Cung cấp tính năng quản lý thiết bị

Quản trị viên CNTT có thể triển khai thiết bị cho người dùng doanh nghiệp bằng cách sử dụng dịch vụ đám mây, mã QR hoặc tính năng cấp phép Giao tiếp phạm vi gần (NFC). Để bắt đầu, hãy tải APK NfcProvisioning và APK Android-DeviceOwner xuống. Để biết danh sách đầy đủ các yêu cầu, hãy xem phần Triển khai hoạt động quản lý thiết bị.

Lưu ý: Nếu quá trình cấp phép đã bắt đầu, trước tiên, bạn phải đặt lại các thiết bị bị ảnh hưởng về trạng thái ban đầu.

Bản cập nhật Android 12

• Ngừng sử dụng ACTION_PROVISION_MANAGED_DEVICE.

• ACTION_PROVISION_MANAGED_PROFILE chỉ được hỗ trợ cho việc cấp phát hồ sơ công việc ưu tiên DPC, trong đó người dùng cuối có thể cấp phát hồ sơ công việc sau khi tải DPC xuống.

• Nhà phát triển DPC muốn hỗ trợ mã QR hoặc các phương thức cấp phép khác phải triển khai trình xử lý cho các thao tác theo ý định DevicePolicyManager#ACTION_GET_PROVISIONING_MODE và DevicePolicyManager#ACTION_ADMIN_POLICY_COMPLIANCE. Nếu DPC không triển khai các trình xử lý này, thì quá trình cấp phép sẽ không thành công.

• Trình xử lý ACTION_GET_PROVISIONING_MODE DPC bao gồm một EXTRA_PROVISIONING_ALLOWED_PROVISIONING_MODES bổ sung mới. DPC phải đặt EXTRA_PROVISIONING_MODE bổ sung thành ý định kết quả với một giá trị thuộc danh sách đó. Nếu DPC trả về một giá trị không có trong danh sách đó, thì quá trình cấp phép sẽ không thành công.

• Để tăng thêm tính ổn định, khả năng bảo trì và tính đơn giản của các quy trình diễn ra trong trình hướng dẫn thiết lập, bạn không thể bắt đầu quá trình thiết lập DPC sau khi trình hướng dẫn thiết lập kết thúc. DPC sử dụng danh mục android.intent.category.PROVISIONING_FINALIZATION với thao tác theo ý định ADMIN_POLICY_COMPLIANCE để yêu cầu thiết lập rõ ràng trước khi trình hướng dẫn thiết lập kết thúc có thể xoá danh mục đó vì giờ đây, thao tác này được thực hiện theo mặc định.

Cấp phép được quản lý

Cấp phép được quản lý là một luồng giao diện người dùng khung đảm bảo người dùng được thông báo đầy đủ về những tác động của việc đặt chủ sở hữu thiết bị hoặc hồ sơ được quản lý. Các thiết bị bật tính năng mã hoá mặc định sẽ cung cấp quy trình cấp phép quản lý thiết bị đơn giản và nhanh chóng hơn đáng kể.

Trong quá trình cấp phép được quản lý, thành phần cấp phép được quản lý sẽ thực hiện các hoạt động sau:

• Mã hoá thiết bị.
• Tạo hồ sơ được quản lý.
• Tắt các ứng dụng không bắt buộc.
• Đặt ứng dụng quản lý di động doanh nghiệp (EMM) làm chủ sở hữu hồ sơ hoặc thiết bị.

Đổi lại, ứng dụng quản lý di động dành cho doanh nghiệp (EMM) sẽ thực hiện các hoạt động sau:

• Thêm tài khoản người dùng.
• Thực thi việc tuân thủ của thiết bị.
• Bật mọi ứng dụng hệ thống bổ sung.

Trong quá trình cấp phép có quản lý, khung sẽ sao chép ứng dụng EMM vào hồ sơ được quản lý. Sau khi cấp phép xong, trình xử lý ý định ADMIN_POLICY_COMPLIANCE của ứng dụng EMM sẽ được gọi trong người dùng hồ sơ công việc (để cấp phép hồ sơ công việc) hoặc trong người dùng chủ sở hữu thiết bị (để cấp phép chủ sở hữu thiết bị). Sau đó, EMM sẽ thêm tài khoản và thực thi chính sách, sau đó gọi setProfileEnabled() để hiển thị các biểu tượng trình chạy.

Lưu ý: Bạn chỉ có thể thiết lập chủ sở hữu thiết bị từ một thiết bị không được cấp phép. Nếu từng đặt Settings.Secure.USER_SETUP_COMPLETE, thì thiết bị sẽ được coi là đã được cấp phép và không thể đặt chủ sở hữu thiết bị. Bạn phải đặt lại thiết bị về trạng thái ban đầu thì mới có thể cấp phép lại thiết bị.

Cấp quyền cho chủ sở hữu hồ sơ

Tính năng cấp quyền cho chủ sở hữu hồ sơ cho phép người dùng có cả hồ sơ công việc (hồ sơ được quản lý) và hồ sơ cá nhân trên một thiết bị. Để bật tính năng cấp phép cho chủ sở hữu hồ sơ, bạn phải gửi một ý định có dữ liệu bổ sung thích hợp. Ví dụ: cài đặt ứng dụng TestDPC (tải xuống từ Google Play hoặc tạo từ GitHub) trên thiết bị, chạy ứng dụng từ trình chạy, sau đó làm theo hướng dẫn của ứng dụng. Quá trình cấp phép hoàn tất khi các biểu tượng có huy hiệu xuất hiện trong ngăn trình chạy.

