בדף הזה מפורטות כל התכונות של Android Enterprise.
אם אתם מתכוונים לנהל יותר מ-500 מכשירים, פתרון ה-EMM שלכם חייב לתמוך בכל התכונות הרגילות () של קבוצת פתרונות אחת לפחות, לפני שיהיה אפשר להפוך אותו לזמין באופן מסחרי. מפתחי EMM שרוצים שהפתרונות שלהם יופיעו בספריית הפתרונות לארגונים של Android כפתרונות שמציעים קבוצת תכונות ניהול סטנדרטית, צריכים לעבור אימות של תכונות סטנדרטיות ולהצטרף ל-Android Enterprise Partner Program.
לכל קבוצת פתרונות יש קבוצה נוספת של תכונות מתקדמות. התכונות האלה מצוינות בכל דף של קבוצת פתרונות: פרופיל עבודה במכשיר בבעלות אישית, פרופיל עבודה במכשיר בבעלות החברה, מכשיר בניהול מלא ומכשיר ייעודי. מפתחי EMM שחברים בתוכנית השותפים של AE, ושהפתרונות שלהם עוברים אימות של תכונות מתקדמות, מופיעים בספריית הפתרונות לארגונים של Android כספקים שמציעים חבילת ניהול מתקדמת.
מפתח
| תכונה רגילה אחת () | תכונה מתקדמת אחת | תכונה אופציונלית | לא רלוונטי |
1. הקצאת הרשאות למכשירים
1.1. הקצאת פרופיל עבודה שמתחיל ב-DPC
אפשר להקצות פרופיל עבודה אחרי שמורידים את ה-DPC של ה-EMM מ-Google Play.
1.1.1. ה-DPC של ה-EMM חייב להיות זמין לכולם ב-Google Play כדי שהמשתמשים יוכלו להתקין את ה-DPC בצד האישי של המכשיר.
1.1.2. אחרי ההתקנה, ה-DPC צריך להדריך את המשתמש בתהליך של הקצאת פרופיל עבודה.
1.1.3. אחרי שההקצאה הושלמה, לא יכולה להישאר נוכחות ניהולית בצד האישי של המכשיר.
- צריך להסיר את כל כללי המדיניות שהוגדרו במהלך ההקצאה.
- צריך לבטל את ההרשאות של האפליקציה.
- ה-DPC של ה-EMM חייב להיות מושבת לפחות בצד האישי של המכשיר.
1.2. הקצאת מכשירים באמצעות מזהה DPC
אדמינים ממחלקת IT יכולים להקצות מכשיר ייעודי או מכשיר בניהול מלא באמצעות מזהה DPC ("afw#"), בהתאם להנחיות ההטמעה שמוגדרות במאמרי העזרה למפתחים של Play EMM API.
1.2.1. בקר ה-DPC של ה-EMM צריך להיות זמין לכולם ב-Google Play. צריך להיות אפשר להתקין את ה-DPC מאשף ההגדרה של המכשיר על ידי הזנת מזהה ספציפי ל-DPC.
1.2.2. אחרי ההתקנה, ה-DPC של ה-EMM צריך להדריך את המשתמש בתהליך ההקצאה של מכשיר ייעודי או מכשיר בניהול מלא.
1.3. הקצאת מכשיר NFC
אדמינים ממחלקת IT יכולים להשתמש בתגי NFC כדי להקצות מכשירים חדשים או מכשירים שאופסו להגדרות המקוריות, בהתאם להנחיות ההטמעה שמוגדרות במאמרי העזרה למפתחים של Play EMM API.
1.3.1. ספקי EMM חייבים להשתמש בתגי NFC Forum Type 2 עם זיכרון של 888 בייטים לפחות. כדי להעביר למכשיר פרטי רישום לא רגישים, כמו מזהי שרתים ומזהי הרשמה, צריך להשתמש בתוספות להקצאת הרשאות. פרטי הרישום לא צריכים לכלול מידע רגיש, כמו סיסמאות או אישורים.
1.3.2. אחרי שה-DPC של ה-EMM מגדיר את עצמו כבעלי המכשיר, ה-DPC חייב להיפתח מיד ולהינעל למסך עד שהמכשיר יוקצה באופן מלא. 1.3.3. אנחנו ממליצים להשתמש בתגי NFC ב-Android מגרסה 10 ואילך, כי הוצאנו משימוש את NFC Beam (שנקרא גם NFC Bump).
1.4. הקצאת מכשיר באמצעות קוד QR
אדמינים ממחלקת IT יכולים להשתמש במכשיר חדש או במכשיר שאופס להגדרות המקוריות כדי לסרוק קוד QR שנוצר על ידי מסוף ה-EMM, כדי להקצות את המכשיר בהתאם להנחיות ההטמעה שמוגדרות ב מאמרי העזרה למפתחים של Play EMM API.
1.4.1. קוד ה-QR חייב להשתמש בתוספות להקצאת הרשאות כדי להעביר למכשיר פרטי רישום לא רגישים, כמו מזהי שרתים ומזהי הרשמה. פרטי הרישום לא יכולים לכלול מידע רגיש, כמו סיסמאות או אישורים.
1.4.2. אחרי שה-DPC של ה-EMM מגדיר את המכשיר, ה-DPC צריך להיפתח מיד ולנעול את עצמו למסך עד שהמכשיר יוקצה באופן מלא.
1.5. שיוך אוטומטי לארגון
הדרישה הזו הוחלפה בדרישה 1.6.
1.6. הקצאה ללא מגע יד אדם (ZTP)
| |
אדמינים ממחלקת IT יכולים להפוך חלק גדול מתהליך רישום המכשירים לאוטומטי, על ידי פריסת פרטי הרישום של ה-DPC באמצעות שיוך אוטומטי לארגון. ה-DPC של ה-EMM תומך בהגבלת ההרשמה לחשבונות או לדומיינים ספציפיים, בהתאם לאפשרויות ההגדרה שה-EMM מציע.
1.6.1. אדמינים ממחלקת IT יכולים להקצות מכשיר בבעלות החברה באמצעות שיטת השיוך האוטומטי לארגון, כפי שמתואר במאמר שיוך אוטומטי לארגון לאדמינים ממחלקת IT.
1.6.2. אחרי שה-DPC של ה-EMM מגדיר את המכשיר, ה-DPC של ה-EMM צריך להיפתח מיד ולנעול את עצמו למסך עד שהמכשיר יוקצה באופן מלא.
- הדרישה הזו לא חלה על מכשירים שמשתמשים בפרטי הרישום של שיוך אוטומטי לארגון כדי להקצות את עצמם באופן מלא ושקט (לדוגמה, בפריסת מכשיר ייעודי).
1.6.3. באמצעות פרטי הרישום, ה-DPC של ה-EMM צריך לוודא שמשתמשים לא מורשים לא יכולים להמשיך בהפעלה לאחר הפעלת ה-DPC. לכל הפחות, ההפעלה חייבת להיות מוגבלת למשתמשים של ארגון מסוים.
1.6.4. באמצעות פרטי הרישום, ה-DPC של ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT לאכלס שדות מראש את פרטי הרישום (לדוגמה, מזהי שרתים, מזהי הרשמה) מלבד מידע על משתמש ייחודי או מכשיר (לדוגמה, שם משתמש/סיסמה, אסימון הפעלה), כדי שהמשתמשים לא יצטרכו להזין פרטים כשהם מפעילים מכשיר.
- ספקי EMM לא יכולים לכלול מידע רגיש, כמו סיסמאות או אישורים, בהגדרות של השיוך האוטומטי לארגון.
1.7. הקצאת פרופיל עבודה בחשבון Google
הדרישה הזו הוסרה והוחלפה בדרישה 3.23.
1.8. הקצאת מכשירים בחשבון Google
הדרישה הזו הוסרה והוחלפה בדרישה 3.23.
1.9. הגדרה ישירה של שיוך אוטומטי
אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי להגדיר מכשירים ב-Zero-touch באמצעות ה-iframe של Zero-touch.
1.10. פרופילי עבודה במכשירים בבעלות החברה
ספקי EMM יכולים לרשום מכשירים בבעלות החברה שיש להם פרופיל עבודה.
1.10.1. השורה הזו ריקה בכוונה.
1.10.2. אדמינים ממחלקת IT יכולים להגדיר פעולות תאימות לפרופילי עבודה במכשירים בבעלות החברה.
1.10.3. אדמינים ממחלקת IT יכולים להשבית את המצלמה בפרופיל העבודה או במכשיר כולו.
1.10.4. אדמינים ממחלקת ה-IT יכולים להשבית את האפשרות לצלם את המסך בפרופיל העבודה או במכשיר כולו.
1.10.5. אדמינים ממחלקת ה-IT יכולים להגדיר רשימת חסימה של אפליקציות שאי אפשר להתקין בפרופיל האישי.
1.10.6. אדמינים ממחלקת ה-IT יכולים לוותר על הניהול של מכשיר בבעלות החברה על ידי הסרת פרופיל העבודה או איפוס הנתונים במכשיר כולו.
1.11. הקצאת מכשיר ייעודי
אדמינים ממחלקת IT יכולים לרשום מכשירים ייעודיים בלי שהמשתמש יתבקש לאמת את הזהות שלו באמצעות חשבון Google.
2. אבטחת המכשיר
2.1. מבחן אבטחה במכשיר
אדמינים ממחלקת IT יכולים להגדיר ולאכוף אתגר אבטחה במכשיר (קוד אימות/דפוס/סיסמה) מתוך מבחר מוגדר מראש של 3 רמות מורכבות במכשירים מנוהלים.
2.1.1. המדיניות חייבת לאכוף הגדרות שמנהלות אתגרים באבטחת המכשיר (parentProfilePasswordRequirements לפרופיל עבודה, passwordRequirements למכשירים ייעודיים ומנוהלים באופן מלא).
2.1.2. רמת המורכבות של הסיסמה צריכה להתאים לאחת מהרמות הבאות:
- PASSWORD_COMPLEXITY_LOW – דפוס או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468), סיסמה אלפביתית או סיסמה אלפאנומרית באורך של 4 תווים לפחות
- PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468) באורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות.
2.1.3. במכשירים בבעלות החברה, אפשר גם לאכוף הגבלות נוספות על סיסמאות כהגדרות מדור קודם.
