Cette page liste l'ensemble des fonctionnalités d'Android Enterprise.
Si vous prévoyez de gérer plus de 500 appareils, votre solution EMM doit prendre en charge toutes les fonctionnalités standards () d'au moins un ensemble de solutions avant de pouvoir être commercialisée. Les développeurs EMM qui souhaitent que leurs solutions soient listées dans le Répertoire des solutions d'entreprise d'Android comme offrant un ensemble de gestion standard doivent réussir la validation des fonctionnalités standards et devenir membres de notre Programme Partenaires Android Enterprise.
Un ensemble supplémentaire de fonctionnalités avancées est disponible pour chaque ensemble de solutions. Ces fonctionnalités sont indiquées sur chaque page d'ensemble de solutions : profil professionnel sur un appareil personnel, profil professionnel sur un appareil détenu par l'entreprise, appareil entièrement géré et appareil dédié. Les développeurs EMM membres du programme de partenariat AE dont les solutions ont été validées pour les fonctionnalités avancées sont listés dans le Répertoire des solutions d'entreprise d'Android comme proposant un ensemble de gestion avancée.
Clé
| fonctionnalité standard | fonctionnalité avancée | fonctionnalité facultative | non applicable |
1. Préparation de l'appareil
1.1. Provisionnement du profil professionnel via DPC
Vous pouvez provisionner un profil professionnel après avoir téléchargé le DPC de l'EMM depuis Google Play.
1.1.1. Le DPC de l'EMM doit être disponible publiquement sur Google Play afin que les utilisateurs puissent l'installer sur la partie personnelle de l'appareil.
1.1.2. Une fois installé, le DPC doit guider l'utilisateur tout au long du processus de provisionnement d'un profil professionnel.
1.1.3. Une fois le provisionnement terminé, aucune présence de gestion ne peut subsister sur le côté personnel de l'appareil.
- Toutes les règles mises en place lors du provisionnement doivent être supprimées.
- Les droits de l'application doivent être révoqués.
- Le DPC de l'EMM doit être au moins désactivé sur le profil personnel de l'appareil.
1.2. Préparation de l'appareil avec identifiant DPC
Les administrateurs informatiques peuvent provisionner un appareil entièrement géré ou un appareil dédié à l'aide d'un identifiant DPC ("afw#"), conformément aux consignes d'implémentation définies dans la documentation pour les développeurs de l'API Play EMM.
1.2.1. Le DPC de l'EMM doit être accessible au public sur Google Play. Le DPC doit pouvoir être installé à partir de l'assistant de configuration de l'appareil en saisissant un identifiant spécifique au DPC.
1.2.2. Une fois installé, le DPC de l'EMM doit guider l'utilisateur tout au long du processus de provisionnement d'un appareil entièrement géré ou dédié.
1.3. Préparation de l'appareil via NFC
Les tags NFC peuvent être utilisés par les administrateurs informatiques pour provisionner des appareils neufs ou dont la configuration d'usine a été rétablie, conformément aux consignes d'implémentation définies dans la documentation pour les développeurs de l'API Play EMM.
1.3.1. Les EMM doivent utiliser des tags NFC Forum de type 2 avec au moins 888 octets de mémoire. Le provisionnement doit utiliser des extras de provisionnement pour transmettre à un appareil des informations d'enregistrement non sensibles, telles que des ID de serveur et des ID d'enregistrement. Les informations d'enregistrement ne doivent pas inclure d'informations sensibles, telles que des mots de passe ou des certificats.
1.3.2. Une fois que le DPC de l'EMM s'est défini comme propriétaire de l'appareil, il doit s'ouvrir immédiatement et se verrouiller à l'écran jusqu'à ce que l'appareil soit entièrement provisionné. 1.3.3. Nous vous recommandons d'utiliser des tags NFC pour Android 10 et versions ultérieures, car NFC Beam (également appelé NFC Bump) est obsolète.
1.4. Préparation de l'appareil via QR code
Les administrateurs informatiques peuvent utiliser un appareil neuf ou dont la configuration d'usine a été rétablie pour scanner un QR code généré par la console de l'EMM afin de provisionner l'appareil, conformément aux consignes d'implémentation définies dans la documentation pour les développeurs de l'API Play EMM.
1.4.1. Le QR code doit utiliser des extras de provisionnement pour transmettre à un appareil des informations d'enregistrement non sensibles, telles que des ID de serveur et des ID d'enregistrement. Les informations d'enregistrement ne doivent pas inclure d'informations sensibles, telles que des mots de passe ou des certificats.
1.4.2. Une fois que le DPC de l'EMM a configuré l'appareil, il doit s'ouvrir immédiatement et se verrouiller à l'écran jusqu'à ce que l'appareil soit entièrement provisionné.
1.5. Enregistrement sans contact
Cette exigence a été remplacée par l'exigence 1.6.
1.6. Provisionnement sans contact
Les administrateurs informatiques peuvent automatiser une grande partie du processus d'enregistrement des appareils en déployant les informations d'enregistrement du DPC via l'enregistrement sans contact. Le DPC de l'EMM permet de limiter l'enregistrement à des comptes ou domaines spécifiques, en fonction des options de configuration proposées par l'EMM.
1.6.1. Les administrateurs informatiques peuvent provisionner un appareil appartenant à l'entreprise à l'aide de la méthode d'enregistrement sans contact, décrite dans Enregistrement sans contact pour les administrateurs informatiques.
1.6.2. Une fois que le DPC de l'EMM a configuré l'appareil, il doit s'ouvrir immédiatement et se verrouiller à l'écran jusqu'à ce que l'appareil soit entièrement provisionné.
- Cette exigence ne s'applique pas aux appareils qui utilisent les informations d'enregistrement sans contact pour se provisionner entièrement de manière silencieuse (par exemple, dans un déploiement d'appareils dédiés).
1.6.3. À l'aide des informations d'enregistrement, le DPC de l'EMM doit s'assurer que les utilisateurs non autorisés ne peuvent pas procéder à l'activation une fois le DPC appelé. Au minimum, l'activation doit être limitée aux utilisateurs d'une entreprise donnée.
1.6.4. À l'aide des informations d'enregistrement, le DPC de l'EMM doit permettre aux administrateurs informatiques de préremplir les informations d'enregistrement (par exemple, les ID de serveur et d'enregistrement), à l'exception des informations uniques sur l'utilisateur ou l'appareil (par exemple, le nom d'utilisateur/mot de passe et le jeton d'activation), afin que les utilisateurs n'aient pas à saisir d'informations lors de l'activation d'un appareil.
- Les EMM ne doivent pas inclure d'informations sensibles, telles que des mots de passe ou des certificats, dans la configuration de l'enregistrement sans contact.
1.7. Provisionnement du profil professionnel via un compte Google
Cette exigence est supprimée et remplacée par l'exigence 3.23.
1.8. Préparation de l'appareil via un compte Google
Cette exigence est supprimée et remplacée par l'exigence 3.23.
1.9. Configuration directe sans contact
Les administrateurs informatiques peuvent utiliser la console de l'EMM pour configurer des appareils sans contact à l'aide de l'iFrame sans contact.
1.10. Profils professionnels sur les appareils d'entreprise
Les EMM peuvent enregistrer les appareils détenus par l'entreprise disposant d'un profil professionnel.
1.10.1. Deliberately blank.
1.10.2. Les administrateurs informatiques peuvent définir des actions de conformité pour les profils professionnels sur les appareils appartenant à l'entreprise.
1.10.3. Les administrateurs informatiques peuvent désactiver l'appareil photo dans le profil professionnel ou sur l'ensemble de l'appareil.
1.10.4. Les administrateurs informatiques peuvent désactiver la capture d'écran dans le profil professionnel ou sur l'ensemble de l'appareil.
1.10.5. Les administrateurs informatiques peuvent définir une liste de blocage des applications qui ne peuvent pas être installées dans le profil personnel.
1.10.6. Les administrateurs informatiques peuvent renoncer à la gestion d'un appareil appartenant à l'entreprise en supprimant le profil professionnel ou en effaçant l'intégralité de l'appareil.
1.11. Préparation des appareils dédiés
Les administrateurs informatiques peuvent enregistrer des appareils dédiés sans que l'utilisateur soit invité à s'authentifier avec un compte Google.
2. Sécurité des appareils
2.1. Question d'authentification sur l'appareil
Les administrateurs informatiques peuvent définir et appliquer un test de sécurité (code, schéma ou mot de passe) sur les appareils gérés, en choisissant parmi trois niveaux de complexité prédéfinis.
2.1.1. La règle doit appliquer des paramètres gérant les défis de sécurité de l'appareil (parentProfilePasswordRequirements pour le profil professionnel, passwordRequirements pour les appareils entièrement gérés et dédiés).
2.1.2. La complexité du mot de passe doit correspondre aux complexités de mot de passe suivantes :
- PASSWORD_COMPLEXITY_LOW : schéma ou code à chiffres répétés (4444) ou ordonnés (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM : code sans séquences répétées (4444) ou ordonnées (1234, 4321, 2468), mot de passe alphabétique ou alphanumérique d'au moins quatre caractères
- PASSWORD_COMPLEXITY_HIGH : code sans séquences répétées (4444) ou ordonnées (1234, 4321, 2468) et d'une longueur d'au moins huit caractères, ou mot de passe alphabétique ou alphanumérique d'une longueur d'au moins six caractères.
