Versioni supportate per questa funzionalità: Frontline Standard; Enterprise Standard ed Enterprise Plus; Education Standard, Education Plus ed Endpoint Education Upgrade; Cloud Identity Premium. Confronta la tua versione
In qualità di amministratore, puoi automatizzare le attività di gestione dei dispositivi e ricevere avvisi di sicurezza mediante la definizione di regole. Ad esempio, puoi bloccare automaticamente i dispositivi che segnalano attività sospette.
Puoi applicare le regole di gestione dei dispositivi ai dispositivi mobili supportati.
Nota: affinché sia possibile approvare i dispositivi mobili mediante le regole, questi devono essere sottoposti alla Gestione dispositivi mobili avanzata. Se necessario, attiva la Gestione dispositivi mobili avanzata.
Come funzionano le regole
Una regola di gestione dei dispositivi viene attivata quando su un dispositivo mobile gestito si verifica un evento. Quando l'evento viene rilevato, la regola verifica le condizioni che hai specificato. Se le condizioni sono soddisfatte, viene eseguita un'azione.
Ad esempio, è possibile bloccare un dispositivo Android quando lo stato della registrazione dell'account cambia dopo che l'utente annulla la registrazione del proprio account aziendale su quel dispositivo. In questo esempio:
- L'evento è rappresentato dalla modifica dello stato della registrazione dell'account sul dispositivo.
- La prima condizione è che il tipo di dispositivo sia Android.
- La seconda condizione è che l'utente abbia annullato la registrazione del proprio account sul dispositivo, ossia che lo stato dell'account sia Registrazione annullata da.
- L'azione è il blocco del dispositivo.
Puoi creare una regola personalizzata o utilizzare un modello predefinito. Per quanto riguarda l'ambito di applicazione, puoi assegnare la regola all'intera organizzazione, a un'unità organizzativa o a un gruppo di Google Gruppi, oppure puoi anche escludere un gruppo.
Nota: le regole di Gestione dispositivi consentono di approvare o bloccare un dispositivo o cancellarne i dati in risposta a un determinato evento. Per controllare l'accesso alle app Google per i dispositivi in base agli attributi del dispositivo, come la versione del sistema operativo, lo stato della sicurezza, l'indirizzo IP, la posizione geografica o la proprietà, puoi utilizzare i livelli di accesso sensibile al contesto. Scopri di più
Creare e modificare le regole
Per questa attività, devi aver eseguito l'accesso come super amministratore.
Creare una regola di gestione dei dispositivi-
Accedi alla Console di amministrazione Google.
Accedi utilizzando un account con privilegi di super amministratore (non termina con @gmail.com).
-
Nella Console di amministrazione, vai al Menu
Regole.
- Fai clic su Regole di gestione dei dispositivi,
- Fai clic su Aggiungi regola e scegli un'opzione:
- Per utilizzare un modello di regola, fai clic su Regola da modello e poi sul modello che ti interessa. Per informazioni dettagliate, vedi Utilizzare i modelli di regole.
- Per creare una regola personalizzata, fai clic su Nuova regola.
- Inserisci o modifica il titolo e la descrizione della regola.
- Scegli l'ambito di applicazione della regola. Per impostazione predefinita, la regola si applica a tutti gli utenti dell'organizzazione.
- Per applicare la regola solo a utenti selezionati, fai clic su Specifica le unità organizzative o i gruppi e seleziona quelli da includere.
- Per escludere gli utenti che appartengono a gruppi specifici, seleziona prima almeno un'unità organizzativa o un gruppo da includere. Quindi, fai clic su Escludi gruppi e seleziona il gruppo da escludere. Ripeti l'operazione per escludere altri gruppi.
Ad esempio, per applicare una regola a tutti gli utenti dell'organizzazione tranne un gruppo, includi l'unità organizzativa di primo livello e scegli il gruppo da escludere.
Per rimuovere un'unità organizzativa o un gruppo, fai clic su Cancella
in corrispondenza dell'elemento da eliminare.
- Fai clic su Continua.
- Se necessario, seleziona l'evento che attiva la regola. Per informazioni dettagliate, vedi Scegli un attivatore e le condizioni.
