การยืนยันตัวตนแบบมีตัวแทนและการเข้าถึงแบบมีเงื่อนไขสําหรับแอปมือถือการจัดการคลังสินค้า

แอปการจัดการคลังสินค้าสําหรับอุปกรณ์เคลื่อนที่สนับสนุนการรับรองความถูกต้อง brokered วิธีการลงชื่อเข้าใช้ที่ตัวกลางข้อมูลประจําตัวระดับ OS เช่น Microsoft Authenticator หรือ Intune Company Portal จัดการการรับรองความถูกต้องและการจัดการโทเค็นในนามของแอป เมื่อคุณใช้การรับรองความถูกต้องของโบรกเกอร์โบรกเกอร์จะมอบ Microsoft Entra ID ด้วยข้อมูลประจําตัวอุปกรณ์สถานะการปฏิบัติตามกฎระเบียบและสัญญาณความปลอดภัยในระหว่างคําขอการรับรองความถูกต้องทุกครั้ง

การยืนยันตัวตนแบบ brokered ไม่ใช่วิธีการยืนยันตัวตนแยกต่างหาก เป็นตัวเลือกการตรวจสอบชื่อผู้ใช้/รหัสผ่านที่ทําสองอย่าง: เปิดใช้งานการลงชื่อเข้าใช้ครั้งเดียว (SSO) และทําให้แอปเข้ากันได้กับนโยบาย การเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra ที่ขึ้นอยู่กับสัญญาณของอุปกรณ์ บทความนี้ครอบคลุมทั้งสองเรื่อง ใช้เป็นแหล่งอ้างอิงเดียวสําหรับการยืนยันตัวตนแบบ brokered ไม่ว่าคุณจะใช้ Conditional Access หรือไม่ก็ตาม

การเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra เป็นเอนจินนโยบายเสริมที่ควบคุมการเข้าถึงตามเงื่อนไข เช่น ตัวตนผู้ใช้ การปฏิบัติตามข้อกําหนดของอุปกรณ์ ตําแหน่งที่ตั้ง และระดับความเสี่ยง ไม่จําเป็นต้องรันแอปมือถือ Warehouse Management

บทความนี้อธิบายวิธีการเปิดใช้งานการรับรองความถูกต้องแบบโบรกเกอร์บนแอปสําหรับอุปกรณ์เคลื่อนที่ Warehouse Management เพื่อให้องค์กรของคุณสามารถบังคับใช้นโยบายการเข้าถึงตามเงื่อนไขได้

วิธีการทํางานของการรับรองความถูกต้องแบบโบรกเกอร์

เมื่อคุณใช้การรับรองความถูกต้องแบบโบรกเกอร์ โฟลว์ต่อไปนี้จะเกิดขึ้นในระหว่างการลงชื่อเข้าใช้:

1. แอปการจัดการคลังสินค้าสําหรับอุปกรณ์เคลื่อนที่มอบหมายการรับรองความถูกต้องไปยังแอปนายหน้า (Microsoft Authenticator หรือ Intune Company Portal) ที่ติดตั้งบนอุปกรณ์
2. โบรกเกอร์จะตรวจสอบข้อมูลประจําตัวของแอปและเรียกใช้ โทเค็นการรีเฟรชหลัก (PRT) ของอุปกรณ์ซึ่งเป็นโทเค็นที่ผูกกับอุปกรณ์ที่มีการอ้างสิทธิ์ข้อมูลประจําตัวอุปกรณ์และการอ้างสิทธิ์การปฏิบัติตามข้อกําหนด
3. โบรกเกอร์ส่งคําขอรับรองความถูกต้องไปยัง Microsoft Entra ID รวมถึงสัญญาณอุปกรณ์
4. Microsoft Entra ID ประเมินนโยบายการเข้าถึงแบบมีเงื่อนไขใด ๆ ที่นําไปใช้กับผู้ใช้ อุปกรณ์ หรือแอป และจะมอบสิทธิ์หรือปฏิเสธการเข้าถึงอย่างใดอย่างหนึ่ง
5. ถ้าได้รับสิทธิ์การเข้าถึง โบรกเกอร์จะส่งกลับโทเค็นการรับรองความถูกต้องไปยังแอปการจัดการคลังสินค้าสําหรับอุปกรณ์เคลื่อนที่

กระบวนการนี้จะเปิดใช้งานคุณลักษณะ เช่น การลงชื่อเข้าระบบครั้งเดียว (SSO) ทั่วทั้งแอป การบังคับใช้ MFA และการป้องกันโทเค็นที่ผูกกับอุปกรณ์— ทั้งหมดโดยไม่จําเป็นต้องมีแอปสําหรับอุปกรณ์เคลื่อนที่การจัดการคลังสินค้าเพื่อจัดการข้อกังวลด้านความปลอดภัยเหล่านี้โดยตรง

