ما هو Google Credential Provider for Windows (GCPW) - تنظيم آليّة العمل في Windows 10 / 11، خطوات التنفيذ، وكيفيّة التعايش مع Active Directory من منظور تطبيقيّ
· 小村 豪 · Windows, GCPW, Google Workspace, Cloud Identity, Active Directory, إدارة أجهزة Windows
في الاستشارات التي تهدف إلى توحيد عمليّة تسجيل الدخول إلى أجهزة Windows نحو Google، تختلط الموضوعات الآتية بسرعة كبيرة:
- هل GCPW مجرّد “إظهار شاشة تسجيل الدخول الخاصّة بـ Google” فحسب
- ماذا يحدث للـ profiles المحلّيّة الموجودة والـ profiles الخاصّة بـ AD
- هل يستطيع الاهتمام بصلاحيّات الـ administrator في Windows و BitLocker وحتّى إدارة التحديثات
- كيف يتصرّف عند أوّل logon، وعند الاستخدام بدون اتّصال، وعند تسجيل الدخول بخطوتين، وعند تغيير كلمة المرور
- هل يمكن أن يتعايش مع Active Directory، أم يُستبدَل به
إن جُمعت هذه النقاط بشكل غير منظّم، فستنحرف التوقّعات قبل التنفيذ، وستزداد احتمالات الحوادث في الترحيل والإعداد الأوّليّ.
GCPW ليس مجرّد “شاشة Google sign-in”، ولا هو بديل كامل عن Windows domain.
في الممارسة، يصبح الأمر أكثر تنظيمًا حين نفصل بين Google sign-in إلى Windows، وربط الـ profiles القائمة، وسياسة كلمات المرور والـ sessions على جانب Google، والاستخدام المشترك مع Windows device management.
تنظّم هذه المقالة - من منظور تطبيقيّ ومع كثرة من مخطّطات Mermaid - ما الذي يحدث عند استخدام Google Credential Provider for Windows (GCPW) في بيئات Windows 10 / 11، والتشكيلات المناسبة، وخطوات التنفيذ، والمزالق. يعتمد المحتوى أساسًا على الوثائق الرسميّة لـ Google Workspace التي يمكن التحقّق منها حتّى مارس 2026.
المخطّطات تخطيطيّة. وتظهر كرسومات في بيئات Markdown التي تدعم Mermaid.
1. الخلاصة أوّلًا
إن سردنا الخلاصة فقط، ففي الممارسة الأمر هو الآتي تقريبًا:
- GCPW آليّة لتسجيل الدخول إلى Windows 10 / 11 باستخدام Google Account مُدار.
- البطل في GCPW المنفرد هو Windows sign-in وتجربة SSO في Chrome Browser.
- إن أردت رؤية تحديثات Windows و BitLocker وصلاحيّات local administrator والإعدادات المخصّصة وحتّى الـ wipe، فمن الأفضل عمليًّا افتراض الاستخدام المشترك مع Windows device management.
- في البيئات التي تحتوي على profiles محلّيّة / AD قائمة، إن لم تقرّر أوّلًا “هل تربط الـ profile القائم أم تنشئ profile جديدًا”، فستعلق غالبًا في الترحيل.
- أوّل sign-in يتطلّب الاتّصال. وفوق ذلك، في الأجهزة المنضمّة إلى AD التي لا يوجد فيها AD-backed profile قائم بعد، يصبح توفّر الاتّصال بـ AD عند أوّل sign-in مهمًّا أيضًا.
- offline sign-in ممكن، لكن إن لم تقرّر عدد الأيّام المسموح بها فسيتذبذب التشغيل.
- يمكن استخدام تسجيل الدخول بخطوتين، لكنّ USB security key غير مدعوم في GCPW.
- إن لم تقرّر سياسة كلمات المرور أوّلًا، فستحدث حوادث logon بسبب عدم التطابق بين جانب Google وجانب Windows. خاصّة سياسة إعادة التعيين على جانب AD / Entra ID فقط أوّلًا خطيرة.
- يتعامل GCPW مع Google فقط بوصفه Identity Provider، فمن الأفضل التفكير في التشكيلة على هذا الأساس.
باختصار، GCPW هو “آليّة الدخول إلى Windows عبر Google”، وإن أردت إحكام السيطرة على تشغيل أجهزة Windows ككلّ، فالأنسب هو تصميمه ضمن مجموعة مع Windows device management.
