Mendaftarkan dan menyediakan perangkat

Penyediaan adalah proses menyiapkan perangkat untuk dikelola melalui policies oleh enterprise. Selama proses ini, perangkat menginstal Android Device Policy, yang digunakan untuk menerima dan menerapkan policies. Jika penyediaan berhasil, API akan membuat objek devices, yang mengikat perangkat ke perusahaan.

Android Management API menggunakan token pendaftaran untuk memicu proses penyediaan. Token pendaftaran dan metode penyediaan yang Anda gunakan menetapkan kepemilikan perangkat (milik pribadi atau milik perusahaan) dan mode pengelolaan (profil kerja atau perangkat terkelola sepenuhnya).

Perangkat milik pribadi

Android 5.1 dan yang lebih baru

Perangkat milik karyawan dapat disiapkan dengan profil kerja. Profil kerja menyediakan ruang mandiri untuk aplikasi dan data kerja, yang terpisah dari aplikasi dan data pribadi. Sebagian besar policies aplikasi, data, dan pengelolaan lainnya hanya berlaku untuk profil kerja, sedangkan aplikasi dan data pribadi karyawan tetap bersifat pribadi.

Untuk menyiapkan profil kerja di perangkat milik pribadi, buat token pendaftaran (pastikan allowPersonalUsage ditetapkan ke PERSONAL_USAGE_ALLOWED) dan gunakan salah satu metode penyediaan berikut:

• Menambahkan profil kerja dari "Setelan"
• Mendownload Android Device Policy
• Link token pendaftaran
• URL login

Perangkat milik perusahaan untuk penggunaan di kantor dan pribadi

Android 8+

Menyiapkan perangkat milik perusahaan dengan profil kerja memungkinkan perangkat untuk penggunaan kerja dan pribadi. Di perangkat milik perusahaan dengan profil kerja:

• Sebagian besar policies aplikasi, data, dan pengelolaan lainnya berlaku hanya untuk profil kerja.
• Profil pribadi karyawan tetap bersifat pribadi. Namun, perusahaan dapat menerapkan kebijakan tingkat perangkat dan kebijakan penggunaan pribadi tertentu.
• Perusahaan dapat menggunakan blockScope untuk menerapkan tindakan kepatuhan di seluruh perangkat atau hanya profil kerjanya.
• devices.delete dan perintah perangkat berlaku ke seluruh perangkat.

Untuk menyiapkan perangkat milik perusahaan dengan profil kerja, buat token pendaftaran (pastikan allowPersonalUsage ditetapkan ke PERSONAL_USAGE_ALLOWED) dan gunakan salah satu metode penyediaan berikut:

• Pendaftaran zero-touch
• Kode QR
• URL login
• ID DPC

Catatan: Metode ID DPC hanya mendukung penyediaan pengelolaan perangkat lengkap dan tidak dapat digunakan untuk penyediaan milik perusahaan dengan dukungan pribadi (COPE) di perangkat Android 11 dan yang lebih baru.

Perangkat milik perusahaan hanya untuk penggunaan kerja

Android 5.1 dan yang lebih baru

Pengelolaan perangkat penuh sesuai untuk perangkat milik perusahaan yang ditujukan secara khusus untuk tujuan kerja. Perusahaan dapat mengelola semua aplikasi di perangkat dan dapat menerapkan seluruh kebijakan dan perintah Android Management API.

Anda juga dapat mengunci perangkat (melalui kebijakan) ke satu aplikasi atau kumpulan kecil aplikasi untuk memenuhi tujuan atau kasus penggunaan khusus. Subset perangkat yang terkelola sepenuhnya ini disebut sebagai perangkat khusus.

