এই পৃষ্ঠায় অ্যান্ড্রয়েড এন্টারপ্রাইজের সমস্ত বৈশিষ্ট্য তালিকাভুক্ত করা হয়েছে।
আপনি যদি ৫০০টির বেশি ডিভাইস পরিচালনা করতে চান, তবে আপনার EMM সলিউশনটি বাণিজ্যিকভাবে উপলব্ধ করার আগে অবশ্যই অন্তত একটি সলিউশন সেটের সমস্ত স্ট্যান্ডার্ড ফিচার ( ) সমর্থন করবে। যে সকল EMM ডেভেলপার তাদের সলিউশনকে একটি স্ট্যান্ডার্ড ম্যানেজমেন্ট সেট প্রদানকারী হিসেবে অ্যান্ড্রয়েডের এন্টারপ্রাইজ সলিউশনস ডিরেক্টরিতে তালিকাভুক্ত করতে চান, তাদের অবশ্যই স্ট্যান্ডার্ড ফিচার ভেরিফিকেশন পাস করতে হবে এবং আমাদের অ্যান্ড্রয়েড এন্টারপ্রাইজ পার্টনার প্রোগ্রামের সদস্য হতে হবে।
প্রতিটি সলিউশন সেটের জন্য উন্নত ফিচারের একটি অতিরিক্ত সেট উপলব্ধ রয়েছে। এই ফিচারগুলো প্রতিটি সলিউশন সেট পেজে উল্লেখ করা থাকে: ব্যক্তিগত মালিকানাধীন ডিভাইসে ওয়ার্ক প্রোফাইল , কোম্পানি-মালিকানাধীন ডিভাইসে ওয়ার্ক প্রোফাইল , সম্পূর্ণভাবে পরিচালিত ডিভাইস , এবং ডেডিকেটেড ডিভাইস । যেসব EMM ডেভেলপার AE পার্টনার প্রোগ্রামের সদস্য এবং যাদের সলিউশন উন্নত ফিচার যাচাইকরণে উত্তীর্ণ হয়, তাদেরকে অ্যান্ড্রয়েডের এন্টারপ্রাইজ সলিউশনস ডিরেক্টরিতে একটি অ্যাডভান্সড ম্যানেজমেন্ট সেট প্রদানকারী হিসেবে তালিকাভুক্ত করা হয়।
চাবি
| মান বৈশিষ্ট্য | উন্নত বৈশিষ্ট্য | ঐচ্ছিক বৈশিষ্ট্য | প্রযোজ্য নয় |
১. ডিভাইস প্রোভিশনিং
১.১. ডিপিসি-প্রথম কর্ম প্রোফাইল সরবরাহ
গুগল প্লে থেকে EMM-এর DPC ডাউনলোড করার পর আপনি একটি ওয়ার্ক প্রোফাইল তৈরি করতে পারবেন ।
১.১.১. EMM-এর DPC অবশ্যই গুগল প্লে-তে সর্বজনীনভাবে উপলব্ধ থাকতে হবে, যাতে ব্যবহারকারীরা ডিভাইসের ব্যক্তিগত অংশে DPC-টি ইনস্টল করতে পারেন।
১.১.২. একবার ইনস্টল হয়ে গেলে, ডিপিসি-কে অবশ্যই ব্যবহারকারীকে একটি ওয়ার্ক প্রোফাইল প্রোভিশনিং করার প্রক্রিয়ার মাধ্যমে নির্দেশনা দিতে হবে।
১.১.৩. প্রোভিশনিং সম্পন্ন হওয়ার পর, ডিভাইসের ব্যক্তিগত অংশে কোনো ম্যানেজমেন্ট উপস্থিতি থাকতে পারবে না ।
- প্রোভিশনিং চলাকালীন গৃহীত যেকোনো নীতি অবশ্যই বাতিল করতে হবে।
- অ্যাপ ব্যবহারের অধিকার বাতিল করতে হবে।
- ডিভাইসের ব্যক্তিগত প্রান্তে EMM-এর DPC ন্যূনতমপক্ষে অবশ্যই বন্ধ রাখতে হবে।
১.২. ডিপিসি-আইডেন্টিফায়ার ডিভাইস প্রোভিশনিং
প্লে ইএমএম এপিআই ডেভেলপার ডকুমেন্টেশনে সংজ্ঞায়িত বাস্তবায়ন নির্দেশিকা অনুসারে, আইটি অ্যাডমিনরা একটি ডিপিসি আইডেন্টিফায়ার ("afw#") ব্যবহার করে একটি সম্পূর্ণ পরিচালিত বা ডেডিকেটেড ডিভাইস প্রোভিশন করতে পারেন।
১.২.১. EMM-এর DPC অবশ্যই গুগল প্লে-তে সর্বজনীনভাবে উপলব্ধ থাকতে হবে। ডিভাইস সেটআপ উইজার্ড থেকে একটি DPC-নির্দিষ্ট শনাক্তকারী প্রবেশ করিয়ে DPC-টি ইনস্টলযোগ্য হতে হবে।
১.২.২. একবার ইনস্টল হয়ে গেলে, EMM-এর DPC-কে অবশ্যই ব্যবহারকারীকে একটি সম্পূর্ণ পরিচালিত বা ডেডিকেটেড ডিভাইস প্রোভিশনিং করার প্রক্রিয়ার মাধ্যমে পথনির্দেশনা দিতে হবে।
১.৩. এনএফসি ডিভাইস সরবরাহ
প্লে ইএমএম এপিআই ডেভেলপার ডকুমেন্টেশনে সংজ্ঞায়িত বাস্তবায়ন নির্দেশিকা অনুসারে, আইটি অ্যাডমিনরা নতুন বা ফ্যাক্টরি-রিসেট করা ডিভাইস প্রোভিশন করতে এনএফসি ট্যাগ ব্যবহার করতে পারেন।
১.৩.১. EMM-গুলিতে অবশ্যই কমপক্ষে ৮৮৮ বাইট মেমরিযুক্ত NFC ফোরাম টাইপ ২ ট্যাগ ব্যবহার করতে হবে। একটি ডিভাইসে সার্ভার আইডি এবং এনরোলমেন্ট আইডির মতো অসংবেদনশীল রেজিস্ট্রেশনের বিবরণ পাঠানোর জন্য প্রভিশনিং-এর ক্ষেত্রে অবশ্যই প্রভিশনিং এক্সট্রা ব্যবহার করতে হবে। রেজিস্ট্রেশনের বিবরণে পাসওয়ার্ড বা সার্টিফিকেটের মতো সংবেদনশীল তথ্য অন্তর্ভুক্ত থাকা উচিত নয়।
১.৩.২. EMM-এর DPC নিজেকে ডিভাইসের মালিক হিসেবে সেট করার পর, ডিভাইসটি সম্পূর্ণরূপে প্রোভিশন না হওয়া পর্যন্ত DPC-কে অবশ্যই অবিলম্বে খুলতে হবে এবং স্ক্রিনে নিজেকে লক করে রাখতে হবে। ১.৩.৩. NFC Beam (যা NFC Bump নামেও পরিচিত) অপ্রচলিত হয়ে যাওয়ার কারণে আমরা Android 10 বা তার পরবর্তী সংস্করণগুলোর জন্য NFC ট্যাগ ব্যবহারের সুপারিশ করছি।
১.৪. কিউআর কোড ডিভাইস প্রোভিশনিং
Play EMM API ডেভেলপার ডকুমেন্টেশনে সংজ্ঞায়িত বাস্তবায়ন নির্দেশিকা অনুসারে, আইটি অ্যাডমিনরা নতুন বা ফ্যাক্টরি-রিসেট করা ডিভাইস ব্যবহার করে EMM-এর কনসোল দ্বারা তৈরি একটি QR কোড স্ক্যান করে ডিভাইসটিকে প্রভিশন করতে পারেন।
১.৪.১. একটি ডিভাইসে সার্ভার আইডি এবং এনরোলমেন্ট আইডির মতো অসংবেদনশীল রেজিস্ট্রেশনের বিবরণ পাঠানোর জন্য কিউআর কোডটিকে অবশ্যই প্রভিশনিং এক্সট্রা ব্যবহার করতে হবে। রেজিস্ট্রেশনের বিবরণে পাসওয়ার্ড বা সার্টিফিকেটের মতো সংবেদনশীল তথ্য অন্তর্ভুক্ত করা যাবে না।
১.৪.২. EMM-এর DPC ডিভাইসটি সেট আপ করার পর, ডিভাইসটি সম্পূর্ণরূপে প্রোভিশন না হওয়া পর্যন্ত DPC-কে অবশ্যই অবিলম্বে খুলতে হবে এবং স্ক্রিনে নিজেকে লক করে রাখতে হবে।
১.৫. স্পর্শবিহীন তালিকাভুক্তি
আইটি অ্যাডমিনরা অনুমোদিত রিসেলারদের কাছ থেকে কেনা ডিভাইসগুলো প্রি-কনফিগার করতে এবং আপনার EMM কনসোল ব্যবহার করে সেগুলো পরিচালনা করতে পারেন।
১.৫.১. আইটি অ্যাডমিনরা ' আইটি অ্যাডমিনদের জন্য জিরো-টাচ এনরোলমেন্ট' অংশে বর্ণিত জিরো-টাচ এনরোলমেন্ট পদ্ধতি ব্যবহার করে কোম্পানির মালিকানাধীন ডিভাইসগুলো প্রোভিশন করতে পারেন।
১.৫.২. যখন কোনো ডিভাইস প্রথমবার চালু করা হয়, তখন ডিভাইসটি স্বয়ংক্রিয়ভাবে আইটি অ্যাডমিন দ্বারা নির্ধারিত সেটিংসে চলে যায়।
১.৬. উন্নত জিরো-টাচ প্রভিশনিং
আইটি অ্যাডমিনরা জিরো-টাচ এনরোলমেন্টের মাধ্যমে ডিপিসি রেজিস্ট্রেশনের বিবরণ প্রয়োগ করে ডিভাইস এনরোলমেন্ট প্রক্রিয়ার একটি বড় অংশ স্বয়ংক্রিয় করতে পারেন। ইএমএম-এর দেওয়া কনফিগারেশন অপশন অনুযায়ী, এর ডিপিসি নির্দিষ্ট অ্যাকাউন্ট বা ডোমেইনে এনরোলমেন্ট সীমিত করা সমর্থন করে।
১.৬.১. আইটি অ্যাডমিনরা ‘ আইটি অ্যাডমিনদের জন্য জিরো-টাচ এনরোলমেন্ট’-এ বর্ণিত জিরো-টাচ এনরোলমেন্ট পদ্ধতি ব্যবহার করে কোম্পানির মালিকানাধীন একটি ডিভাইস প্রোভিশন করতে পারেন।
১.৬.২. EMM-এর DPC ডিভাইসটি সেট আপ করার পর, ডিভাইসটি সম্পূর্ণরূপে প্রোভিশন না হওয়া পর্যন্ত EMM-এর DPC-কে অবশ্যই অবিলম্বে খুলতে হবে এবং স্ক্রিনে নিজেকে লক করে রাখতে হবে।
- যেসব ডিভাইস নীরবে নিজেদের সম্পূর্ণরূপে প্রস্তুত করার জন্য জিরো-টাচ এনরোলমেন্ট রেজিস্ট্রেশনের বিবরণ ব্যবহার করে (উদাহরণস্বরূপ, একটি ডেডিকেটেড ডিভাইস ডেপ্লয়মেন্টে), তাদের ক্ষেত্রে এই শর্তটি শিথিল করা হয়েছে।