نلقي نظرة على التموضع في صورة واحدة أوّلًا
flowchart TD
A["Want to use Google Account on Windows device"] --> B{"What to achieve"}
B --> C["Google sign-in to Windows"]
B --> D["Centralized Windows settings"]
B --> E["Existing profile migration"]
C --> F["GCPW"]
D --> G["Windows device management"]
E --> H["Local / AD profile association design"]
F --> I["Windows logon"]
F --> J["Chrome Browser SSO"]
F --> K["Google password sync"]
G --> L["BitLocker"]
G --> M["Windows Update"]
G --> N["Local administrator privileges"]
G --> O["Custom settings / wipe / audit"]
H --> P["Create new profile"]
H --> Q["Reuse existing profile"]
2. فهم GCPW يصبح أسهل عند تقسيمه إلى 4 طبقات
ما يجعل حديث GCPW معقّدًا هو أنّ “sign-in” و”ترحيل الـ profile” و”إدارة الجهاز” تُعالَج في الكثير من الأحيان كأنّها قضيّة واحدة في الصندوق ذاته.
في الممارسة، تصبح الرؤية أوضح بكثير عند التفكير عبر هذه الطبقات الأربع:
| الطبقة | البطل | ما تتحكّم فيه |
|---|---|---|
| طبقة المصادقة | GCPW | تسجيل الدخول إلى Windows باستخدام Google Account |
| طبقة الـ profile | ربط الـ profile القائم | إعادة استخدام الـ profile المحلّيّ / AD القائم، أو إنشاء جديد |
| طبقة الإدارة | Windows device management | BitLocker، التحديثات، صلاحيّات local administrator، الإعدادات المخصّصة، الـ wipe، إلخ |
| طبقة الإعدادات | Admin console / registry | النطاقات المسموح بها، فترة عدم الاتّصال، إمكانيّة المستخدمين المتعدّدين، التسجيل التلقائيّ، إلخ |
بهذه الرؤية، تصبح أسباب الانحراف من نوع “أدخلت GCPW لكنّ BitLocker لا يعمل” أو “دخلت بـ Google لكنّ بيانات المستخدم القائمة لا تظهر” أكثر وضوحًا.
بنية الطبقات
flowchart LR
subgraph Id["ID / Session"]
A["Google Account"]
B["2-Step Verification"]
end
subgraph SignIn["Sign-in layer"]
C["GCPW"]
end
subgraph Profile["Windows profile layer"]
D["Existing local profile"]
E["Existing AD-backed profile"]
F["New Windows profile"]
end
subgraph Mgmt["Management layer"]
G["Windows device management"]
H["BitLocker / updates / local admin"]
I["Custom settings / wipe / audit"]
end
subgraph Config["Configuration layer"]
J["Admin console"]
K["Registry settings"]
end
A --> C
B --> C
C --> D
C --> E
C --> F
J --> C
K --> C
G --> H
G --> I
C --> G
3. كيف يعمل في بيئة Windows
3.1 لنرسّخ المتطلّبات أوّلًا
في بيئة Windows، المهمّ أوّلًا ألّا تتعثّر في المتطلّبات.
| الزاوية | النقطة الواجب ترسيخها في الممارسة |
|---|---|
| OS | المفترض هو Pro و Pro for Workstations و Enterprise و Education من Windows 10 / 11. الـ 32bit / 64bit مدعومة، وأجهزة ARM-based غير مدعومة. |
| المتصفّح | يلزم إصدار stable من Chrome Browser 81 فأعلى. وفوق ذلك، يُفترض أن يكون مثبَّتًا بصلاحيّات administrator. |
| صلاحيّة التثبيت | تنفيذ الـ installer على الجهاز يتطلّب صلاحيّات administrator. النشر عبر أدوات التوزيع أو PowerShell ممكن أيضًا. |
| أوّل sign-in | اتّصال الإنترنت ضروريّ. |
| الأجهزة المنضمّة إلى AD | إن لم يوجد AD-backed profile قائم بعد على الجهاز، يجب أن يكون الاتّصال بـ AD متاحًا عند أوّل sign-in. |
| الترخيص | الإصدارات المدعومة في GCPW المنفرد والاستخدام المشترك مع Windows device management ليست ذاتها. التحقّق من خطّة العقد ضروريّ قبل التنفيذ. |
ما يسهل إغفاله هنا هو Chrome وعدم دعم ARM.
بما أنّ الموضوع يتعلّق بأجهزة Windows، يميل المرء إلى النظر إلى الـ OS فقط، لكنّ GCPW يعتمد على جانب Chrome أيضًا في بدء شاشة Google sign-in، لذا يمكن أن يفشل الـ logon أيضًا بسبب غياب Chrome أو عدم اتّساق المسار.
