На этой странице перечислены все функции Android Enterprise.
Если вы планируете управлять более чем 500 устройствами, ваше решение EMM должно поддерживать все стандартные функции () по крайней мере одного набора решений, прежде чем оно станет доступно для коммерческого использования. Разработчики EMM, которые хотят, чтобы их решения были указаны в каталоге решений Android Enterprise как предлагающие стандартный набор функций управления, должны пройти проверку стандартных функций и стать участниками партнерской программы Android Enterprise.
Для каждого набора решений доступен дополнительный набор продвинутых функций. Эти функции указаны на странице каждого набора решений: рабочий профиль на личном устройстве, рабочий профиль на корпоративном устройстве, полностью управляемое устройство и специализированное устройство. Разработчики EMM, которые участвуют в партнерской программе Android Enterprise и предлагают решения, прошедшие проверку расширенных функций, указаны в каталоге решений Android Enterprise как поставщики расширенного набора функций управления.
Ключ
| стандартная функция | продвинутая функция | необязательная функция | неприменимо |
1. Подготовка устройства
1.1. Подготовка рабочего профиля с помощью контроллера политик на устройствах
Вы можете настроить рабочий профиль после скачивания контроллера политики устройств EMM из Google Play.
1.1.1. Контроллер политик EMM должен быть общедоступен в Google Play, чтобы пользователи могли установить его в личный профиль на устройстве.
1.1.2. После установки DPC должен провести пользователя через процесс инициализации рабочего профиля.
1.1.3. После завершения инициализации не должно остаться никаких следов управления в личной части устройства.
- Все правила, установленные во время инициализации, должны быть удалены.
- Права приложения должны быть отозваны.
- Контроллер политики устройств EMM должен быть как минимум отключен в личном профиле устройства.
1.2. Подготовка устройства с помощью идентификатора контроллера политик
Системные администраторы могут инициализировать полностью управляемое или специализированное устройство с помощью идентификатора контроллера политики устройств ("afw#"), следуя инструкциям по реализации в документации для разработчиков Play EMM API.
1.2.1. Контроллер политик на устройствах EMM должен быть общедоступным в Google Play. Контроллер политик должен устанавливаться из мастера настройки устройства путем ввода идентификатора контроллера.
1.2.2. После установки контроллер политики устройств EMM должен помочь пользователю настроить полностью управляемое или специализированное устройство.
1.3. Подготовка устройства с помощью NFC
Системные администраторы могут использовать NFC-метки для настройки новых устройств или устройств со сброшенными настройками в соответствии с инструкциями, приведенными в документации для разработчиков по Play EMM API.
1.3.1. EMM-поставщики должны использовать теги NFC Forum Type 2 с объемом памяти не менее 888 байт. Для передачи на устройство неконфиденциальных данных, таких как идентификаторы сервера и регистрации, необходимо использовать дополнительные параметры инициализации. Регистрационные данные не должны содержать конфиденциальную информацию, например пароли или сертификаты.
1.3.2. После того как контроллер политики устройств EMM назначит себя владельцем устройства, он должен немедленно открыться и заблокировать экран до завершения настройки устройства. 1.3.3. Для Android 10 и более поздних версий рекомендуем использовать NFC-метки, поскольку поддержка NFC Beam (также известной как NFC Bump) прекращена.
1.4. Подготовка устройства с помощью QR-кода
Системные администраторы могут использовать новое устройство или устройство со сброшенными настройками, чтобы отсканировать QR-код, сгенерированный консолью EMM, и инициализировать устройство в соответствии с инструкциями по внедрению, приведенными в документации для разработчиков по Google Play EMM API.
1.4.1. QR-код должен использовать дополнительные параметры инициализации, чтобы передавать на устройство неконфиденциальные данные о регистрации, такие как идентификаторы серверов и регистрации. Регистрационные данные не должны содержать конфиденциальную информацию, например пароли или сертификаты.
1.4.2. После того как контроллер политики устройств EMM настроит устройство, он должен сразу же открыться и заблокировать экран до завершения инициализации устройства.
1.5. Автоматическая настройка
Это требование заменено требованием 1.6.
1.6. Автоматическая инициализация
Администраторы могут автоматизировать большую часть процесса регистрации устройств, развернув регистрационные данные DPC с помощью автоматической настройки. DPC решения EMM поддерживает ограничение регистрации определенными аккаунтами или доменами в соответствии с параметрами конфигурации, предлагаемыми EMM.
1.6.1. Системные администраторы могут инициализировать корпоративное устройство с помощью автоматической настройки, как описано в руководстве для администраторов.
1.6.2. После настройки устройства контроллер политики EMM-поставщика должен сразу же открыться и заблокировать экран до завершения инициализации.
- Это требование не распространяется на устройства, которые используют регистрационные данные автоматической настройки для полной инициализации в фоновом режиме (например, при развертывании специализированных устройств).
1.6.3. Используя регистрационные данные, контроллер политики устройств EMM должен гарантировать, что неавторизованные пользователи не смогут продолжить активацию после вызова контроллера. Как минимум, активация должна быть ограничена пользователями определенного предприятия.
1.6.4. Контроллер политики устройств EMM должен позволять системным администраторам предварительно заполнять регистрационные данные (например, идентификаторы серверов и регистрации), помимо уникальной информации о пользователе или устройстве (например, имени пользователя, пароля и токена активации), чтобы пользователям не приходилось вводить эти данные при активации устройства.
- Поставщики услуг по управлению мобильной инфраструктурой предприятия не должны включать конфиденциальную информацию, например пароли или сертификаты, в конфигурацию автоматической настройки.
1.7. Подготовка рабочего профиля с помощью аккаунта Google
Это требование удалено и заменено требованием 3.23.
1.8. Подготовка устройства с помощью аккаунта Google
Это требование удалено и заменено требованием 3.23.
1.9. Прямая автоматическая настройка
Системные администраторы могут использовать консоль EMM для настройки устройств с автоматической настройкой с помощью окна iframe.
1.10. Рабочие профили на корпоративных устройствах
EMM-решения могут регистрировать корпоративные устройства с рабочим профилем.
1.10.1. Пустое поле.
1.10.2. Системные администраторы могут задавать действия по обеспечению соответствия для рабочих профилей на корпоративных устройствах.
1.10.3. Администраторы могут отключить камеру в рабочем профиле или на всем устройстве.
1.10.4. Системные администраторы могут отключить запись экрана в рабочем профиле или на всем устройстве.
1.10.5. Системные администраторы могут составить черный список приложений, которые нельзя устанавливать в личном профиле.
1.10.6. Системные администраторы могут отказаться от управления корпоративным устройством, удалив рабочий профиль или все данные с устройства.
1.11. Подготовка специализированных устройств
Администраторы могут регистрировать специализированные устройства без запроса на аутентификацию с помощью аккаунта Google.
2. Защита устройства
2.1. Контрольная проверка на устройстве
Администраторы могут задавать и применять проверку безопасности устройства (PIN-код, графический ключ или пароль) из трех уровней сложности на управляемых устройствах.
2.1.1. Правило должно применять настройки, управляющие проверками безопасности устройства (parentProfilePasswordRequirements для рабочего профиля, passwordRequirements для полностью управляемых и специализированных устройств).
2.1.2. Сложность пароля должна соответствовать следующим требованиям:
- PASSWORD_COMPLEXITY_LOW – графический ключ или PIN-код с повторяющимися (4444) или упорядоченными (1234, 4321, 2468) последовательностями.
- PASSWORD_COMPLEXITY_MEDIUM – PIN-код без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей, буквенный или буквенно-цифровой пароль длиной не менее 4 символов.
