Inscribe y aprovisiona un dispositivo

El aprovisionamiento es el proceso de configurar un dispositivo para que lo administre un enterprise con policies. Durante el proceso, un dispositivo instala Android Device Policy, que se usa para recibir y aplicar policies. Si el aprovisionamiento se realiza correctamente, la API crea un objeto devices, que vincula el dispositivo a una empresa.

La API de Android Management usa tokens de inscripción para activar el proceso de aprovisionamiento. El token de inscripción y el método de aprovisionamiento que uses establecen la propiedad de un dispositivo (personal o de la empresa) y el modo de administración (perfil de trabajo o dispositivo completamente administrado).

Un sistema de cuotas controla cuántos dispositivos puede administrar cada proyecto. Debes solicitar una cuota inicial de dispositivos antes de poder aprovisionar tu primer dispositivo.

Dispositivos de propiedad personal

Android 5.1 y versiones posteriores

Los dispositivos que pertenecen a los empleados se pueden configurar con un perfil de trabajo. Un perfil de trabajo proporciona un espacio independiente para las apps y los datos de trabajo, separado de las apps y los datos personales. La mayoría de las policies de administración de apps, datos y otros aspectos se aplican solo al perfil de trabajo, mientras que las apps y los datos personales del empleado permanecen privados.

Para configurar un perfil de trabajo en un dispositivo personal, crea un token de inscripción (asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_ALLOWED) y usa uno de los siguientes métodos de aprovisionamiento:

Dispositivos de la empresa para uso personal y laboral

Android 8 o versiones posteriores

Configurar un dispositivo de la empresa con un perfil de trabajo habilita el dispositivo para uso personal y laboral. En dispositivos de la empresa con perfiles de trabajo, haz lo siguiente:

Para configurar un dispositivo de la empresa con un perfil de trabajo, crea un token de inscripción (asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_ALLOWED) y usa uno de los siguientes métodos de aprovisionamiento:

Dispositivos de la empresa solo para uso laboral

Android 5.1 y versiones posteriores

La administración completa de dispositivos es adecuada para los dispositivos de la empresa cuyo uso sea únicamente para trabajo. Las empresas pueden administrar todas las apps del dispositivo y aplicar toda la gama de políticas y comandos de la API de Android Management.

También es posible bloquear un dispositivo (a través de una política) para una sola app o un conjunto pequeño de apps para que cumpla un propósito o caso de uso específico. Este subconjunto de dispositivos completamente administrados se denomina dispositivos de uso específico. Los tokens de inscripción para estos dispositivos deben tener allowPersonalUsage configurado como PERSONAL_USAGE_DISALLOWED_USERLESS.

Para configurar la administración completa en un dispositivo de la empresa, crea un token de inscripción, asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_DISALLOWED o PERSONAL_USAGE_DISALLOWED_USERLESS, y usa uno de los siguientes métodos de aprovisionamiento.

Las políticas pueden afectar la generación de la IU durante la provisión de dispositivo. Estas políticas son las siguientes:

Si quieres que se muestren los pasos de la contraseña junto con la instalación de las apps de trabajo y las tarjetas de registro del dispositivo durante la provisión de dispositivo, te sugerimos que actualices tus políticas para retrasar el inicio de la generación de la IU manteniendo el dispositivo en un estado de cuarentena, que se produce si se inscribe sin una política asociada, hasta que se especifique la política final seleccionada para la configuración del dispositivo con los elementos pertinentes para tus necesidades de configuración. Una vez que se complete el aprovisionamiento del dispositivo, puedes cambiar la política según sea necesario.

Crea un token de inscripción

Descripción general de Android Management
Figura 1. Crea un token que inscriba y aplique "policy1" a los dispositivos. Después de 1,800 segundos (30 minutos), el token vence.

Necesitas un token de inscripción para cada dispositivo que quieras inscribir (puedes usar el mismo token para varios dispositivos). Para solicitar un token de inscripción, llama a enterprises.enrollmentTokens.create. Los tokens de inscripción vencen después de una hora de forma predeterminada, pero puedes especificar un tiempo de vencimiento personalizado (duration) de hasta aproximadamente 10,000 años.

Una solicitud exitosa devuelve un objeto enrollmentToken que contiene un enrollmentTokenId y un qrcode que los administradores de TI y los usuarios finales pueden usar para aprovisionar dispositivos.

