ลงทะเบียนและจัดสรรอุปกรณ์

การจัดสรรคือกระบวนการตั้งค่าอุปกรณ์ที่จะจัดการโดยใช้ policies โดย enterprise ในระหว่างกระบวนการนี้ อุปกรณ์จะติดตั้ง Android Device Policy ซึ่งใช้เพื่อรับและบังคับใช้ policies หากการจัดสรรสำเร็จ API จะสร้างออบเจ็กต์ devices เพื่อเชื่อมโยงอุปกรณ์กับองค์กร

Android Management API ใช้โทเค็นการลงทะเบียนเพื่อทริกเกอร์กระบวนการจัดสรร โทเค็นการลงทะเบียนและวิธีการจัดสรรที่คุณใช้จะกำหนดความเป็นเจ้าของอุปกรณ์ (เป็นของส่วนตัวหรือของบริษัท) และโหมดการจัดการ (โปรไฟล์งานหรืออุปกรณ์ที่มีการจัดการครบวงจร)

ระบบโควต้าจะควบคุมจำนวนอุปกรณ์ที่แต่ละโปรเจ็กต์สามารถจัดการได้ คุณต้องขอโควต้าอุปกรณ์เริ่มต้นก่อนจึงจะจัดสรรอุปกรณ์เครื่องแรกได้

อุปกรณ์ส่วนตัว

Android 5.1 ขึ้นไป

อุปกรณ์ของพนักงานสามารถตั้งค่าด้วยโปรไฟล์งานได้ โปรไฟล์งานมีพื้นที่เฉพาะสำหรับแอปงานและข้อมูลงาน ซึ่งแยกต่างหากจากแอปส่วนตัวและข้อมูลส่วนตัว policies การจัดการแอป ข้อมูล และอื่นๆ ส่วนใหญ่จะมีผลกับโปรไฟล์งานเท่านั้น ในขณะที่แอปและข้อมูลส่วนตัวของพนักงานจะยังคงเป็นส่วนตัว

หากต้องการตั้งค่าโปรไฟล์งานในอุปกรณ์ส่วนตัว ให้สร้างโทเค็นการลงทะเบียน (ตรวจสอบว่าตั้งค่า allowPersonalUsage เป็น PERSONAL_USAGE_ALLOWED) และใช้วิธีการจัดสรรวิธีใดวิธีหนึ่งต่อไปนี้

• เพิ่มโปรไฟล์งานจาก "การตั้งค่า"
• ดาวน์โหลดนโยบายด้านอุปกรณ์ Android
• ลิงก์โทเค็นการลงทะเบียน
• URL สำหรับลงชื่อเข้าใช้

อุปกรณ์ของบริษัทสำหรับใช้ทำงานและเรื่องส่วนตัว

Android 8 ขึ้นไป

การตั้งค่าอุปกรณ์ของบริษัทด้วยโปรไฟล์งานจะช่วยให้อุปกรณ์ใช้งานได้ทั้งในเรื่องงานและเรื่องส่วนตัว ในอุปกรณ์ของบริษัทที่มีโปรไฟล์งาน

• การจัดการแอป ข้อมูล และการจัดการอื่นๆ ส่วนใหญ่policiesจะมีผลกับโปรไฟล์งานเท่านั้น
• โปรไฟล์ส่วนตัวของพนักงานจะยังคงเป็นส่วนตัว อย่างไรก็ตาม องค์กรสามารถบังคับใช้นโยบายทั่วทั้งอุปกรณ์และนโยบายการใช้งานส่วนตัวบางอย่างได้
• องค์กรสามารถใช้ blockScope เพื่อบังคับใช้การดำเนินการด้านการปฏิบัติตามข้อกำหนดในอุปกรณ์ทั้งเครื่องหรือเฉพาะโปรไฟล์งานได้
• devices.delete และคำสั่งอุปกรณ์จะมีผลกับทั้งอุปกรณ์

หากต้องการตั้งค่าอุปกรณ์ของบริษัทด้วยโปรไฟล์งาน ให้สร้างโทเค็นการลงทะเบียน (ตรวจสอบว่าได้ตั้งค่า allowPersonalUsage เป็น PERSONAL_USAGE_ALLOWED) และใช้วิธีการจัดสรรวิธีใดวิธีหนึ่งต่อไปนี้

• การตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม
• คิวอาร์โค้ด
• URL สำหรับลงชื่อเข้าใช้
• ตัวระบุ DPC

อุปกรณ์ของบริษัทที่ใช้สำหรับการทำงานเท่านั้น

Android 5.1 ขึ้นไป

การจัดการอุปกรณ์แบบครบวงจรเหมาะสำหรับอุปกรณ์ของบริษัทที่มีไว้เพื่อการทำงานโดยเฉพาะ องค์กรสามารถจัดการแอปทั้งหมดในอุปกรณ์และบังคับใช้นโยบายและคำสั่งของ Android Management API ได้อย่างเต็มรูปแบบ