- PASSWORD_COMPLEXITY_HIGH – PIN-код без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей длиной не менее 8 символов или буквенный или буквенно-цифровой пароль длиной не менее 6 символов.
2.1.3. Дополнительные ограничения на пароли также можно применять в качестве устаревших настроек на корпоративных устройствах.
2.2. Контрольная проверка в рабочем профиле
Системные администраторы могут настраивать и применять проверку безопасности для приложений и данных в рабочем профиле, которая отличается от проверки безопасности устройства (2.1).
2.2.1. Правило должно применять контрольную проверку для рабочего профиля. По умолчанию системные администраторы должны устанавливать ограничения только для рабочего профиля. Если область действия не указана, системные администраторы могут установить ограничения для всего устройства, указав область действия (см. требование 2.1).
2.1.2. Сложность пароля должна соответствовать следующим уровням:
- PASSWORD_COMPLEXITY_LOW – графический ключ или PIN-код с повторяющимися (4444) или упорядоченными (1234, 4321, 2468) последовательностями.
- PASSWORD_COMPLEXITY_MEDIUM - PIN-код без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей, буквенный или буквенно-цифровой пароль длиной не менее 4 символов.
- PASSWORD_COMPLEXITY_HIGH – PIN-код без повторяющихся цифр (4444) и их последовательностей (1234, 4321, 2468) длиной не менее 8 символов или буквенный/буквенно-цифровой пароль длиной не менее 6 символов.
2.3. Продвинутые функции управления кодами доступа
2.3.1. Deliberately blank.
2.3.2. Пустое поле.
2.3.3. Для каждого заблокированного экрана на устройстве можно задать следующие настройки жизненного цикла пароля:
- Пустое поле
- Пустое поле
- Максимальное количество неверных паролей до очистки. Укажите, сколько раз пользователь может ввести неверный пароль, прежде чем с устройства будут удалены корпоративные данные. У системных администраторов должна быть возможность отключить эту функцию.
2.4. Управление умными замками
Администраторы могут управлять тем, каким агентам доверия в функции Smart Lock на Android разрешено разблокировать устройства. Системные администраторы могут отключить определенные способы разблокировки, например надежные устройства Bluetooth, распознавание лица или речи, или отключить функцию полностью.
2.4.1. Системные администраторы могут отключать агенты доверия Smart Lock отдельно для каждого заблокированного экрана на устройстве.
2.4.2. Системные администраторы могут выборочно разрешать и настраивать агенты доверия Smart Lock отдельно для каждого заблокированного экрана на устройстве. Доступны следующие агенты доверия: Bluetooth, NFC, места, лицо, физический контакт и голос.
- Администраторы могут изменять доступные параметры конфигурации агента Trust.
2.5. Очистка и блокировка
Администраторы могут использовать консоль EMM, чтобы удаленно блокировать управляемые устройства и удалять с них рабочие данные.
2.5.1. Контроллер политики устройств EMM должен блокировать устройства.
2.5.2. Контроллер политики устройств поставщика услуг по управлению мобильной инфраструктурой предприятия должен очищать устройства.
2.6. Принудительное применение правил.
Если устройство не соответствует правилам безопасности, доступ к рабочим данным автоматически ограничивается.
2.6.1. Как минимум, правила безопасности, применяемые на устройстве, должны включать правила в отношении паролей.
2.7. Правила безопасности по умолчанию
EMM-решения должны применять указанные правила безопасности на устройствах по умолчанию, без необходимости настройки или кастомизации каких-либо параметров в консоли EMM-решения [системным] администратором. Поставщикам EMM рекомендуется (но не обязательно) не разрешать системным администраторам менять состояние этих функций безопасности по умолчанию.
2.7.1. Контроллер политики устройств EMM должен блокировать установку приложений из неизвестных источников, в том числе приложений, установленных в личном профиле на любом устройстве с Android 8.0 или более поздней версии и рабочим профилем.
2.7.2. Контроллер политик на устройствах EMM должен блокировать функции отладки.
2.8. Правила безопасности для специализированных устройств
Специализированные устройства заблокированы, и перейти к другим функциям нельзя.
2.8.1. Контроллер политики устройств EMM должен по умолчанию отключать загрузку в безопасном режиме.
2.8.2. При первой загрузке во время инициализации контроллер политики устройств EMM должен быть открыт и закреплен на экране, чтобы исключить любое другое взаимодействие с устройством.
2.8.3. Контроллер политик на устройствах EMM должен быть задан в качестве средства запуска по умолчанию, чтобы разрешенные приложения были закреплены на экране при загрузке в соответствии с определенными рекомендациями по реализации.
2.9. Поддержка Play Integrity
EMM использует Play Integrity API, чтобы убедиться, что устройства являются действительными устройствами Android.
2.9.1. Контроллер политики устройств EMM реализует Play Integrity API во время инициализации.
2.9.2. DPC-контроллер EMM будет выполнять проверку Play Integrity каждый раз, когда устройство подключается к серверу EMM. Частоту подключения может настраивать системный администратор. Прежде чем обновлять корпоративные правила на устройстве, сервер EMM проверит информацию об APK-файле в ответе на запрос проверки целостности и сам ответ.
2.9.3. Системные администраторы могут настраивать разные правила в зависимости от результатов проверки Play Integrity, например блокировать инициализацию, удалять корпоративные данные или разрешать регистрацию.
- Сервис EMM будет применять это правило к результатам каждой проверки целостности.
2.9.4. Если первоначальная проверка Play Integrity не пройдена или возвращает результат, который не соответствует строгой целостности, и если DPC EMM-решения ещё не вызвал ensureWorkingEnvironment, то он должен сделать это и повторить проверку до завершения инициализации.
2.10. Принудительная проверка приложений
Системные администраторы могут включить проверку приложений на устройствах. Функция "Проверка приложений" сканирует приложения, установленные на устройствах Android, на наличие вредоносного ПО до и после установки, помогая защитить корпоративные данные от вредоносных приложений.
2.10.1. Контроллер политики устройств EMM должен по умолчанию включать проверку приложений.
2.11. Поддержка режима Direct Boot
Приложения не могут работать на устройствах с Android 7.0 и более поздними версиями, которые только что были включены, пока устройство не будет разблокировано в первый раз. Поддержка режима Direct Boot гарантирует, что контроллер политики устройств EMM всегда активен и может применять правила, даже если устройство не разблокировано.
2.11.1. Контроллер политики устройств EMM использует зашифрованное хранилище устройства для выполнения критически важных функций управления до того, как будет расшифровано хранилище учетных данных контроллера. Функции управления, доступные в режиме Direct Boot, должны включать (но не ограничиваться):
- Удаление корпоративных данных, в том числе возможность удалять данные защиты после сброса настроек.
2.11.2. Контроллер политики устройств EMM не должен раскрывать корпоративные данные в зашифрованном хранилище устройства.
2.11.3. EMM-провайдеры могут настроить и активировать токен, чтобы на заблокированном экране рабочего профиля появилась кнопка Забыли пароль?. Эта кнопка используется для запроса на безопасный сброс пароля рабочего профиля системным администратором.
2.12. Управление аппаратной защитой
Системные администраторы могут блокировать аппаратные элементы корпоративных устройств, чтобы предотвратить потерю данных.
2.12.1. Системные администраторы могут запретить пользователям подключать физические внешние носители к устройствам.
2.12.2. Системные администраторы могут запретить пользователям передавать данные с устройства с помощью NFC Beam. Эта дополнительная функция необязательна, поскольку функция NFC Beam больше не поддерживается в Android 10 и более поздних версиях.
