Gerät registrieren und bereitstellen

Die Bereitstellung ist der Vorgang, bei dem ein Gerät eingerichtet wird, um von einem enterprise über policies verwaltet zu werden. Während des Vorgangs wird auf dem Gerät die Android Device Policy installiert, mit der policies empfangen und erzwungen wird. Wenn die Bereitstellung erfolgreich war, erstellt die API ein devices-Objekt, das das Gerät an ein Unternehmen bindet.

Die Android Management API verwendet Registrierungstokens, um den Bereitstellungsprozess auszulösen. Mit dem Registrierungstoken und der Bereitstellungsmethode, die Sie verwenden, wird die Eigentumsrechte (privates oder unternehmenseigenes Gerät) und der Verwaltungsmodus (Arbeitsprofil oder vollständig verwaltetes Gerät) eines Geräts festgelegt.

Private Geräte

Android 5.1 und höher

Geräte, die Mitarbeitern gehören, können mit einem Arbeitsprofil eingerichtet werden. Ein Arbeitsprofil bietet einen separaten Bereich für geschäftliche Apps und Daten, der von privaten Apps und Daten getrennt ist. Die meisten App-, Daten- und anderen Verwaltungsfunktionen policies gelten nur für das Arbeitsprofil, während die privaten Apps und Daten des Mitarbeiters privat bleiben.

Wenn Sie ein Arbeitsprofil auf einem privaten Gerät einrichten möchten, erstellen Sie ein Registrierungstoken (allowPersonalUsage muss auf PERSONAL_USAGE_ALLOWED gesetzt sein) und verwenden Sie eine der folgenden Bereitstellungsmethoden:

Unternehmenseigene Geräte für berufliche und private Zwecke

Android 8 und höher

Wenn Sie ein unternehmenseigenes Gerät mit einem Arbeitsprofil einrichten, kann es sowohl für geschäftliche als auch private Zwecke verwendet werden. Auf unternehmenseigenen Geräten mit Arbeitsprofilen:

Wenn Sie ein unternehmenseigenes Gerät mit einem Arbeitsprofil einrichten möchten, erstellen Sie ein Registrierungstoken (allowPersonalUsage muss auf PERSONAL_USAGE_ALLOWED gesetzt sein) und verwenden Sie eine der folgenden Bereitstellungsmethoden:

Unternehmenseigene Geräte nur für geschäftliche Zwecke

Android 5.1 und höher

Die vollständige Geräteverwaltung eignet sich für unternehmenseigene Geräte, die ausschließlich für geschäftliche Zwecke verwendet werden. Unternehmen können alle Apps auf dem Gerät verwalten und das gesamte Spektrum der Android Management API-Richtlinien und ‑Befehle erzwingen.

Es ist auch möglich, ein Gerät (über eine Richtlinie) auf eine einzelne App oder eine kleine Gruppe von Apps zu beschränken, um einen bestimmten Zweck oder Anwendungsfall zu erfüllen. Diese Teilmenge der vollständig verwalteten Geräte wird als eigens für die Nutzung durch bestimmte Nutzer bestimmte Geräte bezeichnet. Bei Registrierungstokens für diese Geräte muss allowPersonalUsage auf PERSONAL_USAGE_DISALLOWED_USERLESS festgelegt sein.

Wenn Sie die vollständige Verwaltung auf einem unternehmenseigenen Gerät einrichten möchten, erstellen Sie ein Registrierungstoken. Achten Sie darauf, dass allowPersonalUsage auf PERSONAL_USAGE_DISALLOWED oder PERSONAL_USAGE_DISALLOWED_USERLESS festgelegt ist, und verwenden Sie eine der folgenden Bereitstellungsmethoden.

Richtlinien können sich auf die Generierung der Benutzeroberfläche während der Gerätebereitstellung auswirken. Dazu gehören:

  • PasswordPolicyScope: Mit dieser Einstellung legen Sie die Passwortanforderungen fest.
  • PermittedInputMethods: Hiermit werden die Paketeingabemethoden festgelegt.
  • PermittedAccessibilityServices: Hiermit wird festgelegt, welche Bedienungshilfen für vollständig verwaltete Geräte und das Arbeitsprofil zulässig sind.
  • SetupActions: Mit dieser Option legen Sie fest, welche Aktionen während der Einrichtung ausgeführt werden.
  • ApplicationsPolicy: Hiermit wird die Richtlinie für eine einzelne App festgelegt.