นอกจากนี้ คุณยังล็อกอุปกรณ์ (ผ่านนโยบาย) ให้ใช้แอปเดียวหรือแอปชุดเล็กๆ เพื่อวัตถุประสงค์หรือกรณีการใช้งานเฉพาะได้ด้วย อุปกรณ์ที่มีการจัดการครบวงจรชุดย่อยนี้เรียกว่าอุปกรณ์เฉพาะ โทเค็นการลงทะเบียนสำหรับอุปกรณ์เหล่านี้ต้องตั้งค่า allowPersonalUsage เป็น PERSONAL_USAGE_DISALLOWED_USERLESS

หากต้องการตั้งค่าการจัดการเต็มรูปแบบในอุปกรณ์ของบริษัท ให้สร้างโทเค็นการลงทะเบียน โดยตรวจสอบว่าได้ตั้งค่า allowPersonalUsage เป็น PERSONAL_USAGE_DISALLOWED หรือ PERSONAL_USAGE_DISALLOWED_USERLESS แล้วใช้วิธีการจัดสรรวิธีใดวิธีหนึ่งต่อไปนี้

• การตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม
• คิวอาร์โค้ด
• URL สำหรับลงชื่อเข้าใช้ (ไม่เหมาะสำหรับอุปกรณ์เฉพาะ)
• NFC
• ตัวระบุ DPC

นโยบายอาจส่งผลต่อการสร้าง UI ระหว่างการจัดเตรียมอุปกรณ์ นโยบายดังกล่าวมีดังนี้

• PasswordPolicyScope: ตัวเลือกนี้จะกำหนดข้อกำหนดของรหัสผ่าน
• PermittedInputMethods: ตัวเลือกนี้จะกำหนดวิธีการป้อนข้อมูลแพ็กเกจ
• PermittedAccessibilityServices: ตัวเลือกนี้จะกำหนดบริการการช่วยเหลือพิเศษที่อนุญาตสำหรับอุปกรณ์ที่มีการจัดการครบวงจรและโปรไฟล์งาน
• SetupActions: ส่วนนี้จะกำหนดการดำเนินการที่จะทำในระหว่างการตั้งค่า
• ApplicationsPolicy: ส่วนนี้จะกำหนดนโยบายสำหรับแต่ละแอป

หากต้องการให้แสดงขั้นตอนการตั้งรหัสผ่านควบคู่ไปกับการติดตั้งแอปงานและการ์ดลงทะเบียนอุปกรณ์ในระหว่างการจัดเตรียมอุปกรณ์ เราขอแนะนำให้อัปเดตนโยบายเพื่อเลื่อนเวลาเริ่มต้นการสร้าง UI โดยเก็บอุปกรณ์ไว้ในสถานะกักบริเวณ ซึ่งจะเกิดขึ้นหากลงทะเบียนโดยไม่มีนโยบายที่เกี่ยวข้อง จนกว่าจะระบุนโยบายที่เลือกขั้นสุดท้ายสำหรับการตั้งค่าอุปกรณ์ซึ่งมีรายการที่เกี่ยวข้องกับความต้องการในการตั้งค่าของคุณ เมื่อการจัดสรรอุปกรณ์เสร็จสมบูรณ์แล้ว คุณจะเปลี่ยนนโยบายได้ตามต้องการ

สร้างโทเค็นการลงทะเบียน

คุณต้องมีโทเค็นการลงทะเบียนสำหรับอุปกรณ์แต่ละเครื่องที่ต้องการลงทะเบียน (คุณสามารถใช้โทเค็นเดียวกันสำหรับอุปกรณ์หลายเครื่องได้) หากต้องการขอโทเค็นการลงทะเบียน โปรดโทรไปที่ enterprises.enrollmentTokens.create โดยค่าเริ่มต้น โทเค็นการลงทะเบียนจะหมดอายุหลังจากผ่านไป 1 ชั่วโมง แต่คุณสามารถระบุเวลาหมดอายุที่กำหนดเอง (duration) ได้สูงสุดประมาณ 10,000 ปี

คำขอที่สำเร็จจะแสดงผลออบเจ็กต์ enrollmentToken ที่มี enrollmentTokenId และ qrcode ซึ่งผู้ดูแลระบบไอทีและผู้ใช้ปลายทางสามารถใช้เพื่อจัดสรรอุปกรณ์ได้

