Android Enterprise 功能列表

1.2.1. EMM 会向 IT 管理员提供二维码或激活码，以支持此配置方法（请参阅注册和配置设备）。

1.3.1. EMM 必须使用内存至少为 888 字节的 NFC Forum Type 2 标签。 配置必须使用配置 extra 将非敏感注册详细信息（例如服务器 ID 和注册 ID）传递到设备。注册详细信息不应包含敏感信息，例如密码或证书。

1.3.2. 由于 NFC Beam（也称为 NFC Bump）已弃用，我们建议在 Android 10 及更高版本中使用 NFC 标签。

1.6.1. IT 管理员可以使用零触摸注册方法配置公司自有设备。

1.6.2. 此要求已废弃。

1.6.3. 使用登录网址，EMM 必须确保未经授权的用户无法继续激活。激活功能至少必须仅限给定企业的用户使用。

1.6.4. EMM 必须使用登录网址，让 IT 管理员能够预先填充注册详细信息（例如服务器 ID、注册 ID），而不仅仅是唯一身份用户或设备信息（例如用户名/密码、激活令牌），这样用户在激活设备时就无需输入详细信息。

1.10.1. 故意留空。

1.10.2. IT 管理员可以通过 PersonalUsagePolicies 为公司自有设备上的工作资料设置合规性操作。

1.10.3. IT 管理员可以通过 PersonalUsagePolicies 停用工作资料或整个设备中的相机。

1.10.4. IT 管理员可以通过 PersonalUsagePolicies 在工作资料或整个设备中停用屏幕截图功能。

1.10.5. IT 管理员可以通过 PersonalApplicationPolicy 设置无法在个人资料中安装的应用屏蔽名单。

2.1.1. 政策必须强制执行管理设备安全验证的设置（针对工作资料的 parentProfilePasswordRequirements，针对全托管式设备和专用设备的 passwordRequirements）。

2.1.2. 密码复杂度应映射到以下密码复杂度：

1. PASSWORD_COMPLEXITY_LOW - 包含重复 (4444) 或有序（1234、4321、2468）序列的解锁图案或 PIN 码。
2. PASSWORD_COMPLEXITY_MEDIUM - 长度至少为 4 的 PIN 码（不含重复 [4444] 或有序 [1234、4321、2468] 序列）、字母密码或字母数字密码
3. PASSWORD_COMPLEXITY_HIGH - PIN 码不得包含重复 (4444) 或有序（1234、4321、2468）序列，且长度至少为 8 位；或者字母或字母数字密码的长度至少为 6 位

2.1.3. 您还可以在公司自有设备上强制执行其他密码限制作为旧版设置。

2.2.1. 政策必须强制要求对工作资料进行安全验证。

1. 默认情况下，如果未指定范围，IT 管理员应仅为工作资料设置限制
2. IT 管理员可以通过指定范围在整个设备范围内设置此功能（请参阅要求 2.1）

2.2.2. 密码复杂度应映射到以下预定义的密码复杂度：

1. PASSWORD_COMPLEXITY_LOW - 包含重复 (4444) 或有序（1234、4321、2468）序列的解锁图案或 PIN 码。
2. PASSWORD_COMPLEXITY_MEDIUM - 长度至少为 4 的 PIN 码（不含重复 [4444] 或有序 [1234、4321、2468] 序列）、字母密码或字母数字密码
3. PASSWORD_COMPLEXITY_HIGH - PIN 码不得包含重复 (4444) 或有序（1234、4321、2468）序列，且长度至少为 8 位；或者字母或字母数字密码的长度至少为 6 位

2.3.1. 故意留空。

2.3.2. 故意留空。

2.3.3. 您可以为设备上的每个锁屏设置以下密码生命周期设置：

1. Deliberately blank
2. Deliberately blank
3. 擦除前允许输入错误密码的最大次数：指定用户在设备中的公司数据被擦除之前可以输入错误密码的次数。IT 管理员必须能够关闭此功能。

2.5.1. 必须使用 Android Management API 锁定设备。

2.7.1. 必须禁止安装来自未知来源的应用，包括在任何搭载 Android 8.0 或更高版本且设置了工作资料的设备的个人空间中安装的应用。 此子功能默认受支持。

IT 管理员可以在设备上开启验证应用功能。“验证应用”功能会在 Android 设备上安装应用之前和之后扫描应用，以检测是否存在有害软件，从而帮助确保恶意应用无法危害公司数据。