- Fai clic su Aggiungi condizione e imposta una condizione per il tipo di dispositivo:
- Fai clic su Campo e seleziona Tipo di dispositivo.
- Fai clic su Valore e seleziona il tipo di dispositivo: Tutti i dispositivi, Android o iOS. È possibile che non tutte le opzioni siano disponibili in quanto alcuni eventi sono supportati soltanto per alcuni tipi di dispositivo.
Nota: prima di procedere al passaggio successivo è necessario specificare la condizione relativa al tipo di dispositivo.
- (Facoltativo) Fai clic su Aggiungi condizione e configura altre condizioni. Affinché la regola venga applicata, un dispositivo deve soddisfare tutte le condizioni.
- Fai clic su Continua.
- Se necessario, seleziona l'azione da eseguire quando vengono soddisfatte le condizioni della regola. Non tutte le azioni sono disponibili per tutti gli eventi.
- Blocca dispositivo mobile: impedisce al dispositivo di sincronizzare i dati aziendali.
- Approva dispositivo mobile: (solo Gestione dispositivi mobili avanzata) consente al dispositivo di sincronizzare i dati aziendali.
- Cancella i dati del dispositivo: cancella l'account aziendale dell'utente e i relativi dati dal dispositivo. Scopri di più sulla cancellazione dei dati degli account.
- Nessuna azione: non esegue alcuna azione sul dispositivo. Puoi utilizzare questa opzione quando vuoi ricevere soltanto una notifica al verificarsi di un evento (come descritto nei passaggi seguenti).
- (Facoltativo) Per inviare notifiche via email a tutti i super amministratori, seleziona la casella Invia al Centro avvisi e poi la casella Tutti i super amministratori. Nota: Le notifiche del Centro avvisi non sono ancora supportate, ma è necessario attivarle per inviare email agli amministratori.
- Fai clic su Continua.
- Rivedi le impostazioni della regola e, se sono corrette, fai clic su Fine. In caso contrario, fai clic su Indietro per modificare la regola.
- Nella finestra di dialogo visualizzata, scegli un'opzione:
- Per creare la regola e attivarla subito, fai clic su Attivo.
- Per creare la regola e attivarla in un secondo momento, fai clic su Inattivo.
- Fai clic su Completa.
- Per attivare una regola non attiva, fai clic su una voce dell'elenco delle regole e, sulla sinistra, fai clic sul menu e seleziona Attivo.
-
Accedi alla Console di amministrazione Google.
Accedi utilizzando un account con privilegi di super amministratore (non termina con @gmail.com).
-
Nella Console di amministrazione, vai al Menu
- Fai clic su Regole di gestione dei dispositivi,
- Fai clic sulla regola che vuoi modificare.
- Fai clic sulla sezione da modificare e apporta le modifiche. Fai clic su Continua fino a quando non viene visualizzata la pagina di revisione.
- Rivedi le impostazioni della regola e, se sono corrette, fai clic su Fine. In caso contrario, fai clic su Indietro per modificare la regola.
- Nella finestra di dialogo visualizzata, scegli se attivare o disattivare la regola.
- Fai clic su Completa.
Utilizzare i modelli di regole
I modelli di regole sono configurati per condizioni e azioni comuni. Puoi usarne uno come punto di partenza e modificarlo per adattarlo alle esigenze della tua organizzazione. Ad esempio, per approvare automaticamente iPhone e iPad e manualmente i dispositivi Android, utilizza il modello Approvazione automatica della registrazione del dispositivo e imposta il tipo di dispositivo su iOS.
Blocca account dopo più tentativi di sblocco schermo non riusciti (solo Android)Questa regola blocca un dispositivo Android quando vengono eseguiti più di cinque tentativi di sblocco con esito negativo. La regola interrompe la sincronizzazione dei dati aziendali o scolastici dell'utente sul dispositivo.
Per inviare notifiche via email a tutti i super amministratori, seleziona la casella Invia al Centro avvisi e poi la casella Tutti i super amministratori. Nota: Le notifiche del Centro avvisi non sono ancora supportate, ma è necessario attivarle per inviare email agli amministratori.
Questa regola rimuove i dati aziendali da un dispositivo Android, iPhone o iPad quando vengono rilevate attività sospette.