2.2. מבחן אבטחה בעבודה
אדמינים ממחלקת IT יכולים להגדיר ולאכוף אימות אבטחה לאפליקציות ולנתונים בפרופיל העבודה, שהוא נפרד ויש לו דרישות שונות מאימות האבטחה של המכשיר (2.1.).
2.2.1. המדיניות חייבת לאכוף את אתגר האבטחה בפרופיל העבודה. כברירת מחדל, אדמינים ממחלקת IT צריכים להגדיר הגבלות רק לפרופיל העבודה אם לא צוין היקף. אדמינים ממחלקת IT יכולים להגדיר את זה לכל המכשיר על ידי ציון ההיקף (ראו דרישה 2.1)
2.1.2. מורכבות הסיסמה צריכה להתאים למורכבויות הסיסמה הבאות:
- PASSWORD_COMPLEXITY_LOW - דפוס או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM - קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468), סיסמה אלפביתית או אלפאנומרית באורך של 4 תווים לפחות
- PASSWORD_COMPLEXITY_HIGH - קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468) באורך של 8 ספרות לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות
2.3. ניהול מתקדם של קודי גישה
2.3.1. השורה הזו ריקה בכוונה.
2.3.2. השורה הזו ריקה בכוונה.
2.3.3. אפשר להגדיר את ההגדרות הבאות של מחזור החיים של הסיסמה לכל מסך נעילה שזמין במכשיר:
- Deliberately blank
- Deliberately blank
- מספר מקסימלי של סיסמאות שגויות לפני איפוס : מספר הפעמים שמשתמשים יכולים להזין סיסמה שגויה לפני שנתוני הארגון יאופסו במכשיר. אדמינים ממחלקת IT צריכים להיות מסוגלים להשבית את התכונה הזו.
2.4. ניהול מנעולים חכמים
אדמינים ממחלקת IT יכולים לנהל את סוכני האמון בתכונה Smart Lock של Android, שמורשים לבטל את הנעילה של המכשירים. אדמינים ממחלקת IT יכולים להשבית שיטות ספציפיות לביטול הנעילה, כמו מכשירי Bluetooth מהימנים, זיהוי פנים וזיהוי קולי, או להשבית את התכונה לגמרי.
2.4.1. אדמינים ממחלקת IT יכולים להשבית סוכני אמון של Smart Lock, בנפרד לכל מסך נעילה שזמין במכשיר.
2.4.2. אדמינים ממחלקת IT יכולים לבחור אילו סוכני אמינות של Smart Lock לאשר ולהגדיר, בנפרד לכל מסך נעילה שזמין במכשיר, עבור סוכני האמינות הבאים: Bluetooth, NFC, מקומות, פנים, נשיאה על הגוף וקול.
- אדמינים ממחלקת IT יכולים לשנות את הפרמטרים הזמינים להגדרת Trust Agent.
2.5. מחיקה ונעילה
אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי לנעול מרחוק נתוני עבודה במכשיר מנוהל ולמחוק אותם.
2.5.1. ה-DPC של ה-EMM צריך לנעול את המכשירים.
2.5.2. בקר מדיניות המכשירים (DPC) של ה-EMM צריך לאפס את הנתונים במכשירים.
2.6. אכיפת הציות
אם מכשיר לא עומד בדרישות של מדיניות האבטחה, הגישה לנתוני העבודה מוגבלת באופן אוטומטי.
2.6.1. מדיניות האבטחה שנאכפת במכשיר חייבת לכלול לפחות את מדיניות הסיסמאות.
2.7. כללי מדיניות ברירת המחדל לאבטחה
ספקי EMM חייבים לאכוף את מדיניות האבטחה שצוינה במכשירים כברירת מחדל, בלי לדרוש מאדמינים ממחלקת IT להגדיר או להתאים אישית הגדרות כלשהן במסוף של ספק ה-EMM. אנחנו ממליצים לספקי EMM (אבל לא מחייבים אותם) לא לאפשר לאדמינים ממחלקת ה-IT לשנות את מצב ברירת המחדל של אמצעי האבטחה האלה.
2.7.1. ה-DPC של ה-EMM צריך לחסום התקנה של אפליקציות ממקורות לא מוכרים, כולל אפליקציות שמותקנות בצד האישי של כל מכשיר עם Android מגרסה 8.0 ואילך שיש בו פרופיל עבודה.
2.7.2. בקר ה-DPC של ה-EMM צריך לחסום את תכונות ניפוי הבאגים.
2.8. מדיניות אבטחה למכשירים ייעודיים
המכשירים הייעודיים נעולים ואי אפשר לבצע בהם פעולות אחרות.
2.8.1. כברירת מחדל, ה-DPC של ה-EMM צריך להשבית את האפשרות להפעיל את המכשיר במצב בטוח.
2.8.2. צריך לפתוח את ה-DPC של ה-EMM ולנעול אותו למסך מיד בהפעלה הראשונה במהלך ההקצאה, כדי לוודא שאין אינטראקציה עם המכשיר בשום דרך אחרת.
2.8.3. צריך להגדיר את ה-DPC של ה-EMM כמרכז האפליקציות שמוגדר כברירת מחדל, כדי לוודא שהאפליקציות המותרות נעולות במסך בזמן ההפעלה, בהתאם להנחיות ההטמעה המוגדרות.
2.9. תמיכה ב-Play Integrity
ה-EMM משתמש ב-Play Integrity API כדי לוודא שהמכשירים הם מכשירי Android תקינים.
2.9.1. בקרת מדיניות המכשיר (DPC) של ה-EMM מטמיעה את Play Integrity API במהלך הקצאת ההרשאות.
2.9.2. בקרת מדיניות המכשיר (DPC) של ה-EMM תבצע בדיקה נוספת של Play Integrity בכל פעם שמכשיר יתחבר לשרת של ה-EMM. האדמין ממחלקת ה-IT יכול להגדיר את הבדיקה הזו. שרת ה-EMM יאמת את פרטי ה-APK בתגובה לבדיקת התקינות ואת התגובה עצמה לפני עדכון מדיניות הארגון במכשיר.
2.9.3. אדמינים ממחלקת IT יכולים להגדיר תגובות שונות למדיניות בהתאם לתוצאות של בדיקת Play Integrity, כולל חסימת הקצאת הרשאות, מחיקת נתונים ארגוניים ואישור להמשיך בתהליך ההרשמה.
- שירות ה-EMM יאכוף את תגובת המדיניות הזו על התוצאה של כל בדיקת תקינות.
2.9.4. אם בדיקת Play Integrity הראשונית נכשלת או מחזירה תוצאה שלא עומדת בדרישות של תקינות חזקה, ואם ה-DPC של ה-EMM עדיין לא קרא ל-ensureWorkingEnvironment, הוא צריך לעשות זאת ולחזור על הבדיקה לפני שההקצאה תושלם.
2.10. אכיפה של אימות אפליקציות
אדמינים ממחלקת ה-IT יכולים להפעיל את התכונה אימות אפליקציות במכשירים. התכונה "אימות אפליקציות" סורקת אפליקציות שמותקנות במכשירי Android כדי לאתר תוכנות מזיקות לפני ואחרי ההתקנה, וכך עוזרת לוודא שאפליקציות זדוניות לא יפגעו בנתונים של הארגון.
2.10.1. ה-DPC של ה-EMM צריך להפעיל את התכונה "אימות אפליקציות" כברירת מחדל.
2.11. תמיכה ב-Direct Boot
אפליקציות לא יכולות לפעול במכשירי Android מגרסה 7.0 ומעלה שהופעלו, עד שהמכשיר נפתח בפעם הראשונה. הפעלה ישירה מבטיחה שה-DPC של ה-EMM תמיד פעיל ויכול לאכוף את המדיניות, גם אם המכשיר לא פתוח.
2.11.1. ה-DPC של ה-EMM משתמש באחסון המוצפן של המכשיר כדי לבצע פונקציות ניהול קריטיות לפני שהאחסון המוצפן של פרטי הכניסה של ה-DPC פוענח. פונקציות הניהול שזמינות במהלך Direct Boot חייבות לכלול (בין היתר):
- איפוס ארגוני, כולל היכולת לאפס את נתוני ההגנה למכשיר אחרי איפוס לפי הצורך.
2.11.2. ה-DPC של ה-EMM לא יכול לחשוף נתונים ארגוניים באחסון המוצפן של המכשיר.
2.11.3. ספקי EMM יכולים להגדיר ולהפעיל אסימון כדי להפעיל את הלחצן שכחתי את הסיסמה במסך הנעילה של פרופיל העבודה. הכפתור הזה משמש לבקשה מהאדמינים ממחלקת ה-IT לאפס באופן מאובטח את הסיסמה של פרופיל העבודה.
2.12. ניהול אבטחת חומרה
אדמינים ממחלקת IT יכולים לנעול רכיבי חומרה של מכשיר בבעלות החברה כדי למנוע אובדן נתונים.
2.12.1. אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים לטעון מדיה פיזית חיצונית במכשיר שלהם.
2.12.2. אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים לשתף נתונים מהמכשיר שלהם באמצעות NFC Beam. תכונת המשנה הזו היא אופציונלית כי פונקציית ה-NFC Beam לא נתמכת יותר ב-Android מגרסה 10 ואילך.
2.12.3. אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים להעביר קבצים באמצעות USB מהמכשיר שלהם.
2.13. רישום של פעולות שמשפיעות על אבטחת החשבון בארגון
אדמינים ממחלקת IT יכולים לאסוף נתוני שימוש ממכשירים, לנתח אותם ולהעריך באופן פרוגרמטי אם יש התנהגות זדונית או מסוכנת. הפעילויות שנרשמות ביומן כוללות פעילות של Android Debug Bridge (adb), פתיחת אפליקציות וביטול נעילת המסך.
2.13.1. אדמינים ממחלקת IT יכולים להפעיל רישום ביומן אבטחה במכשירים ספציפיים, וה-DPC של ה-EMM צריך להיות מסוגל לאחזר באופן אוטומטי גם יומני אבטחה וגם יומני אבטחה לפני הפעלה מחדש.
2.13.2. אדמינים ממחלקת IT יכולים לבדוק את יומני האבטחה של הארגון למכשיר נתון ולחלון זמן שניתן להגדרה, במסוף של ה-EMM.
2.13.3. אדמינים ממחלקת IT יכולים לייצא יומני אבטחה של הארגון מהמסוף של ה-EMM.
