En esta página, se muestra el conjunto completo de funciones de Android Enterprise.
Si tienes la intención de administrar más de 500 dispositivos, tu solución de EMM debe admitir todas las funciones estándar () de, al menos, un conjunto de soluciones antes de que se pueda comercializar. Los desarrolladores de EMM que deseen que sus soluciones aparezcan en el Directorio de soluciones empresariales de Android como un conjunto de administración estándar deben aprobar la verificación de funciones estándar y convertirse en miembros de nuestro Programa de socios de Android Enterprise.
Hay un conjunto adicional de funciones avanzadas disponible para cada conjunto de soluciones. Estas funciones se indican en cada página del conjunto de soluciones: perfil de trabajo en un dispositivo personal, perfil de trabajo en un dispositivo de la empresa, dispositivo completamente administrado y dispositivo de uso específico. Los desarrolladores de EMM que son miembros del programa de socios de AE con soluciones que aprueban la verificación de funciones avanzadas se incluyen en el Directorio de soluciones empresariales de Android como proveedores de un conjunto de administración avanzada.
Clave
| función estándar | función avanzada | función opcional | no aplicable |
1. Aprovisionamiento de dispositivos
1.1. Aprovisionamiento del perfil de trabajo con prioridad para el DPC
Puedes aprovisionar un perfil de trabajo después de descargar el DPC de la EMM desde Google Play.
1.1.1. El DPC del EMM debe estar disponible públicamente en Google Play para que los usuarios puedan instalarlo en el lado personal del dispositivo.
1.1.2. Una vez instalado, el DPC debe guiar al usuario por el proceso de aprovisionamiento de un perfil de trabajo.
1.1.3. Una vez que se completa el aprovisionamiento, no puede quedar ninguna presencia de administración en el lado personal del dispositivo.
- Se deben quitar todas las políticas que se hayan establecido durante el aprovisionamiento.
- Se deben revocar los privilegios de la app.
- Como mínimo, el DPC del EMM debe estar desactivado en el lado personal del dispositivo.
1.2. Aprovisionamiento de dispositivos con identificador de DPC
Los administradores de TI pueden aprovisionar un dispositivo completamente administrado o de uso específico con un identificador de DPC ("afw#"), según los lineamientos de implementación definidos en la documentación para desarrolladores de la API de Play EMM.
1.2.1. El DPC del EMM debe estar disponible públicamente en Google Play. El DPC debe poder instalarse desde el asistente de configuración del dispositivo ingresando un identificador específico del DPC.
1.2.2. Una vez instalado, el DPC de la EMM debe guiar al usuario por el proceso de aprovisionamiento de un dispositivo de uso específico o completamente administrado.
1.3. Aprovisionamiento de dispositivos NFC
Los administradores de TI pueden usar las etiquetas NFC para aprovisionar dispositivos nuevos o restablecidos a la configuración de fábrica según los lineamientos de implementación definidos en la documentación para desarrolladores de la API de Play EMM.
1.3.1. Los EMM deben usar etiquetas de tipo 2 de NFC Forum con al menos 888 bytes de memoria. El aprovisionamiento debe usar extras de aprovisionamiento para pasar detalles de registro no sensibles, como IDs de servidor y de inscripción, a un dispositivo. Los detalles de registro no deben incluir información sensible, como contraseñas o certificados.
1.3.2. Después de que el DPC de la EMM se establece como propietario del dispositivo, debe abrirse de inmediato y bloquearse en la pantalla hasta que el dispositivo esté completamente aprovisionado. 1.3.3. Recomendamos el uso de etiquetas NFC para Android 10 en adelante debido a la baja de NFC Beam (también conocido como NFC Bump).
1.4. Provisión de dispositivos con código QR
Los administradores de TI pueden usar un dispositivo nuevo o restablecido a la configuración de fábrica para escanear un código QR generado por la consola de EMM para aprovisionar el dispositivo, según los lineamientos de implementación definidos en la documentación para desarrolladores de la API de Play EMM.
1.4.1. El código QR debe usar extras de aprovisionamiento para pasar detalles de registro no sensibles, como IDs de servidor y de inscripción, a un dispositivo. Los detalles del registro no deben incluir información sensible, como contraseñas o certificados.
1.4.2. Después de que el DPC de la EMM configure el dispositivo, el DPC debe abrirse de inmediato y bloquearse en la pantalla hasta que el dispositivo esté completamente aprovisionado.
1.5. Inscripción automática
Este requisito se reemplazó por el requisito 1.6.
1.6. Aprovisionamiento automático
Los administradores de TI pueden automatizar gran parte del proceso de inscripción de dispositivos implementando los detalles de registro del DPC a través de la inscripción sin contacto. El DPC del EMM admite limitar la inscripción a cuentas o dominios específicos, según las opciones de configuración que ofrece el EMM.
1.6.1. Los administradores de TI pueden aprovisionar un dispositivo de propiedad de la empresa con el método de inscripción sin contacto, que se describe en Inscripción sin contacto para administradores de TI.
1.6.2. Después de que el DPC del EMM configure el dispositivo, debe abrirse de inmediato y bloquearse en la pantalla hasta que el dispositivo esté completamente aprovisionado.
- Este requisito no se aplica a los dispositivos que usan los detalles de registro de la inscripción sin contacto para aprovisionarse por completo de forma silenciosa (por ejemplo, en una implementación de dispositivo de uso específico).
1.6.3. Con los detalles de registro, el DPC de la EMM debe garantizar que los usuarios no autorizados no puedan continuar con la activación una vez que se invoque el DPC. Como mínimo, la activación debe estar bloqueada para los usuarios de una empresa determinada.
1.6.4. Con los detalles de registro, el DPC de la EMM debe permitir que los administradores de TI completen previamente los detalles de registro (por ejemplo, IDs de servidor o de inscripción), además de la información única del usuario o del dispositivo (por ejemplo, nombre de usuario/contraseña o token de activación), para que los usuarios no tengan que ingresar detalles cuando activen un dispositivo.
- Los EMM no deben incluir información sensible, como contraseñas o certificados, en la configuración de la inscripción sin contacto.
1.7. Aprovisionamiento del perfil de trabajo de la Cuenta de Google
Este requisito se quitó y se reemplazó por el requisito 3.23.
1.8. Aprovisionamiento de dispositivos de la Cuenta de Google
Este requisito se quitó y se reemplazó por el requisito 3.23.
1.9. Configuración directa de la inscripción automática
Los administradores de TI pueden usar la consola de EMM para configurar dispositivos de inscripción automática con el iframe de inscripción automática.
1.10. Perfiles de trabajo en dispositivos de la empresa
Los EMM pueden inscribir dispositivos de la empresa que tengan un perfil de trabajo.
1.10.1. Se dejó en blanco a propósito.
1.10.2. Los administradores de TI pueden establecer acciones de cumplimiento para los perfiles de trabajo en los dispositivos de la empresa.
1.10.3. Los administradores de TI pueden desactivar la cámara en el perfil de trabajo o en todo el dispositivo.
1.10.4. Los administradores de TI pueden desactivar la captura de pantalla en el perfil de trabajo o en todo el dispositivo.
1.10.5. Los administradores de TI pueden establecer una lista de entidades bloqueadas de aplicaciones que no se pueden instalar en el perfil personal.
1.10.6. Los administradores de TI pueden renunciar a la administración de un dispositivo de propiedad de la empresa quitando el perfil de trabajo o borrando todo el dispositivo.
1.11. Aprovisionamiento de dispositivos de uso específico
Los administradores de TI pueden inscribir dispositivos de uso específico sin que se le solicite al usuario que se autentique con una Cuenta de Google.
2. Seguridad del dispositivo
2.1. Comprobación de seguridad del dispositivo
Los administradores de TI pueden establecer y aplicar un desafío de seguridad del dispositivo (PIN, patrón o contraseña) a partir de una selección predefinida de 3 niveles de complejidad en los dispositivos administrados.
2.1.1. La política debe aplicar parámetros de configuración que administren los desafíos de seguridad del dispositivo (parentProfilePasswordRequirements para el perfil de trabajo, passwordRequirements para los dispositivos completamente administrados y de uso específico).
2.1.2. La complejidad de la contraseña debe asignarse a las siguientes complejidades de contraseña:
- PASSWORD_COMPLEXITY_LOW: Patrón o PIN con secuencias repetidas (4444) u ordenadas (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM: PIN sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468), contraseña alfabética o alfanumérica con una longitud de al menos 4 caracteres
- PASSWORD_COMPLEXITY_HIGH: PIN sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468) y con una longitud de al menos 8 caracteres, o contraseñas alfabéticas o alfanuméricas con una longitud de al menos 6 caracteres.
