รายการฟีเจอร์ของ Android Enterprise

1.3.1. EMM ต้องใช้แท็ก NFC Forum ประเภท 2 ที่มีหน่วยความจำอย่างน้อย 888 ไบต์ การจัดสรรต้องใช้ส่วนเสริมการจัดสรรเพื่อส่งรายละเอียดการลงทะเบียนที่ไม่ละเอียดอ่อน เช่น รหัสเซิร์ฟเวอร์และรหัสลงทะเบียนไปยังอุปกรณ์ รายละเอียดการลงทะเบียนไม่ควรมีข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่านหรือใบรับรอง

1.3.2. เราขอแนะนำให้ใช้แท็ก NFC สำหรับ Android 10 ขึ้นไปเนื่องจากมีการเลิกใช้งาน NFC Beam (หรือที่เรียกว่า NFC Bump)

1.5.1. ผู้ดูแลระบบไอทีสามารถจัดสรรอุปกรณ์ของบริษัทโดยใช้วิธีการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่มตามที่ระบุไว้ในการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่มสำหรับผู้ดูแลระบบไอที

1.6.1. ผู้ดูแลระบบไอทีสามารถจัดสรรอุปกรณ์ของบริษัทได้โดยใช้วิธีการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม

1.6.2. ข้อกำหนดนี้เลิกใช้งานแล้ว

1.6.3. เมื่อใช้ URL การลงชื่อเข้าใช้ EMM ต้องตรวจสอบว่าผู้ใช้ที่ไม่ได้รับอนุญาตไม่สามารถดำเนินการเปิดใช้งานต่อได้ อย่างน้อยที่สุด จะต้องล็อกการเปิดใช้งานไว้เฉพาะกับผู้ใช้ขององค์กรที่ระบุ

1.6.4. เมื่อใช้ URL การลงชื่อเข้าใช้ EMM จะต้องให้ผู้ดูแลระบบไอทีป้อนรายละเอียดการลงทะเบียนล่วงหน้าได้ (เช่น รหัสเซิร์ฟเวอร์ รหัสการลงทะเบียน) นอกเหนือจากข้อมูลผู้ใช้หรืออุปกรณ์ที่ไม่ซ้ำกัน (เช่น ผู้ใช้/รหัสผ่าน โทเค็นการเปิดใช้งาน) เพื่อไม่ให้ผู้ใช้ต้องป้อนรายละเอียดเมื่อเปิดใช้งานอุปกรณ์

• EMM ต้องไม่มีข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่านหรือใบรับรอง ในการกำหนดค่าของการตั้งค่าอุปกรณ์พร้อมใช้

1.10.1. เว้นว่างไว้

1.10.2. ผู้ดูแลระบบไอทีสามารถตั้งค่าการดำเนินการเพื่อปฏิบัติตามข้อกำหนดสำหรับโปรไฟล์งานในอุปกรณ์ของบริษัทผ่านPersonalUsagePolicies

1.10.3. ผู้ดูแลระบบไอทีสามารถปิดใช้งานกล้องในโปรไฟล์งานหรือทั้งอุปกรณ์ได้ผ่านทาง PersonalUsagePolicies

1.10.4. ผู้ดูแลระบบไอทีสามารถปิดใช้งานการจับภาพหน้าจอในโปรไฟล์งานหรือทั้งอุปกรณ์ผ่าน PersonalUsagePolicies

1.10.5. ผู้ดูแลระบบไอทีตั้งค่ารายการที่อนุญาตหรือรายการแอปพลิเคชันที่บล็อกซึ่งติดตั้งในโปรไฟล์ส่วนตัวได้หรือไม่ได้ผ่านทาง PersonalApplicationPolicy

2.1.1. นโยบาย ต้องบังคับใช้การตั้งค่าเพื่อจัดการคำถามเพื่อความปลอดภัยของอุปกรณ์ (parentProfilePasswordRequirements สำหรับโปรไฟล์งาน ข้อกำหนดด้านรหัสผ่านสำหรับอุปกรณ์ที่มีการจัดการครบวงจรและอุปกรณ์เฉพาะ)

2.1.2. ความซับซ้อนของรหัสผ่านควรจับคู่กับความซับซ้อนของรหัสผ่านต่อไปนี้

1. PASSWORD_COMPLEXITY_LOW - รูปแบบหรือ PIN ที่มีลำดับซ้ำกัน (4444) หรือลำดับ (1234, 4321, 2468)
2. PASSWORD_COMPLEXITY_MEDIUM - PIN ที่ไม่มีตัวเลขที่ซ้ำกัน (4444) หรือตัวเลขที่เรียงลําดับ (1234, 4321, 2468) รหัสผ่านตัวอักษร หรือรหัสผ่านตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 4
3. PASSWORD_COMPLEXITY_HIGH - PIN ที่ไม่มีตัวเลขที่ซ้ำกัน (4444) หรือตัวเลขที่เรียงลําดับ (1234, 4321, 2468) และมีความยาวอย่างน้อย 8 หรือรหัสผ่านตัวอักษรหรือตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 6

