На этой странице перечислены все функции Android Enterprise.
Если вы планируете управлять более чем 500 устройствами, ваше решение EMM должно поддерживать все стандартные функции () по крайней мере одного набора решений, прежде чем оно станет доступно для коммерческого использования. Разработчики EMM, которые хотят, чтобы их решения были указаны в каталоге решений Android Enterprise как предлагающие стандартный набор функций управления, должны пройти стандартную проверку функций и стать участниками партнерской программы Android Enterprise.
Для каждого набора решений доступен дополнительный набор продвинутых функций. Эти функции указаны на странице каждого набора решений: рабочий профиль на личном устройстве, рабочий профиль на корпоративном устройстве, полностью управляемое устройство и специализированное устройство. Разработчики EMM, которые участвуют в партнерской программе Android Enterprise и предлагают решения, прошедшие проверку расширенных функций, указаны в каталоге решений Android Enterprise как предлагающие расширенный набор функций управления.
Ключ
| стандартная функция | продвинутая функция | необязательная функция | неприменимо |
1. Подготовка устройства
1.1. Подготовка рабочего профиля с помощью контроллера политик на устройствах
Вы можете настроить рабочий профиль после скачивания контроллера политики устройств EMM из Google Play.
1.1.1. Контроллер политик EMM должен быть общедоступен в Google Play, чтобы пользователи могли установить его в личный профиль на устройстве.
1.1.2. После установки DPC должен провести пользователя через процесс настройки рабочего профиля.
1.1.3. После завершения инициализации на устройстве не должно остаться никаких следов управления.
- Все правила, установленные во время инициализации, должны быть удалены.
- Права приложения должны быть отозваны.
- Контроллер политики устройств EMM должен быть как минимум отключен в личном профиле устройства.
1.2. Подготовка устройства с помощью идентификатора контроллера политик
Системные администраторы могут инициализировать полностью управляемое или специализированное устройство с помощью идентификатора контроллера политик устройств ("afw#") в соответствии с рекомендациями по реализации, приведенными в документации для разработчиков Play EMM API.
1.2.1. Контроллер политик на устройствах EMM должен быть общедоступным в Google Play. Контроллер политик должен устанавливаться из мастера настройки устройства после ввода идентификатора контроллера.
1.2.2. После установки контроллер политики устройств EMM должен провести пользователя через процесс настройки полностью управляемого или специализированного устройства.
1.3. Подготовка устройства с помощью NFC
Системные администраторы могут использовать NFC-метки для инициализации новых устройств или устройств со сброшенными настройками в соответствии с инструкциями, приведенными в документации для разработчиков по Play EMM API.
1.3.1. EMM-решения должны использовать теги NFC Forum Type 2 с объемом памяти не менее 888 байт. Для передачи на устройство неконфиденциальных регистрационных данных, таких как идентификаторы сервера и регистрации, необходимо использовать дополнительные параметры инициализации. Регистрационные данные не должны содержать конфиденциальную информацию, например пароли или сертификаты.
1.3.2. После того как контроллер политики устройств EMM-поставщика назначит себя владельцем устройства, он должен сразу же открыться и заблокировать экран до завершения настройки устройства. 1.3.3. Для Android 10 и более поздних версий рекомендуем использовать NFC-метки, поскольку функция NFC Beam (также известная как NFC Bump) больше не поддерживается.
1.4. Подготовка устройства с помощью QR-кода
Системные администраторы могут использовать новое устройство или устройство со сброшенными настройками, чтобы отсканировать QR-код, сгенерированный консолью EMM, и инициализировать устройство в соответствии с инструкциями по внедрению, приведенными в документации для разработчиков по Play EMM API.
1.4.1. QR-код должен использовать дополнительные параметры инициализации, чтобы передавать на устройство неконфиденциальные данные о регистрации, например идентификаторы серверов и регистрации. Регистрационные данные не должны содержать конфиденциальную информацию, например пароли или сертификаты.
1.4.2. После того как контроллер политики устройств EMM настроит устройство, он должен сразу же открыться и заблокировать экран до завершения инициализации устройства.
1.5. Автоматическая настройка
Это требование заменено требованием 1.6.
1.6. Автоматическая инициализация
Администраторы могут автоматизировать большую часть процесса регистрации устройств, развернув регистрационные данные DPC с помощью автоматической настройки. DPC решения EMM поддерживает ограничение регистрации определенными аккаунтами или доменами в соответствии с параметрами конфигурации, предлагаемыми EMM.
1.6.1. Системные администраторы могут инициализировать корпоративное устройство с помощью автоматической настройки, как описано в руководстве для администраторов.
1.6.2. После настройки устройства контроллер политики предприятия EMM должен сразу же открыться и заблокировать экран до завершения инициализации.
- Это требование не распространяется на устройства, которые используют регистрационные данные автоматической настройки для полной подготовки в фоновом режиме (например, при развертывании специализированных устройств).
1.6.3. Используя регистрационные данные, контроллер политики устройств EMM должен гарантировать, что неавторизованные пользователи не смогут продолжить активацию после вызова контроллера. Как минимум, активация должна быть ограничена пользователями определенного предприятия.
1.6.4. Используя регистрационные данные, контроллер политики устройств EMM должен позволять системным администраторам автоматически заполнять регистрационные данные (например, идентификаторы серверов и регистрации), помимо уникальной информации о пользователе или устройстве (например, имени пользователя, пароля и токена активации), чтобы пользователям не приходилось вводить данные при активации устройства.
- Поставщики услуг по управлению мобильной инфраструктурой предприятия не должны включать в конфигурацию автоматической настройки конфиденциальную информацию, например пароли или сертификаты.
1.7. Подготовка рабочего профиля с помощью аккаунта Google
Это требование удалено и заменено требованием 3.23.
1.8. Подготовка устройства с помощью аккаунта Google
Это требование удалено и заменено требованием 3.23.
1.9. Прямая автоматическая настройка
Системные администраторы могут использовать консоль EMM, чтобы настраивать устройства с автоматической настройкой с помощью окна iframe.
1.10. Рабочие профили на корпоративных устройствах.
EMM-решения могут регистрировать корпоративные устройства с рабочим профилем.
1.10.1. Пустое поле.
1.10.2. Системные администраторы могут задавать действия по обеспечению соответствия для рабочих профилей на корпоративных устройствах.
1.10.3. Администраторы могут отключить камеру в рабочем профиле или на всем устройстве.
1.10.4. Администраторы могут отключить запись экрана в рабочем профиле или на всем устройстве.
1.10.5. Системные администраторы могут составить черный список приложений, которые нельзя устанавливать в личном профиле.
1.10.6. Системные администраторы могут отказаться от управления корпоративным устройством, удалив рабочий профиль или все данные с устройства.
1.11. Подготовка специализированных устройств
Администраторы могут регистрировать специализированные устройства без необходимости аутентификации пользователя в аккаунте Google.
2. Защита устройства
2.1. Контрольная проверка на устройстве
Системные администраторы могут устанавливать и применять проверку безопасности устройства (PIN-код, графический ключ или пароль) из предварительно заданного набора из трех уровней сложности на управляемых устройствах.
2.1.1. Правило должно применять настройки, управляющие проверками безопасности устройства (parentProfilePasswordRequirements для рабочего профиля, passwordRequirements для полностью управляемых и специализированных устройств).
2.1.2. Сложность пароля должна соответствовать следующим требованиям:
- PASSWORD_COMPLEXITY_LOW – графический ключ или PIN-код с повторяющимися (4444) или упорядоченными (1234, 4321, 2468) последовательностями.