2.12.1. IT 管理员可以使用政策阻止用户装载实体外部媒体（请前往 mountPhysicalMediaDisabled）。

2.12.2. IT 管理员可以使用政策（前往 outgoingBeamDisabled）禁止用户使用 NFC Beam 从其设备共享数据。此子功能是可选的，因为 Android 10 及更高版本不再支持 NFC Beam 功能。

3.1.1. 拥有现有受管理 Google 域名的管理员可以将其域名绑定到 EMM。

3.1.2. 故意留空。

3.1.3. 故意留空。

3.1.4. EMM 控制台会引导管理员在 Android 注册流程中输入其工作邮箱，并建议他们不要使用 Gmail 账号。

3.1.5. EMM 会在 Android 注册流程中预填充管理员的邮箱。

3.2.1. 配置设备时，系统会自动创建 Google Play 企业版账号（用户账号）。

Android Management API 默认支持此功能。无需额外实现。

3.3.1. 系统会在配置设备时自动创建 Google Play 企业版账号。

Android Management API 默认支持此功能。无需额外实现。

3.5.1. EMM 的控制台必须使用 Android Management API，以便 IT 管理员在受管设备上安装工作应用。

3.5.2. EMM 的控制台必须使用 Android Management API，以便 IT 管理员在受管设备上更新工作应用。

IT 管理员可以查看和静默设置任何支持受管配置的应用的受管配置。

3.6.1. EMM 控制台必须能够检索和显示任何 Play 应用的托管配置设置。

3.6.2. EMM 的控制台必须允许 IT 管理员使用 Android Management API 为任何 Play 应用设置任何配置类型（由 Android Enterprise 框架定义）。

3.9.1. EMM 控制台应允许 IT 管理员管理最终用户的基本商店布局中显示的应用。

3.12.1. IT 管理员可以使用以下方法上传已在企业内部私下发布的应用的新版本：

3.15.1. EMM 必须遵守 Android Management API 用量限额。如果未纠正超出这些准则的行为，Google 可能会自行决定暂停 API 的使用。

3.15.2. EMM 应在全天分散来自不同企业的流量，而不是在特定或类似时间集中企业流量。如果行为符合此流量模式（例如为每个注册的设备安排批量操作），则可能会导致 API 使用被暂停，具体由 Google 自行决定。

3.15.3. EMM 不应发出不一致、不完整或故意不正确的请求，这些请求不会尝试检索或管理实际企业数据。如果您的行为符合此流量模式，Google 可能会自行决定暂停您对 API 的使用。

3.16.1. EMM 控制台必须能够使用以下方法检索和显示任何 Play 应用的最多四级嵌套受管理配置设置：

• Google Play 企业版 iframe
• 自定义界面。

3.16.2. EMM 的控制台必须能够检索和显示由 应用的反馈渠道返回的任何反馈（由 IT 管理员设置）。

• EMM 控制台必须允许 IT 管理员将特定反馈项与其来源设备和应用相关联。
• EMM 控制台必须允许 IT 管理员订阅特定消息类型（例如出错提示）的提醒或报告。

3.16.3. EMM 控制台只能发送具有默认值或由管理员手动设置的值，具体方法如下：

• 受管配置 iframe，或
• 自定义界面。

3.17.1. IT 管理员可以使用 EMM 控制台通过以下方式分发 Web 应用的快捷方式：

• Google Play 企业版 iframe
• 或 Android Management API。

此功能默认受支持。无需额外的 EMM 实现。

3.20.1. IT 管理员可以允许应用使用高优先级应用更新，以便在更新准备就绪后立即进行更新。

3.20.2. IT 管理员可以允许应用推迟 90 天的应用更新。

3.22.1. IT 管理员可以通过 EMM 控制台使用必要的 API 触发将现有 Google Play 企业版账号集升级为 Google 域名企业版。

3.23.1. EMM 可以根据定义的实现准则预配受管理的 Google 账号。

为此，请执行以下操作：

• 设备上添加了受管理的 Google 账号。
• 受管理的 Google 账号必须与 EMM 控制台中的实际用户一一对应。

3.23.2. IT 管理员可以使用该政策为用户提供登录受管理的 Google 账号进行注册的选项。

3.23.3. IT 管理员可以使用该政策来控制是否要求用户登录受管理的 Google 账号才能完成注册。

3.24.1. IT 管理员可以将设备上现有的 Google Play 企业版账号升级为受管理的 Google 账号。

3.25.1. 配套应用是可选的，可让 EMM 使用设备上的本地客户端扩展管理功能。如果您的解决方案包含配套应用，您必须自动（即无需 IT 管理员输入）为您的应用分配正确的 Companion_App 角色。此角色不应由 IT 管理员配置