ระบุนโยบาย

นอกจากนี้ คุณอาจต้องระบุ policyName ในคำขอเพื่อใช้นโยบายในขณะที่ลงทะเบียนอุปกรณ์ด้วย หากไม่ได้ระบุ policyName โปรดดูหัวข้อลงทะเบียนอุปกรณ์โดยไม่มีนโยบาย

ระบุการใช้งานส่วนบุคคล

allowPersonalUsage จะกำหนดว่าสามารถเพิ่มโปรไฟล์งานลงในอุปกรณ์ระหว่างการจัดสรรได้หรือไม่ ตั้งค่าเป็น PERSONAL_USAGE_ALLOWED เพื่ออนุญาตให้ผู้ใช้สร้างโปรไฟล์งาน (จำเป็นสำหรับอุปกรณ์ที่เป็นของส่วนตัว ไม่บังคับสำหรับอุปกรณ์ของบริษัท)

การยกเว้นสำหรับโทเค็นการลงทะเบียนที่มีอยู่

ลูกค้าบางรายใช้โทเค็นการลงทะเบียนที่มีวันที่หมดอายุยาวนานเพื่อทำการลงทะเบียนซ้ำ เพื่อไม่ให้เวิร์กโฟลว์ที่มีอยู่เหล่านี้หยุดชะงัก โทเค็นที่สร้างขึ้นก่อนที่จะเปิดใช้ข้อกำหนด "ตรวจสอบสิทธิ์โดยใช้ Google" เป็นครั้งแรกจะได้รับการยกเว้นจากข้อความแจ้งให้เข้าสู่ระบบใหม่ โทเค็นเก่าเหล่านี้จะยังคงทำงานได้เหมือนเดิม ซึ่งช่วยให้ผู้ใช้ลงทะเบียนอุปกรณ์ได้โดยไม่ต้องผ่านกระบวนการตรวจสอบสิทธิ์ของ Google

อย่างไรก็ตาม โทเค็นที่สร้างขึ้นหลังจากเปิดใช้ข้อกำหนด Google Authenticator เป็นครั้งแรกจะเป็นไปตามกฎการตรวจสอบสิทธิ์ใหม่ ซึ่งหมายความว่าอุปกรณ์ที่ใช้โทเค็นใหม่เหล่านี้กำหนดให้ผู้ใช้ต้องตรวจสอบสิทธิ์ตามการตั้งค่าที่ผู้ดูแลระบบไอทีเลือกไว้ สำหรับอุปกรณ์เฉพาะที่ไม่ควรจัดเก็บข้อมูลผู้ใช้ ให้ตรวจสอบว่าได้ตั้งค่า allowPersonalUsage เป็น PERSONAL_USAGE_DISALLOWED_USERLESS เพื่อหลีกเลี่ยงการแสดงหน้าจอการตรวจสอบสิทธิ์

บังคับใช้การตรวจสอบสิทธิ์ด้วย Google เมื่อลงทะเบียน

EMM สามารถบังคับใช้การลงชื่อเข้าใช้บัญชี Google ในระหว่างการลงทะเบียนอุปกรณ์ได้โดยการตั้งค่าที่เหมาะสมในโทเค็นการลงทะเบียนหรือโทเค็นการลงชื่อเข้าใช้ การกำหนดค่านี้จะกำหนดว่าจะซ่อนปุ่ม "ข้าม" ในหน้าจอลงชื่อเข้าใช้ Google หรือไม่ เมื่อตั้งค่าแล้ว ตัวเลือกเหล่านี้จะลบล้างนโยบาย googleAuthenticationSettings ทั่วทั้งองค์กร

ตัวเลือกการกำหนดค่า

คุณควบคุมลักษณะการทำงานของการตรวจสอบสิทธิ์ได้โดยใช้ออบเจ็กต์ googleAuthenticationOptions ภายใน EnrollmentToken หรือ SigninDetail

ตัวอย่างเพย์โหลด JSON

ปิดใช้ปุ่มข้าม

หากต้องการซ่อนปุ่ม "ข้าม" และบังคับให้ผู้ใช้ลงชื่อเข้าใช้ด้วยบัญชีองค์กรที่ถูกต้อง ให้ตั้งค่าข้อกำหนดการตรวจสอบสิทธิ์เป็น REQUIRED

{
  ...
  "googleAuthenticationOptions": {
    "authenticationRequirement": "REQUIRED"
  }
}

กำหนดให้ใช้อีเมลของบัญชีที่เฉพาะเจาะจง

หากต้องการบังคับให้ผู้ใช้ลงชื่อเข้าใช้ด้วยบัญชีที่กำหนด ให้ระบุสตริง requiredAccountEmail คำขอสร้างโทเค็นจะดำเนินการไม่สำเร็จโดยมีข้อผิดพลาด INVALID_ARGUMENT หากไม่ได้ตั้งค่าช่องข้อกำหนดเป็น REQUIRED ควบคู่กัน