2.1.3. Des restrictions supplémentaires concernant les mots de passe peuvent également être appliquées en tant que paramètres d'ancienne génération sur les appareils appartenant à l'entreprise.
2.2. Question d'authentification professionnelle
Les administrateurs informatiques peuvent définir et appliquer une question de sécurité pour les applications et les données du profil professionnel, qui est distincte de la question de sécurité de l'appareil (2.1) et qui comporte des exigences différentes.
2.2.1. La règle doit appliquer la question d'authentification pour le profil professionnel. Par défaut, les administrateurs informatiques ne doivent définir des restrictions que pour le profil professionnel si aucun champ d'application n'est spécifié. Les administrateurs informatiques peuvent définir ces restrictions pour l'ensemble de l'appareil en spécifiant le champ d'application (voir l'exigence 2.1).
2.1.2. La complexité du mot de passe doit correspondre aux complexités de mot de passe suivantes :
- PASSWORD_COMPLEXITY_LOW : schéma ou code comportant des séquences répétées (4444) ou ordonnées (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM : code sans séquences répétées (4444) ou ordonnées (1234, 4321, 2468), mot de passe alphabétique ou alphanumérique d'une longueur d'au moins 4 caractères.
- PASSWORD_COMPLEXITY_HIGH : code d'au moins huit chiffres sans séquences répétées (4444) ou ordonnées (1234, 4321, 2468), ou mot de passe alphabétique ou alphanumérique d'au moins six caractères
2.3. Gestion avancée des codes secrets
2.3.1. Deliberately blank.
2.3.2. Deliberately blank.
2.3.3. Les paramètres de cycle de vie du mot de passe suivants peuvent être définis pour chaque écran de verrouillage disponible sur un appareil :
- Laissé vide intentionnellement
- Laissé vide intentionnellement
- Nombre maximal de mots de passe incorrects avant effacement : indique le nombre de fois où les utilisateurs peuvent saisir un mot de passe incorrect avant que les données d'entreprise ne soient effacées de l'appareil. Les administrateurs informatiques doivent pouvoir désactiver cette fonctionnalité.
2.4. Gestion de Smart Lock
Les administrateurs informatiques peuvent gérer les agents de confiance de la fonctionnalité Smart Lock d'Android qui sont autorisés à déverrouiller les appareils. Les administrateurs informatiques peuvent désactiver certains modes de déverrouillage, tels que les appareils Bluetooth vérifiés, la reconnaissance faciale et la reconnaissance vocale, ou désactiver complètement la fonctionnalité.
2.4.1. Les administrateurs informatiques peuvent désactiver les agents de confiance Smart Lock, indépendamment pour chaque écran de verrouillage disponible sur l'appareil.
2.4.2. Les administrateurs informatiques peuvent autoriser et configurer de manière sélective les agents de confiance Smart Lock, indépendamment pour chaque écran de verrouillage disponible sur l'appareil, pour les agents de confiance suivants : Bluetooth, NFC, lieux, visage, détection de l'appareil lorsqu'il est porté et voix.
- Les administrateurs informatiques peuvent modifier les paramètres de configuration de l'agent de confiance disponibles.
2.5. Effacer et verrouiller
Les administrateurs informatiques peuvent utiliser la console EMM pour verrouiller et effacer à distance les données professionnelles d'un appareil géré.
2.5.1. Le DPC de l'EMM doit verrouiller les appareils.
2.5.2. Le DPC de l'EMM doit effacer les appareils.
2.6. Appliquer les critères de conformité
Si un appareil n'est pas conforme aux règles de sécurité, les données professionnelles sont automatiquement limitées.
2.6.1. Les règles de sécurité appliquées sur un appareil doivent au moins inclure une règle de mot de passe.
2.7. Règles de sécurité par défaut
Les EMM doivent appliquer les règles de sécurité spécifiées sur les appareils par défaut, sans que les administrateurs informatiques aient à configurer ou à personnaliser des paramètres dans la console de l'EMM. Les EMM sont encouragés (mais pas obligés) à ne pas autoriser les administrateurs informatiques à modifier l'état par défaut de ces fonctionnalités de sécurité.
2.7.1. Le DPC de l'EMM doit bloquer l'installation d'applications provenant de sources inconnues, y compris les applications installées sur le profil personnel de tout appareil Android 8.0 ou version ultérieure doté d'un profil professionnel.
2.7.2. Le DPC de l'EMM doit bloquer les fonctionnalités de débogage.
2.8. Règles de sécurité pour les appareils dédiés
Les appareils dédiés sont verrouillés sans possibilité d'effectuer d'autres actions.
2.8.1. Le DPC de l'EMM doit désactiver le démarrage en mode sans échec par défaut.
2.8.2. Le DPC de l'EMM doit être ouvert et verrouillé à l'écran immédiatement au premier démarrage lors du provisionnement, afin d'éviter toute interaction avec l'appareil d'une autre manière.
2.8.3. Le DPC de l'EMM doit être défini comme lanceur d'applications par défaut pour s'assurer que les applications autorisées sont verrouillées à l'écran au démarrage, conformément aux consignes d'implémentation définies.
2.9. Assistance Play Integrity
L'EMM utilise l'API Play Integrity pour s'assurer que les appareils sont des appareils Android valides.
2.9.1. Le DPC de l'EMM implémente l'API Play Integrity lors du provisionnement.
2.9.2. Le DPC de l'EMM effectuera une autre vérification Play Integrity chaque fois qu'un appareil se connectera au serveur de l'EMM, configurable par l'administrateur informatique. Le serveur EMM vérifiera les informations de l'APK dans la réponse de vérification de l'intégrité et la réponse elle-même avant de mettre à jour la règle d'entreprise sur l'appareil.
2.9.3. Les administrateurs informatiques peuvent configurer différentes réponses de règles en fonction du résultat de la vérification Play Integrity, y compris bloquer le provisionnement, effacer les données d'entreprise et autoriser l'enregistrement.
- Le service EMM appliquera cette réponse de règle pour le résultat de chaque vérification d'intégrité.
2.9.4. Si la vérification Play Integrity initiale échoue ou renvoie un résultat qui ne répond pas aux exigences d'intégrité forte, et si le DPC de l'EMM n'a pas déjà appelé ensureWorkingEnvironment, il doit le faire et répéter la vérification avant la fin du provisionnement.
2.10. Mise en œuvre de Vérifier les applications
Les administrateurs informatiques peuvent activer l'option Vérifier les applications sur les appareils. La fonctionnalité Vérifier les applications analyse les applications installées sur les appareils Android avant et après leur installation afin de détecter les logiciels malveillants et de s'assurer qu'ils ne peuvent pas compromettre les données d'entreprise.
2.10.1. Le DPC de l'EMM doit activer la fonctionnalité Vérifier les applications par défaut.
2.11. Compatibilité avec le démarrage direct
Les applications ne peuvent pas s'exécuter sur les appareils Android 7.0 ou version ultérieure qui viennent d'être allumés tant que l'appareil n'a pas été déverrouillé une première fois. La compatibilité avec le démarrage direct garantit que le DPC de l'EMM est toujours actif et capable d'appliquer les règles, même si l'appareil n'a pas été déverrouillé.
2.11.1. Le DPC de l'EMM exploite l'espace de stockage chiffré de l'appareil pour exécuter des fonctions de gestion critiques avant que l'espace de stockage chiffré des identifiants du DPC ne soit déchiffré. Les fonctions de gestion disponibles pendant le démarrage direct doivent inclure (sans s'y limiter) :
- Effacement des données d'entreprise, y compris la possibilité d'effacer les données de protection après rétablissement de la configuration d'usine, le cas échéant.
2.11.2. Le DPC de l'EMM ne doit pas exposer les données d'entreprise dans l'espace de stockage chiffré de l'appareil.
2.11.3. Les EMM peuvent définir et activer un jeton pour activer un bouton Mot de passe oublié sur l'écran de verrouillage du profil professionnel. Ce bouton permet de demander aux administrateurs informatiques de réinitialiser de manière sécurisée le mot de passe du profil professionnel.
2.12. Gestion de la sécurité matérielle
Les administrateurs informatiques peuvent verrouiller les éléments matériels d'un appareil appartenant à l'entreprise pour assurer la protection contre la perte de données.
2.12.1. Les administrateurs informatiques peuvent empêcher les utilisateurs d'installer des supports externes physiques sur leur appareil.
2.12.2. Les administrateurs informatiques peuvent empêcher les utilisateurs de partager des données depuis leur appareil à l'aide de la fonctionnalité NFC Beam. Cette sous-fonctionnalité est facultative, car la fonction de faisceau NFC n'est plus compatible avec Android 10 ou version ultérieure.
2.12.3. Les administrateurs informatiques peuvent empêcher les utilisateurs de transférer des fichiers via USB depuis leur appareil.