3. ניהול החשבון והאפליקציות
3.1. קישור לארגון
אדמינים ממחלקת IT יכולים לקשר את ה-EMM לארגון שלהם, וכך לאפשר ל-EMM להשתמש בגרסה המנוהלת של Google Play כדי להפיץ אפליקציות למכשירים.
3.1.1. אדמין עם דומיין מנוהל קיים ב-Google יכול לקשר את הדומיין שלו ל-EMM.
3.1.2. מסוף ה-EMM חייב להקצות ולהגדיר באופן אוטומטי ESA ייחודי לכל ארגון.
3.1.3. לבטל את הרישום של הארגון באמצעות Play EMM API.
3.1.4. במסוף ה-EMM, האדמין מקבל הנחיה להזין את כתובת האימייל בעבודה בתהליך ההרשמה ל-Android, ולא להשתמש בחשבון Gmail.
3.1.5. ה-EMM ממלא מראש את כתובת האימייל של האדמין בתהליך ההרשמה ל-Android.
3.2. הקצאת חשבון Google Play לארגונים
ה-EMM יכול להקצות באופן שקט חשבונות משתמשים בארגון, שנקראים חשבונות Google Play לארגונים. החשבונות האלה מזהים משתמשים מנוהלים ומאפשרים להגדיר כללים ייחודיים להפצת אפליקציות לכל משתמש.
3.2.1. ה-DPC של ה-EMM יכול להקצות ולהפעיל חשבון Google Play ארגוני באופן שקט, בהתאם להנחיות ההטמעה המוגדרות. במסגרת התהליך:
- חשבון Google Play לארגונים מסוג
userAccountנוסף למכשיר. - במסוף ה-EMM, צריך למפות את החשבון מסוג
userAccountב-Google Play לארגונים ביחס של 1:1 למשתמשים בפועל.
3.3. הקצאת חשבונות למכשירים ב-Managed Google Play
ה-EMM יכול ליצור ולהקצות חשבונות מכשירים ב-Google Play לארגונים. . חשבונות מכשיר תומכים בהתקנה שקטה של אפליקציות מחנות Google Play לארגונים, והם לא קשורים למשתמש יחיד. במקום זאת, חשבון מכשיר משמש לזיהוי מכשיר יחיד כדי לתמוך בכללי הפצת אפליקציות לכל מכשיר בתרחישים של מכשירים ייעודיים.
3.3.1. ה-DPC של ה-EMM יכול להקצות ולהפעיל חשבון Google Play ארגוני באופן שקט, בהתאם להנחיות ההטמעה המוגדרות.
כדי לעשות את זה, צריך להוסיף למכשיר חשבון Google Play לארגונים מסוג deviceAccount.
3.4. הקצאת חשבון Google Play לארגונים במכשירים מדור קודם
ה-EMM יכול להקצות באופן שקט חשבונות משתמשים בגרסה הארגונית, שנקראים חשבונות Google Play מנוהלים. החשבונות האלה מזהים משתמשים מנוהלים ומאפשרים להגדיר כללים ייחודיים להפצת אפליקציות לכל משתמש.
3.4.1. ה-DPC של ה-EMM יכול להקצות ולהפעיל חשבון Google Play ארגוני באופן שקט, בהתאם להנחיות ההטמעה המוגדרות. במסגרת התהליך:
- חשבון Google Play לארגונים מסוג
userAccountנוסף למכשיר. - במסוף ה-EMM, צריך למפות את החשבון מסוג
userAccountב-Google Play לארגונים ביחס של 1:1 למשתמשים בפועל.
3.5. הפצת אפליקציות שקטה
אדמינים ממחלקת IT יכולים להפיץ אפליקציות לעבודה במכשירים של המשתמשים בהתקנה שקטה, ללא אינטראקציה מצד המשתמשים.
3.5.1. כדי לאפשר לאדמינים ממחלקת ה-IT להתקין אפליקציות לעבודה במכשירים מנוהלים, צריך להשתמש ב-Play EMM API במסוף ה-EMM.
3.5.2. מסוף ה-EMM חייב להשתמש ב-Play EMM API כדי לאפשר לאדמינים ממחלקת ה-IT לעדכן אפליקציות לעבודה במכשירים מנוהלים.
3.5.3. כדי לאפשר לאדמינים ממחלקת ה-IT להסיר אפליקציות במכשירים מנוהלים, מסוף ה-EMM צריך להשתמש ב-Play EMM API.
3.6. ניהול הגדרות מנוהלות
אדמינים ממחלקת IT יכולים לראות ולהגדיר הגדרות אישיות מנוהלות או כל אפליקציה שתומכת בהגדרות אישיות מנוהלות.
3.6.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את הגדרות התצורה המנוהלות של כל אפליקציה ב-Play.
- ספקי EMM יכולים להפעיל את
Products.getAppRestrictionsSchemaכדי לאחזר סכימה של הגדרות מנוהלות של אפליקציה, או להטמיע את מסגרת ההגדרות המנוהלות במסוף ה-EMM שלהם.
3.6.2. מסוף ה-EMM חייב לאפשר לאדמינים ממחלקת ה-IT להגדיר כל סוג של הגדרה (כפי שמוגדרת על ידי מסגרת Android) לכל אפליקציה ב-Play באמצעות Play EMM API.
3.6.3. מסוף ה-EMM חייב לאפשר לאדמינים ממחלקת ה-IT להגדיר תווים כלליים לחיפוש (כמו $username$ או %emailAddress%) כדי שאפשר יהיה להחיל הגדרה אחת לאפליקציה כמו Gmail על כמה משתמשים. ה-iframe של ההגדרה האישית המנוהלת תומך בדרישה הזו באופן אוטומטי.
3.7. ניהול קטלוג האפליקציות
אדמינים ממחלקת IT יכולים לייבא רשימה של אפליקציות שאושרו לארגון שלהם מ-Google Play לארגונים (play.google.com/work).
3.7.1. במסוף של ה-EMM אפשר להציג רשימה של אפליקציות שאושרו להפצה, כולל:
- אפליקציות שנרכשו ב-Google Play לארגונים
- אפליקציות פרטיות שגלויות לאדמינים ממחלקת IT
- אפליקציות שאושרו באופן פרוגרמטי
3.8. אישור פרוגרמטי של אפליקציות
מסוף ה-EMM משתמש ב-iframe של Google Play לארגונים כדי לתמוך ביכולות של Google Play לגלות ולאשר אפליקציות. אדמינים ממחלקת IT יכולים לחפש אפליקציות, לאשר אפליקציות ולאשר הרשאות שניתנות לאפליקציה בלי לצאת מהמסוף של ה-EMM.
3.8.1. אדמינים ממחלקת IT יכולים לחפש אפליקציות ולאשר אותן במסוף של ה-EMM באמצעות ה-iframe של Google Play לארגונים.
3.9. ניהול בסיסי של פריסת החנות
אפשר להשתמש באפליקציה של חנות Google Play לארגונים במכשירים כדי להתקין ולעדכן אפליקציות לעבודה. פריסת החנות הבסיסית מוצגת כברירת מחדל ומופיעות בה אפליקציות שאושרו לארגון, שספקי EMM מסננים לכל משתמש בהתאם למדיניות.
3.9.1. אדמינים ממחלקת IT יכולים [לנהל את קבוצות המוצרים שזמינות למשתמשים]/android/work/play/emm-api/samples#grant_a_user_access_to_apps) כדי לאפשר להם לראות ולהתקין אפליקציות מחנות Google Play לארגונים בקטע "דף הבית של החנות".
3.10. הגדרות מתקדמות של פריסת החנות
אדמינים ממחלקת IT יכולים להתאים אישית את פריסת החנות שמוצגת באפליקציית חנות Google Play לארגונים במכשירים.
3.10.1. אדמינים ממחלקת IT יכולים לבצע את הפעולות הבאות במסוף של ה-EMM כדי להתאים אישית את הפריסה של חנות Google Play לארגונים:
- אפשר ליצור עד 100 דפים של פריסת החנות. לדפים יכול להיות מספר שרירותי של שמות דפים מותאמים לשוק המקומי.
- אפשר ליצור עד 30 אשכולות לכל דף. לאשכולות יכול להיות מספר שרירותי של שמות אשכולות מותאמים לשוק המקומי.
- אפשר להקצות עד 100 אפליקציות לכל אשכול.
- אפשר להוסיף עד 10 קישורים מהירים לכל דף.
- מציינים את סדר המיון של האפליקציות בתוך אשכול ושל האשכולות בתוך דף.
3.11. ניהול רישיונות לאפליקציות
התכונה הזו הוצאה משימוש.
3.12. ניהול אפליקציות פרטיות שמתארחות ב-Google
אדמינים ממחלקת IT יכולים לעדכן אפליקציות פרטיות שמתארחות ב-Google דרך מסוף ה-EMM במקום דרך Google Play Console.
3.12.1. אדמינים ממחלקת IT יכולים להעלות גרסאות חדשות של אפליקציות שכבר פורסמו באופן פרטי לארגון באמצעות:
3.13. ניהול אפליקציות פרטיות באירוח עצמי
התכונה הזו הוצאה משימוש.
3.14. התראות במשיכה ב-EMM
במקום לשלוח שאילתות ל-Play מדי פעם כדי לזהות אירועים קודמים, כמו עדכון לאפליקציה שמכיל הרשאות חדשות או הגדרות מנוהלות, התראות משיכה של EMM מודיעות באופן יזום ל-EMM על אירועים כאלה בזמן אמת. כך ה-EMM יכול לבצע פעולות אוטומטיות ולספק התראות ניהוליות בהתאמה אישית על סמך האירועים האלה.
3.14.1. ספק ה-EMM צריך להשתמש בהתראות ה-EMM של Play כדי למשוך קבוצות של התראות.