2.12.3. Системные администраторы могут запретить пользователям передавать файлы по USB с устройства.
2.13. Ведение корпоративных журналов безопасности
Системные администраторы могут собирать с устройств данные об использовании, которые можно анализировать и программно оценивать на предмет вредоносного или опасного поведения. В журналах регистрируются действия Android Debug Bridge (adb), открытия приложений и разблокировки экрана.
2.13.1. Администраторы могут включить ведение журналов безопасности для определенных устройств, а контроллер политики устройств EMM должен автоматически получать как журналы безопасности, так и журналы безопасности до перезагрузки.
2.13.2. Системные администраторы могут просматривать журналы безопасности предприятия для определенного устройства и настраиваемого периода времени в консоли EMM.
2.13.3. Системные администраторы могут экспортировать журналы безопасности из консоли EMM.
3. Управление аккаунтом и приложениями
3.1. Привязка к организации
Системные администраторы могут привязать EMM к своей организации, чтобы использовать корпоративный Google Play для распространения приложений на устройствах.
3.1.1. Администратор, у которого есть управляемый домен Google, может привязать его к EMM.
3.1.2. Консоль EMM должна автоматически предоставлять и настраивать уникальный ESA для каждого предприятия.
3.1.3. Отмените регистрацию предприятия с помощью Play EMM API.
3.1.4. В консоли EMM администратору предлагается ввести рабочий адрес электронной почты в процессе регистрации Android. Использовать аккаунт Gmail не рекомендуется.
3.1.5. При регистрации в Android EMM автоматически подставляет адрес электронной почты администратора.
3.2. Подготовка аккаунтов корпоративного Google Play
EMM может в фоновом режиме подготавливать аккаунты пользователей в корпоративном Google Play. Эти аккаунты позволяют идентифицировать управляемых пользователей и задавать уникальные правила распространения приложений для каждого пользователя.
3.2.1. Контроллер политик EMM может в фоновом режиме подготавливать и активировать аккаунт в корпоративном Google Play в соответствии с определенными рекомендациями по реализации. При этом:
- На устройство добавлен корпоративный аккаунт Google Play типа
userAccount. - Корпоративный аккаунт Google Play типа
userAccountдолжен быть сопоставлен с реальным пользователем в консоли EMM.
3.3. Подготовка аккаунтов на устройствах в корпоративном Google Play
Решение EMM может создавать и подготавливать аккаунты на устройствах в корпоративном Google Play. Аккаунты устройств поддерживают автоматическую установку приложений из корпоративного Google Play и не привязаны к одному пользователю. Вместо этого аккаунт устройства используется для идентификации одного устройства, чтобы поддерживать правила распространения приложений для каждого устройства в сценариях со специализированными устройствами.
3.3.1. Контроллер политик EMM может в фоновом режиме подготавливать и активировать аккаунт в корпоративном Google Play в соответствии с определенными рекомендациями по реализации.
При этом на устройство необходимо добавить корпоративный аккаунт Google Play типа deviceAccount.
3.4. Подготовка аккаунтов корпоративного Google Play для устаревших устройств
Решение EMM может в фоновом режиме подготавливать аккаунты корпоративных пользователей, называемые управляемыми аккаунтами Google Play. Эти аккаунты идентифицируют управляемых пользователей и позволяют задавать уникальные правила распространения приложений для каждого пользователя.
3.4.1. Контроллер политик EMM может в фоновом режиме подготавливать и активировать аккаунт в корпоративном Google Play в соответствии с определенными рекомендациями по реализации. При этом:
- На устройство добавлен корпоративный аккаунт Google Play типа
userAccount. - Корпоративный аккаунт Google Play типа
userAccountдолжен быть сопоставлен с реальным пользователем в консоли EMM.
3.5. Автоматическая установка приложений
Системные администраторы могут распространять рабочие приложения на устройствах пользователей без их участия.
3.5.1. Чтобы администраторы могли устанавливать рабочие приложения на управляемые устройства, в консоли EMM должен использоваться Play EMM API.
3.5.2. Консоль EMM должна использовать Play EMM API, чтобы администраторы могли обновлять рабочие приложения на управляемых устройствах.
3.5.3. Чтобы администраторы могли удалять приложения на управляемых устройствах, в консоли EMM должен использоваться Play EMM API.
3.6. Контроль над управляемыми конфигурациями
Администраторы могут просматривать и настраивать управляемые конфигурации для любого приложения, которое их поддерживает.
3.6.1. Консоль EMM должна иметь возможность получать и отображать настройки управляемой конфигурации любого приложения Google Play.
- Поставщики EMM могут вызывать метод
Products.getAppRestrictionsSchema, чтобы получить схему управляемых конфигураций приложения, или встроить фрейм управляемых конфигураций в свою консоль EMM.
3.6.2. Консоль EMM должна позволять системным администраторам задавать любой тип конфигурации (определенный фреймворком Android) для любого приложения Google Play с помощью Play EMM API.
3.6.3. Консоль EMM должна позволять системным администраторам задавать подстановочные знаки (например, $username$ или %emailAddress%), чтобы одну конфигурацию для приложения, такого как Gmail, можно было применить к нескольким пользователям. Iframe управляемой конфигурации автоматически поддерживает это требование.
3.7. Управление каталогом приложений
Администраторы могут импортировать список приложений, одобренных для их организации, из корпоративного Google Play (play.google.com/work).
3.7.1. В консоли EMM можно посмотреть список приложений, одобренных для распространения, в том числе:
- Приложения, купленные в корпоративном Google Play
- Частные приложения, видимые системным администраторам
- Приложения, одобренные алгоритмически
3.8. Автоматизированное одобрение приложений
В консоли EMM используется окно iframe корпоративного Google Play, которое поддерживает функции поиска и одобрения приложений в Google Play. Системные администраторы могут искать и одобрять приложения, а также одобрять новые разрешения для приложений, не выходя из консоли EMM.
3.8.1. Системные администраторы могут искать и одобрять приложения в консоли EMM с помощью окна iframe корпоративного Google Play.
3.9. Базовые настройки дизайна магазина
Корпоративный Google Play можно использовать на устройствах для установки и обновления рабочих приложений. По умолчанию используется базовый макет магазина, в котором перечислены приложения, одобренные для организации. Поставщики EMM фильтруют их для каждого пользователя в соответствии с правилами.
3.9.1. Администраторы могут [управлять наборами продуктов, доступными пользователям]/android/work/play/emm-api/samples#grant_a_user_access_to_apps), чтобы разрешить просмотр и установку приложений из корпоративного Google Play в разделе "Главная страница Google Play".
3.10. Расширенные настройки дизайна магазина
Системные администраторы могут настраивать дизайн магазина, который показывается в корпоративном Google Play на устройствах.
3.10.1. Системные администраторы могут выполнять в консоли EMM следующие действия, чтобы настраивать дизайн корпоративного Google Play:
- Создайте до 100 страниц магазина. У страниц может быть любое количество локализованных названий.
- Для каждой страницы можно создать до 30 кластеров. У кластера может быть любое количество локализованных названий.
- В каждый кластер можно добавить до 100 приложений.
- На каждую страницу можно добавить до 10 быстрых ссылок.
- Укажите порядок сортировки приложений в группе и групп на странице.
3.11. Управление лицензиями приложений
Эта функция больше не поддерживается.
3.12. Управление частными приложениями, размещенными в Google
Системные администраторы могут обновлять частные приложения, размещенные в Google, через консоль EMM, а не через Google Play Console.
