Доверие устройств от Android Enterprise – руководство по интеграции

Важно: доступ к сигналам доверия устройств в AMAPI SDK ограничен для предотвращения несанкционированного использования. Подробнее см.: Доверие устройств в Android Enterprise — доступ к сигналам .

Этот документ должен стать вашим основным руководством по использованию AMAPI SDK для получения сигналов доверия устройств.

AMAPI SDK позволяет вашему приложению (которое мы иногда называем «приложением-компаньоном») получать доступ к сигналам доверия устройства из приложения ADP (Android Device Policy). Ваше приложение может использовать эти сигналы для вычисления состояния доверия устройства и реализации выбранной бизнес-логики.

Предпосылки

• Доступ к сигналам доверия устройства ограничен для предотвращения несанкционированного использования. Информация о том, как подать заявку, доступна на странице доступа к сигналам доверия устройства .
• Android Enterprise рекомендует интегрировать набор API Play Integrity в клиентское приложение и сверяться с результатами проверки, прежде чем анализировать сигналы доверия устройства. Устройства, не прошедшие проверку API Play Integrity, не следует считать доверенными, а также не следует использовать полученные от устройства сигналы для определения уровня доверия. Подробнее см. в документации Play Integrity .

Примечание: для использования Device Trust от Android Enterprise требуется Android 10 или более поздняя версия.

Интегрируйте AMAPI SDK в свое приложение

Для доступа к сигналам доверия устройств ваше приложение должно быть интегрировано с AMAPI SDK. Подробнее об этой библиотеке и о том, как добавить её в приложение, см. в руководстве по интеграции AMAPI SDK .

Примечание: для этого процесса требуется библиотека AMAPI SDK версии 1.3.0 или выше. Актуальную версию можно найти в примечаниях к выпуску библиотеки AMAPI SDK .
Мы настоятельно рекомендуем всегда использовать последнюю версию библиотеки, чтобы воспользоваться доступными исправлениями ошибок и улучшениями.

Добавить необходимые разрешения

Некоторые сигналы, возвращаемые Device Trust из Android Enterprise API, требуют, чтобы приложение объявило то же разрешение, которое изначально требовалось бы для доступа к этой информации, в частности:

Сигнал	Требуется разрешение
Состояние сети	ACCESS_NETWORK_STATE
Сложность блокировки экрана	REQUEST_PASSWORD_COMPLEXITY

Если эти разрешения не включены в AndroidManifest.xml приложения, Device Trust из Android Enterprise API вернет PERMISSION_ISSUE в метаданных соответствующего сигнала:

internalDeviceSettings=DeviceSettings{
  screenLockComplexity=COMPLEXITY_UNSPECIFIED,
  internalScreenLockComplexityMetadata=Metadata{
    dataIssues=[
      DataIssue{
        issueType=PERMISSION_ISSUE,
        issueLevel=WARNING,
        issueDetails=IssueDetailsCase{none}
      }
    ]
  },

Дополнительные сведения см. в списке доступных сигналов доверия устройств .

Действия для доступа к сигналам доверия устройства

Приложения, которым требуется доступ к сигналам доверия устройства, должны проверить актуальность клиентской среды и обновить ее при необходимости.

Чтобы получить доступ к сигналам доверия устройства, выполните следующие действия:

• Проверьте клиентскую среду
• Подготовка клиентской среды
• Сигналы доверия устройства доступа

Проверьте клиентскую среду

Примечание: Для корректной работы API требуется актуальная версия GMSCore и приложения ADP на устройстве. Чтобы проверить текущую статистику устройства, используйте метод getEnvironment класса EnvironmentClient , чтобы проверить, установлено ли приложение ADP и обновлено ли оно для запрошенной Role .

В следующем примере кода показано, как использовать getEnvironment для чтения текущего состояния приложения ADP. После этого ваше приложение может создать deviceClient для доступа к сигналам доверия устройства, если среда готова и актуальна (см. раздел Доступ к сигналам доверия устройства ).

Ключевой момент: вызов getEnvironment или prepareEnvironment без установки Role приведет к исключению InvalidArgumentException .