2.1.3. También se pueden aplicar restricciones de contraseña adicionales como parámetros de configuración heredados en los dispositivos de la empresa.
2.2. Comprobación de seguridad laboral
Los administradores de TI pueden establecer y aplicar un desafío de seguridad para las apps y los datos del perfil de trabajo que sea independiente y tenga requisitos diferentes de los del desafío de seguridad del dispositivo (2.1).
2.2.1. La política debe aplicar el desafío de seguridad para el perfil de trabajo. De forma predeterminada, los administradores de TI deben establecer restricciones solo para el perfil de trabajo si no se especifica ningún alcance. Los administradores de TI pueden establecer esto para todo el dispositivo especificando el alcance (consulta el requisito 2.1).
2.1.2. La complejidad de la contraseña debe asignarse a las siguientes complejidades de contraseña:
- PASSWORD_COMPLEXITY_LOW: Patrón o PIN con secuencias repetidas (4444) u ordenadas (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM - PIN sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468), contraseña alfabética o alfanumérica con una longitud de al menos 4
- PASSWORD_COMPLEXITY_HIGH - PIN sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468) y con una longitud de al menos 8, o contraseñas alfabéticas o alfanuméricas con una longitud de al menos 6
2.3. Administración avanzada de contraseñas
2.3.1. Se dejó en blanco a propósito.
2.3.2. Se dejó en blanco a propósito.
2.3.3. Se pueden establecer los siguientes parámetros de configuración del ciclo de vida de la contraseña para cada pantalla de bloqueo disponible en un dispositivo:
- Se dejó en blanco a propósito
- Se dejó en blanco a propósito
- Cantidad máxima de contraseñas incorrectas antes de borrar los datos : Especifica la cantidad de veces que los usuarios pueden ingresar una contraseña incorrecta antes de que se borren los datos corporativos del dispositivo. Los administradores de TI deben poder desactivar esta función.
2.4. Administración de cerraduras inteligentes
Los administradores de TI pueden gestionar qué agentes de confianza de la función Smart Lock de Android pueden desbloquear dispositivos. Los administradores de TI pueden desactivar métodos de desbloqueo específicos, como los dispositivos Bluetooth de confianza, el reconocimiento facial y el reconocimiento de voz, o bien desactivar la función por completo.
2.4.1. Los administradores de TI pueden inhabilitar los agentes de confianza de Smart Lock de forma independiente para cada pantalla de bloqueo disponible en el dispositivo.
2.4.2. Los administradores de TI pueden permitir y configurar de forma selectiva los agentes de confianza de Smart Lock, de forma independiente para cada pantalla de bloqueo disponible en el dispositivo, para los siguientes agentes de confianza: Bluetooth, NFC, lugares, rostro, detección de transporte y voz.
- Los administradores de TI pueden modificar los parámetros de configuración disponibles del agente de confianza.
2.5. Borrar y bloquear
Los administradores de TI pueden usar la consola de EMM para bloquear y borrar de forma remota los datos de trabajo de un dispositivo administrado.
2.5.1. El DPC del EMM debe bloquear los dispositivos.
2.5.2. El DPC del EMM debe borrar los dispositivos.
2.6. Aplicación de medidas por incumplimiento
Si un dispositivo no cumple con las políticas de seguridad, los datos de trabajo se restringen automáticamente.
2.6.1. Como mínimo, las políticas de seguridad aplicadas en un dispositivo deben incluir la política de contraseñas.
2.7. Políticas de seguridad predeterminadas
Los EMM deben aplicar las políticas de seguridad especificadas en los dispositivos de forma predeterminada, sin que los administradores de TI deban establecer ni personalizar ningún parámetro de configuración en la consola del EMM. Se recomienda (pero no es obligatorio) que los EMM no permitan que los administradores de TI cambien el estado predeterminado de estas funciones de seguridad.
2.7.1. El DPC del EMM debe bloquear la instalación de apps de fuentes desconocidas, incluidas las apps instaladas en el lado personal de cualquier dispositivo con Android 8.0 o versiones posteriores que tenga un perfil de trabajo.
2.7.2. El DPC de la EMM debe bloquear las funciones de depuración.
2.8. Políticas de seguridad para dispositivos de uso específico
Los dispositivos de uso específico se bloquean sin posibilidad de realizar otras acciones.
2.8.1. El DPC del EMM debe desactivar el inicio en modo seguro de forma predeterminada.
2.8.2. El DPC del EMM debe abrirse y bloquearse en la pantalla de inmediato en el primer inicio durante el aprovisionamiento para garantizar que no haya interacción con el dispositivo de ninguna otra manera.
2.8.3. El DPC de la EMM debe configurarse como el selector predeterminado para garantizar que las apps permitidas estén bloqueadas en la pantalla durante el inicio, según los lineamientos de implementación definidos.
2.9. Asistencia de Play Integrity
La EMM usa la API de Play Integrity para garantizar que los dispositivos sean dispositivos Android válidos.
2.9.1. El DPC del EMM implementa la API de Play Integrity durante el aprovisionamiento.
2.9.2. El DPC de la EMM realizará otra verificación de Play Integrity cada vez que un dispositivo se registre en el servidor de la EMM, que puede configurar el administrador de TI. El servidor de EMM verificará la información del APK en la respuesta de la verificación de integridad y la respuesta en sí antes de actualizar la política corporativa en el dispositivo.
2.9.3. Los administradores de TI pueden configurar diferentes respuestas de políticas según el resultado de la verificación de Play Integrity, como bloquear el aprovisionamiento, borrar los datos corporativos y permitir que continúe la inscripción.
- El servicio de EMM aplicará esta respuesta de política para el resultado de cada verificación de integridad.
2.9.4. Si la verificación inicial de Play Integrity falla o devuelve un resultado que no cumple con la integridad sólida, y si el DPC de la EMM aún no llamó a ensureWorkingEnvironment, debe hacerlo y repetir la verificación antes de que se complete el aprovisionamiento.
2.10. Aplicación de medidas por incumplimiento de Verificar apps
Los administradores de TI pueden activar la opción Verificar apps en los dispositivos. Verificar apps analiza las apps instaladas en dispositivos Android en busca de software dañino antes y después de que se instalen, lo que ayuda a garantizar que las apps maliciosas no puedan comprometer los datos corporativos.
2.10.1. El DPC de la EMM debe activar la función Verificar aplicaciones de forma predeterminada.
2.11. Compatibilidad con el inicio directo
Las apps no se pueden ejecutar en dispositivos con Android 7.0 o versiones posteriores que se acaban de encender hasta que se desbloquee el dispositivo por primera vez. La compatibilidad con el Inicio directo garantiza que el DPC de la EMM siempre esté activo y pueda aplicar la política, incluso si el dispositivo no se desbloqueó.
2.11.1. El DPC del EMM aprovecha el almacenamiento encriptado del dispositivo para realizar funciones de administración críticas antes de que se desencripte el almacenamiento encriptado con credenciales del DPC. Las funciones de administración disponibles durante el inicio directo deben incluir (sin limitaciones) lo siguiente:
- Borrado empresarial, incluida la capacidad de borrar los datos de protección contra el restablecimiento de la configuración de fábrica según corresponda
2.11.2. El DPC de la EMM no debe exponer datos corporativos dentro del almacenamiento encriptado del dispositivo.
2.11.3. Los EMM pueden establecer y activar un token para habilitar el botón Olvidé mi contraseña en la pantalla de bloqueo del perfil de trabajo. Este botón se usa para solicitar que los administradores de TI restablezcan de forma segura la contraseña del perfil de trabajo.
2.12. Administración de la seguridad del hardware
Los administradores de TI pueden bloquear los elementos de hardware de un dispositivo de la empresa para garantizar la prevención de pérdida de datos.
2.12.1. Los administradores de TI pueden impedir que los usuarios activen medios físicos externos en sus dispositivos.
2.12.2. Los administradores de TI pueden impedir que los usuarios compartan datos de sus dispositivos con NFC Beam. Esta función secundaria es opcional, ya que la función de transmisión de NFC ya no es compatible con Android 10 y versiones posteriores.
2.12.3. Los administradores de TI pueden impedir que los usuarios transfieran archivos por USB desde sus dispositivos.
2.13. Registro de seguridad empresarial
Los administradores de TI pueden recopilar datos de uso de los dispositivos que se pueden analizar y evaluar de forma programática para detectar comportamientos maliciosos o riesgosos. Las actividades registradas incluyen la actividad de Android Debug Bridge (adb), las aperturas de apps y los desbloqueos de pantalla.
