本頁列出 Android Enterprise 的完整功能。
如果您打算管理超過 500 部裝置，EMM 解決方案必須支援至少一組解決方案的所有標準功能 ()，才能正式推出。EMM 開發人員如希望其解決方案列在 Android 的企業解決方案目錄中，並提供標準管理組合，則必須通過標準功能驗證，並加入 Android Enterprise 合作夥伴計畫。
每個解決方案組合都提供一組額外的進階功能。這些功能會在每個解決方案組合頁面中標示：個人裝置上的工作資料夾、公司裝置上的工作資料夾、全代管裝置和專用裝置。如果 EMM 開發人員是 AE 合作夥伴計畫成員，且解決方案通過進階功能驗證，就會列在 Android 的企業解決方案目錄中，並標示為提供進階管理組合。
鍵
| 標準功能 | 項進階功能 | 選用功能 | 不適用 |
1. 裝置佈建
1.1. DPC 優先的工作資料夾佈建
從 Google Play 下載 Android Device Policy 後，使用者可以佈建工作資料夾。
1.1.1. EMM 會向 IT 管理員提供 QR code 或啟用碼，以支援這種佈建方法 (請參閱 註冊及佈建裝置)。
1.2. DPC ID 裝置佈建
在裝置的設定精靈中輸入「afw#」，即可佈建全代管或專用裝置。
1.2.1. EMM 會向 IT 管理員提供 QR code 或啟用碼，以支援這種佈建方法 (請參閱「註冊及佈建裝置」)。
1.3. NFC 裝置佈建
IT 管理員可以根據 Play EMM API 開發人員說明文件中定義的實作指南，使用 NFC 標記佈建全新或恢復原廠設定的裝置。
1.3.1. EMM 必須使用 NFC Forum Type 2 標記，且記憶體至少要有 888 個位元組。佈建作業必須使用佈建額外資訊，將伺服器 ID 和註冊 ID 等非機密註冊詳細資料傳遞至裝置。註冊詳細資料不應包含密碼或憑證等機密資訊。
1.3.2. 由於 NFC Beam (也稱為 NFC Bump) 已淘汰，建議您在 Android 10 以上版本使用 NFC 標記。
1.4. QR code 裝置佈建
EMM 控制台可產生 QR code，IT 管理員可掃描該代碼，根據 Android Management API 開發人員說明文件定義的實作指南，佈建全代管或專用裝置。
1.4.1. QR code 必須使用佈建額外資訊，將非機密註冊詳細資料 (例如伺服器 ID、註冊 ID) 傳遞至裝置。註冊詳細資料不得包含密碼或憑證等機密資訊。
1.5. 零接觸註冊機制
這項規定已由規定 1.6 取代。
1.6. 零接觸佈建
IT 管理員可透過零接觸註冊機制，自動完成大部分的裝置註冊程序。IT 管理員可以根據 EMM 提供的設定選項，搭配登入網址，限制只有特定帳戶或網域可以註冊。
1.6.1. IT 管理員可以使用零接觸註冊機制佈建公司擁有的裝置。
1.6.2. 這項規定已淘汰。
1.6.3. EMM 必須使用登入網址，確保未經授權的使用者無法繼續啟用。啟用作業至少必須鎖定特定企業的使用者。
1.6.4. EMM 必須使用登入網址，讓 IT 管理員預先填入註冊詳細資料 (例如伺服器 ID、註冊 ID)，以及不重複的使用者或裝置資訊 (例如使用者名稱/密碼、啟用權杖)，這樣使用者就不必在啟用裝置時輸入詳細資料。
- EMM 不得在零接觸註冊機制的設定中加入機密資訊，例如密碼或憑證。
1.7. Google 帳戶工作資料夾佈建
這項規定已移除，並由規定 3.23 取代。
1.8. Google 帳戶裝置佈建
這項規定已移除，並由規定 3.23 取代。
1.9. 直接零接觸設定
IT 管理員可以使用 EMM 控制台，透過零接觸 iframe 設定零接觸裝置。
1.10. 公司自有裝置上的工作資料夾
EMM 可設定 AllowPersonalUsage，註冊含有工作資料夾的公司裝置。
1.10.1. 刻意留白。
1.10.2. IT 管理員可以透過 PersonalUsagePolicies，為公司裝置上的工作資料夾設定法規遵循動作。
1.10.3. IT 管理員可以透過 PersonalUsagePolicies，停用工作資料夾或整部裝置的相機。
1.10.4. IT 管理員可以透過 PersonalUsagePolicies，停用工作資料夾或整部裝置的螢幕畫面擷取功能。
1.10.5. IT 管理員可以透過 PersonalApplicationPolicy，設定無法安裝在個人資料夾中的應用程式封鎖清單。
1.10.6. IT 管理員可以使用 AMAPI 中的放棄指令，放棄管理公司擁有的裝置。
1.11. 專用裝置佈建
IT 管理員可以註冊專用裝置，而不會提示使用者使用 Google 帳戶進行驗證。
2. 裝置安全性
2.1. 裝置安全驗證問題
IT 管理員可以從預先定義的 3 種複雜度等級中，設定並強制執行受管理裝置的裝置安全性驗證 (PIN 碼/圖案/密碼)。
2.1.1. 政策必須強制執行管理裝置安全性驗證的設定 (工作資料夾的 parentProfilePasswordRequirements，全代管和專用裝置的 passwordRequirements)。
2.1.2. 密碼複雜度應對應至下列密碼複雜度：
- PASSWORD_COMPLEXITY_LOW：圖案或 PIN 碼，包含重複 (4444) 或有順序 (1234、4321、2468) 的序列。
- PASSWORD_COMPLEXITY_MEDIUM - PIN 碼不得是重複 (4444) 或有順序 (1234、4321、2468) 的序列，或長度至少為 4 的英文字母或英數字元密碼