3.2 من أوّل sign-in إلى الـ logon المعتاد
إن بسّطنا التدفّق بعد تنفيذ GCPW فهو الآتي:
- تثبيت GCPW على الجهاز
- يسجّل المستخدم الدخول لأوّل مرّة باستخدام Google Account
- يقوم GCPW إمّا بـربط الـ profile القائم أو إنشاء Windows profile جديد
- بعد ذلك، يدخل عبر شاشة Windows logon المعتادة
- لكن عند أحداث أمنيّة مثل تغيير كلمة مرور Google أو انتهاء صلاحيّة الـ session، تُطلَب شاشة Google sign-in مرّة أخرى
المهمّ هنا هو أنّ “الدخول من خلال نافذة Google في كلّ مرّة” ليس ما يحدث بالضرورة.
عند أوّل logon أو في أحداث أمنيّة محدّدة تظهر مصادقة Google في المقدّمة، أمّا في الاستخدام المعتاد فالغالب هو sign-in عبر شاشة Windows logon.
تدفّق أوّل sign-in
sequenceDiagram
participant U as User
participant W as Windows sign-in screen
participant G as Google sign-in
participant P as GCPW
participant R as Existing / new profile
participant C as Chrome Browser
U->>W: Choose Add Work Account or existing account
W->>G: Launch Google auth screen
G->>U: Email / password / 2SV
U->>G: Submit credentials
G->>P: Auth success
alt Associate existing profile
P->>R: Find and associate existing local / AD profile
else Create new
P->>R: Create new Windows profile
end
P->>C: Carry over Google sign-in state
P->>W: Start Windows session
3.3 مزامنة كلمة المرور، عدم الاتّصال، تسجيل الدخول بخطوتين
إن أردت تشغيلًا مستقرًّا لـ GCPW في بيئة Windows، فأوّل ما ينبغي النظر إليه فعلًا هو سياسة كلمة المرور.
في الدليل الرسميّ من Google أيضًا، يُفترض في الأجهزة التي تستخدم GCPW أن تكون كلمة مرور Google وكلمة مرور Windows متزامنتين. وعلى نحو معتاد، يُفترض أن يدير المستخدمون كلمة مرور Google بشكل أساسيّ.
لذلك فالتصميم الذي يعتمد على تغيير كلمة مرور Windows من Ctrl + Alt + Delete لا يتوافق جيّدًا.
مفهوم مزامنة كلمة المرور
flowchart LR
A["Google password change"] --> B{"Device online?"}
B -- Yes --> C["GCPW syncs Windows-side password"]
C --> D["Next logon succeeds"]
B -- No --> E["Sync deferred"]
E --> F["Re-sync at next online time"]
G["Password changed only on AD / Entra ID side"] --> H["Mismatch between Google and Windows"]
H --> I["Password incorrect / sync error"]
في الممارسة، الشائع هو الآتي:
- ظنّ المستخدم أنّه غيّر كلمة المرور على جانب Google، لكنّ الجهاز كان غير متّصل ولم يتزامن بعد مع جانب Windows
- على العكس، أُعيد تعيين كلمة المرور على جانب AD / Entra ID فقط أوّلًا، فحدث عدم تطابق مع جانب Google
- درجة تعقيد كلمة المرور على جانب Google أضعف من Windows / AD، فجرى تغييرها إلى نصّ لا يلبّي متطلّبات جانب Windows
لذلك، يجب أن تقرّر قبل التنفيذ على الأقلّ ما يلي:
- هل تضع زمام كلمة المرور على جانب Google
- أم تزامن إلى Google من AD / Entra ID / أدوات أخرى
- هل توحّد درجة التعقيد لتكون مطابقة لجانب Windows أو أعلى
عدم الاتّصال وتسجيل الدخول بخطوتين
GCPW يدعم offline sign-in في حدّ ذاته.
لكن يمكن إعداد عدد الأيّام المسموح بها منذ آخر online sign-in. إن أُدخل دون تحديد ذلك، سيميل الأمر إلى أحد طرفين: إمّا صرامة شديدة تُربك الميدان، أو تساهل مفرط يرفع المخاطرة عند فقدان الجهاز.
كذلك، تسجيل الدخول بخطوتين يمكن استخدامه، لكن من الأكثر أمانًا تبليغ النقاط التالية مسبقًا:
- USB security key غير مدعوم في GCPW
- بدلًا منه، تُفترض طرق مثل Google prompt و Google Authenticator و backup code
- في تشكيلة لا تسمح إلّا بـ security key، يمكن أن يصبح المستخدم غير قادر على الدخول إلى Windows
4. كيف نتعامل مع الـ profiles المحلّيّة / AD القائمة
أكثر ما تحدث الحوادث فيه عند الانتقال إلى GCPW هو هنا.
عند وجود Windows profile للأعمال على الجهاز سلفًا، فإنّ تجربة المستخدم وصعوبة الترحيل تتغيّران كثيرًا تبعًا لما إذا كنت ستقوم في جانب GCPW بـربطه وإعادة استخدامه أم بـإنشاء Windows profile جديد.