2.13.1. Los administradores de TI pueden habilitar el registro de seguridad para dispositivos específicos, y el DPC de la EMM debe poder recuperar automáticamente los registros de seguridad y los registros de seguridad previos al reinicio.
2.13.2. Los administradores de TI pueden revisar los registros de seguridad empresarial de un dispositivo determinado y un período configurable en la consola de EMM.
2.13.3. Los administradores de TI pueden exportar los registros de seguridad empresarial desde la consola de la EMM.
3. Administración de la cuenta y las apps
3.1. Vinculación empresarial
Los administradores de TI pueden vincular la EMM a su organización, lo que permite que la EMM use Google Play administrado para distribuir apps a los dispositivos.
3.1.1. Un administrador con un dominio de Google administrado existente puede vincular su dominio con la EMM.
3.1.2. La consola del EMM debe aprovisionar y configurar de forma silenciosa una ESA única para cada empresa.
3.1.3. Anula la inscripción de una empresa con la API de Play EMM.
3.1.4. La consola de EMM guía al administrador para que ingrese su dirección de correo electrónico laboral en el flujo de registro de Android y lo disuade de usar una cuenta de Gmail.
3.1.5. La EMM precompleta la dirección de correo electrónico del administrador en el flujo de registro de Android.
3.2. Aprovisionamiento de cuentas de Google Play administrado
La EMM puede aprovisionar de forma silenciosa las cuentas de usuario empresariales, llamadas cuentas de Google Play administrado. Estas cuentas identifican a los usuarios administrados y permiten reglas de distribución de apps únicas por usuario.
3.2.1. El DPC del EMM puede aprovisionar y activar de forma silenciosa una cuenta de Google Play administrado según los lineamientos de implementación definidos. Para ello, haz lo siguiente:
- Se agrega al dispositivo una cuenta de Google Play administrado del tipo
userAccount. - La cuenta de Google Play administrado del tipo
userAccountdebe tener una asignación de 1 a 1 con los usuarios reales en la consola de EMM.
3.3. Aprovisionamiento de cuentas de dispositivos de Google Play administrado
El EMM puede crear y aprovisionar cuentas de dispositivo de Google Play administrado. Las cuentas de dispositivo admiten la instalación silenciosa de apps desde la tienda de Google Play administrado y no están vinculadas a un solo usuario. En su lugar, se usa una cuenta de dispositivo para identificar un solo dispositivo y admitir reglas de distribución de apps por dispositivo en situaciones de dispositivos de uso específico.
3.3.1. El DPC de la EMM puede aprovisionar y activar de forma silenciosa una cuenta de Google Play administrado según los lineamientos de implementación definidos.
Para ello, se debe agregar al dispositivo una cuenta de Google Play administrado del tipo deviceAccount.
3.4. Aprovisionamiento de cuentas de Google Play administrado para dispositivos heredados
La EMM puede aprovisionar de forma silenciosa cuentas de usuario empresarial, llamadas cuentas de Google Play administrado. Estas cuentas identifican a los usuarios administrados y permiten reglas de distribución de apps únicas por usuario.
3.4.1. El DPC del EMM puede aprovisionar y activar de forma silenciosa una cuenta de Google Play administrado según los lineamientos de implementación definidos. Para ello, ten en cuenta lo siguiente:
- Se agrega al dispositivo una cuenta de Google Play administrado del tipo
userAccount. - La cuenta de Google Play administrado del tipo
userAccountdebe tener una asignación de 1 a 1 con los usuarios reales en la consola de EMM.
3.5. Distribución silenciosa de apps
Los administradores de TI pueden distribuir apps de trabajo en los dispositivos de los usuarios de forma silenciosa y sin interacción del usuario.
3.5.1. La consola de EMM debe usar la API de Play EMM para permitir que los administradores de TI instalen apps de trabajo en los dispositivos administrados.
3.5.2. La consola de EMM debe usar la API de Play EMM para permitir que los administradores de TI actualicen las apps de trabajo en los dispositivos administrados.
3.5.3. La consola de EMM debe usar la API de Play EMM para permitir que los administradores de TI desinstalen apps en los dispositivos administrados.
3.6. Administración de configuraciones administradas
Los administradores de TI pueden ver y establecer de forma silenciosa parámetros de configuración administrados o cualquier app que los admita.
3.6.1. La consola del EMM debe poder recuperar y mostrar los parámetros de configuración administrados de cualquier app de Play.
- Los EMM pueden llamar a
Products.getAppRestrictionsSchemapara recuperar el esquema de parámetros de configuración administrados de una app o incorporar el marco de parámetros de configuración administrados en su consola de EMM.
3.6.2. La consola del EMM debe permitir que los administradores de TI establezcan cualquier tipo de configuración (según lo define el framework de Android) para cualquier app de Play con la API de Play EMM.
3.6.3. La consola de la EMM debe permitir que los administradores de TI establezcan comodines (como $username$ o %emailAddress%) para que se pueda aplicar una sola configuración de una app, como Gmail, a varios usuarios. El iframe de configuración administrada admite automáticamente este requisito.
3.7. Administración del catálogo de apps
Los administradores de TI pueden importar una lista de apps aprobadas para su empresa desde Google Play administrado (play.google.com/work).
3.7.1. La consola de EMM puede mostrar una lista de las apps aprobadas para su distribución, incluidas las siguientes:
- Apps compradas en Google Play administrado
- Apps privadas visibles para los administradores de TI
- Apps aprobadas de forma programática
3.8. Aprobación programática de apps
La consola de EMM usa el iframe de Google Play administrado para admitir las funciones de descubrimiento y aprobación de apps de Google Play. Los administradores de TI pueden buscar apps, aprobarlas y aprobar nuevos permisos de la app sin salir de la consola de EMM.
3.8.1. Los administradores de TI pueden buscar apps y aprobarlas en la consola de EMM con el iframe de Google Play administrado.
3.9. Administración básica del diseño de la tienda
La app de Google Play Store administrado se puede usar en dispositivos para instalar y actualizar apps de trabajo. El diseño básico de la tienda se muestra de forma predeterminada y enumera las apps aprobadas para la empresa, que los EMM filtran por usuario según la política.
3.9.1. Los administradores de TI pueden [administrar los conjuntos de productos disponibles para los usuarios]/android/work/play/emm-api/samples#grant_a_user_access_to_apps) para permitir que se vean y se instalen aplicaciones desde Google Play Store administrado en la sección "Página principal de Play Store".
3.10. Configuración avanzada del diseño de la tienda
Los administradores de TI pueden personalizar el diseño de la tienda que se ve en la app de Google Play administrado en los dispositivos.
3.10.1. Los administradores de TI pueden realizar las siguientes acciones en la consola de EMM para personalizar el diseño de la tienda de Google Play administrado:
- Crea hasta 100 páginas de diseño de la tienda. Las páginas pueden tener una cantidad arbitraria de nombres de páginas localizados.
- Crea hasta 30 clústeres para cada página. Los clústeres pueden tener una cantidad arbitraria de nombres de clúster localizados.
- Asigna hasta 100 apps a cada clúster.
- Agrega hasta 10 vínculos rápidos a cada página.
- Especifica el orden de las apps dentro de un clúster y de los clústeres dentro de una página.
3.11. Administración de licencias de apps
Esta función dejó de estar disponible.
3.12. Administración de apps privadas alojadas en Google
Los administradores de TI pueden actualizar las apps privadas alojadas en Google a través de la consola de EMM en lugar de la Google Play Console.
3.12.1. Los administradores de TI pueden subir versiones nuevas de las apps que ya se publicaron de forma privada para la empresa con los siguientes métodos:
3.13. Administración de apps privadas alojadas de forma autónoma
Esta función dejó de estar disponible.
3.14. Notificaciones de extracción de EMM
En lugar de consultar periódicamente a Play para identificar eventos pasados, como una actualización de la app que contiene nuevos permisos o parámetros de configuración administrados, las notificaciones de extracción de EMM notifican de forma proactiva a los EMM sobre estos eventos en tiempo real, lo que les permite realizar acciones automatizadas y proporcionar notificaciones administrativas personalizadas basadas en estos eventos.