- PASSWORD_COMPLEXITY_HIGH：PIN 碼不得是重複 (4444) 或有順序 (1234、4321、2468) 的序列，且長度至少為 8 個字元，或至少為 6 個字元的字母或英數字元密碼
2.1.3. 您也可以在公司擁有的裝置上，強制執行其他密碼限制，做為舊版設定。
2.2. 工作安全驗證問題
IT 管理員可以為工作資料夾中的應用程式和資料設定及強制執行安全驗證，這與裝置安全驗證 (2.1.) 相互獨立，且要求不同。
2.2.1. 政策必須強制執行工作資料夾的安全驗證問題。
- 根據預設，如果未指定範圍，IT 管理員應只為工作資料夾設定限制
- IT 管理員可以指定範圍 (請參閱需求條件 2.1)，在整部裝置上設定這項功能
2.2.2. 密碼複雜度應對應至下列預先定義的密碼複雜度：
- PASSWORD_COMPLEXITY_LOW：圖案或 PIN 碼，包含重複 (4444) 或有順序 (1234、4321、2468) 的序列。
- PASSWORD_COMPLEXITY_MEDIUM - PIN 碼不得是重複 (4444) 或有順序 (1234、4321、2468) 的序列，或長度至少為 4 的英文字母或英數字元密碼
- PASSWORD_COMPLEXITY_HIGH：PIN 碼不得是重複 (4444) 或有順序 (1234、4321、2468) 的序列，且長度至少為 8，或英文字母或英數字元密碼長度至少為 6
2.2.3. 您也可以透過舊版設定強制執行其他密碼限制
2.3. 進階密碼管理
IT 管理員可以在裝置上設定進階密碼。
2.3.1. 刻意留白。
2.3.2. 刻意留白。
2.3.3. 您可以為裝置上的每個螢幕鎖定設定下列密碼生命週期設定：
- 刻意留白
- 刻意留白
- 抹除資料前的密碼輸入錯誤次數上限：指定使用者可輸入錯誤密碼的次數，超過後系統就會抹除裝置上的公司資料。IT 管理員必須能關閉這項功能。
2.3.4. (Android 8.0 以上版本) 需要高強度驗證的逾時時間：在 IT 管理員設定的逾時時間過後，必須輸入高強度驗證密碼 (例如 PIN 碼或密碼)。逾時後，系統會停用非高強度驗證方式 (例如指紋、人臉解鎖)，直到使用者透過高強度驗證密碼解鎖裝置。
2.4. Smart Lock 管理
IT 管理員可以管理是否允許 Android Smart Lock 功能中的信任代理程式，將裝置解鎖時間延長至最多四小時。
2.4.1. IT 管理員可以停用裝置上的信任代理。
2.5. 抹除與鎖定
IT 管理員可以使用 EMM 控制台，從遠端鎖定及抹除受管理裝置上的工作資料。
2.5.1. 必須使用 Android Management API 鎖定裝置。
2.5.2. 必須使用 Android Management API 抹除裝置資料。
2.6. 強制執行政策
如果裝置不符合安全性政策，Android Management API 實施的法規遵循規則會自動限制工作資料的使用。
2.6.1. 裝置上強制執行的安全性政策至少必須包含密碼政策。
2.7. 預設安全政策
EMM 必須預設在裝置上強制執行指定的安全性政策，IT 管理員不需在 EMM 控制台中設定或自訂任何設定。我們建議 (但非強制要求) EMM 不允許 IT 管理員變更這些安全防護功能的預設狀態。
2.7.1. 必須禁止安裝來源不明的應用程式，包括在設有工作資料夾的 Android 8.0 以上版本裝置上，安裝在個人資料夾中的應用程式。這項子功能預設為支援。
2.7.2. 必須封鎖偵錯功能。這項子功能預設為支援。
2.8. 專用裝置安全政策
鎖定的專用裝置無法執行其他操作。
2.8.1. 根據政策，預設必須關閉安全模式啟動功能 (請前往 safeBootDisabled)。
2.9. Play Integrity 支援
系統預設會執行 Play Integrity 檢查。不需額外實作。
2.9.1. 刻意留白。
2.9.2. 刻意留白。
2.9.3. IT 管理員可以根據裝置的 SecurityRisk 值設定不同的政策回應，包括封鎖佈建、抹除公司資料，以及允許繼續註冊。
- EMM 服務會針對每次完整性檢查的結果，強制執行這項政策回應。
2.9.4. 刻意留白。
2.10. 強制執行「驗證應用程式」
IT 管理員可以開啟裝置上的「驗證應用程式」。「驗證應用程式」功能會在 Android 裝置安裝應用程式前後，掃描應用程式是否含有有害軟體，確保惡意應用程式無法危害企業資料。
2.10.1. 必須使用政策預設啟用「驗證應用程式」(前往 ensureVerifyAppsEnabled)。
2.11. 直接啟動支援
Android Management API 預設支援這項功能。不需額外導入。
2.12. 硬體安全管理
IT 管理員可以鎖定公司裝置的硬體元素，確保資料不會遺失。
2.12.1. IT 管理員可以使用政策 (前往 mountPhysicalMediaDisabled)，禁止使用者掛接實體外部媒體。
2.12.2. IT 管理員可以透過政策 (前往 outgoingBeamDisabled) 禁止使用者透過 NFC Beam 分享裝置資料。由於 Android 10 以上版本不再支援 NFC Beam 功能，因此這項子功能為選用。
2.12.3. IT 管理員可以透過政策 (前往 usbFileTransferDisabled) 禁止使用者透過 USB 傳輸檔案。
2.13. 企業安全記錄
Android Management API 不支援這項功能。
3. 帳戶和應用程式管理
3.1. 企業繫結