- PASSWORD_COMPLEXITY_MEDIUM – PIN-код без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей, буквенный или буквенно-цифровой пароль длиной не менее 4 символов.
- PASSWORD_COMPLEXITY_HIGH – PIN-код без повторяющихся цифр (4444) и их последовательностей (1234, 4321, 2468) длиной не менее 8 символов или буквенный либо буквенно-цифровой пароль длиной не менее 6 символов.
2.1.3. На корпоративных устройствах можно принудительно применять дополнительные ограничения на пароли в качестве устаревших настроек.
2.2. Контрольная проверка в рабочем профиле
Системные администраторы могут настраивать и применять проверку безопасности для приложений и данных в рабочем профиле.Она не зависит от проверки безопасности устройства и имеет другие требования (2.1).
2.2.1. Правило должно требовать контрольную проверку для рабочего профиля. По умолчанию системные администраторы должны устанавливать ограничения только для рабочего профиля. Если область действия не указана, системные администраторы могут установить ограничения для всего устройства, указав область действия (см. требование 2.1).
2.1.2. Сложность пароля должна соответствовать следующим уровням:
- PASSWORD_COMPLEXITY_LOW – графический ключ или PIN-код с повторяющимися (4444) или упорядоченными (1234, 4321, 2468) последовательностями.
- PASSWORD_COMPLEXITY_MEDIUM – PIN-код без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей, буквенный или буквенно-цифровой пароль длиной не менее 4 символов.
- PASSWORD_COMPLEXITY_HIGH – PIN-код без повторяющихся цифр (4444) и их последовательностей (1234, 4321, 2468) длиной не менее 8 символов или буквенный или буквенно-цифровой пароль длиной не менее 6 символов.
2.3. Продвинутые функции управления кодами доступа
2.3.1. Deliberately blank.
2.3.2. Пустое поле.
2.3.3. Для каждого заблокированного экрана на устройстве можно задать следующие настройки жизненного цикла пароля:
- Deliberately blank
- Deliberately blank
- Максимальное количество неверных паролей до удаления данных. Укажите, сколько раз пользователь может ввести неверный пароль, прежде чем корпоративные данные будут удалены с устройства. У системных администраторов должна быть возможность отключить эту функцию.
2.4. Управление умными замками
Администраторы могут управлять тем, каким агентам доверия в функции Smart Lock на Android разрешено разблокировать устройства. Системные администраторы могут отключить определенные способы разблокировки, например надежные устройства Bluetooth, распознавание лица или речи, или полностью отключить эту функцию.
2.4.1. Системные администраторы могут отключать агенты доверия Smart Lock отдельно для каждого заблокированного экрана на устройстве.
2.4.2. Системные администраторы могут выборочно разрешать и настраивать агенты доверия Smart Lock независимо для каждого заблокированного экрана, доступного на устройстве, для следующих агентов доверия: Bluetooth, NFC, места, лицо, физический контакт и голос.
- Администраторы могут изменять доступные параметры конфигурации агента Trust.
2.5. Очистка и блокировка
Администраторы могут использовать консоль EMM, чтобы удаленно блокировать управляемые устройства и стирать с них рабочие данные.
2.5.1. Контроллер политики устройств EMM должен блокировать устройства.
2.5.2. Контроллер политики устройств поставщика услуг по управлению мобильной инфраструктурой предприятия должен очищать устройства.
2.6. Принудительное применение правил.
Если устройство не соответствует правилам безопасности, доступ к рабочим данным автоматически ограничивается.
2.6.1. Как минимум, правила безопасности, применяемые на устройстве, должны включать правила в отношении паролей.
2.7. Правила безопасности по умолчанию
Решения EMM должны применять указанные правила безопасности на устройствах по умолчанию, не требуя от системных администраторов настраивать или изменять какие-либо параметры в консоли EMM. Поставщикам EMM рекомендуется (но не обязательно) не разрешать системным администраторам менять состояние этих функций безопасности по умолчанию.
2.7.1. Контроллер политики устройств EMM должен блокировать установку приложений из неизвестных источников, в том числе приложений, установленных в личном профиле на любом устройстве с Android 8.0 или более поздней версии и рабочим профилем.
2.7.2. Контроллер политик на устройствах EMM должен блокировать функции отладки.
2.8. Правила безопасности для специализированных устройств
Специализированные устройства заблокированы, и на них нельзя выполнять другие действия.
2.8.1. Контроллер политики устройств EMM должен по умолчанию отключать загрузку в безопасном режиме.
2.8.2. При первой загрузке во время инициализации контроллер политики устройств EMM должен быть открыт и закреплен на экране, чтобы исключить любое другое взаимодействие с устройством.
2.8.3. Контроллер политик на устройствах EMM должен быть задан в качестве средства запуска по умолчанию, чтобы разрешенные приложения были закреплены на экране при загрузке в соответствии с определенными рекомендациями по реализации.
2.9. Поддержка Play Integrity
EMM использует Play Integrity API, чтобы убедиться, что устройства являются действительными устройствами Android.
2.9.1. Контроллер политики устройств EMM реализует Play Integrity API во время инициализации.
2.9.2. Контроллер политики устройств EMM будет выполнять проверку Play Integrity каждый раз, когда устройство подключается к серверу EMM. Администратор может настроить частоту таких подключений. Прежде чем обновлять корпоративные правила на устройстве, сервер EMM проверит информацию об APK-файле в ответе на запрос проверки целостности и сам ответ.
2.9.3. Администраторы могут настроить разные правила в зависимости от результатов проверки Play Integrity, например блокировку инициализации, удаление корпоративных данных и разрешение на регистрацию.
- Сервис EMM будет применять это правило к результатам каждой проверки целостности.
2.9.4. Если первоначальная проверка Play Integrity не пройдена или возвращает результат, который не соответствует строгой целостности, и если контроллер политики устройств EMM ещё не вызвал ensureWorkingEnvironment или prepareEnvironment, то он должен сделать это и повторить проверку до завершения инициализации.
2.10. Принудительная проверка приложений
Системные администраторы могут включить проверку приложений на устройствах. Функция "Проверка приложений" сканирует приложения, установленные на устройствах Android, на наличие вредоносного ПО до и после установки, помогая защитить корпоративные данные от вредоносных приложений.
2.10.1. Контроллер политики устройств EMM должен по умолчанию включать проверку приложений.
2.11. Поддержка режима Direct Boot
На устройствах с Android 7.0 и более поздними версиями ОС приложения не могут работать после включения, пока устройство не будет разблокировано. Прямая загрузка гарантирует, что контроллер политики устройств EMM всегда активен и может применять правила, даже если устройство не разблокировано.
2.11.1. Контроллер политики устройств EMM использует зашифрованное хранилище устройства для выполнения критически важных функций управления до того, как будет расшифровано хранилище учетных данных контроллера. Функции управления, доступные в режиме Direct Boot, должны включать (но не ограничиваться):
- Удаление корпоративных данных, в том числе возможность удалять данные защиты после сброса настроек.
2.11.2. Контроллер политики устройств EMM не должен раскрывать корпоративные данные в зашифрованном хранилище устройства.
2.11.3. Поставщики услуг по управлению мобильной инфраструктурой предприятия могут настроить и активировать токен, чтобы на заблокированном экране рабочего профиля появилась кнопка Забыли пароль? Эта кнопка используется для запроса на безопасный сброс пароля рабочего профиля.
2.12. Управление аппаратной защитой
Системные администраторы могут блокировать аппаратные элементы корпоративных устройств, чтобы предотвратить потерю данных.
2.12.1. Системные администраторы могут запретить пользователям подключать физические внешние носители к устройствам.
