Google sử dụng công nghệ AI để dịch nội dung sang ngôn ngữ bạn ưu tiên. Bản dịch bằng AI có thể có lỗi.

Đăng ký và cấp phép cho thiết bị

Cung cấp là quá trình thiết lập một thiết bị để quản lý bằng policies thông qua enterprise. Trong quá trình này, thiết bị sẽ cài đặt Android Device Policy, được dùng để nhận và thực thi policies. Nếu quá trình cấp phép thành công, API sẽ tạo một đối tượng devices, liên kết thiết bị với một doanh nghiệp.

Android Management API sử dụng mã thông báo đăng ký để kích hoạt quy trình cấp phép. Mã thông báo đăng ký và phương thức cấp phép mà bạn sử dụng sẽ thiết lập quyền sở hữu của thiết bị (thuộc sở hữu cá nhân hoặc thuộc sở hữu của công ty) và chế độ quản lý (hồ sơ công việc hoặc thiết bị được quản lý hoàn toàn).

Hệ thống hạn mức kiểm soát số lượng thiết bị mà mỗi dự án có thể quản lý. Bạn phải yêu cầu hạn mức thiết bị ban đầu thì mới có thể cấp phép cho thiết bị đầu tiên.

Thiết bị thuộc sở hữu cá nhân

Android 5.1 trở lên

Bạn có thể thiết lập hồ sơ công việc trên thiết bị do nhân viên sở hữu. Hồ sơ công việc cung cấp một không gian độc lập cho các ứng dụng và dữ liệu công việc, tách biệt với các ứng dụng và dữ liệu cá nhân. Hầu hết các policies quản lý ứng dụng, dữ liệu và các hoạt động quản lý khác chỉ áp dụng cho hồ sơ công việc, trong khi các ứng dụng và dữ liệu cá nhân của nhân viên vẫn được giữ riêng tư.

Để thiết lập hồ sơ công việc trên thiết bị thuộc sở hữu cá nhân, hãy tạo mã thông báo đăng ký (đảm bảo allowPersonalUsage được đặt thành PERSONAL_USAGE_ALLOWED) và sử dụng một trong các phương thức cấp phép sau:

Thêm hồ sơ công việc trong phần "Cài đặt"
Tải ứng dụng Android Device Policy xuống
Đường liên kết đến mã thông báo đăng ký
URL đăng nhập

Thiết bị do công ty sở hữu cho mục đích công việc và cá nhân

Android 8 trở lên

Việc thiết lập thiết bị do công ty sở hữu bằng hồ sơ công việc cho phép sử dụng thiết bị cho cả mục đích công việc và cá nhân. Trên thiết bị do công ty sở hữu và có hồ sơ công việc:

Hầu hết các chế độ quản lý ứng dụng, dữ liệu và các chế độ quản lý khác policies chỉ áp dụng cho hồ sơ công việc.
Hồ sơ cá nhân của nhân viên vẫn được giữ riêng tư. Tuy nhiên, doanh nghiệp có thể thực thi một số chính sách trên toàn thiết bị và chính sách sử dụng cá nhân.
Doanh nghiệp có thể sử dụng blockScope để thực thi các hành động tuân thủ trên toàn bộ thiết bị hoặc chỉ trên hồ sơ công việc của thiết bị.
devices.delete và lệnh thiết bị áp dụng cho toàn bộ thiết bị.

Để thiết lập thiết bị do công ty sở hữu bằng hồ sơ công việc, hãy tạo mã đăng ký (đảm bảo allowPersonalUsage được đặt thành PERSONAL_USAGE_ALLOWED) và sử dụng một trong các phương thức cấp phép sau:

Thiết lập tự động
Mã QR
URL đăng nhập
Giá trị nhận dạng DPC

Thiết bị do công ty sở hữu chỉ dùng cho công việc

Android 5.1 trở lên

Quản lý toàn bộ thiết bị phù hợp với các thiết bị do công ty sở hữu và chỉ dùng cho mục đích công việc. Doanh nghiệp có thể quản lý tất cả ứng dụng trên thiết bị và có thể thực thi toàn bộ các chính sách và lệnh của Android Management API.