{
...
  "googleAuthenticationOptions": {
    "authenticationRequirement": "REQUIRED",
    "requiredAccountEmail": "user@enterprise.com"
  }
}

เกี่ยวกับคิวอาร์โค้ด

คิวอาร์โค้ดเป็นวิธีการจัดเตรียมอุปกรณ์ที่มีประสิทธิภาพสำหรับองค์กรที่รักษานโยบายที่แตกต่างกันไว้มากมาย คิวอาร์โค้ดที่ได้จาก enterprises.enrollmentTokens.create ประกอบด้วยเพย์โหลดของคู่คีย์-ค่าที่มีโทเค็นการลงทะเบียนและข้อมูลทั้งหมดที่จำเป็นสำหรับนโยบายด้านอุปกรณ์ของ Android ในการจัดสรรอุปกรณ์

ตัวอย่างแพ็กเกจคิวอาร์โค้ด

โดยแพ็กเกจจะประกอบด้วยตำแหน่งการดาวน์โหลด Android Device Policy และโทเค็นการลงทะเบียน

{
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
    "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
        "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
    }
}

คุณสามารถใช้คิวอาร์โค้ดที่ได้จาก enterprises.enrollmentTokens.create โดยตรงหรือปรับแต่งก็ได้ ดูรายการพร็อพเพอร์ตี้ทั้งหมดที่คุณรวมไว้ในแพ็กเกจคิวอาร์โค้ดได้ที่หัวข้อสร้างคิวอาร์โค้ด

หากต้องการแปลงสตริง qrcode เป็นคิวอาร์โค้ดที่สแกนได้ ให้ใช้เครื่องมือสร้างคิวอาร์โค้ด เช่น ZXing

วิธีการจัดสรร

ส่วนนี้จะอธิบายวิธีการต่างๆ ในการจัดสรรอุปกรณ์

เพิ่มโปรไฟล์งานจาก "การตั้งค่า"

Android 5.1 ขึ้นไป

หากต้องการตั้งค่าโปรไฟล์งานในอุปกรณ์ ผู้ใช้สามารถทำดังนี้

1. ไปที่การตั้งค่า > Google > ตั้งค่าและกู้คืน
2. แตะตั้งค่าโปรไฟล์งาน

ขั้นตอนเหล่านี้จะเริ่มวิซาร์ดการตั้งค่าที่ดาวน์โหลด Android Device Policy ลงในอุปกรณ์ จากนั้นระบบจะแจ้งให้ผู้ใช้สแกนคิวอาร์โค้ดหรือป้อนโทเค็นการลงทะเบียนด้วยตนเองเพื่อตั้งค่าโปรไฟล์งานให้เสร็จสมบูรณ์

ดาวน์โหลดนโยบายด้านอุปกรณ์ Android

Android 5.1 ขึ้นไป

หากต้องการตั้งค่าโปรไฟล์งานในอุปกรณ์ ผู้ใช้สามารถดาวน์โหลด Android Device Policy จาก Google Play Store หลังจากติดตั้งแอปแล้ว ระบบจะแจ้งให้ผู้ใช้สแกนคิวอาร์โค้ดหรือป้อนโทเค็นการลงทะเบียนด้วยตนเองเพื่อตั้งค่าโปรไฟล์งานให้เสร็จสมบูรณ์

ลิงก์โทเค็นการลงทะเบียน

Android 5.1 ขึ้นไป

ใช้โทเค็นการลงทะเบียนที่ได้จาก enrollmentTokens.create หรือ signinEnrollmentToken ขององค์กรเพื่อสร้าง URL ในรูปแบบต่อไปนี้

https://enterprise.google.com/android/enroll?et=<enrollmentToken>

คุณสามารถระบุ URL นี้ให้ผู้ดูแลระบบไอที ซึ่งจะส่งต่อให้ผู้ใช้ปลายทางได้ เมื่อผู้ใช้ปลายทางเปิดลิงก์จากอุปกรณ์ ระบบจะแนะนำขั้นตอนการตั้งค่าโปรไฟล์งาน

URL สำหรับการลงชื่อเข้าใช้

เมื่อใช้วิธีนี้ ระบบจะนำผู้ใช้ไปยังหน้าเพื่อป้อนข้อมูลเพิ่มเติมที่จำเป็นสำหรับการจัดสรรให้เสร็จสมบูรณ์ คุณสามารถคำนวณนโยบายที่เหมาะสมสำหรับผู้ใช้ก่อนที่จะดำเนินการจัดเตรียมอุปกรณ์ โดยอิงตามข้อมูลที่ผู้ใช้ป้อน เช่น