الأنماط الثلاثة الممثِّلة
| النمط | ما الذي يحدث | متى يناسب | ملاحظات |
|---|---|---|---|
| إنشاء profile جديد | يُنشأ Windows profile جديد لـ Google sign-in | الأجهزة المُوزَّعة حديثًا، البناء النظيف | لا تُورَّث البيانات القائمة. يلزم خطّة ترحيل منفصلة. |
| ربط profile محلّيّ قائم | يُربط الـ profile المحلّيّ المستخدَم حاليًّا بـ Google Account | الترحيل التدريجيّ للأجهزة القائمة | يلزم تصميم مسبق لأيّ Google Account يقابل أيّ Windows user. |
| ربط AD-backed profile قائم | تُعاد الاستفادة من الجهاز المنضمّ إلى AD وملفّ profile الأعمال القائم | عند الرغبة في الإبقاء على أجهزة AD مع التقريب من تجربة Google logon | الاتّصال بـ AD مهمّ عند أوّل مرّة. وسهل الفشل بسبب أخطاء في تعريف المقابلة. |
في إرشادات Google أيضًا، عند الربط بـ profile قائم، تُستخدم custom attribute في Directory لمقابلة اسم Windows account أو AD account، أو تُستخدم إعدادات registry على أساس SID على جانب الجهاز.
أي أنّها عمليّة ترحيل تتطلّب تصميمًا مسبقًا، وليست تشغيلًا يقوم فيه المستخدم بالاختيار في اللحظة بعد الإدخال.
والأهمّ هو السلوك في حال عدم الربط:
- مستخدم الـ profile المحلّيّ القائم قد يبقى لديه مجال للدخول إلى الـ profile القديم
- مستخدم AD القائم، إن أُنشئ له profile جديد لـ Google sign-in، قد لا يستطيع الدخول بسلاسة إلى profile الأعمال المتوقّع
مخطّط الحكم على كيفيّة معاملة الـ profile القائم
flowchart TD
A["Existing business Windows profile on device"] --> B{"Want to keep using its data / settings?"}
B -- Yes --> C["Design existing profile association"]
B -- No --> D["Let GCPW create new Windows profile"]
C --> E{"Type of existing profile"}
E -- Local --> F["Map via Local Windows accounts"]
E -- AD-backed --> G["Map via AD accounts"]
G --> H["Verify AD connectivity at first sign-in"]
F --> I["Sort out Windows username / per-device limits"]
D --> J["Migrate existing data via separate plan"]
5. الفرق بين GCPW المنفرد و GCPW + Windows device management
عند الحديث عن GCPW، فإنّ الفصل هنا مهمّ جدًّا في الممارسة.
جدول المقارنة
| الزاوية | GCPW المنفرد | GCPW + Windows device management |
|---|---|---|
| Windows sign-in بـ Google | ممكن | ممكن |
| Chrome Browser SSO | ممكن | ممكن |
| ربط الـ profile القائم | ممكن | ممكن |
| التسجيل التلقائيّ للجهاز | لا | نعم |
| التحكّم في صلاحيّات local administrator | غير متاح أساسًا | ممكن |
| BitLocker | غير متاح أساسًا | ممكن |
| التحكّم في Windows Update | غير متاح أساسًا | ممكن |
| توزيع إعدادات مخصّصة | غير متاح أساسًا | ممكن |
| Wipe / audit / إدارة تفصيليّة | محدود | ممكن |
| المواقف المناسبة | ترغب فقط في تجربة Google logon | إدارة أجهزة Windows المُسلَّمة من الشركة بشكل متمحور حول Google |
في الإصدار الرسميّ من Google أيضًا، يُوصى للأجهزة المُسلَّمة من الشركة بـتشكيلة GCPW و Windows device management معًا.
بالعكس، إن كانت لديك بنية إدارة أخرى قائمة وتريد فقط تجربة Google logon، فالتفكير يكون نحو GCPW المنفرد.
قيد ضمنيّ مهمّ عند الاستخدام المشترك
عند استخدام Windows device management بالتزامن، من الأكثر أمانًا إدراك مسبقًا أنّه يمكن لمستخدم واحد فقط أن يَسجِّل (enroll) في الجهاز الواحد.
في الإصدار الرسميّ من Google أيضًا، يُذكَر هذا بوصفه قيدًا على جانب Windows 10 / 11.
حتّى لو شكّلت الجهاز ليتمكّن مستخدمون متعدّدون من الدخول إليه عبر GCPW، فإنّ من يُسجَّل في Windows device management هو المستخدم الأوّل. وفوق ذلك، فإنّ الإعدادات على مستوى الجهاز مثل BitLocker والتحديثات وصلاحيّات local administrator تؤثّر على المستخدمين الآخرين الذين يستخدمون الجهاز ذاته أيضًا.