Especifica una política

También puedes especificar un policyName en la solicitud para aplicar una política al mismo tiempo que se inscribe un dispositivo. Si no especificas un policyName, consulta Inscribe un dispositivo sin una política.

Especifica el uso personal

allowPersonalUsage determina si se puede agregar un perfil de trabajo al dispositivo durante el aprovisionamiento. Establécelo en PERSONAL_USAGE_ALLOWED para permitir que un usuario cree un perfil de trabajo (obligatorio para los dispositivos de propiedad personal, opcional para los dispositivos de propiedad de la empresa).

Exención para los tokens de inscripción existentes

Algunos clientes usan tokens de inscripción con fechas de vencimiento largas para realizar inscripciones repetidas. Para asegurarte de que estos flujos de trabajo existentes no se interrumpan, los tokens creados ANTES de que se habilitara por primera vez el requisito "Autenticar con Google" están exentos de las nuevas solicitudes de acceso. Estos tokens más antiguos seguirán funcionando como antes, lo que permitirá que los usuarios inscriban dispositivos sin pasar por el proceso de autenticación de Google.

Sin embargo, los tokens creados DESPUÉS de que se activó el requisito de autenticación de Google por primera vez siguen las nuevas reglas de autenticación. Esto significa que los dispositivos que usan estos tokens más recientes requieren que los usuarios se autentiquen según la configuración que elija el administrador de TI. En el caso de los dispositivos de uso específico que no deben almacenar datos de los usuarios, asegúrate de que allowPersonalUsage esté configurado como PERSONAL_USAGE_DISALLOWED_USERLESS para evitar que se muestre la pantalla de autenticación.

Aplicar la autenticación de Google en la inscripción

Los EMM pueden aplicar el acceso a la Cuenta de Google durante la inscripción del dispositivo estableciendo los valores adecuados en el token de inscripción o de acceso. Este parámetro de configuración determina si se oculta el botón "Omitir" en la pantalla de acceso de Google. Cuando se configuran, estas opciones anulan la política googleAuthenticationSettings para toda la empresa.

Opciones de configuración

Puedes controlar el comportamiento de la autenticación con el objeto googleAuthenticationOptions en un EnrollmentToken o un SigninDetail.

Campo Descripción Valores
authenticationRequirement Especifica si el usuario debe autenticarse con Google durante la inscripción. AUTHENTICATION_REQUIREMENT_UNSPECIFIED: Se recurre a la configuración predeterminada de la empresa.
OPCIONAL: El usuario ve la pantalla de acceso de Google, pero puede optar por omitirla.
OBLIGATORIO: El usuario no puede omitir el acceso. El botón "Omitir" está oculto.
requiredAccountEmail Es el correo electrónico específico de la Cuenta de Google administrada que debe usar el usuario.
Nota: authenticationRequirement DEBE establecerse en REQUIRED si se usa este campo.		 String (p.ej., "user@enterprise.com")

Ejemplos de cargas útiles de JSON

Inhabilita el botón para omitir

Para ocultar el botón "Omitir" y obligar al usuario a acceder con cualquier cuenta empresarial válida, establece el requisito de autenticación en REQUIRED.

{
  ...
  "googleAuthenticationOptions": {
    "authenticationRequirement": "REQUIRED"
  }
}

Exigir un correo electrónico de cuenta específico

Para obligar al usuario a acceder con una cuenta designada, define la cadena requiredAccountEmail. La solicitud de creación de token fallará con un error INVALID_ARGUMENT si el campo de requisito no se establece en REQUIRED junto con él.

{
...
  "googleAuthenticationOptions": {
    "authenticationRequirement": "REQUIRED",
    "requiredAccountEmail": "user@enterprise.com"
  }
}

Acerca de los códigos QR

Los códigos QR funcionan como un método eficiente de provisión de dispositivos para las empresas que mantienen muchas políticas diferentes. El código QR que se muestra desde enterprises.enrollmentTokens.create se compone de una carga útil de pares clave-valor que contienen un token de inscripción y toda la información que necesita la política de dispositivo de Android para aprovisionar un dispositivo.

Paquete de código QR de ejemplo

El paquete incluye la ubicación de descarga de la política de dispositivo Android y un token de inscripción.

{
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
        "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
    }
}

Puedes usar el código QR que se muestra en enterprises.enrollmentTokens.create directamente o personalizarlo. Para obtener una lista completa de las propiedades que puedes incluir en un paquete de código QR, consulta Crea un código QR.

