El aprovisionamiento es el proceso de configurar un dispositivo para que lo administre un enterprise mediante policies. Durante el proceso, un dispositivo instala Android Device Policy, que se usa para recibir y aplicar policies.
Si el aprovisionamiento se realiza correctamente, la API crea un objeto devices y vincula el dispositivo a una empresa.
La API de Android Management usa tokens de inscripción para activar el proceso de aprovisionamiento. El token de inscripción y el método de aprovisionamiento que usas establecen la propiedad (de propiedad personal o empresarial) y el modo de administración (perfil de trabajo o dispositivo completamente administrado).
Dispositivos personales
Android 5.1 y versiones posteriores
Los dispositivos que pertenecen a los empleados se pueden configurar con un perfil de trabajo. Un perfil de trabajo proporciona un espacio autónomo para las apps y los datos de trabajo, independiente de los datos y las apps personales. La mayoría de las apps, los datos y otras policies de administración se aplican solo al perfil de trabajo, mientras que las apps y los datos personales del empleado permanecen privados.
Para configurar un perfil de trabajo en un dispositivo de propiedad personal, crea un token de inscripción (asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_ALLOWED) y usa uno de los siguientes métodos de aprovisionamiento:
- Agrega un perfil de trabajo desde “Configuración”
- Descargar Android Device Policy
- Vínculo del token de inscripción
- URL de acceso
Dispositivos de la empresa para uso personal y laboral
Android 8 y versiones posteriores
Configurar un dispositivo empresarial con un perfil de trabajo habilita el dispositivo para uso laboral y personal. En dispositivos pertenecientes a la empresa con perfiles de trabajo:
- La mayoría de las apps, los datos y otras
policiesde administración se aplican solo al perfil de trabajo. - El perfil personal del empleado permanece privado. Sin embargo, las empresas pueden aplicar ciertas políticas para todo el dispositivo y políticas de uso personal.
- Las empresas pueden usar
blockScopepara aplicar acciones de cumplimiento en todo un dispositivo o solo en su perfil de trabajo. - Los
devices.deletey los comandos del dispositivo se aplican a todo un dispositivo.
Para configurar un dispositivo empresarial con un perfil de trabajo, crea un token de inscripción (asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_ALLOWED) y usa uno de los siguientes métodos de aprovisionamiento:
Dispositivos de la empresa solo para uso laboral
Android 5.1 y versiones posteriores
La administración completa de dispositivos es adecuada para dispositivos empresariales que se usan exclusivamente con fines laborales. Las empresas pueden administrar todas las apps en el dispositivo y aplicar todo el espectro de las políticas y los comandos de la API de Android Management.
También es posible bloquear un dispositivo (mediante una política) en una sola app o en un conjunto pequeño de apps para cumplir con un propósito o caso de uso dedicado. Este subconjunto de dispositivos completamente administrados se conoce como dispositivos dedicados.
Para configurar la administración completa en un dispositivo empresarial, crea un token de inscripción (asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_DISALLOWED) y usa uno de los siguientes métodos de aprovisionamiento:
- Inscripción automática
- Código QR
- URL de acceso (no adecuada para dispositivos dedicados)
- NFC
- Identificador de DPC
Las políticas pueden afectar la generación de la IU durante el aprovisionamiento del dispositivo. Estas políticas son las siguientes:
PasswordPolicyScope: Determina los requisitos de las contraseñas.PermittedInputMethods: Determina los métodos de entrada del paquete.PermittedAccessibilityServices: Determina qué servicios de accesibilidad se permiten para dispositivos completamente administrados y perfiles de trabajo.SetupActions: Determina las acciones que se ejecutan durante la configuración.ApplicationsPolicy: Determina la política para una app individual.
Si deseas que los pasos de la contraseña se muestren junto con la instalación de apps de trabajo y tarjetas de registro de dispositivos durante el aprovisionamiento del dispositivo, te sugerimos que actualices tus políticas para retrasar el inicio de la generación de IU. Para ello, mantén el dispositivo en estado de cuarentena, que ocurre si está inscrito sin una política asociada, hasta que se especifique la política final deseada para la configuración del dispositivo con elementos relevantes para tus necesidades de configuración. Una vez que se haya completado el aprovisionamiento del dispositivo, podrás cambiar la política según sea necesario.
Crea un token de inscripción
Necesitas un token de inscripción para cada dispositivo que quieras inscribir (puedes usar el mismo token en varios dispositivos). Para solicitar un token de inscripción, llama a enterprises.enrollmentTokens.create.
Los tokens de inscripción vencen después de una hora de forma predeterminada, pero puedes especificar un
tiempo de vencimiento personalizado
(duration) de hasta 10,000 años, aproximadamente.