Wenn Sie möchten, dass während der Gerätebereitstellung neben der Installation von Arbeits-Apps auch die Passwortschritte und Karten zur Geräteregistrierung angezeigt werden, empfehlen wir Ihnen, Ihre Richtlinien so zu aktualisieren, dass die Erstellung der Benutzeroberfläche verzögert wird. Lassen Sie das Gerät dazu im Quarantänestatus, der auftritt, wenn es ohne zugehörige Richtlinie registriert wird, bis Sie die endgültig ausgewählte Richtlinie für die Geräteeinrichtung mit Elementen ausfüllen, die für Ihre Einrichtungsanforderungen relevant sind. Sobald die Bereitstellung des Geräts abgeschlossen ist, können Sie die Richtlinie nach Bedarf ändern.

Registrierungstoken erstellen

Android-Verwaltung – Übersicht
Abbildung 1 Erstellen Sie ein Token, mit dem „policy1“ auf Geräte registriert und angewendet wird. Nach 1.800 Sekunden (30 Minuten) läuft das Token ab.

Sie benötigen ein Registrierungstoken für jedes Gerät, das Sie registrieren möchten. Sie können dasselbe Token für mehrere Geräte verwenden. Wenn Sie ein Registrierungstoken anfordern möchten, rufen Sie enterprises.enrollmentTokens.create auf. Registrierungstokens laufen standardmäßig nach einer Stunde ab. Sie können jedoch eine benutzerdefinierte Ablaufzeit (duration) von bis zu 10.000 Jahren angeben.

Bei einer erfolgreichen Anfrage wird ein enrollmentToken-Objekt mit einer enrollmentTokenId und einer qrcode zurückgegeben, mit dem IT-Administratoren und Endnutzer Geräte bereitstellen können.

Richtlinie angeben

Sie können in der Anfrage auch eine policyName angeben, um eine Richtlinie gleichzeitig mit der Registrierung eines Geräts anzuwenden. Wenn Sie keine policyName angeben, lesen Sie den Hilfeartikel Gerät ohne Richtlinie registrieren.

Private Nutzung angeben

allowPersonalUsage bestimmt, ob dem Gerät während der Bereitstellung ein Arbeitsprofil hinzugefügt werden kann. Legen Sie PERSONAL_USAGE_ALLOWED fest, damit Nutzer ein Arbeitsprofil erstellen können (erforderlich für eigene Geräte, optional für unternehmenseigene Geräte).

QR-Codes

QR-Codes sind eine effiziente Methode zur Gerätebereitstellung für Unternehmen, die viele verschiedene Richtlinien haben. Der von enterprises.enrollmentTokens.create zurückgegebene QR-Code besteht aus einer Nutzlast von Schlüssel/Wert-Paaren, die ein Registrierungstoken und alle Informationen enthalten, die für die Gerätebereitstellung durch die Android-Geräterichtlinie erforderlich sind.

Beispiel für ein QR-Code-Bundle

Das Paket enthält den Downloadstandort von Android Device Policy und ein Registrierungstoken.

{
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
        "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
    }
}

Sie können den von enterprises.enrollmentTokens.create zurückgegebenen QR-Code direkt verwenden oder anpassen. Eine vollständige Liste der Properties, die Sie in ein QR-Code-Bundle aufnehmen können, finden Sie unter QR-Code erstellen.

Verwenden Sie einen QR-Code-Generator wie ZXing, um den qrcode-String in einen scanbaren QR-Code umzuwandeln.

Bereitstellungsmethoden

In diesem Abschnitt werden verschiedene Methoden zur Bereitstellung eines Geräts beschrieben.

Arbeitsprofil über die Einstellungen hinzufügen

Android 5.1 und höher

So richten Nutzer ein Arbeitsprofil auf ihrem Gerät ein:

  1. Gehen Sie zu Einstellungen > Google > Einrichten und wiederherstellen.
  2. Tippen Sie auf Arbeitsprofil einrichten.

Dadurch wird ein Einrichtungsassistent gestartet, der Android Device Policy auf das Gerät herunterlädt. Als Nächstes wird der Nutzer aufgefordert, einen QR-Code zu scannen oder manuell ein Registrierungstoken einzugeben, um die Einrichtung des Arbeitsprofils abzuschließen.

Android Device Policy herunterladen

Android 5.1 und höher

Wenn ein Nutzer ein Arbeitsprofil auf seinem Gerät einrichten möchte, kann er Android Device Policy aus dem Google Play Store herunterladen. Nach der Installation der App wird der Nutzer aufgefordert, einen QR-Code zu scannen oder manuell ein Registrierungstoken einzugeben, um die Einrichtung des Arbeitsprofils abzuschließen.

