Kullanıcı hesaplarının temel hazırlığını yapın

Kimlik sağlama (veya hesap temel hazırlığı), hesap oluşturma, üç sistem arasında bağlantı kurma ve bazı durumlarda kullanıcılar ile cihazları arasında bağlantı kurma işlemidir.

Android kurumsal ortamında, hesap bilgileri en fazla üç farklı sistemde tutulur:

• Kuruluşun kullanıcı dizini, kullanıcılar hakkında kesin bilgi kaynağıdır.
• EMM çözüm sağlayıcısı sizin (EMM çözüm sağlayıcısı), kuruluş kullanıcılarının en azından asgari düzeyde dizinini korumanız gerekir.
• Google, Google Play aracılığıyla uygulama yönetimi sağlamak için Managed Google Play Hesapları ve Google Hesapları ile ilgili bazı bilgileri tutar.

---

Users kaynağı, bir kuruluşla ilişkili hesabı temsil eder. Hesap belirli bir cihaza özel olabilir veya birden fazla cihazı (cep telefonu, tablet vb.) olan ve hesabı bu cihazların hepsinde kullanan bir kullanıcıyla ilişkilendirilebilir. Hesap, müşterinizin kuruluşunu nasıl oluşturduğunuza bağlı olarak yalnızca Managed Google Play'e veya diğer Google hizmetlerine erişim sağlayabilir:

• Managed Google Play Hesapları, kuruluşların kurumsal mobilite yönetimi (EMM) çözüm sağlayıcıları üzerinden kullanıcı veya cihaz hesaplarını otomatik olarak oluşturmaları için şeffaf bir araç sunar. Bu hesaplar yalnızca Managed Google Play'e erişim sağlar.

• Google Hesapları, Google tarafından yönetilen mevcut hesaplardır ve Google Hesabı kaynaklarıyla senkronize edilmelerini gerektirir.

Tablo 1: Kullanıcı API'si alanları ve yöntemleri

	Managed Google Play Accounts	Google tarafından yönetilen hesaplar
Alan
id
tür
accountIdentifier	Oluşturduğunuz ve Google Play'den döndürülen kimlikle (userId) eşlediğiniz benzersiz tanımlayıcı. Kimliği tanımlayabilecek bilgiler (PII) kullanmayın.	Ayarlanmadı.
accountType	cihazHesabı, kullanıcıHesabı	userAccount
displayName	Google Play gibi kullanıcı arayüzü öğelerinde gösterdiğiniz ad. Kimliği tanımlayabilecek bilgiler kullanmayın.	Ayarlanmadı.
managementType	emmManaged	googleManaged, emmManaged
primaryEmail	Ayarlanmadı.	Bu alan, Google tarafından yönetilen alan hesaplarından sisteminizdeki kullanıcı hesaplarıyla senkronizasyonu yönetmek için kullandığınız birincil anahtardır.
Yöntemler
delete
generateAuthenticationToken
generateToken
get
getAvailableProductSet
insert
list
revokeToken
setAvailableProductSet
update

---

Managed Google Play Accounts

İki tür Managed Google Play Hesabı vardır:

Kullanıcı hesabı

Tek bir kullanıcının tüm cihazlarından Managed Google Play'e erişmesini sağlar. Kullanıcılarınız için kullanıcı hesaplarının temel hazırlığını yapmanız gerekir. Kullanıcılarınız, Managed Google Play Hesaplarını kendileri eklemek için gereken kimlik bilgilerine sahip değildir.

Kullanıcı hesabı oluşturmak için Users.insert numaralı telefonu arayın. Hesap türünü userType olarak ayarlayın ve kuruluştaki kullanıcıya benzersiz bir şekilde referans veren accountIdentifier ayarlayın.

En iyi uygulama: Aynı hesabı 10'dan fazla cihazda kullanmayın.

