Administración de reglas de acceso de dispositivos móviles

Las reglas de acceso a dispositivos móviles de Amazon WorkMail permiten a los administradores controlar el acceso a los buzones de determinados tipos de dispositivos móviles. De forma predeterminada, cada WorkMail organización de Amazon usa una regla que otorga acceso al buzón de correo a cualquier dispositivo, independientemente del tipo, modelo, sistema operativo o agente de usuario. Puede editar o sustituir esa regla predeterminada por una propia. También puede añadir, modificar y eliminar reglas.

aviso

Si eliminas todas las reglas de acceso a dispositivos móviles de una organización, Amazon WorkMail bloquea el acceso a todos los dispositivos móviles.

Puede crear reglas que permitan o denieguen el acceso en función de las siguientes propiedades del dispositivo:

• Tipo de dispositivo: “iPhone”, “iPad” o “Android”.

• Modelo de dispositivo: «iPhone 10C1", «iPad 5C1" o «X» HTCOne

• Sistema operativo del dispositivo: “iOS 12.3.1 16F203” o “Android 8.1.0”.

• Agente de usuario del dispositivo: “iOS/14.2 (18B92) exchangesyncd/1.0” o “Android-Mail/7.7.16.163886392.release”.

Para ver las propiedades del dispositivo en la consola de administración, consulte Visualización de los detalles del dispositivo móvil. AWS

nota

Es posible que algunos dispositivos y clientes no informen de las propiedades de todos los campos. Para obtener información sobre cómo solucionar esos casos, consulte Dealing with empty fields

importante

Las reglas de acceso a dispositivos WorkMail móviles de Amazon solo se aplican a los dispositivos que utilizan el ActiveSync protocolo Microsoft Exchange. Los clientes móviles que utilicen un protocolo diferente, como IMAP, no informan de las propiedades del dispositivo que se enumeran aquí, por lo que estas reglas no se aplican.

Si necesita restringir el acceso de dispositivos que utilicen otros protocolos, puede crear reglas de control de acceso. Para obtener más información sobre las mismas, consulte Uso de reglas de control de acceso. Por ejemplo, puede restringir el acceso a otros protocolos y al correo web solo a un rango de direcciones IP corporativas, pero permitir que Microsoft acceda a otro lugar y, luego, usar las reglas ActiveSync de acceso a dispositivos móviles para limitar aún más los tipos y versiones de los clientes permitidos.

Cómo funcionan las reglas de acceso de dispositivos móviles

Las reglas de acceso a dispositivos móviles solo se aplican a los dispositivos que utilizan el ActiveSync protocolo Microsoft Exchange. Cada regla tiene un conjunto de condiciones que especifican cuándo se aplica la regla, además de un efecto de acceso de ALLOW o DENY para el dispositivo. Una regla se aplica a una solicitud de acceso solo si todas las condiciones de la regla coinciden con las propiedades del dispositivo móvil del usuario. Las reglas sin condiciones se aplican a todas las solicitudes. Cada condición utiliza una coincidencia de prefijo que no distingue entre mayúsculas y minúsculas con las propiedades notificadas del dispositivo.

Amazon WorkMail evalúa las reglas de la siguiente manera:

• Si cualquier regla DENY coincide con una propiedad del dispositivo, la política bloquea el dispositivo. Las reglas DENY tienen prioridad sobre las reglas ALLOW.

• Si al menos una regla ALLOW coincide y ninguna regla DENY coincide, la política permite el dispositivo.

• Si no se aplica ninguna regla, se bloquea el dispositivo.

importante

Los dispositivos móviles notifican las propiedades que las reglas utilizan para funcionar. Los dispositivos informan de sus propiedades durante el proceso de aprovisionamiento de ActiveSync dispositivos de Microsoft. Amazon WorkMail no puede verificar de forma independiente si los clientes móviles informan de forma correcta o con up-to-date información correcta.