Su iPhone e iPad, i dati dell'account vengono cancellati quando l'indirizzo MAC Wi-Fi del dispositivo cambia.
Sui dispositivi Android, i dati vengono cancellati se viene modificata una delle seguenti proprietà:
- Versione bootloader
- Marchio del dispositivo
- Hardware del dispositivo
- Produttore
- Modello del dispositivo
- Privilegio dell'app Device Policy
- Numero IMEI
- Numero MEID
- Numero di serie
- Indirizzo MAC Wi-Fi
Per quanto riguarda i dispositivi Android di proprietà dell'azienda e i dispositivi personali impostati per uso esclusivo di lavoro, i dati vengono cancellati e vengono ripristinati i dati di fabbrica. Sui dispositivi personali con un profilo di lavoro, viene invece cancellato solo il profilo di lavoro, mentre i dati personali rimangono intatti.
Per saperne di più su come funziona la cancellazione dei dati degli account e dei dispositivi, vedi Rimuovere i dati aziendali da un dispositivo.
Per inviare notifiche via email a tutti i super amministratori, seleziona la casella Invia al Centro avvisi e poi la casella Tutti i super amministratori. Nota: Le notifiche del Centro avvisi non sono ancora supportate, ma è necessario attivarle per inviare email agli amministratori.
Consente di approvare automaticamente tutti i dispositivi supportati quando un utente registra un dispositivo per la gestione. I dati aziendali si sincronizzano sul dispositivo quando l'utente accede con il proprio account;
Per inviare notifiche via email a tutti i super amministratori, seleziona la casella Invia al Centro avvisi e poi la casella Tutti i super amministratori. Nota: Le notifiche del Centro avvisi non sono ancora supportate, ma è necessario attivarle per inviare email agli amministratori.
Scegli un attivatore e le condizioni
Seleziona l'evento che attiva la regola. Utilizza le condizioni per selezionare il tipo di dispositivo (Android, iOS o tutti) e altre condizioni per determinare se la regola viene applicata ai dispositivi. L'azione della regola viene eseguita solo quando l'evento si verifica sui dispositivi che soddisfano le condizioni specificate.
Puoi scegliere un solo evento e varie condizioni per ogni regola. L'impostazione della condizione relativa al tipo di dispositivo è obbligatoria. Puoi anche limitare qualsiasi regola a dispositivi specifici utilizzando l'ID dispositivo, il numero di serie, il modello o altri valori specifici per la condizione. Per applicare più di una condizione a una regola, fai clic su Aggiungi condizione.
La regola viene attivata quando lo stato della registrazione dell'account di un dispositivo dell'organizzazione viene modificato. La modifica dello stato della registrazione può avvenire quando:
- Un utente aggiunge il proprio account di lavoro o della scuola a un nuovo dispositivo.
- Un utente annulla la registrazione del proprio account gestito di lavoro o della scuola su un dispositivo gestito.
- Il privilegio di gestione di cui dispone l'organizzazione su un dispositivo Android cambia.
Per impostazione predefinita, la regola si attiva quando viene rilevato uno di questi eventi.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Stato account |
Seleziona il tipo di modifica della registrazione:
|
| Privilegio dell'app Device Policy |
Seleziona il privilegio di gestione concesso all'organizzazione sul dispositivo:
|
La regola viene attivata quando l'accesso dell'utente ai dati di lavoro o della scuola cambia. Questi eventi includono:
- Approvazione, blocco o cancellazione dei dati del dispositivo
- Cancellazione dei dati, disconnessione effettuata da un amministratore oppure annullamento della registrazione
Per impostazione predefinita, la regola si attiva quando si verifica un evento di azione sul dispositivo.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Stato di un'azione eseguita su un dispositivo | Seleziona lo stato dell'azione: Azione rifiutata dall'utente, Annullato, Azione eseguita, Non riuscito, In attesa, Inviato al dispositivo o Stato di esecuzione dell'azione: sconosciuto. |
| Tipo di azione eseguita su un dispositivo |
Seleziona l'azione associata all'evento:
|
Ad esempio, per bloccare un dispositivo quando la cancellazione dei dati ha esito negativo:
- Imposta Tipo di azione eseguita su un dispositivo su Cancellazione dati del dispositivo.