Cihaz hesabı

Tek bir cihazdan Managed Google Play'e erişim sağlar. Bir cihaz hesabı için kimlik doğrulama jetonu verildiyse bu cihaz hesabına yönelik yeni bir kimlik doğrulama jetonu isteği, önceki jetonu devre dışı bırakır. Her cihazın kendi uygulama lisansları olmalıdır.

Cihaz hesabı oluşturmak için Users.insert numaralı telefonu arayın ve hesap türünü deviceType olarak ayarlayın.

Kullanıcı veya cihaz kimlikleri ile karşılık gelen Managed Google Play Hesapları arasında bir eşleme oluşturup bu eşlemeyi sürdürür ve hesapları yaşam döngüleri boyunca yönetirsiniz. Hesaplar yalnızca uygulama yönetimi için oluşturulduğundan, kuruluşun Managed Google Play Hesapları üzerinde doğrudan kontrole ihtiyacı yoktur.

EMM konsolları ve sunucuları için gereksinimler

Managed Google Play Hesapları, EMM çözümünüzün bileşenlerinde (EMM konsolu, EMM sunucusu ve DPC) Google Play EMM API'leri ve Android çerçeve API'leri kullanılarak isteğe bağlı ve programatik olarak oluşturulur. Bu bileşenler, bir kullanıcı hesabı oluşturmak ve hedef cihazda iş profilinin temel hazırlığını yapmak için çalışma zamanında etkileşimde bulunur. EMM konsolunuz veya sunucunuz:

• Users.insert çağrısında kullanılacak benzersiz anonim hesap tanımlayıcıları (accountIdentifier alanı) oluşturacak bir mekanizma sağlayın. Örneğin, kullanıcı için bazı dahili değerler ("sanjeev237389") veya şifreli bir öğe etiketi numarası ("öğe#44448") kullanabilirsiniz. Hesap kimliği için kimliği tanımlayabilecek bilgiler (PII) kullanmaktan kaçının.

• userId (insert çağrısından döndürülür) ve seçtiğiniz accountIdentifier arasındaki eşlemeyi depolayın.

Not: Managed Google Play Hesabı oluştururken kullanıcının gerçek kimliğini Google'a göstermeyen anonim bir tanımlayıcı kullanın. Örneğin:

• accountIdentifier öğesini mevcut bir dahili kimliğe veya oluşturduğunuz yeni bir eşlemeye ayarlayın. Kullanıcının e-posta adresini veya adını kullanmayın.
• displayName özelliğini ayarlamadan bırakın veya sizin ya da kuruluşunuz için genel bir değer (ör. "ACME, Inc") olarak ayarlayın.

DPC'nizle ilgili koşullar için Cihaz politikası denetleyici oluşturma bölümüne bakın.

Managed Google Play kullanıcı hesabı oluşturma

1. Bir kullanıcı, (genellikle) kurumsal kimlik bilgilerini kullanarak DPC'nizde oturum açar.
2. DPC, EMM sunucusundan veya konsoldan kullanıcıyla ilgili ayrıntıları ister. Sisteminizde kullanıcının tanınmadığını varsayarsak:
   1. Yeni accountIdentifier, displayName ve accountType değerleriyle Users.insert çağırarak yeni bir Managed Google Play Hesabı için istek gönderin.
      • Sisteminiz accountIdentifier oluşturmalıdır. Hesap tanımlayıcısı, sisteminiz genelinde benzersiz bir değer olmalıdır. Hesap tanımlayıcısı için kimliği tanımlayabilecek bilgiler (PII) kullanmayın.
      • displayName, Google Play Store'un hesap değiştiricisinde gösterilir ve kullanıcı için bir anlam ifade etmesi gerekir (kullanıcıyla ilgili kimliği tanımlayabilecek bilgiler (PII) değil). Örneğin, ad, kuruluş adını veya EMM ile ilgili genel bir adı içerebilir.
      • accountType öğesini userAccount veya deviceAccount olarak ayarlayın. userAccount birden fazla cihazda kullanılabilirken deviceAccount tek bir cihaza özeldir. Belirtilen accountType, deviceType veya userType olabilir.
      • managementType cihazını emmManaged ayarlayın.
   2. Google Play isteği işler, hesabı oluşturur ve userId döndürür.
   3. accountIdentifier ile userId arasındaki eşlemeyi veri deponuzda depolayın.
   4. userId ve enterpriseId ile birlikte Users.generateAuthenticationToken numaralı telefonu arayın. Google Play, bir kez kullanılabilecek ve birkaç dakika içinde kullanılması gereken bir kimlik doğrulama jetonu döndürür.
   5. Kimlik doğrulama jetonunu güvenli bir şekilde DPC'nize yönlendirin.
3. DPC, iş profilinin temel hazırlığını yapar ve hesabı iş profiline veya cihaza ekler.
4. Kullanıcı, Managed Google Play'e iş profilinden veya cihazdan erişebilir.