2.12.2. Системные администраторы могут запретить пользователям передавать данные с устройства с помощью NFC Beam. Эта дополнительная функция необязательна, поскольку функция NFC Beam больше не поддерживается в Android 10 и более поздних версиях.
2.12.3. Системные администраторы могут запретить пользователям передавать файлы по USB со своих устройств.
2.13. Ведение корпоративных журналов безопасности
Системные администраторы могут собирать с устройств данные об использовании, которые можно анализировать и программно оценивать на предмет вредоносного или опасного поведения. В журналах регистрируются действия Android Debug Bridge (adb), запуск приложений и разблокировка экрана.
2.13.1. Администраторы могут включить ведение журналов безопасности для определенных устройств. Контроллер политики устройств EMM должен автоматически получать журналы безопасности и журналы безопасности до перезагрузки.
2.13.2. Системные администраторы могут просматривать журналы безопасности предприятия для определенного устройства и настраиваемого периода времени в консоли EMM.
2.13.3. Администраторы могут экспортировать журналы безопасности из консоли EMM.
3. Управление аккаунтом и приложениями
3.1. Привязка к организации
Системные администраторы могут привязать EMM к своей организации, чтобы распространять приложения на устройства с помощью корпоративного Google Play.
3.1.1. Администратор, у которого есть управляемый домен Google, может привязать его к EMM.
3.1.2. Консоль EMM должна в фоновом режиме создавать и настраивать уникальный сервисный аккаунт предприятия для каждого предприятия.
3.1.3. Отмените регистрацию предприятия с помощью Play EMM API.
3.1.4. В консоли EMM администратору предлагается ввести рабочий адрес электронной почты в процессе регистрации Android и не рекомендуется использовать аккаунт Gmail.
3.1.5. EMM-решение автоматически подставляет адрес электронной почты администратора в форму регистрации Android.
3.2. Подготовка аккаунтов корпоративного Google Play
EMM может в фоновом режиме подготавливать аккаунты пользователей в корпоративном Google Play. Эти аккаунты идентифицируют управляемых пользователей и позволяют задавать уникальные правила распространения приложений для каждого пользователя.
3.2.1. Контроллер политик EMM может в фоновом режиме подготавливать и активировать аккаунт в корпоративном Google Play в соответствии с определенными рекомендациями по реализации. При этом:
- На устройство добавлен корпоративный аккаунт Google Play типа
userAccount. - Корпоративный аккаунт Google Play типа
userAccountдолжен быть сопоставлен с реальными пользователями в консоли EMM в соотношении 1:1.
3.3. Подготовка аккаунтов на устройствах в корпоративном Google Play
Решение EMM может создавать и подготавливать аккаунты на устройствах в корпоративном Google Play. Аккаунты устройств поддерживают автоматическую установку приложений из корпоративного Google Play и не привязаны к одному пользователю. Вместо этого аккаунт устройства используется для идентификации одного устройства, чтобы поддерживать правила распространения приложений для каждого устройства в сценариях со специализированными устройствами.
3.3.1. Контроллер политик EMM может в фоновом режиме подготавливать и активировать аккаунт в корпоративном Google Play в соответствии с определенными рекомендациями по реализации.
При этом на устройство необходимо добавить корпоративный аккаунт Google Play типа deviceAccount.
3.4. Подготовка аккаунтов корпоративного Google Play для устаревших устройств
EMM-решение может в фоновом режиме подготавливать аккаунты корпоративных пользователей, называемые управляемыми аккаунтами Google Play. Эти аккаунты идентифицируют управляемых пользователей и позволяют применять уникальные правила распространения приложений для каждого пользователя.
3.4.1. Контроллер политик EMM может в фоновом режиме подготавливать и активировать аккаунт в корпоративном Google Play в соответствии с определенными рекомендациями по реализации. При этом:
- На устройство добавлен корпоративный аккаунт Google Play типа
userAccount. - Корпоративный аккаунт Google Play типа
userAccountдолжен быть сопоставлен с реальными пользователями в консоли EMM в соотношении 1:1.
3.5. Автоматическая установка приложений
Системные администраторы могут распространять рабочие приложения на устройствах пользователей без их участия.
3.5.1. Чтобы администраторы могли устанавливать рабочие приложения на управляемые устройства, в консоли EMM должен использоваться Play EMM API.
3.5.2. Консоль EMM должна использовать Play EMM API, чтобы администраторы могли обновлять рабочие приложения на управляемых устройствах.
3.5.3. Консоль EMM должна использовать Play EMM API, чтобы администраторы могли удалять приложения на управляемых устройствах.
3.6. Контроль над управляемыми конфигурациями
Администраторы могут просматривать и автоматически задавать управляемые конфигурации для любого приложения, которое их поддерживает.
3.6.1. Консоль EMM должна иметь возможность получать и отображать настройки управляемой конфигурации любого приложения Google Play.
- Поставщики EMM могут вызывать метод
Products.getAppRestrictionsSchema, чтобы получить схему управляемых конфигураций приложения, или встроить фрейм управляемых конфигураций в свою консоль EMM.
3.6.2. Консоль EMM должна позволять системным администраторам задавать любой тип конфигурации (определенный фреймворком Android) для любого приложения Google Play с помощью Play EMM API.
3.6.3. Консоль EMM должна позволять системным администраторам задавать подстановочные знаки (например, $username$ или %emailAddress%), чтобы одну конфигурацию для приложения, например Gmail, можно было применять к нескольким пользователям. Iframe управляемой конфигурации автоматически поддерживает это требование.
3.7. Управление каталогом приложений
Администраторы могут импортировать список приложений, одобренных для организации, из корпоративного Google Play (play.google.com/work).
3.7.1. В консоли EMM можно посмотреть список приложений, одобренных для распространения, в том числе:
- Приложения, купленные в корпоративном Google Play
- Частные приложения, видимые системным администраторам
- Приложения, одобренные автоматически
3.8. Автоматизированное одобрение приложений
Консоль EMM использует окно iframe корпоративного Google Play для поддержки функций поиска и одобрения приложений в Google Play. Системные администраторы могут искать приложения, одобрять их и предоставлять разрешения для приложений, не выходя из консоли EMM.
3.8.1. Системные администраторы могут искать и одобрять приложения в консоли EMM с помощью окна iframe корпоративного Google Play.
3.9. Базовые настройки дизайна магазина
Корпоративный Google Play можно использовать на устройствах для установки и обновления рабочих приложений. По умолчанию используется базовый макет магазина, в котором перечислены приложения, одобренные для организации. Поставщики EMM фильтруют их для каждого пользователя в соответствии с правилами.
3.9.1. Администраторы могут [управлять наборами продуктов, доступными пользователям]/android/work/play/emm-api/samples#grant_a_user_access_to_apps), чтобы разрешить просмотр и установку приложений из корпоративного Google Play в разделе "Главная страница Google Play".
3.10. Расширенные настройки дизайна магазина
Системные администраторы могут настраивать дизайн магазина, который показывается в корпоративном Google Play на устройствах.
3.10.1. Системные администраторы могут выполнять в консоли EMM следующие действия, чтобы настраивать дизайн корпоративного Google Play:
- Создайте до 100 страниц с макетами. У страниц может быть любое количество локализованных названий.
- Для каждой страницы можно создать до 30 кластеров. У кластера может быть любое количество локализованных названий.
- В каждый кластер можно добавить до 100 приложений.
- На каждую страницу можно добавить до 10 быстрых ссылок.
- Укажите порядок сортировки приложений в группе и групп на странице.
3.11. Управление лицензиями приложений
Эта функция больше не поддерживается.