Untuk menyiapkan pengelolaan penuh di perangkat milik perusahaan, buat token pendaftaran (pastikan allowPersonalUsage ditetapkan ke PERSONAL_USAGE_DISALLOWED) dan gunakan salah satu metode penyediaan berikut:

• Pendaftaran zero-touch
• Kode QR
• URL login (tidak cocok untuk perangkat khusus)
• NFC
• ID DPC

Kebijakan dapat memengaruhi pembuatan UI selama penyediaan perangkat. Kebijakan tersebut berupa:

• PasswordPolicyScope: Opsi ini menentukan persyaratan sandi.
• PermittedInputMethods: Opsi ini menentukan metode input paket.
• PermittedAccessibilityServices: Opsi ini menentukan layanan aksesibilitas yang diizinkan untuk perangkat dan profil kerja terkelola sepenuhnya.
• SetupActions: Opsi ini menentukan tindakan yang dijalankan selama penyiapan.
• ApplicationsPolicy: Opsi ini menentukan kebijakan untuk setiap aplikasi.

Jika Anda ingin langkah-langkah sandi ditampilkan bersama penginstalan aplikasi kerja dan kartu pendaftaran perangkat selama penyediaan perangkat, sebaiknya perbarui kebijakan Anda untuk menunda inisiasi pembuatan UI dengan menjaga perangkat dalam status karantina, yang terjadi jika didaftarkan tanpa kebijakan terkait, hingga menentukan kebijakan akhir yang diinginkan untuk penyiapan perangkat yang diisi dengan item yang relevan dengan kebutuhan penyiapan Anda. Setelah penyediaan perangkat selesai, Anda dapat mengubah kebijakan sesuai kebutuhan.

---

Membuat token pendaftaran

Catatan: Jika menyediakan perangkat dari URL login, Anda perlu membuat token pendaftaran dengan cara yang berbeda. Lihat URL login untuk mengetahui detailnya.

Gambar 1. Buat token yang mendaftarkan dan menerapkan "policy1" ke perangkat. Setelah 1800 detik (30 menit), masa berlaku token akan berakhir.

Anda memerlukan token pendaftaran untuk setiap perangkat yang ingin didaftarkan (Anda dapat menggunakan token yang sama untuk beberapa perangkat). Untuk meminta token pendaftaran, panggil enterprises.enrollmentTokens.create. Secara default, token pendaftaran habis masa berlakunya setelah satu jam,tetapi Anda dapat menentukan waktu habis masa berlaku kustom (duration) hingga sekitar 10.000 tahun.

Permintaan yang berhasil akan menampilkan objek enrollmentToken yang berisi enrollmentTokenId dan qrcode, yang dapat digunakan oleh admin IT dan pengguna akhir untuk menyediakan perangkat.

Menentukan kebijakan

Anda mungkin juga ingin menentukan policyName dalam permintaan untuk menerapkan kebijakan pada saat perangkat didaftarkan. Jika Anda tidak menentukan policyName, lihat Mendaftarkan perangkat tanpa kebijakan.

Menentukan pengguna

Resource enrollmentTokens menyertakan kolom userAccountIdentifier. Jika Anda tidak menentukan userAccountIdentifier, API akan otomatis membuat akun unik baru setiap kali perangkat didaftarkan dengan token pendaftaran.

Jika Anda menentukan userAccountIdentifier yang belum diaktifkan di perangkat, API akan secara otomatis membuat akun untuk ID tersebut saat perangkat didaftarkan dengan token pendaftaran.

Jika Anda menentukan userAccountIdentifier yang sebelumnya diaktifkan di perangkat lain, API akan menggunakan kembali pengguna yang ada dan mengaktifkannya di setiap perangkat yang didaftarkan dengan token pendaftaran. Praktik terbaik: Akun tidak boleh diaktifkan lebih dari 10 perangkat.

Menentukan penggunaan pribadi

allowPersonalUsage menentukan apakah profil kerja dapat ditambahkan ke perangkat selama penyediaan. Tetapkan ke PERSONAL_USAGE_ALLOWED untuk mengizinkan pengguna membuat profil kerja (wajib untuk perangkat milik pribadi, opsional untuk perangkat milik perusahaan).