Uso de las reglas de acceso de dispositivos móviles

Puede usar APIs o la interfaz de línea de comandos (CLI) de AWS para crear y administrar reglas de acceso para dispositivos móviles. Para obtener más información al respecto AWS CLI, consulte la Guía del usuario de la interfaz de línea de comandos de AWS.

importante

Cuando cambias una regla de acceso para una WorkMail organización de Amazon, los dispositivos afectados pueden tardar cinco minutos en seguir la regla actualizada y, durante ese tiempo, los dispositivos pueden mostrar un comportamiento incoherente. Sin embargo, verá de inmediato un comportamiento correcto al probar las reglas. Para obtener más información, consulte Testing mobile device access rules.

Listado de reglas de acceso de dispositivos móviles

El siguiente ejemplo muestra cómo obtener una lista de reglas de acceso de dispositivos móviles.

aws workmail list-mobile-device-access-rules --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56

Creación de reglas de acceso de dispositivos móviles

En el siguiente ejemplo se crea una regla que bloquea el acceso a los buzones de correo de cualquier dispositivo Android.

aws workmail create-mobile-device-access-rule --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56 --name BlockAllAndroid --effect DENY --device-types "android"

En el siguiente ejemplo se crea una regla que permite solo una versión específica de iOS. Asegúrese de eliminar la regla predeterminada ALLOW-all.

aws workmail create-mobile-device-access-rule --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56 --name AllowLatestiOS --effect ALLOW --device-operating-systems "iOS 14.3"

Actualización de reglas de acceso de dispositivos móviles

En el siguiente ejemplo se actualiza una regla de dispositivo añadiendo un identificador.

aws workmail update-mobile-device-access-rule --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56 --mobile-device-access-rule-id 1a2b3c4d --name AllowLatestiOS --effect ALLOW --device-operating-systems "iOS 14.4"

Eliminación de una regla de acceso de dispositivos móviles

En el siguiente ejemplo se elimina la regla de acceso de dispositivos móviles con el identificador dado.

aws workmail delete-mobile-device-access-rule --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56 --mobile-device-access-rule-id 1a2b3c4d

Prueba de reglas de acceso de dispositivos móviles

Para probar las reglas de acceso, puedes usar la GetMobileDeviceAccessEffectAPI o el comando get-mobile-device-access -effect del AWS CLI . Para obtener más información sobre el AWS CLI, consulte la Guía del usuario de la interfaz de línea de AWS comandos.

Al realizar la prueba, se pasan las propiedades de un dispositivo móvil simulado y la API o CLI devuelven el efecto de acceso —ALLOW o DENY— que recibiría un dispositivo móvil real con esas propiedades. Por ejemplo, este comando comprueba si un iPhone con iOS 14.2 y la aplicación de correo predeterminada pueden acceder a un buzón de correo.

aws workmail get-mobile-device-access-effect --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56 --device-type "iPhone" --device-model "iPhone10C1" --device-operating-system "iOS 14.2.1 16F203" --device-user-agent "iOS/14.2 (18B92) exchangesyncd/1.0"

Tratamiento de campos vacíos

Es posible que algunos dispositivos móviles o clientes no proporcionen información para uno o más campos, dejando los valores vacíos. Las reglas pueden cotejarse frente a estos dispositivos utilizando el valor especial $NONE en una condición. Por ejemplo, una regla con DeviceTypes=["iphone", "ipad", "$NONE"] coincidirá con los dispositivos que notifiquen un tipo de dispositivo "iphone" o "ipad", o que no notifiquen en absoluto un tipo de dispositivo.

Las condiciones negativas como NotDeviceTypes o NotDeviceUserAgents no coincidirán con estos valores vacíos. Por ejemplo, una regla con NotDeviceTypes=["android"] coincidirá con los dispositivos que notifiquen un tipo de dispositivo distinto de "android". Sin embargo, la regla no coincidirá con los dispositivos que no notifiquen en absoluto un tipo de dispositivo.