1. ระบุ URL สำหรับลงชื่อเข้าใช้ใน enterprises.signInDetails[] ตั้งค่า allowPersonalUsage เป็น PERSONAL_USAGE_ALLOWED หากต้องการอนุญาตให้ผู้ใช้สร้างโปรไฟล์งาน (จำเป็นสำหรับอุปกรณ์ส่วนตัว แต่ไม่บังคับสำหรับอุปกรณ์ของบริษัท)

   เพิ่ม signinEnrollmentToken ที่ได้เป็นข้อมูลเพิ่มเติมสำหรับการจัดสรรลงในคิวอาร์โค้ด, เพย์โหลด NFC หรือการกำหนดค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม หรือจะระบุ signinEnrollmentToken ให้กับผู้ใช้โดยตรงก็ได้

2. เลือกตัวเลือกต่อไปนี้

   1. อุปกรณ์ของบริษัท: หลังจากเปิดอุปกรณ์ใหม่หรืออุปกรณ์ที่รีเซ็ตเป็นค่าเริ่มต้นแล้ว ให้ส่ง signinEnrollmentToken ไปยังอุปกรณ์ (ผ่านคิวอาร์โค้ด, การแตะ NFC ฯลฯ) หรือขอให้ผู้ใช้ป้อนโทเค็นด้วยตนเอง อุปกรณ์จะเปิด URL การลงชื่อเข้าใช้ที่ระบุไว้ในขั้นตอนที่ 1
   2. อุปกรณ์ส่วนตัว: ขอให้ผู้ใช้เพิ่มโปรไฟล์งานจาก "การตั้งค่า" เมื่อได้รับข้อความแจ้ง ผู้ใช้จะสแกนคิวอาร์โค้ดที่มี signinEnrollmentToken หรือป้อนโทเค็นด้วยตนเอง อุปกรณ์จะเปิด URL สำหรับลงชื่อเข้าใช้ที่ระบุไว้ในขั้นตอนที่ 1
   3. อุปกรณ์ส่วนตัว: ให้ลิงก์โทเค็นการลงทะเบียนแก่ผู้ใช้ โดยที่โทเค็นการลงทะเบียนคือ signinEnrollmentToken อุปกรณ์จะเปิด URL สำหรับลงชื่อเข้าใช้ที่ระบุไว้ในขั้นตอนที่ 1

3. ตรวจสอบว่า Google ได้ตรวจสอบสิทธิ์ผู้ใช้แล้วหรือยัง ดูข้อมูลการจัดเตรียมอุปกรณ์ (ระหว่างการลงทะเบียนอุปกรณ์) โดยใช้พารามิเตอร์ GET provisioningInfo และตรวจสอบค่าของช่อง authenticatedUserEmail หากมีค่าในช่องนี้ แสดงว่าผู้ใช้ได้รับการตรวจสอบสิทธิ์จาก Google เรียบร้อยแล้ว และคุณสามารถใช้ข้อมูลประจำตัวนี้ได้โดยไม่ต้องตรวจสอบสิทธิ์เพิ่มเติม

4. หาก Google ยังไม่ได้ตรวจสอบสิทธิ์ผู้ใช้ URL สำหรับลงชื่อเข้าใช้ของคุณควรแจ้งให้ผู้ใช้ป้อนข้อมูลเข้าสู่ระบบ คุณสามารถกำหนดนโยบายที่เหมาะสมและรับข้อมูลการจัดเตรียมอุปกรณ์ (ระหว่างการลงทะเบียนอุปกรณ์) โดยใช้พารามิเตอร์ GET provisioningInfo ตามข้อมูลประจำตัวของผู้ใช้

5. เรียกใช้ enrollmentTokens.create โดยระบุ policyId ที่เหมาะสมตามข้อมูลเข้าสู่ระบบของผู้ใช้

6. แสดงผลโทเค็นการลงทะเบียนที่สร้างในขั้นตอนที่ 5 โดยใช้การเปลี่ยนเส้นทาง URL ในรูปแบบ https://enterprise.google.com/android/enroll?et=<token>

บังคับใช้การตรวจสอบสิทธิ์ด้วย Google โดยใช้ขั้นตอน URL สำหรับลงชื่อเข้าใช้

เมื่อใช้ SigninDetail สำหรับขั้นตอนการลงชื่อเข้าใช้ของบุคคลที่สาม (ผ่าน enterprises.create หรือ enterprises.patch) คุณสามารถส่ง googleAuthenticationOptions ได้ ซึ่งจะบังคับใช้กฎก่อนที่ผู้ใช้จะเปลี่ยนเส้นทางไปยัง URL การลงชื่อเข้าใช้ของบุคคลที่สาม

เมื่อสร้าง EnrollmentToken ที่ส่วนท้ายของขั้นตอน URL สำหรับลงชื่อเข้าใช้ ข้อกำหนดการตรวจสอบสิทธิ์จะโต้ตอบกับ SigninDetail เริ่มต้นดังนี้