১.৬.৩. রেজিস্ট্রেশনের বিবরণ ব্যবহার করে, EMM-এর DPC-কে অবশ্যই নিশ্চিত করতে হবে যে, একবার DPC চালু হয়ে গেলে অননুমোদিত ব্যবহারকারীরা অ্যাক্টিভেশন প্রক্রিয়া নিয়ে অগ্রসর হতে পারবে না। ন্যূনতমপক্ষে, অ্যাক্টিভেশন অবশ্যই একটি নির্দিষ্ট এন্টারপ্রাইজের ব্যবহারকারীদের জন্য সীমাবদ্ধ রাখতে হবে।
১.৬.৪. রেজিস্ট্রেশনের বিবরণ ব্যবহার করে, EMM-এর DPC-কে অবশ্যই আইটি অ্যাডমিনদের জন্য অনন্য ব্যবহারকারী বা ডিভাইসের তথ্য (যেমন ইউজারনেম/পাসওয়ার্ড, অ্যাক্টিভেশন টোকেন) ছাড়াও রেজিস্ট্রেশনের বিবরণ (যেমন সার্ভার আইডি, এনরোলমেন্ট আইডি) আগে থেকে পূরণ করার সুযোগ দিতে হবে, যাতে ব্যবহারকারীদের ডিভাইস অ্যাক্টিভেট করার সময় কোনো বিবরণ প্রবেশ করাতে না হয়।
- জিরো-টাচ এনরোলমেন্টের কনফিগারেশনে EMM-এর মাধ্যমে পাসওয়ার্ড বা সার্টিফিকেটের মতো সংবেদনশীল তথ্য অন্তর্ভুক্ত করা যাবে না।
১.৭. গুগল অ্যাকাউন্টের কর্ম প্রোফাইল প্রদান
যেসব প্রতিষ্ঠান পরিচালিত গুগল ডোমেইন ব্যবহার করে, তাদের জন্য এই ফিচারটি ডিভাইস সেটআপের সময় অথবা আগে থেকেই সক্রিয় থাকা কোনো ডিভাইসে কর্পোরেট ওয়ার্কস্পেস ক্রেডেনশিয়াল প্রবেশ করানোর পর একটি ওয়ার্ক প্রোফাইল সেটআপ করতে সহায়তা করে। উভয় ক্ষেত্রেই, কর্পোরেট ওয়ার্কস্পেস আইডেন্টিটিটি ওয়ার্ক প্রোফাইলে স্থানান্তরিত হয়ে যাবে।
১.৭.১. গুগল অ্যাকাউন্ট প্রদানের পদ্ধতিটি নির্ধারিত বাস্তবায়ন নির্দেশিকা অনুসারে একটি কর্ম প্রোফাইল প্রদান করে।
১.৮. গুগল অ্যাকাউন্ট ডিভাইস প্রোভিশনিং
যেসব প্রতিষ্ঠান ওয়ার্কস্পেস ব্যবহার করে, তাদের জন্য এই ফিচারটি প্রাথমিক ডিভাইস সেটআপের সময় কর্পোরেট ওয়ার্কস্পেস ক্রেডেনশিয়াল প্রবেশ করানোর পর, ব্যবহারকারীদেরকে তাদের EMM-এর DPC ইনস্টল করার প্রক্রিয়াটিতে নির্দেশনা দেয়। একবার ইনস্টল হয়ে গেলে, DPC একটি কোম্পানির মালিকানাধীন ডিভাইসের সেটআপ সম্পন্ন করে।
১.৮.১. গুগল অ্যাকাউন্ট প্রোভিশনিং পদ্ধতিটি নির্ধারিত বাস্তবায়ন নির্দেশিকা অনুসারে কোম্পানির মালিকানাধীন একটি ডিভাইস প্রোভিশন করে।
১.৮.২. যদি EMM ডিভাইসটিকে একটি কর্পোরেট সম্পদ হিসেবে দ্ব্যর্থহীনভাবে শনাক্ত করতে না পারে, তবে প্রোভিশনিং প্রক্রিয়ার সময় কোনো প্রম্পট ছাড়া তারা ডিভাইসটি প্রোভিশন করতে পারবে না। এই প্রম্পটটিতে অবশ্যই একটি নন-ডিফল্ট পদক্ষেপ নিতে হবে, যেমন একটি চেকবক্স চেক করা বা একটি নন-ডিফল্ট মেনু বিকল্প নির্বাচন করা। এটি বাঞ্ছনীয় যে EMM যেন ডিভাইসটিকে একটি কর্পোরেট সম্পদ হিসেবে শনাক্ত করতে পারে, যাতে প্রম্পটের প্রয়োজন না হয়।
১.৯. সরাসরি জিরো-টাচ কনফিগারেশন
আইটি অ্যাডমিনরা EMM-এর কনসোল ব্যবহার করে জিরো-টাচ আইফ্রেমের সাহায্যে জিরো-টাচ ডিভাইস সেট আপ করতে পারেন।
১.১০. কোম্পানির মালিকানাধীন ডিভাইসে কাজের প্রোফাইল
EMM-রা কোম্পানির মালিকানাধীন এমন ডিভাইস নথিভুক্ত করতে পারে, যেগুলোর একটি ওয়ার্ক প্রোফাইল রয়েছে।
১.১০.১. ইচ্ছাকৃতভাবে ফাঁকা রাখা হয়েছে।
১.১০.২. আইটি অ্যাডমিনরা কোম্পানির মালিকানাধীন ডিভাইসগুলিতে থাকা ওয়ার্ক প্রোফাইলগুলির জন্য কমপ্লায়েন্স অ্যাকশন সেট করতে পারেন।
১.১০.৩. আইটি অ্যাডমিনরা ওয়ার্ক প্রোফাইল অথবা সম্পূর্ণ ডিভাইস—উভয় ক্ষেত্রেই ক্যামেরা নিষ্ক্রিয় করতে পারেন।
১.১০.৪. আইটি অ্যাডমিনরা ওয়ার্ক প্রোফাইল অথবা সম্পূর্ণ ডিভাইস—উভয় ক্ষেত্রেই স্ক্রিন ক্যাপচার নিষ্ক্রিয় করতে পারেন।
১.১০.৫. আইটি অ্যাডমিনরা এমন অ্যাপ্লিকেশনগুলির একটি ব্লক-লিস্ট সেট করতে পারেন যা ব্যক্তিগত প্রোফাইলে ইনস্টল করা যাবে না।
১.১০.৬. আইটি অ্যাডমিনরা ওয়ার্ক প্রোফাইল মুছে ফেলে বা সম্পূর্ণ ডিভাইসটি ওয়াইপ করে কোম্পানির মালিকানাধীন কোনো ডিভাইসের ব্যবস্থাপনা ত্যাগ করতে পারেন।
১.১১. নির্দিষ্ট ডিভাইস সরবরাহ
আইটি অ্যাডমিনরা ব্যবহারকারীকে গুগল অ্যাকাউন্ট দিয়ে প্রমাণীকরণের জন্য অনুরোধ না করেই নির্দিষ্ট ডিভাইসগুলো নথিভুক্ত করতে পারেন।
২. ডিভাইসের নিরাপত্তা
২.১. ডিভাইসের নিরাপত্তা সংক্রান্ত চ্যালেঞ্জ
আইটি অ্যাডমিনরা পরিচালিত ডিভাইসগুলিতে পূর্বনির্ধারিত ৩টি জটিলতার স্তর থেকে একটি ডিভাইস নিরাপত্তা চ্যালেঞ্জ (পিন/প্যাটার্ন/পাসওয়ার্ড) নির্ধারণ ও প্রয়োগ করতে পারেন।
২.১.১. পলিসিতে অবশ্যই ডিভাইস নিরাপত্তা সংক্রান্ত চ্যালেঞ্জগুলো পরিচালনা করার সেটিংস প্রয়োগ করতে হবে (ওয়ার্ক প্রোফাইলের জন্য parentProfilePasswordRequirements, এবং সম্পূর্ণরূপে পরিচালিত ও ডেডিকেটেড ডিভাইসগুলোর জন্য passwordRequirements)।
২.১.২. পাসওয়ার্ডের জটিলতা অবশ্যই নিম্নলিখিত জটিলতাগুলোর সাথে সামঞ্জস্যপূর্ণ হতে হবে:
- পাসওয়ার্ডের জটিলতা কম - পুনরাবৃত্তিমূলক (4444) অথবা ক্রমিক (1234, 4321, 2468) অনুক্রম সহ প্যাটার্ন বা পিন।
- মাঝারি জটিলতার পাসওয়ার্ড - কোনো পুনরাবৃত্ত (4444) বা ক্রমিক (1234, 4321, 2468) অনুক্রম ছাড়া পিন, বর্ণভিত্তিক, অথবা কমপক্ষে ৪ অক্ষরের বর্ণ-সংখ্যাযুক্ত পাসওয়ার্ড।
- উচ্চ জটিলতা সম্পন্ন পাসওয়ার্ড - এমন পিন যাতে কোনো পুনরাবৃত্ত (4444) বা ক্রমিক (1234, 4321, 2468) অনুক্রম থাকবে না এবং যার দৈর্ঘ্য কমপক্ষে ৮ হবে, অথবা বর্ণভিত্তিক বা সংখ্যাভিত্তিক পাসওয়ার্ড যার দৈর্ঘ্য কমপক্ষে ৬ হবে।
২.২. কর্মক্ষেত্রের নিরাপত্তার চ্যালেঞ্জ
আইটি অ্যাডমিনরা ওয়ার্ক প্রোফাইলে থাকা অ্যাপ এবং ডেটার জন্য একটি নিরাপত্তা চ্যালেঞ্জ সেট এবং প্রয়োগ করতে পারেন যা ডিভাইস নিরাপত্তা চ্যালেঞ্জ (২.১.) থেকে আলাদা এবং যার প্রয়োজনীয়তাও ভিন্ন।
২.২.১. পলিসিকে অবশ্যই ওয়ার্ক প্রোফাইলের জন্য সিকিউরিটি চ্যালেঞ্জ প্রয়োগ করতে হবে। ডিফল্টরূপে, যদি কোনো স্কোপ নির্দিষ্ট না করা থাকে, তবে আইটি অ্যাডমিনদের শুধুমাত্র ওয়ার্ক প্রোফাইলের জন্য বিধিনিষেধ সেট করা উচিত। আইটি অ্যাডমিনরা স্কোপ নির্দিষ্ট করে এটি ডিভাইস-ব্যাপী সেট করতে পারেন (প্রয়োজনীয়তা ২.১ দেখুন)।
২.১.২. পাসওয়ার্ডের জটিলতা নিম্নলিখিত স্তরগুলোর সাথে সামঞ্জস্যপূর্ণ হওয়া উচিত:
- পাসওয়ার্ডের জটিলতা কম - পুনরাবৃত্তিমূলক (4444) অথবা ক্রমিক (1234, 4321, 2468) অনুক্রম সহ প্যাটার্ন বা পিন।
- মাঝারি জটিলতার পাসওয়ার্ড - কোনো পুনরাবৃত্ত (4444) বা ক্রমিক (1234, 4321, 2468) অনুক্রম ছাড়া পিন, বর্ণভিত্তিক, অথবা কমপক্ষে ৪ অক্ষরের বর্ণ-সংখ্যাযুক্ত পাসওয়ার্ড।
- উচ্চ জটিলতা সম্পন্ন পাসওয়ার্ড - এমন পিন যাতে কোনো পুনরাবৃত্ত (4444) বা ক্রমিক (1234, 4321, 2468) অনুক্রম থাকবে না এবং যার দৈর্ঘ্য কমপক্ষে ৮ হবে, অথবা বর্ণভিত্তিক বা সংখ্যাভিত্তিক পাসওয়ার্ড যার দৈর্ঘ্য কমপক্ষে ৬ হবে।
২.৩. উন্নত পাসকোড ব্যবস্থাপনা
২.৩.১. ইচ্ছাকৃতভাবে ফাঁকা রাখা হয়েছে।