3.14.1. El EMM debe usar las notificaciones de EMM de Play para extraer conjuntos de notificaciones.
3.14.2. La EMM debe notificar automáticamente a un administrador de TI (por ejemplo, a través de un correo electrónico automatizado) sobre los siguientes eventos de notificación:
newPermissionEvent: Requiere que un administrador de TI apruebe los permisos de la app nueva antes de que se pueda instalar o actualizar de forma silenciosa en los dispositivos de los usuarios.appRestrictionsSchemaChangeEvent: Es posible que el administrador de TI deba actualizar la configuración administrada de una app para mantener la eficiencia prevista.appUpdateEvent: Puede ser de interés para los administradores de TI que quieran validar que el rendimiento del flujo de trabajo principal no se vea afectado por la actualización de la app.productAvailabilityChangeEvent: Puede afectar la capacidad de instalar la app o recibir actualizaciones de la app.installFailureEvent: Play no puede instalar una app de forma silenciosa en un dispositivo, lo que sugiere que puede haber algún problema con la configuración del dispositivo que impide la instalación. Los EMM no deberían intentar de inmediato una instalación silenciosa de nuevo después de recibir esta notificación, ya que la lógica de reintento de Play ya habrá fallado.
3.14.3. La EMM realiza automáticamente las acciones adecuadas en función de los siguientes eventos de notificación:
newDeviceEvent: Durante la provisión de dispositivos, los EMM deben esperar a que se completenewDeviceEventantes de realizar llamadas posteriores a la API de Play EMM para el dispositivo nuevo, incluidas las instalaciones de apps silenciosas y el establecimiento de parámetros de configuración administrados.productApprovalEvent: Cuando se recibe una notificaciónproductApprovalEvent, la EMM debe actualizar automáticamente la lista de apps aprobadas que se importaron a la consola de EMM para su distribución a los dispositivos si hay una sesión de administrador de TI activa o si la lista de apps aprobadas no se vuelve a cargar automáticamente al comienzo de cada sesión de administrador de TI.
3.15. Requisitos de uso de la API
El EMM implementa las APIs de Google a gran escala, lo que evita patrones de tráfico que podrían afectar negativamente la capacidad de los administradores de TI para administrar apps en entornos de producción.
3.15.1. El EMM debe cumplir con los límites de uso de la API de Play EMM. Si no se corrige el comportamiento que excede estos lineamientos, se puede suspender el uso de la API, a discreción de Google.
3.15.2. El EMM debe distribuir el tráfico de diferentes empresas a lo largo del día, en lugar de consolidar el tráfico empresarial en momentos específicos o similares. El comportamiento que se ajuste a este patrón de tráfico, como las operaciones por lotes programadas para cada dispositivo inscrito, puede provocar la suspensión del uso de la API, según el criterio de Google.
3.15.3. La EMM no debe realizar solicitudes coherentes, incompletas o deliberadamente incorrectas que no intenten recuperar ni administrar datos reales de la empresa. El comportamiento que se ajuste a este patrón de tráfico puede dar lugar a la suspensión del uso de la API, según el criterio de Google.
3.16. Administración avanzada de parámetros de configuración administrados
3.16.1. La consola del EMM debe poder recuperar y mostrar los parámetros de configuración administrada (anidados hasta cuatro niveles) de cualquier app de Play con lo siguiente:
- El iframe de Google Play administrado o
- una IU personalizada.
3.16.2. La consola de EMM debe poder recuperar y mostrar cualquier comentario que devuelva el canal de comentarios de una app cuando lo configure un administrador de TI.
- La consola de EMM debe permitir que los administradores de TI asocien un elemento de comentarios específico con el dispositivo y la app de los que se originó.
- La consola del EMM debe permitir que los administradores de TI se suscriban a alertas o informes de tipos de mensajes específicos (como mensajes de error).
3.16.3. La consola del EMM solo debe enviar valores que tengan un valor predeterminado o que el administrador configure de forma manual con lo siguiente:
- El iframe de parámetros de configuración administrados
- Una IU personalizada
3.17. Administración de apps web
Los administradores de TI pueden crear y distribuir apps web en la consola de EMM.
3.17.1. Los administradores de TI pueden usar la consola de la EMM para distribuir accesos directos a apps web con las siguientes opciones:
3.18. Administración del ciclo de vida de las cuentas de Google Play administrado
La EMM puede crear, actualizar y borrar cuentas de Google Play administrado en nombre de los administradores de TI.
3.18.1. Los EMM pueden administrar el ciclo de vida de una cuenta de Google Play administrada según los lineamientos de implementación definidos en la documentación para desarrolladores de la API de Play EMM.
3.18.2. Los EMM pueden volver a autenticar las cuentas de Google Play administrado sin interacción del usuario.
3.19. Administración de segmentos de aplicaciones
3.19.1. Los administradores de TI pueden obtener una lista de los IDs de segmento que estableció un desarrollador para una app en particular.
3.19.2. Los administradores de TI pueden configurar los dispositivos para que usen un canal de desarrollo específico para una aplicación.
3.20. Administración avanzada de actualizaciones de aplicaciones
3.20.1. Los administradores de TI pueden permitir que las apps usen actualizaciones de la app de alta prioridad para que se actualicen cuando haya una actualización lista.
3.20.2. Los administradores de TI pueden permitir que las apps pospongan sus actualizaciones de la app durante 90 días.
3.21. Administración de métodos de aprovisionamiento
La EMM puede generar parámetros de configuración de aprovisionamiento y presentarlos al administrador de TI en un formato listo para su distribución a los usuarios finales (como un código QR, una configuración de inscripción automática o una URL de Play Store).
3.22. Actualiza la vinculación de Enterprise
Los administradores de TI pueden actualizar el tipo de vinculación empresarial a una empresa de dominio de Google administrado, lo que permite que la organización acceda a los servicios y las funciones de la Cuenta de Google en los dispositivos inscritos.
3.22.1. La consola de EMM permite que el administrador de TI active la actualización de una cuenta empresarial de Google Play administrado existente a una cuenta empresarial de dominio de Google administrado con las APIs necesarias .
3.22.2. Los EMM deben usar Pub/Sub para recibir notificaciones sobre los eventos de actualización iniciados por el administrador de TI (incluso los que ocurren fuera de la consola de EMM) y actualizar su IU para reflejar estos cambios.
3.23. Aprovisionamiento de Cuentas de Google administradas
La EMM puede aprovisionar un dispositivo con cuentas de usuario empresariales, llamadas Cuentas de Google administradas. Estas cuentas identifican a los usuarios administrados y permiten las reglas de App Distribution y el acceso a los servicios de Google. Además, los administradores de TI pueden establecer una política para exigir la autenticación de la Cuenta de Google administrada durante o después de la inscripción.
3.23.1. El DPC del EMM puede aprovisionar una Cuenta de Google administrada según los lineamientos de implementación definidos.
Para ello, haz lo siguiente:
- Se agrega una Cuenta de Google administrada al dispositivo.
- La Cuenta de Google administrada debe tener una asignación de 1 a 1 con los usuarios reales en la consola de la EMM.
3.23.2. El administrador de TI puede usar la política para brindarles a los usuarios la opción de acceder a una Cuenta de Google administrada para la inscripción.
3.23.3. El administrador de TI puede usar la política para controlar si el usuario debe acceder a una Cuenta de Google administrada para completar la inscripción.
3.23.4. De manera opcional, los administradores de TI pueden restringir el flujo de actualización a un identificador de cuenta específico (dirección de correo electrónico) para un dispositivo determinado.
3.24. Actualización de la cuenta de Google Play administrado
Los administradores de TI pueden actualizar el tipo de cuenta de usuario a una Cuenta de Google administrada, lo que permite que el dispositivo acceda a los servicios y las funciones de la Cuenta de Google en los dispositivos inscritos.
3.24.1. Los administradores de TI pueden actualizar una cuenta de Google Play administrado existente en un dispositivo a una Cuenta de Google administrada.
3.24.2. De manera opcional, los administradores de TI pueden restringir el flujo de actualización a un identificador de cuenta específico (dirección de correo electrónico) para un dispositivo determinado.
3.25. Roles de la app
El DPC personalizado no admite esta función.
3.26. Transferencia y restablecimiento de datos del dispositivo
Los administradores de TI pueden habilitar la transferencia y el restablecimiento de datos del dispositivo para los dispositivos completamente administrados que tengan instaladas Cuentas de Google administradas y la app de Recuperación de Google. Esta es una oferta de plataforma para dispositivos completamente administrados. Esta función no admite perfiles de trabajo, incluidos COPE y BYOD.
3.26.1. La consola de EMM permite que los administradores de TI habiliten el servicio de copia de seguridad
activando setBackupServiceEnabled,
ya que la función está inhabilitada de forma predeterminada en los dispositivos completamente administrados.