IT 管理員可以將 EMM 繫結至機構，讓 EMM 使用 Google Play 管理版將應用程式發布至裝置。
3.1.1. 如果管理員已有受管理 Google 網域，可以將網域繫結至 EMM。
3.1.2. 刻意留白。
3.1.3. 刻意留白。
3.1.4. EMM 控制台會引導管理員在 Android 註冊流程中輸入公司電子郵件地址，並建議不要使用 Gmail 帳戶。
3.1.5. EMM 會在 Android 註冊流程中預填管理員的電子郵件地址。
3.2. 佈建 Google Play 管理版帳戶
EMM 可在背景自動佈建企業版使用者帳戶，稱為 Google Play 管理版帳戶。這類帳戶可識別受管理使用者，並允許為每位使用者設定專屬的應用程式發布規則。
3.2.1. 佈建裝置時，系統會自動建立 Google Play 管理版帳戶 (使用者帳戶)。
Android Management API 預設支援這項功能。不需額外導入。
3.3. 佈建 Google Play 管理版裝置帳戶
EMM 可建立並佈建 Google Play 管理版裝置帳戶。裝置帳戶支援從 Google Play 管理版商店自動安裝應用程式，且不與單一使用者綁定。在專用裝置情境中，裝置帳戶會用來識別單一裝置，以支援每部裝置的應用程式發布規則。
3.3.1. 佈建裝置時，系統會自動建立 Google Play 管理版帳戶。
Android Management API 預設支援這項功能。不需額外導入。
3.4. 為舊版裝置佈建 Google Play 管理版帳戶
這項功能已淘汰。
3.5. 在背景中發布應用程式
IT 管理員可以在裝置上自動發布工作應用程式，無須使用者互動。
3.5.1. EMM 控制台必須使用 Android Management API，IT 管理員才能在受管理裝置上安裝工作應用程式。
3.5.2. EMM 控制台必須使用 Android Management API，IT 管理員才能更新受管理裝置上的工作應用程式。
3.5.3. EMM 控制台必須使用 Android Management API，IT 管理員才能解除安裝受管理裝置上的應用程式。
3.6. 受管理設定管理
IT 管理員可以查看並自動設定任何支援受管理設定的應用程式。
3.6.1. EMM 控制台必須能夠擷取並顯示任何 Play 應用程式的受管理設定。
3.6.2. EMM 控制台必須允許 IT 管理員使用 Android Management API，為任何 Play 應用程式設定任何設定類型 (由 Android Enterprise 架構定義)。
3.6.3. EMM 控制台必須允許 IT 管理員設定萬用字元 (例如 $username$ 或 %emailAddress%)，以便將 Gmail 等應用程式的單一設定套用至多位使用者。
3.7. 應用程式目錄管理
Android Management API 預設支援這項功能。不需額外導入。
3.8. 核准程式輔助應用程式
EMM 控制台使用 Google Play 管理版 iframe，支援 Google Play 的應用程式探索和核准功能。IT 管理員不必離開 EMM 控制台，就能搜尋及核准應用程式，以及核准新的應用程式權限。
3.8.1. IT 管理員可以使用 Google Play 管理版 iframe，在 EMM 控制台中搜尋及核准應用程式。
3.9. 基本商店版面配置管理
Google Play 管理版商店應用程式可用於安裝及更新工作應用程式。 根據預設，Google Play 管理版商店會以單一清單顯示使用者獲准使用的應用程式。這種版面配置稱為「基本商店版面配置」。
3.9.1. EMM 控制台應允許 IT 管理員管理使用者基本商店版面配置中顯示的應用程式。
3.10. 進階商店版面配置設定
3.10.1. IT 管理員可以自訂 Google Play 管理版商店應用程式中的 商店版面配置 。
3.11. 應用程式授權管理
這項功能已淘汰。
3.12. 管理由 Google 代管的私人應用程式
IT 管理員可以透過 EMM 控制台更新 Google 代管的私人應用程式，而不必透過 Google Play 管理中心。
3.12.1. IT 管理員可以上傳已在企業中私下發布的新版應用程式，方法如下：
3.13. 管理自行代管的私人應用程式
這項功能已淘汰。
3.14. EMM 提取通知
這項功能不適用於 Android Management API。請改為設定 Pub/Sub 通知。
3.15. API 使用規定
EMM 會大規模執行 Android Management API，避免流量模式影響企業在正式環境管理應用程式。
3.15.1. EMM 必須遵守 Android Management API 用量限制。如果未修正超出這些規範的行為，Google 可自行決定是否暫停 API 使用權。
3.15.2. EMM 應全天分散不同企業的流量，而非在特定或類似時間整合企業流量。如果行為符合這種流量模式，例如為每部註冊裝置排定批次作業，Google 可能會自行決定暫停 API 使用。
3.15.3. EMM 不應提出不一致、不完整或刻意錯誤的要求，而不嘗試擷取或管理實際的企業資料。如果行為符合這種流量模式，Google 可自行決定是否暫停 API 使用權。
3.16. 進階受管理設定管理
EMM 支援下列進階受管理設定管理功能：
3.16.1. EMM 控制台必須能使用下列項目，擷取並顯示任何 Play 應用程式最多四層巢狀受管理設定：
- Google Play 管理版 iframe，或
- 自訂 UI。