Ứng dụng DPC EMM kích hoạt việc tạo hồ sơ được quản lý bằng cách gửi một ý định với thao tác DevicePolicyManager.ACTION_PROVISION_MANAGED_PROFILE. Lệnh sau đây là một ý định mẫu kích hoạt việc tạo hồ sơ được quản lý và đặt DeviceAdminSample làm chủ sở hữu hồ sơ:

adb shell am start \
  -a android.app.action.PROVISION_MANAGED_PROFILE \
  -c android.intent.category.DEFAULT \
  -e wifiSsid $(printf '%q' \"WifiSSID\") \
  -e deviceAdminPackage "com.google.android.deviceadminsample" \
  -e android.app.extra.deviceAdminPackageName $(printf '%q'.DeviceAdminSample\$DeviceAdminSampleReceiver) \
  -e android.app.extra.DEFAULT_MANAGED_PROFILE_NAME "My Organisation"

Cung cấp cho chủ sở hữu thiết bị bằng NFC

Bạn có thể sử dụng NFC hoặc dịch vụ đám mây để thiết lập tính năng cấp phép cho chủ sở hữu thiết bị (DO) trong quá trình thiết lập ngay từ đầu cho thiết bị.

Khi sử dụng NFC, bạn sẽ cấp phép cho thiết bị ở chế độ DO bằng cách sử dụng tính năng tiếp xúc NFC trong bước thiết lập thiết bị ban đầu. Phương thức này yêu cầu nhiều thao tác tự khởi động hơn, nhưng ít thao tác và xử lý việc định cấu hình Wi-Fi, cài đặt DPC và đặt DPC làm chủ sở hữu thiết bị.

Một gói NFC thông thường bao gồm:

EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_LOCATION
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM
EXTRA_PROVISIONING_WIFI_SSID
EXTRA_PROVISIONING_WIFI_SECURITY_TYPE

Thiết bị phải được định cấu hình NFC để chấp nhận mimetype cấp phép được quản lý từ trải nghiệm thiết lập. Để định cấu hình, hãy đảm bảo /packages/apps/Nfc/res/values/provisioning.xml chứa các dòng sau:

<bool name="enable\_nfc\_provisioning">true</bool>
<item>application/com.android.managedprovisioning</item>

Lưu ý: Android 10 ngừng sử dụng tính năng Android beam và xoá tính năng hỗ trợ gốc cho các tính năng NFC beam. Điều này có nghĩa là các thiết bị chạy Android 10 trở lên không hỗ trợ tính năng cấp phép NFC từ thiết bị này sang thiết bị khác theo mặc định và phải được cấp phép bằng thẻ NFC như mô tả trong tài liệu này.

Cung cấp bằng dịch vụ đám mây

Bạn có thể cấp phép thiết bị cho chủ sở hữu thiết bị hoặc chủ sở hữu hồ sơ (hồ sơ công việc) bằng các dịch vụ đám mây. Thiết bị thu thập và sử dụng thông tin xác thực (hoặc mã thông báo) để tra cứu dịch vụ đám mây. Sau đó, bạn có thể dùng thông tin này để bắt đầu quy trình cấp phép.

Lợi ích của giải pháp quản lý di động dành cho doanh nghiệp

Ứng dụng quản lý di động dành cho doanh nghiệp (EMM) có thể giúp bạn bằng cách thực hiện các nhiệm vụ sau:

• Cung cấp hồ sơ được quản lý.
• Áp dụng chính sách bảo mật.
  • Đặt độ phức tạp của mật khẩu.
  • Các biện pháp khoá, chẳng hạn như tắt tính năng chụp ảnh màn hình, được chia sẻ từ hồ sơ được quản lý
• Định cấu hình kết nối doanh nghiệp.
  • Sử dụng WifiEnterpriseConfig để định cấu hình Wi-Fi của công ty.
  • Định cấu hình VPN trên thiết bị.
  • Sử dụng DPM.setApplicationRestrictions() để định cấu hình VPN của công ty.
• Bật tính năng đăng nhập một lần (SSO) cho ứng dụng của doanh nghiệp.
  • Cài đặt các ứng dụng đã chọn của công ty.
  • Sử dụng DPM.installKeyPair() để cài đặt thầm chứng chỉ ứng dụng khách của công ty.
  • Sử dụng DPM.setApplicationRestrictions() để định cấu hình tên máy chủ, bí danh chứng chỉ của các ứng dụng doanh nghiệp.

Việc cấp phép được quản lý chỉ là một phần của quy trình làm việc toàn diện của EMM, với mục tiêu cuối cùng là cho phép các ứng dụng trong hồ sơ được quản lý hoặc thiết bị được quản lý truy cập vào dữ liệu của công ty. Để biết hướng dẫn kiểm thử, hãy xem bài viết Thiết lập tính năng Kiểm thử thiết bị.