3.14.2. מערכת ה-EMM חייבת להודיע באופן אוטומטי לאדמין ממחלקת ה-IT (לדוגמה, באמצעות אימייל אוטומטי) על אירועי ההתראות הבאים:
-
newPermissionEvent: אדמין ממחלקת IT צריך לאשר הרשאות חדשות לאפליקציה לפני שאפשר להתקין או לעדכן אותה במכשירים של המשתמשים בהתקנה שקטה. -
appRestrictionsSchemaChangeEvent: יכול להיות שהאדמין ממחלקת ה-IT יצטרך לעדכן את ההגדרה המנוהלת של האפליקציה כדי לשמור על היעילות הרצויה. -
appUpdateEvent: יכול לעניין אדמינים ממחלקת IT שרוצים לוודא שעדכון האפליקציה לא משפיע על הביצועים של תהליך העבודה העיקרי. -
productAvailabilityChangeEvent: יכול להיות שהמשתמשים לא יוכלו להתקין את האפליקציה או לקבל עדכונים לאפליקציה. -
installFailureEvent: Play לא יכול להתקין אפליקציה במכשיר באופן שקט, מה שמרמז על כך שיש משהו בהגדרות המכשיר שמונע את ההתקנה. אחרי קבלת ההתראה הזו, ספקי EMM לא צריכים לנסות שוב מיד לבצע התקנה שקטה, כי לוגיקת הניסיון החוזר של Play כבר נכשלה.
3.14.3. מערכת ה-EMM מבצעת באופן אוטומטי את הפעולות המתאימות על סמך אירועי ההתראות הבאים:
-
newDeviceEvent: במהלך הקצאת המכשיר, ספקי ה-EMM צריכים להמתין ל-newDeviceEventלפני שהם מבצעים קריאות נוספות ל-Play EMM API עבור המכשיר החדש, כולל התקנות שקטות של אפליקציות והגדרת תצורות מנוהלות. productApprovalEvent: כשמתקבלת התראה מסוגproductApprovalEvent, מערכת ה-EMM חייבת לעדכן באופן אוטומטי את רשימת האפליקציות המאושרות שיובאו למסוף ה-EMM להפצה למכשירים, אם יש סשן פעיל של אדמין ממחלקת IT, או אם רשימת האפליקציות המאושרות לא נטענת מחדש באופן אוטומטי בתחילת כל סשן של אדמין ממחלקת IT.
3.15. דרישות השימוש ב-API
ספק ה-EMM מטמיע את ממשקי ה-API של Google בקנה מידה נרחב, תוך הימנעות מדפוסי תנועה שעלולים להשפיע לרעה על היכולת של אדמינים ממחלקת IT לנהל אפליקציות בסביבות ייצור.
3.15.1. ה-EMM חייב לעמוד במגבלות השימוש של Play EMM API. אם לא תתקנו התנהגות שחורגת מההנחיות האלה, Google עשויה להשעות את השימוש ב-API, לפי שיקול דעתה.
3.15.2. ספק ה-EMM צריך לפזר את התנועה מארגונים שונים לאורך היום, ולא לרכז את התנועה מארגונים בזמנים ספציפיים או דומים. התנהגות שמתאימה לדפוס התנועה הזה, כמו פעולות אצווה מתוזמנות לכל מכשיר רשום, עלולה לגרום להשעיית השימוש ב-API, לפי שיקול הדעת של Google.
3.15.3. ספק ה-EMM לא יכול לשלוח בקשות עקביות, חלקיות או שגויות בכוונה, שלא מנסות לאחזר או לנהל נתונים אמיתיים של הארגון. התנהגות שמתאימה לדפוס התנועה הזה עלולה לגרום להשעיית השימוש ב-API, לפי שיקול דעתה של Google.
3.16. ניהול מתקדם של הגדרות מנוהלות
3.16.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את הגדרות התצורה המנוהלת (עד ארבע רמות) של כל אפליקציה ב-Play, באמצעות:
- ה-iFrame של Google Play לארגונים , או
- ממשק משתמש בהתאמה אישית.
3.16.2. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג כל משוב שמוחזר על ידי ערוץ המשוב של האפליקציה, כשהוא מוגדר על ידי אדמין ממחלקת IT.
- מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT לשייך פריט משוב ספציפי למכשיר ולאפליקציה שמהם הוא הגיע.
- מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT להירשם להתראות או לדוחות של סוגי הודעות ספציפיים (כמו הודעות שגיאה).
3.16.3. מסוף ה-EMM צריך לשלוח רק ערכים שיש להם ערך ברירת מחדל או שהוגדרו ידנית על ידי האדמין באמצעות:
- ה-iframe של ההגדרות האישיות המנוהלות, או
- ממשק משתמש בהתאמה אישית.
3.17. ניהול אפליקציות אינטרנט
אדמינים ממחלקת IT יכולים ליצור ולהפיץ אפליקציות אינטרנט במסוף ה-EMM.
3.17.1. אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי להפיץ קיצורי דרך לאפליקציות אינטרנט באמצעות:
3.18. ניהול מחזור החיים של חשבון Google Play לארגונים
ה-EMM יכול ליצור, לעדכן ולמחוק חשבונות Google Play לארגונים בשם אדמינים ממחלקת IT.
3.18.1. ספקי EMM יכולים לנהל את מחזור החיים של חשבון Google Play ארגוני בהתאם להנחיות ההטמעה שמוגדרות במאמרי העזרה למפתחים של Play EMM API.
3.18.2. מערכות EMM יכולות לאמת מחדש חשבונות מנוהלים ב-Google Play בלי אינטראקציה של המשתמש.
3.19. ניהול מסלולי אפליקציות
3.19.1. אדמינים ממחלקת IT יכולים לשלוף רשימה של מזהים לצורכי מעקב שהוגדרו על ידי מפתח לאפליקציה מסוימת.
3.19.2. אדמינים ממחלקת IT יכולים להגדיר מכשירים כך שישתמשו במסלול פיתוח מסוים לאפליקציה.
3.20. ניהול מתקדם של עדכוני אפליקציות
3.20.1. אדמינים ממחלקת IT יכולים לאפשר לאפליקציות להשתמש בעדכוני אפליקציות בעדיפות גבוהה כדי להתעדכן כשהעדכון מוכן.
3.20.2. אדמינים ממחלקת IT יכולים לאפשר לדחות את העדכונים לאפליקציות למשך 90 יום.
3.21. ניהול שיטות הקצאת ההרשאות
ה-EMM יכול ליצור הגדרות להקצאת הרשאות ולהציג אותן לאדמין ממחלקת ה-IT בפורמט שמוכן להפצה למשתמשי הקצה (כמו קוד QR, הגדרה ללא מגע ידני, כתובת URL של חנות Play).
3.22. שדרוג הקישור ל-Enterprise
אדמינים ממחלקת IT יכולים לשדרג את סוג הקישור של הארגון לדומיין מנוהל ב-Google, כדי לאפשר לארגון לגשת לשירותים ולתכונות של חשבון Google במכשירים רשומים.
3.22.1. מסוף ה-EMM מאפשר לאדמין ממחלקת ה-IT להפעיל את השדרוג של קבוצת חשבונות קיימת של Google Play לארגונים לקבוצת חשבונות של דומיין מנוהל ב-Google באמצעות ממשקי ה-API הנדרשים.
3.22.2. ספקי EMM צריכים להשתמש ב-Pub/Sub כדי לקבל התראות על אירועי שדרוג שהתחילו על ידי אדמינים ממחלקת IT (גם כאלה שמתרחשים מחוץ למסוף ה-EMM) ולעדכן את ממשק המשתמש שלהם כדי לשקף את השינויים האלה.
3.23. הקצאת חשבון Google מנוהל
ה-EMM יכול להקצות מכשיר עם חשבונות משתמשים ארגוניים, שנקראים חשבונות Google מנוהלים. החשבונות האלה מזהים משתמשים מנוהלים, מאפשרים להגדיר כללים להפצת אפליקציות ומאפשרים גישה לשירותי Google. אדמינים ממחלקת IT יכולים גם להגדיר מדיניות שמחייבת אימות של חשבון Google מנוהל במהלך הרישום או אחריו.
3.23.1. ה-DPC של ה-EMM יכול להקצות חשבון Google מנוהל בהתאם להנחיות ההטמעה המוגדרות.
במסגרת התהליך:
- חשבון Google מנוהל נוסף למכשיר.
- חשבון Google המנוהל חייב להיות ממופה באופן חד-חד-ערכי למשתמשים בפועל במסוף של ה-EMM.
3.23.2. האדמין ממחלקת ה-IT יכול להשתמש במדיניות כדי לתת למשתמשים אפשרות להיכנס לחשבון Google מנוהל לצורך רישום.
3.23.3. האדמין ממחלקת ה-IT יכול להשתמש במדיניות כדי לקבוע אם המשתמש נדרש להיכנס לחשבון Google מנוהל כדי להשלים את הרישום.
3.23.4. אדמינים ממחלקת IT יכולים להגביל את תהליך השדרוג למזהה חשבון ספציפי (כתובת אימייל) במכשיר מסוים.
3.24. שדרוג חשבון Google Play לארגונים
אדמינים ממחלקת IT יכולים לשדרג את סוג חשבון המשתמש לחשבון Google מנוהל, כדי לאפשר למכשיר לגשת לשירותים ולתכונות של חשבון Google במכשירים רשומים.
3.24.1. אדמינים ממחלקת IT יכולים לשדרג חשבון קיים של Google Play לארגונים במכשיר לחשבון Google מנוהל.
3.24.2. אדמינים ממחלקת IT יכולים להגביל את תהליך השדרוג למזהה חשבון ספציפי (כתובת אימייל) במכשיר מסוים.
3.25. תפקידים באפליקציה
בקרת מדיניות המכשיר (DPC) בהתאמה אישית לא תומכת בתכונה הזו.
3.26. העברה ושחזור של נתונים במכשיר
אדמינים ממחלקת IT יכולים להפעיל העברת נתונים ושחזור במכשירים בניהול מלא שמותקנים בהם חשבונות Google מנוהלים, ושאפליקציית Google Restore מותקנת בהם. התכונה הזו זמינה בפלטפורמה למכשירים מנוהלים. הפונקציונליות הזו לא תומכת בפרופילי עבודה, כולל COPE ו-BYOD.
3.26.1. במסוף ה-EMM, אדמינים ממחלקת IT יכולים להפעיל את שירות הגיבוי על ידי הפעלת setBackupServiceEnabled, כי התכונה מושבתת כברירת מחדל במכשירים בניהול מלא.
4. ניהול מכשירים
4.1. ניהול מדיניות ההרשאות בתחילת ההפעלה
אדמינים ממחלקת ה-IT יכולים להגדיר תגובה כברירת מחדל לבקשות הרשאה בתחילת ההפעלה שנשלחות מאפליקציות לעבודה, בלי שהמשתמשים יקבלו על כך הודעה.
