Auf dieser Seite finden Sie eine vollständige Liste der Android Enterprise-Funktionen.
Wenn Sie mehr als 500 Geräte verwalten möchten, muss Ihre EMM-Lösung alle Standardfunktionen () von mindestens einem Lösungssatz unterstützen, bevor sie kommerziell verfügbar gemacht werden kann. EMM-Entwickler, die ihre Lösungen im Enterprise Solutions Directory von Android als Standardverwaltungsgruppe anbieten möchten, müssen die Standardfunktionsprüfung bestehen und Mitglied unseres Android Enterprise-Partnerprogramms werden.
Für jede Lösungsgruppe sind zusätzliche erweiterte Funktionen verfügbar. Diese Funktionen sind auf jeder Seite des Lösungssets angegeben: Arbeitsprofil auf privaten Geräten, Arbeitsprofil auf unternehmenseigenen Geräten, vollständig verwaltetes Gerät und zweckbestimmtes Gerät. EMM-Entwickler, die Mitglieder des AE-Partnerprogramms sind und Lösungen anbieten, die die Überprüfung der erweiterten Funktionen bestehen, werden im Enterprise Solutions Directory von Android als Anbieter eines Advanced Management Sets aufgeführt.
Schlüssel
| -Standardfunktion | erweiterte Funktion | optionales Feature | nicht zutreffend |
1. Gerätebereitstellung
1.1 Bereitstellung von Arbeitsprofilen per DPC
Nachdem Nutzer die Android Device Policy App von Google Play heruntergeladen haben, können sie ein Arbeitsprofil einrichten.
1.1.1. Der EMM-Anbieter stellt einem IT-Administrator einen QR-Code oder Aktivierungscode zur Verfügung, um diese Bereitstellungsmethode zu unterstützen (siehe Gerät registrieren und bereitstellen).
1.2. Gerätebereitstellung per DPC-ID
Wenn du im Einrichtungsassistenten des Geräts „afw#“ eingibst, wird ein vollständig verwaltetes oder zweckbestimmtes Gerät bereitgestellt.
1.2.1 Der EMM-Anbieter stellt einem IT-Administrator einen QR-Code oder Aktivierungscode zur Verfügung, um diese Bereitstellungsmethode zu unterstützen (siehe Gerät registrieren und bereitstellen).
1.3. Gerätebereitstellung per NFC
IT-Administratoren können NFC-Tags verwenden, um neue oder auf die Werkseinstellungen zurückgesetzte Geräte gemäß den Implementierungsrichtlinien in der Entwicklerdokumentation zur Play EMM API bereitzustellen.
1.3.1 EMMs müssen NFC Forum Typ 2-Tags mit mindestens 888 Byte Speicher verwenden. Bei der Bereitstellung müssen Bereitstellungs-Extras verwendet werden, um nicht vertrauliche Registrierungsdetails wie Server-IDs und Registrierungs-IDs an ein Gerät zu übergeben. Registrierungsdetails dürfen keine vertraulichen Informationen wie Passwörter oder Zertifikate enthalten.
1.3.2 Wir empfehlen die Verwendung von NFC-Tags für Android 10 und höher, da NFC Beam (auch als NFC Bump bezeichnet) eingestellt wurde.
1.4 Gerätebereitstellung per QR‑Code
In der EMM-Konsole kann ein QR-Code generiert werden, den IT-Administratoren scannen können, um ein vollständig verwaltetes oder zweckbestimmtes Gerät gemäß den Implementierungsrichtlinien in der Entwicklerdokumentation zur Android Management API bereitzustellen.
1.4.1. Der QR-Code muss Bereitstellungs-Extras verwenden, um nicht vertrauliche Registrierungsdetails (z. B. Server-IDs, Registrierungs-IDs) an ein Gerät zu übergeben. Registrierungsdetails dürfen keine sensiblen Informationen wie Passwörter oder Zertifikate enthalten.
1.5 Zero-Touch-Registrierung
Diese Anforderung wurde durch Anforderung 1.6 ersetzt.