Котлин

import com.google.android.managementapi.common.model.Role
import com.google.android.managementapi.device.DeviceClient
import com.google.android.managementapi.device.DeviceClientFactory
import com.google.android.managementapi.device.model.GetDeviceRequest
import com.google.android.managementapi.environment.EnvironmentClient
import com.google.android.managementapi.environment.EnvironmentClientFactory
import com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.State.INSTALLED
import com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.State.NOT_INSTALLED
import com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.State.READY
import com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.Version.UP_TO_DATE
import com.google.android.managementapi.environment.model.GetEnvironmentRequest
import com.google.android.managementapi.environment.model.PrepareEnvironmentRequest

try {
    val context = applicationContext

    val roles = listOf(Role.builder().setRoleType(Role.RoleType.IDENTITY_PROVIDER).build())
    val request = GetEnvironmentRequest.builder().setRoles(roles).build()
    val environmentClient = EnvironmentClientFactory.create(context)
    val environmentResponse = environmentClient.getEnvironment(request)

    if (environmentResponse.hasAndroidDevicePolicyEnvironment()) {
        val adpEnvironment = environmentResponse.androidDevicePolicyEnvironment

        if (adpEnvironment.state == READY && adpEnvironment.version == UP_TO_DATE) {
            // AMAPI Environment State OK, Version OK.  Requesting Device signals..
            checkDevice(deviceClient = DeviceClientFactory.create(context))
        } else if (adpEnvironment.state == INSTALLED) {
            // prepareEnvironment should be called, calling
            // prepareEnvironment won't show the UI
            prepareEnvironment(context, environmentClient)
        } else if (adpEnvironment.state == NOT_INSTALLED) {
            // prepareEnvironment should be called, calling
            // prepareEnvironment will show the UI
            prepareEnvironment(context, environmentClient)
        }
    }
} catch (e: Exception) {
    Log.e(TAG, "Exception", e)
}

Ява

import static com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.State.INSTALLED;
import static com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.State.NOT_INSTALLED;
import static com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.State.READY;
import static com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment.Version.UP_TO_DATE;

import com.google.android.managementapi.common.model.Role;
import com.google.android.managementapi.device.DeviceClient;
import com.google.android.managementapi.device.DeviceClientFactory;
import com.google.android.managementapi.device.model.Device;
import com.google.android.managementapi.device.model.GetDeviceRequest;
import com.google.android.managementapi.environment.EnvironmentClient;
import com.google.android.managementapi.environment.EnvironmentClientFactory;
import com.google.android.managementapi.environment.model.Environment;
import com.google.android.managementapi.environment.model.Environment.AndroidDevicePolicyEnvironment;
import com.google.android.managementapi.environment.model.GetEnvironmentRequest;
import com.google.android.managementapi.environment.model.PrepareEnvironmentRequest;
import com.google.android.managementapi.environment.model.PrepareEnvironmentResponse;

try {
    Context context = getApplicationContext();

    ImmutableList roles = new ImmutableList.Builder()
            .add(Role.builder()
                    .setRoleType(Role.RoleType.IDENTITY_PROVIDER)
                    .build())
            .build();

    EnvironmentClient environmentClient = EnvironmentClientFactory.create(context);
    GetEnvironmentRequest request = GetEnvironmentRequest.builder()
            .setRoles(roles)
            .build();

    ListenableFuture getEnvironmentFuture = environmentClient.getEnvironmentAsync(request);
    Futures.addCallback(getEnvironmentFuture, new FutureCallback<>() {
        @Override
        public void onSuccess(Environment environment) {
            AndroidDevicePolicyEnvironment adpEnvironment = environment.getAndroidDevicePolicyEnvironment();

            AndroidDevicePolicyEnvironment.State state = adpEnvironment.getState();
            AndroidDevicePolicyEnvironment.Version version = adpEnvironment.getVersion();
            if (state == READY && version == UP_TO_DATE) {
                // AMAPI Environment State OK, Version OK.  Requesting Device signals..
                DeviceClient deviceClient = DeviceClientFactory.create(context);
                checkDevice(deviceClient);
            } else if (state == INSTALLED) {
                // prepareEnvironment should be called, calling
                // prepareEnvironment won't show the UI
                prepareEnvironment(context, environmentClient);
            } else if (state == NOT_INSTALLED) {
                // prepareEnvironment should be called, calling
                // prepareEnvironment will show the UI
                prepareEnvironment(context, environmentClient);
            }
        }

        @Override
        public void onFailure(Throwable t) {
            Log.d(TAG, t.toString());
        }
    }, MoreExecutors.directExecutor());
} catch (Exception e) {
    Log.d(TAG, e.toString());
}

Если приложение ADP установлено, но не обновлено, ваше приложение должно вызвать prepareEnvironment для автоматического обновления приложения ADP без вмешательства пользователя.

