Các chế độ kiểm soát cập nhật hợp nhất

Bộ điều khiển cập nhật hợp nhất (UUC) cung cấp cho quản trị viên CNTT một cách duy nhất và nhất quán để kiểm soát thời điểm tải xuống và áp dụng các bản cập nhật phần mềm trên thiết bị Android thuộc sở hữu của công ty, nhờ đó các bản cập nhật không làm gián đoạn hoạt động kinh doanh.

Với một chính sách UUC, bạn có thể kiểm soát các bản cập nhật cho những thành phần phần mềm sau:

• Bản cập nhật hệ điều hành do nhà sản xuất thiết bị (OEM) phát hành, bao gồm cả bản cập nhật hệ điều hành chính và bản cập nhật hệ điều hành phụ cũng như bản cập nhật bảo mật.
• Bản cập nhật hệ thống Google Play (Mainline).
• Các dịch vụ hệ thống của Google, chẳng hạn như Dịch vụ Google Play và WebView của hệ thống Android, theo nhóm hoặc từng ứng dụng một.

Bạn xác định các quy tắc UUC trong trường unifiedUpdatePolicy của tài nguyên Policy. Ứng dụng Android Device Policy (ADP) là điểm quyết định trung tâm trên thiết bị cho UUC.

Điều kiện tiên quyết

Trước khi định cấu hình UUC, hãy xác minh các yêu cầu sau:

• Giải pháp EMM của bạn có thể tạo và cập nhật chính sách cho một doanh nghiệp.
• Thiết bị do công ty sở hữu, được định cấu hình là thiết bị được quản lý hoàn toàn hoặc có hồ sơ công việc trên thiết bị do công ty sở hữu. UUC không được hỗ trợ trên các thiết bị thuộc sở hữu cá nhân.
• Thiết bị đáp ứng phiên bản Android tối thiểu được hỗ trợ cho từng mục tiêu cập nhật mà bạn muốn kiểm soát, như trong bảng sau:

Những điểm cần lưu ý và hạn chế

Hãy xem xét những điểm cần lưu ý và hạn chế sau đây trước khi lên kế hoạch tích hợp UUC:

• Trình hướng dẫn thiết lập ban đầu: Các chính sách của UUC không được thực thi khi thiết bị đang ở trong trình hướng dẫn thiết lập ban đầu. Các bản cập nhật quan trọng của Google Play hoặc tác nhân OTA của OEM có thể diễn ra trong quá trình thiết lập thiết bị.
• Bản cập nhật sớm sau khi thiết lập: Chính sách UUC có thể không áp dụng cho các bản cập nhật tự động bắt đầu ngay sau khi thiết lập thiết bị, chẳng hạn như bản cập nhật sớm cho Dịch vụ Google Play, trước khi chính sách này đến được ADP.
• Mô-đun OTA đi kèm: Bản cập nhật qua mạng không dây của OEM có thể chứa các phiên bản cập nhật của mô-đun Mainline và dịch vụ hệ thống của Google. Việc cài đặt bản cập nhật qua mạng không dây của OEM (Nhà sản xuất thiết bị gốc) sẽ tự động cập nhật các thành phần đi kèm đó.
• Bản cập nhật hệ thống Google Play (Mainline): UUC kiểm soát bản cập nhật Mainline dưới dạng một đơn vị duy nhất, vì vậy, bạn không thể kiểm soát riêng từng gói Mainline. UUC chỉ điều chỉnh thời điểm bắt đầu giai đoạn tải xuống: sau khi quá trình tải xuống Mainline bắt đầu, bạn không thể dừng quá trình này. Nếu quy tắc BLOCK được áp dụng sau khi quá trình tải xuống bắt đầu, thì bản cập nhật vẫn hoàn tất vào lần khởi động lại thiết bị tiếp theo.
• Cập nhật thủ công trong khoảng thời gian chặn: Đối với các bản cập nhật hệ thống của Google Play (Mainline) và các dịch vụ hệ thống của Google, quy tắc BLOCK chỉ ngăn chặn các bản cập nhật tự động. Người dùng vẫn có thể cập nhật các thành phần này theo cách thủ công ngay cả khi quy tắc BLOCK đang hoạt động. Vấn đề này sẽ được giải quyết trong bản phát hành sau này.
• Ứng dụng được miễn trừ: UUC không quản lý bản cập nhật cho ứng dụng Cửa hàng Google Play hoặc ứng dụng ADP.