২.৩.২. ইচ্ছাকৃতভাবে ফাঁকা রাখা হয়েছে।
২.৩.৩. একটি ডিভাইসে উপলব্ধ প্রতিটি লক স্ক্রিনের জন্য নিম্নলিখিত পাসওয়ার্ড জীবনচক্র সেটিংস সেট করা যেতে পারে:
- ইচ্ছাকৃতভাবে ফাঁকা
- ইচ্ছাকৃতভাবে ফাঁকা
- ডিভাইস থেকে কর্পোরেট ডেটা মুছে ফেলার আগে ব্যবহারকারীরা কতবার ভুল পাসওয়ার্ড দিতে পারবেন, তা এটি নির্দিষ্ট করে। আইটি অ্যাডমিনদের অবশ্যই এই ফিচারটি বন্ধ করার ক্ষমতা থাকতে হবে।
২.৪. স্মার্ট লক ব্যবস্থাপনা
আইটি অ্যাডমিনরা অ্যান্ড্রয়েডের স্মার্ট লক ফিচারের কোন ট্রাস্ট এজেন্টগুলো ডিভাইস আনলক করার অনুমতি পাবে, তা নিয়ন্ত্রণ করতে পারেন। আইটি অ্যাডমিনরা বিশ্বস্ত ব্লুটুথ ডিভাইস, ফেস রিকগনিশন এবং ভয়েস রিকগনিশনের মতো নির্দিষ্ট আনলক পদ্ধতি বন্ধ করতে পারেন, অথবা চাইলে ফিচারটি পুরোপুরি বন্ধও করে দিতে পারেন।
২.৪.১. আইটি অ্যাডমিনরা ডিভাইসে উপলব্ধ প্রতিটি লক স্ক্রিনের জন্য আলাদাভাবে স্মার্ট লক ট্রাস্ট এজেন্ট নিষ্ক্রিয় করতে পারেন।
২.৪.২. আইটি অ্যাডমিনরা ডিভাইসে উপলব্ধ প্রতিটি লক স্ক্রিনের জন্য স্বাধীনভাবে নিম্নলিখিত ট্রাস্ট এজেন্টগুলোকে—ব্লুটুথ, এনএফসি, প্লেসেস, ফেস, অন-বডি এবং ভয়েস— নির্বাচনীভাবে অনুমতি দিতে এবং সেট আপ করতে পারেন।
২.৫. মুছে ফেলুন এবং লক করুন
আইটি অ্যাডমিনরা EMM-এর কনসোল ব্যবহার করে দূরবর্তীভাবে কোনো পরিচালিত ডিভাইস থেকে কাজের ডেটা লক করতে এবং মুছে ফেলতে পারেন।
২.৫.১. EMM-এর DPC অবশ্যই ডিভাইসগুলোকে লক করবে।
২.৫.২. EMM-এর DPC অবশ্যই ডিভাইসগুলো ওয়াইপ করবে।
২.৬. সম্মতি বলবৎকরণ
যদি কোনো ডিভাইস নিরাপত্তা নীতিমালা মেনে না চলে, তাহলে কাজের ডেটা স্বয়ংক্রিয়ভাবে সীমাবদ্ধ হয়ে যায়।
২.৬.১. ন্যূনতমপক্ষে, একটি ডিভাইসে বলবৎ নিরাপত্তা নীতিমালায় অবশ্যই পাসওয়ার্ড নীতি অন্তর্ভুক্ত থাকতে হবে।
২.৭. ডিফল্ট নিরাপত্তা নীতিসমূহ
EMM-কে অবশ্যই ডিফল্টরূপে ডিভাইসগুলিতে নির্দিষ্ট নিরাপত্তা নীতিগুলি প্রয়োগ করতে হবে, যার জন্য IT অ্যাডমিনদের EMM-এর কনসোলে কোনো সেটিংস সেট আপ বা কাস্টমাইজ করার প্রয়োজন হবে না। EMM-কে উৎসাহিত করা হয় (তবে বাধ্যতামূলক নয়) যেন তারা IT অ্যাডমিনদের এই নিরাপত্তা বৈশিষ্ট্যগুলির ডিফল্ট অবস্থা পরিবর্তন করার অনুমতি না দেয়।
২.৭.১. EMM-এর DPC-কে অবশ্যই অজানা উৎস থেকে অ্যাপ ইনস্টল করা ব্লক করতে হবে, যার মধ্যে ওয়ার্ক প্রোফাইলযুক্ত যেকোনো অ্যান্ড্রয়েড ৮.০+ ডিভাইসের ব্যক্তিগত অংশে ইনস্টল করা অ্যাপও অন্তর্ভুক্ত।
২.৭.২. EMM-এর DPC-কে অবশ্যই ডিবাগিং বৈশিষ্ট্যগুলো ব্লক করতে হবে।
২.৮. নির্দিষ্ট ডিভাইসের জন্য নিরাপত্তা নীতিমালা
অন্যান্য কার্যকলাপের সুযোগ দেওয়ার জন্য নির্দিষ্ট ডিভাইসগুলো এমনভাবে লক করা থাকে যেখান থেকে বের হওয়ার কোনো উপায় থাকে না।
২.৮.১. EMM-এর DPC-কে ডিফল্টরূপে সেফ মোডে বুট করা বন্ধ রাখতে হবে।
২.৮.২. প্রোভিশনিং চলাকালীন প্রথম বুটের সাথে সাথেই EMM-এর DPC অবশ্যই খুলতে হবে এবং স্ক্রিনের সাথে লক করতে হবে, যাতে ডিভাইসটির সাথে অন্য কোনোভাবে কোনো মিথস্ক্রিয়া না ঘটে।
২.৮.৩. নির্ধারিত বাস্তবায়ন নির্দেশিকা অনুসারে, বুট করার সময় অনুমোদিত অ্যাপগুলো স্ক্রিনে লক হয়ে যাওয়া নিশ্চিত করতে, EMM-এর DPC-কে ডিফল্ট লঞ্চার হিসেবে সেট করতে হবে।
২.৯. খেলার অখণ্ডতা সমর্থন
ডিভাইসগুলো বৈধ অ্যান্ড্রয়েড ডিভাইস কিনা, তা নিশ্চিত করতে EMM প্লে ইন্টিগ্রিটি এপিআই (Play Integrity API) ব্যবহার করে।
২.৯.১. EMM-এর DPC প্রোভিশনিং-এর সময় প্লে ইন্টিগ্রিটি API প্রয়োগ করে, এবং ডিফল্টরূপে কর্পোরেট ডেটা দিয়ে ডিভাইসটির প্রোভিশনিং তখনই সম্পন্ন করে যখন ফেরত আসা ডিভাইস ইন্টিগ্রিটি MEETS_STRONG_INTEGRITY হয়।
২.৯.২. যখনই কোনো ডিভাইস EMM-এর সার্ভারে চেক-ইন করবে, তখন EMM-এর DPC আরেকটি প্লে ইন্টিগ্রিটি চেক সম্পাদন করবে, যা আইটি অ্যাডমিন দ্বারা কনফিগারযোগ্য। ডিভাইসে কর্পোরেট পলিসি আপডেট করার আগে, EMM সার্ভার ইন্টিগ্রিটি চেক রেসপন্সে থাকা APK তথ্য এবং রেসপন্সটি নিজেই যাচাই করবে।
২.৯.৩. আইটি অ্যাডমিনরা প্লে ইন্টিগ্রিটি চেকের ফলাফলের উপর ভিত্তি করে বিভিন্ন পলিসি প্রতিক্রিয়া সেট আপ করতে পারেন, যার মধ্যে রয়েছে প্রভিশনিং ব্লক করা, কর্পোরেট ডেটা মুছে ফেলা এবং এনরোলমেন্ট প্রক্রিয়াকে এগিয়ে যেতে দেওয়া।
- EMM পরিষেবা প্রতিটি ইন্টিগ্রিটি চেকের ফলাফলের জন্য এই পলিসি প্রতিক্রিয়াটি প্রয়োগ করবে।
২.৯.৪. যদি প্রাথমিক প্লে ইন্টিগ্রিটি চেক ব্যর্থ হয় অথবা এমন কোনো ফলাফল প্রদান করে যা স্ট্রং ইন্টিগ্রিটির মান পূরণ করে না, এবং যদি EMM-এর DPC ইতিমধ্যে ensureWorkingEnvironment কল না করে থাকে, তবে প্রোভিশনিং সম্পন্ন হওয়ার আগে তাকে অবশ্যই তা করতে হবে এবং চেকটি পুনরায় করতে হবে।
২.১০. অ্যাপস প্রয়োগ যাচাই করুন
আইটি অ্যাডমিনরা ডিভাইসগুলিতে ভেরিফাই অ্যাপস চালু করতে পারেন। ভেরিফাই অ্যাপস অ্যান্ড্রয়েড ডিভাইসে ইনস্টল হওয়া অ্যাপগুলিকে ইনস্টল হওয়ার আগে ও পরে ক্ষতিকারক সফটওয়্যারের জন্য স্ক্যান করে, যা নিশ্চিত করতে সাহায্য করে যে ক্ষতিকারক অ্যাপগুলি কর্পোরেট ডেটার ক্ষতি করতে পারবে না।
২.১০.১. EMM-এর DPC-কে ডিফল্টরূপে ‘Verify Apps’ চালু করতে হবে।
২.১১. সরাসরি বুট সমর্থন
ডিভাইসটি প্রথমবার আনলক না করা পর্যন্ত, সদ্য চালু করা অ্যান্ড্রয়েড ৭.০+ ডিভাইসে অ্যাপ চালানো যায় না। ডাইরেক্ট বুট সাপোর্ট নিশ্চিত করে যে, ডিভাইসটি আনলক করা না থাকলেও EMM-এর DPC সর্বদা সক্রিয় থাকে এবং পলিসি প্রয়োগ করতে সক্ষম হয়।
২.১১.১. EMM-এর DPC, তার ক্রেডেনশিয়াল এনক্রিপ্টেড স্টোরেজ ডিক্রিপ্ট হওয়ার আগেই, গুরুত্বপূর্ণ ম্যানেজমেন্ট ফাংশন সম্পাদন করার জন্য ডিভাইস এনক্রিপ্টেড স্টোরেজ ব্যবহার করে। ডাইরেক্ট বুট চলাকালীন উপলব্ধ ম্যানেজমেন্ট ফাংশনগুলির মধ্যে অবশ্যই নিম্নলিখিতগুলি অন্তর্ভুক্ত থাকতে হবে (তবে এগুলিই একমাত্র নয়):
- এন্টারপ্রাইজ ওয়াইপ , যার মধ্যে প্রয়োজন অনুযায়ী ফ্যাক্টরি রিসেট প্রোটেকশন ডেটা মুছে ফেলার ক্ষমতাও অন্তর্ভুক্ত।
২.১১.২. EMM-এর DPC ডিভাইসের এনক্রিপ্টেড স্টোরেজে থাকা কর্পোরেট ডেটা প্রকাশ করবে না।
২.১১.৩. ইএমএম (EMM) ওয়ার্ক প্রোফাইলের লক স্ক্রিনে একটি 'পাসওয়ার্ড ভুলে গেছি' (forgot my password) বাটন চালু করার জন্য একটি টোকেন সেট ও সক্রিয় করতে পারে। এই বাটনটি আইটি অ্যাডমিনদের কাছে ওয়ার্ক প্রোফাইলের পাসওয়ার্ড নিরাপদে রিসেট করার অনুরোধ জানাতে ব্যবহৃত হয়।
২.১২. হার্ডওয়্যার নিরাপত্তা ব্যবস্থাপনা