3.25.2. IT 管理员可以通过 EMM 控制台分配 RoleType 中指定的任何角色，但 Companion_APP 除外，该角色由 EMM 分配。

4.1.1. 在为组织设置默认运行时权限政策时，IT 管理员必须能够从以下选项中进行选择：

• 提示（允许用户选择）
• allow
• deny

4.3.1. SSID，使用政策。

IT 管理员可以在设备上配置企业 Wi-Fi 配置，包括以下高级安全功能：

4.4.1. 身份

4.4.2. 用于客户端授权的证书

4.4.3. CA 证书

4.5.1. IT 管理员可以使用以下任一配置中的政策锁定企业 Wi-Fi 配置：

• 用户无法修改 EMM 预配的任何 Wi-Fi 配置（请参阅 wifiConfigsLockdownEnabled），但可以添加和修改自己的用户可配置网络（例如个人网络）。
• 用户无法在设备上添加或修改任何 Wi-Fi 网络（请参阅 wifiConfigDisabled），从而将 Wi-Fi 连接限制为仅连接到 EMM 预配的网络。

4.6.1. IT 管理员可以禁止用户添加或修改账号（请参阅 modifyAccountsDisabled）。

• 在设备上强制执行此政策时，EMM 必须在配置完成之前设置此限制，以确保用户无法在政策生效之前通过添加账号来规避此政策。

4.8.1. IT 管理员可以为每个用户安装由其 PKI 生成的用户身份证书。EMM 控制台必须与至少一个 PKI 集成，并分发从该基础架构生成的证书。

4.9.1. 对于分发到设备的任何应用，IT 管理员都可以指定一个证书，该证书将在运行时以静默方式向应用授予访问权限。（不支持此子功能）

• 证书选择必须足够通用，以便允许适用于所有用户的单一配置，每个用户都可能具有用户特定的身份证书。

4.9.2. IT 管理员可以从受管理的密钥库中静默移除证书。

4.9.3. IT 管理员可以静默卸载 CA 证书。（不支持此子功能）

4.9.4. IT 管理员可以阻止用户在受管理的密钥库中配置凭据（前往 credentialsConfigDisabled）。

4.10.1. IT 管理员可以指定证书管理软件包（请参阅 CERT_INSTALL DelegatedScope），将其设置为委托证书管理应用。

• EMM 可以选择建议已知的证书管理软件包，但必须允许 IT 管理员从可供适用的用户安装的应用列表中进行选择。

4.11.1. IT 管理员可以指定任意 VPN 软件包，将其设置为始终开启的 VPN。

• EMM 的控制台可以选择性地建议支持始终开启的 VPN 的已知 VPN 软件包，但无法将可用于始终开启配置的 VPN 限制为任意列表。

4.12.1. IT 管理员可以设置任意长度的 IME 许可清单（前往 permitted_input_methods），其中可能包含任意 IME 软件包（包括空列表，这会屏蔽非系统 IME）。

• EMM 控制台可以选择建议将已知或推荐的 IME 添加到许可清单中，但必须允许 IT 管理员从可供安装的应用列表中为适用用户进行选择。

4.13.1. IT 管理员可以设置任意长度的 IME 许可清单（前往 permitted_input_methods），其中可能包含任意 IME 软件包（不包括空列表，空列表会屏蔽所有 IME，包括系统 IME）。

• EMM 控制台可以选择性地建议将已知或推荐的 IME 纳入许可清单，但必须允许 IT 管理员从可供适用的用户安装的应用列表中进行选择。

4.13.2. EMM 必须阻止 IT 管理员设置空的许可清单，因为此设置会阻止在设备上设置所有 IME（包括系统 IME）。

4.14.1. IT 管理员可以设置任意长度的无障碍服务许可清单（前往 permittedAccessibilityServices），其中可能包含任意无障碍服务软件包（包括空清单，这会阻止非系统无障碍服务）。应用于工作资料时，此设置会同时影响个人资料和工作资料。