Если приложение ADP не установлено, ваше приложение может вызвать prepareEnvironment , чтобы предложить пользователю установить приложение ADP. См. раздел Подготовка клиентской среды .

Подготовка клиентской среды

Примечание: Если клиентская среда на устройстве не готова, необходимо вызвать prepareEnvironment для установки или обновления приложения ADP перед доступом к сигналам доверия устройства.

• Если приложение ADP уже установлено, API автоматически обновит его без вмешательства пользователя.

• Если приложение ADP не установлено, API предложит пользователю согласиться на установку приложения ADP.

Можно зарегистрировать обратный вызов для отслеживания действий пользователя. Подробнее см. в разделе «Отслеживание действий пользователя во время установки приложения ADP» .

Мы рекомендуем выполнять вызов prepareEnvironment из процесса переднего плана во время процесса адаптации UX, чтобы избежать неожиданного появления модального диалогового окна «Установить политику устройства Android» . Если вызов из процесса переднего плана невозможен, поскольку это веб-процесс, а компонент Android не имеет пользовательского интерфейса, вызов из фонового режима разрешён при условии, что он будет выполнен во время процесса адаптации UX.

Примечание: На управляемых устройствах рекомендуется, чтобы ИТ-администратор развернул приложение ADP на управляемых устройствах в фоновом режиме с помощью управляемого воспроизведения. В управляемом воспроизведении доступны дополнительные элементы управления, которые ИТ-администратор может использовать:

• policy.productPolicy[].autoInstallPolicy — управляет приоритетом и ситуацией установки приложения
• policy.productPolicy[].autoUpdateMode — управляет приоритетом обновления приложения. ИТ-администратор может установить значение AUTO_UPDATE_HIGH_PRIORITY

После правильной настройки среды можно получить доступ к сигналам доверия устройств. См. раздел Доступ к сигналам доверия устройств .

Ключевой момент: вызов getEnvironment или prepareEnvironment без установки Role приведет к исключению InvalidArgumentException .

Котлин

try {
    val myNotificationReceiverService = ComponentName(
        context, MyNotificationReceiverService::class.java
    )

    val roles = listOf(Role.builder().setRoleType(Role.RoleType.IDENTITY_PROVIDER).build())
    val request = PrepareEnvironmentRequest.builder().setRoles(roles).build()

    val response =
        environmentClient.prepareEnvironment(request, myNotificationReceiverService)

    val environment = response.environment
    val adpEnvironment = environment.androidDevicePolicyEnvironment

    val state = adpEnvironment.state
    val version = adpEnvironment.version
    if (state == READY && version == UP_TO_DATE) {
        // Environment is prepared, access device posture signals using
        // DeviceClient.
        checkDevice(deviceClient = DeviceClientFactory.create(context))
    } else {
        // The prepareEnvironment call failed to prepare
        Log.w(
            TAG, "AMAPI environment was not ready: " + state + " - " + version
        )
    }

} catch (e: java.lang.Exception) {
    Log.d(TAG, e.toString())
}

Ява

try {
    ComponentName myNotificationReceiverService = new ComponentName(
            context,
            MyNotificationReceiverService.class
    );

    ImmutableList roles = new ImmutableList.Builder()
            .add(Role.builder()
                    .setRoleType(Role.RoleType.IDENTITY_PROVIDER)
                    .build())
            .build();


    PrepareEnvironmentRequest request = PrepareEnvironmentRequest.builder()
            .setRoles(roles)
            .build();

    ListenableFuture environmentFuture =
            environmentClient.prepareEnvironmentAsync(
                    request,
                    myNotificationReceiverService
            );

    Futures.addCallback(environmentFuture, new FutureCallback<>() {
        @Override
        public void onSuccess(PrepareEnvironmentResponse response) {
            Environment environment = response.getEnvironment();
            AndroidDevicePolicyEnvironment adpEnvironment = environment.getAndroidDevicePolicyEnvironment();

            AndroidDevicePolicyEnvironment.State state = adpEnvironment.getState();
            AndroidDevicePolicyEnvironment.Version version = adpEnvironment.getVersion();
            if (state == READY && version == UP_TO_DATE) {
                // AMAPI Environment State OK, Version OK.  Requesting Device signals..
                DeviceClient deviceClient = DeviceClientFactory.create(context);
                checkDevice(deviceClient);
            } else {
                // The prepareEnvironment call failed to prepare
                Log.w(
                        TAG, "AMAPI environment was not ready: "
                        + adpEnvironment.getState() + " - " + adpEnvironment.getVersion()
                );
            }
        }

        @Override
        public void onFailure(@NonNull Throwable t) {
            // Handle the error
            Log.d(TAG, "AMAPI response did not contain an ADP environment");
        }
    }, MoreExecutors.directExecutor());
} catch (Exception e) {
    Log.d(TAG, e.toString());
}

Сигналы доверия устройства доступа

Примечание: Для доступа к сигналам доверия устройства требуется актуальная среда. Всегда проверяйте среду, как описано в разделе «Проверка клиентской среды», прежде чем пытаться получить доступ к информации о состоянии устройства.