2.13. Journalisation de la sécurité pour les entreprises
Les administrateurs informatiques peuvent collecter des données d'utilisation à partir d'appareils qui peuvent être analysés et évalués de manière programmatique pour détecter tout comportement malveillant ou risqué. Les activités enregistrées incluent l'activité Android Debug Bridge (adb), les ouvertures d'applications et les déverrouillages d'écran.
2.13.1. Les administrateurs informatiques peuvent activer la journalisation de sécurité pour des appareils spécifiques, et le DPC de l'EMM doit pouvoir récupérer automatiquement les journaux de sécurité et les journaux de sécurité avant redémarrage.
2.13.2. Les administrateurs informatiques peuvent consulter les journaux de sécurité de l'entreprise pour un appareil donné et une période configurable, dans la console de l'EMM.
2.13.3. Les administrateurs informatiques peuvent exporter les journaux de sécurité de l'entreprise depuis la console EMM.
3. Gestion du compte et des applications
3.1. Liaison d'entreprise
Les administrateurs informatiques peuvent lier l'EMM à leur organisation, ce qui permet à l'EMM d'utiliser Google Play d'entreprise pour distribuer des applications aux appareils.
3.1.1. Un administrateur disposant d'un domaine Google géré peut lier son domaine à l'EMM.
3.1.2. La console de l'EMM doit provisionner et configurer de manière silencieuse un ESA unique pour chaque entreprise.
3.1.3. Désinscrivez une entreprise à l'aide de l'API Play EMM.
3.1.4. La console EMM guide l'administrateur pour qu'il saisisse son adresse e-mail professionnelle dans le flux d'inscription Android et le dissuade d'utiliser un compte Gmail.
3.1.5. L'EMM préremplit l'adresse e-mail de l'administrateur dans le flux d'inscription Android.
3.2. Provisionnement de comptes Google Play d'entreprise
La solution EMM peut provisionner en arrière-plan des comptes utilisateur d'entreprise, appelés comptes Google Play d'entreprise. Ces comptes identifient les utilisateurs gérés et permettent de définir des règles de distribution d'applications uniques par utilisateur.
3.2.1. Le DPC de l'EMM peut provisionner et activer en arrière-plan un compte Google Play d'entreprise conformément aux consignes d'implémentation définies. Pour ce faire :
- Un compte Google Play d'entreprise de type
userAccountest ajouté à l'appareil. - Le compte Google Play d'entreprise de type
userAccountdoit être associé à un seul utilisateur réel dans la console EMM.
3.3. Provisionnement de comptes d'appareil Google Play d'entreprise
L'EMM peut créer et provisionner des comptes d'appareil Google Play d'entreprise. Les comptes d'appareil permettent d'installer silencieusement des applications à partir du Google Play d'entreprise et ne sont pas liés à un seul utilisateur. À la place, un compte d'appareil est utilisé pour identifier un seul appareil afin de prendre en charge les règles de distribution d'applications par appareil dans les scénarios d'appareils dédiés.
3.3.1. Le DPC de l'EMM peut provisionner et activer en arrière-plan un compte Google Play d'entreprise conformément aux consignes d'implémentation définies.
Pour ce faire, un compte Google Play d'entreprise de type deviceAccount doit être ajouté à l'appareil.
3.4. Provisionnement de comptes Google Play d'entreprise pour les anciens appareils
La solution EMM peut provisionner en arrière-plan des comptes utilisateur d'entreprise, appelés comptes Google Play d'entreprise. Ces comptes identifient les utilisateurs gérés et permettent de définir des règles de distribution d'applications uniques par utilisateur.
3.4.1. Le DPC de l'EMM peut provisionner et activer en arrière-plan un compte Google Play d'entreprise conformément aux consignes d'implémentation définies. Pour ce faire :
- Un compte Google Play d'entreprise de type
userAccountest ajouté à l'appareil. - Le compte Google Play d'entreprise de type
userAccountdoit être associé à un seul utilisateur réel dans la console EMM.
3.5. Distribution silencieuse d'applications
Les administrateurs informatiques peuvent distribuer des applications professionnelles sur les appareils des utilisateurs sans aucune interaction de leur part.
3.5.1. La console EMM doit utiliser l'API Play EMM pour permettre aux administrateurs informatiques d'installer des applications professionnelles sur les appareils gérés.
3.5.2. La console EMM doit utiliser l'API Play EMM pour permettre aux administrateurs informatiques de mettre à jour les applications professionnelles sur les appareils gérés.
3.5.3. La console EMM doit utiliser l'API Play EMM pour permettre aux administrateurs informatiques de désinstaller des applications sur les appareils gérés.
3.6. Gestion des configurations gérées
Les administrateurs informatiques peuvent afficher et définir de manière silencieuse des configurations gérées ou n'importe quelle application compatible avec les configurations gérées.
3.6.1. La console de l'EMM doit pouvoir récupérer et afficher les paramètres de configuration gérée de n'importe quelle application Play.
- Les EMM peuvent appeler
Products.getAppRestrictionsSchemapour récupérer le schéma de configurations gérées d'une application ou intégrer le frame de configurations gérées dans leur console EMM.
3.6.2. La console de l'EMM doit permettre aux administrateurs informatiques de définir n'importe quel type de configuration (tel que défini par le framework Android) pour n'importe quelle application Play à l'aide de l'API Play EMM.
3.6.3. La console de l'EMM doit permettre aux administrateurs informatiques de définir des caractères génériques (tels que $username$ ou %emailAddress%) afin qu'une configuration unique pour une application telle que Gmail puisse être appliquée à plusieurs utilisateurs. L'iFrame de configuration gérée est automatiquement compatible avec cette exigence.
3.7. Gestion du catalogue d'applications
Les administrateurs informatiques peuvent importer une liste d'applications approuvées pour leur entreprise depuis Google Play d'entreprise (play.google.com/work).
3.7.1. La console EMM peut afficher la liste des applications approuvées pour la distribution, y compris :
- Applications achetées sur Google Play d'entreprise
- Applications privées visibles par les administrateurs informatiques
- Applications approuvées de manière automatisée
3.8. Approbation programmatique des applications
La console EMM utilise l'iFrame Google Play d'entreprise pour prendre en charge les fonctionnalités de découverte et d'approbation d'applications de Google Play. Les administrateurs informatiques peuvent rechercher des applications, les approuver et approuver de nouvelles autorisations d'application sans quitter la console EMM.
3.8.1. Les administrateurs informatiques peuvent rechercher des applications et les approuver dans la console EMM à l'aide de l'iFrame Google Play d'entreprise.
3.9. Gestion de la mise en page basique du Play Store
L'application Google Play Store gérée peut être utilisée sur les appareils pour installer et mettre à jour des applications professionnelles. La mise en page de base du magasin s'affiche par défaut et liste les applications approuvées pour l'entreprise, que les EMM filtrent par utilisateur en fonction des règles.
3.9.1. Les administrateurs informatiques peuvent [gérer les ensembles de produits disponibles pour les utilisateurs]/android/work/play/emm-api/samples#grant_a_user_access_to_apps) pour permettre l'affichage et l'installation d'applications depuis le Google Play Store d'entreprise dans la section "Accueil du Play Store".
3.10. Configuration avancée de la mise en page du Play Store
Les administrateurs informatiques peuvent personnaliser la mise en page de la plate-forme de téléchargement d'applications dans Google Play d'entreprise sur les appareils.
3.10.1. Les administrateurs informatiques peuvent effectuer les actions suivantes dans la console EMM pour personnaliser la mise en page du Google Play Store d'entreprise :
- Créez jusqu'à 100 pages de mise en page de la boutique. Les pages peuvent avoir un nombre arbitraire de noms de page localisés.
- Créez jusqu'à 30 clusters pour chaque page. Les clusters peuvent avoir un nombre arbitraire de noms de clusters localisés.
- Attribuez jusqu'à 100 applications à chaque cluster.
- Ajoutez jusqu'à 10 liens rapides à chaque page.
- Spécifiez l'ordre de tri des applications dans un cluster et des clusters sur une page.
3.11. Gestion des licences d'application
Cette fonctionnalité est obsolète.
3.12. Gestion des applications privées hébergées par Google
Les administrateurs informatiques peuvent mettre à jour les applications privées hébergées par Google via la console EMM au lieu de la Google Play Console.
3.12.1. Les administrateurs informatiques peuvent importer de nouvelles versions d'applications déjà publiées en mode privé pour l'entreprise à l'aide des éléments suivants :
3.13. Gestion des applications privées auto-hébergées
Cette fonctionnalité est obsolète.
3.14. Notifications d'extraction EMM
Au lieu d'interroger régulièrement Play pour identifier les événements passés, tels qu'une mise à jour d'application contenant de nouvelles autorisations ou configurations gérées, les notifications d'extraction EMM informent de manière proactive les EMM de ces événements en temps réel. Cela permet aux EMM de prendre des mesures automatisées et de fournir des notifications administratives personnalisées en fonction de ces événements.