Android 5.1 und höher

Erstellen Sie mit dem von enrollmentTokens.create zurückgegebenen Registrierungstoken oder der signinEnrollmentToken des Unternehmens eine URL im folgenden Format:

https://enterprise.google.com/android/enroll?et=<enrollmentToken>

Sie können diese URL an IT-Administratoren weitergeben, die sie an ihre Endnutzer weitergeben können. Wenn ein Endnutzer den Link auf seinem Gerät öffnet, wird er durch die Einrichtung des Arbeitsprofils geführt.

Anmelde-URL

Bei dieser Methode werden Nutzer auf eine Seite weitergeleitet, auf der sie alle zusätzlichen Informationen eingeben müssen, die für die Bereitstellung erforderlich sind. Anhand der vom Nutzer eingegebenen Informationen können Sie die richtige Richtlinie für den Nutzer berechnen, bevor Sie mit der Gerätebereitstellung fortfahren. Beispiel:

  1. Geben Sie Ihre Anmelde-URL unter enterprises.signInDetails[] an. Legen Sie allowPersonalUsage auf PERSONAL_USAGE_ALLOWED fest, wenn Sie einem Nutzer erlauben möchten, ein Arbeitsprofil zu erstellen. Dies ist für private Geräte erforderlich und für unternehmenseigene Geräte optional.

    Fügen Sie die resultierende signinEnrollmentToken als Bereitstellungsextra zu einem QR-Code, einer NFC-Nutzlast oder einer Zero-Touch-Konfiguration hinzu. Alternativ können Sie die signinEnrollmentToken den Nutzern direkt zur Verfügung stellen.

  2. Wählen Sie eine Option aus:

    1. Dem Unternehmen gehörende Geräte:Nachdem Sie ein neues Gerät oder ein auf den Werkszustand zurückgesetztes Gerät eingeschaltet haben, geben Sie den signinEnrollmentToken an das Gerät weiter (z. B. per QR-Code oder NFC-Bump) oder bitten Sie die Nutzer, das Token manuell einzugeben. Auf dem Gerät wird die in Schritt 1 angegebene Anmelde-URL geöffnet.
    2. Private Geräte:Bitten Sie die Nutzer, über die Einstellungen ein Arbeitsprofil hinzuzufügen. Auf Aufforderung hin scannt der Nutzer einen QR-Code mit der signinEnrollmentToken oder gibt das Token manuell ein. Auf dem Gerät wird die in Schritt 1 angegebene Anmelde-URL geöffnet.
    3. Eigene Geräte:Stellen Sie Nutzern einen Link zum Registrierungstoken zur Verfügung, wobei das Registrierungstoken die signinEnrollmentToken ist. Auf dem Gerät wird die in Schritt 1 angegebene Anmelde-URL geöffnet.

  3. Prüfen Sie, ob Google den Nutzer bereits authentifiziert hat. Rufen Sie die Informationen zur Gerätebereitstellung (während der Geräteregistrierung) mit dem GET-Parameter provisioningInfo ab und prüfen Sie, ob ein Wert für das Feld authenticatedUserEmail vorhanden ist. Wenn in diesem Feld ein Wert vorhanden ist, wurde der Nutzer bereits erfolgreich von Google authentifiziert und Sie können diese Identität ohne weitere Authentifizierung verwenden.

  4. Wenn Google den Nutzer noch nicht authentifiziert hat, sollten Nutzer über Ihre Anmelde-URL aufgefordert werden, ihre Anmeldedaten einzugeben. Anhand der Identität können Sie die entsprechende Richtlinie bestimmen und die Informationen zur Gerätebereitstellung (während der Geräteregistrierung) mit dem GET-Parameter provisioningInfo abrufen.

  5. Rufe enrollmentTokens.create auf und gib die entsprechende policyId anhand der Anmeldedaten des Nutzers an.

  6. Gib das in Schritt 5 generierte Registrierungstoken mithilfe einer URL-Weiterleitung im Format https://enterprise.google.com/android/enroll?et=<token> zurück.

QR-Code-Methode

Android 7.0 und höher

Wenn Sie ein unternehmenseigenes Gerät bereitstellen möchten, können Sie einen QR-Code generieren und in Ihrer EMM-Konsole anzeigen:

  1. Auf einem neuen oder auf die Werkseinstellungen zurückgesetzten Gerät tippt der Nutzer (in der Regel ein IT-Administrator) sechsmal auf dieselbe Stelle auf dem Display. Dadurch wird der Nutzer auf dem Gerät aufgefordert, einen QR-Code zu scannen.
  2. Der Nutzer scannt den QR-Code, den Sie in Ihrer Verwaltungskonsole (oder einer ähnlichen Anwendung) anzeigen, um das Gerät zu registrieren und zu provisionieren.