4.1.1. אדמינים ממחלקת IT צריכים להיות מסוגלים לבחור מבין האפשרויות הבאות כשהם מגדירים מדיניות ברירת מחדל להרשאות בתחילת ההפעלה בארגון שלהם:
- הצגת בקשה (המשתמשים יכולים לבחור)
- לאפשר
- דחייה
המערכת לניהול מכשירים ניידים בארגון (EMM) צריכה לאכוף את ההגדרות האלה באמצעות בקר מדיניות המכשיר (DPC) של ה-EMM.
4.2. ניהול מצב ההרשאות בתחילת ההפעלה
אחרי שמגדירים מדיניות ברירת מחדל להרשאות בתחילת ההפעלה (עוברים לסעיף 4.1), אדמינים ממחלקת IT יכולים להגדיר תשובות להרשאות ספציפיות בלי להציג אותן למשתמשים, בכל אפליקציה לעבודה שמבוססת על API 23 ומעלה.
4.2.1. אדמינים ממחלקת IT צריכים להיות מסוגלים להגדיר את מצב ההרשאה (ברירת מחדל, אישור או דחייה) של כל בקשת הרשאה של אפליקציה לעבודה שמבוססת על API 23 ומעלה. ספק ה-EMM צריך לאכוף את ההגדרות האלה באמצעות ה-DPC של ה-EMM.
4.3. ניהול הגדרות ה-Wi-Fi
אדמינים ממחלקת IT יכולים להקצות הגדרות Wi-Fi ארגוניות במכשירים מנוהלים בלי שהמשתמשים ישימו לב, כולל:
4.3.1. SSID, באמצעות בקר ה-DPC של ה-EMM.
4.3.2. סיסמה, באמצעות DPC של EMM.
4.4. ניהול אבטחת Wi-Fi
אדמינים ממחלקת IT יכולים להקצות הגדרות Wi-Fi ארגוניות במכשירים מנוהלים שכוללים את אמצעי האבטחה המתקדמים הבאים:
4.4.1. זהות, באמצעות ה-DPC של ה-EMM.
4.4.2. אישור להרשאת לקוחות, באמצעות DPC של EMM.
4.4.3. אישורי CA, באמצעות ה-DPC של ה-EMM.
4.5. ניהול מתקדם של Wi-Fi
אדמינים ממחלקת IT יכולים לנעול את הגדרות ה-Wi-Fi במכשירים מנוהלים, כדי למנוע מהמשתמשים ליצור הגדרות או לשנות את ההגדרות של הארגון.
4.5.1. אדמינים ממחלקת IT יכולים לנעול את הגדרות ה-Wi-Fi של הארגון באחת מההגדרות הבאות:
- המשתמשים לא יכולים לשנות הגדרות Wi-Fi שהוקצו על ידי ה-EMM, אבל הם יכולים להוסיף ולשנות רשתות משלהם שניתנות להגדרה על ידי המשתמש (לדוגמה, רשתות אישיות).
- המשתמשים לא יכולים להוסיף או לשנות רשתות Wi-Fi במכשיר, והקישוריות ל-Wi-Fi מוגבלת רק לרשתות שהוקצו על ידי ה-EMM.
4.6. ניהול חשבון
אדמינים ממחלקת IT יכולים לוודא שחשבונות ארגוניים לא מורשים לא יכולים לקיים אינטראקציה עם נתונים ארגוניים, בשירותים כמו אחסון SaaS ואפליקציות פרודוקטיביות, או אימייל. בלי התכונה הזו, אפשר להוסיף חשבונות אישיים לאפליקציות הארגוניות שתומכות גם בחשבונות צרכנים, וכך לשתף נתונים ארגוניים עם החשבונות האישיים האלה.
4.6.1. אדמינים ממחלקת IT יכולים למנוע הוספה או שינוי של חשבונות.
- כשמחילים את המדיניות הזו על מכשיר, ספקי EMM צריכים להגדיר את ההגבלה הזו לפני השלמת ההקצאה, כדי לוודא שאי אפשר לעקוף את המדיניות הזו על ידי הוספת חשבונות לפני שהמדיניות נכנסת לתוקף.
4.7. ניהול חשבון Workspace
התכונה הזו הוצאה משימוש. בסעיף 3.23 מפורטות הדרישות להחלפה.
4.8. ניהול אישורים
אדמינים ממחלקת IT יכולים לפרוס אישורי זהות ורשויות אישורים במכשירים כדי לאפשר גישה למשאבים של הארגון.
4.8.1. אדמינים ממחלקת IT יכולים להתקין אישורי זהות של משתמשים שנוצרו על ידי ה-PKI שלהם לכל משתמש בנפרד. מסוף ה-EMM חייב להשתלב עם לפחות תשתית מפתח ציבורי (PKI) אחת ולהפיץ אישורים שנוצרו מהתשתית הזו.
4.8.2. אדמינים ממחלקת IT יכולים להתקין רשויות אישורים במאגר המפתחות המנוהל.
4.9. ניהול אישורים מתקדם
מאפשרת לאדמינים ממחלקת ה-IT לבחור באופן שקט את האישורים שבהם אפליקציות מנוהלות ספציפיות צריכות להשתמש. התכונה הזו גם מאפשרת לאדמינים ממחלקת ה-IT להסיר רשויות אישורים ואישורי זהות ממכשירים פעילים. התכונה הזו מונעת מהמשתמשים לשנות את פרטי הכניסה שמאוחסנים במאגר המפתחות המנוהל.
4.9.1. בכל אפליקציה שמופצת למכשירים, אדמינים ממחלקת ה-IT יכולים לציין אישור שהאפליקציה תקבל אליו גישה באופן אוטומטי בזמן ההפעלה.
- בחירת האישור צריכה להיות כללית מספיק כדי לאפשר הגדרה אחת שחלה על כל המשתמשים, שלכל אחד מהם יכול להיות אישור זהות ספציפי למשתמש.
4.9.2. אדמינים ממחלקת IT יכולים להסיר אישורים ממאגר המפתחות המנוהל בלי שהמשתמשים ידעו על כך.
4.9.3. אדמינים ממחלקת IT יכולים להסיר אישור CA או את כל אישורי ה-CA שלא שייכים למערכת בלי שהמשתמשים ידעו על כך.
4.9.4. אדמינים ממחלקת IT יכולים למנוע ממשתמשים להגדיר פרטי כניסה במאגר המפתחות המנוהל.
4.9.5. אדמינים ממחלקת IT יכולים להעניק אישורים מראש לאפליקציות לעבודה.
4.10. ניהול אישורים שהועבר
אדמינים ממחלקת IT יכולים להפיץ למכשירים אפליקציה של צד שלישי לניהול אישורים, ולתת לאפליקציה הזו גישה מורשית להתקנת אישורים במאגר המפתחות המנוהל.
4.10.1. אדמינים ממחלקת IT מציינים חבילה לניהול אישורים כדי להגדיר אותה בתור האפליקציה לניהול אישורים שהוקצתה על ידי ה-DPC.
- המסוף יכול להציע חבילות מוכרות לניהול אישורים, אבל הוא חייב לאפשר לאדמין ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.11. ניהול מתקדם של VPN
מאפשרת לאדמינים ממחלקת ה-IT להגדיר VPN שפועל כל הזמן כדי לוודא שהנתונים מאפליקציות מנוהלות מסוימות תמיד יעברו דרך VPN מוגדר.
4.11.1. אדמינים ממחלקת IT יכולים לציין חבילת VPN שרירותית שתוגדר כ-VPN שפועל כל הזמן.
- מסוף ה-EMM יכול להציע חבילות VPN מוכרות שתומכות ב-Always On VPN, אבל הוא לא יכול להגביל את רשתות ה-VPN שזמינות להגדרת Always On לרשימה שרירותית כלשהי.
4.11.2. אדמינים ממחלקת IT יכולים להשתמש בהגדרות אישיות מנוהלות כדי לציין את הגדרות ה-VPN של אפליקציה.
4.12. ניהול IME
אדמינים ממחלקת IT יכולים לנהל את שיטות הקלט (IME) שאפשר להגדיר במכשירים. מכיוון שה-IME משותף גם לפרופיל העבודה וגם לפרופיל האישי, חסימת השימוש ב-IME תמנע את השימוש בו גם בפרופיל האישי. עם זאת, אדמינים ממחלקת IT לא יכולים לחסום עורכי שיטות קלט (IME) של המערכת בפרופילים של עבודה (לפרטים נוספים, אפשר לעבור לניהול מתקדם של עורכי שיטות קלט (IME)).
4.12.1. אדמינים ממחלקת IT יכולים להגדיר רשימת היתרים של עורכי שיטות קלט בכל אורך (כולל רשימה ריקה, שחוסמת עורכי שיטות קלט שלא שייכים למערכת), שיכולה להכיל כל חבילה של עורכי שיטות קלט.
- במסוף של ה-EMM יכולות להופיע הצעות ל-IME מוכרים או מומלצים להכללה ברשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.12.2. ה-EMM חייב להודיע לאדמינים ממחלקת ה-IT שעורכי שיטות הקלט (IME) של המערכת לא נכללים בניהול במכשירים עם פרופילי עבודה.
4.13. ניהול מתקדם של IME
אדמינים ממחלקת IT יכולים לנהל את שיטות הקלט (IME) שאפשר להגדיר במכשירים. ניהול מתקדם של IME מרחיב את התכונה הבסיסית ומאפשר לאדמינים ממחלקת ה-IT לנהל גם את השימוש במערכות IME, שבדרך כלל מסופקות על ידי יצרן המכשיר או ספק המכשיר.
4.13.1. אדמינים ממחלקת IT יכולים להגדיר רשימת היתרים של עורכי שיטות קלט בכל אורך (חוץ מרשימה ריקה, שחוסמת את כל עורכי שיטות הקלט, כולל עורכי שיטות הקלט של המערכת), שיכולה להכיל כל חבילה של עורכי שיטות קלט.
- במסוף של ה-EMM יכולות להופיע הצעות ל-IME מוכרים או מומלצים להכללה ברשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.13.2. ספקי EMM צריכים למנוע מאדמינים ממחלקת IT להגדיר רשימת היתרים ריקה, כי ההגדרה הזו תחסום את כל עורכי שיטות הקלט, כולל עורכי שיטות הקלט של המערכת, מהגדרה במכשיר.
4.13.3. ספקי EMM צריכים לוודא שאם רשימת ההיתרים של ה-IME לא מכילה את ה-IME של המערכת, ה-IME של הצד השלישי מותקנים בהתקנה שקטה לפני שרשימת ההיתרים מופעלת במכשיר.