ข้อกําหนดของอุปกรณ์

ในการใช้การรับรองความถูกต้องแบบ brokered อุปกรณ์ของคุณจะต้องเป็นไปตามข้อกําหนดต่อไปนี้:

• คุณต้องเรียกใช้แอปการจัดการคลังสินค้าสําหรับอุปกรณ์เคลื่อนที่เวอร์ชัน 4.0.28 หรือใหม่กว่า
• อุปกรณ์ของคุณต้องใช้งานเวอร์ชันที่รองรับ ของ Windows, Android หรือ iOS
• อุปกรณ์ต้องลงทะเบียนด้วย Microsoft Entra ID นายหน้าสามารถดําเนินการลงทะเบียนนี้ (Workplace Join) เป็นส่วนหนึ่งของการลงชื่อเข้าใช้ครั้งแรก ดังนั้นไม่จําเป็นต้องตั้งค่าล่วงหน้า ตัวแอปเองไม่จําเป็นต้องลงทะเบียนสถานะใด ๆ โดยเฉพาะ ดูข้อมูลเพิ่มเติมในส่วนข้อกําหนดการลงทะเบียนอุปกรณ์
• ต้องติดตั้งแอปโบรกเกอร์บนอุปกรณ์ (ดูตารางต่อไปนี้) หากไม่มีโบรกเกอร์ติดตั้ง แอปจะกลับไปลงชื่อเข้าใช้ผ่านเบราว์เซอร์ และสัญญาณอุปกรณ์จะไม่สามารถเข้าถึงได้ตามเงื่อนไข

ตั้งค่า Microsoft Authenticator (Android และ iOS)

ทําตามขั้นตอนเหล่านี้เพื่อตั้งค่า Microsoft Authenticator ขั้นตอนจะเหมือนกันสําหรับทั้ง Android และ iOS

1. ติดตั้ง Microsoft Authenticator จาก App Store ของอุปกรณ์ (Google Play สําหรับ Android, App Store สําหรับ iOS)
2. เปิดแอปและเลือกปุ่ม เมนู
3. เลือก การตั้งค่า
4. เลือก การลงทะเบียนอุปกรณ์
5. ป้อนอีเมลหรือบัญชีองค์กรของคุณ
6. เลือกลงทะเบียนอุปกรณ์

การลงทะเบียนแอป

การรับรองความถูกต้องแบบโบรกเกอร์ทํางานร่วมกับแอปพลิเคชัน Microsoft Entra ID ส่วนกลาง - คุณไม่จําเป็นต้องมีการลงทะเบียนแอปด้วยตนเอง เราขอแนะนําแอปพลิเคชันส่วนกลางเนื่องจากง่ายต่อการตั้งค่าและบํารุงรักษา

แอปพลิเคชันส่วนกลางมีไว้เป็นแอปพลิเคชันของบุคคลแรก (FPA) Microsoft และพร้อมใช้งานบนระบบคลาวด์เชิงพาณิชย์ของ Azure ถ้าสภาพแวดล้อมของคุณถูกปรับใช้บนระบบคลาวด์ของรัฐบาลสหรัฐอเมริกา เช่น US Government Community Cloud (GCC) หรือ GCC High แอปพลิเคชันส่วนกลางจะไม่พร้อมใช้งาน และคุณต้องใช้การลงทะเบียนแอปด้วยตนเองแทน

ถ้าคุณใช้การลงทะเบียนแอปด้วยตนเองอยู่แล้วด้วยเหตุผลอื่น ๆ (เช่น ข้อกําหนดของสภาพแวดล้อมภายในองค์กรหรือการปรับใช้ระบบคลาวด์ของภาครัฐ) จะทํางานกับการรับรองความถูกต้องแบบโบรกเกอร์ เรียนรู้เพิ่มเติมในส่วน สร้างการลงทะเบียนแอปพลิเคชันแบบกําหนดเอง

กําหนดค่าอุปกรณ์เพื่อใช้การรับรองความถูกต้องแบบโบรกเกอร์

เมื่อคุณใช้แอปพลิเคชัน "UseBroker" ระดับโลก การตั้งค่าจะตั้งค่า true เป็นค่าเริ่มต้นในทุกแพลตฟอร์ม ดังนั้นแอปจะพยายามใช้โบรกเกอร์โดยไม่ต้องตั้งค่าเพิ่มเติม ยังต้องมีโบรกเกอร์อยู่ในอุปกรณ์เพื่อให้การยืนยันตัวตนแบบโบรกเกอร์มีผล คุณสามารถกําหนดค่าอุปกรณ์ด้วยตนเองผ่าน UI ของแอปหรือโดยอัตโนมัติโดยการแจกจ่ายไฟล์ JSON ผ่านคิวอาร์โค้ดหรือ MDM