• 管理中心可以选择性地建议将已知或推荐的无障碍服务添加到许可清单中，但必须允许 IT 管理员从可供安装的应用列表中为适用用户进行选择。

4.15.1. IT 管理员可以在工作资料中停用位置信息服务（前往 shareLocationDisabled）。

4.16.1. IT 管理员可以将设备位置信息服务设置为以下每种模式：

• 高精确度。
• 仅限传感器（例如 GPS），但不包括网络提供的位置信息。
• 耗电量低，会限制更新频率。
• 关闭。

4.17.1. IT 管理员可以阻止用户通过“设置”将设备恢复出厂设置（转到 factoryResetDisabled）。

4.17.2. IT 管理员可以指定在恢复出厂设置后有权配置设备的企业解锁账号（前往 frpAdminEmails）。

• 此账号可以与个人关联，也可以供整个企业用于解锁设备。

4.17.3. IT 管理员可以为指定设备停用恢复出厂设置保护机制（请参阅factoryResetDisabled）。

IT 管理员可以阻止用户通过“设置”卸载或以其他方式修改受管理的应用。例如，防止强制关闭应用或清除应用的数据缓存。

4.18.1. IT 管理员可以阻止卸载任何任意受管应用或所有受管应用（请参阅 uninstallAppsDisabled）。

4.18.2. IT 管理员可以禁止用户在“设置”中修改应用数据。（Android Management API 不支持此子功能）

4.19.1. IT 管理员可以禁止用户截取屏幕截图（前往 screenCaptureDisabled）。

IT 管理员可以远程重启受管设备。

4.23.1. IT 管理员可以远程重启受管设备。

4.24.1. IT 管理员可以关闭服务提供商发送的小区广播（前往 cellBroadcastsConfigDisabled）。

4.24.2. IT 管理员可以禁止用户在“设置”中修改移动网络设置（前往 mobileNetworksConfigDisabled）。

4.24.3. IT 管理员可以禁止用户在“设置”中重置所有网络设置。（前往 networkResetDisabled）。

4.24.4. IT 管理员可以设置设备是否允许在漫游时使用移动流量（前往 dataRoamingDisabled）。

4.24.5. IT 管理员可以设置设备是否可以拨打电话（紧急呼叫除外，请参阅 outGoingCallsDisabled）。

4.24.6. IT 管理员可以设置设备是否可以收发短信（请参阅 smsDisabled）。

4.24.7. IT 管理员可以禁止用户通过网络共享将设备用作便携式热点（请参阅 tetheringConfigDisabled）。

4.24.8. IT 管理员可以将 WLAN 超时设置为默认、插入电源时或永不。（Android Management API 不支持此子功能）

4.24.9. IT 管理员可以禁止用户设置或修改现有蓝牙连接（请前往 bluetoothConfigDisabled）。

IT 管理员可以静默控制设备音频功能，包括将设备静音、阻止用户修改音量设置以及阻止用户取消设备麦克风静音。

4.25.1. IT 管理员可以静默地将受管设备静音。 （Android Management API 不支持此子功能）

4.25.2. IT 管理员可以禁止用户修改设备音量设置（前往 adjustVolumeDisabled）。这也会使设备静音。

对于专用设备，IT 管理员可以使用政策管理以下功能，以支持各种自助服务终端应用场景。

4.27.1. IT 管理员可以关闭设备键盘锁（前往 keyguardDisabled）。

4.27.2. IT 管理员可以关闭设备状态栏，从而屏蔽通知和快捷设置（请参阅 statusBarDisabled）。

4.27.3. IT 管理员可以强制设备屏幕在设备接通电源期间保持开启状态（前往 stayOnPluggedModes）。

4.27.4. IT 管理员可以阻止显示以下系统界面（请参阅 createWindowsDisabled）：

• 消息框
• 应用叠加层。

4.27.5. IT 管理员可以允许系统建议应用在首次启动时跳过用户教程和其他入门提示（请参阅 skip_first_use_hints）。

IT 管理员可以向各个软件包授予额外权限。

4.28.1. IT 管理员可以管理以下范围：

• 证书安装和管理
• Deliberately blank
• 网络日志记录
• 安全日志记录（个人所有设备上的工作资料不支持此功能）

从 Android 12 开始，工作资料将无法再访问硬件专用标识符。IT 管理员可以通过注册专用 ID 跟踪具有工作资料的设备的生命周期，该 ID 在恢复出厂设置后仍会保留。