- Imposta Stato di un'azione eseguita su un dispositivo su Non riuscito.
La regola viene attivata ogni volta che un utente installa, disinstalla o aggiorna un'app sul dispositivo. Per i dispositivi Android personali senza un profilo di lavoro è necessario attivare l'impostazione Controllo applicazioni. Per iPhone e iPad vengono rilevate solo le modifiche apportate alle app gestite installate mediante l'app Google Device Policy.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| ID applicazione |
Inserisci tutto o parte dell'ID associato all'app che è stata modificata. Ad esempio, per applicare la regola solo quando l'app YouTube per dispositivi mobili cambia, seleziona Contiene e inserisci youtube. |
| SHA-256 dell'applicazione | Inserisci tutto o parte dell'hash SHA-256 del pacchetto dell'app che è stata modificata. |
| Stato applicazione |
Seleziona il nuovo valore dello stato dell'app:
|
| Nuovo valore | Inserisci tutto o parte del nuovo numero della versione dell'app. Ad esempio, per attivare la regola quando l'app Chrome viene aggiornata a qualsiasi build della versione 86, seleziona Contiene e inserisci 86. |
| Categoria app potenzialmente dannosa |
Seleziona il tipo di app potenzialmente dannosa:
|
La regola viene attivata quando un dispositivo non è più conforme ai criteri della tua organizzazione. Ad esempio, un utente cambia la password del dispositivo, ma questa non è conforme ai criteri aziendali per le password. Per maggiori dettagli, vedi Stato conformità dispositivo.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Applica la regola a |
|---|---|
| Stato conformità dispositivo |
I dispositivi il cui stato di conformità è cambiato. Scegli un'opzione:
|
| Causa della disattivazione del dispositivo mobile | Seleziona il motivo per cui il dispositivo non risulta conforme:
|
La regola viene attivata quando un dispositivo Android viene compromesso o non è più compromesso. Un dispositivo Android è compromesso quando è rooted, ossia quando è stato sottoposto a una procedura che rimuove le limitazioni dal dispositivo. I dispositivi compromessi possono indicare una potenziale minaccia alla sicurezza.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Stato dispositivo compromesso |
Seleziona il nuovo valore dello stato del dispositivo:
|
La regola viene attivata quando cambia il sistema operativo di un dispositivo. I tipi di modifiche apportate dal sistema operativo che attivano la regola dipendono dal tipo di dispositivo:
- Android: modifiche alla versione del sistema operativo, al numero della build, alla versione del kernel, alla versione della banda di base, alla patch di sicurezza o alla versione del bootloader.
- iOS: solo modifiche subite dalla versione del sistema operativo e al numero della build. Ad esempio, un utente aggiorna il dispositivo a un nuovo sistema operativo o applica la patch di sicurezza più recente.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Valore precedente | Inserisci alcuni o tutti i valori precedenti della proprietà del sistema operativo del dispositivo. |
| Nuovo valore | Inserisci alcuni o tutti i nuovi valori della proprietà del sistema operativo del dispositivo. |
| Proprietà sistema operativo |
Seleziona la proprietà del sistema operativo che attiva la regola quando cambia il relativo valore:
Per iOS sono supportate solo la versione del sistema operativo e il numero di build. |
La regola viene attivata quando la proprietà di un dispositivo cambia da personale a di proprietà dell'azienda o viceversa.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Proprietario dispositivo |
Seleziona il nuovo valore dello stato di proprietà del dispositivo:
|
La regola viene attivata quando le impostazioni di un dispositivo Android vengono modificate, ad esempio debug USB, origini sconosciute, opzioni sviluppatore o verifica app.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Valore precedente | Inserisci alcuni o tutti i valori precedenti delle impostazioni del dispositivo. |
| Nuovo valore | Inserisci alcuni o tutti i nuovi valori delle impostazioni del dispositivo. |
| Impostazione dispositivo | Seleziona l'impostazione del dispositivo che attiva la regola quando cambia il relativo valore:
|
La regola viene attivata quando l'account di un utente viene sincronizzato su un dispositivo.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Data ultimo evento di controllo della sincronizzazione |
Inserisci una data utilizzando il formato timestamp UNIX, ad esempio: 1606167154. Puoi fare in modo che la regola venga attivata quando l'ultima sincronizzazione del dispositivo si è verificata dopo la data specificata (è maggiore di) o nella data specificata (è maggiore o uguale a). |
La regola viene attivata quando su un dispositivo viene raggiunto un determinato numero di tentativi di sblocco non riusciti. Per impostazione predefinita, la regola si attiva quando vengono eseguiti più di cinque tentativi non riusciti.
