Android Enterprise 功能列表

1.2.1. EMM 会向 IT 管理员提供二维码或激活码，以支持此配置方法（请参阅注册和配置设备）。

1.3.1. EMM 必须使用内存至少为 888 字节的 NFC Forum 类型 2 标签。 配置必须使用配置 extra 将非敏感注册详细信息（例如服务器 ID 和注册 ID）传递给设备。注册详细信息不应包含密码或证书等敏感信息。

1.3.2. 由于 NFC Beam（也称为 NFC 触碰）已弃用，我们建议从 Android 10 开始使用 NFC 标签。

1.5.1. IT 管理员可以使用面向 IT 管理员的零触摸注册中所述的零触摸注册方法来配置公司自有设备。

1.6.1. IT 管理员可以使用零触摸注册方法配置公司自有设备。

1.6.2. 此要求已弃用。

1.6.3. 使用登录网址，EMM 必须确保未经授权的用户无法继续进行激活。 至少，必须将激活锁定为仅限特定企业的用户。

1.6.4. 使用登录网址，EMM 必须允许 IT 管理员预先填充注册详细信息（例如服务器 ID、注册 ID），但不能填充唯一的用户或设备信息（例如用户名/密码、激活令牌），以便用户在激活设备时无需输入详细信息。

• EMM 不得在零接触注册的配置中包含密码或证书等敏感信息。

1.10.1. 故意留空。

1.10.2. IT 管理员可以通过 PersonalUsagePolicies 为公司自有设备上的工作资料设置合规性操作。

1.10.3. IT 管理员可以通过 PersonalUsagePolicies 停用工作资料或整个设备中的相机。

1.10.4. IT 管理员可以通过 PersonalUsagePolicies 停用工作资料或整个设备中的屏幕截图功能。

1.10.5. IT 管理员可以通过 PersonalApplicationPolicy 设置无法在个人资料中安装的应用的禁止名单。

2.1.1. 政策必须强制执行用于管理设备安全挑战的设置（工作资料的 parentProfilePasswordRequirements，完全受管设备和专用设备的 passwordRequirements）。

2.1.2. 密码复杂度应映射到以下密码复杂度：

1. PASSWORD_COMPLEXITY_LOW - 包含重复 (4444) 或有序（1234、4321、2468）序列的解锁图案或 PIN 码。
2. PASSWORD_COMPLEXITY_MEDIUM - 不包含重复 (4444) 或有序（1234、4321、2468）序列的 PIN 码，长度至少为 4 的字母或字母数字密码
3. PASSWORD_COMPLEXITY_HIGH - 不包含重复 (4444) 或有序（1234、4321、2468）序列且长度至少为 8 的 PIN 码，或者长度至少为 6 的字母或字母数字密码

2.1.3. 此外，还可以在公司自有设备上以旧版设置的形式强制执行其他密码限制。

2.2.1. 政策必须强制执行工作资料的安全验证。

1. 默认情况下，如果未指定范围，IT 管理员应仅针对工作资料设置限制
2. IT 管理员可以通过指定范围（请参阅要求 2.1）来设置此设备范围

2.2.2. 密码复杂度应映射到以下预定义的密码复杂度：

1. PASSWORD_COMPLEXITY_LOW - 包含重复 (4444) 或有序（1234、4321、2468）序列的解锁图案或 PIN 码。
2. PASSWORD_COMPLEXITY_MEDIUM - 不包含重复 (4444) 或有序（1234、4321、2468）序列的 PIN 码，长度至少为 4 的字母或字母数字密码
3. PASSWORD_COMPLEXITY_HIGH - 不包含重复 (4444) 或有序（1234、4321、2468）序列且长度至少为 8 的 PIN 码，或者长度至少为 6 的字母或字母数字密码