2.1.3. นอกจากนี้ คุณยังบังคับใช้ข้อจำกัดเพิ่มเติมเกี่ยวกับรหัสผ่านเป็นการตั้งค่าเดิมในอุปกรณ์ของบริษัทได้ด้วย

2.2.1. นโยบาย ต้องบังคับใช้ข้อกำหนดเพื่อความปลอดภัยสำหรับโปรไฟล์งาน

1. โดยค่าเริ่มต้น ผู้ดูแลระบบไอทีควรกำหนดข้อจำกัดสำหรับโปรไฟล์งานเท่านั้นหากไม่มีการระบุขอบเขต
2. ผู้ดูแลระบบไอทีสามารถตั้งค่านี้ในอุปกรณ์ทั้งหมดโดยระบุขอบเขต (ดูข้อกำหนด 2.1)

2.2.2. ความซับซ้อนของรหัสผ่านควรสอดคล้องกับความซับซ้อนของรหัสผ่านที่กำหนดไว้ล่วงหน้าต่อไปนี้

1. PASSWORD_COMPLEXITY_LOW - รูปแบบหรือ PIN ที่มีลำดับซ้ำกัน (4444) หรือลำดับ (1234, 4321, 2468)
2. PASSWORD_COMPLEXITY_MEDIUM - PIN ที่ไม่มีตัวเลขที่ซ้ำกัน (4444) หรือตัวเลขที่เรียงลําดับ (1234, 4321, 2468) รหัสผ่านตัวอักษร หรือรหัสผ่านตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 4
3. PASSWORD_COMPLEXITY_HIGH - PIN ที่ไม่มีตัวเลขที่ซ้ำกัน (4444) หรือตัวเลขที่เรียงลําดับ (1234, 4321, 2468) และมีความยาวอย่างน้อย 8 หรือรหัสผ่านตัวอักษรหรือตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 6

2.3.1. จงใจเว้นว่างไว้

2.3.2. เว้นว่างไว้

2.3.3. คุณตั้งการตั้งค่าวงจรการใช้งานรหัสผ่านต่อไปนี้สำหรับหน้าจอล็อกแต่ละหน้าจอที่มีในอุปกรณ์ได้

1. จงใจเว้นว่าง
2. จงใจเว้นว่าง
3. จำนวนครั้งที่ป้อนรหัสผ่านไม่สำเร็จสูงสุดสำหรับการล้างข้อมูล: ระบุจำนวนครั้งที่ผู้ใช้ป้อนรหัสผ่านที่ไม่ถูกต้องได้ก่อนที่จะมีการล้างข้อมูลของบริษัทออกจากอุปกรณ์ ผู้ดูแลระบบไอทีต้องปิดฟีเจอร์นี้ได้

2.3.4. (Android 8.0 ขึ้นไป) หมดเวลาต้องมีการตรวจสอบสิทธิ์แบบเข้มงวด: ต้องป้อนรหัสผ่านในการตรวจสอบสิทธิ์ที่รัดกุม (เช่น PIN หรือรหัสผ่าน) หลังจากระยะหมดเวลาที่ผู้ดูแลระบบไอทีกําหนด หลังจากหมดเวลาแล้ว ระบบจะปิดวิธีการตรวจสอบสิทธิ์ที่ไม่รัดกุม (เช่น ลายนิ้วมือ การปลดล็อกด้วยใบหน้า) ไว้จนกว่าจะปลดล็อกอุปกรณ์ด้วยรหัสผ่านการตรวจสอบสิทธิ์ที่รัดกุม

2.5.1. อุปกรณ์ต้องล็อกโดยใช้ Android Management API

2.7.1. การติดตั้งแอปจากแหล่งที่มาที่ไม่รู้จักจะต้องถูกบล็อก รวมถึงแอปที่ติดตั้งในฝั่งส่วนตัวของอุปกรณ์ Android 8.0 ขึ้นไปที่มีโปรไฟล์งาน ฟีเจอร์ย่อยนี้รองรับโดยค่าเริ่มต้น

ผู้ดูแลระบบไอทีสามารถเปิดยืนยันแอปในอุปกรณ์ได้ ฟีเจอร์ยืนยันแอปจะสแกนแอปที่ติดตั้งในอุปกรณ์ Android เพื่อหาซอฟต์แวร์ที่เป็นอันตรายทั้งก่อนและหลังการติดตั้ง ซึ่งช่วยให้มั่นใจได้ว่าแอปที่เป็นอันตรายจะไม่สามารถเข้าถึงข้อมูลของบริษัทได้

2.12.1. ผู้ดูแลระบบไอทีสามารถบล็อกไม่ให้ผู้ใช้ต่อเชื่อมสื่อภายนอกแบบมีตัวตนได้โดยใช้นโยบาย (ไปที่ mountPhysicalMediaDisabled)

2.12.2. ผู้ดูแลระบบไอทีสามารถบล็อกไม่ให้ผู้ใช้แชร์ข้อมูลจากอุปกรณ์โดยใช้โหมดแผ่รังสี NFC โดยใช้นโยบาย (ไปที่ outgoingBeamDisabled) ฟีเจอร์ย่อยนี้ไม่บังคับเนื่องจาก Android 10 ขึ้นไปไม่รองรับฟังก์ชันโหมดแผ่รังสี NFC อีกต่อไป