Bạn cũng có thể khoá thiết bị (thông qua chính sách) để chỉ cho phép một ứng dụng hoặc một nhóm nhỏ ứng dụng phục vụ một mục đích hoặc trường hợp sử dụng chuyên biệt. Tập hợp con này của các thiết bị được quản lý hoàn toàn được gọi là thiết bị chuyên dụng. Mã thông báo đăng ký cho các thiết bị này phải có allowPersonalUsage được đặt thành PERSONAL_USAGE_DISALLOWED_USERLESS.

Để thiết lập chế độ quản lý toàn diện trên thiết bị do công ty sở hữu, hãy tạo mã thông báo đăng ký, đảm bảo allowPersonalUsage được đặt thành PERSONAL_USAGE_DISALLOWED hoặc PERSONAL_USAGE_DISALLOWED_USERLESS, rồi sử dụng một trong các phương thức cấp phép sau.

Thiết lập tự động
Mã QR
URL đăng nhập (không phù hợp với thiết bị chuyên dụng)
NFC
Giá trị nhận dạng DPC

Chính sách có thể ảnh hưởng đến việc tạo giao diện người dùng trong quá trình cấp phép thiết bị. Các chính sách đó là:

PasswordPolicyScope: Xác định các yêu cầu đối với mật khẩu.
PermittedInputMethods: Xác định phương thức nhập gói.
PermittedAccessibilityServices: Chính sách này xác định những dịch vụ hỗ trợ tiếp cận nào được phép dùng cho thiết bị được quản lý toàn diện và hồ sơ công việc.
SetupActions: Xác định những hành động được thực thi trong quá trình thiết lập.
ApplicationsPolicy: Thuộc tính này xác định chính sách cho một ứng dụng riêng lẻ.

Nếu bạn muốn các bước nhập mật khẩu xuất hiện cùng với quá trình cài đặt ứng dụng công việc và thẻ đăng ký thiết bị trong quá trình cấp phép thiết bị, thì bạn nên cập nhật chính sách để trì hoãn việc bắt đầu tạo giao diện người dùng bằng cách giữ thiết bị ở trạng thái cách ly (xảy ra nếu thiết bị được đăng ký mà không có chính sách liên kết) cho đến khi chỉ định chính sách cuối cùng được chọn để thiết lập thiết bị, trong đó có các mục liên quan đến nhu cầu thiết lập của bạn. Sau khi hoàn tất việc cấp phép cho thiết bị, bạn có thể thay đổi chính sách theo yêu cầu.

Tạo mã thông báo đăng ký

Tổng quan về Quản lý Android. — **Hình 1.** Tạo mã thông báo để đăng ký và áp dụng "policy1" cho các thiết bị. Sau 1.800 giây (30 phút), mã thông báo sẽ hết hạn.

Bạn cần có mã thông báo đăng ký cho mỗi thiết bị mà bạn muốn đăng ký (bạn có thể sử dụng cùng một mã thông báo cho nhiều thiết bị). Để yêu cầu mã thông báo đăng ký, hãy gọi enterprises.enrollmentTokens.create. Theo mặc định, mã thông báo đăng ký sẽ hết hạn sau một giờ,nhưng bạn có thể chỉ định thời gian hết hạn tuỳ chỉnh (duration) lên đến khoảng 10.000 năm.

Yêu cầu thành công sẽ trả về một đối tượng enrollmentToken chứa enrollmentTokenId và qrcode mà quản trị viên CNTT và người dùng cuối có thể sử dụng để cấp phép cho thiết bị.

Chỉ định chính sách

Bạn cũng có thể chỉ định policyName trong yêu cầu áp dụng chính sách cùng lúc với thời điểm đăng ký thiết bị. Nếu bạn không chỉ định policyName, hãy xem phần Đăng ký thiết bị không có chính sách.

Chỉ định mục đích sử dụng cá nhân

allowPersonalUsage xác định xem có thể thêm hồ sơ công việc vào thiết bị trong quá trình cấp phép hay không. Đặt thành PERSONAL_USAGE_ALLOWED để cho phép người dùng tạo hồ sơ công việc (bắt buộc đối với thiết bị thuộc sở hữu cá nhân, không bắt buộc đối với thiết bị thuộc sở hữu của công ty).