3.12.1. Системные администраторы могут загружать новые версии приложений, которые уже опубликованы для частного использования в организации, с помощью:
3.13. Управление частными приложениями, размещенными в организации
Эта функция больше не поддерживается.
3.14. Уведомления EMM, получаемые по запросу
Вместо того чтобы периодически запрашивать у Google Play информацию о прошедших событиях, например об обновлении приложения, которое содержит новые разрешения или управляемые конфигурации, EMM-решения могут получать уведомления о таких событиях в режиме реального времени. Это позволяет им выполнять автоматические действия и предоставлять администраторам настраиваемые уведомления на основе этих событий.
3.14.1. Для получения наборов уведомлений в EMM-системе должны использоваться уведомления EMM из Google Play.
3.14.2. EMM-решение должно автоматически уведомлять системного администратора (например, по электронной почте) о следующих событиях:
newPermissionEvent– администратор должен одобрить новые разрешения для приложения, прежде чем оно будет автоматически установлено или обновлено на устройствах пользователей.appRestrictionsSchemaChangeEvent. Чтобы сохранить эффективность, системному администратору может потребоваться обновить управляемую конфигурацию приложения.appUpdateEvent: может быть полезно системным администраторам, которые хотят убедиться, что обновление приложения не повлияет на производительность основных рабочих процессов.productAvailabilityChangeEvent: может повлиять на возможность устанавливать и обновлять приложение.installFailureEvent– Google Play не может автоматически установить приложение на устройство. Возможно, это связано с конфигурацией устройства. После получения этого уведомления EMM-решения не должны сразу же пытаться выполнить автоматическую установку, поскольку логика повторных попыток Google Play уже не сработала.
3.14.3. EMM автоматически выполняет необходимые действия на основе следующих событий уведомлений:
newDeviceEvent. При подготовке устройства поставщики EMM должны дождаться событияnewDeviceEvent, прежде чем выполнять последующие вызовы Play EMM API для нового устройства, включая автоматическую установку приложений и настройку управляемых конфигураций.productApprovalEvent. При получении уведомленияproductApprovalEventEMM-решение должно автоматически обновить список одобренных приложений, импортированных в консоль EMM для распространения на устройствах, если есть активный сеанс администратора или если список одобренных приложений не перезагружается автоматически в начале каждого сеанса администратора.
3.15. Требования к использованию API
EMM-решение реализует API Google в масштабе, избегая шаблонов трафика, которые могут негативно повлиять на способность ИТ-администраторов управлять приложениями в рабочих средах.
3.15.1. EMM-решение должно соответствовать лимитам на использование Play EMM API. Если вы не исправите нарушения, Google может по своему усмотрению заблокировать вам доступ к API.
3.15.2. EMM-поставщик должен распределять трафик от разных предприятий в течение дня, а не объединять его в определенные или похожие периоды времени. Поведение, соответствующее этой схеме трафика, например запланированные пакетные операции для каждого зарегистрированного устройства, может привести к приостановке использования API по усмотрению Google.
3.15.3. EMM-поставщик не должен отправлять постоянные, неполные или намеренно некорректные запросы, которые не направлены на получение корпоративных данных или управление ими. Если вы будете отправлять запросы таким образом, Google может заблокировать вам доступ к API.
3.16. Расширенный контроль над управляемыми конфигурациями
3.16.1. Консоль EMM должна иметь возможность получать и отображать настройки управляемой конфигурации (до четырех уровней вложенности) любого приложения Google Play, используя:
- Окно iframe корпоративного Google Play.
- собственный интерфейс.
3.16.2. Консоль EMM должна получать и показывать отзывы, возвращаемые каналом отзывов приложения, если он настроен системным администратором.
- Консоль EMM должна позволять системным администраторам связывать определенный отзыв с устройством и приложением, из которого он был отправлен.
- В консоли EMM должна быть предусмотрена возможность подписки на оповещения или отчеты о сообщениях определенных типов (например, об ошибках).
3.16.3. Консоль EMM должна отправлять только те значения, которые заданы по умолчанию или вручную администратором, используя:
- iframe управляемых конфигураций;
- Собственный интерфейс.
3.17. Управление веб-приложениями
Администраторы могут создавать и распространять веб-приложения в консоли EMM.
3.17.1. Администраторы могут использовать консоль EMM для распространения ярлыков веб-приложений с помощью:
3.18. Управление жизненным циклом аккаунтов корпоративного Google Play
EMM может создавать, обновлять и удалять корпоративные аккаунты Google Play от имени администраторов.
3.18.1. Поставщики услуг EMM могут управлять жизненным циклом аккаунтов корпоративного Google Play в соответствии с рекомендациями по реализации, приведенными в документации для разработчиков Play EMM API.
3.18.2. Решения EMM могут повторно аутентифицировать аккаунты корпоративного Google Play без участия пользователя.
3.19. Управление версиями приложений
3.19.1. ИТ-администраторы могут получить список идентификаторов отслеживания, заданных разработчиком для определенного приложения.
3.19.2. Администраторы могут настроить устройства так, чтобы на них использовалась определенная версия приложения.
3.20. Расширенное управление обновлением приложений
3.20.1. Администраторы могут разрешить приложениям использовать высокоприоритетные обновления приложений, чтобы они обновлялись, как только обновление будет готово.
3.20.2. Системные администраторы могут разрешить откладывать обновление приложений на 90 дней.
3.21. Управление способами инициализации
EMM может генерировать конфигурации инициализации и представлять их системному администратору в форме, готовой для распространения среди конечных пользователей (например, QR-код, автоматическая настройка, URL Google Play).
3.22. Обновить привязку к организации
Администраторы могут изменить тип привязки предприятия на управляемый домен Google, чтобы предоставить организации доступ к сервисам и функциям аккаунта Google на зарегистрированных устройствах.
3.22.1. В консоли EMM администратор может запустить обновление существующего предприятия корпоративного Google Play до предприятия с управляемым доменом Google, используя необходимые API.
3.22.2. Поставщики EMM должны использовать издатель-подписчик, чтобы получать уведомления о событиях обновления, инициированных [системным] администратором (даже если они происходят за пределами консоли EMM), и обновлять интерфейс в соответствии с этими изменениями.
3.23. Подготовка управляемых аккаунтов Google
EMM может подготовить устройство с корпоративными аккаунтами пользователей, которые называются управляемыми аккаунтами Google. Эти аккаунты идентифицируют управляемых пользователей, позволяют настраивать правила распространения приложений и предоставляют доступ к сервисам Google. Администраторы также могут настроить правило, требующее аутентификации управляемого аккаунта Google во время или после регистрации.
3.23.1. Контроллер политики устройств EMM может подготовить корпоративный аккаунт Google в соответствии с определенными рекомендациями по реализации.
При этом:
- На устройство добавлен управляемый аккаунт Google.
- Управляемый аккаунт Google должен быть сопоставлен с реальным пользователем в консоли EMM.
3.23.2. Администратор может использовать правило, чтобы предоставить пользователям возможность входить в управляемый аккаунт Google для регистрации.
3.23.3. Администратор может использовать правило, чтобы указать, должен ли пользователь войти в управляемый аккаунт Google для завершения регистрации.
3.23.4. Администраторы могут ограничить процесс обновления до определенного идентификатора аккаунта (адреса электронной почты) для заданного устройства.
3.24. Обновление аккаунта корпоративного Google Play
Администраторы могут преобразовать аккаунт пользователя в управляемый аккаунт Google, чтобы на зарегистрированных устройствах можно было использовать сервисы и функции аккаунта Google.
3.24.1. Администраторы могут преобразовать существующий корпоративный аккаунт Google Play на устройстве в управляемый аккаунт Google.