Una solicitud correcta muestra un objeto enrollmentToken que contiene un enrollmentTokenId y un qrcode que los administradores de TI y los usuarios finales pueden usar para aprovisionar dispositivos.
Especifica una política
Es posible que también desees especificar un policyName en la solicitud para aplicar una política al mismo tiempo que se inscribe un dispositivo. Si no especificas un policyName, consulta Inscribe un dispositivo sin una política.
Especificar un usuario
El recurso enrollmentTokens incluye un campo userAccountIdentifier. Si no especificas un userAccountIdentifier, la API creará, de forma silenciosa, una cuenta nueva y única cada vez que se inscriba un dispositivo con el token de inscripción.
Si especificas un userAccountIdentifier que no se activó en un dispositivo, la API creará silenciosamente una cuenta para el identificador cuando se inscriba un dispositivo con el token de inscripción.
Si especificas un userAccountIdentifier que se activó antes en otro dispositivo, la API volverá a usar el usuario existente y lo activará en cada dispositivo inscrito con el token de inscripción. Práctica recomendada: Una cuenta no debe activarse en más de 10 dispositivos.
Especificar el uso personal
allowPersonalUsage: Determina si se puede agregar un perfil de trabajo al dispositivo durante el aprovisionamiento. Configúralo en PERSONAL_USAGE_ALLOWED para permitir que un usuario cree un perfil de trabajo (obligatorio para dispositivos de propiedad personal, opcional para dispositivos de la empresa).
Acerca de los códigos QR
Los códigos QR funcionan como un método de aprovisionamiento de dispositivos eficiente para las empresas que mantienen muchas políticas diferentes. El código QR que muestra enterprises.enrollmentTokens.create consta de una carga útil de pares clave-valor que contienen un token de inscripción y toda la información necesaria para que Android Device Policy pueda aprovisionar un dispositivo.
Ejemplo de paquete de códigos QR
El paquete incluye la ubicación de descarga de Android Device Policy y un token de inscripción.
{
"android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
"android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
"android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
"android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
"com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
}
}
Puedes usar el código QR que muestra enterprises.enrollmentTokens.create directamente o personalizarlo. Para obtener una lista completa de las propiedades que puedes incluir en un paquete de códigos QR, consulta Cómo crear un código QR.
Para convertir la cadena qrcode en un código QR escaneable, usa un generador de códigos QR, como ZXing.
Métodos de aprovisionamiento
En esta sección, se describen diferentes métodos para aprovisionar un dispositivo.
Agregar un perfil de trabajo desde “Configuración”
Android 5.1 y versiones posteriores
Para configurar un perfil de trabajo en su dispositivo, un usuario puede hacer lo siguiente:
- Ve a Configuración > Google > Configurar y restablecer.
- Presiona Configura tu perfil de trabajo.
Estos pasos inician un asistente de configuración que descarga Android Device Policy en el dispositivo. A continuación, se le pedirá al usuario que escanee un código QR o que ingrese manualmente un token de inscripción para completar la configuración del perfil de trabajo.
Descargar Android Device Policy
Android 5.1 y versiones posteriores
Para configurar un perfil de trabajo en su dispositivo, un usuario puede descargar la Política de dispositivo Android desde Google Play Store. Después de instalar la app, se le solicitará al usuario que ingrese un código QR o que ingrese manualmente un token de inscripción para completar la configuración del perfil de trabajo.
Vínculo del token de inscripción
Android 5.1 y versiones posteriores
Con el token de inscripción que muestra enrollmentTokens.create o el signinEnrollmentToken de la empresa (consulta la URL de acceso a continuación), genera una URL con el siguiente formato:
https://enterprise.google.com/android/enroll?et=<enrollmentToken>
Puedes proporcionar esta URL a los administradores de TI, quienes podrán proporcionársela a sus usuarios finales. Cuando un usuario final abra el vínculo desde su dispositivo, se lo guiará en la configuración del perfil de trabajo.
URL de acceso
Con este método, a los usuarios se les proporciona una URL que les solicita sus credenciales. Según sus credenciales, puedes calcular la política adecuada para el usuario antes de continuar con el aprovisionamiento del dispositivo. Por ejemplo:
Especifica tu URL de acceso en
enterprises.signInDetails[]. EstableceallowPersonalUsageenPERSONAL_USAGE_ALLOWEDsi deseas permitir que un usuario cree un perfil de trabajo (obligatorio para dispositivos de propiedad personal, opcional para dispositivos de la empresa).Agrega el
signinEnrollmentTokenresultante como aprovisionamiento adicional a un código QR, una carga útil de NFC o una configuración de inscripción automática. Como alternativa, puedes proporcionar elsigninEnrollmentTokena los usuarios directamente.Elige una opción:
- Dispositivos de la empresa: Después de activar un dispositivo nuevo o en el que se haya restablecido la configuración de fábrica, pasa el
signinEnrollmentTokenal dispositivo (mediante un código QR, un salto de NFC, etc.) o pídeles a los usuarios que ingresen el token de forma manual. El dispositivo abrirá la URL de acceso especificada en el paso 1. - Dispositivos de propiedad personal: Pídeles a los usuarios que agreguen un perfil de trabajo desde "Configuración".
