רשימת התכונות ב-Android Enterprise

1.2.1. מערכת ה-EMM מספקת לאדמין IT קוד QR או קוד הפעלה כדי לתמוך בשיטת ההקצאה הזו (אפשר לעבור אל רישום והקצאה של מכשיר).

1.3.1. מערכות EMM חייבות להשתמש בתגי NFC Forum Type 2 עם זיכרון של לפחות 888 בייט. במהלך הקצאת ההרשאות צריך להשתמש בתוספים להקצאת הרשאות כדי להעביר למכשיר פרטי הרשמה לא רגישים, כמו מזהי שרת ומזהי הרשמה. פרטי הרישום לא צריכים לכלול מידע רגיש, כמו סיסמאות או אישורים.

1.3.2. אנחנו ממליצים להשתמש בתגי NFC ב-Android מגרסה 10 ואילך, כי הוצאנו משימוש את NFC Beam (שנקרא גם NFC Bump).

1.5.1. מנהלי IT יכולים להקצות מכשירים בבעלות החברה באמצעות שיטת ההרשמה דרך הארגון, שמתוארת במאמר הרשמה דרך הארגון למנהלי IT.

1.6.1. אדמינים ב-IT יכולים להקצות מכשיר בבעלות החברה באמצעות שיטת ההרשמה דרך הארגון.

1.6.2. הדרישה הזו הוצאה משימוש.

1.6.3. באמצעות כתובת ה-URL לכניסה , מערכת ה-EMM צריכה לוודא שמשתמשים לא מורשים לא יכולים להמשיך בהפעלה. לפחות, ההפעלה צריכה להיות מוגבלת למשתמשים בארגון מסוים.

1.6.4. באמצעות כתובת ה-URL לכניסה, מערכת ה-EMM צריכה לאפשר למנהלי IT למלא מראש פרטי הרשמה (לדוגמה, מזהי שרת, מזהי הרשמה) מלבד פרטים ייחודיים של משתמש או מכשיר (לדוגמה, שם משתמש/סיסמה, אסימון הפעלה), כדי שהמשתמשים לא יצטרכו להזין פרטים כשהם מפעילים מכשיר.

• אסור לכלול מידע רגיש, כמו סיסמאות או אישורים, בהגדרות של ההרשמה ללא מגע (ZTE).

1.10.1. השדה ריק בכוונה.

1.10.2. אדמינים של IT יכולים להגדיר פעולות תאימות לפרופילי עבודה במכשירים שבבעלות החברה באמצעות PersonalUsagePolicies.

1.10.3. אדמינים של IT יכולים להשבית את המצלמה בפרופיל העבודה או בכל המכשיר באמצעות PersonalUsagePolicies.

1.10.4. אדמינים של IT יכולים להשבית את צילום המסך בפרופיל העבודה או במכשיר כולו באמצעות PersonalUsagePolicies.

1.10.5. אדמינים של IT יכולים להגדיר רשימת חסימה של אפליקציות שלא ניתן להתקין בפרופיל האישי באמצעות PersonalApplicationPolicy.

2.1.1. מדיניות צריכה לאכוף הגדרות לניהול בעיות אבטחה במכשיר (parentProfilePasswordRequirements לפרופיל עבודה, passwordRequirements למכשירים בניהול מלא ולמכשירים ייעודיים).

2.1.2. מורכבות הסיסמה צריכה להיות תואמת למורכבויות הסיסמה הבאות:

1. PASSWORD_COMPLEXITY_LOW - קו ביטול נעילה או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, ‏ 4321, ‏ 2468).
2. ‫PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או מסודרים (1234,‏ 4321,‏ 2468), סיסמה אלפביתית או אלפאנומרית באורך של 4 תווים לפחות
3. ‫PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או מסודרים (1234,‏ 4321,‏ 2468) באורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות

2.1.3. אפשר גם לאכוף הגבלות נוספות על סיסמאות כמדיניות מדור קודם במכשירים בבעלות החברה.

2.2.1. המדיניות צריכה לאכוף את אתגר האבטחה בפרופיל העבודה.