Miễn trừ cho mã thông báo đăng ký hiện có

Một số khách hàng sử dụng mã thông báo đăng ký có ngày hết hạn dài để thực hiện đăng ký nhiều lần. Để đảm bảo các quy trình hiện có này không bị gián đoạn, mọi mã thông báo được tạo TRƯỚC KHI yêu cầu "Xác thực bằng Google" được bật lần đầu tiên sẽ được miễn các lời nhắc đăng nhập mới. Những mã thông báo cũ này sẽ tiếp tục hoạt động như trước, cho phép người dùng đăng ký thiết bị mà không cần trải qua quy trình xác thực của Google.

Tuy nhiên, mọi mã thông báo được tạo SAU KHI yêu cầu xác thực của Google được bật lần đầu tiên đều tuân theo các quy tắc xác thực mới. Điều này có nghĩa là các thiết bị sử dụng những mã thông báo mới hơn này yêu cầu người dùng xác thực theo chế độ cài đặt mà quản trị viên CNTT đã chọn. Đối với các thiết bị chuyên dụng không nên lưu trữ dữ liệu người dùng, hãy đảm bảo bạn đặt allowPersonalUsage thành PERSONAL_USAGE_DISALLOWED_USERLESS để tránh hiển thị màn hình xác thực.

Bắt buộc xác thực bằng Google khi đăng ký

EMM có thể thực thi việc đăng nhập bằng Tài khoản Google trong quá trình đăng ký thiết bị bằng cách đặt các giá trị thích hợp trên mã thông báo đăng ký hoặc mã thông báo đăng nhập. Cấu hình này xác định xem nút "Bỏ qua" có bị ẩn trên màn hình đăng nhập bằng Google hay không. Khi được đặt, các lựa chọn này sẽ ghi đè chính sách googleAuthenticationSettings trên toàn doanh nghiệp.

Các lựa chọn về cấu hình

Bạn có thể kiểm soát hành vi xác thực bằng cách sử dụng đối tượng googleAuthenticationOptions trong EnrollmentToken hoặc SigninDetail.

Trường	Mô tả	Giá trị
`authenticationRequirement`	Chỉ định xem người dùng có phải xác thực với Google trong quá trình đăng ký hay không.	AUTHENTICATION_REQUIREMENT_UNSPECIFIED: Trở về chế độ cài đặt mặc định của doanh nghiệp. KHÔNG BẮT BUỘC: Người dùng nhìn thấy màn hình đăng nhập bằng Google nhưng có thể chọn bỏ qua. BẮT BUỘC: Người dùng không thể bỏ qua bước đăng nhập. Nút "Bỏ qua" bị ẩn.
`requiredAccountEmail`	Địa chỉ email cụ thể của Tài khoản Google được quản lý mà người dùng phải sử dụng. Lưu ý: `authenticationRequirement` PHẢI được đặt thành REQUIRED nếu bạn sử dụng trường này.	Chuỗi (ví dụ: "user@enterprise.com")

Ví dụ về gói dữ liệu JSON

Tắt nút bỏ qua

Để ẩn nút "Bỏ qua" và buộc người dùng đăng nhập bằng bất kỳ tài khoản doanh nghiệp hợp lệ nào, hãy đặt yêu cầu xác thực thành BẮT BUỘC.

{
  ...
  "googleAuthenticationOptions": {
    "authenticationRequirement": "REQUIRED"
  }
}

Yêu cầu một email tài khoản cụ thể

Để buộc người dùng đăng nhập bằng một tài khoản được chỉ định, hãy xác định chuỗi requiredAccountEmail. Yêu cầu tạo mã thông báo sẽ không thành công và trả về lỗi INVALID_ARGUMENT nếu trường yêu cầu không được đặt thành REQUIRED cùng với trường đó.