Cuando se le solicite, el usuario escanea un código QR que contiene el
signinEnrollmentTokeno ingresa el token de forma manual. El dispositivo abrirá la URL de acceso especificada en el paso 1. - Dispositivos de propiedad personal: Proporciona a los usuarios un vínculo de token de inscripción, en el que el token de inscripción es el
signinEnrollmentToken. El dispositivo abrirá la URL de acceso especificada en el paso 1.
- Dispositivos de la empresa: Después de activar un dispositivo nuevo o en el que se haya restablecido la configuración de fábrica, pasa el
Tu URL de acceso debe solicitar a los usuarios que ingresen sus credenciales. Según su identidad, puedes determinar la política adecuada.
Llama a
enrollmentTokens.createy especifica elpolicyIdadecuado en función de las credenciales del usuario.Muestra el token de inscripción generado en el paso 4 a través del redireccionamiento de URL, con el formato
https://enterprise.google.com/android/enroll?et=<token>.
Método de código QR
Android 7.0 y versiones posteriores
Para aprovisionar un dispositivo empresarial, puedes generar un código QR y mostrarlo en tu consola de EMM:
- En un dispositivo nuevo o en el que se haya restablecido la configuración de fábrica, el usuario (por lo general, un administrador de TI) presiona la pantalla seis veces en el mismo lugar. Esto activa el dispositivo para solicitarle al usuario que escanee un código QR.
- El usuario escanea el código QR que muestras en tu consola de administración (o aplicación similar) para inscribir y aprovisionar el dispositivo.
Método NFC
Android 6.0 y versiones posteriores
Este método requiere que crees una app de programador NFC que contenga el token de inscripción, las políticas iniciales y la configuración de Wi-Fi, los ajustes y todos los demás detalles de aprovisionamiento que requiera tu cliente para aprovisionar un dispositivo dedicado o completamente administrado. Cuando tú o tu cliente instalan la app de programador NFC en un dispositivo Android, ese dispositivo se convierte en el dispositivo de programador.
Puedes encontrar orientación detallada sobre cómo admitir el método NFC en la documentación para desarrolladores de la API de EMM de Play. El sitio también incluye un código de muestra de los parámetros predeterminados enviados a un dispositivo en una transmisión de NFC. Para instalar Android Device Policy, configura la ubicación de descarga del paquete de administración de dispositivos de la siguiente manera:
https://play.google.com/managed/downloadManagingApp?identifier=setup
Método de identificador de DPC
Si no se puede agregar Android Device Policy mediante un código QR o NFC, un usuario o un administrador de TI puede seguir estos pasos para aprovisionar un dispositivo empresarial:
- Sigue las indicaciones del asistente de configuración en un dispositivo nuevo o en el que se haya restablecido la configuración de fábrica.
- Ingresa los detalles de acceso por Wi-Fi para conectar el dispositivo a Internet.
- Cuando se te solicite acceder, ingresa afw#setup, que descargará Android Device Policy.
- Escanea un código QR o ingresa manualmente un token de inscripción para aprovisionar el dispositivo.
Inscripción automática
Android 8.0 y versiones posteriores (Pixel 7.1 y versiones posteriores)
Los dispositivos que se compran a un revendedor autorizado de inscripción automática son aptos para la inscripción automática, un método optimizado para preconfigurar dispositivos a fin de que se aprovisionen automáticamente en el primer inicio.
Las organizaciones pueden crear configuraciones que contengan detalles de aprovisionamiento para sus dispositivos de inscripción automática, ya sea a través del portal de inscripción automática o mediante tu consola de EMM (consulta la API de cliente de inscripción automática). Durante el primer inicio, un dispositivo de inscripción automática verifica si se le asignó una configuración. Si es así, el dispositivo descarga Android Device Policy, que luego completa la configuración del dispositivo con los extras de aprovisionamiento especificados en la configuración asignada.
Si tus clientes usan el portal de inscripción automática, deben seleccionar Android Device Policy como el DPC de EMM para cada configuración que creen. En el Centro de ayuda de Android Enterprise, encontrarás instrucciones detalladas sobre cómo usar el portal, incluido cómo crear y asignar configuraciones a los dispositivos.