1. כברירת מחדל, אדמינים של IT צריכים להגדיר הגבלות רק לפרופיל העבודה אם לא מצוין היקף
2. אדמינים ב-IT יכולים להגדיר את ההגדרה הזו לכל המכשיר על ידי ציון ההיקף (ראו דרישה 2.1)

2.2.2. מורכבות הסיסמה צריכה להיות תואמת למורכבויות הסיסמה המוגדרות מראש הבאות:

1. PASSWORD_COMPLEXITY_LOW - קו ביטול נעילה או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, ‏ 4321, ‏ 2468).
2. ‫PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או מסודרים (1234,‏ 4321,‏ 2468), סיסמה אלפביתית או אלפאנומרית באורך של 4 תווים לפחות
3. ‫PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או מסודרים (1234,‏ 4321,‏ 2468) באורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות

2.3.1. השדה ריק בכוונה.

2.3.2. השדה ריק בכוונה.

2.3.3. אפשר להגדיר את ההגדרות הבאות של מחזור החיים של הסיסמה לכל מסך נעילה שזמין במכשיר:

1. ריק בכוונה
2. ריק בכוונה
3. מספר מקסימלי של ניסיונות הזנת סיסמה שגויה לפני איפוס: ההגדרה קובעת כמה פעמים משתמשים יכולים להזין סיסמה שגויה לפני שנתוני הארגון יימחקו מהמכשיר. אדמינים של IT צריכים להיות מסוגלים להשבית את התכונה הזו.

2.3.4. ‫(Android 8.0+) נדרש פסק זמן לאימות חזק: צריך להזין קוד אימות חזק (כמו קוד אימות או סיסמה) אחרי תקופת פסק זמן שהוגדרה על ידי אדמין IT. אחרי תקופת ההמתנה, שיטות אימות לא חזקות (כמו טביעת אצבע, ביטול נעילה באמצעות הפנים) מושבתות עד לביטול הנעילה של המכשיר באמצעות קוד גישה חזק לאימות.

2.5.1. המכשירים צריכים להיות נעולים באמצעות Android Management API .

2.7.1. צריך לחסום התקנה של אפליקציות ממקורות לא מוכרים, כולל אפליקציות שמותקנות בצד האישי של כל מכשיר Android מגרסה 8.0 ומעלה עם פרופיל עבודה. תכונת המשנה הזו נתמכת כברירת מחדל.

אדמינים ב-IT יכולים להפעיל את התכונה אימות אפליקציות במכשירים. התכונה'אימות אפליקציות' סורקת אפליקציות שמותקנות במכשירי Android כדי לאתר תוכנות מזיקות לפני ההתקנה ואחריה. כך היא עוזרת לוודא שאפליקציות זדוניות לא יוכלו לסכן נתונים של החברה.

2.12.1. אדמינים ב-IT יכולים לחסום משתמשים מלהרכיב מדיה חיצונית פיזית באמצעות מדיניות (עוברים אל mountPhysicalMediaDisabled).

2.12.2. אדמינים של IT יכולים לחסום את המשתמשים מלשתף נתונים מהמכשיר שלהם באמצעות NFC beam באמצעות מדיניות (צריך לעבור אל outgoingBeamDisabled). תכונת המשנה הזו היא אופציונלית כי הפונקציה NFC beam לא נתמכת יותר ב-Android 10 ואילך.

3.1.1. אדמין עם דומיין מנוהל קיים של Google יכול לקשר את הדומיין שלו ל-EMM.

3.1.2. השדה ריק בכוונה.

3.1.3. השדה ריק בכוונה.

3.1.4. מסוף ה-EMM מנחה את האדמין להזין את כתובת האימייל שלו לצורכי עבודה בתהליך ההרשמה ל-Android, וממליץ לו לא להשתמש בחשבון Gmail.

3.1.5. מערכת ה-EMM ממלאת מראש את כתובת האימייל של האדמין בתהליך ההרשמה ל-Android.

3.2.1. חשבונות Google Play לארגונים (חשבונות משתמשים) נוצרים באופן אוטומטי כשמגדירים מכשירים.

ממשק Android Management API תומך בתכונה הזו כברירת מחדל. לא נדרשת הטמעה נוספת.

3.3.1. חשבונות Google Play לארגונים נוצרים באופן אוטומטי כשמגדירים מכשירים.

ממשק Android Management API תומך בתכונה הזו כברירת מחדל. לא נדרשת הטמעה נוספת.

3.5.1. מסוף ה-EMM צריך להשתמש ב-Android Management API כדי לאפשר לאדמינים של IT להתקין אפליקציות לשימוש בעבודה במכשירים מנוהלים.