Not: userId, bir EMM'ye özeldir ve başka bir EMM ile kullanılamaz. Kuruluş bir EMM'deki kaydını silip başka bir EMM'ye kaydolursa userId, yeni EMM tarafından tanınmaz. EMM'ler, EMM tarafından yönetilen kullanıcıları silmek için Users.delete kullanabilir.

Yönetici hesapları

Bir yönetici Managed Google Play Accounts'a sahip bir kuruluş oluşturduğunda kullandığı Google Hesabı bir G Suite hesabı olamaz. Kullandıkları hesap, kuruluşun sahibi olur ve sahip, Managed Google Play Console'da daha fazla sahip ve yönetici ekleyebilir.

Hem Enterprises.get hem de Enterprises.completeSignup, bir kuruluşla ilişkili yönetici e-posta adreslerinin listesini döndürür (yalnızca Managed Google Play Hesapları olan işletmeler).

Hesap yaşam döngülerini yönetme

Managed Google Play Accounts dağıtımında, kullanıcı ve cihaz hesabının yaşam döngülerinden siz sorumlu olursunuz. Yani bu hesapları oluşturabilir, güncelleyebilir ve silebilirsiniz.

Hesapları, cihaz temel hazırlığı sırasında oluşturursunuz. Bu işlem, VPC uygulamanız ve EMM konsolunuzu içeren bir işlemdir. Talimatlar için Managed Google Play Accounts yöntemine göz atın.

Önemli gizlilik notu: Managed Google Play Hesabı oluştururken gerçek kullanıcı kimliğini Google'a göstermeyen anonim bir tanımlayıcı kullanın. Örneğin:

• accountIdentifier öğesini mevcut bir dahili kimliğe veya oluşturduğunuz yeni bir eşlemeye ayarlayın. Kullanıcının e-posta adresini veya adını kullanmayın.
• displayName özelliğini ayarlamadan bırakın veya sizin ya da kuruluşunuz için genel bir değer (ör. "ACME, Inc") olarak ayarlayın.

Bir hesabın bilgilerini değiştirmek için Users.update çağrısı yapın.

Bir hesabı silmek için Users.delete çağrısı yapın.

Yöneticiler bireysel hesapları silemez ancak Managed Google Play Hesaplarına sahip bir kuruluşları silebilir. Bu işlem yapıldığında, Kaydı iptal etme, yeniden kaydolma, silme bölümünde açıklandığı gibi, kuruluşla ilişkilendirilmiş cihaz ve kullanıcı hesapları belirli bir süre sonra silinir.

Hesabın son kullanma tarihi

Bazen hesapların veya jetonlarının süresi dolar. Bu durum, çeşitli nedenlerden kaynaklanabilir:

• Hesabı cihaza eklemek için alınan kimlik doğrulama jetonunun süresi doldu.
• Hesap veya kuruluş silindi.
• Cihaz hesapları söz konusu olduğunda, hesap yeni bir cihaza eklenmiştir ve eski cihazda devre dışı bırakılmıştır.
• Otomatik kötüye kullanım kontrolleri tetiklenir.