3.1.1. ผู้ดูแลระบบที่มีโดเมน Google ที่มีการจัดการอยู่แล้วสามารถเชื่อมโยงโดเมนกับ EMM ได้

3.1.2. เว้นว่างไว้

3.1.3. เว้นว่างไว้

3.1.4. คอนโซล EMM จะแนะนำผู้ดูแลระบบให้ป้อนอีเมลที่ทำงานในขั้นตอนการลงชื่อสมัครใช้ Android และไม่สนับสนุนให้ใช้บัญชี Gmail

3.1.5. EMM จะกรอกอีเมลของผู้ดูแลระบบในขั้นตอนการลงชื่อสมัครใช้ Android ล่วงหน้า

3.2.1. ระบบจะสร้างบัญชี Managed Google Play (บัญชีผู้ใช้) โดยอัตโนมัติเมื่อจัดสรรอุปกรณ์

Android Management API รองรับฟีเจอร์นี้โดยค่าเริ่มต้น ไม่ต้องมีการติดตั้งใช้งานเพิ่มเติม

3.3.1. ระบบจะสร้างบัญชี Managed Google Play โดยอัตโนมัติเมื่อจัดสรรอุปกรณ์

Android Management API รองรับฟีเจอร์นี้โดยค่าเริ่มต้น โดยที่คุณไม่ต้องติดตั้งใช้งานเพิ่มเติม

3.5.1. คอนโซลของ EMM ต้องใช้ Android Management API เพื่ออนุญาตให้ผู้ดูแลระบบไอทีติดตั้งแอปงานในอุปกรณ์ที่มีการจัดการ

3.5.2. คอนโซลของ EMM ต้องใช้ Android Management API เพื่ออนุญาตให้ผู้ดูแลระบบไอทีอัปเดตแอปงานในอุปกรณ์ที่มีการจัดการ

ผู้ดูแลระบบไอทีสามารถดูและตั้งค่าการกำหนดค่าที่มีการจัดการโดยอัตโนมัติสำหรับแอปที่รองรับการกำหนดค่าที่มีการจัดการ

3.6.1. คอนโซลของ EMM ต้องเรียกข้อมูลและแสดงการตั้งค่าการกำหนดค่าที่มีการจัดการของแอป Play ได้

3.6.2. คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าประเภทการกำหนดค่าสำหรับแอป Play ใดก็ได้ (ตามที่กำหนดโดยเฟรมเวิร์ก Android Enterprise) โดยใช้ Android Management API

3.9.1. คอนโซลของ EMM ควรอนุญาตให้ผู้ดูแลระบบไอทีจัดการแอปที่แสดงในเลย์เอาต์ Store พื้นฐานของผู้ใช้ปลายทาง

3.12.1. ผู้ดูแลระบบไอทีสามารถอัปโหลดแอปเวอร์ชันใหม่ที่เผยแพร่แล้วแบบส่วนตัวไปยังองค์กรได้โดยใช้สิ่งต่อไปนี้

3.13.1. คอนโซลของ EMM ต้องช่วยให้ผู้ดูแลระบบไอทีโฮสต์ APK ของแอปได้โดยเสนอตัวเลือกต่อไปนี้ทั้ง 2 รายการ

• โฮสต์ APK บนเซิร์ฟเวอร์ของ EMM เซิร์ฟเวอร์อาจเป็นเซิร์ฟเวอร์ภายในองค์กรหรือเซิร์ฟเวอร์ระบบคลาวด์ก็ได้
• การโฮสต์ APK ภายนอกเซิร์ฟเวอร์ของ EMM ตามที่องค์กรพิจารณาเห็นสมควร ผู้ดูแลระบบไอทีต้องระบุในคอนโซล EMM ว่าโฮสต์ APK ไว้ที่ใด

3.13.2. คอนโซลของ EMM จะต้องสร้างไฟล์คําจํากัดความ APK ที่เหมาะสมโดยใช้ APK ที่ระบุ และจะต้องแนะนําผู้ดูแลระบบไอทีตลอดกระบวนการเผยแพร่

3.13.3. ผู้ดูแลระบบไอทีจะอัปเดตแอปส่วนตัวที่โฮสต์ด้วยตนเองได้ และคอนโซลของ EMM สามารถเผยแพร่ไฟล์การกำหนด APK ที่อัปเดตได้อย่างเงียบๆ โดยใช้ API การเผยแพร่สำหรับนักพัฒนาแอป Google Play

3.13.4. เซิร์ฟเวอร์ของ EMM จะให้บริการคำขอดาวน์โหลดสำหรับ APK ที่โฮสต์เองซึ่งมี JWT ที่ถูกต้องภายในคุกกี้ของคำขอ ตามที่ยืนยันโดยคีย์สาธารณะของแอปส่วนตัว

• เซิร์ฟเวอร์ของ EMM ต้องแนะนำผู้ดูแลระบบไอทีให้ดาวน์โหลดคีย์สาธารณะของใบอนุญาตของแอปที่โฮสต์เองจาก Google Play Console และอัปโหลดคีย์นี้ไปยังคอนโซล EMM เพื่อให้กระบวนการนี้สะดวกขึ้น