{
...
  "googleAuthenticationOptions": {
    "authenticationRequirement": "REQUIRED",
    "requiredAccountEmail": "user@enterprise.com"
  }
}

Giới thiệu về mã QR

Mã QR là một phương thức cấp phép thiết bị hiệu quả cho những doanh nghiệp duy trì nhiều chính sách khác nhau. Mã QR được trả về từ enterprises.enrollmentTokens.create bao gồm một tải trọng của các cặp khoá-giá trị chứa mã thông báo đăng ký và tất cả thông tin cần thiết để Chính sách thiết bị Android cấp phép cho một thiết bị.

Gói mã QR mẫu

Gói này bao gồm vị trí tải xuống của chính sách thiết bị Android và một mã thông báo đăng ký.

{
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
        "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
    }
}

Bạn có thể sử dụng trực tiếp Mã QR được trả về từ enterprises.enrollmentTokens.create hoặc tuỳ chỉnh mã đó. Để xem danh sách đầy đủ các thuộc tính mà bạn có thể đưa vào gói Mã QR, hãy xem phần Tạo mã QR.

Để chuyển đổi chuỗi qrcode thành Mã QR có thể quét, hãy sử dụng trình tạo Mã QR, chẳng hạn như ZXing.

Phương thức cấp phép

Phần này mô tả các phương thức khác nhau để cấp phép thiết bị.

Thêm hồ sơ công việc trong phần "Cài đặt"

Android 5.1 trở lên

Để thiết lập hồ sơ công việc trên thiết bị, người dùng có thể:

Chuyển đến phần Cài đặt > Google > Thiết lập và khôi phục.
Nhấn vào Thiết lập hồ sơ công việc.

Các bước này sẽ khởi động trình hướng dẫn thiết lập để tải Android Device Policy xuống thiết bị. Tiếp theo, người dùng sẽ được nhắc quét mã QR hoặc nhập mã thông báo đăng ký theo cách thủ công để hoàn tất quá trình thiết lập hồ sơ công việc.

Tải ứng dụng Android Device Policy xuống

Android 5.1 trở lên

Để thiết lập hồ sơ công việc trên thiết bị, người dùng có thể tải Android Device Policy xuống từ Cửa hàng Google Play. Sau khi cài đặt ứng dụng, người dùng sẽ được nhắc quét mã QR hoặc nhập mã thông báo đăng ký theo cách thủ công để hoàn tất quá trình thiết lập hồ sơ công việc.

Đường liên kết đến mã thông báo đăng ký

Android 5.1 trở lên

Sử dụng mã thông báo đăng ký được trả về từ enrollmentTokens.create hoặc signinEnrollmentToken của doanh nghiệp, hãy tạo một URL có định dạng sau:

https://enterprise.google.com/android/enroll?et=<enrollmentToken>

Bạn có thể cung cấp URL này cho quản trị viên CNTT để họ cung cấp cho người dùng cuối. Khi người dùng cuối mở đường liên kết trên thiết bị của họ, họ sẽ được hướng dẫn thiết lập hồ sơ công việc.

URL đăng nhập

Với phương thức này, người dùng được chuyển đến một trang để nhập mọi thông tin bổ sung cần thiết nhằm hoàn tất quy trình cấp phép. Dựa trên thông tin mà người dùng nhập, bạn có thể tính toán chính sách phù hợp cho người dùng trước khi tiếp tục cấp phép thiết bị. Ví dụ:

Chỉ định URL đăng nhập của bạn trong enterprises.signInDetails[]. Đặt allowPersonalUsage thành PERSONAL_USAGE_ALLOWED nếu bạn muốn cho phép người dùng tạo hồ sơ công việc (bắt buộc đối với thiết bị thuộc sở hữu cá nhân, không bắt buộc đối với thiết bị thuộc sở hữu của công ty).

Thêm signinEnrollmentToken thu được dưới dạng thông tin bổ sung về việc cấp phép vào mã QR, tải trọng NFC hoặc cấu hình không chạm. Ngoài ra, bạn có thể cung cấp trực tiếp signinEnrollmentToken cho người dùng.