3.12. Управление частными приложениями, размещенными в Google
Системные администраторы могут обновлять частные приложения, размещенные в Google, через консоль EMM, а не через Google Play Console.
3.12.1. Системные администраторы могут загружать новые версии приложений, которые уже опубликованы для частного использования в организации, с помощью:
3.13. Управление частными приложениями, размещенными в организации
Эта функция больше не поддерживается.
3.14. Уведомления EMM, получаемые по запросу
Вместо того чтобы периодически запрашивать у Google Play информацию о прошлых событиях, например об обновлении приложения, которое содержит новые разрешения или управляемые конфигурации, EMM-решения могут получать уведомления о таких событиях в реальном времени. Это позволяет им выполнять автоматические действия и предоставлять администраторам специальные уведомления на основе этих событий.
3.14.1. Для получения наборов уведомлений в EMM-решении должны использоваться уведомления EMM от Google Play.
3.14.2. EMM-решение должно автоматически уведомлять системного администратора (например, по электронной почте) о следующих событиях:
newPermissionEvent– системный администратор должен одобрить новые разрешения для приложения, прежде чем оно будет автоматически установлено или обновлено на устройствах пользователей.appRestrictionsSchemaChangeEvent: чтобы сохранить эффективность, системному администратору может потребоваться обновить управляемую конфигурацию приложения.appUpdateEvent: может быть полезно системным администраторам, которые хотят убедиться, что обновление приложения не повлияет на производительность основных рабочих процессов.productAvailabilityChangeEvent: может повлиять на возможность устанавливать и обновлять приложение.installFailureEvent– Google Play не может автоматически установить приложение на устройство. Возможно, это связано с конфигурацией устройства. После получения этого уведомления EMM-решения не должны сразу же пытаться выполнить автоматическую установку снова, поскольку логика повторных попыток Google Play уже не сработала.
3.14.3. EMM-система автоматически выполняет необходимые действия на основе следующих событий уведомлений:
newDeviceEvent. При подготовке устройства EMM-решения должны дождаться событияnewDeviceEvent, прежде чем выполнять последующие вызовы Play EMM API для нового устройства, включая автоматическую установку приложений и настройку управляемых конфигураций.productApprovalEvent. При получении уведомленияproductApprovalEventEMM-решение должно автоматически обновить список одобренных приложений, импортированных в консоль EMM для распространения на устройства, если есть активный сеанс администратора или если список одобренных приложений не перезагружается автоматически в начале каждого сеанса администратора.
3.15. Требования к использованию API
EMM-решение реализует API Google в масштабе, избегая шаблонов трафика, которые могут негативно повлиять на способность ИТ-администраторов управлять приложениями в рабочих средах.
3.15.1. Поставщик EMM должен соблюдать лимиты на использование Play EMM API. Если вы не исправите нарушения, Google может по своему усмотрению заблокировать вам доступ к API.
3.15.2. EMM-решение должно распределять трафик от разных предприятий в течение дня, а не консолидировать его в определенное или похожее время. Поведение, соответствующее этой схеме трафика, например запланированные пакетные операции для каждого зарегистрированного устройства, может привести к приостановке использования API по усмотрению Google.
3.15.3. EMM-поставщик не должен отправлять повторяющиеся, неполные или намеренно некорректные запросы, которые не направлены на получение корпоративных данных или управление ими. Поведение, соответствующее этой схеме трафика, может привести к приостановке использования API по усмотрению Google.
3.16. Расширенный контроль над управляемыми конфигурациями
3.16.1. Консоль EMM должна иметь возможность получать и отображать настройки управляемой конфигурации (до четырех уровней вложенности) любого приложения Google Play, используя:
- Окно iframe корпоративного Google Play.
- собственный интерфейс.
3.16.2. Консоль EMM должна получать и показывать отзывы, возвращаемые каналом отзывов приложения, если он настроен системным администратором.
- Консоль EMM должна позволять системным администраторам связывать определенный отзыв с устройством и приложением, из которого он был отправлен.
- Консоль EMM должна позволять ИТ-администраторам подписываться на оповещения или отчеты об определенных типах сообщений (например, о сообщениях об ошибках).
3.16.3. Консоль EMM должна отправлять только те значения, которые заданы по умолчанию или вручную администратором, используя:
- iframe управляемых конфигураций;
- Собственный интерфейс.
3.17. Управление веб-приложениями
Администраторы могут создавать и распространять веб-приложения в консоли EMM.
3.17.1. Администраторы могут использовать консоль EMM для распространения ярлыков веб-приложений с помощью:
3.18. Управление жизненным циклом аккаунтов корпоративного Google Play
EMM-решение может создавать, обновлять и удалять корпоративные аккаунты Google Play от имени системных администраторов.
3.18.1. Поставщики услуг по управлению мобильной инфраструктурой предприятия могут управлять жизненным циклом корпоративного аккаунта Google Play в соответствии с рекомендациями по реализации, приведенными в документации для разработчиков Play EMM API.
3.18.2. Решения EMM могут повторно аутентифицировать аккаунты корпоративного Google Play без участия пользователя.
3.19. Управление версиями приложений
3.19.1. Системные администраторы могут получить список идентификаторов отслеживания, заданных разработчиком для определенного приложения.
3.19.2. Администраторы могут настроить устройства так, чтобы на них использовалась определенная версия приложения.
3.20. Расширенное управление обновлением приложений
3.20.1. Администраторы могут разрешить приложениям использовать высокоприоритетные обновления приложений, чтобы они обновлялись, как только обновление будет готово.
3.20.2. Системные администраторы могут разрешить откладывать обновление приложений на 90 дней.
3.21. Управление способами инициализации
EMM может генерировать конфигурации инициализации и предоставлять их системному администратору в форме, готовой для распространения среди конечных пользователей (например, QR-код, автоматическая настройка, URL Google Play).
3.22. Обновить привязку к организации
Администраторы могут изменить тип привязки предприятия на управляемый домен Google, чтобы предоставить организации доступ к сервисам и функциям аккаунта Google на зарегистрированных устройствах.
3.22.1. В консоли EMM администратор может запустить обновление существующего предприятия корпоративного Google Play до предприятия управляемого домена Google с помощью необходимых API.
3.22.2. EMM-поставщики должны использовать Pub/Sub, чтобы получать уведомления о событиях перехода, инициированных администратором (даже если они происходят за пределами консоли EMM), и обновлять интерфейс в соответствии с этими изменениями.
3.23. Подготовка управляемых аккаунтов Google
EMM-решение может подготовить устройство с корпоративными аккаунтами пользователей, которые называются управляемыми аккаунтами Google. Эти аккаунты идентифицируют управляемых пользователей, позволяют настраивать правила распространения приложений и предоставляют доступ к сервисам Google. Администраторы также могут настроить правило, требующее аутентификации управляемого аккаунта Google во время или после регистрации.
3.23.1. Контроллер политики устройств EMM может подготовить корпоративный аккаунт Google в соответствии с определенными рекомендациями по реализации.
При этом:
- На устройство добавлен управляемый аккаунт Google.
- Корпоративный аккаунт Google должен быть сопоставлен с реальным пользователем в консоли EMM.
3.23.2. Администратор может использовать правило, чтобы предоставить пользователям возможность входить в управляемый аккаунт Google для регистрации.
3.23.3. Администратор может использовать правило, чтобы указать, должен ли пользователь войти в управляемый аккаунт Google для завершения регистрации.
3.23.4. Администраторы могут ограничить процесс обновления до определенного идентификатора аккаунта (адреса электронной почты) для заданного устройства.