4. Administración de dispositivos
4.1. Administración de políticas de permisos de tiempo de ejecución
Los administradores de TI pueden establecer de forma silenciosa una respuesta predeterminada para las solicitudes de permisos de tiempo de ejecución que realizan las apps de trabajo.
4.1.1. Los administradores de TI deben poder elegir entre las siguientes opciones cuando establezcan una política predeterminada de permisos de tiempo de ejecución para su organización:
- prompt (permite que los usuarios elijan)
- allow
- deny
El EMM debe aplicar estos parámetros de configuración con el DPC del EMM.
4.2. Administración del estado de otorgamiento de permisos de tiempo de ejecución
Después de establecer una política predeterminada de permisos de tiempo de ejecución (consulta el punto 4.1), Los administradores de TI pueden establecer respuestas de forma silenciosa para permisos específicos de cualquier app de trabajo compilada en la API 23 o una versión posterior.
4.2.1. Los administradores de TI deben poder establecer el estado de otorgamiento (predeterminado, otorgar o denegar) de cualquier solicitud de permiso que solicite cualquier app de trabajo compilada en la API 23 o una versión posterior. El EMM debe aplicar estos parámetros de configuración con el DPC del EMM .
4.3. Administración de la configuración de Wi-Fi
Los administradores de TI pueden aprovisionar de forma silenciosa los parámetros de configuración de Wi-Fi empresarial en los dispositivos administrados, incluidos los siguientes:
4.3.1. SSID, con el DPC de EMM.
4.3.2. Contraseña, con el DPC de la EMM
4.4. Administración de la seguridad de Wi-Fi
Los administradores de TI pueden aprovisionar parámetros de configuración de Wi-Fi empresarial en dispositivos administrados que incluyan las siguientes funciones de seguridad avanzadas:
4.4.1. Identidad, con el DPC del EMM
4.4.2. Certificado para la autorización de clientes, con el DPC del EMM .
4.4.3. Certificados de la AC, con el DPC del EMM.
4.5. Administración avanzada de Wi-Fi
Los administradores de TI pueden bloquear los parámetros de configuración de Wi-Fi en los dispositivos administrados para evitar que los usuarios creen parámetros de configuración o modifiquen los parámetros de configuración corporativos.
4.5.1. Los administradores de TI pueden bloquear los parámetros de configuración de Wi-Fi corporativos en cualquiera de los siguientes parámetros de configuración:
- Los usuarios no pueden modificar ninguna configuración de Wi-Fi aprovisionada por la EMM, pero pueden agregar y modificar sus propias redes configurables por el usuario (por ejemplo, redes personales).
- Los usuarios no pueden agregar ni modificar ninguna red Wi-Fi en el dispositivo, lo que limita la conectividad Wi-Fi solo a las redes aprovisionadas por la EMM.
4.6. Administración de cuentas
Los administradores de TI pueden verificar que las cuentas corporativas no autorizadas no puedan interactuar con los datos corporativos, para servicios como el almacenamiento de SaaS y las apps de productividad, o el correo electrónico. Sin esta función, se pueden agregar cuentas personales a las apps corporativas que también admiten cuentas personales, lo que les permite compartir datos corporativos con esas cuentas personales.
4.6.1. Los administradores de TI pueden impedir que se agreguen o modifiquen cuentas.
- Cuando se aplica esta política en un dispositivo, los EMM deben establecer esta restricción antes de que se complete el aprovisionamiento para garantizar que no puedas eludir esta política agregando cuentas antes de que se aplique.
4.7. Administración de cuentas de Workspace
Esta función dejó de estar disponible. Consulta la sección 3.23 para conocer los requisitos de reemplazo.
4.8. Administración de certificados
Permite que los administradores de TI implementen certificados de identidad y autoridades certificadoras en los dispositivos para permitir el acceso a los recursos corporativos.
4.8.1. Los administradores de TI pueden instalar certificados de identidad de usuario generados por su PKI para cada usuario. La consola de la EMM debe integrarse con al menos una PKI y distribuir los certificados generados a partir de esa infraestructura.
4.8.2. Los administradores de TI pueden instalar autoridades certificadoras en el almacén de claves administrado.
4.9. Administración avanzada de certificados
Permite que los administradores de TI seleccionen de forma silenciosa los certificados que deben usar las apps administradas específicas. Esta función también otorga a los administradores de TI la capacidad de quitar las AC y los certificados de identidad de los dispositivos activos. Esta función impide que los usuarios modifiquen las credenciales almacenadas en el almacén de claves administrado.
4.9.1. Para cualquier app distribuida a dispositivos, los administradores de TI pueden especificar un certificado al que la app accederá de forma silenciosa durante el tiempo de ejecución.
- La selección de certificados debe ser lo suficientemente genérica como para permitir una sola configuración que se aplique a todos los usuarios, cada uno de los cuales puede tener un certificado de identidad específico.
4.9.2. Los administradores de TI pueden quitar certificados del almacén de claves administrado de forma silenciosa.
4.9.3. Los administradores de TI pueden desinstalar un certificado de la AC o todos los certificados de la AC que no sean del sistema de forma silenciosa.
4.9.4. Los administradores de TI pueden impedir que los usuarios configuren credenciales en el almacén de claves administrado.
4.9.5. Los administradores de TI pueden otorgar certificados de forma previa para las apps de trabajo.
4.10. Administración de certificados delegada
Los administradores de TI pueden distribuir una app de administración de certificados de terceros a los dispositivos y otorgarle acceso privilegiado para instalar certificados en el almacén de claves administrado.
4.10.1. Los administradores de TI especifican un paquete de administración de certificados para establecerlo como la app de administración de certificados delegada por el DPC.
- La consola puede sugerir, de forma opcional, paquetes de administración de certificados conocidos, pero debe permitir que el administrador de TI elija de la lista de apps disponibles para instalar, para los usuarios correspondientes.
4.11. Administración avanzada de VPN
Permite que los administradores de TI especifiquen una VPN siempre activa para verificar que los datos de las apps administradas especificadas siempre pasen por una VPN configurada.
4.11.1. Los administradores de TI pueden especificar un paquete de VPN arbitrario para que se configure como una VPN siempre activa.
- La consola de EMM puede sugerir, de manera opcional, paquetes de VPN conocidos que admitan la VPN siempre activa, pero no puede restringir las VPN disponibles para la configuración de la VPN siempre activa a ninguna lista arbitraria.
4.11.2. Los administradores de TI pueden usar parámetros de configuración administrados para especificar la configuración de VPN de una app.
4.12. Administración de IME
Los administradores de TI pueden administrar qué métodos de entrada (IME) se pueden configurar para los dispositivos. Dado que el IME se comparte entre los perfiles de trabajo y personales, bloquear el uso de los IME también impedirá que se permitan esos IME para uso personal. Sin embargo, los administradores de TI no pueden bloquear los IME del sistema en los perfiles de trabajo (consulta la administración avanzada de IME para obtener más detalles).
4.12.1. Los administradores de TI pueden configurar una lista de entidades permitidas de IME de cualquier longitud (incluida una lista vacía, que bloquea los IME que no son del sistema), que puede contener cualquier paquete de IME arbitrario.
- La consola de EMM puede sugerir de forma opcional IME conocidos o recomendados para incluir en la lista de entidades permitidas, pero debe permitir que los administradores de TI elijan de la lista de apps disponibles para instalar, para los usuarios correspondientes.
4.12.2. La EMM debe informar a los administradores de TI que los IME del sistema se excluyen de la administración en los dispositivos con perfiles de trabajo.
4.13. Administración avanzada de IME
Los administradores de TI pueden administrar qué métodos de entrada (IME) se pueden configurar para los dispositivos. La administración avanzada de IME extiende la función básica, ya que permite que los administradores de TI también administren el uso de los IME del sistema, que suelen proporcionar el fabricante o el operador del dispositivo.
4.13.1. Los administradores de TI pueden configurar una lista de entidades permitidas de IME de cualquier longitud (excepto una lista vacía, que bloquea todos los IME, incluidos los del sistema), que puede contener cualquier paquete de IME arbitrario.
- La consola de EMM puede sugerir de forma opcional IME conocidos o recomendados para incluir en la lista de entidades permitidas, pero debe permitir que los administradores de TI elijan de la lista de apps disponibles para instalar, para los usuarios correspondientes.
4.13.2. Los EMM deben impedir que los administradores de TI configuren una lista de entidades permitidas vacía, ya que este parámetro de configuración impedirá que se configuren todos los IME, incluidos los del sistema, en el dispositivo.
4.13.3. Los EMM deben verificar que, si una lista de IME permitidos no contiene IME del sistema, los IME de terceros se instalen de forma silenciosa antes de que se aplique la lista de entidades permitidas en el dispositivo.