Per modificare il numero di tentativi non riusciti che devono essere eseguiti prima dell'applicazione della regola, utilizza questa opzione:
| Condizione | Valori |
|---|---|
| Tentativi di sblocco dello schermo non riusciti |
Seleziona come deve essere conteggiato il numero di tentativi non riusciti (è maggiore di o è maggiore o uguale a) e inserisci il numero di tentativi non riusciti. Ad esempio, se inserisci 3 e selezioni è maggiore di, la regola viene attivata al quarto tentativo non riuscito. Se inserisci 3 e selezioni è maggiore o uguale a, la regola viene attivata al terzo tentativo non riuscito. |
La regola viene attivata quando una proprietà di un dispositivo gestito che normalmente non cambia viene modificata. Ad esempio, il modello del dispositivo cambia quando il dispositivo non è cambiato.
Per i dispositivi Android, le attività sospette includono le modifiche alle seguenti proprietà:
- Versione bootloader
- Marchio del dispositivo
- Hardware del dispositivo
- Produttore
- Modello del dispositivo
- Privilegio dell'app Device Policy
- Numero IMEI
- Numero MEID
- Numero di serie
- Indirizzo MAC Wi-Fi
Per gli iPhone e gli iPad, vengono rilevate solo le modifiche subite dall'indirizzo Wi-Fi MAC.
Per applicare la regola soltanto a dispositivi specifici, puoi configurare delle condizioni basate sulle loro proprietà e le seguenti opzioni specifiche per gli eventi:
| Condizione | Valori |
|---|---|
| Proprietà dispositivo |
Seleziona la proprietà del dispositivo che attiva la regola in caso di modifica. Per selezionare più di una proprietà, crea una regola separata per ciascuna proprietà. Se aggiungi più di una proprietà a una regola, il dispositivo dovrà segnalare le modifiche a tutte le proprietà che hai selezionato. Nota: per i dispositivi iOS, vengono rilevate solo le modifiche all'indirizzo Wi-Fi MAC. |
| Valore precedente | Per i dispositivi Android, seleziona il valore precedente del privilegio di gestione dei dispositivi. |
| Nuovo valore | Per i dispositivi Android, seleziona il nuovo valore del privilegio di Gestione dei dispositivi. |
Applica la regola quando un dispositivo Android inizia a supportare i profili di lavoro, ad esempio quando viene eseguito l'upgrade del sistema operativo e quindi il dispositivo è in grado di supportare i profili di lavoro.
Visualizzare i dati relativi agli eventi rilevati
Puoi esaminare i dati relativi agli eventi rilevati sui dispositivi gestiti nel Controllo regole.
-
Accedi alla Console di amministrazione Google.
Accedi utilizzando l'account amministratore (che non termina con @gmail.com).
-
Nella Console di amministrazione, vai a Menu
Report
Controllo e indagine
- Per esaminare le azioni relative alle regole di gestione dei dispositivi, fai clic su Aggiungi filtro
-
(Facoltativo) Per personalizzare i dati visualizzati, fai clic su Gestisci colonne
sulla destra. Seleziona le colonne che vuoi visualizzare o nascondere
- (Facoltativo) Per esportare i dati del rapporto direttamente in un file di Fogli Google su Google Drive o per scaricare un file CSV con i dati del rapporto:
- Fai clic su Scarica
.
- In Seleziona colonne, fai clic su Colonne attualmente selezionate o su Tutte le colonne.
- Seleziona un formato e fai clic su Scarica.
Puoi esportare fino a 100.000 righe di dati in entrambi i formati.
- Fai clic su Scarica