3.16.2. IT 管理員設定完成後，EMM 控制台必須能夠擷取並顯示應用程式意見回饋管道傳回的任何意見回饋。
- EMM 控制台必須允許 IT 管理員將特定意見回饋項目，與來源裝置和應用程式建立關聯。
- EMM 控制台必須允許 IT 管理員訂閱特定訊息類型 (例如錯誤訊息) 的快訊或報告。
3.16.3. EMM 控制台只能傳送預設值或由管理員手動設定的值，方法如下：
- 受管理設定 iframe，或
- 自訂 UI。
3.17. 管理網頁應用程式
IT 管理員可以在 EMM 控制台中建立及發布網頁應用程式。
3.17.1. IT 管理員可透過 EMM 控制台，使用下列方式發布網頁應用程式捷徑：
3.18. Google Play 管理版帳戶生命週期管理
EMM 可代表 IT 管理員建立、更新及刪除 Google Play 管理版帳戶，並在帳戶到期時自動復原。
這項功能預設為支援。不需額外導入 EMM。
3.19. 應用程式測試群組管理
3.19.1. IT 管理員可以提取開發人員為特定應用程式設定的追蹤 ID 清單。
3.19.2. IT 管理員可以設定裝置使用特定開發測試群組的應用程式。
3.20. 進階應用程式更新管理
IT 管理員可以允許立即更新應用程式，或延後 90 天再更新。
3.20.1. IT 管理員可以允許應用程式使用高優先順序應用程式更新，在更新準備就緒時進行更新。
3.20.2. IT 管理員可以允許應用程式應用程式更新延後 90 天。
3.21. 管理佈建方法
EMM 可產生佈建設定，並以可發布給使用者的形式 (例如 QR code、零接觸設定、Play 商店網址) 呈現給 IT 管理員。
3.22. 升級 Enterprise 繫結
IT 管理員可以將企業繫結類型升級為受管理的 Google 網域企業，讓組織在註冊裝置上存取 Google 帳戶服務和功能。
3.22.1. IT 管理員可透過 EMM 控制台，使用必要 API 觸發升級，將現有的 Google Play 管理版帳戶企業升級為受管理 Google 網域企業。
3.22.2. EMM 應使用 Pub/Sub 接收 IT 管理員啟動升級事件的通知 (即使事件發生在 EMM 控制台外)，並更新 UI 以反映這些變更。
3.23. 佈建受管理 Google 帳戶
EMM 可使用企業使用者帳戶 (稱為 Google Play 管理版帳戶) 佈建裝置。 這類帳戶可識別受管理使用者、允許應用程式發布規則，以及允許存取 Google 服務。IT 管理員也可以設定政策，要求在註冊期間或之後驗證受管理 Google 帳戶。
3.23.1. EMM 可根據定義的導入指南佈建受管理 Google 帳戶。
具體做法如下：
- 裝置上已新增受管理 Google 帳戶。
- 受管理 Google 帳戶必須與 EMM 控制台中的實際使用者一對一對應。
3.23.2. IT 管理員可以使用這項政策，讓使用者選擇登入受管理的 Google 帳戶進行註冊。
3.23.3. IT 管理員可以使用這項政策，控管使用者是否必須登入受管理的 Google 帳戶，才能完成註冊。
3.23.4. IT 管理員可以選擇將升級流程限制在特定裝置的特定帳戶 ID (電子郵件地址)。
3.24. 升級 Google Play 管理版帳戶
IT 管理員可以將使用者帳戶類型升級為受管理 Google 帳戶，讓裝置在註冊後存取 Google 帳戶服務和功能。
3.24.1. IT 管理員可以將裝置上現有的 Google Play 管理版帳戶升級為受管理 Google 帳戶。
3.24.2. IT 管理員可以選擇將升級流程限制在特定裝置的特定帳戶 ID (電子郵件地址)。
3.25. 應用程式角色
EMM 支援授予特殊權限 (由可用的角色類型指定)，給 IT 管理員選擇的應用程式。這些額外權限包括在不受電源或背景限制、暫停、休眠和使用者控制項干擾的情況下運作。
3.25.1. 隨附應用程式為選用項目，可讓 EMM 使用裝置上的本機用戶端擴充管理功能。如果您的解決方案包含隨附應用程式，則必須自動 (即不需 IT 管理員輸入) 為應用程式指派正確的 Companion_App 角色。IT 管理員不應設定這個角色
3.25.2. IT 管理員可以透過 EMM 控制台指派 RoleType 中指定的任何角色，但 Companion_APP 角色除外，因為該角色是由 EMM 指派。
3.25.3 EMM 可為每個角色建議適當的應用程式，但不得將應用程式選項限制在任意清單中。
3.26. 裝置資料轉移和還原
IT 管理員可以為全代管裝置啟用裝置資料移轉和還原功能，前提是裝置上已安裝受管理 Google 帳戶，且有 Google 還原應用程式。這是全代管裝置適用的平台。這項功能不支援工作資料夾，包括 COPE 和 BYOD。
3.26.1. 在全代管裝置上，備份服務預設為停用，因此 IT 管理員必須在 EMM 控制台中，將 AMAPI 的 backupService 設為 BACKUP_SERVICE_USER_CHOICE，才能啟用這項服務。
4. 裝置管理
4.1. 執行階段權限政策管理
IT 管理員可以為工作應用程式提出的執行階段權限要求，設定預設回應，且不顯示提示。
4.1.1. IT 管理員為機構設定預設執行階段權限政策時，必須能從下列選項中選擇：
- 提示 (允許使用者選擇)
- allow
- deny
EMM 應使用政策強制執行這些設定。
4.2. 執行階段權限授予狀態管理
設定預設執行階段權限政策後 (請參閱 4.1)，IT 管理員可以為任何以 API 23 以上版本建構的工作應用程式，自動設定特定權限的回應。