4.14. ניהול שירותי נגישות
אדמינים ממחלקת IT יכולים לנהל את שירותי הנגישות שמותר להשתמש בהם במכשירים של המשתמשים. שירותי נגישות הם כלים יעילים למשתמשים עם מוגבלויות או למשתמשים שלא יכולים להשתמש במכשיר באופן מלא באופן זמני, אבל הם יכולים להשתמש בנתונים של הארגון בדרכים שלא תואמות למדיניות הארגון. התכונה הזו מאפשרת לאדמינים ממחלקת ה-IT להשבית כל שירות נגישות שלא שייך למערכת.
4.14.1. אדמינים ממחלקת IT יכולים להגדיר רשימת היתרים של שירותי נגישות בכל אורך (כולל רשימה ריקה, שחוסמת שירותי נגישות שהם לא של המערכת), שיכולה להכיל כל חבילה של שירותי נגישות. כשמחילים את ההגדרה הזו על פרופיל עבודה, היא משפיעה גם על הפרופיל האישי וגם על פרופיל העבודה.
- במסוף אפשר להציע שירותי נגישות מוכרים או מומלצים שייכללו ברשימת ההיתרים, אבל צריך לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.15. ניהול של שיתוף המיקום
אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשתף נתוני מיקום עם אפליקציות בפרופיל העבודה. אחרת, אפשר לקבוע את הגדרת המיקום של פרופילי העבודה ב"הגדרות".
4.15.1. אדמינים ממחלקת IT יכולים להשבית את שירותי המיקום בפרופיל העבודה.
4.16. ניהול מתקדם של שיתוף המיקום
אדמינים ממחלקת IT יכולים לאכוף הגדרת שיתוף מיקום נתונה במכשיר מנוהל. התכונה הזו יכולה להבטיח שלאפליקציות ארגוניות תמיד תהיה גישה לנתוני מיקום ברמת דיוק גבוהה. התכונה הזו גם יכולה להגביל את הגדרות המיקום למצב חיסכון בסוללה, כדי למנוע צריכת אנרגיה מיותרת מהסוללה.
4.16.1. אדמינים ממחלקת IT יכולים להגדיר את שירותי המיקום במכשיר לכל אחד מהמצבים הבאים:
- רמת דיוק גבוהה.
- חיישנים בלבד, למשל GPS, אבל לא כולל מיקום שסופק על ידי הרשת.
- חיסכון בסוללה, שמגביל את תדירות העדכון.
- כבוי.
4.17. ניהול ההגנה למכשיר אחרי איפוס
אדמינים ממחלקת IT יכולים להגן על מכשירים בבעלות החברה מפני גניבה, על ידי כך שהם מוודאים שמשתמשים לא מורשים לא יכולים לאפס את המכשירים להגדרות המקוריות. אם הגדרת החשבון שמורשה להפעיל את המכשיר אחרי איפוס יוצרת מורכבות תפעולית כשהמכשירים מוחזרים למחלקת ה-IT, האדמינים במחלקת ה-IT יכולים גם להשבית את ההגדרה הזו לגמרי.
4.17.1. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לבצע איפוס להגדרות המקוריות של המכשיר שלהם דרך ההגדרות.
4.17.2. אדמינים ממחלקת IT יכולים לציין חשבונות ארגוניים לביטול נעילה שמורשים להקצות מכשירים אחרי איפוס להגדרות המקוריות.
- החשבון הזה יכול להיות מקושר לאדם פרטי, או לשמש את כל הארגון כדי לבטל את הנעילה של מכשירים.
4.17.3. אדמינים ממחלקת IT יכולים להשבית את ההגנה למכשיר אחרי איפוס במכשירים מסוימים.
4.17.4. אדמינים ממחלקת IT יכולים להתחיל מחיקה מרחוק של מכשיר שמחובר לרשת אחרת, שכוללת גם אפשרות למחוק את נתוני ההגנה למכשיר אחרי איפוס, וכך להסיר את ההגנה למכשיר אחרי איפוס במכשיר שמאופס.
4.18. אמצעי בקרה מתקדמים לאפליקציות
אדמינים ממחלקת IT יכולים למנוע מהמשתמש להסיר או לשנות אפליקציות מנוהלות דרך ההגדרות, למשל סגירה כפויה של האפליקציה או ניקוי המטמון של נתוני האפליקציה.
4.18.1. אדמינים ממחלקת IT יכולים לחסום את האפשרות להסיר אפליקציות מנוהלות מסוימות או את כל האפליקציות המנוהלות.
4.18.2. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לשנות את נתוני האפליקציה דרך ההגדרות.
4.19. ניהול צילומי מסך
אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים לצלם צילומי מסך כשהם משתמשים באפליקציות מנוהלות. ההגדרה הזו כוללת חסימה של אפליקציות לשיתוף מסך ואפליקציות דומות (כמו Google Assistant) שמשתמשות ביכולות של המערכת לצילום מסך.
4.19.1. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לצלם צילומי מסך.
4.20. השבת מצלמות
אדמינים ממחלקת IT יכולים להשבית את השימוש במצלמות של המכשיר באפליקציות מנוהלות.
4.20.1. אדמינים ממחלקת IT יכולים להשבית את השימוש במצלמות של המכשיר באפליקציות מנוהלות.
4.21. איסוף נתונים סטטיסטיים של הרשת
אדמינים ממחלקת ה-IT יכולים לשלוח שאילתות לגבי נתוני השימוש ברשת מפרופיל העבודה של המכשיר. הנתונים הסטטיסטיים שנאספים משקפים את נתוני השימוש שמשותפים עם המשתמשים בקטע שימוש בנתונים בהגדרות. הנתונים הסטטיסטיים שנאספים רלוונטיים לשימוש באפליקציות בפרופיל העבודה.
4.21.1. אדמינים ממחלקת IT יכולים לשלוח שאילתה על סיכום הנתונים הסטטיסטיים של הרשת בפרופיל עבודה, במכשיר נתון ובחלון זמן שניתן להגדרה, ולראות את הפרטים האלה במסוף של ה-EMM.
4.21.2. אדמינים ממחלקת IT יכולים לשאול סיכום של אפליקציה בסטטיסטיקות השימוש ברשת של פרופיל העבודה, עבור מכשיר נתון וחלון זמן שניתן להגדרה, ולהציג את הפרטים האלה מאורגנים לפי UID במסוף של ה-EMM.
4.21.3. אדמינים ממחלקת IT יכולים לשלוח שאילתות לגבי נתונים היסטוריים של שימוש ברשת בפרופיל העבודה, במכשיר נתון ובחלון זמן שניתן להגדרה, ולראות את הפרטים האלה מאורגנים לפי מזהה משתמש (UID) במסוף של ה-EMM.
4.22. איסוף נתונים סטטיסטיים מתקדמים של הרשת
אדמינים ממחלקת IT יכולים לשלוח שאילתות לגבי נתוני השימוש ברשת של מכשיר מנוהל שלם. הנתונים הסטטיסטיים שנאספים משקפים את נתוני השימוש שמשותפים עם המשתמשים בקטע שימוש בנתונים בהגדרות. הנתונים הסטטיסטיים שנאספים רלוונטיים לשימוש באפליקציות במכשיר.
4.22.1. אדמינים ממחלקת IT יכולים לשלוח שאילתה לגבי סיכום הנתונים הסטטיסטיים של הרשת במכשיר שלם, במכשיר נתון ובחלון זמן שניתן להגדרה, ולראות את הפרטים האלה במסוף של ה-EMM.
4.22.2. אדמינים ממחלקת IT יכולים לשאול סיכום של נתונים סטטיסטיים של שימוש ברשת של אפליקציות, עבור מכשיר נתון וחלון זמן שניתן להגדרה, ולהציג את הפרטים האלה מאורגנים לפי UID במסוף של ה-EMM.
4.22.3. אדמינים ממחלקת IT יכולים לשלוח שאילתות לגבי נתונים היסטוריים של שימוש ברשת, למכשיר נתון ולחלון זמן שניתן להגדרה, ולראות את הפרטים האלה מאורגנים לפי UID במסוף ה-EMM.
4.23. הפעלת המכשיר מחדש
אדמינים ממחלקת IT יכולים להפעיל מחדש מכשירים מנוהלים מרחוק.
4.23.1. אדמינים ממחלקת IT יכולים להפעיל מחדש מרחוק מכשיר מנוהל.
4.24. ניהול הרדיו של המערכת
מאפשר לאדמינים ממחלקת ה-IT לנהל באופן פרטני את הרדיו של רשת המערכת ואת כללי המדיניות המשויכים לשימוש.
4.24.1. אדמינים ממחלקת IT יכולים להשבית שידורים סלולריים שנשלחים על ידי ספקי שירות (לדוגמה, התרעות AMBER).
4.24.2. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית ב"הגדרות".
4.24.3. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לאפס את הגדרות הרשת ב"הגדרות".
4.24.4. אדמינים ממחלקת IT יכולים לאשר או לא לאשר שימוש בחבילת גלישה בזמן נדידה.
4.24.5. אדמינים ממחלקת IT יכולים להגדיר אם המכשיר יכול לבצע שיחות טלפון יוצאות, לא כולל שיחות חירום.
4.24.6. אדמינים ממחלקת IT יכולים להגדיר אם המכשיר יכול לשלוח ולקבל הודעות SMS.
4.24.7. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים להשתמש במכשיר שלהם כנקודה לשיתוף אינטרנט (Hotspot) ניידת באמצעות שיתוף אינטרנט בין מכשירים (tethering).
4.24.8. אדמינים ממחלקת IT יכולים להגדיר את זמן הקצוב לתפוגה של ה-Wi-Fi לברירת המחדל , רק כשהמכשיר מחובר לחשמל , או אף פעם .
4.24.9. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים להגדיר או לשנות חיבורי Bluetooth קיימים.
4.25. ניהול האודיו של המערכת
אדמינים ממחלקת IT יכולים לנהל את תכונות האודיו של המכשיר באופן שקט, כולל השתקת המכשיר, מניעת שינוי של הגדרות עוצמת הקול על ידי המשתמשים ומניעת ביטול ההשתקה של המיקרופון במכשיר על ידי המשתמשים.
4.25.1. אדמינים ממחלקת IT יכולים להשתיק מכשירים מנוהלים בלי שהמשתמשים ידעו.