4.14. Administración de servicios de accesibilidad
Los administradores de TI pueden administrar qué servicios de accesibilidad se pueden permitir en los dispositivos de los usuarios. Si bien los servicios de accesibilidad son herramientas potentes para los usuarios con discapacidades o aquellos que no pueden interactuar por completo con su dispositivo de forma temporal, es posible que interactúen con los datos corporativos de formas que no cumplan con la política de la empresa. Esta función permite que los administradores de TI desactiven cualquier servicio de accesibilidad que no sea del sistema.
4.14.1. Los administradores de TI pueden configurar una lista de entidades permitidas de servicios de accesibilidad de longitud arbitraria (incluida una lista vacía, que bloquea los servicios de accesibilidad que no son del sistema), que puede contener cualquier paquete de servicios de accesibilidad arbitrario. Cuando se aplica a un perfil de trabajo, afecta tanto al perfil personal como al de trabajo.
- La consola puede sugerir de forma opcional servicios de accesibilidad conocidos o recomendados para incluirlos en la lista de entidades permitidas, pero debe permitir que los administradores de TI elijan entre la lista de apps disponibles para instalar, para los usuarios correspondientes.
4.15. Administración de Compartir ubicación
Los administradores de TI pueden impedir que los usuarios compartan datos de ubicación con las apps del perfil de trabajo. De lo contrario, el parámetro de configuración de ubicación para los perfiles de trabajo se puede configurar en Configuración.
4.15.1. Los administradores de TI pueden inhabilitar los servicios de ubicación en el perfil de trabajo.
4.16. Administración avanzada de Compartir ubicación
Los administradores de TI pueden aplicar un parámetro de configuración de Compartir ubicación determinado en un dispositivo administrado. Esta función puede garantizar que las apps corporativas siempre tengan acceso a datos de ubicación de alta precisión. Esta función también puede garantizar que no se consuma batería adicional restringiendo la configuración de ubicación al modo de ahorro de batería.
4.16.1. Los administradores de TI pueden configurar los servicios de ubicación del dispositivo en cada uno de los siguientes modos:
- Precisión alta.
- Solo sensores, por ejemplo, GPS, pero sin incluir la ubicación proporcionada por la red.
- Ahorro de batería, que limita la frecuencia de actualización
- Desactivado
4.17. Administración de la protección contra el restablecimiento de la configuración de fábrica
Permite que los administradores de TI protejan los dispositivos de la empresa contra robos, ya que garantiza que los usuarios no autorizados no puedan restablecer la configuración de fábrica de los dispositivos. Si la protección contra el restablecimiento de la configuración de fábrica introduce complejidades operativas cuando los dispositivos se devuelven al departamento de TI, los administradores de TI también pueden desactivar por completo la protección contra el restablecimiento de la configuración de fábrica.
4.17.1. Los administradores de TI pueden impedir que los usuarios restablezcan la configuración de fábrica de sus dispositivos desde Configuración.
4.17.2. Los administradores de TI pueden especificar cuentas de desbloqueo corporativas autorizadas para aprovisionar dispositivos después de un restablecimiento de la configuración de fábrica.
- Esta cuenta se puede vincular a una persona o usarla en toda la empresa para desbloquear dispositivos.
4.17.3. Los administradores de TI pueden inhabilitar la protección contra el restablecimiento de la configuración de fábrica para dispositivos específicos.
4.17.4. Los administradores de TI pueden iniciar una limpieza remota del dispositivo que, de forma opcional, borre los datos de protección contra el restablecimiento, lo que quita la protección contra el restablecimiento de la configuración de fábrica en el dispositivo restablecido.
4.18. Control de apps avanzado
Los administradores de TI pueden impedir que el usuario desinstale o modifique de otra manera las apps administradas a través de la Configuración, por ejemplo, forzando el cierre de la app o borrando la caché de datos de una app.
4.18.1. Los administradores de TI pueden bloquear la desinstalación de cualquier app administrada arbitraria o de todas las apps administradas.
4.18.2. Los administradores de TI pueden impedir que los usuarios modifiquen los datos de la aplicación desde Configuración.
4.19. Administración de capturas de pantalla
Los administradores de TI pueden impedir que los usuarios tomen capturas de pantalla cuando usan apps administradas. Este parámetro de configuración incluye el bloqueo de apps para compartir pantalla y apps similares (como el Asistente de Google) que usan las funciones de captura de pantalla del sistema.
4.19.1. Los administradores de TI pueden impedir que los usuarios tomen capturas de pantalla .
4.20. Desactivar cámaras
Los administradores de TI pueden desactivar el uso de las cámaras de los dispositivos por parte de las apps administradas.
4.20.1. Los administradores de TI pueden desactivar el uso de las cámaras de los dispositivos por parte de las apps administradas.
4.21. Recopilación de estadísticas de red
Los administradores de TI pueden consultar las estadísticas de uso de red desde el perfil de trabajo de un dispositivo. Las estadísticas recopiladas reflejan los datos de uso que se comparten con los usuarios en la sección Uso de datos de Configuración. Las estadísticas recopiladas se aplican al uso de las apps dentro del perfil de trabajo.
4.21.1. Los administradores de TI pueden consultar el resumen de las estadísticas de red de un perfil de trabajo, para un dispositivo determinado y un período configurable, y ver estos detalles en la consola de EMM.
4.21.2. Los administradores de TI pueden consultar un resumen de las estadísticas de uso de red de una app en el perfil de trabajo para un dispositivo determinado y un período configurable, y ver estos detalles organizados por UID en la consola de EMM.
4.21.3. Los administradores de TI pueden consultar los datos históricos de uso de la red de un perfil de trabajo para un dispositivo determinado y un período configurable, y ver estos detalles organizados por UID en la consola de EMM.
4.22. Recopilación de estadísticas de red avanzadas
Los administradores de TI pueden consultar las estadísticas de uso de la red de todo un dispositivo administrado. Las estadísticas recopiladas reflejan los datos de uso que se comparten con los usuarios en la sección Uso de datos de Configuración. Las estadísticas recopiladas se aplican al uso de apps en el dispositivo.
4.22.1. Los administradores de TI pueden consultar el resumen de las estadísticas de red de todo un dispositivo, para un dispositivo determinado y un período configurable, y ver estos detalles en la consola de EMM.
4.22.2. Los administradores de TI pueden consultar un resumen de las estadísticas de uso de la red de la app para un dispositivo determinado y un período configurable, y ver estos detalles organizados por UID en la consola de EMM.
4.22.3. Los administradores de TI pueden consultar los datos históricos de uso de la red para un dispositivo determinado y un período configurable, y ver estos detalles organizados por UID en la consola de EMM.
4.23. Reiniciar el dispositivo
Los administradores de TI pueden reiniciar de forma remota los dispositivos administrados.
4.23.1. Los administradores de TI pueden reiniciar de forma remota un dispositivo administrado.
4.24. Administración de la radio del sistema
Permite que los administradores de TI realicen una administración detallada de las radios de red del sistema y las políticas de uso asociadas.
4.24.1. Los administradores de TI pueden inhabilitar las emisiones móviles que envían los proveedores de servicios (por ejemplo, las alertas AMBER).
4.24.2. Los administradores de TI pueden impedir que los usuarios modifiquen la configuración de la red móvil en Configuración .
4.24.3. Los administradores de TI pueden impedir que los usuarios restablezcan la configuración de red en Configuración .
4.24.4. Los administradores de TI pueden permitir o no el uso de datos móviles en roaming.
4.24.5. Los administradores de TI pueden configurar si el dispositivo puede realizar llamadas telefónicas salientes, excepto las llamadas de emergencia.
4.24.6. Los administradores de TI pueden configurar si el dispositivo puede enviar y recibir mensajes de texto .
4.24.7. Los administradores de TI pueden impedir que los usuarios usen sus dispositivos como hotspots portátiles a través de la conexión compartida.
4.24.8. Los administradores de TI pueden establecer el tiempo de espera de Wi-Fi en el valor predeterminado , solo mientras está enchufado o nunca .
4.24.9. Los administradores de TI pueden impedir que los usuarios configuren o modifiquen las conexiones Bluetooth existentes.
4.25. Administración del audio del sistema
Los administradores de TI pueden administrar de forma silenciosa las funciones de audio del dispositivo, lo que incluye silenciarlo, evitar que los usuarios cambien la configuración del volumen y evitar que los usuarios activen el sonido del micrófono del dispositivo.