ডেটা ক্ষতি প্রতিরোধ নিশ্চিত করতে আইটি অ্যাডমিনরা কোম্পানির মালিকানাধীন ডিভাইসের হার্ডওয়্যার উপাদানগুলো লক ডাউন করতে পারেন।
২.১২.১. আইটি অ্যাডমিনরা ব্যবহারকারীদের তাদের ডিভাইসে ফিজিক্যাল এক্সটার্নাল মিডিয়া মাউন্ট করা থেকে ব্লক করতে পারেন।
২.১২.২. আইটি অ্যাডমিনরা এনএফসি বিম ব্যবহার করে ব্যবহারকারীদের তাদের ডিভাইস থেকে ডেটা শেয়ার করা ব্লক করতে পারেন। এই সাব-ফিচারটি ঐচ্ছিক, কারণ অ্যান্ড্রয়েড ১০ এবং এর পরবর্তী সংস্করণগুলোতে এনএফসি বিম ফাংশনটি আর সমর্থিত নয়।
২.১২.৩. আইটি অ্যাডমিনরা ব্যবহারকারীদের তাদের ডিভাইস থেকে ইউএসবি-র মাধ্যমে ফাইল স্থানান্তর করা থেকে বিরত রাখতে পারেন।
২.১৩. এন্টারপ্রাইজ নিরাপত্তা লগিং
আইটি অ্যাডমিনরা ডিভাইসগুলো থেকে ব্যবহারের ডেটা সংগ্রহ করতে পারেন, যা ক্ষতিকর বা ঝুঁকিপূর্ণ আচরণের জন্য পার্স এবং প্রোগ্রাম্যাটিকভাবে মূল্যায়ন করা যায়। লগ করা কার্যকলাপগুলোর মধ্যে রয়েছে অ্যান্ড্রয়েড ডিবাগ ব্রিজ (adb) কার্যকলাপ, অ্যাপ খোলা এবং স্ক্রিন আনলক।
২.১৩.১. আইটি অ্যাডমিনরা নির্দিষ্ট ডিভাইসের জন্য সিকিউরিটি লগিং চালু করতে পারেন, এবং EMM-এর DPC-কে অবশ্যই সিকিউরিটি লগ ও প্রি-রিবুট সিকিউরিটি লগ উভয়ই স্বয়ংক্রিয়ভাবে পুনরুদ্ধার করতে সক্ষম হতে হবে।
২.১৩.২. আইটি অ্যাডমিনরা EMM-এর কনসোলে একটি নির্দিষ্ট ডিভাইস এবং কনফিগারযোগ্য সময়সীমার জন্য এন্টারপ্রাইজ নিরাপত্তা লগ পর্যালোচনা করতে পারেন।
২.১৩.৩. আইটি অ্যাডমিনরা EMM-এর কনসোল থেকে এন্টারপ্রাইজ সিকিউরিটি লগ এক্সপোর্ট করতে পারেন।
৩. অ্যাকাউন্ট ও অ্যাপ ব্যবস্থাপনা
৩.১. এন্টারপ্রাইজ বাইন্ডিং
আইটি অ্যাডমিনরা EMM-কে তাদের প্রতিষ্ঠানের সাথে সংযুক্ত করতে পারেন, যার ফলে EMM পরিচালিত গুগল প্লে ব্যবহার করে ডিভাইসগুলিতে অ্যাপ বিতরণ করতে পারে।
৩.১.১. বিদ্যমান পরিচালিত গুগল ডোমেইনের কোনো অ্যাডমিন তাদের ডোমেইনটিকে EMM-এর সাথে সংযুক্ত করতে পারেন।
৩.১.২. EMM-এর কনসোলকে অবশ্যই প্রতিটি এন্টারপ্রাইজের জন্য নীরবে একটি স্বতন্ত্র ESA প্রোভিশন ও সেট আপ করতে হবে।
৩.১.৩. প্লে ইএমএম এপিআই (Play EMM API) ব্যবহার করে কোনো এন্টারপ্রাইজের তালিকাভুক্তি বাতিল করুন।
৩.১.৪. ইএমএম কনসোল অ্যাডমিনকে অ্যান্ড্রয়েড সাইনআপ প্রক্রিয়ায় তাদের অফিসের ইমেল ঠিকানা প্রবেশ করাতে নির্দেশনা দেয় এবং জিমেইল অ্যাকাউন্ট ব্যবহার করতে নিরুৎসাহিত করে।
৩.১.৫. EMM অ্যান্ড্রয়েড সাইনআপ ফ্লোতে অ্যাডমিনের ইমেল ঠিকানা আগে থেকেই পূরণ করে দেয়।
৩.২. পরিচালিত গুগল প্লে অ্যাকাউন্ট প্রোভিশনিং
EMM নীরবে এন্টারপ্রাইজ ব্যবহারকারী অ্যাকাউন্ট তৈরি করতে পারে, যেগুলোকে ম্যানেজড গুগল প্লে অ্যাকাউন্ট বলা হয়। এই অ্যাকাউন্টগুলো পরিচালিত ব্যবহারকারীদের শনাক্ত করে এবং ব্যবহারকারী-ভিত্তিক স্বতন্ত্র অ্যাপ বিতরণের নিয়ম নির্ধারণের সুযোগ দেয়।
৩.২.১. EMM-এর DPC, নির্ধারিত বাস্তবায়ন নির্দেশিকা অনুসারে নীরবে একটি পরিচালিত Google Play অ্যাকাউন্ট প্রোভিশন এবং সক্রিয় করতে পারে। এই প্রক্রিয়ায়:
- ডিভাইসটিতে
userAccountটাইপের একটি পরিচালিত গুগল প্লে অ্যাকাউন্ট যোগ করা হয়। -
userAccountটাইপের পরিচালিত গুগল প্লে অ্যাকাউন্টের সাথে EMM-এর কনসোলে থাকা প্রকৃত ব্যবহারকারীদের একটি ১-এর-১ ম্যাপিং থাকতে হবে।
৩.৩. পরিচালিত গুগল প্লে ডিভাইস অ্যাকাউন্ট প্রোভিশনিং
EMM পরিচালিত গুগল প্লে ডিভাইস অ্যাকাউন্ট তৈরি এবং সরবরাহ করতে পারে। ডিভাইস অ্যাকাউন্টগুলো পরিচালিত গুগল প্লে স্টোর থেকে নীরবে অ্যাপ ইনস্টল করা সমর্থন করে এবং এগুলো কোনো একক ব্যবহারকারীর সাথে সংযুক্ত থাকে না। এর পরিবর্তে, ডেডিকেটেড ডিভাইস পরিস্থিতিতে প্রতি-ডিভাইস অ্যাপ বিতরণের নিয়ম সমর্থন করার জন্য একটি ডিভাইস অ্যাকাউন্ট একটি একক ডিভাইস শনাক্ত করতে ব্যবহৃত হয়।
৩.৩.১. EMM-এর DPC, নির্ধারিত বাস্তবায়ন নির্দেশিকা অনুসারে, নীরবে একটি পরিচালিত Google Play অ্যাকাউন্ট প্রোভিশন এবং সক্রিয় করতে পারে। এটি করার জন্য, ডিভাইসটিতে deviceAccount টাইপের একটি পরিচালিত Google Play অ্যাকাউন্ট অবশ্যই যুক্ত করতে হবে।
৩.৪. পুরোনো ডিভাইসগুলির জন্য পরিচালিত গুগল প্লে অ্যাকাউন্ট প্রোভিশনিং
EMM নীরবে এন্টারপ্রাইজ ব্যবহারকারী অ্যাকাউন্ট তৈরি করতে পারে, যেগুলোকে ম্যানেজড গুগল প্লে অ্যাকাউন্ট বলা হয়। এই অ্যাকাউন্টগুলো পরিচালিত ব্যবহারকারীদের শনাক্ত করে এবং ব্যবহারকারী-ভিত্তিক স্বতন্ত্র অ্যাপ বিতরণের নিয়ম নির্ধারণের সুযোগ দেয়।
৩.৪.১. EMM-এর DPC, নির্ধারিত বাস্তবায়ন নির্দেশিকা অনুসারে নীরবে একটি পরিচালিত Google Play অ্যাকাউন্ট প্রোভিশন এবং সক্রিয় করতে পারে। এই প্রক্রিয়ায়:
- ডিভাইসটিতে
userAccountটাইপের একটি পরিচালিত গুগল প্লে অ্যাকাউন্ট যোগ করা হয়। -
userAccountটাইপের পরিচালিত গুগল প্লে অ্যাকাউন্টের সাথে EMM-এর কনসোলে থাকা প্রকৃত ব্যবহারকারীদের একটি ১-এর-১ ম্যাপিং থাকতে হবে।
৩.৫. নীরব অ্যাপ বিতরণ
আইটি অ্যাডমিনরা ব্যবহারকারীর কোনো হস্তক্ষেপ ছাড়াই নীরবে তাদের ডিভাইসে কাজের অ্যাপগুলো বিতরণ করতে পারেন।
৩.৫.১. আইটি অ্যাডমিনদেরকে পরিচালিত ডিভাইসগুলিতে কাজের অ্যাপ ইনস্টল করার অনুমতি দেওয়ার জন্য EMM কনসোলকে অবশ্যই Play EMM API ব্যবহার করতে হবে।
৩.৫.২. আইটি অ্যাডমিনদেরকে পরিচালিত ডিভাইসগুলিতে ওয়ার্ক অ্যাপ আপডেট করার সুযোগ দেওয়ার জন্য EMM কনসোলকে অবশ্যই Play EMM API ব্যবহার করতে হবে।
৩.৫.৩. আইটি অ্যাডমিনদেরকে পরিচালিত ডিভাইসগুলো থেকে অ্যাপ আনইনস্টল করার সুযোগ দেওয়ার জন্য EMM কনসোলকে অবশ্যই Play EMM API ব্যবহার করতে হবে।
৩.৬. পরিচালিত কনফিগারেশন ব্যবস্থাপনা
আইটি অ্যাডমিনরা ম্যানেজড কনফিগারেশন অথবা ম্যানেজড কনফিগারেশন সমর্থন করে এমন যেকোনো অ্যাপ দেখতে এবং নীরবে সেট করতে পারেন।
৩.৬.১. EMM-এর কনসোলকে অবশ্যই যেকোনো প্লে অ্যাপের পরিচালিত কনফিগারেশন সেটিংস পুনরুদ্ধার এবং প্রদর্শন করতে সক্ষম হতে হবে।
- EMM-গুলি কোনো অ্যাপের পরিচালিত কনফিগারেশন স্কিমা পুনরুদ্ধার করতে
Products.getAppRestrictionsSchemaকল করতে পারে অথবা তাদের EMM কনসোলে পরিচালিত কনফিগারেশন ফ্রেমটি এম্বেড করতে পারে ।
৩.৬.২. EMM-এর কনসোলকে অবশ্যই আইটি অ্যাডমিনদেরকে Play EMM API ব্যবহার করে যেকোনো Play অ্যাপের জন্য (অ্যান্ড্রয়েড ফ্রেমওয়ার্ক দ্বারা সংজ্ঞায়িত) যেকোনো ধরনের কনফিগারেশন সেট করার অনুমতি দিতে হবে।
৩.৬.৩. EMM-এর কনসোলে আইটি অ্যাডমিনদের ওয়াইল্ডকার্ড (যেমন $username$ বা %emailAddress%) সেট করার সুযোগ থাকতে হবে, যাতে Gmail-এর মতো কোনো অ্যাপের জন্য একটিমাত্র কনফিগারেশন একাধিক ব্যবহারকারীর ক্ষেত্রে প্রয়োগ করা যায়। ম্যানেজড কনফিগারেশন আইফ্রেমটি স্বয়ংক্রিয়ভাবে এই প্রয়োজনীয়তা সমর্থন করে।