4.25.2. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לשנות את הגדרות עוצמת הקול במכשיר.
4.25.3. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לבטל את ההשתקה של המיקרופון במכשיר.
4.26. ניהול שעון המערכת
אדמינים ממחלקת IT יכולים לנהל את הגדרות השעון והגדרות אזור הזמן של המכשיר, ולמנע ממשתמשים לשנות את ההגדרות האוטומטיות של המכשיר.
4.26.1. אדמינים ממחלקת IT יכולים לאכוף את הגדרת הזמן האוטומטית של המערכת, וכך למנוע מהמשתמש להגדיר את התאריך והשעה של המכשיר.
4.26.2. אדמינים ממחלקת IT יכולים להשבית או להפעיל באופן שקט את ההגדרות זמן אוטומטי ואזור זמן אוטומטי.
4.27. תכונות מתקדמות של מכשירים ייעודיים
אדמינים ממחלקת IT יכולים לנהל תכונות ספציפיות יותר של מכשירים ייעודיים, כדי לתמוך בתרחישים שונים של שימוש בקיוסק.
4.27.1. אדמינים ממחלקת IT יכולים להשבית את נעילת המכשיר.
4.27.2. אדמינים ממחלקת IT יכולים להשבית את שורת הסטטוס של המכשיר, כדי לחסום התראות והגדרות מהירות.
4.27.3. אדמינים ממחלקת ה-IT יכולים לאלץ את מסך המכשיר להישאר דלוק כשהמכשיר מחובר לחשמל.
4.27.4. אדמינים ממחלקת IT יכולים למנוע את ההצגה של ממשקי המשתמש הבאים של המערכת:
- טוסטים
- שכבות-על של אפליקציות.
4.27.5. אדמינים ממחלקת IT יכולים לאפשר למערכת להמליץ לאפליקציות לדלג על המדריך למשתמש ועל רמזים אחרים להיכרות בהפעלה הראשונה.
4.28. ניהול היקף ההרשאות שהוענקו
אדמינים ממחלקת ה-IT יכולים להקצות הרשאות נוספות לחבילות ספציפיות.
4.28.1. אדמינים ממחלקת IT יכולים לנהל את ההיקפים הבאים:
- התקנה וניהול של אישורים
- Deliberately blank
- רישום ביומן של פעילות ברשת
- רישום ביומן אבטחה (לא נתמך בפרופיל עבודה במכשיר בבעלות אישית)
4.29. תמיכה במזהה ספציפי להרשמה
החל מ-Android 12, לפרופילי עבודה לא תהיה יותר גישה למזהים ספציפיים לחומרה. אדמינים ממחלקת IT יכולים לעקוב אחרי מחזור החיים של מכשיר עם פרופיל עבודה באמצעות המזהה הספציפי להרשמה, שנשאר גם אחרי איפוס להגדרות המקוריות.
4.29.1. אדמינים ממחלקת IT יכולים להגדיר ולקבל מזהה ספציפי להרשמה
4.29.2. המזהה הספציפי הזה של ההרשמה צריך להישמר גם אחרי איפוס להגדרות המקוריות
4.30. מדיניות Credential Manager
אדמינים ממחלקת IT יכולים לנהל את האפליקציות של מנהלי פרטי הכניסה שמותרות או חסומות באמצעות המדיניות.
4.30.1 אדמינים ממחלקת ה-IT יכולים לחסום את כל מנהלי פרטי הכניסה במכשיר (או בפרופיל העבודה).
4.30.2 ריק בכוונה.
4.30.3 אדמינים ממחלקת IT יכולים לציין רשימה של שמות חבילות שמותר להן להציע פונקציונליות של Credential Manager.
4.31. ניהול בסיסי של eSIM
מאפשר לאדמינים ממחלקת IT להקצות מכשיר עם פרופיל eSIM ולנהל את מחזור החיים שלו במכשיר.
4.31.1 אדמינים ממחלקת IT יכולים להקצות פרופיל eSIM למכשיר באופן שקט.
4.31.2 אדמינים ממחלקת IT יכולים למחוק כרטיסי eSIM מנוהלים ממכשיר.
4.31.3 אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית ב"הגדרות" (עוברים אל mobileNetworksConfigDisabled).
4.31.4 כשאדמין ממחלקת IT מבצע מחיקה מרחוק במכשיר או בפרופיל עבודה, יש לו אפשרות להסיר גם את כרטיסי ה-eSIM המנוהלים מהמכשיר. כברירת מחדל, כרטיסי eSIM מנוהלים מוסרים מפרופילי עבודה במכשירים בבעלות אישית, אבל נשמרים במכשירים בבעלות החברה.
4.31.5 (אופציונלי) אדמינים ממחלקת IT יכולים לאחזר את המזהה של מסמך הזהות המוטמע (EID) של מכשיר באמצעות ממשק המשתמש של מסוף ה-EMM (או שיטה מקבילה) ולייצא את הערכים האלה.
5. נוחות השימוש במכשיר
5.1. התאמה אישית של הקצאת הרשאות מנוהלת
אדמינים ממחלקת IT יכולים לשנות את ממשק המשתמש של תהליך ההגדרה שמוגדר כברירת מחדל, כדי לכלול תכונות ספציפיות לארגון. אדמינים ממחלקת IT יכולים להציג מיתוג שסופק על ידי EMM במהלך הקצאת ההרשאות.
5.1.1. אדמינים ממחלקת IT יכולים להתאים אישית את תהליך ההקצאה על ידי ציון הפרטים הבאים שספציפיים לארגון: צבע הארגון, לוגו הארגון, התנאים וההגבלות של הארגון וכתבי ויתור אחרים.
5.1.2. אדמינים ממחלקת IT יכולים לפרוס התאמה אישית ספציפית ל-EMM שלא ניתנת להגדרה, שכוללת את הפרטים הבאים: צבע ה-EMM, לוגו ה-EMM, התנאים וההגבלות של ה-EMM וכתבי ויתור אחרים.
5.1.3 [primaryColor] הוצא משימוש למשאב הארגוני ב-Android מגרסה 10 ואילך.
- ספקי EMM חייבים לכלול את התנאים וההגבלות של ההקצאה וכתבי ויתור אחרים לתהליך ההקצאה שלהם בחבילת כתבי הוויתור של הקצאת המערכת, גם אם לא נעשה שימוש בהתאמה האישית הספציפית ל-EMM.
- ספקי EMM יכולים להגדיר את ההתאמה האישית הספציפית ל-EMM, שלא ניתנת להגדרה, כברירת המחדל לכל הפריסות, אבל הם חייבים לאפשר לאדמינים ממחלקת ה-IT להגדיר התאמה אישית משלהם.
5.2. התאמה אישית לארגונים
אדמינים ממחלקת IT יכולים להתאים אישית היבטים של פרופיל העבודה באמצעות מיתוג ארגוני. לדוגמה, אדמינים ממחלקת ה-IT יכולים להגדיר את סמל המשתמש בפרופיל העבודה ללוגו של החברה. דוגמה נוספת היא הגדרת צבע הרקע של אתגר העבודה.
5.2.1. אדמינים ממחלקת IT יכולים להגדיר את צבע הארגון, שישמש כצבע הרקע של אתגר העבודה.
5.2.2. אדמינים ממחלקת IT יכולים להגדיר את השם המוצג של פרופיל העבודה.
5.2.3. אדמינים ממחלקת IT יכולים להגדיר את סמל המשתמש של פרופיל העבודה.
5.2.4. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשנות את סמל המשתמש בפרופיל העבודה.
5.3. התאמה אישית מתקדמת לארגונים
אדמינים ממחלקת IT יכולים להתאים אישית מכשירים מנוהלים עם מיתוג ארגוני. לדוגמה, אדמינים ממחלקת IT יכולים להגדיר את סמל המשתמש הראשי כלוגו של החברה, או להגדיר את הטפט של המכשיר.
5.3.1. אדמינים ממחלקת IT יכולים להגדיר את השם המוצג של המכשיר המנוהל.
5.3.2. אדמינים ממחלקת IT יכולים להגדיר את סמל המשתמש של המכשיר המנוהל.
5.3.3. אדמינים ממחלקת IT יכולים למנוע מהמשתמש לשנות את סמל המשתמש במכשיר.
5.3.4. אדמינים ממחלקת IT יכולים להגדיר את הטפט במכשיר.
5.3.5. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשנות את הטפט במכשיר.
5.4. הודעות במסך הנעילה
אדמינים ממחלקת IT יכולים להגדיר הודעה בהתאמה אישית שמוצגת תמיד במסך הנעילה של המכשיר, ולא צריך לבטל את הנעילה של המכשיר כדי לראות אותה.
5.4.1. אדמינים ממחלקת IT יכולים להגדיר הודעה מותאמת אישית במסך הנעילה.
5.5. ניהול השקיפות של המדיניות
אדמינים ממחלקת IT יכולים להתאים אישית את טקסט העזרה שמוצג למשתמשים כשהם משנים הגדרות מנוהלות במכשיר שלהם, או לפרוס הודעת תמיכה כללית שסופקה על ידי EMM. אפשר להתאים אישית גם את הודעות התמיכה הקצרות וגם את הודעות התמיכה הארוכות. ההודעות האלה מוצגות במקרים כמו ניסיון להסיר אפליקציה מנוהלת שאדמין ממחלקת IT כבר חסם את האפשרות להסיר אותה.
5.5.1. אדמינים ממחלקת IT יכולים להתאים אישית את הודעות התמיכה הקצרות והארוכות.
5.5.2. אדמינים ממחלקת IT יכולים לפרוס הודעות תמיכה קצרות וארוכות ספציפיות ל-EMM שלא ניתנות להגדרה.
- ספקי EMM יכולים להגדיר את הודעות התמיכה הספציפיות ל-EMM שלא ניתנות להגדרה כברירת מחדל לכל הפריסות, אבל הם חייבים לאפשר לאדמינים ממחלקת ה-IT להגדיר הודעות משלהם.
5.6. ניהול אנשי קשר בין פרופילים שונים
אדמינים ממחלקת IT יכולים לקבוע אילו נתוני אנשי קשר אפשר להעביר מפרופיל העבודה. אפליקציות הטלפון וההודעות (SMS) צריכות לפעול בפרופיל האישי, והן צריכות גישה לנתוני אנשי הקשר בפרופיל העבודה כדי להציע יעילות לאנשי הקשר בעבודה. עם זאת, אדמינים יכולים להשבית את התכונות האלה כדי להגן על נתוני העבודה.