3.24. Обновление аккаунта корпоративного Google Play
Системные администраторы могут преобразовать аккаунт пользователя в управляемый аккаунт Google, чтобы на зарегистрированных устройствах можно было использовать сервисы и функции аккаунта Google.
3.24.1. Администраторы могут преобразовать существующий корпоративный аккаунт Google Play на устройстве в управляемый аккаунт Google.
3.24.2. Администраторы могут ограничить процесс обновления до определенного идентификатора аккаунта (адреса электронной почты) для заданного устройства.
3.25. Роли в приложении
Специальный контроллер политики устройств не поддерживает эту функцию.
3.26. Перенос и восстановление данных устройства
Системные администраторы могут включить перенос и восстановление данных для полностью управляемых устройств, на которых есть управляемые аккаунты Google и приложение Google Restore. Это предложение платформы для полностью управляемых устройств. Рабочие профили, в том числе COPE и BYOD, не поддерживаются.
3.26.1. В консоли EMM администраторы могут включить сервис резервного копирования, активировав setBackupServiceEnabled, поскольку по умолчанию эта функция отключена на полностью управляемых устройствах.
4. Управление устройствами
4.1. Управление политиками динамических разрешений
Системные администраторы могут без уведомления пользователей задавать стандартный ответ на запросы динамических разрешений от рабочих приложений.
4.1.1. При настройке правил для динамических разрешений по умолчанию в организации у администраторов должен быть выбор из следующих вариантов:
- запрос (пользователи могут выбрать вариант);
- allow
- deny
EMM-решение должно применять эти настройки с помощью контроллера политики устройств.
4.2. Управление статусом предоставления динамических разрешений
После настройки применяемой по умолчанию политики динамических разрешений (см.раздел 4.1) Администраторы могут без уведомления пользователей настраивать ответы на запросы разрешений от рабочих приложений, созданных на основе API 23 или более поздней версии.
4.2.1. Системные администраторы должны иметь возможность задавать статус предоставления (по умолчанию, разрешено или запрещено) для любого запроса разрешений, запрашиваемого любым рабочим приложением, созданным на основе API 23 или более поздней версии. Поставщик EMM должен применить эти настройки с помощью контроллера политики устройств.
4.3. Управление конфигурацией Wi-Fi
Системные администраторы могут автоматически настраивать корпоративные сети Wi-Fi на управляемых устройствах, в том числе:
4.3.1. SSID с помощью контроллера политик на устройствах EMM.
4.3.2. Пароль, используя DPC-контроллер EMM.
4.4. Управление безопасностью Wi-Fi
Администраторы могут настраивать на управляемых устройствах корпоративные сети Wi-Fi, которые включают следующие расширенные функции безопасности:
4.4.1. идентификационной информации с помощью контроллера политики устройств EMM.
4.4.2. Сертификат для авторизации клиентов с помощью DPC EMM.
4.4.3. Сертификаты ЦС с помощью DPC EMM.
4.5. Продвинутые функции управления Wi-Fi
Системные администраторы могут блокировать конфигурации Wi-Fi на управляемых устройствах, чтобы пользователи не могли создавать новые конфигурации или изменять корпоративные.
4.5.1. Системные администраторы могут заблокировать корпоративные конфигурации Wi-Fi одним из следующих способов:
- Пользователи не могут изменять конфигурации Wi-Fi, заданные EMM, но могут добавлять и изменять собственные сети (например, личные).
- Пользователи не могут добавлять или изменять сети Wi-Fi на устройстве. Подключение по Wi-Fi возможно только к сетям, предоставленным EMM.
4.6. Управление аккаунтом
Системные администраторы могут убедиться, что неавторизованные корпоративные аккаунты не могут взаимодействовать с корпоративными данными в таких сервисах, как хранилище SaaS, приложения для эффективной работы и электронная почта. Без этой функции личные аккаунты можно добавлять в корпоративные приложения, которые также поддерживают обычные аккаунты, что позволяет им делиться корпоративными данными с этими личными аккаунтами.
4.6.1. Администраторы могут запретить добавление и изменение аккаунтов.
- При применении этого правила на устройстве поставщики услуг EMM должны установить это ограничение до завершения инициализации, чтобы вы не могли обойти это правило, добавив аккаунты до его вступления в силу.
4.7. Управление аккаунтом Workspace
Эта функция больше не поддерживается. Требования к замене приведены в разделе 3.23.
4.8. Управление сертификатами
Позволяет системным администраторам развертывать сертификаты ЦС и идентификационные сертификаты на устройствах, чтобы обеспечить им доступ к корпоративным ресурсам.
4.8.1. Системные администраторы могут устанавливать сертификаты идентификации пользователей, созданные PKI, для каждого пользователя. Консоль EMM должна быть интегрирована по крайней мере с одной PKI и распространять сертификаты, созданные в этой инфраструктуре.
4.8.2. Системные администраторы могут устанавливать центры сертификации в управляемом хранилище ключей.
4.9. Продвинутые функции управления сертификатами
Позволяет администраторам выбирать сертификаты, которые должны использовать определенные управляемые приложения. Эта функция также позволяет системным администраторам удалять центры сертификации и сертификаты идентификации с активных устройств. Эта функция запрещает пользователям изменять учетные данные, хранящиеся в управляемом хранилище ключей.
4.9.1. Для любого приложения, распространяемого на устройства, администраторы могут указать сертификат, к которому приложению будет автоматически предоставляться доступ во время выполнения.
- Выбор сертификата должен быть достаточно общим, чтобы можно было использовать одну конфигурацию, которая применяется ко всем пользователям, у каждого из которых может быть сертификат идентификации.
4.9.2. Системные администраторы могут удалять сертификаты из управляемого хранилища ключей без уведомления пользователей.
4.9.3. Администраторы могут в фоновом режиме удалять сертификаты ЦС или все несистемные сертификаты ЦС.
4.9.4. Системные администраторы могут запретить пользователям настраивать учетные данные в управляемом хранилище ключей.
4.9.5. Администраторы могут предварительно предоставлять сертификаты для рабочих приложений.
4.10. Делегированное управление сертификатами
Администраторы могут распространять сторонние приложения для управления сертификатами на устройствах и предоставлять этим приложениям привилегированный доступ для установки сертификатов в управляемом хранилище ключей.
4.10.1. Администраторы указывают пакет управления сертификатами, который контроллер политики устройств должен назначить делегированным приложением для управления сертификатами.
- Консоль может предлагать известные пакеты управления сертификатами, но должна позволять системному администратору выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.11. Продвинутые функции управления VPN
Позволяет системным администраторам указать постоянную VPN, чтобы данные из определенных управляемых приложений всегда передавались через настроенную VPN.
4.11.1. Администраторы могут указать произвольный пакет VPN, который будет использоваться в качестве постоянной сети VPN.
- Консоль EMM может предлагать известные пакеты VPN, поддерживающие постоянную сеть VPN, но не может ограничивать доступные для настройки постоянной сети VPN-сервисы произвольным списком.
4.11.2. Администраторы могут использовать управляемые конфигурации, чтобы задавать настройки VPN для приложения.
4.12. Управление IME
Администраторы могут управлять способами ввода, которые можно настраивать на устройствах. Поскольку IME используется как в рабочем, так и в личном профиле, блокировка IME также запретит его использование в личных целях. Однако администраторы не могут блокировать системные редакторы методов ввода в рабочих профилях (подробнее об этом рассказывается в разделе "Расширенное управление редакторами методов ввода").
4.12.1. Системные администраторы могут настроить белый список IME произвольной длины (в том числе пустой, который блокирует все IME, кроме системных). В него можно добавить любые пакеты IME.