Çoğu durumda (EMM, bir cihaz hesabını kasıtlı olarak yeni bir cihaza taşımadığı sürece), en iyi uygulama, EMM sunucusundan yeni bir jeton istemek, hesabın ve kuruluşun durumunu ve döndürülen hataları not edip cihazda gerekli işlemi yapmak için Play EMM API'yi kullanmaktır. Örneğin, jetonu yenileyin veya hata kurtarılamazsa cihazı sıfırlayın veya kaydını iptal edin.

Google Play Hizmetleri'nin 9.0.00 sürümü, DPC'nize yayın işlemini kullanarak hesabın süresinin dolduğunu bildirir:

1. Bir cihazda Managed Google Play Hesabı geçersiz kılındığında DPC aşağıdaki işlemle bir yayın alır:

   com.google.android.gms.auth.ACCOUNT_REAUTH_REQUIRED

   Yayın amacı, account adında fazladan bir Parcelable içeriyor. Bu, geçersiz kılınan hesabın Account nesnesidir.

2. DPC, geçersiz kılınan hesabı tanımlamak için Account#name hesabını EMM sunucusuyla kontrol eder.

3. DPC, başlangıçta cihazın temel hazırlığını yapmak için kullanılan akışı izleyerek yeni kimlik bilgileri veya yeni bir hesap ister.

---

Google Hesapları

Google Hesaplarını kullanan kuruluşlar için EMM çözümündeki kullanıcı hesapları, başka bir Google hizmetiyle (ör. G Suite) ilişkilendirilmiş mevcut kullanıcı hesaplarını yansıtır. Google'ın arka uç hizmetleri hesap oluşturma ve hesap hakkındaki bilgilerin kaynağı olduğu için bu hesaplar googleManaged(Tablo 1) olarak kabul edilir.

EMM olarak, çeşitli yaklaşımlara genel bir bakış için Google Cloud Directory Sync (GCDS) ve Google Admin SDK Directory API gibi araçlar kullanarak sisteminizde tutulan kullanıcı hesaplarının, bu hesapların Google alanı hesap kaynaklarıyla oluşturulmasını ve sürekli olarak senkronize edilmesini kolaylaştırmak için konsolunuzda mekanizmalar sağlayabilirsiniz. Google tarafından yönetilen alan kimliği modeli, bir iş profili bağlamında kullanıcının herhangi bir cihazında temel hazırlığının yapılabilmesi için kullanıcı hesabının çözümünüz bağlamında (EMM konsolu, EMM sunucusu, belki bir veri deposunda) mevcut olmasını gerektirir.

Kimlik temel hazırlığı sırasında, kuruluşun Google tarafından yönetilen alanı kullanıcı hesaplarıyla doldurulur. Bazı durumlarda, kullanıcıların mevcut online kimlikleri (örneğin, Microsoft Exchange hesapları) Google Hesapları ile senkronize edilir.

İlk senkronizasyondan sonra, ancak uygulamalar kullanıcının cihazına dağıtılmadan önce, kullanıcının Google Hesabını Cihazlardaki hesapları etkinleştirme bölümünde açıklandığı gibi etkinleştirmesi gerekir. Bu etkinleştirme, cihazın Managed Google Play'e erişmesine izin verir.

Müşteri hesaplarını senkronize edin

Bir Google Hesapları dağıtımında kuruluş, G Suite alanındaki verileri LDAP dizinindeki verilerle senkronize etmek için GCDS aracını kullanabilir. Alternatif olarak, kuruluş size erişim izni veriyorsa kuruluş adına GCDS'yi kullanarak bu işlemi gerçekleştirebilirsiniz.

GCDS aracı, Google Directory API'yi çağırır ve kullanıcı adlarını senkronize eder ancak şifreleri senkronize etmez.

Kuruluş, Microsoft Active Directory kullanıyorsa ve kullanıcıların G Suite şifrelerinin Active Directory şifreleriyle senkronize olmasını istiyorsa kullanıcılar veya siz, GCDS ile G Suite Password Sync (GSPS) aracını kullanabilirsiniz.