2.3.1. 故意留空。

2.3.2. 故意留空。

2.3.3. 您可以为设备上的每个锁屏设置以下密码生命周期设置：

1. 故意留空
2. 故意留空
3. 擦除操作允许的最大密码输入错误次数：指定用户在公司数据从设备中擦除之前可以输入错误密码的次数。IT 管理员必须能够关闭此功能。

2.3.4. （Android 8.0 及更高版本）需要强身份验证的超时时间：在IT 管理员设置的超时时间过后，必须输入强身份验证密码（例如 PIN 码或密码）。在超时期限过后，非加强型身份验证方法（例如指纹、人脸解锁）会被关闭，直到设备通过加强型身份验证密码解锁。

2.5.1. 设备必须使用 Android Management API 进行锁定。

2.7.1. 必须禁止安装未知来源的应用，包括安装在任何设有工作资料的 Android 8.0 及更高版本设备的个人资料中的应用。 默认情况下支持此子功能。

IT 管理员可以在设备上开启验证应用。“验证应用”功能会在 Android 设备上安装应用之前和之后扫描应用，以检测是否存在有害软件，从而有助于确保恶意应用不会泄露公司数据。

2.12.1. IT 管理员可以使用政策（前往 mountPhysicalMediaDisabled）阻止用户装载物理外部媒体。

2.12.2. IT 管理员可以使用政策（前往 outgoingBeamDisabled）阻止用户使用 NFC Beam 从其设备分享数据。此子功能是可选的，因为 Android 10 及更高版本不再支持 NFC Beam 功能。

3.1.1. 拥有现有受管理 Google 网域的管理员可以将网域绑定到 EMM。

3.1.2. 故意留空。

3.1.3. 故意留空。

3.1.4. EMM 控制台会引导管理员在 Android 注册流程中输入其工作电子邮件地址，并建议他们不要使用 Gmail 账号。

3.1.5. EMM 会在 Android 注册流程中预填充管理员的电子邮件地址。

3.2.1. 在配置设备时，系统会自动创建 Google Play 企业版账号（用户账号）。

Android Management API 默认支持此功能。无需进行额外的实现。

3.3.1. 当设备完成配置后，系统会自动创建 Google Play 企业版账号。

Android Management API 默认支持此功能。无需进行额外的实现。

3.5.1. EMM 的控制台必须使用 Android Management API，以便 IT 管理员在受管理设备上安装工作应用。

3.5.2. EMM 的控制台必须使用 Android Management API，以便 IT 管理员更新受管设备上的工作应用。

IT 管理员可以查看并以静默方式设置支持受管配置的任何应用的受管配置。

3.6.1. EMM 的控制台必须能够检索和显示任何 Play 应用的受管理配置设置。

3.6.2. EMM 的控制台必须允许 IT 管理员使用 Android Management API 为任何 Play 应用设置任何配置类型（如 Android Enterprise 框架所定义）。

3.9.1. EMM 的控制台应允许 IT 管理员管理最终用户基本商店布局中显示的应用。

3.12.1. IT 管理员可以使用以下方法将已私下发布给企业的新版应用上传到企业：

3.13.1. EMM 的控制台必须通过提供以下两种选项来帮助 IT 管理员托管应用 APK：

• 在 EMM 的服务器上托管 APK。服务器可以是本地服务器，也可以是基于云的服务器。
• 由企业自行决定是否在 EMM 的服务器之外托管 APK。IT 管理员必须在 EMM 控制台中指定 APK 的托管位置。