- В консоли EMM могут предлагаться известные или рекомендуемые редакторы методов ввода, которые можно добавить в белый список, но у администраторов должна быть возможность выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.12.2. Решение EMM должно информировать системных администраторов о том, что системные редакторы методов ввода исключены из управления на устройствах с рабочими профилями.
4.13. Продвинутые функции управления IME
Администраторы могут управлять способами ввода, которые можно настраивать на устройствах. Расширенное управление IME позволяет администраторам управлять использованием системных IME, которые обычно предоставляются производителем устройства или оператором связи.
4.13.1. Администраторы могут настроить белый список редакторов метода ввода произвольной длины (за исключением пустого списка, который блокирует все редакторы метода ввода, включая системные), который может содержать любые пакеты редакторов метода ввода.
- В консоли EMM могут предлагаться известные или рекомендуемые редакторы методов ввода, которые можно добавить в белый список, но у администраторов должна быть возможность выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.13.2. EMM-поставщики должны запретить администраторам создавать пустые белые списки, так как это заблокирует настройку всех IME, включая системные.
4.13.3. Если в белом списке нет системных IME, поставщик EMM должен убедиться, что сторонние IME автоматически устанавливаются до того, как белый список применяется на устройстве.
4.14. Управление сервисами специальных возможностей
Администраторы могут управлять тем, какие специальные возможности разрешены на устройствах пользователей. Хотя специальные возможности – это мощные инструменты для пользователей с ограниченными возможностями или тех, кто временно не может полноценно взаимодействовать со своим устройством, они могут взаимодействовать с корпоративными данными способами, не соответствующими корпоративной политике. Эта функция позволяет системным администраторам отключать любые несистемные специальные возможности.
4.14.1. Системные администраторы могут настроить белый список специальных возможностей любой длины (в том числе пустой, который блокирует все специальные возможности, кроме системных). В него можно добавить любой пакет специальных возможностей. Если правило применяется к рабочему профилю, оно влияет и на личный, и на рабочий профиль.
- Консоль может предлагать известные или рекомендуемые специальные возможности для добавления в белый список, но должна позволять системным администраторам выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.15. Управление передачей геоданных
Системные администраторы могут запретить пользователям передавать данные о местоположении приложениям в рабочем профиле. В противном случае настройки геолокации для рабочих профилей можно настроить в разделе "Настройки".
4.15.1. Системные администраторы могут отключить геолокацию в рабочем профиле.
4.16. Продвинутые функции управления передачей геоданных
Системные администраторы могут принудительно задавать настройки передачи геоданных на управляемых устройствах. Эта функция позволяет обеспечить корпоративным приложениям постоянный доступ к точным данным о местоположении. Эта функция также позволяет экономить заряд батареи, ограничивая настройки геолокации режимом энергосбережения.
4.16.1. Системные администраторы могут настроить сервисы геолокации на устройстве, выбрав один из следующих режимов:
- По всем источникам.
- Только датчики, например GPS, но не местоположение, определяемое по сети.
- Экономия заряда батареи. В этом режиме частота обновлений ограничена.
- Выкл.
4.17. Управление защитой после сброса настроек
Позволяет системным администраторам защищать принадлежащие компании устройства от кражи, не давая неавторизованным пользователям сбрасывать настройки. Если защита после сброса настроек усложняет работу администраторов, когда устройства возвращаются в ИТ-отдел, ее можно полностью отключить.
4.17.1. Системные администраторы могут запретить пользователям сбрасывать настройки устройства в разделе "Настройки".
4.17.2. Системные администраторы могут указать корпоративные аккаунты, которые можно использовать для разблокировки устройств после сброса настроек.
- Этот аккаунт может быть привязан к отдельному пользователю или использоваться всей организацией для разблокировки устройств.
4.17.3. Системные администраторы могут отключать защиту после сброса настроек для определенных устройств.
4.17.4. Системные администраторы могут удаленно стереть данные с устройства, в том числе данные защиты после сброса настроек, чтобы отключить эту функцию на сброшенном устройстве.
4.18. Расширенные настройки приложений
Администраторы могут запретить пользователям удалять или изменять управляемые приложения через настройки, например принудительно закрывать приложение или очищать его кеш.
4.18.1. Администраторы могут запретить удаление любых управляемых приложений или всех управляемых приложений.
4.18.2. Системные администраторы могут запретить пользователям изменять данные приложений в настройках.
4.19. Управление записью экрана
Администраторы могут запретить пользователям делать скриншоты при работе с управляемыми приложениями. В частности, блокируются приложения для демонстрации экрана и другие приложения, которые используют системные функции создания скриншотов (например, Google Ассистент).
4.19.1. Системные администраторы могут запретить пользователям делать скриншоты.
4.20. Отключение камер
Системные администраторы могут запретить управляемым приложениям использовать камеры устройств.
4.20.1. Системные администраторы могут запретить управляемым приложениям использовать камеры устройств.
4.21. Сбор статистики сети
Системные администраторы могут запрашивать статистику использования сети из рабочего профиля устройства. Собранная статистика отражает данные об использовании, которые показываются пользователям в разделе Использование данных в настройках. Собранная статистика относится к использованию приложений в рабочем профиле.
4.21.1. Системные администраторы могут запрашивать сводную статистику сети для рабочего профиля на определенном устройстве за заданный период времени и просматривать эти данные в консоли EMM.
4.21.2. Системные администраторы могут запрашивать сводку по статистике использования сети приложением в рабочем профиле для определенного устройства и настраиваемого периода времени, а также просматривать эти сведения, упорядоченные по UID, в консоли EMM.
4.21.3. Системные администраторы могут запрашивать статистику использования сети рабочим профилем для определенного устройства и настраиваемого периода времени, а также просматривать эти данные, упорядоченные по UID, в консоли EMM.
4.22. Продвинутый сбор статистики сети
Системные администраторы могут запрашивать статистику использования сети для всего управляемого устройства. Собранная статистика отражает данные об использовании, которые показываются пользователям в разделе Использование данных в настройках. Собранная статистика относится к использованию приложений на устройстве.
4.22.1. Системные администраторы могут запрашивать сводку статистики сети для всего устройства за определенный период времени и просматривать эти данные в консоли EMM.
4.22.2. Системные администраторы могут запрашивать сводку статистики использования сети приложениями для определенного устройства и настраиваемого временного окна, а также просматривать эти сведения, упорядоченные по UID, в консоли EMM.
4.22.3. Администраторы могут запрашивать статистику использования сети для определенного устройства и настраиваемого периода времени, а также просматривать эти данные, упорядоченные по UID, в консоли EMM.
4.23. Перезагрузка устройства
Системные администраторы могут удаленно перезапускать управляемые устройства.
4.23.1. Системные администраторы могут удаленно перезагружать управляемые устройства.
4.24. Управление системным приемопередатчиком
Позволяет администраторам гибко управлять сетевыми радиомодулями и связанными с ними правилами использования.
4.24.1. Администраторы могут отключить оповещения населения, отправляемые поставщиками услуг, например оповещения AMBER.
4.24.2. Системные администраторы могут запретить пользователям изменять настройки мобильной сети в разделе "Настройки".
4.24.3. Системные администраторы могут запретить пользователям сбрасывать настройки сети в приложении "Настройки".
4.24.4. Системные администраторы могут разрешать или запрещать мобильный интернет в роуминге.
4.24.5. Системные администраторы могут разрешить или запретить исходящие вызовы, кроме экстренных вызовов.
4.24.6. Администраторы могут настроить отправку и получение текстовых сообщений на устройстве.
4.24.7. Администраторы могут запретить пользователям использовать устройство в качестве портативной точки доступа в режиме модема.