3.15.1. EMM ต้องเป็นไปตามขีดจำกัดการใช้งาน Android Management API การไม่แก้ไขลักษณะการทำงานที่เกินหลักเกณฑ์เหล่านี้อาจส่งผลให้มีการระงับการใช้ API โดย Google จะเป็นผู้พิจารณา

3.15.2. EMM ควรกระจายการเข้าชมจากองค์กรต่างๆ ตลอดทั้งวัน แทนที่จะรวมการเข้าชมขององค์กรในเวลาที่เจาะจงหรือคล้ายกัน ลักษณะการทำงานที่ตรงกับรูปแบบการเข้าชมนี้ เช่น การดำเนินการแบบเป็นกลุ่มตามกำหนดเวลาสำหรับอุปกรณ์แต่ละเครื่องที่ลงทะเบียนไว้ อาจส่งผลให้มีการระงับการใช้ API โดย Google จะเป็นผู้พิจารณา

3.15.3. EMM ไม่ควรส่งคำขอที่ไม่สอดคล้องกัน ไม่สมบูรณ์ หรือจงใจให้ไม่ถูกต้อง ซึ่งไม่ได้พยายามดึงข้อมูลหรือจัดการข้อมูลจริงขององค์กร ลักษณะการทำงานที่ตรงกับรูปแบบการรับส่งข้อมูลนี้อาจส่งผลให้การใช้ API ถูกระงับได้ โดย Google จะพิจารณาตามที่เห็นสมควร

3.16.1. คอนโซลของ EMM ต้องดึงข้อมูลและแสดงการตั้งค่าการกำหนดค่าที่มีการจัดการสูงสุด 4 ระดับที่ซ้อนกันของแอป Play โดยใช้สิ่งต่อไปนี้

• iframe ของ Managed Google Play หรือ
• UI ที่กำหนดเอง

3.16.2. คอนโซลของ EMM ต้องสามารถเรียกข้อมูลและแสดงความคิดเห็นที่ช่องทางแสดงความคิดเห็นของแอปส่งคืนได้ เมื่อผู้ดูแลระบบไอทีเป็นผู้ตั้งค่า

• คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีเชื่อมโยงรายการความคิดเห็นที่เฉพาะเจาะจงกับอุปกรณ์และแอปที่เป็นแหล่งที่มาของความคิดเห็น
• คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีสมัครรับการแจ้งเตือนหรือรายงานของข้อความประเภทที่เฉพาะเจาะจง (เช่น ข้อความแสดงข้อผิดพลาด)

3.16.3. คอนโซลของ EMM ต้องส่งเฉพาะค่าที่มีค่าเริ่มต้นหรือผู้ดูแลระบบเป็นผู้ตั้งค่าด้วยตนเองโดยใช้

• iframe การกำหนดค่าที่มีการจัดการ หรือ
• UI ที่กําหนดเอง

3.17.1. คอนโซล EMM ช่วยให้ผู้ดูแลระบบไอทีสามารถเผยแพร่ทางลัดไปยังเว็บแอปได้โดยใช้สิ่งต่อไปนี้

• iframe ของ Managed Google Play
• หรือ Android Management API

ระบบรองรับฟีเจอร์นี้โดยค่าเริ่มต้น โดยไม่จำเป็นต้องใช้งาน EMM เพิ่มเติม

3.20.1. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปใช้การอัปเดตแอปที่มีลําดับความสําคัญสูงเพื่ออัปเดตเมื่อการอัปเดตพร้อมใช้งาน 3.20.2. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปเลื่อนการอัปเดตแอปเป็นเวลา 90 วัน

4.1.1. ผู้ดูแลระบบไอทีต้องเลือกจากตัวเลือกต่อไปนี้เมื่อตั้งค่านโยบายสิทธิ์รันไทม์เริ่มต้นสําหรับองค์กร

• ข้อความแจ้ง (อนุญาตให้ผู้ใช้เลือก)
• allow
• ปฏิเสธ

4.3.1. SSID โดยใช้นโยบาย

ผู้ดูแลระบบไอทีสามารถจัดสรรการกำหนดค่า Wi-Fi สำหรับองค์กรในอุปกรณ์ที่มีฟีเจอร์การรักษาความปลอดภัยขั้นสูงต่อไปนี้

4.4.1. Identity

4.4.2. ใบรับรองสำหรับการให้สิทธิ์ไคลเอ็นต์

4.4.3. ใบรับรอง CA

4.5.1. ผู้ดูแลระบบไอทีสามารถล็อกการกำหนดค่า Wi-Fi ขององค์กรโดยใช้นโยบายในการกำหนดค่าอย่างใดอย่างหนึ่งต่อไปนี้

• ผู้ใช้จะแก้ไขการกำหนดค่า Wi-Fi ที่ EMM จัดสรรไม่ได้ (ไปที่ wifiConfigsLockdownEnabled) แต่อาจเพิ่มและแก้ไขเครือข่ายที่ผู้ใช้กำหนดค่าเองได้ (เช่น เครือข่ายส่วนตัว)
• ผู้ใช้จะเพิ่มหรือแก้ไขเครือข่าย Wi-Fi ในอุปกรณ์ไม่ได้ (ไปที่ wifiConfigDisabled) ซึ่งจะจำกัดการเชื่อมต่อ Wi-Fi ไว้เฉพาะเครือข่ายที่ EMM จัดสรรไว้เท่านั้น