3.13.2. EMM 的控制台必须使用提供的 APK 生成相应的 APK 定义文件，并引导 IT 管理员完成发布流程。

3.13.3. IT 管理员可以更新自行托管的专用应用，并且 EMM 的控制台可以使用 Google Play Developer Publishing API 静默发布更新后的 APK 定义文件。

3.13.4. EMM 的服务器会处理对包含有效 JWT 的自托管 APK 的下载请求，该 JWT 位于请求的 Cookie 中，并已通过私密应用的公钥进行验证。

• 为方便此流程，EMM 的服务器必须引导 IT 管理员从 Google Play 管理中心下载自行托管应用的许可公钥，并将此密钥上传到 EMM 控制台。

3.15.1. EMM 必须遵守 Android Management API 用量限制。如果不纠正超出这些准则的行为，Google 可能会自行决定暂停 API 使用权限。

3.15.2. EMM 应在一天内分配来自不同企业的流量，而不是在特定或相似的时间合并企业流量。如果出现符合此流量模式的行为（例如为每个已注册的设备安排批量操作），Google 可能会自行决定暂停 API 使用权限。

3.15.3. EMM 不应持续发出不完整或故意不正确的请求，并且不尝试检索或管理实际的企业数据。如果行为符合此流量模式，Google 可能会自行决定暂停相应 API 的使用。

3.16.1. EMM 的控制台必须能够使用以下方式检索和显示任何 Play 应用的最多四级嵌套受管理配置设置：

• Google Play 企业版 iframe，或
• 自定义界面。

3.16.2. 当 IT 管理员设置 EMM 的控制台时，该控制台必须能够检索并显示应用反馈渠道返回的任何反馈。

• EMM 的控制台必须允许 IT 管理员将特定反馈项与生成该反馈项的设备和应用相关联。
• EMM 的控制台必须允许 IT 管理员订阅特定消息类型（例如错误消息）的提醒或报告。

3.16.3. EMM 的控制台必须仅发送具有默认值或由管理员手动设置的值，方法是使用：

• 受管理配置 iframe，或
• 自定义界面。

3.17.1. 借助 EMM 控制台，IT 管理员可以使用以下方式分发 Web 应用的快捷方式：

• Google Play 企业版 iframe，
• 或 Android Management API。

此功能默认受支持。无需额外的 EMM 实现。

3.20.1. IT 管理员可以允许应用使用高优先级应用更新，以便在更新准备就绪时进行更新。 3.20.2. IT 管理员可以允许应用推迟应用更新 90 天。

3.22.1. 借助 EMM 控制台，IT 管理员可以使用必需的 API 将现有的 Google Play 企业版账号集升级为 Google 企业版域名。

3.23.1. EMM 可以根据已定义的实施指南预配受管理的 Google 账号。

这样一来：

• 向设备添加受管理的 Google 账号。
• 受管理的 Google 账号必须与 EMM 控制台中的实际用户一一对应。

3.23.2. IT 管理员可以使用此政策为用户提供登录受管理的 Google 账号以进行注册的选项。

3.23.3. IT 管理员可以使用此政策来控制用户是否必须登录受管理的 Google 账号才能完成注册。

3.24.1. IT 管理员可以将设备上现有的 Google Play 企业版账号升级为受管理的 Google 账号。

4.1.1. IT 管理员在为其组织设置默认运行时权限政策时，必须能够从以下选项中进行选择：

• 提示（允许用户选择）
• allow
• deny

4.3.1. SSID，使用政策。

IT 管理员可以在包含以下高级安全功能的设备上配置企业 Wi-Fi 配置：

4.4.1. 身份

4.4.2. 用于客户端授权的证书

4.4.3. CA 证书

4.5.1. IT 管理员可以使用政策锁定公司 Wi-Fi 配置，方法是采用以下任一配置：

• 用户无法修改 EMM 提供的任何 Wi-Fi 配置（前往 wifiConfigsLockdownEnabled），但可以添加和修改自己的用户可配置网络（例如个人网络）。
• 用户无法在设备上添加或修改任何 Wi-Fi 网络（前往 wifiConfigDisabled），从而将 Wi-Fi 连接限制为仅限 EMM 预配的网络。