ถ้าคุณไม่ต้องการใช้การรับรองความถูกต้องของโบรกเกอร์ ให้ตั้งค่าตัวเลือก การรับรองความถูกต้องแบบ Brokered เป็น ไม่ บนหน้า แก้ไขการเชื่อมต่อ (หรือตั้งค่า "UseBroker": false ในการกําหนดค่า JSON) ถ้าอุปกรณ์ไม่ได้ติดตั้ง Microsoft Authenticator แอปจะกลับไปเป็นการเชื่อมต่อผู้ใช้และรหัสผ่านมาตรฐาน

กําหนดค่าการเชื่อมต่อด้วยตนเอง

เมื่อต้องการตั้งค่าการเชื่อมต่อด้วยตนเอง ให้ทําตามขั้นตอนเหล่านี้บนอุปกรณ์แต่ละเครื่อง

1. เปิดแอปการจัดการคลังสินค้าสําหรับอุปกรณ์เคลื่อนที่ และเปิดหน้า แก้ไขการเชื่อมต่อ โดยทําขั้นตอนใดขั้นตอนหนึ่งต่อไปนี้:

   • ถ้าอุปกรณ์ของคุณยังไม่มีการเชื่อมต่อที่กําหนดไว้ ให้เลือก เชื่อมต่อ เพื่อสร้างการเชื่อมต่อใหม่
   • เมื่อต้องการแก้ไขการเชื่อมต่อที่มีอยู่ ให้เลือก แตะ เพื่อเปลี่ยนแปลง เลือกการเชื่อมต่อเป้าหมาย จากนั้นเลือก แก้ไขการตั้งค่าการเชื่อมต่อ
   • เมื่อต้องการเพิ่มการเชื่อมต่อใหม่ ให้เลือก ตั้งค่าการเชื่อมต่อ แล้วเลือก อินพุต ด้วยตนเอง

2. ทําการตั้งค่าต่อไปนี้บนหน้า แก้ไขการเชื่อมต่อ :

   • วิธีการรับรองความถูกต้อง – ตั้งค่าเป็นชื่อผู้ใช้และรหัสผ่าน
   • Cloud – ตั้งค่าเป็น Azure Global (แนะนํา) หากคุณใช้การลงทะเบียนแอปแบบกําหนดเอง ให้ตั้งค่าช่องนี้เป็น Manual และระบุค่า Microsoft Entra ID client ID

   กําหนดค่าการตั้งค่าอื่น ๆ ทั้งหมดตามที่อธิบายไว้ใน กําหนดค่าแอปพลิเคชันด้วยตนเอง

3. เลือก บันทึก

4. ลงชื่อเข้าใช้ด้วยข้อมูลประจําตัว Microsoft Entra ของผู้ปฏิบัติงาน

กําหนดค่าการเชื่อมต่อโดยใช้รหัส QR ตั้งค่าการเชื่อมต่อหรือระบบ MDM

หากต้องการแจกจ่ายการตั้งค่าการเชื่อมต่อผ่านระบบ QR code สําหรับการตั้งค่าการเชื่อมต่อหรือ MDM ให้สร้างไฟล์ JSON การกําหนดค่าการเชื่อมต่อที่มีรายละเอียดการเชื่อมต่อ ดูข้อมูลเพิ่มเติมในหัวข้อการตั้งค่าการเชื่อมต่อ

รหัส QR สําหรับการตั้งค่าการเชื่อมต่อจะนําเข้าการตั้งค่าการเชื่อมต่อ มันไม่เหมือนกับ QR code สําหรับลงชื่อเข้าใช้ ดูข้อมูลเพิ่มเติมได้ที่การลงชื่อเข้าใช้ด้วยรหัส QR และ PIN สําหรับแอปมือถือ Warehouse Management

สําหรับทุกแพลตฟอร์ม การเชื่อมต่อต้องใช้การตรวจสอบสิทธิ์ชื่อผู้ใช้/รหัสผ่าน ซึ่งคุณระบุไว้ในไฟล์ JSON การกําหนดค่าการเชื่อมต่อดังนี้:

• "ConnectionType": "UsernamePassword"