مشكلة المستخدم الأوّل
flowchart TD
A["Set up device"] --> B["First user to sign in via GCPW"]
B --> C["Enroll in Windows device management"]
C --> D["Device-level settings applied"]
D --> E["BitLocker / updates / local admin / custom settings"]
F["Other user signs in later via GCPW"] --> G["Windows sign-in itself works"]
G --> H["But enroll user does not increase"]
H --> I["Device-level settings assume first enroll"]
ما يترتّب على ذلك هو مشكلة دخول مسؤول التجهيز (kitting) أوّلًا عبر GCPW.
حين يُسجَّل حساب موظّف الإعداد، لا حساب الموظّف الذي سيستخدم الجهاز فعلًا، فإنّ حادثة “عدم تطبيق الإعدادات المقصودة لاحقًا” تقع.
6. ما يجب تقريره قبل التنفيذ
ما يؤثّر لاحقًا في تنفيذ GCPW ليس تنفيذ الـ installer ذاته، بل التصميم المسبق.
إن أعدنا صياغة الدليل الرسميّ بصورة تطبيقيّة، فمن الأكثر أمانًا تقرير الستّة الآتية على الأقلّ مسبقًا:
flowchart LR
A["Decide before deployment"] --> B["Password ownership"]
B --> C["Complexity requirements"]
C --> D["Permitted domains"]
D --> E["Existing profile handling"]
E --> F["Support admin privileges"]
F --> G["Auto-enrollment staging"]
G --> H["Offline allowance days"]
الطريقة السيّئة، والطريقة التطبيقيّة
| الزاوية | الطريقة السيّئة | الطريقة التطبيقيّة |
|---|---|---|
| كلمة المرور | إعادة التعيين على جانب AD / Entra فقط أوّلًا | اختر إمّا بقيادة Google، أو حدّد مسبقًا تشغيلًا يفترض أداة مزامنة |
| التعقيد | البدء مع إبقاء متطلّبات جانب Google ضعيفة | جعل متطلّبات جانب Google مطابقة لـ Windows / AD أو أعلى |
| النطاقات المسموح بها | توزيع الـ installer فقط والتفكير لاحقًا | تحديد permitted domains قبل الـ pilot |
| الـ profile القائم | الحلّ بقرار ميدانيّ | تقرير الربط أو الإنشاء الجديد لكلّ مجموعة أجهزة |
| الـ staging | تسجيل دخول مسؤول الـ kitting أوّلًا عبر GCPW | الإعداد بـ local administrator، أو إيقاف التسجيل التلقائيّ في الـ OU المخصّصة للإعداد |
| صلاحيّات الدعم | النظر فقط إلى مستخدم GCPW ونسيان مسار الـ helpdesk | تصميم صلاحيّات administrator للـ AD users و AD groups و local users مسبقًا |
| عدم الاتّصال | البدء دون تحديد عدد الأيّام المسموح بها | تقرير الأيّام بناءً على المخاطر والتشغيل الميدانيّ |
ثلاث نقاط يسهل إغفالها بشكل خاصّ
1. النطاقات المسموح بها ضروريّة
في GCPW، ما لم تُقرّر أيّ نطاق من الحسابات يُسمَح له بالـ logon، فلن يستطيع المستخدم الدخول.
يمكن إعدادها في Admin console أو في domains_allowed_to_login في الـ registry، لكن في كلتا الحالتين هذا أمر ضروريّ.
2. Admin console و registry تتقاسمان الأدوار
كثيرًا ما تكون المقالات القديمة محورها إعدادات الـ registry، لكنّ الأساس الآن هو الإدارة عبر Admin console.
لكن في الحالات التي تريد فيها دقّة أعلى، مثل رغبة الجهاز الواحد في امتلاك نطاقات سماح مختلفة، قد يكون الـ registry أنسب.
3. إعدادات Admin console ليست فوريّة الانعكاس
تُزامَن إعدادات GCPW إلى الجهاز بإيقاع تقريبه ساعة واحدة.
“الإعدادات أُدخلت لكنّها لم تنعكس فورًا” أمر شائع، فمن الأكثر أمانًا أن ترى الأمور خلال الـ pilot مع احتساب هذا التأخّر.
7. خطوات التنفيذ التطبيقيّة
نظّم هنا - باختصار قدر الإمكان - تدفّق تنفيذ GCPW عمليًّا في بيئة Windows.
