Workspace ONE 统一端点管理系统对 Windows 多用户的支持

news2024/12/23 19:14:58

自从二十多年前微软推出 Active Directory（AD）以来，用户就可以使用他们在 AD 中的任何账户登录到 Windows 域连接的 PC 上，而该 PC 将根据他们的需求量身定制。组策略对象（Group policy objects, GPOs）使这成为可能，因为它们可以同时针对计算机和用户。在涉及轮班员工或共享办公 PC 的情况下，这使得员工可以灵活地使用设备。GPOs 还支持不同用户共享同一设备，因为设备会在登录时进行个性化设置。

随着 Windows 10 的推出，微软在操作系统中嵌入了 Open Mobile Alliance Device Management（OMA-DM）协议。这一改变使 Windows 可以像移动设备一样进行自由管理，这就是所谓的移动设备管理（Mobile Device Management, MDM）。这已成为使用云解决方案管理 Windows 的标准，如 VMware Workspace ONE 统一端点管理系统。

不过，OMA-DM 协议可追溯到 2000 年代初，最初是为手机设计的。由于这些设备通常是个人设备，因此共享设备用例并没有内置在该协议中。

这意味着使用 Workspace ONE UEM 或 Intune（或其他 MDM 产品）管理的 Windows 设备不再支持共享设备模式。实际上，每个用户仍然可以登录 Windows 设备，但 MDM 解决方案只能管理计算机，而不能管理用户。因此，用户无法获得个性化的体验，针对用户的安全策略也无法应用，可能会使设备处于不安全状态。用户还会错过自己的个人设置，例如需要手动配置电子邮件客户端，这会影响用户体验。

Workspace ONE UEM 现在如何支持多用户场景

随着 Workspace ONE UEM 23.02 的发布，这种情况发生了改变。我们现在支持共享 PC 和多用户场景，允许轮班员工使用共享的 Windows 设备。用户登录后，设备将安装任何针对用户的配置文件、策略、应用程序和设置，从而确保设备的个性化和安全性。例如，将预先配置 Outlook、安装 SSO 用户证书、设置壁纸、配置 VPN 客户端等。

Workspace ONE UEM 用户一直要求这项功能，我们很自豪地宣布，23.02 版本现已提供这项功能，而且是市场上独一无二的。

这意味着我们现在可以支持轮班员工、学校、一线员工和共享办公空间，以及所有其他涉及 PC 共享的使用案例！
在这里插入图片描述
Windows 设备将由 Workspace ONE UEM 管理，设备目标配置文件和应用程序将在用户间共享，每个用户在登录时都将安装自己的个人用户目标配置文件和应用程序。

这一直是 Windows 现代管理最需要的功能之一。但由于 OMA-DM 协议不支持该功能，加上解决方案需要能够支持真正的 Windows 多用户功能和现代管理功能，所以我们需要花费更多精力来构建它。我们需要为注册、用户切换、设备配置文件、用户配置文件、合规性、应用程序权限等提供支持。

为了解释该功能的工作原理，我添加了下面的架构概述。该图显示了如何使用 Workspace ONE UEM 管理 Windows 桌面。正如您所看到的，在 OMA-DM 协议旁边，我们添加了第二个与设备通信的通道。这就是 AirWatch Cloud Messaging (AWCM)服务与 Workspace ONE Intelligent Hub 代理进行通信。我们已经通过 Intelligent Hub 增加了许多强大的功能，现在的多用户支持是市场上另一项独特的 Windows 设备现代化管理功能。
在这里插入图片描述
目前的多用户支持只是发布的第一阶段，我们打算在未来扩展该功能。在当前版本中，为特定用户安装的应用程序将保留在设备上，登录 PC 的任何人都可以使用。建议在设备级别分配应用程序，以防止不必要的应用程序访问。