3.14.1. L'EMM doit utiliser les notifications EMM de Play pour extraire des ensembles de notifications.
3.14.2. L'EMM doit automatiquement informer un administrateur informatique (par exemple, par un e-mail automatisé) des événements de notification suivants :
newPermissionEvent: un administrateur informatique doit approuver les nouvelles autorisations de l'application avant qu'elle puisse être installée ou mise à jour de manière silencieuse sur les appareils des utilisateurs.appRestrictionsSchemaChangeEvent: l'administrateur informatique devra peut-être mettre à jour la configuration gérée d'une application pour maintenir l'efficacité prévue.appUpdateEvent: peut intéresser les administrateurs informatiques qui souhaitent vérifier que les performances du workflow principal ne sont pas affectées par la mise à jour de l'application.productAvailabilityChangeEvent: peut avoir un impact sur la possibilité d'installer l'application ou d'effectuer des mises à jour d'application.installFailureEvent: Play ne peut pas installer silencieusement une application sur un appareil, ce qui suggère que la configuration de l'appareil empêche peut-être l'installation. Les EMM ne doivent pas tenter immédiatement de relancer une installation silencieuse après avoir reçu cette notification, car la logique de nouvelle tentative de Play aura déjà échoué.
3.14.3. L'EMM prend automatiquement les mesures appropriées en fonction des événements de notification suivants :
newDeviceEvent: lors de la préparation de l'appareil, les EMM doivent attendrenewDeviceEventavant d'effectuer des appels d'API Play EMM ultérieurs pour le nouvel appareil, y compris les installations d'applications silencieuses et la définition de configurations gérées.productApprovalEvent: à la réception d'une notificationproductApprovalEvent, l'EMM doit automatiquement mettre à jour la liste des applications approuvées importées dans la console EMM pour distribution aux appareils si une session d'administrateur informatique est active, ou si la liste des applications approuvées n'est pas automatiquement actualisée au début de chaque session d'administrateur informatique.
3.15. Exigences relatives à l'utilisation de l'API
L'EMM implémente les API de Google à grande échelle, en évitant les schémas de trafic qui pourraient nuire à la capacité des administrateurs informatiques à gérer les applications dans les environnements de production.
3.15.1. L'EMM doit respecter les limites d'utilisation de l'API Play EMM. Si vous ne corrigez pas un comportement qui ne respecte pas ces consignes, l'utilisation de l'API pourra être suspendue, à la discrétion de Google.
3.15.2. L'EMM doit répartir le trafic des différentes entreprises tout au long de la journée, plutôt que de le regrouper à des heures spécifiques ou similaires. Un comportement correspondant à ce modèle de trafic, tel que des opérations par lot planifiées pour chaque appareil enregistré, peut entraîner la suspension de l'utilisation de l'API, à la discrétion de Google.
3.15.3. L'EMM ne doit pas envoyer de requêtes cohérentes, incomplètes ou délibérément incorrectes qui ne tentent pas de récupérer ou de gérer les données réelles de l'entreprise. Un comportement correspondant à ce schéma de trafic peut entraîner la suspension de l'utilisation de l'API, à la discrétion de Google.
3.16. Gestion avancée des configurations gérées
3.16.1. La console de l'EMM doit pouvoir récupérer et afficher les paramètres de configuration gérée (imbriqués jusqu'à quatre niveaux) de n'importe quelle application Play, à l'aide des éléments suivants :
- L'iFrame Google Play d'entreprise ou
- une UI personnalisée.
3.16.2. La console EMM doit pouvoir récupérer et afficher tous les commentaires renvoyés par le canal de commentaires d'une application, lorsqu'il est configuré par un administrateur informatique.
- La console EMM doit permettre aux administrateurs informatiques d'associer un élément de feedback spécifique à l'appareil et à l'application d'où il provient.
- La console de l'EMM doit permettre aux administrateurs informatiques de s'abonner à des alertes ou à des rapports de types de messages spécifiques (par exemple, des messages d'erreur).
3.16.3. La console de l'EMM ne doit envoyer que des valeurs qui ont une valeur par défaut ou qui sont définies manuellement par l'administrateur à l'aide de :
- L'iFrame des configurations gérées, ou
- Une UI personnalisée.
3.17. Gestion des applications Web
Les administrateurs informatiques peuvent créer et distribuer des applications Web dans la console EMM.
3.17.1. Les administrateurs informatiques peuvent utiliser la console de l'EMM pour distribuer des raccourcis vers des applications Web à l'aide des éléments suivants :
3.18. Gestion du cycle de vie des comptes Google Play d'entreprise
L'EMM peut créer, mettre à jour et supprimer des comptes Google Play d'entreprise au nom des administrateurs informatiques.
3.18.1. Les EMM peuvent gérer le cycle de vie d'un compte Google Play d'entreprise conformément aux consignes d'implémentation définies dans la documentation pour les développeurs de l'API Play EMM.
3.18.2. Les EMM peuvent réauthentifier les comptes Google Play d'entreprise sans intervention de l'utilisateur.
3.19. Gestion des canaux d'application
3.19.1. Les administrateurs informatiques peuvent extraire une liste des ID de suivi définis par un développeur pour une application spécifique.
3.19.2. Les administrateurs informatiques peuvent configurer les appareils pour qu'ils utilisent un canal de développement particulier pour une application.
3.20. Gestion avancée des mises à jour des applications
3.20.1. Les administrateurs informatiques peuvent autoriser les applications à utiliser les mises à jour d'applications prioritaires pour être mises à jour dès qu'une mise à jour est prête.
3.20.2. Les administrateurs informatiques peuvent autoriser les applications à reporter leurs mises à jour de 90 jours.
3.21. Gestion des méthodes de provisionnement
L'EMM peut générer des configurations de provisionnement et les présenter à l'administrateur informatique sous une forme prête à être distribuée aux utilisateurs finaux (par exemple, un QR code, une configuration sans contact ou une URL du Play Store).
3.22. Mettre à niveau la liaison d'entreprise
Les administrateurs informatiques peuvent mettre à niveau le type de liaison d'entreprise vers une entreprise de domaine Google géré, ce qui permet à l'organisation d'accéder aux services et fonctionnalités du compte Google sur les appareils enregistrés.
3.22.1. La console EMM permet à l'administrateur informatique de déclencher la mise à niveau d'une entreprise existante utilisant des comptes Google Play d'entreprise vers une entreprise utilisant un domaine Google géré à l'aide des API requises.
3.22.2. Les EMM doivent utiliser Pub/Sub pour recevoir des notifications sur les événements de mise à niveau initiés par l'administrateur informatique (même ceux qui se produisent en dehors de la console EMM) et mettre à jour leur UI pour refléter ces modifications.
3.23. Provisionnement de comptes Google gérés
L'EMM peut provisionner un appareil avec des comptes utilisateur d'entreprise, appelés "comptes Google gérés". Ces comptes identifient les utilisateurs gérés, permettent d'appliquer des règles de distribution d'applications et autorisent l'accès aux services Google. Les administrateurs informatiques peuvent également définir une règle pour exiger l'authentification du compte Google géré pendant ou après l'enregistrement.
3.23.1. Le DPC de l'EMM peut provisionner un compte Google géré conformément aux consignes de mise en œuvre définies.
Pour ce faire :
- Un compte Google géré est ajouté à l'appareil.
- Le compte Google géré doit correspondre directement aux utilisateurs réels dans la console EMM.
3.23.2. L'administrateur informatique peut utiliser la règle pour permettre aux utilisateurs de se connecter à un compte Google géré pour l'enregistrement.
3.23.3. L'administrateur informatique peut utiliser la règle pour contrôler si l'utilisateur doit se connecter à un compte Google géré pour finaliser l'enregistrement.
3.23.4. Les administrateurs informatiques peuvent éventuellement limiter le flux de mise à niveau à un identifiant de compte spécifique (adresse e-mail) pour un appareil donné.
3.24. Mise à niveau d'un compte Google Play d'entreprise
Les administrateurs informatiques peuvent convertir le type de compte utilisateur en compte Google géré, ce qui permet à l'appareil d'accéder aux services et fonctionnalités du compte Google sur les appareils enregistrés.
3.24.1. Les administrateurs informatiques peuvent transformer un compte Google Play d'entreprise existant sur un appareil en compte Google géré.
3.24.2. Les administrateurs informatiques peuvent éventuellement limiter le flux de mise à niveau à un identifiant de compte spécifique (adresse e-mail) pour un appareil donné.
3.25. Rôles d'application
Les DPC personnalisés ne sont pas compatibles avec cette fonctionnalité.
3.26. Transfert et restauration des données de l'appareil
Les administrateurs informatiques peuvent activer le transfert et la restauration des données de l'appareil pour les appareils entièrement gérés sur lesquels des comptes Google gérés sont installés et qui disposent de l'application Google Restore. Il s'agit d'une offre de plate-forme pour les appareils entièrement gérés. Les profils professionnels, y compris COPE et BYOD, ne sont pas compatibles avec cette fonctionnalité.
3.26.1. La console EMM permet aux administrateurs informatiques d'activer le service de sauvegarde en activant setBackupServiceEnabled, car la fonctionnalité est désactivée par défaut sur les appareils entièrement gérés.
4. Gestion des appareils
4.1. Gestion des règles d'autorisation d'exécution
Les administrateurs informatiques peuvent définir silencieusement une réponse par défaut aux demandes d'autorisation d'exécution émises par les applications professionnelles.