3.24.2. Администраторы могут ограничить процесс обновления до определенного идентификатора аккаунта (адреса электронной почты) для заданного устройства.
3.25. Роли в приложении
Специальный контроллер политики устройств не поддерживает эту функцию.
3.26. Перенос и восстановление данных устройства
Администраторы могут включить перенос и восстановление данных для полностью управляемых устройств, на которых установлены управляемые аккаунты Google и приложение Google Restore. Это предложение платформы для полностью управляемых устройств. Рабочие профили, в том числе COPE и BYOD, не поддерживаются.
3.26.1. В консоли EMM администраторы могут включить сервис резервного копирования, активировав setBackupServiceEnabled, поскольку по умолчанию эта функция отключена на полностью управляемых устройствах.
4. Управление устройствами
4.1. Управление политиками динамических разрешений
Системные администраторы могут без уведомления пользователей задавать стандартный ответ на запросы динамических разрешений от рабочих приложений.
4.1.1. При настройке правил динамических разрешений по умолчанию для организации у системных администраторов должен быть выбор из следующих вариантов:
- запрос (пользователи могут выбрать);
- allow
- deny
EMM-система должна применять эти настройки с помощью контроллера политики устройств.
4.2. Управление статусом предоставления динамических разрешений
После настройки применяемой по умолчанию политики динамических разрешений (см.раздел 4.1) Администраторы могут настраивать ответы на запросы разрешений от рабочих приложений, созданных на основе API 23 или более поздней версии.
4.2.1. Системные администраторы должны иметь возможность задавать статус предоставления (по умолчанию, разрешено или запрещено) для любого запроса разрешений, запрашиваемого любым рабочим приложением, созданным на основе API 23 или более поздней версии. EMM-решение должно применять эти настройки с помощью контроллера политики устройств.
4.3. Управление конфигурацией Wi-Fi
Системные администраторы могут удаленно настраивать корпоративные сети Wi-Fi на управляемых устройствах, в том числе:
4.3.1. SSID с помощью контроллера политик на устройствах EMM.
4.3.2. Пароль, используя DPC-контроллер EMM.
4.4. Управление безопасностью Wi-Fi
Администраторы могут настраивать корпоративные сети Wi-Fi на управляемых устройствах, используя следующие расширенные функции безопасности:
4.4.1. Идентификационная информация с использованием DPC поставщика EMM.
4.4.2. Сертификат для авторизации клиентов с помощью DPC EMM.
4.4.3. Сертификаты ЦС, используя DPC EMM.
4.5. Продвинутые функции управления Wi-Fi
Системные администраторы могут блокировать конфигурации Wi-Fi на управляемых устройствах, чтобы пользователи не могли создавать новые конфигурации или изменять корпоративные.
4.5.1. Администраторы могут заблокировать корпоративные конфигурации Wi-Fi одним из следующих способов:
- Пользователи не могут изменять конфигурации Wi-Fi, заданные EMM, но могут добавлять и изменять собственные сети (например, личные).
- Пользователи не могут добавлять или изменять сети Wi-Fi на устройстве. Подключение по Wi-Fi возможно только к сетям, предоставленным EMM.
4.6. Управление аккаунтом
Системные администраторы могут убедиться, что неавторизованные корпоративные аккаунты не могут взаимодействовать с корпоративными данными в таких сервисах, как хранилище SaaS, приложения для эффективной работы и электронная почта. Без этой функции личные аккаунты можно добавлять в корпоративные приложения, которые также поддерживают пользовательские аккаунты, что позволяет им делиться корпоративными данными с этими личными аккаунтами.
4.6.1. Администраторы могут запретить добавление и изменение аккаунтов.
- При применении этого правила на устройстве поставщики услуг EMM должны установить это ограничение до завершения инициализации, чтобы вы не могли обойти это правило, добавив аккаунты до его вступления в силу.
4.7. Управление аккаунтом Workspace
Эта функция больше не поддерживается. Требования к замене приведены в разделе 3.23.
4.8. Управление сертификатами
Позволяет системным администраторам развертывать на устройствах сертификаты идентификации и центров сертификации, чтобы предоставлять доступ к корпоративным ресурсам.
4.8.1. Системные администраторы могут устанавливать сертификаты идентификации пользователей, созданные PKI, для каждого пользователя. Консоль EMM должна быть интегрирована по крайней мере с одной PKI и распространять сертификаты, созданные в этой инфраструктуре.
4.8.2. Системные администраторы могут устанавливать центры сертификации в управляемом хранилище ключей.
4.9. Продвинутые функции управления сертификатами
Позволяет администраторам выбирать сертификаты, которые должны использовать определенные управляемые приложения. Эта функция также позволяет системным администраторам удалять центры сертификации и сертификаты идентификации с активных устройств. Эта функция запрещает пользователям изменять учетные данные, хранящиеся в управляемом хранилище ключей.
4.9.1. Для любого приложения, распространяемого на устройства, администраторы могут указать сертификат, к которому приложению будет автоматически предоставлен доступ во время выполнения.
- Выбор сертификата должен быть достаточно общим, чтобы можно было использовать одну конфигурацию, которая применяется ко всем пользователям, у каждого из которых может быть сертификат идентификации.
4.9.2. Системные администраторы могут удалять сертификаты из управляемого хранилища ключей без уведомления пользователей.
4.9.3. Администраторы могут в фоновом режиме удалить сертификат ЦС или все несистемные сертификаты ЦС.
4.9.4. Системные администраторы могут запретить пользователям настраивать учетные данные в управляемом хранилище ключей.
4.9.5. Администраторы могут предварительно предоставлять сертификаты для рабочих приложений.
4.10. Делегированное управление сертификатами
Администраторы могут распространять сторонние приложения для управления сертификатами на устройствах и предоставлять этим приложениям привилегированный доступ для установки сертификатов в управляемом хранилище ключей.
4.10.1. Администраторы указывают пакет управления сертификатами, который контроллер политики устройств должен назначить делегированным приложением для управления сертификатами.
- Консоль может предлагать известные пакеты управления сертификатами, но должна позволять системному администратору выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.11. Продвинутые функции управления VPN
Позволяет системным администраторам указать постоянную сеть VPN, чтобы данные из определенных управляемых приложений всегда передавались через настроенную сеть VPN.
4.11.1. Администраторы могут указать произвольный пакет VPN, который будет использоваться в качестве постоянной сети VPN.
- В консоли EMM могут предлагаться известные пакеты VPN, поддерживающие постоянную сеть VPN, но нельзя ограничить список доступных VPN-сетей для настройки постоянной сети VPN.
4.11.2. Администраторы могут использовать управляемые конфигурации, чтобы задавать настройки VPN для приложения.
4.12. Управление IME
Администраторы могут управлять способами ввода, которые можно настраивать на устройствах. Поскольку IME используется как в рабочем, так и в личном профиле, блокировка IME также запретит их использование в личных целях. Однако администраторы не могут блокировать системные редакторы методов ввода в рабочих профилях (подробнее об этом рассказывается в разделе "Расширенное управление редакторами методов ввода").
4.12.1. Системные администраторы могут настроить белый список IME произвольной длины (в том числе пустой, который блокирует все IME, кроме системных). В него можно добавить любые пакеты IME.
- В консоли EMM могут предлагаться известные или рекомендуемые IME для включения в белый список, но у администраторов должна быть возможность выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.12.2. Решение EMM должно информировать системных администраторов о том, что системные редакторы методов ввода не управляются на устройствах с рабочими профилями.