৩.৭. অ্যাপ ক্যাটালগ ব্যবস্থাপনা
আইটি অ্যাডমিনরা পরিচালিত গুগল প্লে ( play.google.com/work ) থেকে তাদের প্রতিষ্ঠানের জন্য অনুমোদিত অ্যাপের তালিকা ইম্পোর্ট করতে পারেন।
৩.৭.১. EMM-এর কনসোল বিতরণের জন্য অনুমোদিত অ্যাপগুলির একটি তালিকা প্রদর্শন করতে পারে, যার মধ্যে অন্তর্ভুক্ত রয়েছে:
- পরিচালিত গুগল প্লে-তে কেনা অ্যাপগুলি
- আইটি অ্যাডমিনদের কাছে দৃশ্যমান ব্যক্তিগত অ্যাপ
- প্রোগ্রামগতভাবে অনুমোদিত অ্যাপগুলি
৩.৮. প্রোগ্রাম্যাটিক অ্যাপ অনুমোদন
EMM-এর কনসোলটি গুগল প্লে-এর অ্যাপ শনাক্তকরণ এবং অনুমোদনের সক্ষমতা সমর্থন করার জন্য পরিচালিত গুগল প্লে আইফ্রেম ব্যবহার করে। আইটি অ্যাডমিনরা EMM-এর কনসোল থেকে বের না হয়েই অ্যাপ অনুসন্ধান করতে, অ্যাপ অনুমোদন করতে এবং নতুন অ্যাপের অনুমতি অনুমোদন করতে পারেন।
৩.৮.১. আইটি অ্যাডমিনরা পরিচালিত গুগল প্লে আইফ্রেম ব্যবহার করে ইএমএম-এর কনসোলের মধ্যে অ্যাপ অনুসন্ধান এবং অনুমোদন করতে পারেন।
৩.৯. দোকানের মৌলিক বিন্যাস ব্যবস্থাপনা
ডিভাইসগুলিতে কাজের অ্যাপ ইনস্টল ও আপডেট করার জন্য ম্যানেজড গুগল প্লে স্টোর অ্যাপটি ব্যবহার করা যেতে পারে। ডিফল্টরূপে স্টোরের বেসিক লেআউটটি প্রদর্শিত হয় এবং এতে এন্টারপ্রাইজের জন্য অনুমোদিত অ্যাপগুলির তালিকা থাকে, যেগুলিকে ইএমএম (EMM) নীতি অনুযায়ী ব্যবহারকারী-ভিত্তিক ফিল্টার করে।
৩.৯.১. আইটি অ্যাডমিনরা 'স্টোর হোম' বিভাগের অধীনে পরিচালিত গুগল প্লে স্টোর থেকে অ্যাপ্লিকেশন দেখা এবং ইনস্টল করার অনুমতি দিতে ব্যবহারকারীদের উপলব্ধ প্রোডাক্ট সেট পরিচালনা করতে পারেন।
৩.১০. উন্নত স্টোর লেআউট কনফিগারেশন
আইটি অ্যাডমিনরা ডিভাইসগুলিতে থাকা পরিচালিত গুগল প্লে স্টোর অ্যাপে প্রদর্শিত স্টোরের লেআউটটি কাস্টমাইজ করতে পারেন।
৩.১০.১. আইটি অ্যাডমিনরা পরিচালিত গুগল প্লে স্টোরের লেআউট কাস্টমাইজ করার জন্য EMM-এর কনসোলে নিম্নলিখিত কাজগুলো করতে পারেন:
- সর্বোচ্চ ১০০টি স্টোর লেআউট পেজ তৈরি করুন। পেজগুলোর যেকোনো সংখ্যক স্থানীয় নাম থাকতে পারে।
- প্রতিটি পৃষ্ঠার জন্য ৩০টি পর্যন্ত ক্লাস্টার তৈরি করুন। ক্লাস্টারগুলোর যেকোনো সংখ্যক স্থানীয় নাম থাকতে পারে।
- প্রতিটি ক্লাস্টারে সর্বোচ্চ ১০০টি অ্যাপ বরাদ্দ করুন।
- প্রতিটি পৃষ্ঠায় সর্বোচ্চ ১০টি কুইক লিঙ্ক যোগ করুন।
- একটি ক্লাস্টারের মধ্যে অ্যাপগুলোর এবং একটি পৃষ্ঠার মধ্যে থাকা ক্লাস্টারগুলোর সাজানোর ক্রম নির্দিষ্ট করুন।
৩.১১. অ্যাপ লাইসেন্স ব্যবস্থাপনা
আইটি অ্যাডমিনরা EMM-এর কনসোল থেকে ম্যানেজড গুগল প্লে-তে কেনা অ্যাপ লাইসেন্সগুলো দেখতে ও পরিচালনা করতে পারেন।
৩.১১.১. কোনো এন্টারপ্রাইজের জন্য অনুমোদিত পেইড অ্যাপের ক্ষেত্রে, EMM-এর কনসোলে অবশ্যই নিম্নলিখিত বিষয়গুলো প্রদর্শিত হতে হবে :
- ক্রয়কৃত লাইসেন্সের সংখ্যা।
- ব্যবহৃত লাইসেন্সের সংখ্যা এবং লাইসেন্স ব্যবহারকারীগণ।
- বিতরণের জন্য উপলব্ধ লাইসেন্সের সংখ্যা।
৩.১১.২. আইটি অ্যাডমিনরা ব্যবহারকারীদের কোনো ডিভাইসে অ্যাপটি ইনস্টল করতে বাধ্য না করেই নীরবে লাইসেন্স বরাদ্দ করতে পারেন।
৩.১১.৩. আইটি অ্যাডমিনরা কোনো ব্যবহারকারীর কাছ থেকে অ্যাপ লাইসেন্স বাতিল করতে পারেন।
৩.১২. গুগল-হোস্টেড ব্যক্তিগত অ্যাপ ব্যবস্থাপনা
আইটি অ্যাডমিনরা গুগল প্লে কনসোলের পরিবর্তে ইএমএম কনসোলের মাধ্যমে গুগল-হোস্টেড ব্যক্তিগত অ্যাপগুলো আপডেট করতে পারেন।
৩.১২.১. আইটি অ্যাডমিনরা নিম্নলিখিত পদ্ধতি ব্যবহার করে এন্টারপ্রাইজে ইতিমধ্যে ব্যক্তিগতভাবে প্রকাশিত অ্যাপগুলির নতুন সংস্করণ আপলোড করতে পারেন:
৩.১৩. সেলফ-হোস্টেড ব্যক্তিগত অ্যাপ ব্যবস্থাপনা
আইটি অ্যাডমিনরা সেলফ-হোস্টেড প্রাইভেট অ্যাপ সেট আপ এবং পাবলিশ করতে পারেন। গুগল-হোস্টেড প্রাইভেট অ্যাপের মতো নয়, গুগল প্লে এই অ্যাপগুলোর APK হোস্ট করে না। এর পরিবর্তে, EMM আইটি অ্যাডমিনদের নিজেদের APK হোস্ট করতে সাহায্য করে এবং ম্যানেজড গুগল প্লে দ্বারা অনুমোদিত হলেই কেবল সেলফ-হোস্টেড অ্যাপগুলো ইনস্টল করা যাবে তা যাচাই করার মাধ্যমে সেগুলোকে সুরক্ষিত রাখে।
আইটি অ্যাডমিনরা বিস্তারিত জানতে সাপোর্ট প্রাইভেট অ্যাপস- এ যেতে পারেন।
৩.১৩.১. EMM-এর কনসোলকে অবশ্যই নিম্নলিখিত উভয় বিকল্প প্রদান করে আইটি অ্যাডমিনদের অ্যাপ APK হোস্ট করতে সাহায্য করতে হবে:
- EMM-এর সার্ভারে APK-টি হোস্ট করা হচ্ছে। সার্ভারটি অন-প্রেমিস বা ক্লাউড-ভিত্তিক হতে পারে।
- আইটি অ্যাডমিনের বিবেচনার ভিত্তিতে EMM-এর সার্ভারের বাইরে APK হোস্ট করা যেতে পারে। আইটি অ্যাডমিনকে অবশ্যই EMM কনসোলে উল্লেখ করতে হবে যে APK-টি কোথায় হোস্ট করা হয়েছে।
৩.১৩.২. EMM-এর কনসোলকে অবশ্যই প্রদত্ত APK ব্যবহার করে একটি উপযুক্ত APK ডেফিনিশন ফাইল তৈরি করতে হবে এবং পাবলিশিং প্রক্রিয়ার মাধ্যমে আইটি অ্যাডমিনদের নির্দেশনা দিতে হবে।
৩.১৩.৩. আইটি অ্যাডমিনরা সেলফ-হোস্টেড প্রাইভেট অ্যাপ আপডেট করতে পারেন, এবং EMM-এর কনসোল গুগল প্লে ডেভেলপার পাবলিশিং এপিআই (Google Play Developer Publishing API) ব্যবহার করে নীরবে আপডেট করা এপিকে ডেফিনিশন ফাইল প্রকাশ করতে পারে।
৩.১৩.৪. EMM-এর সার্ভার শুধুমাত্র সেই সেলফ-হোস্টেড APK-এর ডাউনলোড অনুরোধগুলি সম্পাদন করে, যেগুলির অনুরোধের কুকির মধ্যে একটি বৈধ JWT থাকে, যা প্রাইভেট অ্যাপের পাবলিক কী দ্বারা যাচাই করা হয়েছে।
- এই প্রক্রিয়াটি সহজ করার জন্য, EMM-এর সার্ভারকে অবশ্যই আইটি অ্যাডমিনদেরকে গুগল প্লে কনসোল থেকে সেলফ-হোস্টেড অ্যাপটির লাইসেন্স পাবলিক কী ডাউনলোড করতে এবং এই কী-টি EMM কনসোলে আপলোড করতে নির্দেশনা দিতে হবে।
৩.১৪. EMM পুল নোটিফিকেশন
নতুন পারমিশন বা ম্যানেজড কনফিগারেশন সম্বলিত কোনো অ্যাপ আপডেটের মতো অতীতের ঘটনা শনাক্ত করার জন্য পর্যায়ক্রমে প্লে-কে কোয়েরি করার পরিবর্তে, EMM পুল নোটিফিকেশনগুলো রিয়েল টাইমে এই ধরনের ঘটনা সম্পর্কে EMM-কে সক্রিয়ভাবে অবহিত করে। এর ফলে EMM-গুলো এই ঘটনাগুলোর উপর ভিত্তি করে স্বয়ংক্রিয় ব্যবস্থা নিতে এবং কাস্টম প্রশাসনিক নোটিফিকেশন প্রদান করতে পারে।
৩.১৪.১. নোটিফিকেশন সেটগুলো টানতে EMM-কে অবশ্যই Play-এর EMM নোটিফিকেশন ব্যবহার করতে হবে।
৩.১৪.২. EMM-কে অবশ্যই নিম্নলিখিত নোটিফিকেশন ইভেন্টগুলো সম্পর্কে একজন আইটি অ্যাডমিনকে স্বয়ংক্রিয়ভাবে অবহিত করতে হবে (উদাহরণস্বরূপ একটি স্বয়ংক্রিয় ইমেলের মাধ্যমে):
-