4.6.1. IT 管理员可以禁止用户添加或修改账号（请参阅 modifyAccountsDisabled）。

• 在设备上强制执行此政策时，EMM 必须在完成配置之前设置此限制，以确保用户无法通过在政策生效之前添加账号来规避此政策。

4.8.1. IT 管理员可以根据用户，安装由其 PKI 生成的用户身份证书。EMM 的控制台必须与至少一个 PKI 集成，并分发从该基础架构生成的证书。

4.9.1. 对于分发到设备的任何应用，IT 管理员都可以指定应用在运行时将以静默方式获得访问权限的证书。（不支持此子功能）

• 证书选择必须足够通用，以便允许单个配置应用于所有用户，每个用户可能都有特定于用户的身份证书。

4.9.2. IT 管理员可以从受管理的密钥库中静默移除证书。

4.9.3. IT 管理员可以静默卸载 CA 证书。（不支持此子功能）

4.9.4. IT 管理员可以禁止用户在受管理的密钥库中配置凭据（前往 credentialsConfigDisabled）。

4.10.1. IT 管理员可以指定要设置为委托证书管理应用的证书管理软件包（前往 delegatedCertInstallerPackage）。

• EMM 可以选择性地建议已知的证书管理软件包，但必须允许 IT 管理员从可供安装的应用列表中为适用用户进行选择。

4.11.1. IT 管理员可以指定任意 VPN 软件包设置为“始终开启的 VPN”。

• EMM 的控制台可能会选择性地建议支持“始终开启的 VPN”的已知 VPN 软件包，但不能将可用于“始终开启”配置的 VPN 限制为任何任意列表。

4.12.1. IT 管理员可以设置任意长度的 IME 许可名单（前往 permitted_input_methods），其中可以包含任意 IME 软件包（包括空列表，用于屏蔽非系统 IME）。

• EMM 的控制台可以选择性地建议将已知或推荐的 IME 纳入许可名单，但必须允许 IT 管理员从可供安装的应用列表中为适用用户进行选择。

4.13.1. IT 管理员可以设置任意长度的 IME 许可名单（前往 permitted_input_methods）（空列表除外，空列表会屏蔽所有 IME，包括系统 IME），其中可以包含任何任意 IME 软件包。

• EMM 的控制台可以选择性地建议将已知或推荐的 IME 纳入许可名单，但必须允许 IT 管理员从可供安装的应用列表中为适用用户进行选择。

4.13.2. EMM 必须阻止 IT 管理员设置空白的许可名单，因为此设置会阻止在设备上设置所有 IME，包括系统 IME。

4.14.1. IT 管理员可以设置任意长度的无障碍服务许可名单（前往 permittedAccessibilityServices），其中可以包含任何任意无障碍服务软件包（包括空列表，用于阻止非系统无障碍服务）。如果将此设置应用于工作资料，则会同时影响个人资料和工作资料。