Tìm hiểu các chính sách về nội dung do người dùng tải lên

UnifiedUpdatePolicy bao gồm một danh sách theo thứ tự gồm các đối tượng Rule. Mỗi quy tắc chỉ định:

• mã nhận dạng (id) do giải pháp EMM của bạn xác định
• một hoặc nhiều mục tiêu cập nhật phần mềm
• giai đoạn đánh giá không bắt buộc.
• một hoặc nhiều vị từ không bắt buộc chứa các điều kiện dựa trên thời gian
• kết quả xác định cách xử lý bản cập nhật

Đánh giá quy tắc

Khi đánh giá một bản cập nhật đang chờ xử lý, ADP sẽ xem xét tất cả quy tắc áp dụng cho mục tiêu và giai đoạn của bản cập nhật đó, theo thứ tự xuất hiện trong rules. ADP chọn quy tắc đầu tiên có vị từ được đánh giá là true và áp dụng kết quả của quy tắc đó, giống như một câu lệnh if-else theo chuỗi. Nếu không có vị từ nào của quy tắc được đánh giá là true, thì ứng dụng cập nhật chịu trách nhiệm về thành phần sẽ quản lý bản cập nhật theo cách thông thường.

Giá trị nhận dạng quy tắc

Mỗi quy tắc yêu cầu một id có tối đa 64 ký tự do giải pháp EMM của bạn xác định. id không được để trống và phải là duy nhất trong số các quy tắc của một chính sách.

Cập nhật mục tiêu

Mỗi quy tắc phải chỉ định một danh sách targets không trống và không có giá trị trùng lặp. Việc chỉ định nhiều mục tiêu trong một quy tắc tương đương với việc xác định nhiều quy tắc theo trình tự, mỗi quy tắc có một mục tiêu, theo cùng thứ tự.

Bảng sau đây mô tả các giá trị targetType được hỗ trợ:

Các giai đoạn đánh giá

Đối với mục tiêu OS_UPDATE_WITH_API_LEVEL_CHANGE và OS_UPDATE_WITHOUT_API_LEVEL_CHANGE, bạn có thể tuỳ ý chỉ định stages mà tại đó một quy tắc được đánh giá:

• STAGE_DOWNLOAD: Quy tắc được đánh giá trước khi tải bản cập nhật xuống.
• STAGE_APPLY: Quy tắc này được đánh giá trước khi thực hiện một hành động áp dụng bản cập nhật, chẳng hạn như kích hoạt quá trình tự động khởi động lại.

Nếu stages trống, thì quy tắc sẽ được đánh giá ở tất cả các giai đoạn. Lưu ý: Đối với các mục tiêu GOOGLE_SYSTEM_SERVICES, SINGLE_APP và GOOGLE_PLAY_SYSTEM_UPDATE, các giai đoạn sẽ bị bỏ qua.

Vị từ

predicate xác định các điều kiện dựa trên thời gian mà một quy tắc khớp, chẳng hạn như các ngày trong tuần, khoảng thời gian trong ngày (theo giờ), phạm vi ngày theo lịch trong múi giờ địa phương của thiết bị hoặc thời gian bản cập nhật đã có sẵn cho thiết bị (theo bội số của 24 giờ).

Tất cả điều kiện được đặt trong một vị từ duy nhất đều được kết hợp bằng toán tử logic AND. Một vị từ trống hoặc bị bỏ qua luôn được đánh giá là true. Để biết danh sách đầy đủ các trường vị từ và các quy tắc ràng buộc của các trường đó, hãy xem tài liệu tham khảo Predicate.