• หากผู้ใช้ข้ามการลงชื่อเข้าใช้ Google เนื่องจาก SigninDetail ไม่ได้กำหนดไว้ แต่ EnrollmentToken ที่ได้มีการตั้งค่าข้อกำหนดเป็น REQUIRED ผู้ใช้จะเห็นข้อผิดพลาดและจะต้องลงชื่อเข้าใช้
• หากตั้งค่า requiredAccountEmail ไว้ในโทเค็นและผู้ใช้ลงชื่อเข้าใช้ด้วยอีเมลอื่นที่เป็นขององค์กร ผู้ใช้จะได้รับข้อผิดพลาด "บัญชีไม่ถูกต้อง" และจะต้องลงชื่อเข้าใช้อีกครั้งด้วยอีเมลที่ถูกต้องตามที่กำหนด

วิธีใช้คิวอาร์โค้ด

Android 7.0 ขึ้นไป

หากต้องการจัดสรรอุปกรณ์ของบริษัท คุณสามารถสร้างคิวอาร์โค้ดและแสดงในคอนโซล EMM ได้โดยทำดังนี้

1. ในอุปกรณ์ใหม่หรืออุปกรณ์ที่รีเซ็ตเป็นค่าเริ่มต้น ผู้ใช้ (โดยปกติแล้วเป็นผู้ดูแลระบบไอที) จะแตะหน้าจอ 6 ครั้งในตำแหน่งเดิม ซึ่งจะทำให้อุปกรณ์แจ้งเตือนผู้ใช้ให้สแกนคิวอาร์โค้ด
2. ผู้ใช้สแกนคิวอาร์โค้ดที่คุณแสดงในคอนโซลการจัดการ (หรือแอปพลิเคชันที่คล้ายกัน) เพื่อลงทะเบียนและจัดสรรอุปกรณ์

วิธี NFC

Android 6.0 ขึ้นไป

วิธีนี้กำหนดให้คุณต้องสร้างแอปโปรแกรมเมอร์ NFC ที่มีโทเค็นการลงทะเบียน นโยบายเริ่มต้นและการกำหนดค่า Wi-Fi การตั้งค่า และรายละเอียดการจัดสรรอื่นๆ ทั้งหมดที่ลูกค้าต้องใช้เพื่อจัดสรรอุปกรณ์ที่มีการจัดการครบวงจรหรืออุปกรณ์เฉพาะ เมื่อคุณหรือลูกค้าติดตั้งแอปโปรแกรมเมอร์ NFC ในอุปกรณ์ที่ใช้ Android อุปกรณ์นั้นจะกลายเป็นอุปกรณ์โปรแกรมเมอร์

ดูคำแนะนำโดยละเอียดเกี่ยวกับวิธีรองรับวิธีการ NFC ได้ในเอกสารประกอบสำหรับนักพัฒนาซอฟต์แวร์ Play EMM API เว็บไซต์ยังมีโค้ดตัวอย่างของพารามิเตอร์เริ่มต้นที่พุชไปยังอุปกรณ์เมื่อมีการประกบ NFC ด้วย หากต้องการติดตั้ง Android Device Policy ให้ตั้งค่าตำแหน่งการดาวน์โหลดของแพ็กเกจผู้ดูแลระบบอุปกรณ์เป็น

https://play.google.com/managed/downloadManagingApp?identifier=setup

วิธีการระบุ DPC

หากเพิ่มนโยบายด้านอุปกรณ์ Android โดยใช้คิวอาร์โค้ดหรือ NFC ไม่ได้ ผู้ใช้หรือผู้ดูแลระบบไอทีสามารถทำตามขั้นตอนต่อไปนี้เพื่อจัดสรรอุปกรณ์ของบริษัท

1. ทำตามวิซาร์ดการตั้งค่าในอุปกรณ์ใหม่หรืออุปกรณ์ที่รีเซ็ตเป็นค่าเริ่มต้น
2. ป้อนรายละเอียดการเข้าสู่ระบบ Wi-Fi เพื่อเชื่อมต่ออุปกรณ์กับอินเทอร์เน็ต
3. เมื่อได้รับข้อความแจ้งให้ลงชื่อเข้าใช้ ให้ป้อน afw#setup ซึ่งจะดาวน์โหลดนโยบายด้านอุปกรณ์ Android
4. สแกนคิวอาร์โค้ดหรือป้อนโทเค็นการลงทะเบียนด้วยตนเองเพื่อจัดสรรอุปกรณ์

การตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม

Android 8.0 ขึ้นไป (Pixel 7.1 ขึ้นไป)