Чтобы получить доступ к интересующим вас сигналам доверия устройства, вы можете использовать экземпляр deviceClient , показанный на предыдущем шаге, для запроса объекта Device .

Котлин

try {
    kotlin.runCatching {
        deviceClient.getDeviceAwait(GetDeviceRequest.getDefaultInstance())
    }.onFailure { t ->
        Log.d(TAG, t.toString())
    }.onSuccess { device ->
        // Access device posture signals available in device
        val deviceString = device.toString()
        Log.d(TAG, deviceString)
    }
} catch (e: java.lang.Exception) {
    Log.d(TAG, e.toString())
}

Ява

try {
    ListenableFuture deviceFuture =
            deviceClient.getDevice(GetDeviceRequest.getDefaultInstance());

    Futures.addCallback(deviceFuture, new FutureCallback() {
        @Override
        public void onSuccess(Device device) {
            // Access device posture signals available in device
            String deviceString = device.toString();
            Log.d(TAG, deviceString);
        }

        @Override
        public void onFailure(Throwable t) {
            Log.d(TAG, Log.d(TAG, t.toString());
        }
    }, MoreExecutors.directExecutor());
} catch (Exception e) {
    Log.d(TAG, e.toString());
}

Отслеживание взаимодействия пользователя во время установки приложения ADP

Если устройству необходимо установить приложение ADP во время prepareEnvironment , ваше приложение может отслеживать взаимодействие с пользователем, реализуя NotificationReceiverService для получения уведомлений, переопределяя getPrepareEnvironmentListener :

Котлин

import android.util.Log
import com.google.android.managementapi.environment.EnvironmentListener
import com.google.android.managementapi.environment.model.EnvironmentEvent.EventCase.Kind.ANDROID_DEVICE_POLICY_INSTALL_CONSENT_ACCEPTED
import com.google.android.managementapi.environment.model.EnvironmentEvent
import com.google.android.managementapi.notification.NotificationReceiverService

class MyNotificationReceiverService : NotificationReceiverService() {
    override fun getPrepareEnvironmentListener(): EnvironmentListener {
        return MyEnvironmentListener()
    }
}

class MyEnvironmentListener : EnvironmentListener {
    override fun onEnvironmentEvent(
        event: EnvironmentEvent
    ) {
        if (event.event.kind == ANDROID_DEVICE_POLICY_INSTALL_CONSENT_ACCEPTED) {
            Log.d(TAG, "User provided install consent")
        } else {
            Log.d(TAG, "User rejected install consent")
        }
    }

    companion object {
        private val TAG: String = MyEnvironmentListener::class.java.simpleName
    }
}

Ява

import static com.google.android.managementapi.environment.model.EnvironmentEvent.EventCase.Kind.ANDROID_DEVICE_POLICY_INSTALL_CONSENT_ACCEPTED;

import android.util.Log;
import androidx.annotation.NonNull;
import com.google.android.managementapi.environment.EnvironmentListener;
import com.google.android.managementapi.environment.model.EnvironmentEvent;
import com.google.android.managementapi.notification.NotificationReceiverService;

class MyNotificationReceiverService extends NotificationReceiverService {
    @NonNull
    @Override
    protected EnvironmentListener getPrepareEnvironmentListener() {
        return new MyEnvironmentListener();
    }
}
class MyEnvironmentListener implements EnvironmentListener {
    final private String TAG = MyEnvironmentListener.class.getSimpleName();

    @Override
    public void onEnvironmentEvent(EnvironmentEvent event) {
        if (event.getEvent().getKind() == ANDROID_DEVICE_POLICY_INSTALL_CONSENT_ACCEPTED)
        {
            Log.d(TAG, "User provided install consent");
        } else {
            Log.d(TAG, "User rejected install consent");
        }
    }
}

Известные проблемы

На данный момент проблем не обнаружено.