4.2.1. IT 管理員必須能設定任何工作應用程式 (以 API 23 以上版本建構) 所要求權限的授予狀態 (預設、授予或拒絕)。EMM 應使用政策強制執行這些設定。
4.3. Wi-Fi 設定管理
IT 管理員可以在受管理的裝置上，自動佈建企業 Wi-Fi 設定，包括：
4.3.1. SSID，使用政策。
4.3.2. 密碼，使用政策。
4.4. Wi-Fi 安全管理
IT 管理員可以在裝置上佈建企業 Wi-Fi 設定，包括下列進階安全性功能：
4.4.1. 身分
4.4.2. 用戶端授權憑證
4.4.3. CA 憑證
4.5. 進階 Wi-Fi 管理
IT 管理員可以鎖定受管理裝置上的 Wi-Fi 設定，防止使用者建立設定或修改公司設定。
4.5.1. IT 管理員可以使用政策鎖定公司 Wi-Fi 設定，設定方式如下：
- 使用者無法修改 EMM 佈建的任何 Wi-Fi 設定 (請前往
wifiConfigsLockdownEnabled)，但可以新增及修改自己的使用者可設定網路 (例如個人網路)。 - 使用者無法在裝置上新增或修改任何 Wi-Fi 網路 (前往
wifiConfigDisabled)，Wi-Fi 連線僅限於 EMM 佈建的網路。
4.6. 帳戶管理
IT 管理員可以確保只有授權的公司帳戶才能處理公司資料，例如 SaaS 儲存空間和效率提升應用程式，或電子郵件。如果沒有這項功能，使用者可以將個人帳戶新增至支援個人帳戶的公司應用程式，並與這些個人帳戶共用公司資料。
4.6.1. IT 管理員可以禁止使用者新增或修改帳戶 (請參閱 modifyAccountsDisabled)。
- 在裝置上強制執行這項政策時，EMM 必須在佈建完成前設定這項限制，確保使用者無法在政策生效前新增帳戶，規避這項政策。
4.7. Workspace 帳戶管理
這項功能已淘汰。如需替換規定，請參閱 3.23。
4.8. 憑證管理
允許 IT 管理員將識別憑證和憑證授權單位部署到裝置，以便使用公司資源。
4.8.1. IT 管理員可以為每位使用者安裝 PKI 產生的使用者身分憑證。EMM 控制台必須與至少一個 PKI 整合，並發布從該基礎架構產生的憑證。
4.8.2. IT 管理員可以在受管理的 KeyStore 中安裝憑證授權單位 (請參閱 caCerts)。不過，系統不支援這項子功能。
4.9. 進階憑證管理
允許 IT 管理員在背景選取特定受管理應用程式應使用的憑證。這項功能也讓 IT 管理員能從使用中的裝置移除 CA 和身分憑證，並防止使用者修改儲存在受管理憑證儲存空間中的憑證。
4.9.1. 對於發布到裝置的任何應用程式，IT 管理員可以指定憑證，讓應用程式在執行階段自動取得存取權。(不支援這項子功能)
- 憑證選取範圍必須夠廣泛，才能讓單一設定套用至所有使用者，而每位使用者可能都有使用者專屬的身分憑證。
4.9.2. IT 管理員可以從受管理的 KeyStore 中移除憑證，而不會顯示任何通知。
4.9.3. IT 管理員可以自動解除安裝 CA 憑證。(不支援這項子功能)
4.9.4. IT 管理員可以禁止使用者在受管理的 KeyStore 中設定憑證 (前往 credentialsConfigDisabled)。
4.9.5. IT 管理員可以使用 ChoosePrivateKeyRule，預先為工作應用程式授予憑證。
4.10. 委派憑證管理
IT 管理員可以將第三方憑證管理應用程式發布到裝置，並授權該應用程式在受管理的 KeyStore 中安裝憑證。
4.10.1. IT 管理員可以指定憑證管理套件 (前往 CERT_INSTALL DelegatedScope)，設為委派憑證管理應用程式。
- EMM 可視需要建議已知的憑證管理套件，但必須允許 IT 管理員從可安裝的應用程式清單中，為適用使用者選擇。
4.11. 進階 VPN 管理
允許 IT 管理員指定永久連線 VPN，確保指定受管理應用程式的資料一律透過 VPN 設定傳輸。
4.11.1. IT 管理員可以指定任意 VPN 套件，將其設為永久連線 VPN。
- EMM 控制台可視需要建議支援永久連線 VPN 的已知 VPN 套件，但無法將可用於永久連線設定的 VPN 限制在任何任意清單中。
4.11.2. IT 管理員可以使用受管理設定，指定應用程式的 VPN 設定。
4.12. IME 管理
IT 管理員可以管理裝置可設定的輸入法 (IME)。由於 IME 是工作和個人資料夾共用，因此封鎖 IME 也會禁止使用者在個人資料夾使用這些 IME。不過，IT 管理員不得禁止在工作資料夾中使用系統 IME (詳情請參閱進階 IME 管理)。
4.12.1. IT 管理員可以設定任意長度的輸入法編輯器許可清單 (前往 permitted_input_methods)，包括封鎖非系統輸入法編輯器的空白清單，其中可能包含任何任意輸入法編輯器套件。
- EMM 控制台可視需要建議要加入許可清單的已知或建議 IME，但必須允許 IT 管理員從可安裝的應用程式清單中，為適用使用者選擇。
4.12.2. EMM 必須告知 IT 管理員，在設有工作資料夾的裝置上，系統 IME 不在管理範圍內。
4.13. 進階 IME 管理
IT 管理員可以管理使用者可在裝置上設定的輸入法 (IME)。進階 IME 管理功能則擴充了基本功能，讓 IT 管理員也能管理系統 IME 的使用，這類 IME 通常由裝置製造商或電信業者提供。
4.13.1. IT 管理員可以設定任意長度的 IME 許可清單 (前往 permitted_input_methods)，但不包括空白清單，因為空白清單會封鎖所有 IME，包括系統 IME。清單中可包含任何 IME 套件。