อุปกรณ์ที่ซื้อจากตัวแทนจำหน่ายอุปกรณ์พร้อมใช้แบบรวมกลุ่มที่ได้รับอนุญาตจะมีสิทธิ์ใช้การตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม ซึ่งเป็นวิธีที่มีประสิทธิภาพในการกำหนดค่าอุปกรณ์ล่วงหน้าเพื่อจัดสรรอุปกรณ์โดยอัตโนมัติเมื่อเปิดเครื่องครั้งแรก

องค์กรสามารถสร้างการกำหนดค่าที่มีรายละเอียดการจัดสรรสำหรับอุปกรณ์พร้อมใช้แบบรวมกลุ่มได้ผ่านพอร์ทัลการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่มหรือใช้คอนโซล EMM (ดู API สำหรับลูกค้าที่มีการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม) เมื่อเปิดเครื่องครั้งแรก อุปกรณ์พร้อมใช้แบบรวมกลุ่มจะตรวจสอบว่ามีการกำหนดค่าหรือไม่ หากมี อุปกรณ์จะดาวน์โหลด Android Device Policy จากนั้นจะตั้งค่าอุปกรณ์ให้เสร็จสมบูรณ์โดยใช้ข้อมูลเพิ่มเติมในการจัดสรรที่ระบุไว้ในการกำหนดค่าที่ได้รับมอบหมาย

หากลูกค้าใช้พอร์ทัลการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม ลูกค้าจะต้องเลือก Android Device Policy เป็น EMM DPC สำหรับการกำหนดค่าแต่ละรายการที่สร้างขึ้น ดูวิธีการโดยละเอียดเกี่ยวกับวิธีใช้พอร์ทัล รวมถึงวิธีสร้างและกำหนดการกำหนดค่าให้กับอุปกรณ์ได้ในศูนย์ช่วยเหลือของ Android Enterprise

หากต้องการให้ลูกค้าตั้งค่าและกำหนดการกำหนดค่าได้โดยตรงจากคอนโซล EMM คุณต้องผสานรวมกับ API สำหรับลูกค้าที่มีการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม เมื่อสร้างการกำหนดค่า คุณจะต้องระบุข้อมูลเพิ่มเติมเกี่ยวกับการจัดสรรในช่อง dpcExtras ข้อมูลโค้ด JSON ต่อไปนี้แสดงตัวอย่างพื้นฐานของสิ่งที่ควรใส่ใน dpcExtras พร้อมโทเค็นการลงชื่อเข้าใช้ที่เพิ่มเข้ามา

{
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
   "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
   "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
      "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
   }
}

เปิดแอปในระหว่างการตั้งค่า

ใน policies คุณสามารถระบุแอป 1 แอปสำหรับนโยบายด้านอุปกรณ์ Android เพื่อเปิดใช้ระหว่างการตั้งค่าอุปกรณ์หรือโปรไฟล์งาน เช่น คุณสามารถเปิดแอป VPN เพื่อให้ผู้ใช้กำหนดการตั้งค่า VPN เป็นส่วนหนึ่งของกระบวนการตั้งค่าได้ แอปต้องแสดงผล RESULT_OK เพื่อส่งสัญญาณว่าเสร็จสมบูรณ์และอนุญาตให้ Android Device Policy ทำการจัดสรรอุปกรณ์หรือโปรไฟล์งานให้เสร็จสมบูรณ์ วิธีเปิดแอปในระหว่างการตั้งค่า

ตรวจสอบว่า installType ของแอปคือ REQUIRED_FOR_SETUP หากติดตั้งหรือเปิดแอปในอุปกรณ์ไม่ได้ การจัดสรรจะล้มเหลว

{
   "applications":[
      {
         "packageName":"com.my.vpnapp.",
         "installType":"REQUIRED_FOR_SETUP"
      }
   ]
}

เพิ่มชื่อแพ็กเกจของแอปไปยัง setupActions ใช้ title และ description เพื่อระบุวิธีการที่แสดงต่อผู้ใช้

{
   "setupActions":[
      {
         "title":{
            "defaultMessage":"Configure VPN"
         },
         "description":{
            "defaultMessage":"Enable your VPN client to access corporate resources."
         },
         "launchApp":{
            "packageName":"com.my.vpnapp."
         }
      }
   ]
}

หากต้องการแยกแยะว่าแอปเปิดจาก launchApp หรือไม่ กิจกรรมที่เปิดเป็นส่วนแรกของแอปจะมี Intent Extra แบบบูลีน com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION (ตั้งค่าเป็น true) ซึ่งช่วยให้คุณปรับแต่งแอปได้ตามการเปิดจาก setupActions หรือจากผู้ใช้