4.6.1. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้เพิ่มหรือแก้ไขบัญชีได้ (ดู modifyAccountsDisabled)

• เมื่อบังคับใช้นโยบายนี้ในอุปกรณ์ EMM จะต้องตั้งค่าข้อจำกัดนี้ก่อนที่จะจัดสรรให้เสร็จสมบูรณ์ เพื่อให้มั่นใจว่าผู้ใช้ไม่สามารถหลบเลี่ยงนโยบายนี้ด้วยการเพิ่มบัญชีก่อนที่นโยบายจะมีผล

4.8.1. ผู้ดูแลระบบไอทีสามารถติดตั้งใบรับรองข้อมูลประจำตัวของผู้ใช้ที่ PKI สร้างขึ้นต่อผู้ใช้แต่ละราย คอนโซลของ EMM ต้องผสานรวมกับ PKI อย่างน้อย 1 รายการ และกระจายใบรับรองที่สร้างขึ้นจากโครงสร้างพื้นฐานนั้น

4.9.1. สำหรับแอปที่เผยแพร่ไปยังอุปกรณ์ ผู้ดูแลระบบไอทีสามารถระบุใบรับรองที่แอปจะมีสิทธิ์เข้าถึงแบบเงียบระหว่างรันไทม์ (ไม่รองรับฟีเจอร์ย่อยนี้)

• การเลือกใบรับรองต้องเป็นแบบทั่วไปพอที่จะใช้การกําหนดค่าเดียวกับผู้ใช้ทุกคน ซึ่งผู้ใช้แต่ละรายอาจมีใบรับรองระบุตัวตนเฉพาะผู้ใช้

4.9.2. ผู้ดูแลระบบไอทีจะนำใบรับรองออกจากคีย์สโตร์ที่มีการจัดการได้

4.9.3. ผู้ดูแลระบบไอทีสามารถถอนการติดตั้งใบรับรอง CA โดยที่ผู้ใช้ไม่รู้ตัว (ระบบไม่รองรับฟีเจอร์ย่อยนี้)

4.9.4. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้กำหนดค่าข้อมูลเข้าสู่ระบบ (ไปที่ credentialsConfigDisabled) ในคีย์สโตร์ที่จัดการได้

4.10.1. ผู้ดูแลระบบไอทีสามารถระบุแพ็กเกจการจัดการใบรับรอง (ไปที่ delegatedCertInstallerPackage) เพื่อตั้งค่าเป็นแอปการจัดการใบรับรองที่มอบสิทธิ์

• EMM อาจแนะนำแพ็กเกจการจัดการใบรับรองที่รู้จัก (ไม่บังคับ) แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง

4.11.1. ผู้ดูแลระบบไอทีสามารถระบุแพ็กเกจ VPN ที่ต้องการเพื่อตั้งค่าเป็น VPN แบบเปิดตลอดเวลา

• คอนโซลของ EMM อาจแนะนำแพ็กเกจ VPN ที่รู้จักซึ่งรองรับ VPN แบบเปิดตลอดเวลา แต่ไม่สามารถจำกัด VPN ที่พร้อมใช้งานสำหรับการกำหนดค่า "เปิดใช้งาน VPN เสมอ" ให้เป็นรายการที่กำหนดเอง

4.12.1. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่อนุญาต IME (ไปที่ permitted_input_methods) ให้มีความยาวเท่าใดก็ได้ (รวมถึงรายการว่าง ซึ่งจะบล็อก IME ที่ไม่ใช่ระบบ) ซึ่งอาจมีแพ็กเกจ IME ใดก็ได้

• คอนโซลของ EMM อาจแนะนำ IME ที่รู้จักหรือแนะนำให้รวมไว้ในรายการที่อนุญาต แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง

4.13.1. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่อนุญาต IME (ไปที่ permitted_input_methods) ที่มีความยาวที่กำหนดเอง (ไม่รวมรายการที่ว่างเปล่า ซึ่งจะบล็อก IME ทั้งหมด รวมถึง IME ของระบบ) ซึ่งอาจมีแพ็กเกจ IME ใดก็ได้ที่กำหนดเอง

• คอนโซลของ EMM อาจแนะนำ IME ที่รู้จักหรือแนะนำให้รวมไว้ในรายการที่อนุญาต แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง

4.13.2. EMM ต้องป้องกันไม่ให้ผู้ดูแลระบบไอทีสร้างรายการที่อนุญาตที่ว่างเปล่า เนื่องจากการตั้งค่านี้จะบล็อก IME ทั้งหมด รวมถึง IME ของระบบไม่ให้ตั้งค่าในอุปกรณ์