- EMM 控制台可視需要建議要加入許可清單的已知或建議 IME，但必須允許 IT 管理員從可安裝的應用程式清單中，為適用使用者選擇。
4.13.2. EMM 必須防止 IT 管理員設定空白許可清單，因為這項設定會禁止在裝置上設定所有 IME (包括系統 IME)。
4.13.3. EMM 必須確保，如果 IME 許可清單不含系統 IME，則在裝置上套用許可清單之前，第三方 IME 會在背景安裝。
4.14. 無障礙服務管理
IT 管理員可以管理使用者在裝置上允許的無障礙服務。無障礙服務是強大的工具，可協助身心障礙使用者，或是暫時無法與裝置全面互動的使用者。不過，他們與企業資料互動的方式可能不符合企業政策。這項功能可讓 IT 管理員關閉任何非系統無障礙服務。
4.14.1. IT 管理員可以設定任意長度的無障礙服務許可清單 (前往 permittedAccessibilityServices)，包括空白清單 (會封鎖非系統無障礙服務)，其中可能包含任何無障礙服務套件。如果套用至工作資料夾，則會同時影響個人資料夾和工作資料夾。
- 控制台可視需要建議將已知或推薦的無障礙服務加入許可清單，但必須允許 IT 管理員從可安裝的應用程式清單中，為適用使用者選擇。
4.15. 位置資訊分享設定管理
IT 管理員可以禁止使用者與工作資料夾中的應用程式分享位置資料。否則，您可以在「設定」中調整工作資料夾的位置資訊設定。
4.15.1. IT 管理員可以停用工作資料夾中的定位服務 (請前往 shareLocationDisabled)。
4.16. 進階位置資訊分享設定管理
IT 管理員可以對受管理裝置強制套用指定的位置資訊分享設定。 這項功能可確保企業應用程式一律能取得高精確度的位置資料。這項功能還能將位置資訊設定限制為節約耗電量模式，確保不會消耗額外電量。
4.16.1. IT 管理員可以將裝置定位服務設為下列任一模式：
- 。
- 僅限感應器 (例如 GPS)，但不包括網路提供的位置資訊。
- 節約耗電量，會限制更新頻率。
- 關閉。
4.17. 恢復原廠設定保護機制管理
IT 管理員可確保未經授權的使用者無法將裝置恢復原廠設定，保護公司擁有的裝置不被竊取。如果裝置歸還給 IT 部門時，恢復原廠設定保護機制會增加作業複雜度，IT 管理員可以完全關閉這項機制。
4.17.1. IT 管理員可以禁止使用者透過「設定」將裝置恢復原廠設定 (前往 factoryResetDisabled)。
4.17.2. IT 管理員可以指定有權佈建裝置的公司解鎖帳戶 (前往 frpAdminEmails)，以便在恢復原廠設定後使用。
- 這個帳戶可以與個人綁定，也可以由整個企業用來解鎖裝置。
4.17.3. IT 管理員可以停用指定裝置的恢復原廠設定保護機制 (請前往 factoryResetDisabled)。
4.17.4. IT 管理員可以啟動遠端裝置抹除 ，選擇抹除重設保護資料，進而移除重設裝置上的恢復原廠設定保護機制。
4.18. 進階應用程式控制項
IT 管理員可以禁止使用者透過「設定」解除安裝或修改受管理的應用程式。例如防止強制關閉應用程式或清除應用程式的資料快取。
4.18.1. IT 管理員可以禁止解除安裝任何受管理的應用程式，或所有受管理的應用程式 (請前往 uninstallAppsDisabled)。
4.18.2. IT 管理員可以禁止使用者透過「設定」修改應用程式資料。(Android Management API 不支援這項子功能)
4.19. 螢幕畫面擷取管理
IT 管理員可以禁止使用者在使用受管理應用程式時擷取螢幕截圖。 這項設定會封鎖分享螢幕畫面應用程式，以及使用系統螢幕截圖功能的類似應用程式 (例如 Google 助理)。
4.19.1. IT 管理員可以禁止使用者擷取螢幕截圖 (前往 screenCaptureDisabled)。
4.20. 停用相機
IT 管理員可以禁止受管理應用程式使用裝置相機。
4.20.1. IT 管理員可以禁止受管理應用程式使用裝置相機 (前往 cameraDisabled)。
4.21. 網路統計資料收集
Android Management API 不支援這項功能。
4.22. 進階網路統計資料收集
Android Management API 不支援這項功能。
4.23. 重新啟動裝置
IT 管理員可以從遠端重新啟動受管理裝置。
4.23.1. IT 管理員可以遠端重新啟動受管理的裝置。
4.24. 系統無線通訊管理
IT 管理員可使用政策，精細管理系統網路無線電和相關使用政策。
4.24.1. IT 管理員可以關閉服務供應商傳送的區域廣播 (前往 cellBroadcastsConfigDisabled)。
4.24.2. IT 管理員可以禁止使用者在「設定」中修改行動網路設定 (前往 mobileNetworksConfigDisabled)。
4.24.3. IT 管理員可以禁止使用者在「設定」中重設所有網路設定。(前往 networkResetDisabled)。
4.24.4. IT 管理員可以設定裝置是否允許在漫遊時使用行動數據 (前往 dataRoamingDisabled)。
4.24.5. IT 管理員可以設定裝置是否能撥打電話，緊急電話除外 (請前往 outGoingCallsDisabled)。
4.24.6. IT 管理員可以設定裝置是否能收發簡訊 (請前往 smsDisabled)。