3.5.2. המסוף של EMM חייב להשתמש ב-Android Management API כדי לאפשר למנהלי IT לעדכן אפליקציות לשימוש בעבודה במכשירים מנוהלים.

אדמינים של IT יכולים לראות ולהגדיר בשקט הגדרות מנוהלות לכל אפליקציה שתומכת בהגדרות מנוהלות.

3.6.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את הגדרות הניהול של כל אפליקציה ב-Play.

3.6.2. מסוף ה-EMM צריך לאפשר למנהלי IT להגדיר כל סוג של תצורה (כפי שמוגדר במסגרת Android Enterprise) לכל אפליקציה ב-Play באמצעות Android Management API.

3.9.1. מסוף ה-EMM צריך לאפשר לאדמינים ב-IT לנהל את האפליקציות שמוצגות בפריסה הבסיסית של החנות למשתמשי קצה.

3.12.1. אדמינים ב-IT יכולים להעלות גרסאות חדשות של אפליקציות שכבר פורסמו באופן פרטי לארגון באמצעות:

3.13.1. המסוף של ה-EMM צריך לעזור לאדמינים של IT לארח את קובץ ה-APK של האפליקציה, על ידי הצעת שתי האפשרויות הבאות:

• אירוח קובץ ה-APK בשרת של מערכת ה-EMM. השרת יכול להיות מקומי בארגון או מבוסס-ענן.
• אירוח קובץ ה-APK מחוץ לשרת של ה-EMM, לפי שיקול דעתה של החברה. אדמין ה-IT צריך לציין במסוף ה-EMM איפה מתארח קובץ ה-APK.

3.13.2. מסוף ה-EMM צריך ליצור קובץ הגדרה מתאים של APK באמצעות ה-APK שסופק, ולהנחות את מנהלי ה-IT בתהליך הפרסום.

3.13.3. אדמינים ב-IT יכולים לעדכן אפליקציות פרטיות שמתארחות בשרתים שלהם, ומסוף ה-EMM יכול לפרסם בשקט קובצי הגדרת APK מעודכנים באמצעות Google Play Developer Publishing API.

3.13.4. השרת של ה-EMM משרת בקשות להורדה של קובץ ה-APK שמתארח באופן עצמאי ומכיל JWT תקין בקובץ ה-Cookie של הבקשה, כפי שאומת על ידי המפתח הציבורי של האפליקציה הפרטית.

• כדי להקל על התהליך הזה, השרת של ה-EMM צריך להנחות את האדמינים בתחום ה-IT להוריד את המפתח הציבורי של הרישיון של האפליקציה שמתארחת בשרת משלהם מ-Google Play Console, ולהעלות את המפתח הזה למסוף ה-EMM.

3.15.1. פתרון ה-EMM צריך לעמוד במגבלות השימוש של Android Management API. אם לא תתקנו התנהגות שחורגת מההנחיות האלה, Google עשויה להשעות את השימוש ב-API, לפי שיקול דעתה.

3.15.2. פתרון ה-EMM צריך לפזר את התנועה מעסקים שונים במהלך היום, במקום לרכז את התנועה מעסקים בזמנים ספציפיים או דומים. התנהגות שתואמת לדפוס התנועה הזה, כמו פעולות מתוזמנות של אצווה לכל מכשיר רשום, עלולה להוביל להשעיית השימוש ב-API, לפי שיקול הדעת של Google.

3.15.3. ה-EMM לא צריך לשלוח בקשות עקביות, חלקיות או שגויות בכוונה, בלי לנסות לאחזר או לנהל נתונים עסקיים בפועל. התנהגות שתואמת לדפוס התנועה הזה עשויה להוביל להשעיית השימוש ב-API, לפי שיקול דעתה של Google.

3.16.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את עד ארבע רמות של הגדרות מנוהלות מוטמעות של כל אפליקציה ב-Play, באמצעות:

• ה-iframe של Google Play לארגונים , או
• ממשק משתמש מותאם אישית.

3.16.2. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג כל משוב שמוחזר על ידי ערוץ המשוב של האפליקציה, כשהוא מוגדר על ידי אדמין IT.

• מסוף ה-EMM צריך לאפשר לאדמינים ב-IT לשייך פריט משוב ספציפי למכשיר ולאפליקציה שממנו הוא נשלח.
• מסוף ה-EMM צריך לאפשר לאדמינים של IT להירשם לקבלת התראות או דוחות על סוגים ספציפיים של הודעות (כמו הודעות שגיאה).