• 控制台可以选择性地建议将已知或推荐的无障碍服务纳入许可名单，但必须允许 IT 管理员从可供安装的应用列表中为适用用户进行选择。

4.15.1. IT 管理员可以停用工作资料中的位置信息服务（前往 shareLocationDisabled）。

4.16.1. IT 管理员可以将设备位置信息服务设置为以下任一模式：

• 高精确度。
• 仅限传感器，例如 GPS，但不包括网络提供的位置。
• 省电模式，可限制更新频率。
• 关闭。

4.17.1. IT 管理员可以禁止用户通过“设置”(factoryResetDisabled) 将设备恢复出厂设置。

4.17.2. IT 管理员可以指定有权在恢复出厂设置后配置设备的授权企业解锁账号（前往 frpAdminEmails）。

• 此账号可以与个人相关联，也可以供整个企业用于解锁设备。

4.17.3. IT 管理员可以为指定设备停用恢复出厂设置保护（前往 0 factoryResetDisabled）。

IT 管理员可以通过“设置”禁止用户卸载或以其他方式修改受管理的应用。例如，防止强制关闭应用或清除应用的数据缓存。

4.18.1. IT 管理员可以禁止卸载任何任意受管理的应用，也可以禁止卸载所有受管理的应用（前往 uninstallAppsDisabled）。

4.18.2. IT 管理员可以禁止用户通过“设置”修改应用数据。（Android Management API 不支持此子功能）

4.19.1. IT 管理员可以禁止用户截取屏幕截图（前往 screenCaptureDisabled）。

IT 管理员可以远程重启受管理的设备。

4.23.1. IT 管理员可以远程重启受管理的设备。

4.24.1. IT 管理员可以关闭服务提供商发送的手机广播（前往 cellBroadcastsConfigDisabled）。

4.24.2. IT 管理员可以禁止用户在“设置”（前往 mobileNetworksConfigDisabled）中修改移动网络设置。

4.24.3. IT 管理员可以禁止用户在“设置”中重置所有网络设置。（前往 networkResetDisabled）。

4.24.4. IT 管理员可以设置设备在漫游时是否允许使用移动数据网络（前往 dataRoamingDisabled）。

4.24.5. IT 管理员可以设置设备是否可以拨出电话（不包括紧急呼叫）（前往 outGoingCallsDisabled）。

4.24.6. IT 管理员可以设置设备是否可以发送和接收短信（请前往 smsDisabled）。

4.24.7. IT 管理员可以通过网络共享（前往 tetheringConfigDisabled）禁止用户将设备用作便携式热点。

4.24.8. IT 管理员可以将 Wi-Fi 超时设置为默认、插电时或从不。（Android Management API 不支持此子功能）

4.24.9. IT 管理员可以禁止用户设置或修改现有的蓝牙连接（前往 bluetoothConfigDisabled）。

IT 管理员可以以静默方式控制设备音频功能，包括将设备静音、禁止用户修改音量设置，以及禁止用户取消设备麦克风静音。

4.25.1. IT 管理员可以静默地将受管理的设备设为静音。 （Android Management API 不支持此子功能）

4.25.2. IT 管理员可以禁止用户修改设备音量设置（前往 adjustVolumeDisabled）。此操作还会使设备静音。

对于专用设备，IT 管理员可以使用政策管理以下功能，以支持各种自助服务终端使用情形。

4.27.1. IT 管理员可以关闭设备锁屏（前往 keyguardDisabled）。

4.27.2. IT 管理员可以关闭设备状态栏，从而屏蔽通知和“快捷设置”（前往 statusBarDisabled）。

4.27.3. IT 管理员可以强制设备在接通电源时保持屏幕开启状态（前往 stayOnPluggedModes）。

4.27.4. IT 管理员可以阻止显示以下系统界面（前往 createWindowsDisabled）：

• 消息框
• 应用叠加层。

4.27.5. IT 管理员可以允许系统在首次启动时跳过应用的用户教程和其他入门提示（前往 skip_first_use_hints）。

IT 管理员能够将额外的权限委托给各个软件包。

4.28.1. IT 管理员可以管理以下范围：

• 证书安装和管理
• 故意留空
• 网络日志记录
• 安全日志记录（不支持个人自有设备上的工作资料）

从 Android 12 开始，工作资料将无法再访问特定于硬件的标识符。IT 管理员可以通过注册专用 ID 跟踪具有工作资料的设备的生命周期，该 ID 在恢复出厂设置后仍会保留。