1.6 Zero-Touch-Bereitstellung
IT-Administratoren können einen Großteil des Geräteregistrierungsprozesses mit der Zero-Touch-Registrierung automatisieren. In Kombination mit Anmelde-URLs können IT-Administratoren die Registrierung auf bestimmte Konten oder Domains beschränken, je nachdem, welche Konfigurationsoptionen das EMM bietet.
1.6.1. IT‑Administratoren können ein unternehmenseigenes Gerät mithilfe der Zero-Touch-Registrierung bereitstellen.
1.6.2. Diese Anforderung wurde verworfen.
1.6.3. Der EMM-Anbieter muss dafür sorgen, dass nicht autorisierte Nutzer die Aktivierung über die Anmelde-URL nicht fortsetzen können. Die Aktivierung muss mindestens auf Nutzer eines bestimmten Unternehmens beschränkt sein.
1.6.4. Über die Anmelde-URL muss das EMM IT-Administratoren ermöglichen, Registrierungsdetails (z. B. Server-IDs, Registrierungs-IDs) neben eindeutigen Nutzer- oder Geräteinformationen (z. B. Nutzername/Passwort, Aktivierungstoken) vorab auszufüllen, damit Nutzer bei der Aktivierung eines Geräts keine Details eingeben müssen.
- EMMs dürfen keine vertraulichen Informationen wie Passwörter oder Zertifikate in der Konfiguration der Zero-Touch-Registrierung enthalten.
1.7. Bereitstellung von Arbeitsprofilen für Google-Konten
Diese Anforderung wurde entfernt und durch Anforderung 3.23 ersetzt.
1.8. Gerätebereitstellung für Google-Konten
Diese Anforderung wurde entfernt und durch Anforderung 3.23 ersetzt.
1.9. Direkte Zero-Touch-Konfiguration
IT-Administratoren können die Konsole des EMM-Anbieters verwenden, um Zero-Touch-Geräte über den Zero-Touch-iFrame einzurichten.
1.10. Arbeitsprofile auf unternehmenseigenen Geräten
EMM-Anbieter können unternehmenseigene Geräte mit einem Arbeitsprofil registrieren, indem sie AllowPersonalUsage festlegen.
1.10.1. Absichtlich leer.
1.10.2. IT‑Administratoren können über PersonalUsagePolicies Compliance-Maßnahmen für Arbeitsprofile auf unternehmenseigenen Geräten festlegen.
1.10.3. IT‑Administratoren können die Kamera entweder im Arbeitsprofil oder auf dem gesamten Gerät über PersonalUsagePolicies deaktivieren.
1.10.4. IT‑Administratoren können die Bildschirmaufnahme im Arbeitsprofil oder auf einem gesamten Gerät über PersonalUsagePolicies deaktivieren.
1.10.5. IT‑Administratoren können über PersonalApplicationPolicy eine Sperrliste mit Apps festlegen, die nicht im privaten Profil installiert werden dürfen.
1.10.6. IT-Admins können die Verwaltung eines unternehmenseigenen Geräts mit dem Befehl „relinquish“ in der AMAPI aufgeben.
1.11. Bereitstellung zweckbestimmter Geräte
IT-Administratoren können zweckbestimmte Geräte registrieren, ohne dass der Nutzer aufgefordert wird, sich mit einem Google-Konto zu authentifizieren.
2. Gerätesicherheit
2.1. Gerätespezifische Sicherheitsmaßnahme
IT-Administratoren können auf verwalteten Geräten eine Sicherheitsabfrage (PIN/Muster/Passwort) festlegen und erzwingen. Dabei stehen drei Komplexitätsstufen zur Auswahl.
2.1.1. Die Richtlinie muss Einstellungen erzwingen, mit denen die Sicherheitsanforderungen für Geräte verwaltet werden (parentProfilePasswordRequirements für Arbeitsprofile, passwordRequirements für vollständig verwaltete und zweckbestimmte Geräte).
2.1.2. Die Passwortkomplexität sollte den folgenden Passwortkomplexitäten entsprechen:
- PASSWORD_COMPLEXITY_LOW: Muster oder PIN mit sich wiederholenden (4444) oder geordneten (1234, 4321, 2468) Sequenzen.