NFC-Methode

Android 6.0 oder höher

Für diese Methode müssen Sie eine NFC-Programmier-App erstellen, die das Registrierungstoken, die anfänglichen Richtlinien und die WLAN-Konfiguration, die Einstellungen und alle anderen Bereitstellungsdetails enthält, die Ihr Kunde für die Bereitstellung eines vollständig verwalteten oder dedizierten Geräts benötigt. Wenn Sie oder Ihr Kunde die NFC-Programmier-App auf einem Android-Gerät installieren, wird dieses Gerät zum Programmiergerät.

Eine detaillierte Anleitung zur Unterstützung der NFC-Methode finden Sie in der Entwicklerdokumentation der Play EMM API. Die Website enthält auch Beispielcode für die Standardparameter, die bei einem NFC-Bump auf ein Gerät gesendet werden. Wenn Sie Android Device Policy installieren möchten, legen Sie den Downloadort des Pakets für die Geräteverwaltung so fest:

https://play.google.com/managed/downloadManagingApp?identifier=setup

DPC-Identifikationsmethode

Wenn Android Device Policy nicht über einen QR-Code oder NFC hinzugefügt werden kann, kann ein Nutzer oder IT-Administrator ein unternehmenseigenes Gerät so bereitstellen:

  1. Folgen Sie dem Einrichtungsassistenten auf einem neuen oder auf die Werkseinstellungen zurückgesetzten Gerät.
  2. Geben Sie die WLAN-Anmeldedaten ein, um auf dem Gerät eine Internetverbindung herzustellen.
  3. Wenn Sie aufgefordert werden, sich anzumelden, geben Sie afw#setup ein. Dadurch wird Android Device Policy heruntergeladen.
  4. Scannen Sie einen QR-Code oder geben Sie manuell ein Registrierungstoken ein, um das Gerät zu provisionieren.

Zero-Touch-Registrierung

Android 8.0 oder höher (Pixel 7.1 oder höher)

Geräte, die bei einem autorisierten Zero-Touch-Reseller gekauft wurden, können für die Zero-Touch-Registrierung verwendet werden. Dabei handelt es sich um eine optimierte Methode, mit der Geräte vorkonfiguriert werden, um sich beim ersten Start automatisch bereitzustellen.

Organisationen können Konfigurationen mit Bereitstellungsdetails für ihre Zero-Touch-Geräte erstellen, entweder über das Portal für die Zero-Touch-Registrierung oder über die EMM-Konsole (siehe Zero-Touch Customer API). Beim ersten Start prüft ein Zero-Touch-Gerät, ob ihm eine Konfiguration zugewiesen wurde. Ist das der Fall, lädt das Gerät die Android Device Policy App herunter, durch die die Einrichtung des Geräts dann mit den in der zugewiesenen Konfiguration angegebenen Bereitstellungsoptionen abgeschlossen wird.

Wenn Ihre Kunden das Portal für die Zero-Touch-Registrierung verwenden, müssen sie für jede erstellte Konfiguration die Android Device Policy App als EMM-DPC auswählen. Eine ausführliche Anleitung zur Verwendung des Portals, einschließlich der Erstellung und Zuweisung von Konfigurationen zu Geräten, finden Sie in der Android Enterprise-Hilfe.

Wenn Sie möchten, dass Ihre Kunden Konfigurationen direkt über Ihre EMM-Konsole festlegen und zuweisen, müssen Sie die Zero-Touch Customer API einbinden. Wenn Sie eine Konfiguration erstellen, geben Sie im Feld dpcExtras zusätzliche Bereitstellungsoptionen an. Das folgende JSON-Snippet zeigt ein einfaches Beispiel dafür, was in dpcExtras enthalten sein sollte, mit einem hinzugefügten Anmeldetoken.

{
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
   "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
      "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
   }
}

App während der Einrichtung starten

setupaction
Abbildung 2. Mit setupActions können Sie während der Einrichtung eine App starten.

Unter policies können Sie eine App für Android Device Policy angeben, die während der Einrichtung des Geräts oder Arbeitsprofils gestartet werden soll. Sie können beispielsweise eine VPN-App starten, damit Nutzer die VPN-Einstellungen im Rahmen der Einrichtung konfigurieren können. Die App muss RESULT_OK zurückgeben, um den Abschluss zu signalisieren und die Bereitstellung des Geräts oder Arbeitsprofils über Android Device Policy abzuschließen. So starten Sie während der Einrichtung eine App:

Achten Sie darauf, dass die installType der App REQUIRED_FOR_SETUP ist. Wenn die App nicht auf dem Gerät installiert oder gestartet werden kann, schlägt die Bereitstellung fehl.