3.16.3. מסוף ה-EMM צריך לשלוח רק ערכים שיש להם ערך ברירת מחדל או שהאדמין הגדיר אותם באופן ידני באמצעות:

• ה-iframe של ההגדרות המנוהלות, או
• ממשק משתמש בהתאמה אישית.

3.17.1. מסוף ה-EMM מאפשר לאדמינים ב-IT להפיץ קיצורי דרך לאפליקציות אינטרנט באמצעות:

• ה-iframe של Google Play לארגונים,
• או Android Management API .

התכונה הזו נתמכת כברירת מחדל. לא נדרשת הטמעה נוספת של EMM.

3.20.1. אדמינים של IT יכולים לאפשר לאפליקציות להשתמש בעדכוני אפליקציות בעדיפות גבוהה כדי להתעדכן כשהעדכון מוכן. 3.20.2. אדמינים ב-IT יכולים לאפשר לאפליקציות לדחות את העדכונים שלהן למשך 90 ימים.

3.22.1. מסוף ה-EMM מאפשר לאדמין ה-IT להפעיל את השדרוג של קבוצת חשבונות קיימת של Google Play לארגונים לדומיין מנוהל ב-Google לארגונים באמצעות ממשקי ה-API הנדרשים.

3.23.1. ה-EMM יכול להקצות חשבון Google מנוהל בהתאם להנחיות ההטמעה המוגדרות.

במהלך הפעולה:

• חשבון Google מנוהל נוסף למכשיר.
• צריך להיות מיפוי של אחד לאחד בין חשבון Google המנוהל לבין משתמשים בפועל במסוף של מערכת ה-EMM.

3.23.2. אדמינים ב-IT יכולים להשתמש במדיניות כדי לספק למשתמשים אפשרות להיכנס לחשבון Google מנוהל לצורך הרשמה.

3.23.3. אדמינים ב-IT יכולים להשתמש במדיניות כדי לקבוע אם המשתמש יידרש להיכנס לחשבון Google מנוהל כדי להשלים את ההרשמה.

3.24.1. אדמינים ב-IT יכולים לשדרג חשבונות קיימים של Google Play לארגונים במכשיר לחשבון Google מנוהל.

4.1.1. אדמינים ב-IT צריכים להיות מסוגלים לבחור מבין האפשרויות הבאות כשהם מגדירים מדיניות הרשאות מוגדרת כברירת מחדל בזמן ריצה לארגון שלהם:

• הודעה (המשתמשים יכולים לבחור)
• לאפשר
• דחייה

4.3.1. SSID, באמצעות מדיניות.

אדמינים ב-IT יכולים להקצות הגדרות Wi-Fi למכשירים שכוללים את תכונות האבטחה המתקדמות הבאות:

4.4.1. זהויות

4.4.2. אישורים להרשאת לקוח

4.4.3. אישורי CA

4.5.1. אדמינים ב-IT יכולים לנעול את הגדרות ה-Wi-Fi הארגוניות באמצעות מדיניות באחת מההגדרות הבאות:

• המשתמשים לא יכולים לשנות הגדרות Wi-Fi שסופקו על ידי EMM (כדאי לעבור אל wifiConfigsLockdownEnabled), אבל הם יכולים להוסיף ולשנות רשתות שניתנות להגדרה על ידי המשתמש (לדוגמה, רשתות אישיות).
• המשתמשים לא יכולים להוסיף או לשנות רשת Wi-Fi במכשיר (כדאי לעבור אל wifiConfigDisabled), כך שהחיבור ל-Wi-Fi מוגבל רק לרשתות שהוקצו על ידי מערכת ה-EMM.

4.6.1. אדמינים ב-IT יכולים למנוע ממשתמשים להוסיף או לשנות חשבונות (ראו modifyAccountsDisabled).

• כשמחילים את המדיניות הזו על מכשיר, פתרונות EMM צריכים להגדיר את ההגבלה הזו לפני שההקצאה מסתיימת, כדי לוודא שהמשתמשים לא יוכלו לעקוף את המדיניות הזו על ידי הוספת חשבונות לפני שהמדיניות נכנסת לתוקף.

4.8.1. אדמינים ב-IT יכולים להתקין אישורים של זהויות משתמשים שנוצרו על ידי ה-PKI שלהם על בסיס כל משתמש. המסוף של מערכת ה-EMM חייב להיות משולב עם לפחות PKI אחד, ולהפיץ אישורים שנוצרו מהתשתית הזו.