Yöneticilere yönelik GCDS talimatları için G Suite alanınızı senkronizasyona hazırlama başlıklı makaleye bakın.

Google Dizin API'sı

Bir Google Hesapları dağıtımında, etkin dizinleri, şifreleri veya her ikisini birden senkronize etmek için Google Directory API'yi kullanabilirsiniz:

• Yalnızca dizin senkronizasyonu için Directory API'yi kullanma. Kuruluşun yönetilen Google alanına salt okuma erişiminiz varsa Google'dan kullanıcı adları (ancak şifreler değil) gibi Google Hesabı bilgilerini almak için Google Directory API'yi kullanabilirsiniz. Kullanıcıların Google Hesaplarına veri yazamayacağınız için, hesap yaşam döngülerinden tamamen kuruluş sorumludur.

  1. Senaryo ve SAML tabanlı TOA kimlik doğrulama senaryoları, bu durumu daha ayrıntılı bir şekilde açıklamaktadır.

  Directory API'yi bu şekilde kullanma hakkında bilgi için Directory API belgelerindeki Tüm hesap kullanıcılarını alma bölümüne bakın.

• Dizin ve isteğe bağlı şifre senkronizasyonu için Directory API'yi kullanma. Kuruluşun yönetilen Google alanına okuma-yazma erişiminiz varsa kullanıcı adlarını, şifreleri ve diğer Google Hesabı bilgilerini almak için Google Directory API'yi kullanabilirsiniz. Bu bilgileri güncelleyip kendi veritabanınızla senkronize edebilirsiniz. Müşterinize sunduğunuz çözüme bağlı olarak, hesap yaşam döngülerinin tüm sorumluluğu size ait olabilir.

  2. senaryo bu durumu daha iyi açıklıyor.

  Kullanıcı hesabı bilgilerini yönetmek için Directory API'yi kullanma hakkında daha fazla bilgi edinmek istiyorsanız Directory API: Kullanıcı Hesapları geliştirici kılavuzunu inceleyin.

Google Hesabı senaryoları

Google Hesapları kimlik temel hazırlığıyla ilgili birkaç tipik senaryo aşağıda açıklanmıştır.

1. Senaryo: Hesap yaşam döngülerinden sorumlu müşteri

Bu senaryoda müşteriniz, kullanıcıları için Google Hesapları oluşturur ve yönetir.

Kullanıcı hesabı bilgilerini kuruluşun LDAP dizininden alırsınız ve bu bilgileri Google Directory API aracılığıyla Google'dan aldığınız Google Hesabı verileriyle ilişkilendirirsiniz.

Hesap yaşam döngülerinden tamamen kurum sorumludur. Örneğin, yeni bir Google Hesabı oluşturulduğunda kuruluş, kullanıcıyı LDAP dizinine ekler. Veritabanınızı LDAP diziniyle bir sonraki senkronize edişinizde, veritabanınız bu yeni kullanıcıyla ilgili bilgileri alır.

Bu senaryoda:

• Google Hesaplarına salt okuma erişiminiz var.
• Veritabanınız Google Hesabı adlarını alır ancak LDAP kullanıcı adlarını veya şifrelerini almaz.
• Müşterinizin kullanıcıları için temel hesap bilgilerini almak üzere Google Directory API'yi kullanırsınız. (Size sunulan bilgiler, Users.get isteği tarafından döndürülen yazılamayan bilgilerdir). Bu bilgileri, kullanıcıların cihazlarında kimlik doğrulaması yapabilmesi için Google Hesaplarının mevcut olduğunu doğrulamak amacıyla kullanırsınız.
• Müşteriniz, kullanıcıların Google Hesaplarını doldurmak için tek yönlü senkronizasyon yapmak üzere GCDS aracını kullanıyor. (Kimlik sağlama işlemi tamamlandıktan sonra kuruluş, devam eden kendi senkronizasyon işlemleri için de GCDS'yi kullanıyor olabilir.) İsteğe bağlı olarak, kuruluş yalnızca kullanıcı adlarını değil, şifreleri de senkronize etmek için GSPS aracını kullanabilir.