4.1.1. Les administrateurs informatiques doivent pouvoir choisir parmi les options suivantes lorsqu'ils définissent une règle d'autorisation d'exécution par défaut pour leur organisation :
- prompt (permet aux utilisateurs de choisir)
- allow
- deny
L'EMM doit appliquer ces paramètres à l'aide du DPC de l'EMM.
4.2. Gestion de l'état d'autorisation d'exécution
Après avoir défini une règle d'autorisation d'exécution par défaut (voir l'étape 4.1), Les administrateurs informatiques peuvent définir des réponses de manière silencieuse pour des autorisations spécifiques de n'importe quelle application professionnelle basée sur l'API 23 ou une version ultérieure.
4.2.1. Les administrateurs informatiques doivent pouvoir définir l'état d'octroi (par défaut, accorder ou refuser) de toute autorisation demandée par une application professionnelle basée sur l'API 23 ou une version ultérieure. L'EMM doit appliquer ces paramètres à l'aide du DPC de l'EMM.
4.3. Gestion de la configuration Wi-Fi
Les administrateurs informatiques peuvent provisionner de manière silencieuse des configurations Wi-Fi d'entreprise sur les appareils gérés, y compris :
4.3.1. SSID, à l'aide du DPC de l'EMM.
4.3.2. Mot de passe, à l'aide du DPC de l'EMM.
4.4. Gestion de la sécurité Wi-Fi
Les administrateurs informatiques peuvent provisionner des configurations Wi-Fi d'entreprise sur les appareils gérés qui incluent les fonctionnalités de sécurité avancées suivantes :
4.4.1. Identity, à l'aide du DPC de l'EMM.
4.4.2. Certificat pour l'autorisation des clients, à l'aide du DPC de l'EMM.
4.4.3. Certificats CA, à l'aide du DPC de l'EMM.
4.5. Gestion avancée du Wi-Fi
Les administrateurs informatiques peuvent verrouiller les configurations Wi-Fi sur les appareils gérés pour empêcher les utilisateurs de créer des configurations ou de modifier celles de l'entreprise.
4.5.1. Les administrateurs informatiques peuvent verrouiller les configurations Wi-Fi d'entreprise dans l'une des configurations suivantes :
- Les utilisateurs ne peuvent pas modifier les configurations Wi-Fi provisionnées par l'EMM, mais ils peuvent ajouter et modifier leurs propres réseaux configurables par l'utilisateur (par exemple, des réseaux personnels).
- Les utilisateurs ne peuvent pas ajouter ni modifier de réseau Wi-Fi sur l'appareil, ce qui limite la connectivité Wi-Fi aux réseaux provisionnés par l'EMM.
4.6. Gestion du compte
Les administrateurs informatiques peuvent vérifier que les comptes d'entreprise non autorisés ne peuvent pas interagir avec les données d'entreprise pour des services tels que le stockage SaaS, les applications de productivité ou la messagerie. Sans cette fonctionnalité, des comptes personnels peuvent être ajoutés aux applications d'entreprise qui acceptent également les comptes personnels, ce qui leur permet de partager des données d'entreprise avec ces comptes personnels.
4.6.1. Les administrateurs informatiques peuvent empêcher l'ajout ou la modification de comptes.
- Lors de l'application de cette règle sur un appareil, les EMM doivent définir cette restriction avant la fin du provisionnement pour s'assurer que vous ne pouvez pas contourner cette règle en ajoutant des comptes avant qu'elle ne soit appliquée.
4.7. Gestion des comptes Workspace
Cette fonctionnalité est obsolète. Consultez la section 3.23 pour connaître les conditions de remplacement.
4.8. Gestion des certificats
Permet aux administrateurs informatiques de déployer des certificats d'identité et des autorités de certification sur les appareils pour autoriser l'accès aux ressources de l'entreprise.
4.8.1. Les administrateurs informatiques peuvent installer des certificats d'identité utilisateur générés par leur PKI pour chaque utilisateur. La console de l'EMM doit s'intégrer à au moins une infrastructure à clé publique (PKI) et distribuer les certificats générés à partir de cette infrastructure.
4.8.2. Les administrateurs informatiques peuvent installer des autorités de certification dans le keystore géré.
4.9. Gestion avancée des certificats
Permet aux administrateurs informatiques de sélectionner de manière silencieuse les certificats que des applications gérées spécifiques doivent utiliser. Cette fonctionnalité permet également aux administrateurs informatiques de supprimer les autorités de certification et les certificats d'identité des appareils actifs. Cette fonctionnalité empêche les utilisateurs de modifier les identifiants stockés dans le keystore géré.
4.9.1. Pour toute application distribuée sur des appareils, les administrateurs informatiques peuvent spécifier un certificat auquel l'application aura accès de manière silencieuse pendant l'exécution.
- La sélection du certificat doit être suffisamment générique pour permettre une configuration unique qui s'applique à tous les utilisateurs, chacun d'entre eux pouvant disposer d'un certificat d'identité spécifique.
4.9.2. Les administrateurs informatiques peuvent supprimer des certificats du keystore géré sans que l'utilisateur en soit informé.
4.9.3. Les administrateurs informatiques peuvent désinstaller un certificat CA ou tous les certificats CA non système de manière silencieuse.
4.9.4. Les administrateurs informatiques peuvent empêcher les utilisateurs de configurer des identifiants dans le keystore géré.
4.9.5. Les administrateurs informatiques peuvent accorder des certificats à l'avance pour les applications professionnelles.
4.10. Gestion déléguée des certificats
Les administrateurs informatiques peuvent distribuer une application de gestion de certificats tiers sur les appareils et autoriser l'application à installer des certificats dans le keystore géré.
4.10.1. Les administrateurs informatiques spécifient un package de gestion des certificats à définir comme application de gestion des certificats déléguée par le DPC.
- La console peut éventuellement suggérer des packages de gestion de certificats connus, mais doit permettre à l'administrateur informatique de choisir parmi la liste des applications disponibles pour l'installation, pour les utilisateurs concernés.
4.11. Gestion VPN avancée
Permet aux administrateurs informatiques de spécifier un VPN permanent pour vérifier que les données des applications gérées spécifiées passent toujours par un VPN configuré.
4.11.1. Les administrateurs informatiques peuvent spécifier un package VPN arbitraire à définir comme VPN permanent.
- La console de l'EMM peut éventuellement suggérer des packages VPN connus compatibles avec le VPN permanent, mais ne peut pas limiter les VPN disponibles pour la configuration du VPN permanent à une liste arbitraire.
4.11.2. Les administrateurs informatiques peuvent utiliser des configurations gérées pour spécifier les paramètres VPN d'une application.
4.12. Gestion de l'IME
Les administrateurs informatiques peuvent gérer les modes de saisie (IME) pouvant être configurés pour les appareils. Étant donné que l'IME est partagé entre les profils professionnel et personnel, bloquer l'utilisation des IME empêchera également de les autoriser pour un usage personnel. Toutefois, les administrateurs informatiques ne peuvent pas bloquer les IME système sur les profils professionnels (pour en savoir plus, consultez la section "Gestion avancée des IME").
4.12.1. Les administrateurs informatiques peuvent configurer une liste d'IME autorisés de longueur arbitraire (y compris une liste vide, qui bloque les IME non système), qui peut contenir n'importe quel package d'IME.
- La console de l'EMM peut éventuellement suggérer des IME connus ou recommandés à inclure dans la liste d'autorisation, mais elle doit permettre aux administrateurs informatiques de choisir parmi la liste des applications disponibles pour l'installation, pour les utilisateurs concernés.
4.12.2. L'EMM doit informer les administrateurs informatiques que les IME système sont exclus de la gestion sur les appareils dotés de profils professionnels.
4.13. Gestion avancée de l'IME
Les administrateurs informatiques peuvent gérer les modes de saisie (IME) pouvant être configurés pour les appareils. La gestion avancée de l'IME étend la fonctionnalité de base en permettant aux administrateurs informatiques de gérer également l'utilisation des IME du système, qui sont généralement fournis par le fabricant ou l'opérateur de l'appareil.
4.13.1. Les administrateurs informatiques peuvent configurer une liste d'autorisation d'IME de longueur arbitraire (à l'exclusion d'une liste vide, qui bloque tous les IME, y compris les IME système), qui peut contenir n'importe quel package d'IME.
- La console de l'EMM peut éventuellement suggérer des IME connus ou recommandés à inclure dans la liste d'autorisation, mais elle doit permettre aux administrateurs informatiques de choisir parmi la liste des applications disponibles pour l'installation, pour les utilisateurs concernés.
4.13.2. Les EMM doivent empêcher les administrateurs informatiques de configurer une liste d'autorisation vide, car ce paramètre empêchera la configuration de tous les IME, y compris les IME système, sur l'appareil.
4.13.3. Les EMM doivent vérifier que si une liste d'IME autorisés ne contient pas d'IME système, les IME tiers sont installés de manière silencieuse avant que la liste d'autorisation ne soit appliquée sur l'appareil.