---

Tentang kode QR

Kode QR berfungsi sebagai metode penyediaan perangkat yang efisien untuk perusahaan yang mengelola banyak kebijakan yang berbeda. Kode QR yang ditampilkan dari enterprises.enrollmentTokens.create terdiri dari payload key-value pair yang berisi token pendaftaran dan semua informasi yang diperlukan oleh Android Device Policy untuk menyediakan perangkat.

Contoh paket kode QR

Catatan: Saat menempelkan string qrCode, pastikan untuk menghapus semua karakter escape '\'.

Paket ini mencakup lokasi download Android Device Policy dan token pendaftaran.

{
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
        "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
    }
}

Anda dapat langsung menggunakan kode QR yang ditampilkan dari enterprises.enrollmentTokens.create atau menyesuaikannya. Untuk daftar lengkap properti yang dapat Anda sertakan dalam paket kode QR, lihat Membuat kode QR.

Untuk mengonversi string qrcode menjadi kode QR yang dapat dipindai, gunakan generator kode QR seperti ZXing.

---

Metode penyediaan

Bagian ini menjelaskan berbagai metode untuk menyediakan perangkat.

Menambahkan profil kerja dari "Setelan"

Android 5.1 dan yang lebih baru

Catatan: Metode ini mengharuskan Layanan Google Play diupdate. Jika perangkat baru saja direset, pengguna mungkin perlu mengupdate Layanan Play sebelum mencoba menambahkan profil kerja.

Untuk menyiapkan profil kerja di perangkatnya, pengguna dapat:

1. Buka Setelan > Google > Siapkan & pulihkan.
2. Ketuk Siapkan profil kerja Anda.

Langkah-langkah ini akan memulai wizard penyiapan yang mendownload Android Device Policy di perangkat. Selanjutnya, pengguna akan diminta untuk memindai kode QR atau memasukkan token pendaftaran secara manual untuk menyelesaikan penyiapan profil kerja.

Mendownload Android Device Policy

Android 5.1 dan yang lebih baru

Untuk menyiapkan profil kerja di perangkatnya, pengguna dapat mendownload Android Device Policy dari Google Play Store. Setelah aplikasi diinstal, pengguna akan diminta untuk memasukkan kode QR atau memasukkan token pendaftaran secara manual untuk menyelesaikan penyiapan profil kerja.

Link token pendaftaran

Android 5.1 dan yang lebih baru

Catatan: Metode ini mengharuskan Layanan Google Play diupdate. Jika perangkat baru saja direset, pengguna mungkin perlu mengupdate Layanan Play sebelum mencoba menambahkan profil kerja.

Dengan menggunakan token pendaftaran yang ditampilkan dari enrollmentTokens.create atau signinEnrollmentToken perusahaan (lihat URL Login di bawah), buat URL dengan format berikut:

https://enterprise.google.com/android/enroll?et=<enrollmentToken>

Anda dapat memberikan URL ini kepada admin IT, yang dapat memberikannya kepada pengguna akhir. Saat pengguna akhir membuka link dari perangkatnya, mereka akan dipandu untuk melakukan penyiapan profil kerja.

URL login

Dengan metode ini, pengguna akan diberi URL yang meminta kredensial mereka. Berdasarkan kredensialnya, Anda dapat menghitung kebijakan yang sesuai untuk pengguna sebelum melanjutkan penyediaan perangkat. Contoh:

1. Tentukan URL login Anda di enterprises.signInDetails[]. Tetapkan allowPersonalUsage ke PERSONAL_USAGE_ALLOWED jika Anda ingin mengizinkan pengguna membuat profil kerja (wajib untuk perangkat milik pribadi, opsional untuk perangkat milik perusahaan).

   Tambahkan signinEnrollmentToken yang dihasilkan sebagai tambahan penyediaan ke kode QR, payload NFC, atau Konfigurasi zero-touch. Atau, Anda dapat memberikan signinEnrollmentToken kepada pengguna secara langsung.