Lưu ý: Tương tự như việc tạo mã thông báo đăng ký, nếu một URL đăng nhập đã tạo mã thông báo đăng ký TRƯỚC KHI tổ chức bật chế độ "Xác thực bằng Google" lần đầu tiên, thì người dùng sẽ không được nhắc đăng nhập. Tuy nhiên, mọi mã thông báo được tạo sau khi chế độ cài đặt đó được bật sẽ tuân theo hành vi mới và sử dụng chế độ cài đặt xác thực do quản trị viên CNTT định cấu hình.
Chọn một tùy chọn:
1. Thiết bị do công ty sở hữu: Sau khi bật thiết bị mới hoặc thiết bị đã đặt lại về trạng thái ban đầu, hãy chuyển signinEnrollmentToken đến thiết bị (thông qua mã QR, NFC, v.v.) hoặc yêu cầu người dùng nhập mã thông báo theo cách thủ công. Thiết bị sẽ mở URL đăng nhập được chỉ định ở Bước 1.
2. Thiết bị thuộc sở hữu cá nhân: Yêu cầu người dùng thêm hồ sơ công việc trong phần "Cài đặt". Khi được nhắc, người dùng sẽ quét Mã QR chứa signinEnrollmentToken hoặc nhập mã thông báo theo cách thủ công. Thiết bị sẽ mở URL đăng nhập được chỉ định ở Bước 1.
3. Thiết bị thuộc sở hữu cá nhân: Cung cấp cho người dùng một đường liên kết đến mã đăng ký, trong đó mã đăng ký là signinEnrollmentToken. Thiết bị sẽ mở URL đăng nhập được chỉ định ở Bước 1.
Kiểm tra xem Google đã xác thực người dùng hay chưa. Lấy thông tin cấp phép thiết bị (trong quá trình đăng ký thiết bị) bằng tham số GET provisioningInfo và kiểm tra giá trị cho trường authenticatedUserEmail. Nếu có giá trị trong trường này, thì người dùng đã được Google xác thực thành công và bạn có thể sử dụng danh tính này mà không cần xác thực thêm.

Lưu ý: Đối tượng provisioningInfo có thể sử dụng được trong tối đa 24 giờ sau khi cấp phép thiết bị.
Nếu Google chưa xác thực người dùng, thì URL đăng nhập của bạn sẽ nhắc người dùng nhập thông tin đăng nhập của họ. Dựa trên danh tính của họ, bạn có thể xác định chính sách phù hợp và lấy thông tin cấp phép thiết bị (trong quá trình đăng ký thiết bị) bằng cách sử dụng tham số GET provisioningInfo.

Phương pháp hay nhất: Sử dụng nhà cung cấp dịch vụ SSO của tổ chức để xác thực thông tin đăng nhập mà người dùng nhập vào URL đăng nhập (hoặc bất kỳ lệnh chuyển hướng nào sau đó). URL đăng nhập được mở trong Thẻ tuỳ chỉnh của Chrome và SSO của người dùng được lưu để đăng nhập vào ứng dụng sau này bằng App Auth.
Gọi enrollmentTokens.create, chỉ định policyId thích hợp dựa trên thông tin xác thực của người dùng.

Lưu ý: Trường allowPersonalUsage bị bỏ qua vì giá trị đã được chỉ định trong enterprises.signInDetails[]. Bạn không thể thay đổi giá trị sử dụng cá nhân trong quá trình đăng ký.
Trả về mã thông báo đăng ký được tạo ở Bước 5 bằng cách sử dụng lệnh chuyển hướng URL, ở dạng https://enterprise.google.com/android/enroll?et=<token>.

Lưu ý: Nếu người dùng không được phép hoàn tất quy trình cấp phép, bạn có thể hiển thị màn hình lỗi tuỳ chỉnh và chuyển hướng đến https://enterprise.google.com/android/enroll/invalid để giúp người dùng đặt lại thiết bị của họ.

Thực thi quy trình xác thực của Google bằng quy trình URL đăng nhập

Khi sử dụng SigninDetail cho quy trình đăng nhập của bên thứ ba (thông qua enterprises.create hoặc enterprises.patch), bạn có thể truyền googleAuthenticationOptions. Thao tác này sẽ thực thi các quy tắc trước khi người dùng được chuyển hướng đến URL đăng nhập của bên thứ ba.