4.13. Продвинутые функции управления IME
Администраторы могут управлять способами ввода, которые можно настраивать на устройствах. Расширенное управление IME позволяет администраторам управлять использованием системных IME, которые обычно предоставляются производителем устройства или оператором связи.
4.13.1. Администраторы могут настроить белый список редакторов метода ввода произвольной длины (за исключением пустого списка, который блокирует все редакторы метода ввода, включая системные), который может содержать любые пакеты редакторов метода ввода.
- В консоли EMM могут предлагаться известные или рекомендуемые IME для включения в белый список, но у администраторов должна быть возможность выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.13.2. EMM-поставщики должны запретить администраторам создавать пустые белые списки, так как это заблокирует настройку всех IME на устройстве, включая системные.
4.13.3. Поставщики услуг по управлению мобильной инфраструктурой предприятия должны убедиться, что если в белом списке нет системных редакторов методов ввода, то сторонние редакторы методов ввода устанавливаются автоматически до применения белого списка на устройстве.
4.14. Управление сервисами специальных возможностей
Администраторы могут управлять тем, какие специальные возможности разрешены на устройствах пользователей. Хотя специальные возможности – это мощные инструменты для пользователей с ограниченными возможностями или тех, кто временно не может полноценно взаимодействовать со своим устройством, они могут взаимодействовать с корпоративными данными способами, не соответствующими корпоративной политике. Эта функция позволяет системным администраторам отключать любые несистемные специальные возможности.
4.14.1. Системные администраторы могут настроить белый список специальных возможностей произвольной длины (в том числе пустой список, который блокирует несистемные специальные возможности), который может содержать любой произвольный пакет специальных возможностей. Если правило применяется к рабочему профилю, оно влияет и на личный, и на рабочий профиль.
- Консоль может предлагать известные или рекомендуемые специальные возможности для добавления в белый список, но должна позволять системным администраторам выбирать из списка приложений, доступных для установки, для соответствующих пользователей.
4.15. Управление передачей геоданных
Системные администраторы могут запретить пользователям делиться данными о местоположении с приложениями в рабочем профиле. В противном случае настройки геолокации для рабочих профилей можно задать в разделе "Настройки".
4.15.1. Системные администраторы могут отключить геолокацию в рабочем профиле.
4.16. Продвинутые функции управления передачей геоданных
Системные администраторы могут принудительно задавать настройки передачи геоданных на управляемых устройствах. Эта функция позволяет корпоративным приложениям всегда иметь доступ к точным данным о местоположении. Эта функция также может гарантировать, что дополнительный заряд батареи не будет расходоваться, если ограничить настройки геолокации режимом экономии заряда батареи.
4.16.1. Системные администраторы могут настроить сервисы геолокации на устройстве, выбрав один из следующих режимов:
- По всем источникам.
- Только датчики, например GPS, но не местоположение, определяемое по сети.
- Экономия заряда батареи. Частота обновлений будет ограничена.
- Выкл.
4.17. Управление защитой после сброса настроек
Позволяет системным администраторам защищать принадлежащие компании устройства от кражи, не давая неавторизованным пользователям сбрасывать настройки. Если защита после сброса настроек усложняет работу администраторов, когда устройства возвращаются в ИТ-отдел, ее можно полностью отключить.
4.17.1. Системные администраторы могут запретить пользователям сбрасывать настройки устройств в разделе "Настройки".
4.17.2. Системные администраторы могут указать корпоративные аккаунты для разблокировки, которым разрешено настраивать устройства после сброса настроек.
- Этот аккаунт может быть привязан к отдельному пользователю или использоваться всей организацией для разблокировки устройств.
4.17.3. Системные администраторы могут отключать защиту после сброса настроек для определенных устройств.
4.17.4. Системные администраторы могут удаленно стереть данные с удаленного устройства и при необходимости удалить данные защиты после сброса настроек, чтобы отключить эту функцию на сброшенном устройстве.
4.18. Расширенные настройки приложений
Системные администраторы могут запретить пользователям удалять или изменять управляемые приложения через настройки, например принудительно закрывать приложение или очищать его кеш.
4.18.1. Администраторы могут запретить удаление любых управляемых приложений или всех управляемых приложений.
4.18.2. Системные администраторы могут запретить пользователям изменять данные приложений в настройках.
4.19. Управление записью экрана
Администраторы могут запретить пользователям делать скриншоты при работе с управляемыми приложениями. В частности, блокируются приложения для демонстрации экрана и другие приложения, которые используют системные функции создания скриншотов (например, Google Ассистент).
4.19.1. Системные администраторы могут запретить пользователям делать скриншоты.
4.20. Отключение камер
Системные администраторы могут запретить управляемым приложениям использовать камеры устройств.
4.20.1. Системные администраторы могут запретить управляемым приложениям использовать камеры устройств.
4.21. Сбор статистики сети
Системные администраторы могут запрашивать статистику использования сети рабочим профилем устройства. Собранная статистика отражает данные об использовании, которые показываются пользователям в разделе Передача данных в настройках. Собранная статистика относится к использованию приложений в рабочем профиле.
4.21.1. Системные администраторы могут запрашивать сводную статистику сети для рабочего профиля на определенном устройстве за заданный период времени и просматривать эти данные в консоли EMM.
4.21.2. Системные администраторы могут запрашивать сводку по статистике использования сети приложением в рабочем профиле для определенного устройства и настраиваемого временного окна, а также просматривать эти сведения, упорядоченные по UID, в консоли EMM.
4.21.3. Системные администраторы могут запрашивать статистику использования сети рабочим профилем для определенного устройства и настраиваемого периода времени, а также просматривать эти данные, упорядоченные по UID, в консоли EMM.
4.22. Продвинутый сбор статистики сети
Системные администраторы могут запрашивать статистику использования сети для всего управляемого устройства. Собранная статистика отражает данные об использовании, которые показываются пользователям в разделе Использование данных в настройках. Собранная статистика относится к использованию приложений на устройстве.
4.22.1. Системные администраторы могут запрашивать сводку статистики сети для всего устройства за определенный период времени и просматривать эти данные в консоли EMM.
4.22.2. Системные администраторы могут запрашивать сводку по статистике использования сети приложениями для определенного устройства и настраиваемого временного окна, а также просматривать эти сведения, упорядоченные по UID, в консоли EMM.
4.22.3. Системные администраторы могут запрашивать статистику использования сети для определенного устройства и настраиваемого периода времени, а также просматривать эти данные, упорядоченные по UID, в консоли EMM.
4.23. Перезагрузка устройства
Системные администраторы могут удаленно перезапускать управляемые устройства.
4.23.1. Системные администраторы могут удаленно перезагружать управляемые устройства.
4.24. Управление системным приемопередатчиком
Позволяет системным администраторам точно настраивать сетевые радиомодули и связанные с ними правила использования.
4.24.1. Администраторы могут отключить оповещения населения, отправляемые поставщиками услуг, например оповещения AMBER.
4.24.2. Системные администраторы могут запретить пользователям изменять настройки мобильной сети в настройках.
4.24.3. Системные администраторы могут запретить пользователям сбрасывать настройки сети в приложении "Настройки".
4.24.4. Системные администраторы могут разрешать или запрещать мобильный интернет в роуминге.
4.24.5. Системные администраторы могут разрешить или запретить исходящие вызовы, кроме экстренных вызовов.
4.24.6. Администраторы могут настроить отправку и получение текстовых сообщений на устройстве.
4.24.7. Системные администраторы могут запретить пользователям использовать устройство в качестве портативной точки доступа в режиме модема.
4.24.8. Администраторы могут задать время ожидания Wi-Fi: по умолчанию, только при подключении к сети или никогда.