2. Pilih salah satu opsi:

   1. Perangkat milik perusahaan: Setelah mengaktifkan perangkat baru atau yang direset ke setelan pabrik, teruskan signinEnrollmentToken ke perangkat (melalui kode QR, NFC bump, dll.) atau minta pengguna untuk memasukkan token secara manual. Perangkat akan membuka URL login yang ditentukan pada Langkah 1.
   2. Perangkat milik pribadi: Minta pengguna menambahkan profil kerja dari "Setelan". Saat diminta, pengguna memindai kode QR yang berisi signinEnrollmentToken atau memasukkan token secara manual. Perangkat akan membuka URL login yang ditentukan pada Langkah 1.
   3. Perangkat milik pribadi: Memberi pengguna link token pendaftaran kepada pengguna, dengan token pendaftarannya adalah signinEnrollmentToken. Perangkat akan membuka URL login yang ditentukan pada Langkah 1.

3. URL login Anda harus meminta pengguna memasukkan kredensial mereka. Berdasarkan identitas mereka, Anda dapat menentukan kebijakan yang sesuai.

   Praktik terbaik: Gunakan penyedia SSO organisasi untuk mengautentikasi kredensial yang dimasukkan pengguna di URL login (atau pengalihan berikutnya). URL login dibuka di Tab Khusus Chrome, dan SSO pengguna disimpan untuk login aplikasi berikutnya menggunakan App Auth.

4. Panggil enrollmentTokens.create, dengan menentukan policyId yang sesuai berdasarkan kredensial pengguna.

5. Tampilkan token pendaftaran yang dibuat pada Langkah 4 melalui pengalihan URL, dalam format https://enterprise.google.com/android/enroll?et=<token>.

   Catatan: Jika pengguna tidak diizinkan untuk menyelesaikan proses penyediaan, Anda dapat menampilkan layar error khusus dan mengalihkan ke https://enterprise.google.com/android/enroll/invalid untuk membantu pengguna mereset perangkatnya.

Metode kode QR

Android 7.0 dan yang lebih baru

Untuk menyediakan perangkat milik perusahaan, Anda dapat membuat kode QR dan menampilkannya di konsol EMM:

1. Pada perangkat baru atau yang direset ke setelan pabrik, pengguna (biasanya admin IT) mengetuk layar enam kali di tempat yang sama. Tindakan ini akan memicu perangkat meminta pengguna memindai kode QR.
2. Pengguna memindai kode QR yang Anda tampilkan di konsol pengelolaan (atau aplikasi serupa) untuk mendaftarkan dan menyediakan perangkat.

Metode NFC

Android 6.0 dan yang lebih baru

Catatan: Perangkat harus mengaktifkan NFC. Metode penyediaan NFC hanya mendukung penyediaan pengelolaan perangkat penuh dan tidak dapat digunakan untuk penyediaan milik perusahaan yang diaktifkan secara pribadi (COPE) di perangkat Android 11.

Metode ini mengharuskan Anda membuat aplikasi programmer NFC yang berisi token pendaftaran, kebijakan awal, dan konfigurasi Wi-Fi, setelan, serta semua detail penyediaan lainnya yang diperlukan oleh pelanggan Anda untuk menyediakan perangkat yang terkelola sepenuhnya atau khusus. Saat Anda atau pelanggan menginstal aplikasi programmer NFC di perangkat Android, perangkat tersebut akan menjadi perangkat programmer.