Khi một EnrollmentToken được tạo ở cuối quy trình URL đăng nhập, các yêu cầu xác thực của nó sẽ tương tác với SigninDetail ban đầu:

Nếu người dùng bỏ qua bước đăng nhập bằng Google vì SigninDetail không yêu cầu, nhưng EnrollmentToken kết quả lại có yêu cầu được đặt thành REQUIRED, thì người dùng sẽ thấy lỗi và cần phải đăng nhập.
Nếu requiredAccountEmail được đặt trên mã thông báo và người dùng đã đăng nhập bằng một địa chỉ khác thuộc doanh nghiệp, thì họ sẽ nhận được lỗi "Tài khoản không chính xác" và cần đăng nhập lại bằng email bắt buộc chính xác.

Phương thức mã QR

Android 7.0 trở lên

Để cấp phép cho thiết bị do công ty sở hữu, bạn có thể tạo mã QR và hiển thị mã đó trong bảng điều khiển EMM:

Trên một thiết bị mới hoặc thiết bị đã đặt lại về trạng thái ban đầu, người dùng (thường là quản trị viên CNTT) sẽ nhấn vào màn hình 6 lần tại cùng một vị trí. Thao tác này sẽ kích hoạt thiết bị để nhắc người dùng quét mã QR.
Người dùng quét Mã QR mà bạn hiển thị trong bảng điều khiển quản lý (hoặc ứng dụng tương tự) để đăng ký và cấp phép cho thiết bị.

Phương thức NFC

Android 6.0 trở lên

Phương thức này yêu cầu bạn tạo một ứng dụng lập trình NFC chứa mã thông báo đăng ký, chính sách ban đầu và cấu hình Wi-Fi, chế độ cài đặt cũng như tất cả thông tin cấp phép khác mà khách hàng cần để cấp phép cho một thiết bị chuyên dụng hoặc được quản lý toàn diện. Khi bạn hoặc khách hàng cài đặt ứng dụng lập trình NFC trên thiết bị chạy Android, thiết bị đó sẽ trở thành thiết bị lập trình.

Bạn có thể xem hướng dẫn chi tiết về cách hỗ trợ phương thức NFC trong tài liệu dành cho nhà phát triển Play EMM API. Trang web này cũng có mã mẫu của các tham số mặc định được đẩy đến thiết bị khi chạm NFC. Để cài đặt Android Device Policy, hãy đặt vị trí tải xuống của gói quản trị thiết bị thành:

https://play.google.com/managed/downloadManagingApp?identifier=setup

Phương thức nhận dạng DPC

Nếu không thể thêm chính sách thiết bị Android bằng mã QR hoặc NFC, thì người dùng hoặc quản trị viên CNTT có thể làm theo các bước sau để cấp phép cho thiết bị do công ty sở hữu:

Làm theo trình hướng dẫn thiết lập trên thiết bị mới hoặc thiết bị đã đặt lại về trạng thái ban đầu.
Nhập thông tin đăng nhập Wi-Fi để kết nối thiết bị với Internet.
Khi được nhắc đăng nhập, hãy nhập afw#setup, thao tác này sẽ tải chính sách thiết bị Android xuống.
Quét mã QR hoặc nhập mã thông báo đăng ký theo cách thủ công để cấp phép cho thiết bị.

Thiết lập tự động

Android 8.0 trở lên (Pixel 7.1 trở lên)

Thiết bị mua từ đại lý được uỷ quyền cung cấp dịch vụ thiết lập tự động đủ điều kiện sử dụng dịch vụ thiết lập tự động, một phương thức đơn giản để định cấu hình trước cho thiết bị nhằm tự động cấp phép khi khởi động lần đầu.

Các tổ chức có thể tạo cấu hình chứa thông tin chi tiết về việc cấp phép cho thiết bị thiết lập tự động, thông qua cổng thông tin thiết lập tự động hoặc bằng bảng điều khiển EMM (xem API khách hàng thiết lập tự động). Trong lần khởi động đầu tiên, thiết bị không tiếp xúc sẽ kiểm tra xem thiết bị đó đã được chỉ định cấu hình hay chưa. Nếu có, thiết bị sẽ tải Android Device Policy xuống, sau đó hoàn tất việc thiết lập thiết bị bằng cách sử dụng các thông số bổ sung về việc cấp phép được chỉ định trong cấu hình được chỉ định của thiết bị.