تدفّق التنفيذ
flowchart TD
A["1. Verify license plan / OS / Chrome requirements"] --> B["2. Decide password strategy and complexity"]
B --> C["3. Decide permitted domains and various settings"]
C --> D["4. Decide existing profile association need"]
D --> E["5. Enable Windows device management if used"]
E --> F["6. Get installer from Admin console"]
F --> G["7. Distribute and install with admin privileges"]
G --> H["8. User performs first online sign-in"]
H --> I["9. Verify device details / enrollment / logs"]
7.1 قرّر التشكيلة أوّلًا
في البداية، قرّر الآتي:
- هل تستخدم GCPW المنفرد
- أم GCPW + Windows device management
- هل تربط الـ profile القائم
- أم تنتقل عبر profile جديد
هذا الحكم يأتي أوّلًا.
إن وزّعت الـ installer فقط دون تقرير ذلك، ستجد لاحقًا “إدارة الجهاز التي توقّعتها لا تتمّ” أو “بيانات المستخدم القائمة لا تُورَّث”.
7.2 قرّر النطاقات المسموح بها والخيارات
طريقتا الإعداد:
- Admin console
مناسب حين تريد توزيع الإعدادات ذاتها عبر المؤسّسة كلّها. هذا هو الأساس الآن. - Registry على الجهاز
مناسب حين تريد التقسيم بدقّة لكلّ جهاز.
إن استخدمت الـ registry، فعلى الأقلّ يلزم domains_allowed_to_login.
إن استخدمت GCPW بالاشتراك مع Windows device management، فإنّ enable_dm_enrollment و validity_period_in_days، وفي تشغيل شبيه بالأجهزة المشتركة enable_multi_user_login تصبح نقاط حكم.
7.3 احصل على الـ installer ووزّعه
من Admin console، احصل على installer GCPW بنسختيه 32bit / 64bit ووزّعه إلى الأجهزة.
في نموذج الإدارة الحاليّ، يحتوي الـ installer المنزَّل من Admin console على organization-specific token مدمج، فمن الأوضح الآن أن نفكّر بالاعتماد على هذا.
7.4 ثبِّت
في حال التثبيت اليدويّ، يمكنك مثلًا فعل ما يلي:
# 64bit version
gcpwstandaloneenterprise64.exe /silent /install
# 32bit version
gcpwstandaloneenterprise.exe /silent /install
7.5 مثال على الإعدادات الفرديّة عبر الـ registry
مثال حين تريد إدخال قيم لكلّ جهاز لم تُعدّها في Admin console.
ملاحظة: حين تكون القيمة ذاتها موجودة في كلّ من Admin console والـ registry، يكون لجانب Admin console الأولويّة.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Google\GCPW]
"domains_allowed_to_login"="example.com"
"enable_dm_enrollment"=dword:00000001
"validity_period_in_days"=dword:00000007
"enable_multi_user_login"=dword:00000000
7.6 إن كنت ستعيد استخدام الـ profile القائم، فجهّز تعريف الربط مسبقًا
إن أردت إعادة استخدام profile محلّيّ / AD قائم، فجهّز مسبقًا مقابلة Google Account للمستخدم مع Windows account عبر custom attribute في Directory ونحوها.
إن أُجِّل ذلك وسُمح بالـ logon أوّلًا، فمن المرجّح أن يُنشأ profile جديد ثمّ تضطرّ إلى الرجوع.
7.7 تحقّق بعد أوّل online sign-in
بعد أوّل sign-in، انظر إلى الآتي:
- هل دخلت إلى الـ Windows profile المتوقَّع
- إن استخدمت Windows device management بالتزامن، هل تمّ enroll بالمستخدم المقصود
- هل ظهرت تفاصيل الجهاز في Admin console
- هل اكتملت مزامنة الـ policy
8. المزالق الشائعة، والتمييز على Windows
مشكلات GCPW عادةً ما تكون إحدى الآتية:
| العَرَض | أوّل ما نشكّ فيه | السبب الشائع | أوّل ما نفعله |
|---|---|---|---|
| “Your administrator doesn’t allow you to sign in with this account” | النطاقات المسموح بها | permitted domains غير محدَّدة | تحقّق من Admin console أو domains_allowed_to_login |
| لا تُفتح شاشة Google sign-in | Chrome | عدم إدخال Chrome، أو خطأ في المسار، أو تداخل AV | تحقّق من وجود Chrome ومساره وإمكانيّة بدئه |
| كلمة المرور لا تتطابق / خطأ مزامنة | سياسة كلمة المرور | عدم تطابق Google / Windows | تحقّق أيّهما غُيِّر أوّلًا |
| الدخول عبر Google ممكن لكن لا تظهر البيانات القائمة | ربط الـ profile | تدفّق إلى إنشاء profile جديد | تحقّق من وجود إعدادات الربط |
| لم يدخل في device management | enrollment | المستخدم الأوّل خاطئ / التسجيل التلقائيّ موقَف | راجع المستخدم المستهدَف للـ enroll وخطوات الـ staging |
| الـ policy لا تنعكس | توقيت المزامنة | لم تتمّ المزامنة بعد | انتظر نحو ساعة أو نفّذ المزامنة يدويًّا |
تدفّق troubleshooting
flowchart TD
A["Issue with GCPW"] --> B{"What is happening?"}
B -- Sign-in rejected --> C["Check permitted domains"]
B -- Google screen does not appear --> D["Check Chrome presence / path / AV"]
B -- Password incorrect --> E["Check Google / Windows sync state"]
B -- Existing data not visible --> F["Check profile association"]
B -- Not in device management --> G["Check first enroll user"]
C --> H["Check Admin console / registry"]
D --> I["Reinstall Chrome"]
E --> J["Reorganize password policy"]
F --> K["Recheck custom attribute / SID mapping"]
G --> L["Revise staging steps"]
مكان الحصول على السجلّات في Windows
عند تتبّع GCPW على Windows، المكان الأوّل هو Event Viewer.