4.14. Gestion des services d'accessibilité
Les administrateurs informatiques peuvent gérer les services d'accessibilité autorisés sur les appareils des utilisateurs. Bien que les services d'accessibilité soient des outils puissants pour les utilisateurs ayant un handicap ou ceux qui ne peuvent temporairement pas interagir pleinement avec leur appareil, ils peuvent interagir avec les données d'entreprise d'une manière non conforme aux règles de l'entreprise. Cette fonctionnalité permet aux administrateurs informatiques de désactiver tout service d'accessibilité non système.
4.14.1. Les administrateurs informatiques peuvent configurer une liste d'autorisation de services d'accessibilité de longueur arbitraire (y compris une liste vide, qui bloque les services d'accessibilité non système), qui peut contenir n'importe quel package de services d'accessibilité arbitraire. Lorsqu'elle est appliquée à un profil professionnel, elle affecte à la fois le profil personnel et le profil professionnel.
- La console peut éventuellement suggérer des services d'accessibilité connus ou recommandés à inclure dans la liste d'autorisation, mais elle doit permettre aux administrateurs informatiques de choisir parmi la liste des applications disponibles pour l'installation, pour les utilisateurs concernés.
4.15. Gestion du partage de position
Les administrateurs informatiques peuvent empêcher les utilisateurs de partager des données de localisation avec des applications du profil professionnel. Sinon, le paramètre de localisation des profils professionnels est configurable dans les paramètres.
4.15.1. Les administrateurs informatiques peuvent désactiver les services de localisation dans le profil professionnel.
4.16. Gestion avancée du partage de position
Les administrateurs informatiques peuvent appliquer un paramètre de partage de position donné sur un appareil géré. Cette fonctionnalité permet de s'assurer que les applications d'entreprise ont toujours accès à des données de localisation de haute précision. Cette fonctionnalité peut également garantir que la batterie n'est pas consommée inutilement en limitant les paramètres de localisation au mode Économie de batterie.
4.16.1. Les administrateurs informatiques peuvent définir les services de localisation de l'appareil sur l'un des modes suivants :
- Haute précision.
- Capteurs uniquement, par exemple le GPS, mais sans inclure la localisation fournie par le réseau.
- Économie de batterie, qui limite la fréquence de mise à jour.
- Désactivé.
4.17. Gestion de la protection après rétablissement de la configuration d'usine
Permet aux administrateurs informatiques de protéger les appareils détenus par l'entreprise contre le vol en s'assurant que les utilisateurs non autorisés ne peuvent pas rétablir la configuration d'usine des appareils. Si la protection après rétablissement de la configuration d'usine entraîne des complications opérationnelles lorsque les appareils sont renvoyés au service informatique, les administrateurs informatiques peuvent également la désactiver complètement.
4.17.1. Les administrateurs informatiques peuvent empêcher les utilisateurs de rétablir la configuration d'usine de leur appareil depuis les paramètres.
4.17.2. Les administrateurs informatiques peuvent spécifier les comptes de déverrouillage d'entreprise autorisés à provisionner des appareils après le rétablissement de la configuration d'usine.
- Ce compte peut être associé à un individu ou utilisé par l'ensemble de l'entreprise pour déverrouiller des appareils.
4.17.3. Les administrateurs informatiques peuvent désactiver la protection après rétablissement de la configuration d'usine pour des appareils spécifiques.
4.17.4. Les administrateurs informatiques peuvent lancer un effacement à distance de l'appareil qui efface éventuellement les données de protection après réinitialisation, supprimant ainsi la protection après rétablissement de la configuration d'usine sur l'appareil réinitialisé.
4.18. Contrôle avancé des applications
Les administrateurs informatiques peuvent empêcher l'utilisateur de désinstaller ou de modifier des applications gérées dans les paramètres, par exemple en forçant la fermeture de l'application ou en effaçant le cache de données d'une application.
4.18.1. Les administrateurs informatiques peuvent bloquer la désinstallation de n'importe quelle application gérée ou de toutes les applications gérées.
4.18.2. Les administrateurs informatiques peuvent empêcher les utilisateurs de modifier les données d'application dans les paramètres.
4.19. Gestion des captures d'écran
Les administrateurs informatiques peuvent empêcher les utilisateurs de prendre des captures d'écran lorsqu'ils utilisent des applications gérées. Ce paramètre inclut le blocage des applications de partage d'écran et des applications similaires (comme l'Assistant Google) qui utilisent les fonctionnalités de capture d'écran du système.
4.19.1. Les administrateurs informatiques peuvent empêcher les utilisateurs de prendre des captures d'écran.
4.20. Désactiver les appareils photo
Les administrateurs informatiques peuvent désactiver l'utilisation de l'appareil photo par les applications gérées.
4.20.1. Les administrateurs informatiques peuvent désactiver l'utilisation de l'appareil photo par les applications gérées.
4.21. Collecte des statistiques réseau
Les administrateurs informatiques peuvent interroger les statistiques d'utilisation du réseau à partir du profil professionnel d'un appareil. Les statistiques collectées reflètent les données d'utilisation partagées avec les utilisateurs dans la section Consommation des données des paramètres. Les statistiques collectées s'appliquent à l'utilisation des applications dans le profil professionnel.
4.21.1. Les administrateurs informatiques peuvent interroger le récapitulatif des statistiques réseau d'un profil professionnel pour un appareil donné et une période configurable, et afficher ces informations dans la console EMM.
4.21.2. Les administrateurs informatiques peuvent interroger un résumé de l'utilisation du réseau par une application dans les statistiques d'utilisation du réseau du profil professionnel, pour un appareil donné et une période configurable, et afficher ces détails organisés par UID dans la console EMM.
4.21.3. Les administrateurs informatiques peuvent interroger les données historiques d'utilisation du réseau d'un profil professionnel pour un appareil donné et une période configurable, et afficher ces informations organisées par UID dans la console EMM.
4.22. Collecte de statistiques réseau avancée
Les administrateurs informatiques peuvent interroger les statistiques d'utilisation du réseau pour l'ensemble d'un appareil géré. Les statistiques collectées reflètent les données d'utilisation partagées avec les utilisateurs dans la section Utilisation des données des paramètres. Les statistiques collectées s'appliquent à l'utilisation des applications sur l'appareil.
4.22.1. Les administrateurs informatiques peuvent interroger le récapitulatif des statistiques réseau pour un appareil entier, pour un appareil donné et une période configurable, et afficher ces informations dans la console de l'EMM.
4.22.2. Les administrateurs informatiques peuvent interroger un récapitulatif des statistiques d'utilisation du réseau par les applications pour un appareil donné et une période configurable, et afficher ces informations organisées par UID dans la console EMM.
4.22.3. Les administrateurs informatiques peuvent interroger les données historiques d'utilisation du réseau pour un appareil donné et une période configurable, et afficher ces informations organisées par UID dans la console EMM.
4.23. Redémarrer l'appareil
Les administrateurs informatiques peuvent redémarrer à distance les appareils gérés.
4.23.1. Les administrateurs informatiques peuvent redémarrer à distance un appareil géré.
4.24. Gestion du signal radio du système
Permet aux administrateurs informatiques de gérer de manière précise les radios réseau du système et les règles d'utilisation associées.
4.24.1. Les administrateurs informatiques peuvent désactiver les diffusions cellulaires envoyées par les fournisseurs de services (par exemple, les alertes enlèvement).
4.24.2. Les administrateurs informatiques peuvent empêcher les utilisateurs de modifier les paramètres du réseau mobile dans les paramètres.
4.24.3. Les administrateurs informatiques peuvent empêcher les utilisateurs de réinitialiser les paramètres réseau dans les paramètres.
4.24.4. Les administrateurs informatiques peuvent autoriser ou interdire l'utilisation des données mobiles en itinérance.
4.24.5. Les administrateurs informatiques peuvent définir si l'appareil peut passer des appels téléphoniques sortants, à l'exception des appels d'urgence.
4.24.6. Les administrateurs informatiques peuvent définir si l'appareil peut envoyer et recevoir des messages.
4.24.7. Les administrateurs informatiques peuvent empêcher les utilisateurs d'utiliser leur appareil comme point d'accès portable par partage de connexion.
4.24.8. Les administrateurs informatiques peuvent définir le délai avant expiration du Wi-Fi sur Par défaut, Uniquement lorsque l'appareil est branché ou Jamais.
4.24.9. Les administrateurs informatiques peuvent empêcher les utilisateurs de configurer ou de modifier des connexions Bluetooth existantes.
4.25. Gestion de l'audio du système
Les administrateurs informatiques peuvent gérer de manière silencieuse les fonctionnalités audio des appareils, y compris couper le son de l'appareil, empêcher les utilisateurs de modifier les paramètres de volume et empêcher les utilisateurs de réactiver le micro de l'appareil.
4.25.1. Les administrateurs informatiques peuvent couper le son des appareils gérés sans que l'utilisateur en soit informé.
4.25.2. Les administrateurs informatiques peuvent empêcher les utilisateurs de modifier les paramètres de volume de l'appareil.
4.25.3. Les administrateurs informatiques peuvent empêcher les utilisateurs de réactiver le micro de l'appareil.
4.26. Gestion de l'horloge système
Les administrateurs informatiques peuvent gérer les paramètres d'horloge et de fuseau horaire des appareils, et empêcher les utilisateurs de modifier les paramètres automatiques des appareils.