4.24.7. IT 管理員可以禁止使用者透過網路共用功能，將裝置做為可攜式無線基地台使用 (請前往 tetheringConfigDisabled)。
4.24.8. IT 管理員可以將 Wi-Fi 逾時設為預設、接上電源時或一律不逾時。(Android Management API 不支援這項子功能)
4.24.9. IT 管理員可以禁止使用者設定或修改現有的藍牙連線 (請前往 bluetoothConfigDisabled)。
4.25。系統音訊管理
IT 管理員可以在背景控制裝置音訊功能，包括將裝置設為靜音、禁止使用者修改音量設定，以及禁止使用者取消靜音裝置麥克風。
4.25.1. IT 管理員可以將受管理的裝置設為靜音，(Android Management API 不支援這項子功能)
4.25.2. IT 管理員可以禁止使用者修改裝置音量設定 (前往 adjustVolumeDisabled)，這也會將裝置設為靜音。
4.25.3. IT 管理員可以禁止使用者取消裝置麥克風靜音 (請前往 unmuteMicrophoneDisabled)。
4.26. 系統時鐘管理
IT 管理員可以管理裝置時鐘和時區設定，並防止使用者修改自動裝置設定。
4.26.1. IT 管理員可以強制系統自動設定時間和時區，防止使用者設定裝置的日期、時間和時區。
4.27. 進階專用裝置功能
對於專用裝置，IT 管理員可以使用政策管理下列功能，以支援各種資訊站用途。
4.27.1. IT 管理員可以關閉裝置螢幕鎖定功能 (前往 keyguardDisabled)。
4.27.2. IT 管理員可以關閉裝置狀態列，封鎖通知和快速設定 (前往 statusBarDisabled)。
4.27.3. IT 管理員可以強制裝置在充電時保持螢幕開啟 (前往 stayOnPluggedModes)。
4.27.4. IT 管理員可以禁止顯示下列系統 UI (請前往 createWindowsDisabled)：
- 浮動式訊息
- 應用程式重疊。
4.27.5. IT 管理員可以允許系統建議應用程式在首次啟動時，略過使用者教學課程和其他入門提示 (請前往 skip_first_use_hints)。
4.28. 委派管理範圍
IT 管理員可以將額外權限委派給個別套件。
4.28.1. IT 管理員可以管理下列範圍：
- 憑證安裝與管理
- 刻意留白
- 網路記錄
- 安全性記錄 (不支援個人裝置上的工作資料夾)
4.29. 註冊專屬 ID 支援
自 Android 12 起，工作資料夾將無法再存取硬體專屬 ID。IT 管理員可以透過註冊專用 ID 追蹤具有工作資料夾的裝置生命週期，即使恢復原廠設定，該 ID 仍會保留。
4.29.1. IT 管理員可以取得註冊專屬 ID
4.29.2. 即使恢復原廠設定，這個註冊專屬 ID 也必須保留
4.30. Credential Manager 政策
IT 管理員可以使用憑證提供者政策預設值或憑證提供者政策，管理允許或封鎖哪些 Credential Manager 應用程式。
4.30.1 IT 管理員可以設定政策，完全禁止在裝置 (或工作資料夾) 中使用 Credential Manager。
4.30.2 IT 管理員可以預設只允許系統憑證提供者，如憑證提供者政策預設所示。
4.30.3 IT 管理員可以指定套件名稱清單，啟用 Credential Manager 功能。
4.31. 基本 eSIM 管理
允許 IT 管理員使用 eSIM 設定檔佈建裝置，並管理裝置上的生命週期。
4.31.1 IT 管理員可以使用政策，在裝置上自動佈建 eSIM 設定檔。
4.31.2 IT 管理員可以使用政策，從裝置中刪除受管理的 eSIM。
4.31.3 IT 管理員可以禁止使用者在「設定」中修改行動網路設定 (前往 mobileNetworksConfigDisabled)。
4.31.4 IT 管理員可以從遠端傳送清除指令到裝置或工作資料夾。這個指令可選擇從裝置中移除受管理的 eSIM。根據預設，受管理的 eSIM 會從個人裝置的工作資料夾中移除，但會保留在公司裝置上。
4.31.5 IT 管理員可以使用 EMM 控制台 UI (或同等方法) 擷取裝置的 EID (嵌入式身分證件) 識別碼。
5. 裝置可用性
5.1. 受管理佈建自訂
IT 管理員可以修改預設設定流程的使用者體驗，加入企業專屬功能。IT 管理員也可以選擇在佈建期間顯示 EMM 提供的品牌宣傳。
5.1.1. IT 管理員可以指定企業專屬服務條款和其他免責事項，自訂佈建程序 (請參閱 termsAndConditions)。
5.1.2. IT 管理員可以部署無法設定、EMM 專屬的服務條款和其他免責事項 (請前往 termsAndConditions)。
- EMM 可將不可設定、EMM 專屬的自訂設定設為部署作業的預設設定，但必須允許 IT 管理員自行設定自訂設定。
5.1.3. Android 10 以上版本的企業資源已淘汰 primaryColor。
5.2. 企業自訂
Android Management API 不支援這項功能。
5.3. 進階企業自訂
Android Management API 不支援這項功能。
5.4. 螢幕鎖定訊息
IT 管理員可以設定自訂訊息，一律顯示在裝置螢幕鎖定畫面上，不需解鎖裝置即可查看。
5.4.1. IT 管理員可以設定自訂螢幕鎖定訊息 (前往 deviceOwnerLockScreenInfo)。
5.5. 政策透明度管理
IT 管理員可以自訂使用者嘗試修改裝置上的受管理設定時，系統提供的說明文字，或部署 EMM 提供的通用支援訊息。您可以自訂簡短和詳細的支援訊息，並在特定情況下顯示，例如使用者嘗試解除安裝 IT 管理員已禁止解除安裝的受管理應用程式。