- PASSWORD_COMPLEXITY_MEDIUM: PIN ohne sich wiederholende (4444) oder geordnete (1234, 4321, 2468) Sequenzen, alphabetisches oder alphanumerisches Passwort mit einer Länge von mindestens 4 Zeichen
- PASSWORD_COMPLEXITY_HIGH: PIN ohne sich wiederholende (4444) oder geordnete (1234, 4321, 2468) Sequenzen und mit einer Länge von mindestens 8 oder alphabetische oder alphanumerische Passwörter mit einer Länge von mindestens 6
2.1.3. Zusätzliche Passworteinschränkungen können auch als Legacy-Einstellungen auf unternehmenseigenen Geräten erzwungen werden.
2.2. Arbeitsspezifische Sicherheitsmaßnahme
IT-Administratoren können eine Sicherheitsbestätigung für Apps und Daten im Arbeitsprofil festlegen und erzwingen, die von der Sicherheitsbestätigung für das Gerät (2.1) getrennt ist und andere Anforderungen hat.
2.2.1. Die Richtlinie muss die Sicherheitsmaßnahme für das Arbeitsprofil erzwingen.
- Standardmäßig sollten IT-Administratoren Einschränkungen nur für das Arbeitsprofil festlegen, wenn kein Bereich angegeben ist.
- IT-Administratoren können dies geräteweit festlegen, indem sie den Bereich angeben (siehe Anforderung 2.1).
2.2.2. Die Passwortkomplexität sollte den folgenden vordefinierten Passwortkomplexitäten entsprechen:
- PASSWORD_COMPLEXITY_LOW: Muster oder PIN mit sich wiederholenden (4444) oder geordneten (1234, 4321, 2468) Sequenzen.
- PASSWORD_COMPLEXITY_MEDIUM: PIN ohne sich wiederholende (4444) oder geordnete (1234, 4321, 2468) Sequenzen, alphabetisches oder alphanumerisches Passwort mit einer Länge von mindestens 4 Zeichen
- PASSWORD_COMPLEXITY_HIGH: PIN ohne sich wiederholende (4444) oder geordnete (1234, 4321, 2468) Sequenzen und mit einer Länge von mindestens 8 oder alphabetische oder alphanumerische Passwörter mit einer Länge von mindestens 6
2.2.3. Zusätzliche Passworteinschränkungen können auch als Legacy-Einstellungen erzwungen werden.
2.3. Erweiterte Sicherheitscodeverwaltung
IT-Admins können erweiterte Passworteinstellungen auf Geräten einrichten.
2.3.1. Absichtlich leer.
2.3.2. Absichtlich leer.
2.3.3. Die folgenden Einstellungen für den Passwort-Lebenszyklus können für jeden Sperrbildschirm festgelegt werden, der auf einem Gerät verfügbar ist:
- Absichtlich leer
- Absichtlich leer
- Maximale Anzahl falscher Passwörter vor dem Löschen:Gibt an, wie oft Nutzer ein falsches Passwort eingeben können, bevor Unternehmensdaten vom Gerät gelöscht werden. IT-Administratoren müssen diese Funktion deaktivieren können.
2.3.4. (Android 8.0 oder höher) Zeitlimit für starke Authentifizierung: Nach einem von einem IT-Administrator festgelegten Zeitlimit muss ein starker Authentifizierungscode (z. B. PIN oder Passwort) eingegeben werden. Nach Ablauf des Zeitlimits werden schwache Authentifizierungsmethoden (z. B. Fingerabdruck, Entsperrung per Gesichtserkennung) deaktiviert, bis das Gerät mit einem starken Authentifizierungscode entsperrt wird.
2.4 Smart Lock-Verwaltung
IT-Administratoren können festlegen, ob Trust Agents in der Smart Lock-Funktion von Android die Entsperrung von Geräten um bis zu vier Stunden verlängern dürfen.