4.25.1. Los administradores de TI pueden silenciar los dispositivos administrados sin que se note.
4.25.2. Los administradores de TI pueden impedir que los usuarios modifiquen la configuración del volumen del dispositivo.
4.25.3. Los administradores de TI pueden impedir que los usuarios activen el sonido del micrófono del dispositivo.
4.26. Administración del reloj del sistema
Los administradores de TI pueden administrar la configuración del reloj y la zona horaria de los dispositivos, y evitar que los usuarios modifiquen la configuración automática de los dispositivos.
4.26.1. Los administradores de TI pueden aplicar la hora automática del sistema, lo que impide que el usuario configure la fecha y la hora del dispositivo.
4.26.2. Los administradores de TI pueden activar o desactivar de forma silenciosa la hora automática y la zona horaria automática.
4.27. Funciones avanzadas para dispositivos de uso específico
Proporciona a los administradores de TI la capacidad de administrar funciones más detalladas de los dispositivos de uso específico para admitir varios casos de uso de kioscos.
4.27.1. Los administradores de TI pueden inhabilitar el bloqueo de teclas del dispositivo.
4.27.2. Los administradores de TI pueden desactivar la barra de estado del dispositivo, lo que bloquea las notificaciones y la Configuración rápida.
4.27.3. Los administradores de TI pueden forzar que la pantalla del dispositivo permanezca encendida mientras el dispositivo está enchufado.
4.27.4. Los administradores de TI pueden evitar que se muestren las siguientes IU del sistema:
- Avisos
- Superposiciones de aplicaciones
4.27.5. Los administradores de TI pueden permitir que el sistema recomiende a las apps que omitan el instructivo para el usuario y otras sugerencias de bienvenida durante el primer inicio.
4.28. Administración de permisos delegados
Los administradores de TI pueden delegar privilegios adicionales a paquetes individuales.
4.28.1. Los administradores de TI pueden administrar los siguientes permisos:
- Instalación y administración de certificados
- Se dejó en blanco a propósito
- Registro de red
- Registro de seguridad (no se admite para el perfil de trabajo en dispositivos de propiedad personal)
4.29. Asistencia para IDs específicos de la inscripción
A partir de Android 12, los perfiles de trabajo ya no tendrán acceso a los identificadores específicos del hardware. Los administradores de TI pueden seguir el ciclo de vida de un dispositivo con un perfil de trabajo a través del ID específico de inscripción, que persistirá tras los restablecimientos de la configuración de fábrica.
4.29.1. Los administradores de TI pueden establecer y obtener un ID específico de la inscripción.
4.29.2. Este ID específico de la inscripción debe persistir después de un restablecimiento de la configuración de fábrica.
4.30. Política del administrador de credenciales
Los administradores de TI pueden administrar qué aplicaciones de Credential Manager se permiten o bloquean con la política.
4.30.1 Los administradores de TI pueden bloquear de forma opcional todos los administradores de credenciales en el dispositivo (o dentro del perfil de trabajo).
4.30.2 Se dejó en blanco a propósito.
4.30.3 Los administradores de TI pueden especificar una lista de nombres de paquetes que pueden ofrecer la funcionalidad del administrador de credenciales.
4.31. Administración básica de eSIM
Permite que los administradores de TI aprovisionen un dispositivo con un perfil de eSIM y administren su ciclo de vida en el dispositivo.
4.31.1 Los administradores de TI pueden aprovisionar de forma silenciosa un perfil de eSIM en un dispositivo.
4.31.2 Los administradores de TI pueden borrar las eSIM administradas de un dispositivo.
4.31.3 Los administradores de TI pueden impedir que los usuarios modifiquen la configuración de la red móvil en Configuración (ve a mobileNetworksConfigDisabled).
4.31.4 Cuando un administrador de TI realiza una limpieza de manera remota en un dispositivo o un perfil de trabajo, también tiene la opción de quitar las eSIM administradas del dispositivo. De forma predeterminada, las eSIM administradas se quitan de los perfiles de trabajo en los dispositivos de propiedad personal, pero se conservan en los dispositivos de propiedad de la empresa.
4.31.5 (OPCIONAL) Los administradores de TI pueden recuperar el identificador de EID (documento de identidad incorporado) de un dispositivo con la IU de la consola de EMM (o un método equivalente) y exportar estos valores.
5. Usabilidad del dispositivo
5.1. Personalización del aprovisionamiento administrado
Los administradores de TI pueden modificar la UX del flujo de configuración predeterminado para incluir funciones específicas de la empresa. De manera opcional, los administradores de TI pueden mostrar la marca proporcionada por la EMM durante el aprovisionamiento.
5.1.1. Los administradores de TI pueden personalizar el proceso de aprovisionamiento especificando los siguientes detalles específicos de la empresa: color de la empresa, logotipo de la empresa, condiciones del servicio de la empresa y otras exenciones de responsabilidad.
5.1.2. Los administradores de TI pueden implementar una personalización no configurable específica de EMM que incluya los siguientes detalles: color de EMM, logotipo de EMM, Condiciones del Servicio de EMM y otras exenciones de responsabilidad.
5.1.3 [primaryColor] dejó de estar disponible para el recurso empresarial en Android 10 y versiones posteriores.
- Los EMM deben incluir las Condiciones del Servicio de aprovisionamiento y otras exenciones de responsabilidad para su flujo de aprovisionamiento en el paquete de exenciones de responsabilidad de aprovisionamiento del sistema, incluso si no se usa la personalización específica de EMM.
- Los EMM pueden establecer su personalización no configurable y específica de EMM como la predeterminada para todas las implementaciones, pero deben permitir que los administradores de TI configuren su propia personalización.
5.2. Personalización empresarial
Los administradores de TI pueden personalizar aspectos del perfil de trabajo con la marca corporativa. Por ejemplo, los administradores de TI pueden establecer el ícono de usuario en el perfil de trabajo con el logotipo de la empresa. Otro ejemplo es configurar el color de fondo del desafío de trabajo.
5.2.1. Los administradores de TI pueden establecer el color de la organización, que se usará como el color de fondo del desafío laboral.
5.2.2. Los administradores de TI pueden establecer el nombre visible del perfil de trabajo.
5.2.3. Los administradores de TI pueden establecer el ícono de usuario del perfil de trabajo.
5.2.4. Los administradores de TI pueden impedir que el usuario modifique el ícono de usuario del perfil de trabajo.
5.3. Personalización empresarial avanzada
Los administradores de TI pueden personalizar los dispositivos administrados con la marca de la empresa. Por ejemplo, los administradores de TI pueden establecer el ícono de usuario principal en el logotipo de la empresa o configurar el fondo de pantalla del dispositivo.
5.3.1. Los administradores de TI pueden establecer el nombre visible del dispositivo administrado.
5.3.2. Los administradores de TI pueden establecer el ícono de usuario del dispositivo administrado.
5.3.3. Los administradores de TI pueden impedir que el usuario modifique el ícono de usuario del dispositivo.
5.3.4. Los administradores de TI pueden establecer el fondo de pantalla del dispositivo .
5.3.5. Los administradores de TI pueden impedir que el usuario modifique el fondo de pantalla del dispositivo.
5.4. Mensajes en la pantalla de bloqueo
Los administradores de TI pueden establecer un mensaje personalizado que siempre se muestre en la pantalla de bloqueo del dispositivo y que no requiera desbloquearlo para verlo.
5.4.1. Los administradores de TI pueden establecer un mensaje personalizado en la pantalla de bloqueo.
5.5. Administración de la transparencia de las políticas
Los administradores de TI pueden personalizar el texto de ayuda que se proporciona a los usuarios cuando modifican la configuración administrada en su dispositivo o implementar un mensaje de asistencia genérico proporcionado por la EMM. Se pueden personalizar los mensajes de asistencia cortos y largos. Estos mensajes se muestran en instancias como el intento de desinstalar una app administrada para la que un administrador de TI ya bloqueó la desinstalación.
5.5.1. Los administradores de TI personalizan los mensajes de asistencia cortos y largos.
5.5.2. Los administradores de TI pueden implementar mensajes de asistencia cortos y largos específicos de EMM no configurables.
- La EMM puede establecer sus mensajes de asistencia específicos de EMM no configurables como los predeterminados para todas las implementaciones, pero debe permitir que los administradores de TI configuren sus propios mensajes.
5.6. Administración de contactos de perfil sincronizado
Los administradores de TI pueden controlar qué datos de contacto pueden salir del perfil de trabajo. Tanto las apps de telefonía como las de mensajería (SMS) deben ejecutarse en el perfil personal y requieren acceso a los datos de contacto del perfil de trabajo para ofrecer eficiencia en los contactos de trabajo, pero los administradores pueden inhabilitar estas funciones para proteger los datos de trabajo.