4.24.8. Администраторы могут задать время ожидания Wi-Fi: по умолчанию, только при подключении к сети или никогда.
4.24.9. Системные администраторы могут запретить пользователям настраивать или изменять существующие подключения Bluetooth.
4.25. Управление системным аудио
Системные администраторы могут управлять аудиофункциями устройства, в том числе отключать звук, запрещать пользователям изменять настройки громкости и включать микрофон.
4.25.1. Системные администраторы могут отключать звук на управляемых устройствах.
4.25.2. Системные администраторы могут запретить пользователям изменять настройки громкости на устройствах.
4.25.3. Системные администраторы могут запретить пользователям включать микрофон устройства.
4.26. Управление системными часами
Системные администраторы могут управлять настройками часов и часового пояса на устройствах и запрещать пользователям изменять автоматические настройки устройств.
4.26.1. Системные администраторы могут принудительно включить автоматическую настройку времени, чтобы пользователи не могли вручную задавать дату и время на устройстве.
4.26.2. Администраторы могут включать и отключать автоматическую настройку времени и автоматическую настройку часового пояса.
4.27. Продвинутые функции специализированных устройств
Позволяет системным администраторам управлять более детализированными функциями специализированных устройств для поддержки различных сценариев использования киосков.
4.27.1. Системные администраторы могут отключать блокировку экрана.
4.27.2. Системные администраторы могут отключать строку состояния устройства, блокируя уведомления и быстрые настройки.
4.27.3. Системные администраторы могут настроить постоянную работу экрана, когда устройство подключено к сети.
4.27.4. Системные администраторы могут запретить показ следующих элементов интерфейса:
- Тосты
- Оверлеи приложений.
4.27.5. Системные администраторы могут разрешить системную рекомендацию для приложений, чтобы пропускать руководства и другие вводные подсказки при первом запуске.
4.28. Управление делегированными областями действия
Администраторы могут делегировать дополнительные права отдельным пакетам.
4.28.1. Администраторы могут управлять следующими областями действия:
- Установка сертификатов и управление ими
- Deliberately blank
- Ведение сетевого журнала
- Журнал безопасности (не поддерживается для рабочих профилей на личных устройствах).
4.29. Поддержка идентификаторов, привязанных к регистрации
Начиная с Android 12 у рабочих профилей больше не будет доступа к аппаратным идентификаторам. Системные администраторы могут отслеживать жизненный цикл устройства с рабочим профилем по идентификатору регистрации, который сохраняется даже после сброса настроек.
4.29.1. Администраторы могут задавать и получать идентификатор, связанный с регистрацией.
4.29.2. Этот идентификатор, привязанный к регистрации, должен сохраняться после сброса настроек.
4.30. Правила для менеджеров учетных данных
Администраторы могут разрешать или запрещать использование менеджеров учетных данных с помощью правил.
4.30.1. Системные администраторы могут заблокировать все менеджеры учетных данных на устройстве или в рабочем профиле.
4.30.2. Намеренно оставлено пустым.
4.30.3. Системные администраторы могут указать список названий пакетов, которым разрешено предлагать функции менеджера учетных данных.
4.31. Базовое управление eSIM
Позволяет системным администраторам настраивать профиль eSIM на устройстве и управлять его жизненным циклом.
4.31.1. Системные администраторы могут автоматически настраивать профиль eSIM на устройстве.
4.31.2. Системные администраторы могут удалять управляемые eSIM с устройства.
4.31.3. Системные администраторы могут запретить пользователям изменять настройки мобильной сети в разделе "Настройки" (mobileNetworksConfigDisabled).
4.31.4. Когда системный администратор выполняет удаленную очистку устройства или рабочего профиля, он может также удалить управляемые eSIM с устройства. По умолчанию управляемые eSIM удаляются из рабочих профилей на личных устройствах, но сохраняются на корпоративных.
4.31.5. (НЕОБЯЗАТЕЛЬНО) Системные администраторы могут получить идентификатор EID (встроенный идентификационный документ) устройства с помощью консоли EMM (или аналогичного метода) и экспортировать эти значения.
5. Удобство использования устройства
5.1. Настройка управляемой инициализации
Администраторы могут изменить стандартный процесс настройки UX, добавив в него функции, необходимые для организации. При необходимости системные администраторы могут настроить показ фирменного оформления, предоставленного EMM-поставщиком, во время инициализации.
5.1.1. Администраторы могут настроить процесс инициализации, указав следующие сведения о компании: цвет, логотип, условия использования и другие заявления об отказе от обязательств.
5.1.2. Администраторы могут развернуть ненастраиваемую персонализацию, которая включает следующие сведения: цвет EMM, логотип EMM, Условия использования EMM и другие заявления об отказе от обязательств.
5.1.3. Метод [primaryColor] устарел для ресурса enterprise на устройствах с Android 10 и более поздними версиями.
- Поставщики EMM должны включить Условия использования и другие заявления об отказе от обязательств в пакет заявлений об отказе от обязательств при инициализации системы, даже если они не используют собственные настройки.
- Поставщики EMM могут задать свои собственные настройки, которые нельзя изменить, в качестве настроек по умолчанию для всех развертываний, но они должны разрешить системным администраторам задавать собственные настройки.
5.2. Настройка для организаций
Системные администраторы могут настраивать фирменное оформление в интерфейсе рабочих профилей. Например, системный администратор может установить логотип компании в качестве значка пользователя в рабочем профиле. Ещё один пример – настройка цвета фона для рабочей задачи.
5.2.1. Системные администраторы могут задать цвет организации, который будет использоваться в качестве фона для запроса на доступ к рабочему профилю.
5.2.2. Системные администраторы могут задавать отображаемое название рабочего профиля.
5.2.3. Системные администраторы могут задать значок пользователя для рабочего профиля.
5.2.4. Системные администраторы могут запретить пользователям изменять значок пользователя рабочего профиля.
5.3. Продвинутая настройка для организаций
Системные администраторы могут настраивать фирменное оформление на управляемых устройствах. Например, системные администраторы могут установить в качестве значка основного пользователя логотип компании или задать обои устройства.
5.3.1. Системные администраторы могут задавать отображаемое название для управляемого устройства.
5.3.2. Администраторы могут задать значок пользователя для управляемого устройства.
5.3.3. Системные администраторы могут запретить пользователям изменять значок пользователя на устройстве.
5.3.4. Системные администраторы могут устанавливать обои на устройствах.
5.3.5. Системные администраторы могут запретить пользователям менять обои на устройстве.
5.4. Сообщения на заблокированном экране
Администраторы могут задать специальное сообщение, которое будет всегда показываться на заблокированном экране устройства. Чтобы его прочитать, разблокировать устройство не нужно.
5.4.1. Системные администраторы могут настроить специальное сообщение на заблокированном экране.
5.5. Управление прозрачностью правил
Администраторы могут настраивать текст справки, который показывается пользователям при изменении управляемых настроек на устройстве, или развертывать стандартное сообщение службы поддержки, предоставляемое EMM. Вы можете настроить как короткое, так и длинное сообщение. Например, если пользователь попытается удалить управляемое приложение, для которого системный администратор заблокировал удаление.
5.5.1. Администраторы могут настраивать как короткие, так и длинные сообщения.
5.5.2. Администраторы могут развертывать ненастраиваемые краткие и подробные сообщения службы поддержки, относящиеся к EMM.
- Поставщик EMM может задать собственные сообщения службы поддержки, которые нельзя настроить, в качестве сообщений по умолчанию для всех развертываний, но должен разрешить ИТ-администраторам настраивать собственные сообщения.