4.14.1. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่อนุญาตบริการการช่วยเหลือพิเศษ (ไปที่ permittedAccessibilityServices) ให้มีความยาวเท่าใดก็ได้ (รวมถึงรายการว่าง ซึ่งจะบล็อกบริการการช่วยเหลือพิเศษที่ไม่ใช่ระบบ) ซึ่งอาจมีแพ็กเกจบริการการช่วยเหลือพิเศษใดก็ได้ เมื่อใช้กับโปรไฟล์งาน การตั้งค่านี้จะส่งผลต่อทั้งโปรไฟล์ส่วนตัวและโปรไฟล์งาน

• Console อาจแนะนำบริการช่วยเหลือพิเศษที่ทราบหรือแนะนำเพื่อรวมไว้ในรายการที่อนุญาตได้ แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง

4.15.1. ผู้ดูแลระบบไอทีสามารถปิดใช้บริการหาตำแหน่ง (ไปที่ shareLocationDisabled) ภายในโปรไฟล์งาน

4.16.1. ผู้ดูแลระบบไอทีสามารถตั้งค่าบริการตำแหน่งของอุปกรณ์เป็นโหมดต่อไปนี้

• ความแม่นยำสูง
• เซ็นเซอร์เท่านั้น เช่น GPS แต่ไม่รวมตำแหน่งที่ระบุโดยเครือข่าย
• โหมดประหยัดแบตเตอรี่ ซึ่งจำกัดความถี่ในการอัปเดต
• ปิด

4.17.1. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้รีเซ็ตอุปกรณ์เป็นค่าเริ่มต้น (ไปที่ factoryResetDisabled) จากการตั้งค่า

4.17.2. ผู้ดูแลระบบไอทีสามารถระบุบัญชีปลดล็อกของบริษัทที่ได้รับอนุญาตให้จัดสรรอุปกรณ์ (ไปที่ frpAdminEmails) หลังจากรีเซ็ตเป็นค่าเริ่มต้น

• บัญชีนี้อาจเชื่อมโยงกับบุคคลธรรมดา หรือใช้โดยทั้งองค์กรเพื่อปลดล็อกอุปกรณ์ก็ได้

4.17.3. ผู้ดูแลระบบไอทีสามารถปิดใช้การป้องกันการรีเซ็ตเป็นค่าเริ่มต้นได้ (ไปที่0 factoryResetDisabled) สำหรับอุปกรณ์ที่ระบุ

ผู้ดูแลระบบไอทีป้องกันไม่ให้ผู้ใช้ถอนการติดตั้งหรือแก้ไขแอปที่มีการจัดการได้ผ่านการตั้งค่า เช่น การป้องกันการบังคับปิดแอปหรือล้างแคชข้อมูลของแอป

4.18.1. ผู้ดูแลระบบไอทีสามารถบล็อกการถอนการติดตั้งแอปที่จัดการแบบกำหนดเองหรือแอปที่จัดการทั้งหมด (ไปที่ uninstallAppsDisabled)

4.18.2. ผู้ดูแลระบบไอทีป้องกันไม่ให้ผู้ใช้แก้ไขข้อมูลแอปพลิเคชันจากการตั้งค่าได้ (Android Management API ไม่รองรับฟีเจอร์ย่อยนี้)

4.19.1. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้จับภาพหน้าจอได้ (ไปที่ screenCaptureDisabled)

ผู้ดูแลระบบไอทีสามารถรีสตาร์ทอุปกรณ์ที่มีการจัดการจากระยะไกลได้

4.23.1. ผู้ดูแลระบบไอทีสามารถรีบูตจากระยะไกลอุปกรณ์ที่มีการจัดการได้

4.24.1. ผู้ดูแลระบบไอทีสามารถปิดการออกอากาศจากเครือข่ายมือถือที่ส่งโดยผู้ให้บริการ (ไปที่ cellBroadcastsConfigDisabled)

4.24.2. ผู้ดูแลระบบไอทีป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าเครือข่ายมือถือได้ในการตั้งค่า (ไปที่ mobileNetworksConfigDisabled)

4.24.3. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้รีเซ็ตการตั้งค่าเครือข่ายทั้งหมดได้ในการตั้งค่า (ไปที่ networkResetDisabled)

4.24.4. ผู้ดูแลระบบไอทีสามารถตั้งค่าได้ว่าจะให้อุปกรณ์อนุญาตอินเทอร์เน็ตมือถือขณะโรมมิ่งหรือไม่ (ไปที่ dataRoamingDisabled)

4.24.5. ผู้ดูแลระบบไอทีสามารถตั้งค่าได้ว่าจะให้อุปกรณ์โทรออกได้หรือไม่ ยกเว้นการโทรฉุกเฉิน (ไปที่ outGoingCallsDisabled)

4.24.6. ผู้ดูแลระบบไอทีสามารถตั้งค่าได้ว่าจะให้อุปกรณ์ส่งและรับข้อความได้หรือไม่ (ไปที่ smsDisabled)

4.24.7. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้ใช้อุปกรณ์เป็นฮอตสปอตแบบพกพาด้วยการเทอร์เทอร์ (ไปที่ tetheringConfigDisabled)

4.24.8. ผู้ดูแลระบบไอทีสามารถตั้งค่าการหมดเวลาของ Wi-Fi เป็นค่าเริ่มต้น ขณะเสียบปลั๊ก หรือไม่เคย (Android Management API ไม่รองรับฟีเจอร์ย่อยนี้)