Panduan mendetail tentang cara mendukung metode NFC tersedia di dokumentasi developer Play EMM API. Situs ini juga menyertakan kode contoh parameter default yang dikirim ke perangkat pada penempelan NFC. Untuk menginstal Android Device Policy, setel lokasi download paket admin perangkat ke:

https://play.google.com/managed/downloadManagingApp?identifier=setup

Metode ID DPC

Jika Android Device Policy tidak dapat ditambahkan melalui kode QR atau NFC, pengguna atau admin IT dapat mengikuti langkah-langkah berikut untuk menyediakan perangkat milik perusahaan:

1. Ikuti wizard penyiapan di perangkat baru atau yang direset ke setelan pabrik.
2. Masukkan detail login Wi-Fi untuk menghubungkan perangkat ke internet.
3. Saat diminta untuk login, masukkan afw#setup, yang akan mendownload Android Device Policy.
4. Pindai kode QR atau masukkan token pendaftaran secara manual untuk menyediakan perangkat.

Catatan: Metode ID DPC hanya mendukung penyediaan pengelolaan perangkat lengkap dan tidak dapat digunakan untuk penyediaan milik perusahaan dengan dukungan pribadi (COPE) di perangkat Android 11 dan yang lebih baru.

Pendaftaran zero-touch

Android 8.0+ (Pixel 7.1+)

Perangkat yang dibeli dari reseller zero-touch resmi memenuhi syarat untuk pendaftaran zero-touch, yaitu metode sederhana untuk melakukan prakonfigurasi perangkat agar tersedia secara otomatis saat booting pertama.

Organisasi dapat membuat konfigurasi yang berisi detail penyediaan untuk perangkat zero-touch mereka, melalui portal pendaftaran zero-touch atau menggunakan konsol EMM (lihat API pelanggan zero-touch). Saat booting pertama, perangkat zero-touch akan memeriksa apakah perangkat telah diberi konfigurasi. Jika demikian, perangkat akan mendownload Android Device Policy, yang akan menyelesaikan penyiapan perangkat menggunakan tambahan penyediaan yang ditentukan dalam konfigurasi yang ditetapkan.

Jika pelanggan Anda menggunakan portal pendaftaran zero-touch, mereka harus memilih Kebijakan Perangkat Android sebagai DPC EMM untuk setiap konfigurasi yang mereka buat. Petunjuk mendetail mengenai cara menggunakan portal, termasuk cara membuat dan menetapkan konfigurasi ke perangkat, tersedia di pusat bantuan Android Enterprise.

Jika lebih suka pelanggan menyetel dan menetapkan konfigurasi langsung dari konsol EMM, Anda harus berintegrasi dengan API pelanggan zero-touch. Saat membuat konfigurasi, Anda menentukan tambahan penyediaan di kolom dpcExtras. Cuplikan JSON di bawah menunjukkan contoh dasar tentang hal yang harus disertakan dalam dpcExtras, dengan token login tambahan.

{
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
   "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
      "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
   }
}

---

Meluncurkan aplikasi selama penyiapan

Gambar 2. Gunakan setupActions untuk meluncurkan aplikasi selama penyiapan.

Di policies, Anda dapat menentukan satu aplikasi agar Android Device Policy diluncurkan selama penyiapan perangkat atau profil kerja. Misalnya, Anda dapat meluncurkan aplikasi VPN agar pengguna dapat mengonfigurasi setelan VPN sebagai bagian dari proses penyiapan. Aplikasi harus menampilkan RESULT_OK untuk menandakan penyelesaian dan mengizinkan Android Device Policy menyelesaikan penyediaan perangkat atau profil kerja. Untuk meluncurkan aplikasi selama penyiapan:

Pastikan installType aplikasi adalah REQUIRED_FOR_SETUP. Jika aplikasi tidak dapat diinstal atau diluncurkan di perangkat, penyediaan akan gagal.

{
   "applications":[
      {
         "packageName":"com.my.vpnapp.",
         "installType":"REQUIRED_FOR_SETUP"
      }
   ]
}

Tambahkan nama paket aplikasi ke setupActions. Gunakan title dan description untuk menentukan petunjuk yang ditampilkan kepada pengguna.