เมื่อคุณใช้แอปพลิเคชันระดับโลก ("AuthCloud": "AzureGlobal") การตรวจสอบสิทธิ์แบบ brokered จะถูกเปิดใช้งานโดยค่าเริ่มต้น ดังนั้นคุณไม่จําเป็นต้องตั้งค่า "UseBroker" อย่างชัดเจน

ตัวอย่างต่อไปนี้แสดงการกําหนดค่า JSON ที่ใช้แอปพลิเคชันส่วนกลางที่เปิดใช้งานการรับรองความถูกต้องแบบโบรกเกอร์:

{
    "ConnectionList": [
        {
            "ConnectionName": "Connection1",
            "ActiveDirectoryResource": "https://yourenvironment.cloudax.dynamics.com",
            "Company": "USMF",
            "ConnectionType": "UsernamePassword",
            "AuthCloud": "AzureGlobal"
        }
    ]
}

เรียนรู้เพิ่มเติมเกี่ยวกับการแจกจ่ายไฟล์ JSON ไปยังอุปกรณ์ของคุณได้ในเมนูนําเข้าการตั้งค่าการเชื่อมต่อจาก QR code และ Mass deploy แอปมือถือพร้อมการยืนยันตัวตนโดยผู้ใช้

การกําหนดค่านโยบายการเข้าถึงตามเงื่อนไข

หลังจากที่คุณเปิดใช้งานการตรวจสอบสิทธิ์แบบ brokered บนอุปกรณ์ของคุณ ผู้ดูแลระบบไอทีขององค์กรจะตัดสินใจว่านโยบายการเข้าถึงแบบมีเงื่อนไขใดจะใช้และกําหนดค่าใน ศูนย์การจัดการ Microsoft Entra ตัวอย่างต่อไปนี้แสดงประเภทของนโยบายที่องค์กรใช้กันทั่วไป นี่เป็นเพียงตัวอย่างเท่านั้น ไม่ใช่คําแนะนํา และการเลือกขึ้นอยู่กับความต้องการด้านความปลอดภัยขององค์กรคุณ:

• จําเป็นต้องมี MFA – จําเป็นต้องมีการรับรองความถูกต้องแบบหลายปัจจัยสําหรับผู้ใช้ทั้งหมดหรือกลุ่มเฉพาะ
• จําเป็นต้องใช้อุปกรณ์ที่สอดคล้อง – บล็อกการเข้าถึงจากอุปกรณ์ที่ไม่ตรงตามข้อกําหนดด้านการปฏิบัติตามข้อกําหนดขององค์กรของคุณ
• การเข้าถึงตามตําแหน่งที่ตั้ง – จํากัดการเข้าถึงตําแหน่งที่ตั้งเครือข่ายหรือช่วง IP ที่เฉพาะเจาะจง
• การเข้าถึงที่อิงตามความเสี่ยง – บล็อกหรือท้าทายการลงชื่อเข้าใช้ที่ Microsoft Entra ID ตรวจพบว่ามีความเสี่ยง

แอปมือถือ Warehouse Management ไม่ต้องตั้งค่าเพิ่มเติมเพื่อทํางานกับนโยบายเหล่านี้ และไม่มีการตั้งค่าใด ๆ ที่มาแทนที่นโยบายเหล่านี้ เมื่อคุณใช้การรับรองความถูกต้องของโบรกเกอร์โบรกเกอร์จะส่งผ่านอุปกรณ์และสัญญาณผู้ใช้ไปยัง Microsoft Entra ID ซึ่งประเมินนโยบายและเงินช่วยเหลือหรือปฏิเสธการเข้าถึงตามนั้น หากการลงชื่อเข้าใช้ถูกบล็อก การประเมินนโยบายจะเกิดขึ้นใน Microsoft Entra ID ดังนั้นผู้ดูแลระบบไอทีของคุณต้องตรวจสอบนโยบายและบันทึกการลงชื่อเข้าใช้ที่นั่น

สําหรับข้อมูลเพิ่มเติม ให้ดูเอกสารประกอบ การเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra

ข้อมูลที่เกี่ยวข้อง

• ภาพรวมการเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra
• ติดตั้งและกําหนดค่าแอปสําหรับอุปกรณ์เคลื่อนที่การจัดการคลังสินค้า
• การรับรองความถูกต้องตามผู้ใช้สําหรับแอป Warehouse
• ปรับใช้งานโดยรวมบนแอปสำหรับอุปกรณ์เคลื่อนที่ด้วยการรับรองความถูกต้องของผู้ใช้
• FAQ เกี่ยวกับการรับรองความถูกต้องของผู้ใช้