使用工作資料

工作配置文件是一種託管配置文件，它具有與主用戶配置文件分開的應用程序數據，但共享一些系統範圍的設置，例如 Wi-Fi 和藍牙。工作配置文件的主要目標是創建一個隔離且安全的容器來保存託管數據。工作配置文件的管理員可以完全控制數據的範圍、入口、出口和生命週期。以下是工作檔案的一些特徵：

  • 創建。主用戶中的任何應用程序都可以創建工作配置文件。在創建之前，用戶會收到有關工作配置文件行為和策略實施的通知。

  • 管理。稱為配置文件所有者的應用程序可以以編程方式調用DevicePolicyManager類中的 API 來限制使用。配置文件所有者是在初始配置文件設置時定義的。工作配置文件特有的策略涉及應用程序限制、可更新性和意圖行為。

  • 視覺治療。工作配置文件中的應用程序、通知和小部件帶有標記，通常與主要用戶的用戶界面 (UI) 元素一起提供。

實施細節

工作配置文件作為輔助用戶實現，因此工作配置文件中運行的應用程序的 UID 為uid = 100000 \* userid + appid 。這些配置文件具有單獨的應用程序數據 ( /data/user/userid )，類似於主要用戶。

AccountManagerService為每個用戶維護一個單獨的帳戶列表。工作配置文件用戶和常規輔助用戶之間的帳戶差異包括以下內容：

  • 工作配置文件與其父用戶關聯，並在啟動時由主用戶啟動。

  • 工作配置文件的通知由ActivityManagerService啟用，允許工作配置文件與主用戶共享活動堆棧。

  • 其他共享系統服務包括 IME、A11Y 服務、Wi-Fi 和 NFC。

  • 啟動器 API 使啟動器能夠在主配置文件中的應用程序旁邊顯示工作配置文件中的標記應用程序和列入白名單的小部件，而無需切換用戶。

數據隔離

工作配置文件使用以下數據隔離規則。

應用

當主用戶和工作配置文件中存在相同的應用程序時，應用程序將以其自己的隔離數據為範圍。通常，應用程序獨立運行，無法跨配置文件用戶邊界與實例直接通信，除非它們擁有INTERACT_ACROSS_PROFILES權限或App-ops 。

賬戶

工作配置文件中的帳戶對於主用戶來說是唯一的，並且無法跨配置文件用戶邊界訪問憑據。只有各自上下文中的應用程序才能訪問各自的帳戶。

意圖

管理員控制是否在工作配置文件中解析意圖。默認情況下，工作配置文件中的應用程序的範圍僅限於設備策略 API 的工作配置文件例外範圍內。

設備標識符

在具有工作配置文件的個人設備上，Android 12 或更高版本刪除了對設備硬件標識符（IMEI、MEID、序列號）的訪問權限，並提供了唯一的、特定於註冊的 ID ，用於標識特定組織的工作配置文件註冊。確保註冊 ID 在恢復出廠設置後保持穩定，從而能夠對具有工作配置文件的設備進行可靠的庫存跟踪。

具有工作配置文件的個人擁有的設備必須使用特定於註冊的 ID；公司擁有的設備（包括工作配置文件和完全託管的設備）也可以選擇使用該 ID。要使用註冊特定 ID，EMM 必須為其管理的每台設備設置組織 ID ，之後他們可以讀取該設備上的註冊特定 ID 並將其作為序列號處理。有關更多詳細信息，請參閱工作資料的安全和隱私增強功能。

設置

設置強制執行的範圍僅限於工作配置文件，但鎖定屏幕和加密設置除外，這些設置的範圍僅限於設備並在主用戶和工作配置文件之間共享。除了這些例外情況之外，配置文件所有者在工作配置文件之外沒有設備管理員權限。

具有工作配置文件的設備上的設備管理

Android 5.0 及更高版本支持使用DevicePolicyManager類對自帶設備 (BYOD) 個人設備上的工作配置文件進行設備管理。此外，Android 11 在公司自有設備上引入了工作配置文件的概念。對於 BYOD 和公司擁有的設備情況，工作配置文件內的設備管理功能保持相同，但是公司擁有的設備上的工作配置文件可能提供其他功能/策略，例如installSystemUpdate 、 setScreenCaptureDisabled和setPersonalAppsSuspended ，這些功能/策略可以擴展管理策略實施超出某些設備範圍策略的工作配置文件。

  • 個人設備上的工作配置文件 (BYOD)：該設備是個人設備，包含由與雇主關聯的 IT 管理員管理的工作配置文件。

  • 公司自有設備上的工作配置文件：該設備由雇主提供/擁有，並包含由與雇主關聯的 IT 管理員管理的工作配置文件。應用程序可以調用isOrganizationOwnedDeviceWithManagedProfile()來確定設備是否已配置為具有託管配置文件的組織擁有的設備。