Nếu khách hàng của bạn sử dụng cổng thông tin thiết lập tự động, thì họ cần chọn Android Device Policy làm trình kiểm soát chính sách thiết bị EMM cho mỗi cấu hình mà họ tạo. Hướng dẫn chi tiết về cách sử dụng cổng thông tin, bao gồm cả cách tạo và chỉ định cấu hình cho thiết bị, có trong Trung tâm trợ giúp của Android Enterprise.

Nếu muốn khách hàng đặt và chỉ định cấu hình ngay trong bảng điều khiển EMM, bạn cần tích hợp với API khách hàng không tiếp xúc. Khi tạo cấu hình, bạn chỉ định các thông tin bổ sung về việc cấp phép trong trường dpcExtras. Đoạn mã JSON sau đây cho thấy một ví dụ cơ bản về nội dung cần đưa vào dpcExtras, cùng với mã thông báo đăng nhập được thêm vào.

{
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
   "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
      "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
   }
}

Chạy một ứng dụng trong quá trình thiết lập

setupaction — **Hình 2.** Sử dụng `setupActions` để chạy một ứng dụng trong quá trình thiết lập.

Trong policies, bạn có thể chỉ định một ứng dụng để chính sách thiết bị Android khởi chạy trong quá trình thiết lập thiết bị hoặc hồ sơ công việc. Ví dụ: bạn có thể chạy một ứng dụng VPN để người dùng có thể định cấu hình chế độ cài đặt VPN trong quá trình thiết lập. Ứng dụng phải trả về RESULT_OK để báo hiệu hoàn tất và cho phép chính sách thiết bị Android hoàn tất việc cấp phép thiết bị hoặc hồ sơ công việc. Cách chạy một ứng dụng trong quá trình thiết lập:

Đảm bảo installType của ứng dụng là REQUIRED_FOR_SETUP. Nếu không thể cài đặt hoặc chạy ứng dụng trên thiết bị, thì quá trình cấp phép sẽ không thành công.

{
   "applications":[
      {
         "packageName":"com.my.vpnapp.",
         "installType":"REQUIRED_FOR_SETUP"
      }
   ]
}

Thêm tên gói của ứng dụng vào setupActions. Sử dụng title và description để chỉ định hướng dẫn dành cho người dùng.

{
   "setupActions":[
      {
         "title":{
            "defaultMessage":"Configure VPN"
         },
         "description":{
            "defaultMessage":"Enable your VPN client to access corporate resources."
         },
         "launchApp":{
            "packageName":"com.my.vpnapp."
         }
      }
   ]
}

Để phân biệt rằng một ứng dụng được chạy từ launchApp, hoạt động đầu tiên được chạy trong ứng dụng sẽ chứa ý định boolean bổ sung com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION (được đặt thành true). Ý định bổ sung này cho phép bạn tuỳ chỉnh ứng dụng dựa trên việc ứng dụng được chạy từ setupActions hay do người dùng chạy.

Sau khi ứng dụng trả về RESULT_OK, chính sách thiết bị Android sẽ hoàn tất mọi bước còn lại cần thiết để cấp phép cho thiết bị hoặc hồ sơ công việc.

Huỷ đăng ký trong quá trình thiết lập

Ứng dụng được chạy dưới dạng SetupAction có thể huỷ việc đăng ký trả về RESULT_FIRST_USER.

Việc huỷ đăng ký sẽ đặt lại thiết bị do công ty sở hữu hoặc xoá hồ sơ công việc trên thiết bị thuộc sở hữu cá nhân.

Lưu ý: Việc huỷ đăng ký sẽ kích hoạt hành động mà không cần hộp thoại xác nhận của người dùng. Ứng dụng có trách nhiệm hiển thị hộp thoại lỗi thích hợp cho người dùng trước khi trả về RESULT_FIRST_USER.