newPermissionEvent: ব্যবহারকারীদের ডিভাইসে অ্যাপটি নীরবে ইনস্টল বা আপডেট করার আগে, নতুন অ্যাপ পারমিশনগুলোর জন্য একজন আইটি অ্যাডমিনের অনুমোদনের প্রয়োজন হয়। -
appRestrictionsSchemaChangeEvent: উদ্দিষ্ট কার্যকারিতা বজায় রাখার জন্য আইটি অ্যাডমিনকে কোনো অ্যাপের পরিচালিত কনফিগারেশন আপডেট করার প্রয়োজন হতে পারে। -
appUpdateEvent: যে সকল আইটি অ্যাডমিন অ্যাপ আপডেটের কারণে মূল ওয়ার্কফ্লোর পারফরম্যান্স প্রভাবিত হচ্ছে না তা যাচাই করতে চান, তাদের জন্য এটি গুরুত্বপূর্ণ হতে পারে। -
productAvailabilityChangeEvent: এটি অ্যাপ ইনস্টল করা বা অ্যাপ আপডেট নেওয়ার ক্ষমতাকে প্রভাবিত করতে পারে। -
installFailureEvent: Play কোনো ডিভাইসে একটি অ্যাপ সাইলেন্টলি ইনস্টল করতে পারছে না, যা থেকে বোঝা যায় যে ডিভাইস কনফিগারেশনের কোনো একটি বিষয় ইনস্টলেশনে বাধা দিচ্ছে। এই নোটিফিকেশন পাওয়ার পর EMM-গুলোর অবিলম্বে আবার সাইলেন্ট ইনস্টলের চেষ্টা করা উচিত নয়, কারণ Play-এর নিজস্ব রিট্রাই লজিক ততক্ষণে ব্যর্থ হয়ে যাবে।
৩.১৪.৩. EMM নিম্নলিখিত নোটিফিকেশন ইভেন্টগুলোর উপর ভিত্তি করে স্বয়ংক্রিয়ভাবে যথাযথ ব্যবস্থা গ্রহণ করে:
-
newDeviceEvent: ডিভাইস প্রোভিশনিংয়ের সময়, নতুন ডিভাইসটির জন্য পরবর্তী Play EMM API কলগুলো করার আগে, যার মধ্যে সাইলেন্ট অ্যাপ ইনস্টল এবং ম্যানেজড কনফিগারেশন সেট করা অন্তর্ভুক্ত, EMM-গুলোকে অবশ্যইnewDeviceEventএর জন্য অপেক্ষা করতে হবে। -
productApprovalEvent: একটিproductApprovalEventনোটিফিকেশন পাওয়ার পর, যদি কোনো সক্রিয় আইটি অ্যাডমিন সেশন থাকে, অথবা যদি প্রতিটি আইটি অ্যাডমিন সেশনের শুরুতে অনুমোদিত অ্যাপের তালিকাটি স্বয়ংক্রিয়ভাবে পুনরায় লোড না হয়, তাহলে EMM-কে অবশ্যই ডিভাইসগুলিতে বিতরণের জন্য EMM কনসোলে ইম্পোর্ট করা অনুমোদিত অ্যাপের তালিকাটি স্বয়ংক্রিয়ভাবে আপডেট করতে হবে।
৩.১৫. এপিআই ব্যবহারের প্রয়োজনীয়তা
EMM বৃহৎ পরিসরে গুগলের API প্রয়োগ করে, যার ফলে এমন ট্র্যাফিক প্যাটার্ন এড়ানো যায় যা প্রোডাকশন পরিবেশে অ্যাপ পরিচালনায় আইটি অ্যাডমিনদের দক্ষতাকে নেতিবাচকভাবে প্রভাবিত করতে পারে।
৩.১৫.১. EMM-কে অবশ্যই Play EMM API ব্যবহারের সীমা মেনে চলতে হবে। এই নির্দেশিকা লঙ্ঘনকারী আচরণ সংশোধন না করলে, Google-এর বিবেচনার ভিত্তিতে API ব্যবহার স্থগিত করা হতে পারে।
৩.১৫.২. EMM-এর উচিত নির্দিষ্ট বা একই সময়ে এন্টারপ্রাইজ ট্র্যাফিক একত্রিত করার পরিবর্তে, দিনভর বিভিন্ন এন্টারপ্রাইজের ট্র্যাফিক বিতরণ করা। এই ধরনের ট্র্যাফিক প্যাটার্নের সাথে মিলে যায় এমন আচরণ, যেমন নথিভুক্ত প্রতিটি ডিভাইসের জন্য নির্ধারিত ব্যাচ অপারেশন, গুগলের বিবেচনার ভিত্তিতে API ব্যবহার স্থগিত করার কারণ হতে পারে।
৩.১৫.৩. EMM-এর এমন ধারাবাহিক, অসম্পূর্ণ বা ইচ্ছাকৃতভাবে ভুল অনুরোধ করা উচিত নয়, যা প্রকৃত এন্টারপ্রাইজ ডেটা পুনরুদ্ধার বা পরিচালনা করার কোনো চেষ্টাই করে না। এই ধরনের ট্র্যাফিক প্যাটার্নের আচরণের ফলে, গুগলের বিবেচনার ভিত্তিতে, এপিআই ব্যবহার স্থগিত করা হতে পারে।
৩.১৬. উন্নত পরিচালিত কনফিগারেশন ব্যবস্থাপনা
৩.১৬.১. EMM-এর কনসোলকে অবশ্যই যেকোনো প্লে অ্যাপের পরিচালিত কনফিগারেশন সেটিংস (সর্বোচ্চ চারটি স্তর পর্যন্ত বিন্যস্ত) পুনরুদ্ধার এবং প্রদর্শন করতে সক্ষম হতে হবে, যা নিম্নলিখিত পদ্ধতি ব্যবহার করে করা যাবে:
- পরিচালিত গুগল প্লে আইফ্রেম , অথবা
- একটি কাস্টম UI।
৩.১৬.২. কোনো আইটি অ্যাডমিন দ্বারা সেট আপ করা হলে, EMM-এর কনসোলকে অবশ্যই কোনো অ্যাপের ফিডব্যাক চ্যানেল থেকে প্রাপ্ত যেকোনো ফিডব্যাক গ্রহণ ও প্রদর্শন করতে সক্ষম হতে হবে।
- EMM-এর কনসোলকে অবশ্যই আইটি অ্যাডমিনদেরকে একটি নির্দিষ্ট ফিডব্যাক আইটেমকে সেটির উৎস ডিভাইস এবং অ্যাপের সাথে সংযুক্ত করার সুযোগ দিতে হবে।
- EMM-এর কনসোলে আইটি অ্যাডমিনদেরকে নির্দিষ্ট ধরনের বার্তার (যেমন ত্রুটির বার্তা) অ্যালার্ট বা রিপোর্টের জন্য সাবস্ক্রাইব করার সুযোগ থাকতে হবে।
৩.১৬.৩. EMM-এর কনসোল থেকে শুধুমাত্র সেই মানগুলোই পাঠানো যাবে, যেগুলোর হয় একটি ডিফল্ট মান আছে অথবা যা অ্যাডমিন নিম্নলিখিত পদ্ধতি ব্যবহার করে ম্যানুয়ালি সেট করেছেন :
- পরিচালিত কনফিগারেশন আইফ্রেম, অথবা
- একটি কাস্টম UI।
৩.১৭. ওয়েব অ্যাপ ব্যবস্থাপনা
আইটি অ্যাডমিনরা EMM কনসোলে ওয়েব অ্যাপ তৈরি ও বিতরণ করতে পারেন।
৩.১৭.১. আইটি অ্যাডমিনরা EMM-এর কনসোল ব্যবহার করে নিম্নলিখিত উপায়ে ওয়েব অ্যাপের শর্টকাট বিতরণ করতে পারেন:
৩.১৮. পরিচালিত গুগল প্লে অ্যাকাউন্টের জীবনচক্র ব্যবস্থাপনা
EMM, আইটি অ্যাডমিনদের পক্ষ থেকে পরিচালিত গুগল প্লে অ্যাকাউন্ট তৈরি, আপডেট এবং মুছে ফেলতে পারে।
৩.১৮.১. EMM-গুলি Play EMM API ডেভেলপার ডকুমেন্টেশনে সংজ্ঞায়িত বাস্তবায়ন নির্দেশিকা অনুসারে একটি পরিচালিত Google Play অ্যাকাউন্টের জীবনচক্র পরিচালনা করতে পারে।
৩.১৮.২. ইএমএম ব্যবহারকারীর হস্তক্ষেপ ছাড়াই পরিচালিত গুগল প্লে অ্যাকাউন্টগুলোকে পুনরায় প্রমাণীকরণ করতে পারে।
৩.১৯. অ্যাপ্লিকেশন ট্র্যাক ব্যবস্থাপনা
৩.১৯.১. আইটি অ্যাডমিনরা কোনো নির্দিষ্ট অ্যাপের জন্য ডেভেলপার কর্তৃক সেট করা ট্র্যাক আইডিগুলোর একটি তালিকা পেতে পারেন।
3.19.2. IT admins can set devices to use a particular development track for an application.
৩.২০. উন্নত অ্যাপ্লিকেশন আপডেট ব্যবস্থাপনা
3.20.1. IT admins can allow apps to use high-priority app updates to be updated when an update is ready.
3.20.2. IT admins can allow apps to have their app updates postponed for 90 days.
3.21. Provisioning methods management
The EMM can generate provisioning configurations and present these to the IT admin in a form ready for distribution to end users (such as QR code, zero-touch configuration, Play Store URL).
3.22. Upgrade Enterprise binding
IT admins can upgrade the enterprise binding type to a managed Google Domain enterprise, allowing the organization to access Google Account services and features on enrolled devices.
3.22.1. The EMM console allows the IT admin to trigger the upgrade of an existing managed Google Play Accounts enterprise to a managed Google Domain enterprise using the requisite APIs .
3.22.2. EMMs should use Pub/Sub to receive notifications about IT admin-initiated upgrade events (even those occurring outside the EMM console) and update their UI to reflect these changes.