4.24.9. ผู้ดูแลระบบไอทีป้องกันไม่ให้ผู้ใช้ตั้งค่าหรือแก้ไขการเชื่อมต่อบลูทูธที่มีอยู่ได้ (ไปที่ bluetoothConfigDisabled)

ผู้ดูแลระบบไอทีสามารถควบคุมฟีเจอร์เสียงของอุปกรณ์แบบเงียบ ซึ่งรวมถึงการปิดเสียงอุปกรณ์ การป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าระดับเสียง และการป้องกันไม่ให้ผู้ใช้เลิกปิดเสียงไมโครโฟนของอุปกรณ์

4.25.1. ผู้ดูแลระบบไอทีสามารถปิดเสียงอุปกรณ์ที่มีการจัดการโดยไม่มีเสียง (Android Management API ไม่รองรับฟีเจอร์ย่อยนี้)

4.25.2. ผู้ดูแลระบบไอทีป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าระดับเสียงของอุปกรณ์ได้ (ไปที่ adjustVolumeDisabled) ซึ่งจะเป็นการปิดเสียงอุปกรณ์ด้วย

สำหรับอุปกรณ์เฉพาะ ผู้ดูแลระบบไอทีสามารถจัดการฟีเจอร์ต่อไปนี้โดยใช้นโยบายเพื่อรองรับกรณีการใช้งานคีออสก์ที่หลากหลาย

4.27.1. ผู้ดูแลระบบไอทีสามารถปิดการล็อกคีย์อุปกรณ์ได้ (ไปที่keyguardDisabled)

4.27.2. ผู้ดูแลระบบไอทีสามารถปิดแถบสถานะของอุปกรณ์ การบล็อกการแจ้งเตือน และการตั้งค่าด่วน (ไปที่ statusBarDisabled)

4.27.3. ผู้ดูแลระบบไอทีสามารถบังคับให้หน้าจอของอุปกรณ์เปิดอยู่ขณะที่เสียบปลั๊กอุปกรณ์ (ไปที่ stayOnPluggedModes)

4.27.4. ผู้ดูแลระบบไอทีป้องกันไม่ให้ระบบแสดง UI ของระบบต่อไปนี้ (ไปที่ createWindowsDisabled)

• ข้อความโทสต์
• การซ้อนทับแอปพลิเคชัน

4.27.5. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปต่างๆ ข้ามบทแนะนำและคำแนะนำอื่นๆ ของระบบในการเริ่มต้นใช้งานครั้งแรกได้ (ไปที่ skip_first_use_hints)

ผู้ดูแลระบบไอทีสามารถมอบสิทธิ์เพิ่มเติมให้กับแต่ละแพ็กเกจได้

4.28.1. ผู้ดูแลระบบไอทีจะจัดการขอบเขตต่อไปนี้ได้

• การติดตั้งและการจัดการใบรับรอง
• จงใจเว้นว่าง
• การบันทึกกิจกรรมของเครือข่าย
• การบันทึกความปลอดภัย (ไม่รองรับโปรไฟล์งานในอุปกรณ์ส่วนตัว)

ตั้งแต่ Android 12 เป็นต้นไป โปรไฟล์งานจะไม่มีสิทธิ์เข้าถึงตัวระบุเฉพาะฮาร์ดแวร์อีกต่อไป ผู้ดูแลระบบไอทีสามารถติดตามวงจรชีวิตของอุปกรณ์ที่มีโปรไฟล์งานผ่านรหัสเฉพาะการลงทะเบียน ซึ่งจะยังคงอยู่แม้จะมีการรีเซ็ตเป็นค่าเริ่มต้น

4.29.1. ผู้ดูแลระบบไอทีสามารถรับรหัสเฉพาะการลงทะเบียนได้

4.29.2. รหัสเฉพาะสำหรับการลงทะเบียนนี้ต้องคงอยู่หลังจากการรีเซ็ตเป็นค่าเริ่มต้น

5.1.1. ผู้ดูแลระบบไอทีสามารถปรับแต่งกระบวนการจัดสรรได้โดยระบุข้อกำหนดในการให้บริการและข้อจำกัดความรับผิดอื่นๆ ที่เจาะจงสำหรับองค์กร (ไปที่ termsAndConditions)

5.1.2. ผู้ดูแลระบบไอทีสามารถติดตั้งใช้งานข้อกำหนดในการให้บริการเฉพาะของ EMM ที่กำหนดค่าไม่ได้ รวมถึงข้อจำกัดความรับผิดอื่นๆ ได้ (ไปที่ termsAndConditions)

• EMM อาจตั้งค่าการปรับแต่งเฉพาะ EMM ที่ไม่สามารถกําหนดค่าได้เป็นค่าเริ่มต้นสําหรับการติดตั้งใช้งาน แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าการปรับแต่งของตนเอง

5.1.3. primaryColor เลิกใช้งานแล้วสำหรับทรัพยากรขององค์กรใน Android 10 ขึ้นไป

5.5.1. ผู้ดูแลระบบไอทีสามารถปรับแต่งข้อความสนับสนุนที่แสดงต่อผู้ใช้แบบสั้นและแบบยาวได้

