. В разделе Платформа выберите Android.
6. В разделе Связанное приложение выберите добавленное приложение Workday для Android.
7. Выберите Параметры конфигурации. В разделе Формат параметров конфигурации выберите Ввод данных JSON.