4.24.9. Системные администраторы могут запретить пользователям настраивать или изменять существующие подключения Bluetooth.
4.25. Управление системным аудио
Системные администраторы могут управлять аудиофункциями устройства, в том числе отключать звук, запрещать пользователям изменять настройки громкости и включать микрофон.
4.25.1. Системные администраторы могут отключать звук на управляемых устройствах.
4.25.2. Системные администраторы могут запретить пользователям изменять настройки громкости на устройствах.
4.25.3. Системные администраторы могут запретить пользователям включать микрофон устройства.
4.26. Управление системными часами
Системные администраторы могут управлять настройками часов и часового пояса на устройствах и запрещать пользователям изменять автоматические настройки устройств.
4.26.1. Системные администраторы могут принудительно включить автоматическую настройку времени, чтобы пользователи не могли менять дату и время на устройстве.
4.26.2. Системные администраторы могут без уведомления включать и отключать автоматическую настройку времени и автоматическую настройку часового пояса.
4.27. Продвинутые функции специализированных устройств
Предоставляет системным администраторам возможность управлять более детализированными функциями специализированных устройств для поддержки различных сценариев использования киосков.
4.27.1. Системные администраторы могут отключать блокировку экрана.
4.27.2. Системные администраторы могут отключать строку состояния устройства, блокируя уведомления и быстрые настройки.
4.27.3. Системные администраторы могут настроить постоянную работу экрана, когда устройство подключено к сети.
4.27.4. Системные администраторы могут запретить показ следующих элементов системного интерфейса:
- Тосты
- Оверлеи приложений.
4.27.5. Системные администраторы могут разрешить системную рекомендацию для приложений, чтобы пропускать руководства и другие вводные подсказки при первом запуске.
4.28. Управление делегированными областями действия
Администраторы могут делегировать дополнительные права отдельным пакетам.
4.28.1. Администраторы могут управлять следующими областями действия:
- Установка сертификатов и управление ими
- Пустое поле
- Ведение сетевого журнала
- Журнал безопасности (не поддерживается для рабочих профилей на личных устройствах).
4.29. Поддержка идентификаторов, привязанных к регистрации
Начиная с Android 12 у рабочих профилей больше не будет доступа к идентификаторам, связанным с аппаратным обеспечением. Системные администраторы могут отслеживать жизненный цикл устройства с рабочим профилем по идентификатору регистрации, который сохраняется даже после сброса настроек.
4.29.1. Администраторы могут задавать и получать идентификатор, связанный с регистрацией.
4.29.2. Этот идентификатор, привязанный к регистрации, должен сохраняться после сброса настроек.
4.30. Правила Менеджера учетных данных
Системные администраторы могут разрешать или запрещать использование менеджеров учетных данных с помощью правил.
4.30.1. Системные администраторы могут заблокировать все менеджеры учетных данных на устройстве или в рабочем профиле.
4.30.2. Намеренно оставлено пустым.
4.30.3. Системные администраторы могут указать список названий пакетов, которым разрешено предлагать функции менеджера учетных данных.
4.31. Базовое управление eSIM
Позволяет системным администраторам настраивать профиль eSIM на устройстве и управлять его жизненным циклом.
4.31.1. Системные администраторы могут автоматически настраивать профиль eSIM на устройстве.
4.31.2. Системные администраторы могут удалять управляемые eSIM с устройства.
4.31.3. Системные администраторы могут запретить пользователям изменять настройки мобильной сети в разделе "Настройки" (mobileNetworksConfigDisabled).
4.31.4. Когда системный администратор выполняет удаленную очистку устройства или рабочего профиля, он также может удалить с устройства управляемые eSIM. По умолчанию управляемые eSIM удаляются из рабочих профилей на личных устройствах, но сохраняются на корпоративных.
4.31.5. (НЕОБЯЗАТЕЛЬНО) Системные администраторы могут получать идентификатор EID (встроенный идентификационный документ) устройства с помощью консоли EMM (или эквивалентного метода) и экспортировать эти значения.
5. Удобство использования устройства
5.1. Настройка управляемой инициализации
Администраторы могут изменить стандартный процесс настройки, чтобы включить в него корпоративные функции. При необходимости системные администраторы могут настроить показ фирменного оформления, предоставленного EMM-поставщиком, во время инициализации.
5.1.1. Администраторы могут настроить процесс инициализации, указав следующие сведения о компании: корпоративный цвет, корпоративный логотип, условия использования и другие заявления об отказе от обязательств.
5.1.2. Администраторы могут развернуть ненастраиваемую персонализацию, которая включает следующие сведения: цвет EMM, логотип EMM, Условия использования EMM и другие заявления об отказе от обязательств.
5.1.3. Метод [primaryColor] больше не поддерживается для ресурса enterprise на устройствах с Android 10 и более поздними версиями.
- Поставщики EMM должны включить Условия использования и другие заявления об отказе от обязательств в пакет заявлений об отказе от обязательств при инициализации системы, даже если персонализация EMM не используется.
- Поставщики EMM могут задать свои собственные настройки, которые нельзя изменить, в качестве настроек по умолчанию для всех развертываний, но они должны разрешить системным администраторам задавать собственные настройки.
5.2. Настройка для организаций
Системные администраторы могут настраивать фирменное оформление в интерфейсе рабочих профилей. Например, системный администратор может установить логотип компании в качестве значка пользователя в рабочем профиле. Другой пример – настройка цвета фона для рабочей задачи.
5.2.1. Системные администраторы могут задать цвет организации, который будет использоваться в качестве фона для запроса на доступ к рабочему профилю.
5.2.2. Системные администраторы могут задавать отображаемое название рабочего профиля.
5.2.3. Системные администраторы могут задать значок пользователя для рабочего профиля.
5.2.4. Системные администраторы могут запретить пользователям изменять значок пользователя в рабочем профиле.
5.3. Продвинутая настройка для организаций
Системные администраторы могут настраивать фирменное оформление на управляемых устройствах. Например, системные администраторы могут установить в качестве значка основного пользователя логотип компании или задать обои устройства.
5.3.1. Системные администраторы могут задавать отображаемое название для управляемого устройства.
5.3.2. Администраторы могут установить значок пользователя для управляемого устройства.
5.3.3. Системные администраторы могут запретить пользователям изменять значок пользователя устройства.
5.3.4. Системные администраторы могут устанавливать обои на устройствах.
5.3.5. Системные администраторы могут запретить пользователям менять обои на устройстве.
5.4. Сообщения на заблокированном экране
Администраторы могут задать специальное сообщение, которое будет всегда показываться на заблокированном экране устройства. Чтобы его увидеть, разблокировать устройство не нужно.
5.4.1. Системные администраторы могут настроить специальное сообщение на заблокированном экране.
5.5. Управление прозрачностью правил
Администраторы могут настраивать текст справки, который показывается пользователям при изменении управляемых настроек на устройстве, или развертывать стандартное сообщение службы поддержки, предоставляемое EMM. Вы можете настроить как короткое, так и длинное сообщение. Например, если пользователь попытается удалить управляемое приложение, для которого системный администратор заблокировал удаление.
5.5.1. Администраторы могут настраивать как короткие, так и длинные сообщения.
5.5.2. Администраторы могут развертывать ненастраиваемые краткие и подробные сообщения службы поддержки, относящиеся к EMM.
- EMM-поставщик может задать собственные сообщения службы поддержки, которые нельзя настроить, в качестве сообщений по умолчанию для всех развертываний, но должен разрешить ИТ-администраторам настраивать собственные сообщения.