4.26.1. Les administrateurs informatiques peuvent appliquer l'heure automatique du système, ce qui empêche l'utilisateur de définir la date et l'heure de l'appareil.
4.26.2. Les administrateurs informatiques peuvent activer ou désactiver silencieusement l'heure automatique et le fuseau horaire automatique.
4.27. Fonctionnalités avancées pour les appareils dédiés
Permet aux administrateurs informatiques de gérer des fonctionnalités d'appareils dédiés plus précises pour prendre en charge différents cas d'utilisation de bornes.
4.27.1. Les administrateurs informatiques peuvent désactiver le verrouillage de l'appareil.
4.27.2. Les administrateurs informatiques peuvent désactiver la barre d'état de l'appareil, ce qui bloque les notifications et les Réglages rapides.
4.27.3. Les administrateurs informatiques peuvent forcer l'écran de l'appareil à rester allumé lorsque l'appareil est branché.
4.27.4. Les administrateurs informatiques peuvent empêcher l'affichage des UI système suivantes :
- Notifications toast
- Superpositions d'applications.
4.27.5. Les administrateurs informatiques peuvent autoriser la recommandation système pour que les applications ignorent leur tutoriel utilisateur et d'autres conseils de lancement au premier démarrage.
4.28. Gestion de la délégation du niveau d'accès
Les administrateurs informatiques peuvent déléguer des droits supplémentaires à des packages individuels.
4.28.1. Les administrateurs informatiques peuvent gérer les champs d'application suivants :
- Installation et gestion des certificats
- Laissé vide intentionnellement
- Journalisation réseau
- Journalisation de sécurité (non compatible avec le profil professionnel sur les appareils personnels)
4.29. Prise en charge des ID spécifiques à l'enregistrement
À partir d'Android 12, les profils professionnels n'auront plus accès aux identifiants spécifiques au matériel. Les administrateurs informatiques peuvent suivre le cycle de vie d'un appareil avec un profil professionnel grâce à l'ID d'enregistrement, qui est conservé même après un rétablissement de la configuration d'usine.
4.29.1. Les administrateurs informatiques peuvent définir et obtenir un ID spécifique à l'enregistrement.
4.29.2. Cet ID spécifique à l'enregistrement doit être conservé après un rétablissement de la configuration d'usine.
4.30. Règle du gestionnaire d'identifiants
Les administrateurs informatiques peuvent gérer les applications de gestion des identifiants autorisées ou bloquées à l'aide d'une règle.
4.30.1 Les administrateurs informatiques peuvent éventuellement bloquer tous les gestionnaires d'identifiants sur l'appareil (ou dans le profil professionnel).
4.30.2 Laissé intentionnellement vide.
4.30.3 Les administrateurs informatiques peuvent spécifier une liste de noms de packages autorisés à proposer la fonctionnalité de gestionnaire d'identifiants.
4.31. Gestion de base des eSIM
Permet aux administrateurs informatiques de provisionner un appareil avec un profil eSIM et de gérer son cycle de vie sur l'appareil.
4.31.1 Les administrateurs informatiques peuvent provisionner un profil eSIM sur un appareil de manière silencieuse.
4.31.2 Les administrateurs informatiques peuvent supprimer les eSIM gérées d'un appareil.
4.31.3 Les administrateurs informatiques peuvent empêcher les utilisateurs de modifier les paramètres du réseau mobile dans les paramètres (accédez à mobileNetworksConfigDisabled).
4.31.4 Lorsqu'un administrateur informatique efface à distance les données d'un appareil ou d'un profil professionnel, il peut également supprimer les eSIM gérées de l'appareil. Par défaut, les eSIM gérées sont supprimées des profils professionnels sur les appareils personnels, mais conservées sur les appareils appartenant à l'entreprise.
4.31.5 (FACULTATIF) Les administrateurs informatiques peuvent récupérer l'identifiant EID (Embedded Identity Document) d'un appareil à l'aide de l'interface utilisateur de la console EMM (ou d'une méthode équivalente) et exporter ces valeurs.
5. Facilité d'utilisation des appareils
5.1. Personnalisation du provisionnement géré
Les administrateurs informatiques peuvent modifier l'expérience utilisateur du flux de configuration par défaut pour inclure des fonctionnalités spécifiques à l'entreprise. Les administrateurs informatiques peuvent éventuellement afficher l'image de marque fournie par l'EMM lors de la configuration.
5.1.1. Les administrateurs informatiques peuvent personnaliser le processus de provisionnement en spécifiant les informations suivantes spécifiques à l'entreprise : couleur de l'entreprise, logo de l'entreprise, conditions d'utilisation de l'entreprise et autres clauses de non-responsabilité.
5.1.2. Les administrateurs informatiques peuvent déployer une personnalisation non configurable spécifique à l'EMM, qui inclut les détails suivants : couleur de l'EMM, logo de l'EMM, conditions d'utilisation de l'EMM et autres clauses de non-responsabilité.
5.1.3 [primaryColor] a été abandonné pour la ressource d'entreprise sur Android 10 et versions ultérieures.
- Les EMM doivent inclure les conditions d'utilisation de provisionnement et d'autres clauses de non-responsabilité pour leur flux de provisionnement dans le bundle de clauses de non-responsabilité de provisionnement du système, même si la personnalisation spécifique à l'EMM n'est pas utilisée.
- Les EMM peuvent définir leur personnalisation non configurable et spécifique à l'EMM comme valeur par défaut pour tous les déploiements, mais ils doivent permettre aux administrateurs informatiques de configurer leur propre personnalisation.
5.2. Personnalisation pour les entreprises
Les administrateurs informatiques peuvent personnaliser certains aspects du profil professionnel avec le branding de l'entreprise. Par exemple, les administrateurs informatiques peuvent définir l'icône de l'utilisateur dans le profil professionnel sur le logo de l'entreprise. Un autre exemple consiste à configurer la couleur d'arrière-plan du défi professionnel.
5.2.1. Les administrateurs informatiques peuvent définir la couleur de l'organisation, qui sera utilisée comme couleur d'arrière-plan de la vérification d'identité professionnelle.
5.2.2. Les administrateurs informatiques peuvent définir le nom à afficher du profil professionnel.
5.2.3. Les administrateurs informatiques peuvent définir l'icône utilisateur du profil professionnel.
5.2.4. Les administrateurs informatiques peuvent empêcher l'utilisateur de modifier l'icône utilisateur du profil professionnel.
5.3. Personnalisation avancée pour les entreprises
Les administrateurs informatiques peuvent personnaliser les appareils gérés avec le branding de l'entreprise. Par exemple, les administrateurs informatiques peuvent définir l'icône de l'utilisateur principal sur le logo de l'entreprise ou définir le fond d'écran de l'appareil.
5.3.1. Les administrateurs informatiques peuvent définir le nom à afficher pour l'appareil géré.
5.3.2. Les administrateurs informatiques peuvent définir l'icône utilisateur de l'appareil géré.
5.3.3. Les administrateurs informatiques peuvent empêcher l'utilisateur de modifier l'icône de l'utilisateur de l'appareil.
5.3.4. Les administrateurs informatiques peuvent définir le fond d'écran de l'appareil.
5.3.5. Les administrateurs informatiques peuvent empêcher l'utilisateur de modifier le fond d'écran de l'appareil.
5.4. Messages sur l'écran de verrouillage
Les administrateurs informatiques peuvent définir un message personnalisé qui s'affiche toujours sur l'écran de verrouillage de l'appareil et qui ne nécessite pas de déverrouiller l'appareil pour être consulté.
5.4.1. Les administrateurs informatiques peuvent définir un message personnalisé sur l'écran de verrouillage.
5.5. Gestion de la transparence des règles
Les administrateurs informatiques peuvent personnaliser le texte d'aide fourni aux utilisateurs lorsqu'ils modifient les paramètres gérés sur leur appareil, ou déployer un message d'assistance générique fourni par l'EMM. Les messages d'assistance courts et longs peuvent être personnalisés. Ces messages s'affichent, par exemple, lorsque vous tentez de désinstaller une application gérée pour laquelle un administrateur informatique a déjà bloqué la désinstallation.
5.5.1. Les administrateurs informatiques personnalisent les messages d'assistance courts et longs.
5.5.2. Les administrateurs informatiques peuvent déployer des messages d'assistance courts et longs non configurables et spécifiques à l'EMM.
- L'EMM peut définir ses messages d'assistance non configurables et spécifiques à l'EMM comme messages par défaut pour tous les déploiements, mais doit permettre aux administrateurs informatiques de configurer leurs propres messages.
5.6. Gestion des contacts entre profils
Les administrateurs informatiques peuvent contrôler les données de contact qui peuvent quitter le profil professionnel. Les applications de téléphonie et de messagerie (SMS) doivent s'exécuter dans le profil personnel et nécessitent l'accès aux données de contact du profil professionnel pour offrir une efficacité optimale pour les contacts professionnels. Toutefois, les administrateurs peuvent choisir de désactiver ces fonctionnalités pour protéger les données professionnelles.