Kết quả

outcome chỉ định cách ADP hướng dẫn tác nhân cập nhật tiếp tục khi vị từ của quy tắc có kết quả là true. Bảng sau đây mô tả các giá trị outcomeType được hỗ trợ:

Giới hạn hoãn tối đa

UUC cho phép trì hoãn các bản cập nhật có kết quả BLOCK hoặc USER_PROMPT trong thời gian trì hoãn tối đa cho mỗi mục tiêu cập nhật. Sau khi bản cập nhật được cung cấp lâu hơn khoảng thời gian trì hoãn tối đa, mọi kết quả BLOCK hoặc USER_PROMPT sẽ bị ghi đè thành mặc định và ứng dụng cập nhật sẽ quản lý bản cập nhật như bình thường.

Bảng sau đây liệt kê giới hạn trì hoãn tối đa theo mục tiêu và chế độ quản lý:

Mức độ ưu tiên của systemUpdate

Trước khi bạn thêm unifiedUpdatePolicy vào một chính sách hiện có, hãy xem lại chế độ cài đặt của chính sách đó systemUpdate và tạo lại hành vi bạn cần bằng các quy tắc UUC. Ví dụ: để tránh cập nhật hệ điều hành ngoài giờ hoạt động, hãy sử dụng một quy tắc BLOCK như quy tắc trong phần Chặn các bản cập nhật hệ điều hành chính trong giờ hoạt động.

Hành vi ưu tiên này khác với các DPC tuỳ chỉnh sử dụng SDK AMAPI, trong đó SystemUpdatePolicy của AOSP được ưu tiên hơn UUC đối với các bản cập nhật qua mạng không dây của OEM. Để biết thông tin chi tiết, hãy xem phần Thứ tự ưu tiên của SystemUpdatePolicy trong AOSP.

Định cấu hình chính sách UUC

Bạn có thể đặt, truy xuất và xoá trường unifiedUpdatePolicy trên một tài nguyên chính sách, đồng thời kiểm tra mức độ tuân thủ của thiết bị đối với những thiết bị sử dụng chính sách đó.

Thiết lập chính sách về UUC

Để định cấu hình UUC, hãy thêm đối tượng unifiedUpdatePolicy vào chính sách. Để áp dụng chính sách UUC mà không thay đổi các chế độ cài đặt khác của một chính sách hiện có, hãy gọi enterprises.policies.patch bằng updateMask=unifiedUpdatePolicy:

PATCH https://androidmanagement.googleapis.com/v1/enterprises/{enterpriseId}/policies/{policyId}?updateMask=unifiedUpdatePolicy

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Policy",
        "targets": [
          {
            "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE"
          }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}

Chính sách mới cập nhật sẽ được áp dụng cho tất cả thiết bị sử dụng chính sách đó. ADP đánh giá các quy tắc trên mỗi thiết bị bất cứ khi nào có bản cập nhật cho một thành phần được kiểm soát.

Truy xuất chính sách về UUC

Để đọc các quy tắc UUC đã định cấu hình, hãy gọi enterprises.policies.get và kiểm tra trường unifiedUpdatePolicy của chính sách được trả về:

GET https://androidmanagement.googleapis.com/v1/enterprises/{enterpriseId}/policies/{policyId}

Xoá chính sách UUC

Để xoá tất cả quy tắc UUC khỏi một chính sách, hãy gọi enterprises.policies.patch bằng updateMask=unifiedUpdatePolicy và nội dung yêu cầu không chứa unifiedUpdatePolicy:

PATCH https://androidmanagement.googleapis.com/v1/enterprises/{enterpriseId}/policies/{policyId}?updateMask=unifiedUpdatePolicy

{}

Ví dụ về cấu hình chính sách

Các ví dụ sau đây cho thấy đối tượng unifiedUpdatePolicy cho các trường hợp phổ biến. Áp dụng các chính sách này bằng enterprises.policies.patch như mô tả trong phần Thiết lập chính sách UUC. Các trường hợp tương tự có sẵn dưới dạng mã Kotlin và Java trong phần Định cấu hình các chế độ kiểm soát cập nhật hợp nhất bằng SDK AMAPI.

