Mengintegrasikan dengan solusi manajemen perangkat seluler

Amazon WorkMail mendukung beberapa kemampuan manajemen perangkat seluler dasar melalui kebijakan perangkat seluler dan aturan akses perangkat seluler. Namun, fitur-fitur tersebut hanya dapat berinteraksi dengan perangkat seluler melalui protokol Microsoft Exchange ActiveSync (EAS), sehingga mereka memiliki kemampuan terbatas untuk introspeksi dan menegakkan postur keamanan perangkat. Administrator yang membutuhkan kontrol lebih besar atas keamanan dan kepatuhan perangkat dapat menggunakan solusi manajemen perangkat seluler (MDM) pihak ketiga.

Ikhtisar solusi manajemen perangkat seluler

Anda dapat mengonfigurasi solusi MDM Anda dalam dua mode, proxy atau langsung. Konsultasikan dokumentasi MDM Anda untuk melihat mode mana yang didukung solusi Anda.

Dalam mode proxy, perangkat seluler menggunakan protokol Exchange Active Sync (EAS) melalui solusi MDM Anda untuk mengakses Amazon. WorkMail Solusi MDM menggunakan postur perangkat untuk mengizinkan atau menolak akses ke WorkMail data Amazon. Di WorkMail sisi Amazon, gunakan Aturan Kontrol Akses yang memungkinkan akses EAS hanya dari alamat IP atau alamat solusi MDM. Untuk informasi selengkapnya, lihat Bekerja dengan aturan kontrol akses.

Gambar berikut menunjukkan konfigurasi mode proxy yang khas.

Dalam mode langsung, perangkat seluler menggunakan EAS untuk mengakses Amazon WorkMail secara langsung. Solusi MDM Anda menerima perubahan postur perangkat dan terus menilai apakah setiap perangkat memenuhi persyaratan tersebut. Ketika solusi MDM mendeteksi perubahan postur, seperti perangkat yang tidak sesuai, solusi MDM dapat mengambil beberapa tindakan dan biasanya memancarkan pemberitahuan atau peristiwa. WorkMail Administrator Amazon dapat menyiapkan sistem untuk mendengarkan peristiwa status kepatuhan ini dan secara otomatis membuat penggantian akses perangkat seluler yang mengizinkan atau menolak akses ke perangkat saat masuk atau tidak sesuai dengan persyaratan perangkat MDM.

Gambar berikut menunjukkan konfigurasi mode langsung yang khas.

Mengkonfigurasi WorkMail organisasi untuk berintegrasi dengan solusi MDM pihak ketiga dalam mode langsung

Untuk berintegrasi dengan solusi manajemen perangkat seluler (MDM) pihak ketiga dalam mode langsung, Anda harus memenuhi persyaratan ini:

• Buat aturan kontrol akses yang membatasi akses ke perangkat pengguna hanya pada ActiveSync protokol.

• Buat aturan akses perangkat seluler deny-to-all "" default untuk memastikan bahwa semua perangkat seluler yang tidak dikenal atau tidak dikelola ditolak secara default.

• Mengadopsi solusi manajemen perangkat seluler yang memancarkan pemberitahuan atau peristiwa khusus saat perangkat mengubah postur keamanan, yang berarti perangkat masuk atau keluar dari kepatuhan.

• Buat komponen perangkat lunak khusus untuk mendengarkan notifikasi tersebut dan hubungi Amazon WorkMail SDK untuk membuat penggantian akses perangkat seluler.

Komponen ini memastikan bahwa semua perangkat pengguna memenuhi persyaratan kepatuhan MDM mereka sebelum diizinkan mengakses WorkMail kotak surat Amazon mereka.

Gunakan aturan kontrol akses untuk membatasi akses perangkat seluler ActiveSync

Anda harus memastikan bahwa semua perangkat hanya menggunakan ActiveSync protokol, dan Anda dapat menggunakan aturan kontrol akses untuk melakukannya. Misalnya, Anda dapat memberikan akses ke protokol email lain hanya dari rentang alamat IP perusahaan internal, dan kemudian mengizinkan hanya ActiveSync ketika mengakses eamil dari luar firewall perusahaan. Anda harus melakukan ini karena hanya ActiveSync memungkinkan Anda mengidentifikasi perangkat menggunakan ID perangkat. Anda tidak dapat menggunakan protokol seperti Internet Message Access Protocol (IMAP) atau Exchange Web Services. Untuk informasi selengkapnya, lihat Bekerja dengan aturan kontrol akses.

Buat aturan akses 'tolak semua' default

Untuk menunda semua keputusan akses perangkat seluler ke solusi manajemen perangkat seluler pihak ketiga, buat aturan akses yang secara otomatis menolak semua perangkat kecuali diganti berdasarkan per pengguna atau per perangkat. Untuk informasi lebih lanjut, lihatMengelola aturan akses perangkat seluler.

Contoh ini menunjukkan aturan 'tolak semua'.

aws workmail create-mobile-device-access-rule --organization-id m-a123b4c5de678fg9h0ij1k2lm234no56 --name DefaultDenyAll --effect DENY

Bereaksi terhadap perubahan postur perangkat dan buat penggantian akses perangkat seluler

Anda harus mengonfigurasi solusi MDM Anda untuk mengirim pemberitahuan perubahan postur perangkat. Pemberitahuan ini harus dikonsumsi oleh komponen yang dapat menggunakan Amazon WorkMail SDK untuk membuat atau memperbarui penggantian akses perangkat seluler. Secara default, Amazon WorkMail menolak akses ke perangkat yang tidak dikelola atau yang baru disediakan karena aturan akses perangkat seluler “tolak untuk semua” default yang ditampilkan sebelumnya dalam topik ini. Ketika solusi MDM menentukan bahwa perangkat memenuhi semua persyaratan dan mengeluarkan pemberitahuan yang menunjukkan bahwa perangkat tersebut sesuai, komponen ini dapat bereaksi terhadap pemberitahuan ini dengan membuat penggantian akses perangkat seluler dengan efek ALLOW untuk pengguna dan perangkat yang ditentukan. Jika perangkat nantinya tidak sesuai, solusi manajemen perangkat seluler akan mengeluarkan pemberitahuan lain, dan penggantian akses dapat dihapus atau dimodifikasi untuk menolak akses perangkat tersebut. Untuk informasi selengkapnya, lihat Mengelola penggantian akses perangkat seluler.

Untuk contoh Amazon yang WorkMail terintegrasi dengan MDM, lihat AWS contoh aplikasi ini.