有關工作配置文件創建和設備策略 API 使用的更多信息，請參閱創建工作配置文件。

個人資料所有者

創建工作配置文件時，設備策略客戶端 (DPC) 應用程序將充當配置文件所有者。 DPC 客戶端應用程序通常由企業移動管理 (EMM) 合作夥伴（例如 Google Apps Device Policy）提供，並且在設置為配置文件所有者時能夠執行策略。工作配置文件具有標記的應用程序實例，這些實例在視覺上與個人應用程序實例不同；該徽章將應用程序標識為工作應用程序。 EMM 只能控制工作配置文件（工作應用程序和數據），而不能控制個人空間。設備策略僅在工作配置文件上強制執行，但有一些例外，例如強制執行適用於整個設備的鎖定屏幕。

工作資料用戶體驗

Android 9 或更高版本在工作配置文件和 Android 平台之間建立了更緊密的集成，使用戶可以更輕鬆地將工作信息和個人信息在設備上分開。工作配置文件更改顯示在啟動器中，並在託管設備上提供一致的用戶體驗。

用戶可以從設置或快速設置菜單切換工作配置文件。在 Android 9 或更高版本中，設備實現可能會在工作選項卡頁腳中包含一個切換開關，供用戶啟用或禁用工作配置文件。切換工作配置文件是異步完成的，並應用於所有有效的用戶配置文件；此過程由WorkModeSwitch類控制。

帶有應用程序托盤的設備

在 Android 9 或更高版本中，Launcher3 的工作配置文件 UX 更改可幫助用戶維護單獨的個人配置文件和工作配置文件。應用程序抽屜提供選項卡式視圖，以區分個人配置文件應用程序和工作配置文件應用程序。當用戶第一次查看工作配置文件選項卡時，他們會看到一個教育視圖，以幫助他們導航工作配置文件。

用戶可以使用應用程序抽屜頂部的配置文件選項卡或類似的用戶界面在不同的配置文件視圖之間切換：


圖 1.個人選項卡視圖

圖 2.工作選項卡視圖，工作配置文件切換

選項卡式視圖作為AllAppsContainerView Launcher3 類的一部分實現。有關選項卡式配置文件指示器的參考實現，請參閱PersonalWorkSlidingTabStrip類。

帶有工作選項卡的設備中的用戶教育消息

Android 9 或更高版本支持教育視圖，告知用戶工作選項卡的用途以及如何使工作應用程序更易於訪問。使用Launcher3，當用戶第一次打開工作選項卡時，可以在工作選項卡屏幕中顯示教育視圖，如下所示：

教育觀

圖 3.教育視圖

沒有應用程序托盤的設備

對於沒有應用程序托盤的啟動器，建議繼續在工作文件夾中放置工作配置文件應用程序的快捷方式。

自定義啟動器實現可以使用getProfiles()和getActivityList()來檢索帶有工作配置文件用戶的啟動器圖標的應用程序列表。

在實現工作文件夾的設備中，用戶可以通過打開工作文件夾來訪問工作配置文件應用程序：


圖 4.關閉的工作文件夾

圖 5.打開的工作文件夾

具有工作文件夾的設備中的用戶教育消息

對於沒有應用程序托盤的啟動器，其中工作文件夾包含工作應用程序，當用戶第一次打開工作文件夾時，工作配置文件教育消息可能會以可關閉工具提示的形式顯示：

可關閉的工具提示

圖 3.可關閉的工具提示

驗證工作配置文件用戶體驗

測試工作配置文件用戶體驗的最簡單方法是使用測試 DPC 應用程序設置工作配置文件。以下步驟描述瞭如何在個人設備上設置工作配置文件（BYOD 場景）：

  1. 首先將設備恢復出廠設置，然後使用個人 Google 帳戶完成個人資料設置，或者使用具有個人資料的設備作為起點。

  2. 從 Google Play 商店安裝測試 DPC應用程序。

  3. 打開啟動器或應用程序抽屜，然後選擇“設置測試 DPC” 。

  4. 按照屏幕上的說明設置工作配置文件：


    圖 4.設置工作配置文件


    圖 5.添加帳戶


    圖 6.設置完成

  5. 打開啟動器或應用程序抽屜並驗證工作選項卡是否存在並且包含工作配置文件頁腳。替代設備製造商實現可以包含工作文件夾而不是工作選項卡。

  6. 通過確認工作配置文件應用程序（帶有公文包徽章的應用程序）按預期啟用和禁用，驗證您是否可以從“快速設置”（或多個設置）切換工作配置文件。在某些設備實現中，當工作配置文件被禁用時，工作應用程序可能會變灰，而其他設備（例如帶有工作選項卡的實現）可能會顯示一個覆蓋層，其中包含一條消息，通知工作配置文件已關閉。下圖顯示了實現工作選項卡的設備上啟用和禁用的工作配置文件的示例：


    圖 7.打開，工作配置文件已啟用

    圖 8.關閉，工作配置文件已禁用

工作資料應用徽章

在 Android 9 或更高版本中，出於輔助功能的原因，工作徽章的顏色為藍色 (#1A73E8)，而不是橙色。