Обеспечение управления устройствами

ИТ-администраторы могут развертывать устройства для корпоративных пользователей, используя облачные сервисы, QR-коды или технологию ближней бесконтактной связи (NFC). Для начала загрузите APK-файлы NfcProvisioning и Android-DeviceOwner . Полный список необходимых файлов см. в разделе «Внедрение управления устройствами» .

Обновления Android 12

  • Функция ACTION_PROVISION_MANAGED_DEVICE устарела.

  • ACTION_PROVISION_MANAGED_PROFILE поддерживается только для создания рабочих профилей с помощью DPC-first, когда конечные пользователи могут создать рабочий профиль после загрузки DPC.

  • Разработчики DPC, желающие поддерживать QR-коды или другие методы инициализации, должны реализовать обработчики для действий намерений DevicePolicyManager#ACTION_GET_PROVISIONING_MODE и DevicePolicyManager#ACTION_ADMIN_POLICY_COMPLIANCE . Если DPC не реализует эти обработчики, инициализация завершится с ошибкой.

  • Обработчик DPC ACTION_GET_PROVISIONING_MODE включает новый дополнительный параметр EXTRA_PROVISIONING_ALLOWED_PROVISIONING_MODES . DPC должен установить значение параметра EXTRA_PROVISIONING_MODE в соответствии со своим результирующим намерением, при этом значение должно принадлежать к указанному списку. Если DPC возвращает значение, которого нет в этом списке, инициализация завершается с ошибкой.

  • Для дальнейшего повышения стабильности, удобства сопровождения и простоты процессов, происходящих во время работы мастера настройки, настройку DPC нельзя начать после завершения работы мастера. DPC, использующие категорию android.intent.category.PROVISIONING_FINALIZATION с действием намерения ADMIN_POLICY_COMPLIANCE для явного запроса на настройку до завершения работы мастера настройки, могут удалить эту категорию, поскольку теперь это делается по умолчанию.

Управляемое выделение ресурсов

Управляемое предоставление ресурсов — это интерфейсная структура, которая обеспечивает надлежащее информирование пользователей о последствиях установки профиля владельца устройства или управляемого профиля. Устройства, в которых включено шифрование по умолчанию, предлагают значительно более простой и быстрый процесс управления предоставлением ресурсов.

В процессе управляемого выделения ресурсов компонент управляемого выделения ресурсов выполняет следующие действия:

  • Шифрует устройство.
  • Создает управляемый профиль.
  • Отключает ненужные приложения.
  • Устанавливает приложение управления корпоративной мобильностью (EMM) в качестве владельца профиля или устройства.

В свою очередь, приложение для управления корпоративной мобильностью (EMM) выполняет следующие действия:

  • Добавляет учетные записи пользователей.
  • Обеспечивает соответствие устройства установленным требованиям.
  • Включает любые дополнительные системные приложения.

В процессе управляемого развертывания платформа копирует приложение EMM в управляемый профиль. После завершения развертывания вызывается обработчик намерений ADMIN_POLICY_COMPLIANCE приложения EMM в пользователе рабочего профиля (для развертывания в рабочем профиле) или в пользователе владельца устройства (для развертывания в владении устройством). Затем EMM добавляет учетные записи и применяет политики, после чего вызывает setProfileEnabled() чтобы сделать значки запуска видимыми.

Предоставление доступа владельцу профиля

Функция управления профилем позволяет пользователю иметь на устройстве как рабочий профиль (управляемый профиль), так и личный профиль. Для включения этой функции необходимо отправить Intent с соответствующими дополнительными параметрами. Например, установите приложение TestDPC ( скачайте из Google Play или соберите из GitHub ) на устройство, запустите приложение из панели запуска, а затем следуйте инструкциям приложения. Создание профиля завершено, когда в панели запуска появятся значки с соответствующими пометками.

Приложение EMM DPC запускает создание управляемого профиля, отправляя интент с действием DevicePolicyManager.ACTION_PROVISION_MANAGED_PROFILE . Следующая команда представляет собой пример интента, который запускает создание управляемого профиля и устанавливает DeviceAdminSample в качестве владельца профиля:

adb shell am start \
  -a android.app.action.PROVISION_MANAGED_PROFILE \
  -c android.intent.category.DEFAULT \
  -e wifiSsid $(printf '%q' \"WifiSSID\") \
  -e deviceAdminPackage "com.google.android.deviceadminsample" \
  -e android.app.extra.deviceAdminPackageName $(printf '%q'.DeviceAdminSample\$DeviceAdminSampleReceiver) \
  -e android.app.extra.DEFAULT_MANAGED_PROFILE_NAME "My Organisation"

Предоставление доступа владельцу устройства с помощью NFC

Для настройки прав владельца устройства (DO) во время первоначальной настройки устройства можно использовать NFC или облачные сервисы .

При использовании NFC инициализация устройств в режиме DO осуществляется с помощью NFC-пропуска на этапе первоначальной настройки устройства. Этот метод требует дополнительной инициализации, но является простым в использовании и включает в себя настройку Wi-Fi, установку DPC и назначение DPC владельцем устройства.

Типичный комплект NFC включает в себя следующее:

EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_LOCATION
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM
EXTRA_PROVISIONING_WIFI_SSID
EXTRA_PROVISIONING_WIFI_SECURITY_TYPE

Для настройки NFC на устройствах необходимо использовать MIME-тип управляемой инициализации, заданный в процессе настройки. Для настройки убедитесь, что /packages/apps/Nfc/res/values/provisioning.xml содержит следующие строки:

<bool name="enable\_nfc\_provisioning">true</bool>
<item>application/com.android.managedprovisioning</item>

Предоставление ресурсов с использованием облачных сервисов.

Вы можете настраивать устройства с помощью облачных сервисов, указывая владельца устройства или владельца профиля (рабочего профиля). Устройство собирает и использует учетные данные (или токены) для поиска облачного сервиса, который затем может быть использован для запуска процесса настройки.

Преимущества управления мобильностью предприятия

Приложение для управления корпоративной мобильностью (EMM) может помочь, выполняя следующие задачи:

  • Профиль управления ресурсами.
  • Применение политик безопасности.
    • Установите уровень сложности пароля.
    • Ограничения, такие как отключение возможности делать скриншоты, которыми можно поделиться из управляемого профиля, например.
  • Настройка корпоративного подключения.
    • Используйте WifiEnterpriseConfig для настройки корпоративной сети Wi-Fi.
    • Настройте VPN на устройстве.
    • Для настройки корпоративной VPN используйте DPM.setApplicationRestrictions() .
  • Включение единого входа (SSO) в корпоративные приложения.
    • Установите выбранные корпоративные приложения.
    • Используйте DPM.installKeyPair() для автоматической установки корпоративных клиентских сертификатов.
    • Используйте DPM.setApplicationRestrictions() для настройки имен хостов и псевдонимов сертификатов корпоративных приложений.

Управляемое предоставление ресурсов — это лишь одна часть сквозного рабочего процесса EMM, конечная цель которого — обеспечить доступ к корпоративным данным для приложений в управляемом профиле или на управляемом устройстве. Рекомендации по тестированию см. в разделе «Настройка тестирования устройств» .