2.4.1. IT-Administratoren können Trust Agents auf dem Gerät deaktivieren.
2.5 Löschen und sperren
IT-Administratoren können die EMM-Konsole verwenden, um ein verwaltetes Gerät per Fernzugriff zu sperren und Arbeitsdaten darauf zu löschen.
2.5.1. Geräte müssen mit der Android Management API gesperrt werden.
2.5.2. Geräte müssen mit der Android Management API zurückgesetzt werden.
2.6. Compliance erzwingen
Wenn ein Gerät nicht den Sicherheitsrichtlinien entspricht, schränken die von der Android Management API festgelegten Compliance-Regeln automatisch die Nutzung von Arbeitsdaten ein.
2.6.1. Die auf einem Gerät erzwungenen Sicherheitsrichtlinien müssen mindestens eine Passwortrichtlinie enthalten.
2.7. Standardsicherheitsrichtlinien
EMMs müssen die angegebenen Sicherheitsrichtlinien auf Geräten standardmäßig erzwingen, ohne dass IT-Administratoren Einstellungen in der EMM-Konsole einrichten oder anpassen müssen. EMMs wird empfohlen (aber nicht vorgeschrieben), IT-Administratoren nicht zu erlauben, den Standardstatus dieser Sicherheitsfunktionen zu ändern.
2.7.1. Die Installation von Apps aus unbekannten Quellen muss blockiert werden, einschließlich Apps, die auf der privaten Seite eines Android 8.0-Geräts oder höher mit einem Arbeitsprofil installiert sind. Diese Unterfunktion wird standardmäßig unterstützt.
2.7.2. Debugging-Funktionen müssen blockiert werden. Diese Unterfunktion wird standardmäßig unterstützt.
2.8. Sicherheitsrichtlinien für zweckbestimmte Geräte
Für ein gesperrtes zweckbestimmtes Gerät sind keine anderen Aktionen zulässig.
2.8.1. Das Booten im abgesicherten Modus muss standardmäßig über die Richtlinie deaktiviert sein (siehe safeBootDisabled).
2.9. Play Integrity-Unterstützung
Play Integrity-Prüfungen werden standardmäßig durchgeführt. Es ist keine zusätzliche Implementierung erforderlich.
2.9.1. Absichtlich leer.
2.9.2. Absichtlich leer.
2.9.3. IT-Administratoren können je nach Wert des SecurityRisk-Attributs des Geräts verschiedene Richtlinienantworten einrichten, z. B. die Bereitstellung blockieren, Unternehmensdaten löschen und die Registrierung zulassen.
- Der EMM-Dienst erzwingt diese Richtlinienantwort für das Ergebnis jeder Integritätsprüfung.
2.9.4. Absichtlich leer.
2.10. Erzwingung der Funktion „Apps überprüfen“
IT-Administratoren können die Funktion Apps überprüfen auf Geräten aktivieren. Mit der Funktion „Apps überprüfen“ werden auf Android-Geräten installierte Apps vor und nach der Installation auf schädliche Software gescannt. So wird verhindert, dass schädliche Apps Unternehmensdaten gefährden.
2.10.1. „Apps überprüfen“ muss standardmäßig per Richtlinie aktiviert sein (ensureVerifyAppsEnabled aufrufen).
2.11. Unterstützung für den Direktstart
Die Android Management API unterstützt diese Funktion standardmäßig. Es ist keine zusätzliche Implementierung erforderlich.
2.12. Verwaltung der Hardwaresicherheit
IT-Administratoren können Hardwareelemente eines unternehmenseigenen Geräts sperren, um Datenverlust zu verhindern.
2.12.1. IT-Administratoren können Nutzer mithilfe einer Richtlinie daran hindern, physische externe Medien bereitzustellen (siehe mountPhysicalMediaDisabled).
2.12.2. IT-Administratoren können mithilfe einer Richtlinie (siehe outgoingBeamDisabled) verhindern, dass Nutzer Daten von ihrem Gerät über NFC Beam teilen. Diese Unterfunktion ist optional, da die NFC Beam-Funktion in Android 10 und höher nicht mehr unterstützt wird.
2.12.3. IT-Administratoren können Nutzer mithilfe einer Richtlinie daran hindern, Dateien über USB zu übertragen (siehe usbFileTransferDisabled).