2. Senaryo: Hesap yaşam döngülerinden sorumlu EMM

Bu senaryoda, müşteriniz adına Google Hesabı oluşturma sürecini siz yönetirsiniz ve kullanıcıların hesap yaşam döngülerinden siz sorumlu olursunuz.

Örneğin, kuruluşun LDAP dizininde kullanıcı bilgileri değiştiğinde kullanıcının Google Hesabını güncellemekten siz sorumlu olursunuz. GCDS bu senaryoda kullanılmaz.

Bu senaryoda:

• Google Hesaplarına okuma-yazma erişiminiz var.
• Veritabanınız Google Hesabı adlarını ve LDAP kullanıcı adlarını (ve isteğe bağlı olarak şifre karmalarını) alır.
• Kuruluş kullanıcılarının hesap bilgilerini okumak ve yazmak için müşteriniz adına Google Directory API'yi kullanırsınız. (Size sunulan bilgi, Users.get isteği tarafından döndürülen yazılamayan bilgilerdir). Bu bilgileri, kullanıcıların cihazlarında kimlik doğrulaması yapabilmesi için Google Hesaplarının mevcut olduğunu doğrulamak amacıyla kullanırsınız.
• GCDS aracı kullanılmıyor.

İpucu: Kullanıcıların Google Hesaplarını oluştururken aynı anda hesapları senkronize edin. Bu şekilde, kuruluş, çalışanları için Android Enterprise kullanıcı hesapları oluşturduğunda, kullanıcıların e-posta adresleri ve ağ şifreleri kullanıcıların erişmeleri gereken tüm hesaplar arasında senkronize edilir.

SAML tabanlı TOA kimlik doğrulama senaryoları

Bir Google Hesapları dağıtımında, siz veya müşteriniz her bir kullanıcıyla ilişkilendirilmiş Google Hesabı'nın kimliğini doğrulamak için bir kimlik sağlayıcıyla (IdP) birlikte Güvenlik Onayı Biçimlendirme Dili (SAML) kullanabilir. Google Hesabı adlarını, kullanıcıların Google Hesaplarının mevcut olduğunu doğrulamak için kullanırsınız. Bu işlem, kullanıcılar cihazlarında oturum açtığında kullanıcı kimlik doğrulaması için gereklidir. Örneğin, SAML 2. Senaryoda kullanılabilir. Bunun nasıl ayarlanacağıyla ilgili ayrıntıları G Suite hesapları için Tek Oturum Açma (TOA) özelliğini ayarlama başlıklı makalede bulabilirsiniz.

Cihazlarda hesapları etkinleştirme

Uygulamaların Managed Google Play aracılığıyla bir kullanıcı cihazına dağıtılabilmesi için cihaz temel hazırlığı sırasında kullanıcının cihazda oturum açması gerekir:

• Managed Google Play Accounts cihaz temel hazırlığı'nda, DPC'niz kullanıcıyı EMM konsolunuz tarafından kabul edilen kimlik bilgilerini (genellikle şirket e-posta kimlik bilgileri) kullanarak oturum açmaya yönlendirir.
• Google Hesapları dağıtımında DPC'niz kullanıcıyı Google Hesabı oturum açma kimlik bilgilerini girmesi için yönlendirir. Normalde bu kimlik bilgileri, kullanıcıların GCDS veya GSPS ile senkronize edildiğinde ya da bir kuruluş kimlik doğrulama için IdP kullandığında kurumsal alanlarında oturum açmak için kullandıkları kimlik bilgileriyle eşleşir. Bu işlem kullanıcının Google Hesabını etkinleştirir, benzersiz bir cihaz kimliği oluşturur ve kullanıcının Google Hesabı kimliği ile cihazının cihaz kimliğini bağlar.