Áp dụng chính sách cho các thiết bị mới đăng ký

Phương thức bạn sử dụng để áp dụng chính sách cho các thiết bị mới đăng ký là tuỳ thuộc vào bạn và yêu cầu của khách hàng. Sau đây là các phương pháp mà bạn có thể sử dụng:

(Nên dùng) Khi tạo mã thông báo đăng ký, bạn có thể chỉ định tên của chính sách (policyName) sẽ được liên kết ban đầu với thiết bị. Khi bạn đăng ký thiết bị bằng mã thông báo, chính sách sẽ tự động được áp dụng cho thiết bị.
Đặt một chính sách làm chính sách mặc định cho doanh nghiệp. Nếu không có tên chính sách nào được chỉ định trong mã thông báo đăng ký và có một chính sách có tên enterprises/<enterprise_id>/policies/default, thì mỗi thiết bị mới sẽ tự động được liên kết với chính sách mặc định tại thời điểm đăng ký.
Đăng ký một chủ đề Cloud Pub/Sub để nhận thông báo về các thiết bị mới đăng ký. Để phản hồi thông báo ENROLLMENT, hãy gọi enterprises.devices.patch để liên kết thiết bị với một chính sách.

Đăng ký thiết bị mà không cần chính sách

Nếu một thiết bị được đăng ký mà không có chính sách hợp lệ, thì thiết bị đó sẽ được đưa vào trạng thái cách ly. Thiết bị bị cách ly sẽ bị chặn tất cả các chức năng cho đến khi thiết bị được liên kết với một chính sách.

Nếu một thiết bị không được liên kết với một chính sách trong vòng 5 phút, thì quá trình đăng ký thiết bị sẽ không thành công và thiết bị sẽ được đặt lại về trạng thái ban đầu. Trạng thái cách ly thiết bị cho phép bạn triển khai các quy trình kiểm tra giấy phép hoặc quy trình xác thực đăng ký khác trong giải pháp của mình.

Ví dụ về quy trình kiểm tra giấy phép

Thiết bị được đăng ký mà không có chính sách mặc định hoặc chính sách cụ thể.
Kiểm tra xem doanh nghiệp còn bao nhiêu giấy phép.
Nếu có giấy phép, hãy sử dụng devices.patch để đính kèm một chính sách vào thiết bị, sau đó giảm số lượng giấy phép. Nếu không có giấy phép, hãy sử dụng devices.patch để tắt thiết bị. Ngoài ra, API này sẽ đặt lại về trạng thái ban đầu mọi thiết bị không được đính kèm vào một chính sách trong vòng 5 phút sau khi đăng ký.

Đăng ký và cấp phép cho thiết bị Sử dụng bộ sưu tập để sắp xếp ngăn nắp các trang Lưu và phân loại nội dung dựa trên lựa chọn ưu tiên của bạn.

Thiết bị thuộc sở hữu cá nhân

Thiết bị do công ty sở hữu cho mục đích công việc và cá nhân

Thiết bị do công ty sở hữu chỉ dùng cho công việc

Tạo mã thông báo đăng ký

Chỉ định chính sách

Chỉ định mục đích sử dụng cá nhân

Miễn trừ cho mã thông báo đăng ký hiện có

Bắt buộc xác thực bằng Google khi đăng ký

Các lựa chọn về cấu hình

Ví dụ về gói dữ liệu JSON

Giới thiệu về mã QR

Gói mã QR mẫu

Phương thức cấp phép

Thêm hồ sơ công việc trong phần "Cài đặt"

Tải ứng dụng Android Device Policy xuống

Đường liên kết đến mã thông báo đăng ký

URL đăng nhập

Thực thi quy trình xác thực của Google bằng quy trình URL đăng nhập

Phương thức mã QR

Phương thức NFC

Phương thức nhận dạng DPC

Thiết lập tự động

Chạy một ứng dụng trong quá trình thiết lập

Huỷ đăng ký trong quá trình thiết lập

Áp dụng chính sách cho các thiết bị mới đăng ký

Đăng ký thiết bị mà không cần chính sách

Ví dụ về quy trình kiểm tra giấy phép

Đăng ký và cấp phép cho thiết bị