Para convertir la cadena qrcode en un código QR que se pueda escanear, usa un generador de códigos QR, como ZXing.

Métodos de aprovisionamiento

En esta sección, se describen diferentes métodos para aprovisionar un dispositivo.

Agrega un perfil de trabajo desde "Configuración"

Android 5.1 y versiones posteriores

Para configurar un perfil de trabajo en su dispositivo, el usuario puede hacer lo siguiente:

  1. Ve a Configuración > Google > Configurar y restablecer.
  2. Presiona Configura tu perfil de trabajo.

Con estos pasos, se inicia un asistente de configuración que descarga Android Device Policy en el dispositivo. Luego, se le pedirá al usuario que escanee un código QR o que ingrese manualmente un token de inscripción para completar la configuración del perfil de trabajo.

Descarga Android Device Policy

Android 5.1 y versiones posteriores

Para configurar un perfil de trabajo en su dispositivo, un usuario puede descargar Android Device Policy desde Google Play Store. Después de instalar la app, se le pedirá al usuario que escanee un código QR o que ingrese manualmente un token de inscripción para completar la configuración del perfil de trabajo.

Android 5.1 y versiones posteriores

Con el token de inscripción que se muestra de enrollmentTokens.create o el signinEnrollmentToken de la empresa, genera una URL con el siguiente formato:

https://enterprise.google.com/android/enroll?et=<enrollmentToken>

Puedes proporcionar esta URL a los administradores de TI, quienes pueden proporcionarla a sus usuarios finales. Cuando un usuario final abra el vínculo desde su dispositivo, se lo guiará por la configuración del perfil de trabajo.

URL de acceso

Con este método, se dirige a los usuarios a una página para que ingresen la información adicional necesaria para completar el aprovisionamiento. Según la información que ingrese el usuario, puedes calcular la política adecuada para él antes de continuar con el aprovisionamiento del dispositivo. Por ejemplo:

  1. Especifica tu URL de acceso en enterprises.signInDetails[]. Establece allowPersonalUsage en PERSONAL_USAGE_ALLOWED si quieres permitir que un usuario cree un perfil de trabajo (obligatorio para dispositivos de propiedad personal, opcional para dispositivos de propiedad de la empresa).

    Agrega el signinEnrollmentToken resultante como un extra de aprovisionamiento a un código QR, una carga útil de NFC o una configuración de inscripción automática. Como alternativa, puedes proporcionar el signinEnrollmentToken a los usuarios directamente.

  2. Elige una opción:

    1. Dispositivos de la empresa: Después de encender un dispositivo nuevo o restablecido a la configuración de fábrica, pasa el signinEnrollmentToken al dispositivo (a través de un código QR, una transmisión de NFC, etcétera) o pide a los usuarios que ingresen el token de forma manual. El dispositivo abrirá la URL de acceso especificada en el paso 1.
    2. Dispositivos de propiedad personal: Pídeles a los usuarios que agreguen un perfil de trabajo desde "Configuración". Cuando se le solicite, el usuario escanea un código QR que contiene el signinEnrollmentToken o ingresa el token de forma manual. El dispositivo abrirá la URL de acceso especificada en el paso 1.
    3. Dispositivos de propiedad personal: Proporciona a los usuarios un vínculo de token de inscripción, en el que el token de inscripción es el signinEnrollmentToken. El dispositivo abrirá la URL de acceso especificada en el paso 1.

  3. Verifica si Google ya autenticó al usuario. Obtén la información de aprovisionamiento del dispositivo (durante la inscripción del dispositivo) con el parámetro GET provisioningInfo y verifica si hay un valor para el campo authenticatedUserEmail. Si hay un valor en este campo, Google ya autenticó al usuario correctamente y puedes usar esta identidad sin autenticación adicional.

  4. Si Google aún no autenticó al usuario, la URL de acceso debería solicitarle que ingrese sus credenciales. Según su identidad, puedes determinar la política adecuada y obtener la información de provisión del dispositivo (durante la inscripción del dispositivo) con el parámetro GET provisioningInfo.

  5. Llama a enrollmentTokens.create y especifica el policyId adecuado según las credenciales del usuario.

  6. Devuelve el token de inscripción generado en el paso 5 con el redireccionamiento de URL, en el formato https://enterprise.google.com/android/enroll?et=<token>.