4.9.1. אדמינים ב-IT יכולים לציין אישור לכל אפליקציה שמופצת למכשירים, והאפליקציה תקבל גישה באופן שקט במהלך זמן הריצה. (תכונת המשנה הזו לא נתמכת)

• בחירת האישור צריכה להיות כללית מספיק כדי לאפשר הגדרה אחת שתחול על כל המשתמשים, שלכל אחד מהם יכול להיות אישור זהות ספציפי למשתמש.

4.9.2. אדמינים ב-IT יכולים להסיר אישורים בשקט מחנות המפתחות המנוהלת.

4.9.3. אדמינים ב-IT יכולים להסיר אישור CA באופן שקט. (This subfeature is not supported)

4.9.4. אדמינים ב-IT יכולים למנוע מהמשתמשים להגדיר פרטי כניסה (כך עושים את זה: credentialsConfigDisabled) במאגר המפתחות המנוהל.

4.10.1. אדמינים ב-IT יכולים לציין חבילה לניהול אישורים (עוברים אל delegatedCertInstallerPackage) שתוגדר כאפליקציה לניהול אישורים עם הרשאות גישה.

• יכול להיות שפתרונות ה-EMM יציעו חבילות ידועות לניהול אישורים, אבל הם חייבים לאפשר לאדמין ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.11.1. אדמינים ב-IT יכולים להגדיר חבילת VPN שרירותית כ-VPN בחיבור תמידי.

• מסוף ה-EMM יכול להציע חבילות VPN מוכרות שתומכות ב-VPN פועל כל הזמן, אבל הוא לא יכול להגביל את שרתי ה-VPN שזמינים להגדרה של VPN פועל כל הזמן לרשימה שרירותית כלשהי.

4.12.1. אדמינים של IT יכולים להגדיר רשימת היתרים של IME (עוברים אל permitted_input_methods) באורך שרירותי (כולל רשימה ריקה, שחוסמת ממשקי IME שאינם של המערכת), שעשויה להכיל חבילות IME שרירותיות.

• יכול להיות שבמסוף של ה-EMM יוצעו שיטות קלט מוכרות או מומלצות להוספה לרשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.13.1. אדמינים ב-IT יכולים להגדיר רשימת היתרים ל-IME (כדאי לעבור אל permitted_input_methods) באורך שרירותי (לא כולל רשימה ריקה, שחוסמת את כל ה-IME, כולל IME של המערכת), שיכולה להכיל חבילות IME שרירותיות.

• יכול להיות שבמסוף של ה-EMM יוצעו שיטות קלט מוכרות או מומלצות להוספה לרשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.13.2. פתרון ה-EMM צריך למנוע מאדמינים ב-IT להגדיר רשימת היתרים ריקה, כי ההגדרה הזו תחסום את כל שיטות הקלט, כולל שיטות קלט של המערכת, כך שלא ניתן יהיה להגדיר אותן במכשיר.

4.14.1. אדמינים ב-IT יכולים להגדיר רשימת היתרים של שירותי נגישות (permittedAccessibilityServices) באורך שרירותי (כולל רשימה ריקה, שחוסמת שירותי נגישות שאינם מערכתיים), שיכולה להכיל כל חבילה שרירותית של שירותי נגישות. כשמפעילים את ההגדרה הזו בפרופיל העבודה, היא משפיעה גם על הפרופיל האישי וגם על פרופיל העבודה.

• יכול להיות שהמסוף יציע שירותי נגישות מוכרים או מומלצים להוספה לרשימת ההיתרים, אבל הוא חייב לאפשר לאדמין ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.15.1. אדמינים ב-IT יכולים להשבית את שירותי המיקום (עוברים אל shareLocationDisabled) בפרופיל העבודה.

4.16.1. אדמינים ב-IT יכולים להגדיר את שירותי המיקום של המכשיר לכל אחד מהמצבים הבאים:

• רמת דיוק גבוהה.
• חיישנים בלבד, למשל GPS, אבל לא כולל מיקום שסופק על ידי הרשת.
• חיסכון בסוללה, שמגביל את תדירות העדכון.
• כבוי.

4.17.1. אדמינים של IT יכולים למנוע מהמשתמשים לאפס את המכשיר להגדרות המקוריות (עוברים אל factoryResetDisabled) דרך ההגדרות.