৩.২৩. পরিচালিত গুগল অ্যাকাউন্ট সরবরাহ
The EMM can provision a device with enterprise user accounts , called managed Google Accounts. These accounts identify managed users and allow app distribution rules, and allow access to Google services. IT admins can additionally set a policy to require managed Google Account authentication during or after enrollment.
3.23.1. The EMM's DPC can provision a managed Google Account according to the defined implementation guidelines .
In doing so:
- A managed Google Account is added to the device.
- The managed Google Account must have a 1 to 1 mapping with actual users in the EMM's console.
3.23.2. The IT admin can use the policy to provide users the option to sign in to a managed Google Account for enrollment.
3.23.3. The IT admin can use the policy to control whether the user is required to sign in to a managed Google Account to complete enrollment.
3.23.4. IT admins can optionally restrict the upgrade flow to a specific account identifier (email address) for a given device.
৩.২৪. পরিচালিত গুগল প্লে অ্যাকাউন্ট আপগ্রেড
IT admins can upgrade the user account type to a managed Google Account , allowing the device to access Google Account services and features on enrolled devices.
3.24.1. IT admins can upgrade an existing managed Google Play Account on a device to a managed Google Account.
3.24.2. IT admins can optionally restrict the upgrade flow to a specific account identifier (email address) for a given device.
4. Device management
৪.১. রানটাইম অনুমতি নীতি ব্যবস্থাপনা
আইটি অ্যাডমিনরা ওয়ার্ক অ্যাপগুলোর করা রানটাইম পারমিশন অনুরোধের জন্য নীরবে একটি ডিফল্ট প্রতিক্রিয়া সেট করতে পারেন।
4.1.1. IT admins must be able to choose from the following options when setting a default runtime permission policy for their organization:
- prompt (allows users to choose)
- অনুমতি দিন
- অস্বীকার করুন
The EMM should enforce these settings using the EMM's DPC .
৪.২. রানটাইম অনুমতি প্রদান অবস্থা ব্যবস্থাপনা
After setting a default runtime permission policy (go to 4.1.), IT admins can silently set responses for specific permissions from any work app built on API 23 or higher.
4.2.1. IT admins must be able to set the grant state (default, grant, or deny) of any permission requested by any work app built on API 23 or higher. The EMM should enforce these settings using the EMM's DPC .
4.3. Wi-Fi configuration management
IT admins can silently provision enterprise Wi-Fi configurations on managed devices, including:
4.3.1. SSID, using the EMM's DPC .
4.3.2. Password, using the EMM's DPC .
4.4. Wi-Fi security management
IT admins can provision enterprise Wi-Fi configurations on managed devices that include the following advanced security features:
4.4.1. Identity, using the EMM's DPC .
4.4.2. Certificate for clients authorization, using the EMM's DPC .
4.4.3. CA certificate(s), using the EMM's DPC .
4.5. Advanced Wi-Fi management
IT admins can lock down Wi-Fi configurations on managed devices, to prevent users from creating configurations or modifying corporate configurations.
4.5.1. IT admins can lock down corporate Wi-Fi configurations in either of the following configurations:
- Users cannot modify any Wi-Fi configurations provisioned by the EMM , but may add and modify their own user-configurable networks (for example personal networks).
- Users cannot add or modify any Wi-Fi network on the device , limiting Wi-Fi connectivity to just those networks provisioned by the EMM.
4.6. Account management
IT admins can verify that unauthorized corporate accounts can't interact with corporate data, for services such as SaaS storage and productivity apps, or email. Without this feature, personal accounts can be added to those corporate apps that also support consumer accounts, allowing them to share corporate data with those personal accounts.
4.6.1. IT admins can prevent adding or modifying accounts .
- When enforcing this policy on a device, EMMs must set this restriction before provisioning is complete, to ensure you cannot circumvent this policy by adding accounts before the policy is enacted.
4.7. Workspace account management
This feature is deprecated. See 3.23. for replacement requirements.
4.8. Certificate management
Allows IT admins to deploy identity certificates and certificate authorities to devices to allow access to corporate resources.
4.8.1. IT admins can install user identity certs generated by their PKI on a per-user basis. The EMM's console must integrate with at least one PKI and distribute certificates generated from that infrastructure.
4.8.2. IT admins can install certificate authorities in the managed keystore.
4.9. Advanced certificate management
Allows IT admins to silently select the certificates that specific managed apps should use. This feature also grants IT admins the ability to remove CAs and identity certs from active devices. This feature prevents users from modifying credentials stored in the managed keystore.
4.9.1. For any app distributed to devices, IT admins can specify a certificate the app will be silently granted access to during runtime.
- Certificate selection must be generic enough to allow a single configuration that applies to all users, each of which may have a user-specific identity certificate.
4.9.2. IT admins can silently remove certificates from the managed keystore.
4.9.3. IT admins can silently uninstall a CA certificate , or all non-system CA certificates .
4.9.4. IT admins can prevent users from configuring credentials in the managed keystore.
4.9.5. IT admins can pre-grant certificates for work apps.
4.10. Delegated certificate management
IT admins can distribute a third-party certificate management app to devices and grant that app privileged access to install certificates into the managed keystore.
4.10.1. IT admins specify a certificate management package to set as the delegated certificate management app by the DPC.
- Console may optionally suggest known certificate management packages, but must allow the IT admin to choose from the list of apps available for install, for applicable users.
4.11. Advanced VPN management
Allows IT admins to specify an Always On VPN to verify that the data from specified managed apps will always go through a set up VPN.
4.11.1. IT admins can specify an arbitrary VPN package to be set as an Always On VPN.
- The EMM's console may optionally suggest known VPN packages that support Always On VPN, but can't restrict the VPNs available for Always On configuration to any arbitrary list.
4.11.2. IT admins can use managed configurations to specify the VPN settings for an app.
4.12. IME management
IT admins can manage what input methods (IMEs) can be set up for devices. Since the IME is shared across both work and personal profiles, blocking use of IMEs will prevent allowing those IMEs for personal use as well. IT admins may not, however, block system IMEs on work profiles (go to advanced IME management for more details).
4.12.1. IT admins can set up an IME allowlist of arbitrary length (including an empty list, which blocks non-system IMEs), which may contain any arbitrary IME packages.
- The EMM's console may optionally suggest known or recommended IMEs to include in the allowlist, but must allow IT admins to choose from the list of apps available for install, for applicable users.
4.12.2. The EMM must inform IT admins that system IMEs are excluded from management on devices with work profiles.
4.13. Advanced IME management
IT admins can manage what input methods (IMEs) can be set up for devices. Advanced IME management extends the basic feature by allowing IT admins to manage the use of system IMEs as well, which are typically provided by the device manufacturer or carrier of the device.
4.13.1. IT admins can set up an IME allowlist of arbitrary length (excluding an empty list, which blocks all IMEs including system IMEs), which may contain any arbitrary IME packages.
- The EMM's console may optionally suggest known or recommended IMEs to include in the allowlist, but must allow IT admins to choose from the list of apps available for install, for applicable users.
4.13.2. EMMs must prevent IT admins from setting up an empty allowlist, as this setting will block all IMEs including system IMEs from being set up on the device.
4.13.3. EMMs must verify that if an IME allowlist does not contain system IMEs, the third-party IMEs are silently installed before the allowlist is applied on the device.
4.14. Accessibility services management
IT admins can manage what accessibility services can be allowed on users' devices. While accessibility services are powerful tools for users with disabilities or those that are temporarily unable to fully interact with their device, they may interact with corporate data in ways that are non-compliant with corporate policy. This feature allows IT admins to turn off any non-system accessibility service.
4.14.1. IT admins can set up an accessibility service allowlist of arbitrary length (including an empty list, which blocks non-system accessibility services), which may contain any arbitrary accessibility service package. When applied to a work profile, this affects both the personal profile and the work profile.
- Console may optionally suggest known or recommended accessibility services to include in the allowlist, but must allow IT admins to choose from the list of apps available for install, for applicable users.
4.15. Location Sharing management
IT admins can prevent users from sharing location data with apps in the work profile. Otherwise, the location setting for work profiles is configurable in Settings.
4.15.1. IT admins can disable location services within the work profile.
4.16. Advanced Location Sharing management
IT admins can enforce a given Location Sharing setting on a managed device. This feature can ensure that corporate apps always have access to high accuracy location data. This feature can also ensure that extra battery is not consumed by restricting location settings to battery saving mode.
4.16.1. IT admins can set the device location services to each of the following modes:
- High accuracy.
- Sensors only, for example GPS, but not including network-provided location.
- Battery saving, which limits the update frequency.
- বন্ধ।
4.17. Factory reset protection management
Allows IT admins to protect company-owned devices from theft by ensuring unauthorized users can't factory reset devices. If factory reset protection introduces operational complexities when devices are returned to IT, IT admins can also turn off factory reset protection entirely.
4.17.1. IT admins can prevent users from factory resetting their device from Settings.
4.17.2. IT admins can specify corporate unlock accounts authorized to provision devices after a factory reset.
- This account can be tied to an individual, or used by the entire enterprise to unlock devices.
4.17.3. IT admins can disable factory reset protection for specified devices.
4.17.4. IT admins can start a remote device wipe that optionally wipes reset protection data , thus removing factory reset protection on the reset device.
4.18. Advanced app control
IT admins can prevent the user from uninstalling or otherwise modifying managed apps through Settings, for example force closing the app or clearing an app's data cache.
4.18.1. IT admins can block uninstall of any arbitrary managed apps, or all managed apps .
4.18.2. IT admins can prevent users from modifying application data from Settings.
4.19. Screen capture management
IT admins can block users from taking screenshots when using managed apps. This setting includes blocking screen sharing apps and similar apps (such as Google Assistant) that use the system screenshot capabilities.
4.19.1. IT admins can prevent users from capturing screenshots .
4.20. Disable cameras
IT admins can turn off use of device cameras by managed apps.
4.20.1. IT admins can turn off use of device cameras by managed apps.
4.21. Network statistics collection
IT admins can query network usage statistics from a device's work profile. The statistics collected reflect the usage data shared with users in the Data usage section of Settings. The collected statistics are applicable to usage of apps within the work profile.
4.21.1. IT admins can query the network statistics summary for a work profile , for a given device and configurable time window, and view these details in the EMM's console.
4.21.2. IT admins can query a summary of an app in the work profile's network use statistics , for a given device and configurable time window, and view these details organized by UID in the EMM's console.
4.21.3. IT admins can query a work profile's network use historical data , for a given device and configurable time window, and view these details organized by UID in the EMM's console.
4.22. Advanced network statistics collection
IT admins can query network usage statistics for an entire managed device. The statistics collected reflect the use data shared with users in the Data Use section of Settings. The statistics collected are applicable to use of apps on the device.
4.22.1. IT admins can query the network statistics summary for an entire device , for a given device and configurable time window, and view these details in the EMM's console.
4.22.2. IT admins can query a summary of app network use statistics , for a given device and configurable time window, and view these details organized by UID in the EMM's console.
4.22.3. IT admins can query the network use historical data , for a given device and configurable time window, and view these details organized by UID in the EMM's console.
4.23. Reboot device
IT admins can remotely restart managed devices.
4.23.1. IT admins can remotely reboot a managed device.
4.24. System radio management
Allows IT admins granular management over system network radios and associated use policies.