4.29.1. IT 管理员可以获取注册专用 ID

4.29.2. 此注册专用 ID 必须在恢复出厂设置后仍然存在

4.30.1 IT 管理员可以使用政策屏蔽设备上（或工作资料中）的所有 Credential Manager。

4.30.2 默认情况下，IT 管理员可以仅允许系统凭据提供程序，如凭据提供程序政策默认设置中所示。

4.31.1 IT 管理员可以使用政策在设备上静默配置 eSIM 卡配置文件。

4.31.2 IT 管理员可以使用政策从设备中删除受管理的 eSIM 卡。

4.31.3 IT 管理员可以禁止用户在“设置”中修改移动网络设置（前往 mobileNetworksConfigDisabled）。

4.31.4 IT 管理员可以远程向设备或工作资料发送擦除命令。 此命令可选择从设备中移除受管理的 eSIM 卡。默认情况下，受管理的 eSIM 会从个人自有设备上的工作资料中移除，但会保留在公司自有设备上。

4.31.5 IT 管理员可以使用 EMM 控制台界面（或等效方法）检索设备的 EID（嵌入式身份文档）标识符。

5.1.1. IT 管理员可以通过指定企业专用服务条款和其他免责声明（请参阅 termsAndConditions）来自定义配置流程。

5.1.2. IT 管理员可以部署不可配置的 EMM 专用服务条款和其他免责声明（请访问 termsAndConditions）。

• EMM 可以将其不可配置的 EMM 专用自定义设置设为部署默认设置，但必须允许 IT 管理员设置自己的自定义设置。

5.1.3. 对于 Android 10 及更高版本，primaryColor 已针对企业资源废弃。

5.5.1. IT 管理员可以自定义面向用户的支持消息（长短均可）。

5.5.2. IT 管理员可以部署不可配置、特定于 EMM 的简短和详细支持消息（请参阅 policies 中的 shortSupportMessage 和 longSupportMessage）。

• EMM 可以将其不可配置的 EMM 专用支持消息设置为部署的默认消息，但必须允许 IT 管理员设置自己的消息。

5.7.1. IT 管理员可以配置跨个人资料数据共享政策，以便个人应用可以解析来自工作资料的 intent，例如共享 intent 或网页链接。

5.7.2. IT 管理员可以允许工作资料中的应用在个人资料的主屏幕上创建和显示微件。此功能默认处于关闭状态，但可以使用 workProfileWidgets 和 workProfileWidgetsDefault 字段设置为允许。

5.8.1. IT 管理员可以在 EMM 控制台中设置以下 OTA 配置：

• 自动：设备会在 OTA 更新发布后自动安装。
• 推迟：IT 管理员必须能够将 OTA 更新推迟最多 30 天。此政策不会影响安全更新（例如每月安全补丁）。
• 窗口化：IT 管理员必须能够在每日维护窗口内安排 OTA 更新。

5.9.1. 通过 EMM 控制台，IT 管理员可以静默允许在设备上安装任意一组应用并将其锁定。政策允许设置专用设备。

5.10.1. IT 管理员可以将任何软件包设置为任何任意 intent 过滤器的默认 intent 处理程序。

• EMM 的控制台可以选择性地建议已知或推荐的 intent 进行配置，但不能将 intent 限制为任何任意列表。
• EMM 控制台必须允许 IT 管理员从可供适用用户安装的应用列表中进行选择。

5.11.1. 政策可以关闭以下设备键盘保护功能：

• 可信代理
• 指纹解锁
• 未隐去敏感信息的通知

5.11.2. 您可以使用政策关闭工作资料的以下键盘保护功能：

• 可信代理
• 指纹解锁

• 安全摄像头
• 所有通知
• 未隐去
• 可信代理
• 指纹解锁
• 所有键盘保护功能

Android Management API 不支持此功能。

5.15.1. 静默允许单个应用安装并锁定到设备。

5.15.2. 开启或关闭以下系统界面功能：

• 主屏幕按钮
• 概览
• 全局操作
• 通知
• 系统信息 / 状态栏
• Keyguard（锁屏）。实现 5.15.1 时，此子功能默认处于开启状态。

5.15.3. 关闭系统错误对话框。

5.17.1. IT 管理员可以提供要显示的自定义文本（请参阅 wipeReasonMessage），以便在工作资料被擦除时显示。

IT 管理员可以通过设置 ConnectedWorkAndPersonalApp 来设置可跨工作资料边界进行通信的软件包列表。