หลังจากแอปแสดงผล RESULT_OK แล้ว นโยบายด้านอุปกรณ์ Android จะดำเนินการตามขั้นตอนที่เหลือทั้งหมดที่จำเป็นในการจัดสรรอุปกรณ์หรือโปรไฟล์งาน

ยกเลิกการลงทะเบียนระหว่างการตั้งค่า

แอปที่เปิดขึ้นเป็น SetupAction สามารถยกเลิกการลงทะเบียนที่แสดงผล RESULT_FIRST_USER ได้

การยกเลิกการลงทะเบียนจะรีเซ็ตอุปกรณ์ของบริษัทหรือลบโปรไฟล์งานในอุปกรณ์ส่วนตัว

หมายเหตุ: การยกเลิกการลงทะเบียนจะทริกเกอร์การดำเนินการโดยไม่มีกล่องโต้ตอบการยืนยันของผู้ใช้ แอปมีหน้าที่แสดงกล่องโต้ตอบข้อผิดพลาดที่เหมาะสมแก่ผู้ใช้ก่อนที่จะแสดงผล RESULT_FIRST_USER

ใช้นโยบายกับอุปกรณ์ที่ลงทะเบียนใหม่

คุณสามารถเลือกวิธีการใช้นโยบายกับอุปกรณ์ที่ลงทะเบียนใหม่ได้ตามต้องการและตามข้อกำหนดของลูกค้า คุณสามารถใช้วิธีการต่างๆ ต่อไปนี้

• (แนะนำ) เมื่อสร้างโทเค็นการลงทะเบียน คุณสามารถระบุชื่อนโยบาย (policyName) ที่จะลิงก์กับอุปกรณ์ในตอนแรกได้ เมื่อคุณลงทะเบียนอุปกรณ์ด้วยโทเค็น ระบบจะนำนโยบายไปใช้กับอุปกรณ์โดยอัตโนมัติ

• ตั้งค่านโยบายเป็นนโยบายเริ่มต้นสำหรับองค์กร หากไม่ได้ระบุชื่อนโยบายในโทเค็นการลงทะเบียนและมีนโยบายชื่อ enterprises/<enterprise_id>/policies/default อุปกรณ์ใหม่แต่ละเครื่องจะลิงก์กับนโยบายเริ่มต้นโดยอัตโนมัติเมื่อลงทะเบียน

• สมัครรับข้อมูลหัวข้อ Cloud Pub/Sub เพื่อรับการแจ้งเตือนเกี่ยวกับอุปกรณ์ที่ลงทะเบียนใหม่ ในการตอบสนองต่อการแจ้งเตือน ENROLLMENT ให้เรียกใช้ enterprises.devices.patch เพื่อลิงก์อุปกรณ์กับนโยบาย

ลงทะเบียนอุปกรณ์โดยไม่มีนโยบาย

หากลงทะเบียนอุปกรณ์โดยไม่มีนโยบายที่ถูกต้อง อุปกรณ์จะถูกนำไปกักบริเวณ อุปกรณ์ที่ถูกกักบริเวณจะถูกบล็อกไม่ให้ใช้ฟังก์ชันทั้งหมดของอุปกรณ์จนกว่าอุปกรณ์จะลิงก์กับนโยบาย

หากอุปกรณ์ไม่ได้ลิงก์กับนโยบายภายใน 5 นาที การลงทะเบียนอุปกรณ์จะล้มเหลวและอุปกรณ์จะรีเซ็ตเป็นค่าเริ่มต้น สถานะอุปกรณ์ที่กักบริเวณจะช่วยให้คุณมีโอกาสใช้การตรวจสอบการอนุญาตให้ใช้สิทธิหรือกระบวนการตรวจสอบความถูกต้องของการลงทะเบียนอื่นๆ เป็นส่วนหนึ่งของโซลูชัน

ตัวอย่างเวิร์กโฟลว์การตรวจสอบการอนุญาตให้ใช้สิทธิ

1. อุปกรณ์ได้รับการลงทะเบียนโดยไม่มีนโยบายเริ่มต้นหรือนโยบายเฉพาะ
2. ตรวจสอบจำนวนใบอนุญาตที่เหลืออยู่ขององค์กร
3. หากมีใบอนุญาตที่พร้อมใช้งาน ให้ใช้ devices.patch เพื่อแนบนโยบายกับอุปกรณ์ แล้วลดจำนวนใบอนุญาต หากไม่มีใบอนุญาตที่ใช้งานได้ ให้ใช้ devices.patch เพื่อปิดใช้อุปกรณ์ หรืออีกวิธีหนึ่งคือ API จะรีเซ็ตอุปกรณ์ที่ไม่ได้เชื่อมโยงกับนโยบายเป็นค่าเริ่มต้นภายใน 5 นาทีหลังจากการลงทะเบียน