{
   "applications":[
      {
         "packageName":"com.my.vpnapp.",
         "installType":"REQUIRED_FOR_SETUP"
      }
   ]
}

Fügen Sie setupActions den Paketnamen der App hinzu. Mit title und description kannst du Anweisungen für Nutzer angeben.

{
   "setupActions":[
      {
         "title":{
            "defaultMessage":"Configure VPN"
         },
         "description":{
            "defaultMessage":"Enable your VPN client to access corporate resources."
         },
         "launchApp":{
            "packageName":"com.my.vpnapp."
         }
      }
   ]
}

Damit festgestellt werden kann, dass eine App über launchApp gestartet wird, enthält die Aktivität, die zuerst als Teil der App gestartet wird, das boole Intent-Extra com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION (auf true festgelegt). Mit diesem Extra können Sie Ihre App anpassen, je nachdem, ob sie über setupActions oder von einem Nutzer gestartet wird.

Nachdem die App RESULT_OK zurückgegeben hat, führt Android Device Policy die restlichen Schritte zur Bereitstellung des Geräts oder Arbeitsprofils aus.

Registrierung während der Einrichtung abbrechen

Die App, die als SetupAction gestartet wurde, kann die Registrierung abbrechen und RESULT_FIRST_USER zurückgeben.

Wenn Sie die Registrierung aufheben, wird ein unternehmenseigenes Gerät auf die Werkseinstellungen zurückgesetzt oder das Arbeitsprofil auf einem privaten Gerät gelöscht.

Hinweis: Wenn Sie die Registrierung abbrechen, wird die Aktion ohne Bestätigungsdialogfeld für den Nutzer ausgelöst. Die App muss dem Nutzer vor dem Zurückgeben von RESULT_FIRST_USER ein entsprechendes Fehlerdialogfeld anzeigen.

Richtlinie auf neu registrierte Geräte anwenden

Welche Methode Sie zum Anwenden von Richtlinien auf neu registrierte Geräte verwenden, hängt von Ihnen und den Anforderungen Ihrer Kunden ab. Es gibt verschiedene Ansätze, die Sie verwenden können:

  • (Empfohlen) Wenn Sie ein Registrierungstoken erstellen, können Sie den Namen der Richtlinie (policyName) angeben, die zuerst mit dem Gerät verknüpft wird. Wenn Sie ein Gerät mit dem Token registrieren, wird die Richtlinie automatisch auf das Gerät angewendet.

  • Eine Richtlinie als Standardrichtlinie für ein Unternehmen festlegen Wenn im Registrierungstoken kein Richtlinienname angegeben ist und eine Richtlinie mit dem Namen enterprises/<enterprise_id>/policies/default vorhanden ist, wird jedes neue Gerät bei der Registrierung automatisch mit der Standardrichtlinie verknüpft.

  • Abonnieren Sie ein Cloud Pub/Sub-Thema, um Benachrichtigungen zu neu registrierten Geräten zu erhalten. Rufe als Reaktion auf eine ENROLLMENT-Benachrichtigung enterprises.devices.patch auf, um das Gerät mit einer Richtlinie zu verknüpfen.

Gerät ohne Richtlinie registrieren

Wenn ein Gerät ohne gültige Richtlinie registriert wird, wird es in die Quarantäne verschoben. Für Geräte in der Quarantäne sind alle Gerätefunktionen blockiert, bis das Gerät mit einer Richtlinie verknüpft ist.

Wenn ein Gerät innerhalb von fünf Minuten nicht mit einer Richtlinie verknüpft ist, schlägt die Geräteregistrierung fehl und das Gerät wird auf die Werkseinstellungen zurückgesetzt. Der Quarantänestatus des Geräts bietet Ihnen die Möglichkeit, Lizenzprüfungen oder andere Registrierungsbestätigungsverfahren als Teil Ihrer Lösung zu implementieren.

Beispiel für einen Workflow zur Lizenzprüfung

  1. Ein Gerät ist ohne Standard- oder bestimmte Richtlinie registriert.
  2. Prüfen Sie, wie viele Lizenzen dem Unternehmen noch zur Verfügung stehen.
  3. Wenn Lizenzen verfügbar sind, verwenden Sie devices.patch, um dem Gerät eine Richtlinie zuzuweisen, und verringern Sie dann die Lizenzanzahl. Wenn keine Lizenzen verfügbar sind, deaktivieren Sie das Gerät mit devices.patch. Alternativ setzt die API alle Geräte, die innerhalb von fünf Minuten nach der Registrierung nicht mit einer Richtlinie verknüpft sind, auf die Werkseinstellungen zurück.