5.6.1. Les administrateurs informatiques peuvent désactiver la recherche de contacts dans tous les profils pour les applications personnelles qui utilisent le fournisseur de contacts du système.
5.6.2. Les administrateurs informatiques peuvent désactiver la recherche d'ID de l'appelant dans tous les profils pour les applications de numérotation personnelles qui utilisent le fournisseur de contacts du système.
5.6.3. Les administrateurs informatiques peuvent désactiver le partage de contacts Bluetooth avec les appareils Bluetooth qui utilisent le fournisseur de contacts du système, par exemple pour les appels mains libres dans les voitures ou les casques.
5.7. Gestion des données entre profils
Permet aux administrateurs informatiques de gérer les données qui peuvent quitter le profil professionnel, au-delà des fonctionnalités de sécurité par défaut du profil professionnel. Grâce à cette fonctionnalité, les administrateurs informatiques peuvent autoriser certains types de partage de données entre profils afin d'améliorer la facilité d'utilisation dans les principaux cas d'utilisation. Les administrateurs informatiques peuvent également renforcer la protection des données d'entreprise en appliquant des restrictions supplémentaires.
5.7.1. Les administrateurs informatiques peuvent configurer des filtres d'intentions entre profils afin que les applications personnelles puissent résoudre les intentions du profil professionnel, telles que le partage d'intentions ou de liens Web.
- La console peut éventuellement suggérer des filtres d'intent connus ou recommandés pour la configuration, mais ne peut pas limiter les filtres d'intent à une liste arbitraire.
5.7.2. Les administrateurs informatiques peuvent autoriser les applications gérées qui peuvent afficher des widgets sur l'écran d'accueil.
- La console EMM doit permettre aux administrateurs informatiques de choisir parmi la liste des applications disponibles pour l'installation par les utilisateurs concernés.
5.7.3. Les administrateurs informatiques peuvent bloquer l'utilisation du copier-coller entre les profils professionnel et personnel.
5.7.4. Les administrateurs informatiques peuvent empêcher les utilisateurs de partager des données depuis leur profil professionnel à l'aide du partage NFC.
5.7.5. Les administrateurs informatiques peuvent autoriser les applications personnelles à ouvrir des liens Web à partir du profil professionnel.
5.8. Règles de mise à jour du système
Les administrateurs informatiques peuvent configurer et appliquer des mises à jour du système Over The Air (OTA) pour les appareils.
5.8.1. La console de l'EMM permet aux administrateurs informatiques de définir les configurations OTA suivantes :
- Automatique : les appareils installent les mises à jour OTA dès qu'elles sont disponibles.
- Report : les administrateurs informatiques doivent pouvoir reporter la mise à jour OTA jusqu'à 30 jours. Cette règle n'affecte pas les mises à jour de sécurité (par exemple, les correctifs de sécurité mensuels).
- Planifiées : les administrateurs informatiques doivent pouvoir planifier les mises à jour OTA pendant un intervalle de maintenance quotidien.
5.8.2. L'application de contrôle des règles relatives aux appareils du fournisseur EMM applique les configurations OTA aux appareils.
5.9. Gestion du mode tâches verrouillées
Les administrateurs informatiques peuvent verrouiller une ou plusieurs applications sur l'écran et s'assurer que les utilisateurs ne peuvent pas les quitter.
5.9.1. La console EMM permet aux administrateurs informatiques d'autoriser l'installation et le verrouillage d'un ensemble arbitraire d'applications sur un appareil, sans que l'utilisateur en soit informé. Le DPC de l'EMM autorise le mode Appareil dédié.
5.10. Gestion persistante des activités préférées
Permet aux administrateurs informatiques de définir une application comme gestionnaire d'intent par défaut pour les intents qui correspondent à un certain filtre d'intent. Par exemple, les administrateurs informatiques peuvent choisir l'application de navigateur qui ouvre automatiquement les liens Web ou l'application de lanceur d'applications utilisée lorsque l'utilisateur appuie sur le bouton d'accueil.
5.10.1. Les administrateurs informatiques peuvent définir n'importe quel package comme gestionnaire d'intent par défaut pour n'importe quel filtre d'intent arbitraire.
- La console de l'EMM peut éventuellement suggérer des intents connus ou recommandés pour la configuration, mais ne peut pas limiter les intents à une liste arbitraire.
- La console EMM doit permettre aux administrateurs informatiques de choisir parmi la liste des applications disponibles pour l'installation pour les utilisateurs concernés.
5.11. Gestion des fonctionnalités de l'écran de verrouillage
Les administrateurs informatiques peuvent gérer les fonctionnalités disponibles pour les utilisateurs avant de déverrouiller l'écran de verrouillage de l'appareil et l'écran de verrouillage du profil professionnel.
5.11.1. Le DPC de l'EMM peut désactiver les fonctionnalités de protection de l'appareil suivantes :
- agents de confiance
- déverrouillage par empreinte digitale
- notifications non masquées
5.11.2. Le DPC de l'EMM peut désactiver les fonctionnalités de verrouillage suivantes dans le profil professionnel :
- agents de confiance
- déverrouillage par empreinte digitale
5.12. Gestion avancée des fonctionnalités de l'écran de verrouillage
Les administrateurs informatiques peuvent gérer les fonctionnalités avancées de l'écran de verrouillage sur les appareils détenus par l'entreprise.
5.12.1. Les administrateurs informatiques peuvent désactiver les fonctionnalités de protection de l'écran de verrouillage suivantes :
- Caméra sécurisée
- Toutes les notifications
- Notifications non masquées
- Agents de confiance
- Déverrouillage par empreinte digitale
- Toutes les fonctionnalités de l'écran de verrouillage
5.13. Débogage à distance
Les administrateurs informatiques peuvent récupérer des ressources de débogage à partir des appareils sans étapes supplémentaires.
5.13.1. Les administrateurs informatiques peuvent demander des rapports de bug à distance, les consulter depuis la console EMM et les télécharger depuis la console EMM.
5.14. Récupération de l'adresse MAC
Les EMM peuvent récupérer l'adresse MAC d'un appareil de manière silencieuse. L'adresse MAC peut être utilisée pour identifier les appareils dans d'autres parties de l'infrastructure d'entreprise (par exemple, lors de l'identification des appareils pour le contrôle des accès au réseau).
5.14.1. L'EMM peut récupérer de manière silencieuse l'adresse MAC d'un appareil et l'associer à l'appareil dans la console de l'EMM.
5.15. Gestion avancée du mode tâches verrouillées
Lorsqu'un appareil est configuré en tant qu'appareil dédié, les administrateurs informatiques peuvent utiliser la console de l'EMM pour effectuer les tâches suivantes :
5.15.1. Autorisez de manière silencieuse une seule application à se verrouiller sur un appareil à l'aide du DPC de l'EMM.
5.15.2. Activez ou désactivez les fonctionnalités d'UI système suivantes à l'aide du DPC de l'EMM :
- Bouton "Accueil"
- Présentation
- Actions générales
- Notifications
- Infos système / Barre d'état
- Keyguard (écran de verrouillage)
5.15.3. Désactivez les boîtes de dialogue d'erreur système à l'aide du DPC de l'EMM.
5.16. Règle avancée de mise à jour du système
Les administrateurs informatiques peuvent bloquer les mises à jour du système sur un appareil pendant une période de blocage spécifiée.
5.16.1. Le DPC de l'EMM peut appliquer des mises à jour du système Over The Air (OTA) aux appareils pendant une période de blocage spécifiée.
5.17. Gestion de la transparence des règles du profil professionnel
Les administrateurs informatiques peuvent personnaliser le message affiché aux utilisateurs lorsqu'ils suppriment le profil professionnel d'un appareil.
5.17.1. Les administrateurs informatiques peuvent fournir un texte personnalisé à afficher lorsque les données d'un profil professionnel sont effacées.
5.18. Assistance pour les applications connectées
Les administrateurs informatiques peuvent définir une liste de packages pouvant communiquer au-delà de la limite du profil professionnel.
5.19. Mises à jour manuelles du système
Les administrateurs informatiques peuvent installer manuellement une mise à jour du système en fournissant un chemin d'accès.
6. Abandon de l'outil d'administration des appareils
Cette section a été supprimée.
7. Utilisation de l'API
7.1. Contrôleur de règles standard pour les nouvelles liaisons
Par défaut, les appareils doivent être gérés à l'aide d'Android Device Policy pour toutes les nouvelles liaisons. Les EMM peuvent proposer de gérer les appareils à l'aide d'un DPC personnalisé dans une section des paramètres intitulée "Avancé" ou similaire. Les nouveaux clients ne doivent pas être exposés à un choix arbitraire entre les piles technologiques lors des workflows d'intégration ou de configuration.
7.2. Policy Controller standard pour les nouveaux appareils
Par défaut, les appareils doivent être gérés à l'aide d'Android Device Policy pour tous les nouveaux enregistrements d'appareils, qu'il s'agisse de liaisons existantes ou nouvelles. Les EMM peuvent proposer l'option de gestion des appareils à l'aide d'un DPC personnalisé dans une section de paramètres intitulée "Avancé" ou similaire.