4.24.1. IT admins can disable cell broadcasts sent by service providers (for example, AMBER alerts).
4.24.2. IT admins can prevent users from modifying mobile network settings in Settings .
4.24.3. IT admins can prevent users from resetting network settings in Settings .
4.24.4. IT admins can allow or disallow mobile data while roaming .
4.24.5. IT admins can set up whether the device can make outgoing phone calls , excluding emergency calls.
4.24.6. IT admins can set up whether the device can send and receive text messages .
4.24.7. IT admins can prevent users from using their device as a portable hotspot by tethering .
4.24.8. IT admins can set the Wi-Fi timeout to the default , only while plugged in , or never .
4.24.9. IT admins can prevent users from setting up or modifying existing Bluetooth connections .
4.25. System audio management
IT admins can silently manage device audio features, including muting the device, preventing users from changing volume settings, and preventing users from unmuting the device microphone.
4.25.1. IT admins can silently mute managed devices .
4.25.2. IT admins can prevent users from modifying device volume settings .
4.25.3. IT admins can prevent users from unmuting the device microphone .
4.26. System clock management
IT admins can manage device clock and time zone settings, and prevent users from modifying automatic device settings.
4.26.1. IT admins can enforce system auto time , preventing the user from setting the date and time of the device.
4.26.2. IT admins can silently turn off or on both auto time and auto timezone .
4.27. Advanced dedicated device features
Provides IT admins with the ability to manage more granular dedicated device features to support various kiosk use cases.
4.27.1. IT admins can disable the device keyguard .
4.27.2. IT admins can turn off the device status bar , blocking notifications and Quick Settings.
4.27.3. IT admins can force the device screen to remain on while the device is plugged in.
4.27.4. IT admins can prevent the following system UIs from being displayed:
- টোস্ট
- Application overlays.
4.27.5. IT admins can allow the system recommendation for apps to skip their user tutorial and other introductory hints on first start-up.
4.28. Delegated scope management
IT admins are able to delegate extra privileges to individual packages.
4.28.1. IT admins can manage the following scopes:
- Certificate installation and management
- Deliberately blank
- Network logging
- Security logging (not supported for work profile on personally-owned device)
4.29. Enrollment-specific ID support
Starting in Android 12, work profiles will no longer have access to hardware-specific identifiers. IT admins can follow the lifecycle of a device with a work profile through the enrollment-specific ID, which will persist through factory resets.
4.29.1. IT admins can set and obtain an enrollment-specific ID
4.29.2. This enrollment-specific ID must persist through a factory reset
4.30. Credential manager policy
IT admins can manage which credential manager applications are allowed or blocked using policy .
4.30.1 IT admins can optionally block all credential managers on the device (or within the work profile).
4.30.2 IT admins can specify allowing only pre-loaded (system apps) credential managers.
4.30.3 IT admins can specify a list of package names which are allowed to offer credential manager functionality.
4.31. Basic eSIM management
Allows IT admins to provision a device with an eSIM profile and manage its lifecycle on the device.
4.31.1 IT admins can silently provision an eSIM profile onto a device.
4.31.2 IT admins can delete managed eSIMs from a device.
4.31.3 IT admins can prevent users from modifying mobile network settings in Settings (go to mobileNetworksConfigDisabled ).
4.31.4 When an IT admin performs a remote wipe on a device or a work profile, they have the option to also remove the managed eSIMs from the device. By default, managed eSIMs are removed from work profiles on personally-owned devices, but retained on company-owned devices.
4.31.5 (OPTIONAL) IT admins can retrieve the EID (Embedded Identity Document) identifier of a device using the EMM console UI (or equivalent method) and export these values.
5. Device usability
5.1. Managed provisioning customization
IT admins can modify the default setup flow UX to include enterprise-specific features. Optionally, IT admins can display EMM-provided branding during provisioning.
5.1.1. IT admins can customize the provisioning process by specifying the following enterprise-specific details: enterprise color , enterprise logo , enterprise terms of service and other disclaimers .
5.1.2. IT admins can deploy a non-configurable, EMM-specific customization that includes the following details: EMM color , EMM logo , EMM terms of service and other disclaimers .
5.1.3 [ primaryColor ] has been deprecated for the enterprise resource on Android 10 and higher.
- EMMs must include provisioning Terms of Service and other disclaimers for their provisioning flow in the system provisioning disclaimers bundle , even if the EMM-specific customization is not used.
- EMMs may set their non-configurable, EMM-specific customization as the default for all deployments, but must allow IT admins to set up their own customization.
5.2. Enterprise customization
IT admins can customize aspects of the work profile with corporate branding. For example, IT admins can set the user icon in the work profile to the corporate logo. Another example is setting up the background color of the work challenge.
5.2.1. IT admins can set the organization color , to be used as the background color of work challenge.
5.2.2. IT admins can set the display name of work profile .
5.2.3. IT admins can set the user icon of the work profile .
5.2.4. IT admins can prevent the user from modifying the work profile user icon .
5.3. Advanced enterprise customization
IT admins can customize managed devices with corporate branding. For example, IT admins can set the primary user icon to the corporate logo, or set the device wallpaper.
5.3.1. IT admins can set the display name for the managed device .
5.3.2. IT admins can set the user icon of the managed device .
5.3.3. IT admins can prevent the user from modifying the device user icon .
5.3.4. IT admins can set the device wallpaper .
5.3.5. IT admins can prevent the user from modifying the device wallpaper .
5.4. Lock screen messages
IT admins can set a custom message that's always displayed on the device lock screen, and does not require device unlock to be viewed.
5.4.1. IT admins can set a custom lock screen message .
5.5. Policy transparency management
IT admins can customize the help text provided to users when they modify managed settings on their device, or deploy an EMM-supplied generic support message. Both short and long support messages can be customized. These messages are displayed in instances such as attempting to uninstall a managed app for which an IT admin has already blocked uninstallation.
5.5.1. IT admins customize both the short and long support messages.
5.5.2. IT admins can deploy non-configurable, EMM-specific short and long support messages.
- EMM may set their non-configurable, EMM-specific support messages as the default for all deployments, but must allow IT admins to set up their own messages.
5.6. Cross-profile contact management
IT admins can control what contact data can leave the work profile. Both telephony and messaging (SMS) apps must run in the personal profile, and require access to work profile contact data to offer efficiency for work contacts, but admins may choose to disable these features to protect work data.
5.6.1. IT admins can disable cross-profile contact search for personal apps that use the system contacts provider.
5.6.2. IT admins can disable cross-profile caller ID lookup for personal dialer apps that use the system contacts provider.
5.6.3. IT admins can disable bluetooth contact sharing with bluetooth devices that use the system contacts provider, for example hands-free calling in cars or headsets.
5.7. Cross-profile data management
Grants IT admins management over what data can leave the work profile, beyond the default security features of the work profile. With this feature, IT admins can allow select types of cross-profile data sharing to improve usability in key use cases. IT admins can also further protect corporate data with more lockdowns.
5.7.1. IT admins can configure cross-profile intent filters so that personal apps can resolve intent from the work profile such as sharing intents or web links.
- Console may optionally suggest known or recommended intent filters for configuration, but can't restrict intent filters to any arbitrary list.
5.7.2. IT admins can allow managed apps that can display widgets on the homescreen.
- The EMM's console must provide IT admins the ability to choose from the list of apps that are available for install to applicable users.
5.7.3. IT admins can block the use of copy/paste between the work and personal profiles .
5.7.4. IT admins can block users from sharing data from the work profile using NFC beam .
5.7.5. IT admins can permit personal apps to open web links from the work profile .
5.8. System update policy
IT admins can set up and apply over-the-air (OTA) system updates for devices.
5.8.1. The EMM's console allows IT admins to set the following OTA configurations:
- Automatic: Devices install OTA updates when they become available.
- Postpone: IT admins must be able to postpone OTA update for up to 30 days. This policy does not affect security updates (eg monthly security patches).
- Windowed: IT admins must be able to schedule OTA updates within a daily maintenance window.
5.8.2. The EMM's DPC applies OTA configurations to devices.
5.9. Lock task mode management
IT admins can lock an app or set of apps to the screen, and ensure that users can't exit the app.
5.9.1. The EMM's console allows IT admins to silently allow an arbitrary set of apps to install and lock to a device. The EMM's DPC allows dedicated device mode.
5.10. Persistent preferred activity management
Allows IT admins to set an app as the default intent handler for intents that match a certain intent filter. For example, allowing IT admins to choose which browser app automatically opens web links, or which launcher app is used when tapping the home button.
5.10.1. IT admins can set any package as the default intent handler for any arbitrary intent filter.
- The EMM's console may optionally suggest known or recommended intents for configuration, but cannot restrict intents to any arbitrary list.
- The EMM's console must allow IT admins to choose from the list of apps that are available to install for applicable users.
5.11. Keyguard feature management
- trust agents
- fingerprint unlock
- unredacted notifications
5.11.2. The EMM's DPC can turn off the following keyguard features in the work profile:
- trust agents
- fingerprint unlock
5.12. Advanced keyguard feature management
- Secure camera
- All notifications
- Unredacted notifications
- Trust agents
- Fingerprint unlock
- All keyguard features
5.13. Remote debugging
IT admins can retrieve debugging resources from devices without requiring extra steps.
5.13.1. IT admins can remotely request bug reports , view bug reports from the EMM's console, and download bug reports from the EMM's console.
5.14. MAC address retrieval
EMMs can silently fetch a device's MAC address. The MAC address can be used to identify devices in other parts of the enterprise infrastructure (for example when identifying devices for network access control).
5.14.1. The EMM can silently retrieve a device's MAC address and can associate it with the device in the EMM's console.
5.15. Advanced lock task mode management
When a device is set up as a dedicated device, IT admins can use the EMM's console to perform the following tasks:
5.15.1. Silently allow a single app to lock to a device using the EMM's DPC .
5.15.2. Turn on or turn off the following System UI features using the EMM's DPC :
- হোম বোতাম
- Overview
- বৈশ্বিক পদক্ষেপ
- বিজ্ঞপ্তি
- System info / Status bar
- Keyguard (lock screen)
5.15.3. Turn off System Error dialogs using the EMM's DPC .
5.16. Advanced system update policy
IT admins can block system updates on a device for a specified freeze period.
5.16.1. The EMM's DPC can apply over-the-air (OTA) system updates to devices for a specified freeze period.
5.17. Work profile policy transparency management
IT admins can customize the message displayed to users when removing the work profile from a device.
5.17.1. IT admins can provide custom text to display when a work profile is wiped.
5.18. Connected app support
IT admins can set a list of packages that can communicate across the work profile boundary.
5.19. Manual System Updates
IT admins can manually install a system update by providing a path.
6. Device Admin Deprecation
6.1. Device Admin Deprecation
EMMs are required to post a plan by the end of 2022 ending customer support for Device Admin on GMS devices by the end of Q1 2023.
7. API usage
7.1. Standard policy controller for new bindings
By default devices must be managed using Android Device Policy for any new bindings. EMMs may provide the option to manage devices using a custom DPC in a settings area under a heading 'Advanced' or similar terminology. New customers must not be exposed to an arbitrary choice between technology stacks during any onboarding or setup workflows.
7.2. Standard policy controller for new devices
By default devices must be managed using Android Device Policy for all new device enrollments, for both existing and new bindings. EMMs may provide the option to manage devices using a custom DPC in a settings area under a heading 'Advanced' or similar terminology.