5.6.1. אדמינים ממחלקת IT יכולים להשבית את החיפוש של אנשי קשר בפרופילים שונים באפליקציות אישיות שמשתמשות בספק אנשי הקשר של המערכת.
5.6.2. אדמינים ממחלקת IT יכולים להשבית את החיפוש של שיחה מזוהה בפרופילים שונים באפליקציות חיוג אישיות שמשתמשות בספק אנשי הקשר של המערכת.
5.6.3. אדמינים ממחלקת IT יכולים להשבית את שיתוף אנשי הקשר באמצעות Bluetooth עם מכשירי Bluetooth שמשתמשים בספק אנשי הקשר של המערכת, למשל דיבוריות ברכבים או אוזניות.
5.7. ניהול נתונים בפרופילים שונים
אדמינים ממחלקת ה-IT יכולים לקבוע אילו נתונים אפשר להעביר מפרופיל העבודה, מעבר לאמצעי האבטחה שמוגדרים כברירת מחדל בפרופיל העבודה. התכונה הזו מאפשרת לאדמינים ממחלקת ה-IT לאשר סוגים מסוימים של שיתוף נתונים בין פרופילים, כדי לשפר את נוחות השימוש בתרחישים מרכזיים. אדמינים ממחלקת IT יכולים גם להגן על נתוני הארגון באמצעות נעילות נוספות.
5.7.1. אדמינים ממחלקת IT יכולים להגדיר מסנני Intent בפרופילים שונים כדי שאפליקציות אישיות יוכלו לפתור Intent מפרופיל העבודה, כמו Intent של שיתוף או קישורים לדפי אינטרנט אחרים.
- יכול להיות שבמסוף יוצעו מסנני Intent מוכרים או מומלצים להגדרה, אבל אי אפשר להגביל את מסנני ה-Intent לרשימה שרירותית כלשהי.
5.7.2. אדמינים ממחלקת IT יכולים לאשר אפליקציות מנוהלות שיכולות להציג ווידג'טים במסך הבית.
- מסוף ה-EMM חייב לספק לאדמינים ממחלקת ה-IT את היכולת לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
5.7.3. אדמינים ממחלקת IT יכולים לחסום את האפשרות להעתיק ולהדביק בין הפרופיל של העבודה לפרופיל האישי.
5.7.4. אדמינים ממחלקת IT יכולים לחסום את המשתמשים מלשתף נתונים מפרופיל העבודה באמצעות NFC Beam.
5.7.5. אדמינים ממחלקת IT יכולים לאפשר לאפליקציות אישיות לפתוח קישורים לדפי אינטרנט אחרים מפרופיל העבודה.
5.8. מדיניות עדכוני המערכת
אדמינים ממחלקת IT יכולים להגדיר ולהחיל עדכוני מערכת דרך האוויר (OTA) במכשירים.
5.8.1. מסוף ה-EMM מאפשר לאדמינים ממחלקת ה-IT להגדיר את ההגדרות הבאות של OTA:
- אוטומטי: המכשירים מתקינים עדכוני OTA כשהם זמינים.
- דחייה: אדמינים ממחלקת IT צריכים להיות מסוגלים לדחות עדכון OTA למשך עד 30 ימים. המדיניות הזו לא משפיעה על עדכוני אבטחה (למשל, תיקוני אבטחה חודשיים).
- חלון זמן: אדמינים ממחלקת IT צריכים להיות מסוגלים לתזמן עדכוני OTA במסגרת חלון זמן יומי לתחזוקה.
5.8.2. ה-DPC של ה-EMM מחיל הגדרות OTA על מכשירים.
5.9. ניהול מצב משימות נעולות (lock task mode)
אדמינים ממחלקת IT יכולים לנעול אפליקציה או קבוצת אפליקציות במסך, ולוודא שהמשתמשים לא יכולים לצאת מהאפליקציה.
5.9.1. מסוף ה-EMM מאפשר לאדמינים ממחלקת IT לאשר באופן שקט התקנה של קבוצת אפליקציות שרירותית ולנעול אותן במכשיר. ה-DPC של ה-EMM מאפשר מצב מכשיר ייעודי.
5.10. ניהול קבוע של הפעילות המועדפת
מאפשרת לאדמינים ממחלקת ה-IT להגדיר אפליקציה כרכיב ה-Intent handler שמוגדר כברירת מחדל ל-Intent שתואמים למסנן Intent מסוים. לדוגמה, אדמינים ממחלקת IT יכולים לבחור איזו אפליקציית דפדפן תפתח באופן אוטומטי קישורים לדפי אינטרנט אחרים, או באיזו אפליקציית מרכז אפליקציות להשתמש כשמקישים על כפתור הבית.
5.10.1. אדמינים ממחלקת IT יכולים להגדיר כל חבילה כ-intent handler שמוגדר כברירת מחדל לכל מסנן Intent שרירותי.
- מסוף ה-EMM יכול להציע כוונות ידועות או מומלצות להגדרה, אבל הוא לא יכול להגביל כוונות לרשימה שרירותית כלשהי.
- מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
5.11. ניהול תכונות של נעילת המסך
אדמינים ממחלקת IT יכולים לנהל את התכונות שזמינות למשתמשים לפני שהם פותחים את מסך הנעילה של המכשיר ואת מסך הנעילה של אתגר העבודה.
5.11.1. בקר מדיניות המכשיר (DPC) של ה-EMM יכול להשבית את התכונות הבאות של נעילת המכשיר:
- סביבות אמינות
- ביטול נעילה באמצעות טביעת אצבע
- התראות לא מצונזרות
5.11.2. ה-DPC של ה-EMM יכול להשבית את התכונות הבאות של נעילת המסך בפרופיל העבודה:
- סביבות אמינות
- ביטול הנעילה בטביעת אצבע
5.12. ניהול מתקדם של תכונות נעילת המקשים
אדמינים ממחלקת IT יכולים לנהל תכונות מתקדמות של נעילת מקשים (מסך נעילה) במכשירים בבעלות החברה.
5.12.1. אדמינים ממחלקת IT יכולים להשבית את התכונות הבאות של נעילת המכשיר:
- מצלמה מאובטחת
- כל ההתראות
- התראות לא מצונזרות
- סביבות אמינות
- פתיחה בטביעת אצבע
- כל התכונות של נעילת המקשים
5.13. ניקוי באגים מרחוק
אדמינים ממחלקת IT יכולים לאחזר משאבי ניפוי באגים ממכשירים בלי צורך בשלבים נוספים.
5.13.1. אדמינים ממחלקת IT יכולים לבקש דוחות על באגים מרחוק, לצפות בדוחות על באגים במסוף של ה-EMM ולהוריד דוחות על באגים מהמסוף של ה-EMM.
5.14. אחזור כתובת MAC
ספקי EMM יכולים לאחזר את כתובת ה-MAC של המכשיר באופן שקט. אפשר להשתמש בכתובת ה-MAC כדי לזהות מכשירים בחלקים אחרים של התשתית הארגונית (לדוגמה, כשמזהים מכשירים לבקרת גישה לרשת).
5.14.1. ה-EMM יכול לאחזר באופן שקט את כתובת ה-MAC של המכשיר ולשייך אותה למכשיר במסוף של ה-EMM.
5.15. ניהול מתקדם של מצב משימות נעולות (lock task mode)
כשהמכשיר מוגדר כמכשיר ייעודי, אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי לבצע את המשימות הבאות:
5.15.1. לאפשר לאפליקציה אחת להינעל למכשיר באמצעות DPC של EMM, בלי להציג הודעה.
5.15.2. מפעילים או משביתים את התכונות הבאות של ממשק המשתמש של המערכת באמצעות ה-DPC של ה-EMM:
- כפתור 'דף הבית'
- סקירה כללית
- פעולות גלובליות
- התראות
- פרטי המערכת / שורת הסטטוס
- Keyguard (מסך נעילה)
5.15.3. משביתים את תיבות הדו-שיח של שגיאות המערכת באמצעות ה-DPC של ה-EMM.
5.16. מדיניות עדכוני מערכת מתקדמת
אדמינים ממחלקת IT יכולים לחסום עדכוני מערכת במכשיר למשך תקופת הקפאה מוגדרת.
5.16.1. ה-DPC של ה-EMM יכול להחיל עדכוני מערכת דרך האוויר (OTA) במכשירים לתקופת הקפאה מסוימת.
5.17. ניהול השקיפות של המדיניות בפרופיל העבודה
אדמינים ממחלקת ה-IT יכולים להתאים אישית את ההודעה שמוצגת למשתמשים כשהם מסירים את פרופיל העבודה מהמכשיר.
5.17.1. אדמינים ממחלקת IT יכולים לספק טקסט בהתאמה אישית שיוצג כשפרופיל העבודה נמחק.
5.18. תמיכה באפליקציות מקושרות
אדמינים ממחלקת IT יכולים להגדיר רשימה של חבילות שיכולות לתקשר מעבר לגבולות של פרופיל העבודה.
5.19. עדכוני מערכת ידניים
אדמינים ממחלקת IT יכולים להתקין עדכון מערכת באופן ידני על ידי ציון נתיב.
6. הוצאה משימוש של הרשאות אדמין במכשיר
הקטע הזה הוסר.
7. שימוש ב-API
7.1. בקר מדיניות רגיל לקישורים חדשים
כברירת מחדל, צריך לנהל את המכשירים באמצעות מדיניות מכשיר Android לכל קישור חדש. יכול להיות שספקי EMM יספקו את האפשרות לנהל מכשירים באמצעות DPC בהתאמה אישית באזור ההגדרות, תחת הכותרת "מתקדם" או מונח דומה. אסור לחשוף לקוחות חדשים לבחירה שרירותית בין סטאקים של תוכנות במהלך תהליכי ההצטרפות או ההגדרה.
7.2. בקר מדיניות רגיל למכשירים חדשים
כברירת מחדל, צריך לנהל את המכשירים באמצעות מדיניות מכשיר Android בכל רישום של מכשיר חדש, גם בקישורים קיימים וגם בקישורים חדשים. יכול להיות שספקי EMM יאפשרו לנהל מכשירים באמצעות DPC בהתאמה אישית באזור ההגדרות, תחת הכותרת "מתקדם" או מונח דומה.