5.6. Управление контактами в разных профилях
Администраторы могут контролировать, какие контактные данные можно переносить из рабочего профиля. Приложения для звонков и обмена сообщениями (SMS) должны работать в личном профиле и иметь доступ к контактным данным рабочего профиля, чтобы обеспечивать эффективное взаимодействие с рабочими контактами. Однако администраторы могут отключить эти функции для защиты рабочих данных.
5.6.1. Системные администраторы могут отключить поиск контактов в разных профилях для личных приложений, которые используют системного поставщика контактов.
5.6.2. Системные администраторы могут отключить поиск по идентификатору вызывающего абонента между профилями для личных приложений для звонков, которые используют системного поставщика контактов.
5.6.3. Системные администраторы могут запретить передачу контактов на устройства Bluetooth, которые используют системного поставщика контактов, например на гарнитуры или автомобильные системы громкой связи.
5.7. Управление данными в разных профилях
Системные администраторы могут управлять тем, какие данные могут покидать рабочий профиль, помимо стандартных функций безопасности рабочего профиля. С помощью этой функции системные администраторы могут разрешить определенные типы передачи данных между профилями, чтобы повысить удобство использования в ключевых сценариях. Системные администраторы могут дополнительно защитить корпоративные данные, заблокировав определенные функции.
5.7.1. Системные администраторы могут настроить фильтры интентов между профилями, чтобы личные приложения могли обрабатывать интенты из рабочего профиля, например интенты для обмена данными или веб-ссылки.
- В консоли могут предлагаться известные или рекомендуемые фильтры интентов, но их нельзя ограничить произвольным списком.
5.7.2. Системные администраторы могут разрешить управляемым приложениям показывать виджеты на главном экране.
- В консоли EMM у администраторов должна быть возможность выбирать приложения из списка доступных для установки.
5.7.3. Системные администраторы могут запретить копирование и вставку данных между рабочим и личным профилями.
5.7.4. Системные администраторы могут запретить пользователям передавать данные из рабочего профиля с помощью NFC.
5.7.5. Системные администраторы могут разрешить личным приложениям открывать веб-ссылки из рабочего профиля.
5.8. Правила в отношении обновления системы
Администраторы могут настраивать и применять беспроводные обновления системы на устройствах.
5.8.1. В консоли EMM системные администраторы могут задать следующие настройки OTA:
- Автоматически. Устройства устанавливают беспроводные обновления по мере их появления.
- Откладывание. Системные администраторы должны иметь возможность отложить беспроводное обновление на срок до 30 дней. Это правило не влияет на обновления системы безопасности (например, ежемесячные исправления уязвимости).
- Обновление в определенное время. Системные администраторы должны иметь возможность планировать беспроводные обновления в рамках ежедневного перерыва на техническое обслуживание.
5.8.2. Контроллер политики устройств EMM применяет конфигурации OTA к устройствам.
5.9. Управление режимом блокировки задач
Системные администраторы могут закрепить одно или несколько приложений на экране и запретить пользователям выходить из них.
5.9.1. Консоль EMM позволяет администраторам разрешать установку и закрепление на устройстве произвольного набора приложений. Контроллер политики устройств EMM поддерживает режим специализированного устройства.
5.10. Управление приоритетными действиями
Позволяет системным администраторам назначать приложение обработчиком по умолчанию для интентов, соответствующих определенному фильтру интентов. Например, администраторы могут выбрать, в каком браузере будут автоматически открываться ссылки или какое приложение будет запускаться при нажатии кнопки главного экрана.
5.10.1. Администраторы могут установить любой пакет в качестве обработчика намерений по умолчанию для любого фильтра намерений.
- Консоль EMM может предлагать известные или рекомендуемые намерения для настройки, но не может ограничивать намерения произвольным списком.
- В консоли EMM у администраторов должна быть возможность выбирать приложения из списка доступных для установки.
5.11. Управление функциями блокировки клавиатуры
Администраторы могут управлять функциями, доступными пользователям до разблокировки заблокированного экрана устройства и заблокированного экрана рабочего профиля.
5.11.1. Контроллер политики устройств поставщика EMM может отключать следующие функции блокировки клавиатуры:
- агенты доверия
- разблокировка с помощью отпечатка пальца
- уведомления с конфиденциальной информацией
5.11.2. Контроллер политики устройств EMM может отключить следующие функции блокировки экрана в рабочем профиле:
- агенты доверия
- Разблокировка по отпечатку пальца
5.12. Продвинутое управление функциями блокировки клавиатуры
Системные администраторы могут управлять расширенными функциями заблокированного экрана на корпоративных устройствах.
5.12.1. Администраторы могут отключить следующие функции блокировки экрана:
- Безопасная камера
- Все уведомления
- Неотредактированные уведомления
- Агенты доверия
- Разблокировка по отпечатку пальца
- Все функции блокировки экрана
5.13. Удаленная отладка
Системные администраторы могут получать ресурсы для отладки с устройств без дополнительных действий.
5.13.1. Системные администраторы могут удаленно запрашивать отчеты об ошибках, а также просматривать и скачивать их в консоли EMM.
5.14. Получение MAC-адресов
EMM-решения могут получать MAC-адрес устройства в фоновом режиме. MAC-адрес можно использовать для идентификации устройств в других частях корпоративной инфраструктуры (например, при идентификации устройств для контроля доступа к сети).
5.14.1. EMM может незаметно получить MAC-адрес устройства и связать его с устройством в консоли EMM.
5.15. Расширенные настройки режима блокировки задач
Если устройство настроено как специализированное устройство, ИТ-администраторы могут использовать консоль EMM для выполнения следующих задач:
5.15.1. Разрешить блокировку устройства одним приложением без уведомления пользователя с помощью контроллера политик EMM.
5.15.2. Включите или отключите следующие функции системного интерфейса с помощью DPC-контроллера EMM:
- Кнопка главного экрана
- Обзор
- Общие действия
- Уведомления
- Информация о системе/строка состояния
- Заблокированный экран
5.15.3. Отключите диалоговые окна системных ошибок с помощью DPC-контроллера EMM.
5.16. Расширенные правила в отношении обновления системы
Администраторы могут заблокировать обновление системы на устройстве на определенный период.
5.16.1. Контроллер политики устройств EMM может применять беспроводные обновления системы на устройствах в течение указанного периода без обновлений.
5.17. Управление прозрачностью правил для рабочего профиля
Системные администраторы могут настраивать сообщение, которое показывается пользователям при удалении рабочего профиля с устройства.
5.17.1. Администраторы могут задать текст, который будет показываться при удалении рабочего профиля.
5.18. Поддержка подключенных приложений
Системные администраторы могут задать список пакетов, которые могут обмениваться данными за пределами рабочего профиля.
5.19. Обновление системы вручную
Администраторы могут вручную установить обновление системы, указав путь.
6. Прекращение поддержки Device Admin
Этот раздел удален.
7. Использование API
7.1. Стандартный контроллер политик для новых привязок
По умолчанию для управления устройствами с новыми привязками должно использоваться приложение Android Device Policy. В некоторых EMM-решениях есть возможность управлять устройствами с помощью собственного контроллера политики устройств. Эта функция может находиться в разделе "Дополнительно" или аналогичном. Новым клиентам не должен предлагаться произвольный выбор между стеками технологий во время регистрации или настройки.
7.2. Стандартный контроллер политик для новых устройств
По умолчанию для управления всеми новыми зарегистрированными устройствами, как с существующими, так и с новыми привязками, должно использоваться приложение Android Device Policy. Поставщики EMM могут предоставлять возможность управлять устройствами с помощью собственного DPC в разделе настроек "Дополнительно" или аналогичном.