{
   "setupActions":[
      {
         "title":{
            "defaultMessage":"Configure VPN"
         },
         "description":{
            "defaultMessage":"Enable your VPN client to access corporate resources."
         },
         "launchApp":{
            "packageName":"com.my.vpnapp."
         }
      }
   ]
}

Untuk membedakan apakah aplikasi diluncurkan dari launchApp, aktivitas yang pertama kali diluncurkan sebagai bagian dari aplikasi berisi tambahan intent boolean com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION (ditetapkan ke true). Tambahan ini memungkinkan Anda menyesuaikan aplikasi berdasarkan apakah aplikasi diluncurkan dari setupActions atau oleh pengguna.

Setelah aplikasi menampilkan RESULT_OK, Android Device Policy akan menyelesaikan langkah-langkah lainnya yang diperlukan untuk menyediakan perangkat atau profil kerja.

Membatalkan pendaftaran selama penyiapan

Aplikasi yang diluncurkan sebagai SetupAction dapat membatalkan pendaftaran yang menampilkan RESULT_CANCELED.

Membatalkan pendaftaran akan mereset perangkat milik perusahaan atau menghapus profil kerja di perangkat milik pribadi.

Catatan: Membatalkan pendaftaran akan memicu tindakan tanpa dialog konfirmasi pengguna. Aplikasi bertanggung jawab untuk menampilkan dialog error yang sesuai kepada pengguna sebelum menampilkan hasil.

Menerapkan kebijakan ke perangkat yang baru didaftarkan

Metode yang Anda gunakan untuk menerapkan kebijakan ke perangkat yang baru didaftarkan bergantung pada Anda dan persyaratan pelanggan Anda. Di sini kami menyajikan tiga pendekatan yang berbeda:

• (Direkomendasikan) Saat membuat token pendaftaran, Anda dapat menentukan nama kebijakan (policyName) yang awalnya akan ditautkan ke perangkat. Saat Anda mendaftarkan perangkat dengan token, kebijakan tersebut akan otomatis diterapkan ke perangkat.

• Menetapkan kebijakan sebagai kebijakan default untuk perusahaan. Jika tidak ada nama kebijakan yang ditentukan dalam token pendaftaran dan ada kebijakan dengan nama enterprises/<enterprise_id>/policies/default, setiap perangkat baru akan otomatis ditautkan ke kebijakan default pada saat pendaftaran.

• Berlangganan topik Cloud Pub/Sub untuk menerima notifikasi tentang perangkat yang baru didaftarkan. Sebagai respons atas notifikasi ENROLLMENT, panggil enterprises.devices.patch untuk menautkan perangkat dengan kebijakan.

Mendaftarkan perangkat tanpa kebijakan

Jika perangkat didaftarkan tanpa kebijakan yang valid, perangkat tersebut akan dimasukkan ke karantina. Perangkat yang dikarantina akan diblokir dari semua fungsi perangkat hingga perangkat tersebut ditautkan ke kebijakan.

Jika perangkat tidak ditautkan ke kebijakan dalam waktu lima menit, pendaftaran perangkat akan gagal dan perangkat akan direset ke setelan pabrik. Status perangkat karantina memberi Anda peluang untuk menerapkan pemeriksaan pemberian lisensi atau proses validasi pendaftaran lainnya sebagai bagian dari solusi Anda.

Contoh alur kerja pemeriksaan pemberian lisensi

1. Perangkat didaftarkan tanpa kebijakan default atau kebijakan tertentu.
2. Periksa jumlah lisensi yang dimiliki perusahaan.
3. Jika ada lisensi yang tersedia, gunakan devices.patch untuk melampirkan kebijakan ke perangkat, lalu kurangi jumlah lisensi Anda. Jika tidak ada lisensi yang tersedia, gunakan devices.patch untuk menonaktifkan perangkat. Atau, API akan mereset perangkat apa pun yang tidak dikaitkan ke kebijakan ke setelan pabrik dalam waktu lima menit setelah pendaftaran.