5.5.1. IT 管理員可以自訂面向使用者的簡短和詳細支援訊息。
5.5.2. IT 管理員可以部署 EMM 專屬、不可設定的簡短和詳細支援訊息 (請參閱 policies 中的 shortSupportMessage 和 longSupportMessage)。
- EMM 可將不可設定、EMM 專屬的支援訊息設為部署作業的預設訊息，但必須允許 IT 管理員設定自己的訊息。
5.6. 跨設定檔聯絡人管理
5.6.1. IT 管理員可以禁止在個人資料夾聯絡人搜尋和來電中顯示工作聯絡人。
5.6.2. IT 管理員可以停用工作聯絡人的藍牙聯絡人共用功能，例如車用免持通話或耳機。
5.7. 跨設定檔資料管理
允許 IT 管理員管理可在工作和個人資料夾之間共用的資料類型，讓管理員根據需求平衡可用性和資料安全性。
5.7.1. IT 管理員可以設定跨設定檔資料共用政策，讓個人應用程式可以解析工作資料夾中的意圖，例如共用意圖或網頁連結。
5.7.2. IT 管理員可以允許工作資料夾中的應用程式，在個人資料夾的主畫面上建立及顯示小工具。這項功能預設為關閉，但可使用 workProfileWidgets 和 workProfileWidgetsDefault 欄位設為允許。
5.7.3. IT 管理員可以控管在工作和個人資料夾之間複製/貼上的功能。
5.8. 系統更新政策
IT 管理員可以設定及套用無線更新 (OTA) 系統更新。 裝置。
5.8.1. IT 管理員可透過 EMM 控制台設定下列 OTA 設定：
- 自動：裝置會在 OTA 更新推出時安裝。
- 延後：IT 管理員必須能延後 OTA 更新，最長可延後 30 天。這項政策不會影響安全性更新 (例如每月安全性修補程式)。
- 時段：IT 管理員必須能夠在每日維護期間安排 OTA 更新。
5.8.2. OTA 設定會透過政策套用至裝置。
5.9. 鎖定任務模式管理
IT 管理員可以將一或多個應用程式鎖定在畫面上，確保使用者無法退出應用程式。
5.9.1. IT 管理員可透過 EMM 控制台，在背景允許安裝任意一組應用程式，並鎖定裝置。政策可讓您設定專用裝置。
5.10. 持續性偏好活動管理
允許 IT 管理員將應用程式設為預設意圖處理常式，處理符合特定意圖篩選器的意圖。舉例來說，IT 管理員可以選擇要自動開啟網頁連結的瀏覽器應用程式。這項功能可管理輕觸主畫面按鈕時，要使用哪一個啟動器應用程式。
5.10.1. IT 管理員可以將任何套件設為預設意圖處理常式，用於任何意圖篩選器。
- EMM 控制台可選擇建議已知或建議的意圖進行設定，但無法將意圖限制在任何任意清單中。
- EMM 控制台必須允許 IT 管理員從應用程式清單中選擇要為適用使用者安裝的應用程式。
5.11. 鍵盤鎖功能管理
IT 管理員可以管理使用者在解鎖裝置螢幕鎖定和工作挑戰螢幕鎖定前可使用的功能。
5.11.1. 政策可以關閉下列裝置螢幕鎖定功能：
- 信任代理
- 指紋解鎖
- 未遮蓋的通知
5.11.2. 您可以使用政策關閉下列工作資料夾的螢幕鎖定功能：
- 信任代理
- 指紋解鎖
5.12. 進階螢幕鎖定功能管理
- 安全攝影機
- 所有通知
- 未遮蓋
- 信任的代理程式
- 指紋解鎖
- 所有鍵盤鎖功能
5.13. 遠端偵錯
Android Management API 不支援這項功能。
5.14. MAC 位址擷取
EMM 可在背景擷取裝置的 MAC 位址，用於識別企業基礎架構其他部分的裝置 (例如識別用於網路存取控管的裝置)。
5.14.1. EMM 可以在背景擷取裝置的 MAC 位址，並在 EMM 控制台中與裝置建立關聯。
5.15. 進階鎖定任務模式管理
IT 管理員可以使用 EMM 控制台，對專用裝置執行下列工作：
5.15.1. 以無訊息方式允許單一應用程式安裝並鎖定至裝置。
5.15.2. 開啟或關閉下列系統 UI 功能：
- 主畫面按鈕
- 總覽
- 全域動作
- 通知
- 系統資訊 / 狀態列
- Keyguard (螢幕鎖定)。導入 5.15.1 時，這項子功能預設為開啟。
5.16. 進階系統更新政策
IT 管理員可以設定指定的凍結期間，禁止裝置進行系統更新。
5.16.1. EMM 控制台必須允許 IT 管理員在指定凍結期間內，封鎖無線更新 (OTA) 系統更新。
5.17. 工作資料夾政策透明度管理
IT 管理員可以自訂訊息，在使用者從裝置移除工作資料夾時顯示。
5.17.1. IT 管理員可以提供自訂文字 (請前往 wipeReasonMessage)，在抹除工作資料夾時顯示。
5.18. 連結的應用程式支援
IT 管理員可以設定 ConnectedWorkAndPersonalApp，列出可跨工作資料夾邊界通訊的套件。
5.19. 手動系統更新
Android Management API 不支援這項功能。
6. 裝置管理員淘汰作業
這個部分已移除。
7. API 使用量
7.1. 新繫結的標準政策控制器
根據預設，任何新繫結都必須使用 Android 裝置政策管理裝置。EMM 可能會提供使用自訂 DPC 管理裝置的選項，位於「進階」或類似術語標題下的設定區域。在新客戶的任何新進人員訓練或設定工作流程中，不得讓他們在技術堆疊之間任意選擇。
7.2. 新裝置的標準政策控制器
根據預設，所有新裝置註冊作業 (包括現有和新的繫結) 都必須使用 Android Device Policy 管理裝置。EMM 可能會在「進階」或類似字詞的設定區域中，提供使用自訂 DPC 管理裝置的選項。