4.29.1. IT 管理员可以获取注册专用 ID

4.29.2. 此注册特定 ID 必须在恢复出厂设置后保持不变

4.30.1 IT 管理员可以使用政策阻止设备上（或工作资料内）的所有凭据管理器。

4.30.2 IT 管理员可以指定仅允许预加载的（系统应用）凭据管理器。

4.31.1 IT 管理员可以使用政策在设备上以静默方式配置 eSIM 卡配置文件。

4.31.2 IT 管理员可以使用政策从设备中删除受管理的 eSIM 卡。

4.31.3 IT 管理员可以禁止用户在“设置”中修改移动网络设置（前往 mobileNetworksConfigDisabled）。

4.31.4 IT 管理员可以远程向设备或工作资料发送清除命令。 此命令可以选择性地从设备中移除受管理的 eSIM 卡。默认情况下，受管理的 eSIM 卡会从个人自带设备上的工作资料中移除，但在公司自有设备上会保留。

4.31.5 IT 管理员可以使用 EMM 控制台界面（或等效方法）检索设备的 EID（嵌入式身份文档）标识符。

5.1.1. IT 管理员可以通过指定企业专用服务条款和其他免责声明来自定义配置流程（请前往 termsAndConditions）。

5.1.2. IT 管理员可以部署不可配置的 EMM 专用服务条款和其他免责声明（请参阅 termsAndConditions）。

• EMM 可以将其不可配置的 EMM 特定自定义项设置为部署的默认设置，但必须允许 IT 管理员设置自己的自定义项。

5.1.3. 对于 Android 10 及更高版本中的企业资源，primaryColor 已被弃用。

5.5.1. IT 管理员可以自定义简短和较长的面向用户的支持消息。

5.5.2. IT 管理员可以部署不可配置的、EMM 特有的短支持消息和长支持消息（请参阅 policies 中的 shortSupportMessage 和 longSupportMessage）。

• EMM 可以将其不可配置的 EMM 特定支持消息设置为部署的默认消息，但必须允许 IT 管理员设置自己的消息。

5.7.1. IT 管理员可以配置跨个人资料数据共享政策，以便个人应用可以解析工作资料中的 intent，例如共享 intent 或网页链接。

5.7.2. IT 管理员可以允许工作资料中的应用在个人资料的主屏幕上创建和显示 widget。此功能默认处于关闭状态，但可以使用 workProfileWidgets 和 workProfileWidgetsDefault 字段将其设置为允许。

5.8.1. EMM 的控制台允许 IT 管理员设置以下 OTA 配置：

• 自动：设备会在 OTA 更新推出时安装。
• 推迟：IT 管理员必须能够将 OTA 更新推迟最多 30 天。此政策不会影响安全更新（例如每月安全补丁）。
• 窗口化：IT 管理员必须能够在每日维护窗口内安排 OTA 更新。

5.9.1. 通过 EMM 的控制台，IT 管理员可以静默允许任意一组应用安装到设备并锁定到设备。政策允许设置专用设备。

5.10.1. IT 管理员可以为任何任意 intent 过滤器将任何软件包设置为默认 intent 处理程序。

• EMM 的控制台可能会选择性地建议用于配置的已知 intent 或推荐 intent，但不能将 intent 限制为任何任意列表。
• EMM 的控制台必须允许 IT 管理员从可供适用用户安装的应用列表中进行选择。

5.11.1.政策可以关闭以下设备锁屏功能：

• 可信代理
• 指纹解锁
• 未经过编辑的通知

5.11.2. 可以使用政策关闭工作资料的以下锁屏功能：

• 可信代理
• 指纹解锁

• 安全摄像头
• 所有通知
• 未隐去
• 可信代理
• 指纹解锁
• 所有锁屏功能

Android Management API 不支持此功能。

5.15.1. 静默允许单个应用安装并锁定到设备。

5.15.2. 开启或关闭以下系统界面功能：

• 主屏幕按钮
• 概览
• 全局操作
• 通知
• 系统信息 / 状态栏
• Keyguard（锁屏）。如果实现了 5.15.1，此子功能默认处于开启状态。

5.15.3. 关闭系统错误对话框。

5.17.1. IT 管理员可以提供要显示的自定义文本（前往 wipeReasonMessage），以便在工作资料被擦除时显示。

IT 管理员可以通过设置 ConnectedWorkAndPersonalApp 来指定可在工作资料边界之间通信的一系列软件包。