5.5.2. ผู้ดูแลระบบไอทีสามารถติดตั้งใช้งานข้อความการสนับสนุนแบบสั้นและแบบยาวสำหรับ EMM โดยเฉพาะซึ่งไม่สามารถกำหนดค่าได้ (ไปที่ shortSupportMessage และ longSupportMessage ใน policies)

• EMM อาจตั้งค่าข้อความการสนับสนุนเฉพาะของ EMM ที่กำหนดค่าไม่ได้เป็นค่าเริ่มต้นสำหรับการทำให้ใช้งานได้ แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าข้อความของตนเอง

5.7.1. ผู้ดูแลระบบไอทีสามารถกำหนดค่านโยบายการแชร์ข้อมูลข้ามโปรไฟล์เพื่อให้แอปส่วนตัวสามารถแก้ไข Intent จากโปรไฟล์งานได้ เช่น การแชร์ Intent หรือเว็บลิงก์

5.7.2. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปพลิเคชันจากโปรไฟล์งานสร้างและแสดงวิดเจ็ตบนหน้าจอหลักของโปรไฟล์ส่วนตัวได้ ความสามารถนี้จะปิดอยู่โดยค่าเริ่มต้น แต่สามารถตั้งค่าให้อนุญาตได้โดยใช้ช่อง workProfileWidgets และ workProfileWidgetsDefault

5.8.1. คอนโซลของ EMM ช่วยให้ผู้ดูแลระบบไอทีตั้งการกำหนดค่า OTA ต่อไปนี้ได้

• อัตโนมัติ: อุปกรณ์จะติดตั้งการอัปเดต OTA เมื่อพร้อมใช้งาน
• เลื่อน: ผู้ดูแลระบบไอทีต้องสามารถเลื่อนการอัปเดต OTA ได้สูงสุด 30 วัน นโยบายนี้ไม่มีผลกับการอัปเดตความปลอดภัย (เช่น แพตช์ด้านความปลอดภัยรายเดือน)
• กำหนดเวลาได้: ผู้ดูแลระบบไอทีต้องกำหนดเวลาอัปเดต OTA ภายในช่วงเวลาบำรุงรักษาประจำวันได้

5.9.1. คอนโซลของ EMM ช่วยให้ผู้ดูแลระบบไอทีสามารถอนุญาตแอปชุดใดก็ได้ให้ติดตั้งและล็อกลงในอุปกรณ์โดยอัตโนมัติ นโยบายอนุญาตให้ตั้งค่าอุปกรณ์เฉพาะ

5.10.1. ผู้ดูแลระบบไอทีสามารถตั้งค่าแพ็กเกจใดก็ได้เป็นเครื่องจัดการ Intent เริ่มต้นสำหรับตัวกรอง Intent ที่กำหนดเอง

• คอนโซลของ EMM อาจแนะนำ Intent ที่รู้จักหรือแนะนำสำหรับการกำหนดค่า แต่ไม่สามารถจํากัด Intent ไว้ที่รายการใดก็ได้
• คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง

5.11.1.นโยบาย สามารถปิดฟีเจอร์การป้องกันด้วยปุ่มบนอุปกรณ์ต่อไปนี้

• เอเจนต์ความน่าเชื่อถือ
• การปลดล็อกด้วยลายนิ้วมือ
• การแจ้งเตือนที่ไม่มีการปกปิด

5.11.2. คุณสามารถปิดฟีเจอร์การป้องกันด้วยปุ่มกดต่อไปนี้ของโปรไฟล์งานได้โดยใช้นโยบาย

• เอเจนต์ความน่าเชื่อถือ
• การปลดล็อกด้วยลายนิ้วมือ

• กล้องที่ปลอดภัย
• การแจ้งเตือนทั้งหมด
• ไม่ได้ปกปิด
• เอเจนต์ความน่าเชื่อถือ
• ปลดล็อกด้วยลายนิ้วมือ
• ฟีเจอร์การล็อกปุ่มทั้งหมด

Android Management API ไม่รองรับฟีเจอร์นี้

5.15.1. อนุญาตให้ติดตั้งและล็อกอุปกรณ์ให้แก่อุปกรณ์หนึ่งๆ โดยไม่ต้องแจ้ง

5.15.2. เปิดหรือปิดฟีเจอร์ UI ระบบต่อไปนี้

• ปุ่มหน้าแรก
• ภาพรวม
• การดำเนินการแบบรวม
• การแจ้งเตือน
• ข้อมูลระบบ / แถบสถานะ
• การป้องกันหน้าจอ (หน้าจอล็อก) ฟีเจอร์ย่อยนี้จะเปิดอยู่โดยค่าเริ่มต้นเมื่อติดตั้งใช้งาน 5.15.1

5.15.3. ปิดกล่องโต้ตอบข้อผิดพลาดของระบบ

5.17.1. ผู้ดูแลระบบไอทีสามารถระบุข้อความที่กำหนดเองที่จะแสดง (ไปที่ wipeReasonMessage) เมื่อล้างโปรไฟล์งาน

ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการแพ็กเกจที่สื่อสารข้ามขอบเขตโปรไฟล์งานได้โดยการตั้งค่า ConnectedWorkAndPersonalApp