Windows Logs > Application- Event source هو GCPW
بهذا يمكنك رؤية معظم المعلومات الأساسيّة.
لمزيد من التفصيل، يمكن تفعيل verbose logging في الـ registry.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Google\GCPW]
"enable_verbose_logging"=dword:00000001
"log_file_path"="C:\\GCPW.log"
"log_file_append"=dword:00000001
إن أردت رؤية Windows device management أيضًا، انظر إلى الآتي عند الحاجة:
Applications and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostic-Provider > Admin
عند الرغبة في التحقّق السريع من الانعكاس
بعد تعديل النطاقات المسموح بها أو الـ policy، إن أردت التحقّق سريعًا من الانعكاس، يصف دليل Google طريقة لحثّ المزامنة عبر تنفيذ GoogleUpdateTaskMachineUA من Task Scheduler.
خلال الـ pilot، إذا أبقيت هذه الخطوة في متناول يدك، يصبح التمييز أسرع.
9. لأيّ منظّمات يصلح، ولأيّها لا يصلح
المواقف المناسبة
| الموقف المناسب | السبب |
|---|---|
| Google Workspace / Cloud Identity في مركز الـ ID | يسهل ربط Windows sign-in بتجربة المصادقة على جانب Google |
| إدارة أجهزة Windows المُسلَّمة من الشركة بشكل متمحور حول Google | التوافق بين GCPW + Windows device management جيّد |
| الترحيل التدريجيّ للـ profiles المحلّيّة / AD القائمة | إن أمكن تصميم الربط، يسهل الانتقال مع الإبقاء على بيانات المستخدم |
| البدء أوّلًا بتجربة Google logon | يوجد خيار البدء بـ GCPW المنفرد |
المواقف غير المناسبة
| الموقف غير المناسب | السبب |
|---|---|
| استخدام غير Google كـ ID رئيسيّ لـ Windows logon | GCPW يتعامل مع Google فقط بوصفه ID provider |
| افتراض أجهزة Windows ARM-based | بحسب المتطلّبات الرسميّة، GCPW غير مدعوم على ARM |
| الإلزام بـ USB security key فقط | GCPW لا يدعم USB security key |
| توقّع enrollment لـ device management لكثير من المستخدمين على جهاز مشترك | قيد enroll واحد لكلّ جهاز يسري |
| الاعتقاد بأنّ “إدخال GCPW يستبدل تشغيل Windows domain بكامله” | في الواقع، يلزم فصل تصميم المصادقة والـ profile القائم وإدارة الجهاز |
10. الخلاصة
سرّ استخدام GCPW جيّدًا في بيئة Windows هو ألّا ننظر إلى الميزات ككتلة واحدة.
- GCPW آليّة الدخول إلى Windows عبر Google
- ربط الـ profile القائم آليّة الترحيل
- Windows device management آليّة تشغيل الجهاز
عند فصل هذه الثلاث، يصبح الحكم على التنفيذ أيسر بكثير.
في الممارسة، النقاط الخمس الأهمّ هي الآتية:
- قرّر سياسة كلمة المرور أوّلًا
- قرّر النطاقات المسموح بها أوّلًا
- قرّر هل تعيد استخدام الـ profile القائم
- إن استخدمت Windows device management، فلا تخطئ في المستخدم الأوّل للـ enroll
- احتفظ بإجراء troubleshooting يفترض Event Viewer
باختصار، GCPW هو أداة تطبيقيّة لتقريب Windows logon نحو جانب Google.
لكنّ ما يفيد فعلًا ليس لحظة تنفيذ الـ installer، بل التصميم الذي يسبقه.