4.17.2. אדמינים ב-IT יכולים לציין חשבונות ארגוניים לביטול הנעילה שמורשים להקצות מכשירים (עוברים אל frpAdminEmails) אחרי איפוס להגדרות היצרן.

• אפשר לקשר את החשבון הזה לאדם מסוים, או להשתמש בו בכל הארגון כדי לבטל את הנעילה של מכשירים.

4.17.3. אדמינים ב-IT יכולים להשבית את ההגנה מפני איפוס להגדרות המקוריות (עוברים אל 0 factoryResetDisabled) במכשירים ספציפיים.

אדמינים ב-IT יכולים למנוע מהמשתמש להסיר או לשנות בדרך אחרת אפליקציות מנוהלות דרך ההגדרות. לדוגמה, מניעת סגירה בכוח של האפליקציה או ניקוי מטמון הנתונים של האפליקציה.

4.18.1. אדמינים ב-IT יכולים לחסום את ההסרה של אפליקציות מנוהלות שונות, או של כל האפליקציות המנוהלות (עוברים אל uninstallAppsDisabled).

4.18.2. אדמינים ב-IT יכולים למנוע ממשתמשים לשנות נתוני אפליקציות דרך ההגדרות. (ה-API לניהול Android לא תומך בתכונת המשנה הזו)

4.19.1. אדמינים ב-IT יכולים למנוע מהמשתמשים לצלם צילומי מסך (כך עושים זאת).screenCaptureDisabled

אדמינים ב-IT יכולים להפעיל מחדש מכשירים מנוהלים מרחוק.

4.23.1. אדמינים של IT יכולים להפעיל מחדש מרחוק מכשיר מנוהל.

4.24.1. אדמינים ב-IT יכולים להשבית שידורים סלולריים שנשלחים על ידי ספקי שירותים (כדאי לעבור אל cellBroadcastsConfigDisabled).

4.24.2. אדמינים ב-IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית בהגדרות (mobileNetworksConfigDisabled).

4.24.3. אדמינים ב-IT יכולים למנוע ממשתמשים לאפס את כל הגדרות הרשת בהגדרות. (עוברים אל networkResetDisabled).

4.24.4. אדמינים ב-IT יכולים להגדיר אם המכשיר יאפשר נדידת נתונים סלולריים (כדאי לעבור אל dataRoamingDisabled).

4.24.5. אדמינים ב-IT יכולים להגדיר אם המכשיר יכול להוציא שיחות טלפון, לא כולל שיחות חירום (outGoingCallsDisabled).

4.24.6. אדמינים ב-IT יכולים להגדיר אם המכשיר יכול לשלוח ולקבל הודעות טקסט (smsDisabled).

4.24.7. אדמינים ב-IT יכולים למנוע מהמשתמשים להשתמש במכשיר שלהם כנקודה חמה ניידת על ידי שיתוף אינטרנט (tethering) (עוברים אל tetheringConfigDisabled).

4.24.8. אדמינים של IT יכולים להגדיר את הזמן הקצוב לתפוגה של Wi-Fi כברירת מחדל, בזמן שהמכשיר מחובר לחשמל או אף פעם. (ה-API לניהול Android לא תומך בתכונת המשנה הזו)

4.24.9. אדמינים ב-IT יכולים למנוע מהמשתמשים להגדיר חיבורי Bluetooth קיימים או לשנות אותם (עוברים אל bluetoothConfigDisabled).

אדמינים ב-IT יכולים לשלוט בשקט בתכונות האודיו של המכשיר, כולל השתקת המכשיר, מניעת שינוי הגדרות עוצמת הקול על ידי המשתמשים ומניעת ביטול ההשתקה של המיקרופון במכשיר על ידי המשתמשים.

4.25.1. אדמינים ב-IT יכולים להשתיק מכשירים מנוהלים בלי שהמשתמשים ידעו על כך. (ה-API לניהול Android לא תומך בתכונת המשנה הזו)

4.25.2. אדמינים של IT יכולים למנוע ממשתמשים לשנות את הגדרות עוצמת הקול במכשיר (adjustVolumeDisabled). הפעולה הזו גם משתיקה את המכשירים.

במכשירים ייעודיים, אדמינים בתחום ה-IT יכולים לנהל את התכונות הבאות באמצעות מדיניות כדי לתמוך בתרחישי שימוש שונים בקיוסקים.