Aplicar la autenticación de Google con el flujo de la URL de acceso

Cuando usas SigninDetail para flujos de acceso de terceros (a través de enterprises.create o enterprises.patch), puedes pasar googleAuthenticationOptions. Esto aplica reglas antes de que se redireccione al usuario a la URL de acceso de terceros.

Cuando se crea un EnrollmentToken al final de un flujo de URL de acceso, sus requisitos de autenticación interactúan con el SigninDetail inicial:

  • Si el usuario omitió el acceso con Google porque SigninDetail no lo requería, pero el EnrollmentToken resultante tiene su requisito establecido en REQUIRED, el usuario verá un error y deberá acceder.
  • Si se establece requiredAccountEmail en el token y el usuario accedió con una dirección diferente que pertenece a la empresa, recibirá un error de "Cuenta incorrecta" y deberá volver a acceder con el correo electrónico correcto.

Método de código QR

Android 7.0 y versiones posteriores

Para aprovisionar un dispositivo empresarial, puedes generar un código QR y mostrarlo en tu consola de EMM:

  1. En un dispositivo nuevo o con la configuración de fábrica restablecida, el usuario (por lo general, un administrador de TI) presiona la pantalla seis veces en el mismo lugar. Esto hace que el dispositivo le solicite al usuario que escanee un código QR.
  2. El usuario escanea el código QR que muestras en tu consola de administración (o aplicación similar) para inscribir y aprovisionar el dispositivo.

Método de NFC

Android 6.0 o versiones posteriores

Este método requiere que crees una app de programador de NFC que contenga el token de inscripción, las políticas iniciales y la configuración de Wi-Fi, los parámetros de configuración y todos los demás detalles de aprovisionamiento que tu cliente necesita para aprovisionar un dispositivo de uso específico o completamente administrado. Cuando tú o tu cliente instalan la app de programador de NFC en un dispositivo con Android, ese dispositivo se convierte en el dispositivo programador.

En la documentación para desarrolladores de la API de Play EMM, se incluye orientación detallada sobre cómo admitir el método de NFC. El sitio también incluye un código de muestra de los parámetros predeterminados que se envían a un dispositivo en una transmisión NFC. Para instalar Android Device Policy, establece la ubicación de descarga del paquete de administrador del dispositivo en:

https://play.google.com/managed/downloadManagingApp?identifier=setup

Método de identificador de DPC

Si no se puede agregar la política de dispositivo Android con un código QR o NFC, un usuario o administrador de TI puede seguir estos pasos para aprovisionar un dispositivo de la empresa:

  1. Sigue el asistente de configuración en un dispositivo nuevo o restablecido a la configuración de fábrica.
  2. Ingresa los datos de acceso a la red Wi-Fi para conectar el dispositivo a Internet.
  3. Cuando se te solicite acceder, ingresa afw#setup, que descarga la política de dispositivo Android.
  4. Escanea un código QR o ingresa un token de inscripción de forma manual para aprovisionar el dispositivo.

Inscripción automática

Android 8.0 y versiones posteriores (Pixel 7.1 y versiones posteriores)

Los dispositivos que se compran a un revendedor autorizado con inscripción automática son aptos para la inscripción automática, un método optimizado para preconfigurar dispositivos que se aprovisionan automáticamente en el primer inicio.

Las organizaciones pueden crear parámetros de configuración que contengan detalles de aprovisionamiento para sus dispositivos de inscripción sin contacto, ya sea a través del portal de inscripción sin contacto o con tu consola de EMM (consulta la API de cliente para la inscripción sin contacto). En el primer inicio, un dispositivo de inscripción automática verifica si se le asignó una configuración. Si es así, el dispositivo descarga Android Device Policy, que luego completa la configuración del dispositivo con los extras de aprovisionamiento especificados en su configuración asignada.

Si tus clientes usan el portal de inscripción automática, deben seleccionar Android Device Policy como el DPC de EMM para cada configuración que creen. En el Centro de ayuda de Android Enterprise, encontrarás instrucciones detalladas para usar el portal, incluido cómo crear y asignar parámetros de configuración a los dispositivos.

Si prefieres que tus clientes establezcan y asignen parámetros de configuración directamente desde tu consola de EMM, debes realizar la integración con la API de cliente de inscripción automática. Cuando creas una configuración, especificas los extras de aprovisionamiento en el campo dpcExtras. En el siguiente fragmento de JSON, se muestra un ejemplo básico de lo que se debe incluir en dpcExtras, con un token de acceso agregado.