إن أحكمت ذلك مسبقًا، تتّصل خطوط Google logon والاستمرار في استخدام البيانات القائمة وإدارة أجهزة Windows بصورة متكاملة جدًّا.
مقالات ذات صلة
- متى يلزم امتياز administrator في Windows - UAC والمناطق المحميّة وكيفيّة التمييز التصميميّ
- كيف نسرّع التحقّق من تطوير تطبيقات Windows باستخدام Windows Sandbox - تنظيم تطبيقيّ لمشكلات صلاحيّات administrator والبيئة النظيفة وإعادة إنتاج نقص الصلاحيّات والموارد
- ما هو ClickOnce - تنظيم الآليّة والتحديث والمواقف المناسبة وغير المناسبة من منظور تطبيقيّ
مواضيع ذات صلة
الخدمات التي يتّصل بها هذا الموضوع
المراجع
- Google Workspace Help - Overview: Enhanced desktop security for Windows
- Google Workspace Help - Prepare to install GCPW
- Google Workspace Help - Install Google Credential Provider for Windows
- Google Workspace Help - Set up GCPW and Windows device management together
- Google Workspace Help - Associate Google accounts with existing Windows profiles
- Google Workspace Help - Set account privileges on Windows 10 or 11 devices
- Google Workspace Help - FAQ for GCPW
- Google Workspace Help - Troubleshoot GCPW
- Google Workspace Learning Center - Sign in to Windows after GCPW installation
- Google Workspace Help - Set token to manage GCPW from the Admin console
- Google Workspace Help - What’s new in GCPW
مقالات ذات صلة
أحدث المقالات التي تشترك في نفس الوسوم. عمّق فهمك بمواضيع مرتبطة.
كيف نُطيل عمر أنظمة الويب الداخليّة المعتمدة على IE mode وكيف نخرج منها - تنظيم الاستراتيجيّات الميدانيّة من الإدارة المركزيّة لقائمة المواقع، إلى WebView2، والإعادة الهيكليّة التدريجيّة، ووصولًا إلى عزل VDI
نتناول استراتيجيّةً عمليّةً لإطالة عمر أنظمة الويب الداخليّة المعتمدة على IE mode والخروج منها تدريجيًّا عبر إدارة قائمة المواقع وتغليف W...
ما يجب التحقّق منه عندما لا يعمل ActiveX على Office 2024 / Microsoft 365 - الترتيب العمليّ لتغطية التعطيل الافتراضيّ، 32bit / 64bit، تسجيل COM، DLL التابعة، ووصولًا إلى IE mode
دليل عمليّ لتشخيص توقّف ActiveX على Office 2024 و Microsoft 365، يرتّب الفحوص من التعطيل الافتراضيّ إلى تطابق 32bit / 64bit وتسجيل COM وD...
دليل المراجعة الشاملة لـ VBA و Excel macro والأدوات الداخليّة استعدادًا لإيقاف VBScript - الجرد / الكشف الساكن / سجلّات التشغيل / اختيار البديل / الاختبار / النشر التدريجيّ
ملخّص عمليّ على صفحة واحدة لمسار الاستعداد لإيقاف VBScript تدريجيًّا: جرد VBA و Excel macro والأدوات الداخليّة، الكشف الساكن، تجميع سجلّا...
شرح ترميزات النصّ ونهايات السطور في Windows - Shift_JIS و UTF-8 و UTF-16 و mojibake و CRLF و LF
دليل عمليّ يوضّح كيف تتعايش UTF-8 و CP932 و UTF-16 و BOM ونهايات CRLF/LF في Windows، وكيف تشخّص mojibake وتمنع تلف البيانات.
ما هو ClickOnce - كيف يعمل، وكيف تعمل التحديثات، ومتى يلائم العمل الفعليّ ومتى لا يلائمه
نظرة عمليّة على ClickOnce لتوزيع تطبيقات .NET لسطح مكتب Windows: كيف تعمل manifests والتحديثات والـ cache، ومتى يلائم العمل الداخليّ ومتى...
أين يتصل هذا الموضوع
ترتبط هذه المقالة بشكل طبيعي بصفحات الخدمات التالية.
تطوير تطبيقات ويندوز
ندعم تطوير برامج ويندوز للأعمال، وتكامل الأجهزة، وأدوات التواصل.
الملف الشخصي للمؤلف
صفحة الملف الشخصي لمؤلف المقالة.
غو كومورا
مؤسّس شركة كومورا سوفت ذ.م.م.
يركّز على تطوير برامج ويندوز، والاستشارات التقنية، والتحقيق في الأخطاء، ويتميّز في المشاريع التي تبقى فيها الأصول القديمة ناشطة، وفي تشخيص الأعطال التي يصعب تحديد سببها.
روابط عامة