5.6.1. Los administradores de TI pueden inhabilitar la búsqueda de contactos en perfiles sincronizados para las apps personales que usan el proveedor de contactos del sistema.
5.6.2. Los administradores de TI pueden inhabilitar la búsqueda de ID de llamada entre perfiles para las apps de marcador personal que usan el proveedor de contactos del sistema.
5.6.3. Los administradores de TI pueden inhabilitar el uso compartido de contactos con dispositivos Bluetooth que usen el proveedor de contactos del sistema, por ejemplo, llamadas con manos libres en vehículos o auriculares.
5.7. Administración de datos entre perfiles
Otorga a los administradores de TI la administración de los datos que pueden salir del perfil de trabajo, más allá de las funciones de seguridad predeterminadas del perfil de trabajo. Con esta función, los administradores de TI pueden permitir que se compartan determinados tipos de datos entre perfiles para mejorar la usabilidad en casos de uso clave. Los administradores de TI también pueden proteger aún más los datos corporativos con más bloqueos.
5.7.1. Los administradores de TI pueden configurar filtros de intents de perfiles sincronizados para que las apps personales puedan resolver intents del perfil de trabajo, como intents de uso compartido o vínculos web.
- De manera opcional, Console puede sugerir filtros de intents conocidos o recomendados para la configuración, pero no puede restringir los filtros de intents a ninguna lista arbitraria.
5.7.2. Los administradores de TI pueden permitir que las apps administradas muestren widgets en la pantalla principal.
- La consola de EMM debe proporcionar a los administradores de TI la capacidad de elegir de la lista de apps que están disponibles para instalar a los usuarios correspondientes.
5.7.3. Los administradores de TI pueden bloquear el uso de copiar y pegar entre los perfiles personal y de trabajo.
5.7.4. Los administradores de TI pueden impedir que los usuarios compartan datos del perfil de trabajo con NFC Beam.
5.7.5. Los administradores de TI pueden permitir que las apps personales abran vínculos web desde el perfil de trabajo.
5.8. Política de actualización del sistema
Los administradores de TI pueden configurar y aplicar actualizaciones del sistema inalámbricas (OTA) para los dispositivos.
5.8.1. La consola de EMM permite que los administradores de TI establezcan los siguientes parámetros de configuración de OTA:
- Automático: Los dispositivos instalan las actualizaciones OTA cuando están disponibles.
- Posponer: Los administradores de TI deben poder posponer la actualización OTA hasta 30 días. Esta política no afecta las actualizaciones de seguridad (p.ej., los parches de seguridad mensuales).
- Con período de tiempo: Los administradores de TI deben poder programar actualizaciones OTA dentro de un período de mantenimiento diario.
5.8.2. El DPC de la EMM aplica las configuraciones OTA a los dispositivos.
5.9. Administración del modo de tareas bloqueadas
Los administradores de TI pueden bloquear una app o un conjunto de apps en la pantalla y asegurarse de que los usuarios no puedan salir de la app.
5.9.1. La consola de EMM permite que los administradores de TI permitan de forma silenciosa que se instale y bloquee un conjunto arbitrario de apps en un dispositivo. El DPC del EMM permite el modo de dispositivo de uso específico.
5.10. Administración persistente de actividades preferidas
Permite que los administradores de TI establezcan una app como el controlador de intents predeterminado para los intents que coincidan con un filtro de intents determinado. Por ejemplo, permitir que los administradores de TI elijan qué app de navegador abre automáticamente los vínculos web o qué app de selector se usa cuando se presiona el botón de inicio.
5.10.1. Los administradores de TI pueden establecer cualquier paquete como el controlador de intents predeterminado para cualquier filtro de intents arbitrario.
- De manera opcional, la consola del EMM puede sugerir intents conocidos o recomendados para la configuración, pero no puede restringir los intents a ninguna lista arbitraria.
- La consola de EMM debe permitir que los administradores de TI elijan de la lista de apps que están disponibles para instalar para los usuarios correspondientes.
5.11. Administración de funciones de Keyguard
Los administradores de TI pueden administrar las funciones disponibles para los usuarios antes de desbloquear el protector de teclado del dispositivo (pantalla de bloqueo) y el protector de teclado del desafío laboral (pantalla de bloqueo).
5.11.1. El DPC del EMM puede desactivar las siguientes funciones de protección de teclas del dispositivo:
- agentes de confianza
- desbloqueo con huella dactilar
- notificaciones con contenido sensible
5.11.2. El DPC del EMM puede desactivar las siguientes funciones de bloqueo de teclas en el perfil de trabajo:
- agentes de confianza
- desbloqueo con huellas dactilares
5.12. Administración avanzada de las funciones de bloqueo de teclas
Los administradores de TI pueden administrar las funciones avanzadas de protección de teclas (pantalla de bloqueo) en los dispositivos de la empresa.
5.12.1. Los administradores de TI pueden inhabilitar las siguientes funciones de bloqueo de teclas del dispositivo:
- Cámara segura
- Todas las notificaciones
- Notificaciones sin ocultar
- Agentes de confianza
- Desbloqueo con huellas dactilares
- Todas las funciones de protección de teclado
5.13. Depuración remota
Los administradores de TI pueden recuperar recursos de depuración de los dispositivos sin necesidad de realizar pasos adicionales.
5.13.1. Los administradores de TI pueden solicitar informes de errores de forma remota, verlos desde la consola de EMM y descargarlos desde la consola de EMM.
5.14. Recuperación de la dirección MAC
Los EMM pueden recuperar de forma silenciosa la dirección MAC de un dispositivo. La dirección MAC se puede usar para identificar dispositivos en otras partes de la infraestructura empresarial (por ejemplo, cuando se identifican dispositivos para el control de acceso a la red).
5.14.1. La EMM puede recuperar de forma silenciosa la dirección MAC de un dispositivo y asociarla con el dispositivo en la consola de la EMM.
5.15. Administración avanzada del modo de tareas bloqueadas
Cuando un dispositivo se configura como de uso específico, los administradores de TI pueden usar la consola de la EMM para realizar las siguientes tareas:
5.15.1. Permite que una sola app se bloquee en un dispositivo de forma silenciosa con el DPC de la EMM.
5.15.2. Activa o desactiva las siguientes funciones de la IU del sistema con el DPC del EMM:
- Botón Home
- Descripción general
- Acciones generales
- Notificaciones
- Información del sistema / barra de estado
- Keyguard (pantalla de bloqueo)
5.15.3. Desactiva los diálogos de error del sistema con el DPC del EMM.
5.16. Política de actualización del sistema avanzada
Los administradores de TI pueden bloquear las actualizaciones del sistema en un dispositivo durante un período de suspensión específico.
5.16.1. El DPC de la EMM puede aplicar actualizaciones del sistema inalámbricas (OTA) a los dispositivos durante un período de suspensión especificado.
5.17. Administración de la transparencia de las políticas del perfil de trabajo
Los administradores de TI pueden personalizar el mensaje que se muestra a los usuarios cuando se quita el perfil de trabajo de un dispositivo.
5.17.1. Los administradores de TI pueden proporcionar texto personalizado para mostrar cuando se borra un perfil de trabajo.
5.18. Asistencia para apps conectadas
Los administradores de TI pueden establecer una lista de paquetes que pueden comunicarse más allá del límite del perfil de trabajo.
5.19. Actualizaciones manuales del sistema
Los administradores de TI pueden instalar una actualización del sistema de forma manual proporcionando una ruta de acceso.
6. Baja del Administrador de dispositivos
Se quitó esta sección.
7. Uso de la API
7.1. Policy Controller estándar para vinculaciones nuevas
De forma predeterminada, los dispositivos se deben administrar con la política de dispositivo Android para cualquier vinculación nueva. Los EMM pueden proporcionar la opción de administrar dispositivos con un DPC personalizado en un área de configuración bajo el encabezado "Avanzado" o una terminología similar. Los clientes nuevos no deben verse expuestos a una elección arbitraria entre pilas tecnológicas durante ningún flujo de trabajo de capacitación o configuración.
7.2. Controlador de políticas estándar para dispositivos nuevos
De forma predeterminada, los dispositivos se deben administrar con la política de dispositivo Android para todas las inscripciones de dispositivos nuevos, tanto para las vinculaciones existentes como para las nuevas. Los EMM pueden proporcionar la opción de administrar dispositivos con un DPC personalizado en un área de configuración bajo el encabezado "Avanzado" o una terminología similar.