{
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
   "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
      "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
   }
}

Cómo iniciar una app durante la configuración

setupaction
Figura 2. Usa setupActions para iniciar una app durante la configuración.

En policies, puedes especificar una app para que la política de dispositivo Android la inicie durante la configuración del dispositivo o del perfil de trabajo. Por ejemplo, puedes iniciar una app de VPN para que los usuarios puedan configurar los parámetros de VPN como parte del proceso de configuración. La app debe devolver RESULT_OK para indicar que se completó el proceso y permitir que la política de dispositivo Android complete el aprovisionamiento del dispositivo o del perfil de trabajo. Para iniciar una app durante la configuración, haz lo siguiente:

Asegúrate de que el installType de la app sea REQUIRED_FOR_SETUP. Si la app no se puede instalar ni iniciar en el dispositivo, el aprovisionamiento fallará.

{
   "applications":[
      {
         "packageName":"com.my.vpnapp.",
         "installType":"REQUIRED_FOR_SETUP"
      }
   ]
}

Agrega el nombre del paquete de la app a setupActions. Usa title y description para especificar instrucciones para el usuario.

{
   "setupActions":[
      {
         "title":{
            "defaultMessage":"Configure VPN"
         },
         "description":{
            "defaultMessage":"Enable your VPN client to access corporate resources."
         },
         "launchApp":{
            "packageName":"com.my.vpnapp."
         }
      }
   ]
}

Para distinguir que una app se inicia desde launchApp, la actividad que se inicia primero como parte de la app contiene el intent booleano adicional com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION (establecido en true). Este elemento adicional te permite personalizar tu app en función de si se inicia desde setupActions o por un usuario.

Después de que la app devuelve RESULT_OK, Android Device Policy completa los pasos restantes necesarios para aprovisionar el dispositivo o el perfil de trabajo.

Cómo cancelar la inscripción durante la configuración

La app que se inicia como SetupAction puede cancelar la inscripción y devolver RESULT_FIRST_USER.

Si cancelas la inscripción, se restablecerá el dispositivo de la empresa o se borrará el perfil de trabajo en un dispositivo personal.

Nota: Si cancelas la inscripción, se activará la acción sin un diálogo de confirmación del usuario. Es responsabilidad de la app mostrar un diálogo de error adecuado al usuario antes de devolver RESULT_FIRST_USER.

Aplica una política a los dispositivos inscritos recientemente

El método que uses para aplicar políticas a los dispositivos inscritos recientemente depende de ti y de los requisitos de tus clientes. Estos son los diferentes enfoques que puedes usar:

  • (Recomendado) Cuando creas un token de inscripción, puedes especificar el nombre de la política (policyName) que se vinculará inicialmente al dispositivo. Cuando inscribes un dispositivo con el token, la política se aplica automáticamente al dispositivo.

  • Establece una política como la predeterminada para una empresa. Si no se especifica un nombre de política en el token de inscripción y hay una política con el nombre enterprises/<enterprise_id>/policies/default, cada dispositivo nuevo se vinculará automáticamente a la política predeterminada en el momento de la inscripción.

  • Suscríbete a un tema de Cloud Pub/Sub para recibir notificaciones sobre los dispositivos inscritos recientemente. En respuesta a una notificación ENROLLMENT, llama a enterprises.devices.patch para vincular el dispositivo con una política.

Inscribe un dispositivo sin una política

Si un dispositivo se inscribe sin una política válida, se lo coloca en cuarentena. Los dispositivos en cuarentena se bloquean de todas las funciones del dispositivo hasta que se vinculen a una política.

Si un dispositivo no se vincula a una política en cinco minutos, la inscripción del dispositivo falla y se restablece la configuración de fábrica. El estado de dispositivo en cuarentena te brinda la oportunidad de implementar verificaciones de licencias o cualquier otro proceso de validación de inscripción como parte de tu solución.

Ejemplo de flujo de trabajo de verificación de licencias

  1. Se inscribe un dispositivo sin una política predeterminada ni una política específica.
  2. Verifica cuántas licencias le quedan a la empresa.
  3. Si hay licencias disponibles, usa devices.patch para adjuntar una política al dispositivo y, luego, disminuye el recuento de licencias. Si no hay licencias disponibles, usa devices.patch para inhabilitar el dispositivo. Como alternativa, la API restablece la configuración de fábrica de cualquier dispositivo que no esté conectado a una política en un plazo de cinco minutos desde la inscripción.