Chặn các bản cập nhật hệ điều hành chính trong giờ hoạt động

Quy tắc sau đây chặn các bản cập nhật hệ điều hành chính (OS_UPDATE_WITH_API_LEVEL_CHANGE) từ 9:00 đến 17:00, từ thứ Hai đến thứ Sáu:

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Policy",
        "targets": [
          {
            "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE"
          }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}

Buộc cập nhật hệ điều hành theo thời gian cập nhật

Quy tắc sau đây buộc các bản cập nhật hệ điều hành chính đã có sẵn cho thiết bị trong tối đa 7 ngày (604800s):

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Force Policy",
        "targets": [
          {
            "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE"
          }
        ],
        "predicate": {
          "updateAgeUpperBound": "604800s"
        },
        "outcome": {
          "outcomeType": "FORCE"
        }
      }
    ]
  }
}

Chặn bản cập nhật cho một ứng dụng dịch vụ hệ thống của Google

Để kiểm soát một ứng dụng cụ thể thuộc các dịch vụ hệ thống của Google, chẳng hạn như WebView của hệ thống Android (com.google.android.webview), hãy đặt targetType thành SINGLE_APP và cung cấp packageName của ứng dụng trong singleApp. Quy tắc sau đây chặn các bản cập nhật WebView từ 9:00 đến 17:00, từ thứ Hai đến thứ Sáu:

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Webview Policy",
        "targets": [
          {
            "targetType": "SINGLE_APP",
            "singleApp": {
              "packageName": "com.google.android.webview"
            }
          }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}

Kết hợp nhiều quy tắc trên tất cả mục tiêu cập nhật

Vì các quy tắc được đánh giá theo thứ tự, nên bạn có thể kết hợp nhiều quy tắc để chặn bản cập nhật trong các khoảng thời gian cụ thể và buộc cập nhật ngoài các khoảng thời gian đó.

Ví dụ sau đây áp dụng hai quy tắc tuần tự trên bốn mục tiêu danh mục (OS_UPDATE_WITH_API_LEVEL_CHANGE, OS_UPDATE_WITHOUT_API_LEVEL_CHANGE, GOOGLE_SYSTEM_SERVICES và GOOGLE_PLAY_SYSTEM_UPDATE):

1. Chặn tất cả bản cập nhật trong giờ hoạt động (Thứ Hai – Thứ Sáu, từ 9:00 đến 17:00).
2. Ngoài giờ hoạt động, hãy buộc cập nhật những bản cập nhật đã có sẵn trong tối đa 7 ngày.

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Policy - rule1",
        "targets": [
          { "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE" },
          { "targetType": "OS_UPDATE_WITHOUT_API_LEVEL_CHANGE" },
          { "targetType": "GOOGLE_SYSTEM_SERVICES" },
          { "targetType": "GOOGLE_PLAY_SYSTEM_UPDATE" }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      },
      {
        "id": "Force Policy - rule2",
        "targets": [
          { "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE" },
          { "targetType": "OS_UPDATE_WITHOUT_API_LEVEL_CHANGE" },
          { "targetType": "GOOGLE_SYSTEM_SERVICES" },
          { "targetType": "GOOGLE_PLAY_SYSTEM_UPDATE" }
        ],
        "predicate": {
          "updateAgeUpperBound": "604800s"
        },
        "outcome": {
          "outcomeType": "FORCE"
        }
      }
    ]
  }
}

Hạn chế cập nhật cho đến một ngày theo lịch

Bạn có thể sử dụng dateLowerBound và dateUpperBound để hạn chế hoặc cho phép cập nhật trong một phạm vi ngày cụ thể theo lịch trong múi giờ địa phương của thiết bị. Quy tắc sau đây chặn các bản cập nhật cho 4 mục tiêu nhắm mục tiêu theo danh mục cho đến ngày 14 tháng 3 năm 2026:

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "block_until_date",
        "targets": [
          { "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE" },
          { "targetType": "OS_UPDATE_WITHOUT_API_LEVEL_CHANGE" },
          { "targetType": "GOOGLE_SYSTEM_SERVICES" },
          { "targetType": "GOOGLE_PLAY_SYSTEM_UPDATE" }
        ],
        "predicate": {
          "dateUpperBound": { "year": 2026, "month": 3, "day": 14 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}