5.6. Управление контактами в разных профилях
Администраторы могут контролировать, какие контактные данные можно переносить из рабочего профиля. Приложения для звонков и обмена сообщениями (SMS) должны работать в личном профиле и иметь доступ к контактным данным рабочего профиля, чтобы обеспечивать эффективное взаимодействие с рабочими контактами. Однако администраторы могут отключить эти функции для защиты рабочих данных.
5.6.1. Системные администраторы могут отключить поиск контактов в разных профилях для личных приложений, которые используют системного поставщика контактов.
5.6.2. Системные администраторы могут отключить поиск по идентификатору вызывающего абонента между профилями для приложений для звонков в личном профиле, которые используют системного поставщика контактов.
5.6.3. Системные администраторы могут запретить передачу контактов на устройства Bluetooth, которые используют системного поставщика контактов, например на гарнитуры или автомобильные системы громкой связи.
5.7. Управление данными в разных профилях
Позволяет системным администраторам управлять тем, какие данные могут передаваться за пределы рабочего профиля, помимо стандартных функций безопасности рабочего профиля. С помощью этой функции системные администраторы могут разрешить определенные типы передачи данных между профилями, чтобы повысить удобство использования в ключевых сценариях. Системные администраторы могут дополнительно защитить корпоративные данные, заблокировав определенные функции.
5.7.1. Системные администраторы могут настроить фильтры интентов между профилями, чтобы личные приложения могли обрабатывать интенты из рабочего профиля, например интенты обмена данными или веб-ссылки.
- В консоли могут предлагаться известные или рекомендуемые фильтры интентов, но их нельзя ограничить произвольным списком.
5.7.2. Системные администраторы могут разрешить управляемым приложениям показывать виджеты на главном экране.
- В консоли EMM у администраторов должна быть возможность выбирать приложения из списка доступных для установки.
5.7.3. Системные администраторы могут запретить копирование и вставку данных между рабочим и личным профилями.
5.7.4. Системные администраторы могут запретить пользователям передавать данные из рабочего профиля с помощью NFC.
5.7.5. Системные администраторы могут разрешить личным приложениям открывать веб-ссылки из рабочего профиля.
5.8. Правила в отношении обновления системы
Администраторы могут настраивать и применять беспроводные обновления системы на устройствах.
5.8.1. В консоли EMM системные администраторы могут задать следующие настройки OTA:
- Автоматически. Устройства устанавливают беспроводные обновления, когда они становятся доступны.
- Откладывание. Системные администраторы должны иметь возможность отложить беспроводное обновление на срок до 30 дней. Это правило не влияет на обновления системы безопасности (например, ежемесячные исправления уязвимости).
- Обновление в определенное время. Администраторы должны иметь возможность планировать беспроводные обновления в рамках ежедневного перерыва на техническое обслуживание.
5.8.2. Контроллер политики устройств EMM применяет конфигурации OTA к устройствам.
5.9. Управление режимом блокировки задач
Системные администраторы могут закрепить одно или несколько приложений на экране. Пользователь не может выйти из таких приложений.
5.9.1. Консоль EMM позволяет администраторам разрешать установку и блокировку на устройстве произвольного набора приложений. Контроллер политики устройств EMM поддерживает режим специализированного устройства.
5.10. Управление приоритетными действиями
Позволяет системным администраторам назначать приложение обработчиком по умолчанию для интентов, соответствующих определенному фильтру интентов. Например, администратор может выбрать, в каком браузере будут открываться ссылки или какое приложение будет запускаться при нажатии кнопки главного экрана.
5.10.1. Администраторы могут установить любой пакет в качестве обработчика намерений по умолчанию для любого фильтра намерений.
- В консоли EMM могут предлагаться известные или рекомендуемые намерения для настройки, но намерения не могут быть ограничены произвольным списком.
- В консоли EMM у администраторов должна быть возможность выбирать приложения из списка доступных для установки.
5.11. Управление функциями блокировки клавиатуры
Администраторы могут управлять функциями, доступными пользователям до разблокировки заблокированного экрана устройства и заблокированного экрана рабочего профиля.
5.11.1. Контроллер политики устройств EMM может отключать следующие функции блокировки клавиатуры:
- агенты доверия
- разблокировка с помощью отпечатка пальца
- уведомления с конфиденциальной информацией
5.11.2. Контроллер политики устройств EMM может отключить следующие функции блокировки экрана в рабочем профиле:
- агенты доверия
- Разблокировка по отпечатку пальца
5.12. Продвинутое управление функциями блокировки клавиатуры
Системные администраторы могут управлять расширенными функциями блокировки клавиатуры (заблокированного экрана) на корпоративных устройствах.
5.12.1. Администраторы могут отключить следующие функции блокировки экрана:
- Безопасная камера
- Все уведомления
- Неотредактированные уведомления
- Агенты доверия
- Разблокировка по отпечатку пальца
- Все функции блокировки экрана
5.13. Удаленная отладка
Системные администраторы могут получать ресурсы отладки с устройств без дополнительных действий.
5.13.1. Системные администраторы могут удаленно запрашивать отчеты об ошибках, а также просматривать и скачивать их в консоли EMM.
5.14. Получение MAC-адресов
EMM-решения могут получать MAC-адрес устройства в фоновом режиме. MAC-адрес можно использовать для идентификации устройств в других частях инфраструктуры предприятия (например, при идентификации устройств для контроля доступа к сети).
5.14.1. EMM может незаметно получить MAC-адрес устройства и связать его с устройством в консоли EMM.
5.15. Расширенные настройки режима блокировки задач
Если устройство настроено как специализированное устройство, ИТ-администраторы могут использовать консоль EMM для выполнения следующих задач:
5.15.1. Разрешить одному приложению блокировать устройство с помощью контроллера политик EMM.
5.15.2. Включите или отключите следующие функции системного интерфейса с помощью контроллера политики устройств EMM:
- Кнопка главного экрана
- Обзор
- Общие действия
- Уведомления
- Информация о системе / строка состояния
- Заблокированный экран
5.15.3. Отключите диалоговые окна системных ошибок с помощью контроллера политики устройств EMM.
5.16. Расширенные правила в отношении обновления системы
Системные администраторы могут блокировать обновления системы на устройстве на определенный период.
5.16.1. Контроллер политики устройств EMM может применять беспроводные обновления системы на устройствах в течение указанного периода без обновлений.
5.17. Управление прозрачностью правил для рабочего профиля
Системные администраторы могут настраивать сообщение, которое показывается пользователям при удалении рабочего профиля с устройства.
5.17.1. Администраторы могут задать собственный текст, который будет показываться при удалении рабочего профиля.
5.18. Поддержка подключенных приложений
Системные администраторы могут задать список пакетов, которые могут обмениваться данными за пределами рабочего профиля.
5.19. Обновление системы вручную
Администраторы могут вручную установить обновление системы, указав путь.
6. Прекращение поддержки Device Admin
Этот раздел удален.
7. Использование API
7.1. Стандартный контроллер правил для новых привязок
По умолчанию для управления устройствами с новыми привязками должно использоваться приложение Android Device Policy. В некоторых EMM-решениях есть возможность управлять устройствами с помощью собственного контроллера политики устройств. Эта функция может находиться в разделе "Дополнительно" или аналогичном. Новые клиенты не должны сталкиваться с произвольным выбором между стеками технологий во время интеграции или настройки.
7.2. Стандартный контроллер политик для новых устройств
По умолчанию для управления всеми новыми зарегистрированными устройствами, как с существующими, так и с новыми привязками, должно использоваться приложение Android Device Policy. Поставщики EMM могут предлагать возможность управлять устройствами с помощью собственного DPC в разделе настроек "Расширенные" или аналогичном.