4.27.1. אדמינים ב-IT יכולים להשבית את מסך הנעילה של המכשיר (keyguardDisabled).

4.27.2. אדמינים של IT יכולים להשבית את סרגל הסטטוס של המכשיר, לחסום התראות והגדרות מהירות (עוברים אל statusBarDisabled).

4.27.3. אדמינים ב-IT יכולים להגדיר שהמסך של המכשיר יישאר דולק בזמן שהמכשיר מחובר לחשמל (עוברים אל stayOnPluggedModes).

4.27.4. אדמינים ב-IT יכולים למנוע את ההצגה של ממשקי המשתמש של המערכת הבאים (עוברים אל createWindowsDisabled):

• הודעות קופצות
• שכבות-על של אפליקציות.

4.27.5. אדמינים ב-IT יכולים לאפשר להמלצות המערכת לאפליקציות לדלג על הדרכות למשתמשים ועל רמזים אחרים למתחילים בהפעלה הראשונה (כך עושים זאת skip_first_use_hints).

אדמינים של IT יכולים להקצות הרשאות נוספות לחבילות ספציפיות.

4.28.1. אדמינים ב-IT יכולים לנהל את ההיקפים הבאים:

• התקנה וניהול של אישורים
• ריק בכוונה
• רישום התנועה ברשת
• רישום ביומן של פעולות אבטחה (לא נתמך בפרופיל עבודה במכשיר בבעלות אישית)

החל מ-Android 12, לפרופילים של עבודה לא תהיה יותר גישה למזהים ספציפיים לחומרה. אדמינים ב-IT יכולים לעקוב אחרי מחזור החיים של מכשיר עם פרופיל עבודה באמצעות מזהה ספציפי לרישום, שיישמר גם אחרי איפוס להגדרות היצרן.

4.29.1. אדמינים של IT יכולים לקבל מזהה ספציפי להרשמה

4.29.2. המזהה הזה, שספציפי להרשמה, צריך להישמר גם אחרי איפוס להגדרות המקוריות

‫4.30.1 אדמינים ב-IT יכולים לחסום את כל מנהלי האישורים במכשיר (או בפרופיל לצורכי עבודה) באמצעות מדיניות.

‫4.30.2 אדמינים בתחום ה-IT יכולים לציין שרק מנהלי אישורים שנטענו מראש (אפליקציות מערכת) יורשו לפעול.

‫4.31.1 אדמינים של IT יכולים להקצות פרופיל eSIM למכשיר באופן שקט באמצעות מדיניות.

‫4.31.2 אדמינים ב-IT יכולים למחוק כרטיסי eSIM מנוהלים ממכשיר באמצעות מדיניות.

‫4.31.3 אדמינים של IT יכולים למנוע ממשתמשים לשנות את הגדרות הרשת הסלולרית בהגדרות (עוברים אל mobileNetworksConfigDisabled).

‫4.31.4 אדמינים ב-IT יכולים לשלוח מרחוק פקודת מחיקה למכשיר או לפרופיל עבודה. הפקודה הזו מסירה מהמכשיר כרטיסי eSIM מנוהלים (אופציונלי). כברירת מחדל, כרטיסי eSIM מנוהלים מוסרים מפרופילי עבודה במכשירים בבעלות אישית, אבל נשמרים במכשירים בבעלות החברה.

‫4.31.5 אדמינים בתחום ה-IT יכולים לאחזר את מזהה ה-EID (מסמך הזהות המוטמע) של מכשיר באמצעות ממשק המשתמש של מסוף ה-EMM (או שיטה מקבילה).

5.1.1. אדמינים ב-IT יכולים להתאים אישית את תהליך הקצאת ההרשאות על ידי ציון תנאים והגבלות וכתבי ויתור אחרים שספציפיים לארגון (כאן מוסבר איך עושים את זה termsAndConditions).

5.1.2. אדמינים ב-IT יכולים לפרוס תנאים והגבלות ספציפיים ל-EMM והצהרות אחריות אחרות שלא ניתן להגדיר (אפשר לעבור אל termsAndConditions).

• יכול להיות שספקי EMM יגדירו את ההתאמה האישית שלהם שאי אפשר לשנות, שספציפית ל-EMM, כברירת המחדל לפריסות, אבל הם חייבים לאפשר לאדמינים ב-IT להגדיר התאמה אישית משלהם.

5.1.3. ‫primaryColor הוצא משימוש במשאב הארגוני ב-Android מגרסה 10 ואילך.