Si prefieres que tus clientes establezcan y asignen configuraciones directamente desde tu consola de EMM, debes realizar la integración en la API de inscripción automática para clientes.
Cuando creas una configuración, especificas los elementos adicionales de aprovisionamiento en el campo dpcExtras. En el siguiente fragmento de JSON, se muestra un ejemplo básico de lo que se debe incluir en dpcExtras, con un token de acceso agregado.
{
"android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
"android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
"android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
"com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
}
}
Cómo iniciar una app durante la configuración
setupActions para iniciar una app durante la configuración.En policies, puedes especificar una app para que Android Device Policy se inicie durante la configuración del dispositivo o del perfil de trabajo. Por ejemplo, puedes iniciar una app de VPN para que los usuarios puedan ajustar la configuración de VPN como parte del proceso de configuración. La app debe mostrar RESULT_OK para indicar que se completó y permitir que Android Device Policy complete el aprovisionamiento del dispositivo o del perfil de trabajo. Para iniciar una app durante la configuración, haz lo siguiente:
Asegúrate de que el installType de la app sea REQUIRED_FOR_SETUP. Si la app no se puede instalar o iniciar en el dispositivo, el aprovisionamiento fallará.
{
"applications":[
{
"packageName":"com.my.vpnapp.",
"installType":"REQUIRED_FOR_SETUP"
}
]
}
Agrega el nombre del paquete de la app a setupActions. Usa title y description a fin de especificar las instrucciones para el usuario.
{
"setupActions":[
{
"title":{
"defaultMessage":"Configure VPN"
},
"description":{
"defaultMessage":"Enable your VPN client to access corporate resources."
},
"launchApp":{
"packageName":"com.my.vpnapp."
}
}
]
}
Para distinguir que una app se inicia desde launchApp, la actividad que se inicia por primera vez como parte de la app contiene el intent booleano adicional com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION (configurado en true). Este valor adicional te permite personalizar tu app en función de si la inicia un usuario o setupActions.
Una vez que la app muestra RESULT_OK, Android Device Policy completa los pasos restantes necesarios para aprovisionar el dispositivo o el perfil de trabajo.
Cancela la inscripción durante la configuración
La app que se inicia como SetupAction puede cancelar la inscripción que muestra RESULT_CANCELED.
Cuando se cancela la inscripción, se restablece un dispositivo de la empresa o se borra el perfil de trabajo de uno personal.
Nota: La cancelación de la inscripción activa la acción sin un diálogo de confirmación del usuario. Es responsabilidad de la app mostrar un diálogo de error apropiado al usuario antes de mostrar el resultado.
Aplica una política a los dispositivos inscritos recientemente
El método que usas para aplicar políticas a dispositivos inscritos recientemente depende de ti y de los requisitos de tus clientes. A continuación, presentamos tres enfoques diferentes:
(Recomendado) Cuando crees un token de inscripción, puedes especificar el nombre de la política (
policyName) que se vinculará inicialmente al dispositivo. Cuando inscribes un dispositivo con el token, la política se aplica automáticamente al dispositivo.Establecer una política como política predeterminada para una empresa Si no se especifica un nombre de política en el token de inscripción y hay una política con el nombre
enterprises/<enterprise_id>/policies/default, cada dispositivo nuevo se vincula automáticamente a la política predeterminada en el momento de la inscripción.Suscríbete a un tema de Cloud Pub/Sub para recibir notificaciones sobre dispositivos inscritos recientemente. En respuesta a una notificación de
ENROLLMENT, llama aenterprises.devices.patchpara vincular el dispositivo con una política.
Inscribe un dispositivo sin una política
Si un dispositivo está inscrito sin una política válida, se coloca en cuarentena. Los dispositivos en cuarentena se bloquean de todas las funciones del dispositivo hasta que se vinculen a una política.
Si un dispositivo no se vincula a una política en cinco minutos, falla la inscripción del dispositivo y se restablece la configuración de fábrica. El estado de cuarentena del dispositivo te da la oportunidad de implementar verificaciones de licencias y otros procesos de validación de inscripción como parte de tu solución.
Ejemplo de flujo de trabajo de verificación de licencias
- Se inscribió un dispositivo sin una política predeterminada o específica.
- Verifica cuántas licencias le quedan a la empresa.
- Si hay licencias disponibles, usa
devices.patchpara adjuntar una política al dispositivo y, luego, disminuye el recuento de licencias. Si no hay licencias disponibles, usadevices.patchpara inhabilitar el dispositivo. Como alternativa, la API restablece la configuración de fábrica de cualquier dispositivo que no esté adherido a una política dentro de los cinco minutos posteriores a la inscripción.