5.5.1. אדמינים ב-IT יכולים להתאים אישית הודעות תמיכה קצרות וארוכות למשתמשי קצה.

5.5.2. אדמינים של IT יכולים לפרוס הודעות תמיכה קצרות וארוכות שלא ניתן להגדיר, ספציפיות ל-EMM (אפשר לעבור אל shortSupportMessage ו-longSupportMessage ב-policies).

• יכול להיות שספק ה-EMM יגדיר את הודעות התמיכה הספציפיות שלו שאי אפשר לשנות כברירת מחדל לפריסות, אבל הוא חייב לאפשר לאדמינים של IT להגדיר הודעות משלהם.

5.7.1. אדמינים של IT יכולים להגדיר מדיניות לשיתוף נתונים בין פרופילים כדי שאפליקציות לשימוש אישי יוכלו לפתור כוונות מפרופיל העבודה, כמו שיתוף כוונות או קישורי אינטרנט.

5.7.2. מנהלי IT יכולים לאפשר לאפליקציות מפרופיל העבודה ליצור ולהציג ווידג'טים במסך הבית של הפרופיל האישי. היכולת הזו מושבתת כברירת מחדל, אבל אפשר להגדיר אותה כמאושרת באמצעות השדות workProfileWidgets ו-workProfileWidgetsDefault.

5.8.1. מסוף ה-EMM מאפשר לאדמינים בתחום ה-IT להגדיר את ההגדרות הבאות של OTA:

• אוטומטי: המכשירים מתקינים עדכוני OTA כשהם זמינים.
• דחייה: אדמינים ב-IT צריכים להיות מסוגלים לדחות עדכון OTA למשך עד 30 ימים. המדיניות הזו לא משפיעה על עדכוני אבטחה (למשל, תיקוני אבטחה חודשיים).
• חלון: אדמינים של IT צריכים להיות מסוגלים לתזמן עדכוני OTA במסגרת חלון תחזוקה יומי.

5.9.1. המסוף של EMM מאפשר לאדמינים של IT לאפשר באופן שקט התקנה של קבוצה שרירותית של אפליקציות ולנעול אותן במכשיר. המדיניות מאפשרת להגדיר מכשירים ייעודיים.

5.10.1. אדמינים של IT יכולים להגדיר כל חבילה כמטפל ברירת המחדל בכוונה לכל מסנן כוונות שרירותי.

• יכול להיות שבמסוף של מערכת ה-EMM יוצעו לכם Intents מוכרים או מומלצים להגדרה, אבל אי אפשר להגביל את ה-Intents לרשימה שרירותית כלשהי.
• מסוף ה-EMM צריך לאפשר לאדמינים ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.

‫5.11.1.מדיניות אפשר להשבית את התכונות הבאות של מסך הנעילה במכשיר:

• סביבות אמינות
• ביטול נעילה באמצעות טביעת אצבע
• התראות ללא צנזורה

5.11.2. אפשר להשבית את התכונות הבאות של פרופיל העבודה במסך הנעילה באמצעות מדיניות:

• סביבות אמינות
• ביטול נעילה באמצעות טביעת אצבע

• העברה מאובטחת של נתוני המצלמה
• כל ההודעות
• לא צונזר
• סביבות אמינות
• פתיחה בטביעת אצבע
• כל התכונות של מסך הנעילה

‫Android Management API לא תומך בתכונה הזו.

5.15.1. מתן הרשאה שקטה להתקנה של אפליקציה אחת ונעילה שלה במכשיר .

5.15.2. מפעילים או משביתים את התכונות הבאות של ממשק המשתמש של המערכת:

• לחצן הבית
• סקירה כללית
• פעולות גלובליות
• התראות
• מידע על המערכת / שורת סטטוס
• Keyguard (מסך הנעילה). תכונת המשנה הזו מופעלת כברירת מחדל כשמטמיעים את גרסה 5.15.1.

5.15.3. משביתים את האפשרות תיבות דו-שיח של שגיאות מערכת.

5.17.1. אדמינים של IT יכולים לספק טקסט מותאם אישית להצגה (עוברים אל wipeReasonMessage) כשפרופיל עבודה נמחק.

אדמינים של IT יכולים להגדיר רשימה של חבילות שיכולות לתקשר מעבר לגבולות של פרופיל העבודה באמצעות ההגדרה ConnectedWorkAndPersonalApp.