2.13. Sicherheits-Logging für Unternehmen
Diese Funktion wird von der Android Management API nicht unterstützt.
3. Konto- und App-Verwaltung
3.1. Unternehmensbindung
IT-Administratoren können den EMM-Anbieter an ihre Organisation binden, damit er Managed Google Play verwenden kann, um Apps auf Geräten zu verteilen.
3.1.1. Ein Administrator mit einer vorhandenen verwalteten Google-Domain kann seine Domain an den EMM-Anbieter binden.
3.1.2. Absichtlich leer.
3.1.3. Absichtlich leer.
3.1.4. In der EMM-Konsole wird der Administrator aufgefordert, seine geschäftliche E‑Mail-Adresse im Android-Registrierungsprozess einzugeben. Er wird davon abgehalten, ein Gmail-Konto zu verwenden.
3.1.5. Der EMM-Anbieter füllt die E‑Mail-Adresse des Administrators im Android-Registrierungsprozess vorab aus.
3.2 Bereitstellung von Managed Google Play-Konten
Mit dem EMM können Unternehmensnutzerkonten, sogenannte Managed Google Play-Konten, automatisch bereitgestellt werden. Diese Konten identifizieren verwaltete Nutzer und ermöglichen eindeutige, nutzerspezifische Regeln für die App-Bereitstellung.
3.2.1. Managed Google Play-Konten (Nutzerkonten) werden automatisch erstellt, wenn Geräte bereitgestellt werden.
Die Android Management API unterstützt diese Funktion standardmäßig. Es ist keine zusätzliche Implementierung erforderlich.
3.3 Bereitstellung von Managed Google Play-Gerätekonten
Mit dem EMM können Managed Google Play-Gerätekonten erstellt und bereitgestellt werden. Gerätekonten unterstützen die automatische Installation von Apps aus dem Managed Play Store und sind nicht an einen einzelnen Nutzer gebunden. Stattdessen wird ein Gerätekonto verwendet, um ein einzelnes Gerät zu identifizieren und Regeln für die App-Bereitstellung pro Gerät in Szenarien mit zweckbestimmten Geräten zu unterstützen.
3.3.1. Managed Google Play-Konten werden automatisch erstellt, wenn Geräte bereitgestellt werden.
Die Android Management API unterstützt diese Funktion standardmäßig. Es ist keine zusätzliche Implementierung erforderlich.
3.4. Bereitstellung von Managed Google Play-Konten für ältere Geräte
Diese Funktion wurde eingestellt.
3.5 Automatische App-Bereitstellung
IT-Administratoren können geschäftliche Apps automatisch und ohne Nutzerinteraktion auf Geräten bereitstellen.
3.5.1. Die EMM-Konsole muss die Android Management API verwenden, damit IT-Administratoren geschäftliche Apps auf verwalteten Geräten installieren können.
3.5.2. Die EMM-Konsole muss die Android Management API verwenden, damit IT-Administratoren geschäftliche Apps auf verwalteten Geräten aktualisieren können.
3.5.3. Die EMM-Konsole muss die Android Management API verwenden, damit IT-Administratoren Apps auf verwalteten Geräten deinstallieren können.
3.6 Verwaltete Konfigurationsverwaltung
IT-Administratoren können verwaltete Konfigurationen für jede App, die verwaltete Konfigurationen unterstützt, aufrufen und im Hintergrund festlegen.
3.6.1. Die EMM-Konsole muss die verwalteten Konfigurationseinstellungen jeder Play-App abrufen und anzeigen können.
3.6.2. In der EMM-Konsole müssen IT-Administratoren die Möglichkeit haben, jeden Konfigurationstyp (wie im Android Enterprise-Framework definiert) für jede Google Play-App über die Android Management API festzulegen.
3.6.3. In der EMM-Konsole müssen IT-Administratoren Platzhalter wie $username$ oder %emailAddress% festlegen können, damit eine einzelne Konfiguration für eine App wie Gmail auf mehrere Nutzer angewendet werden kann.
3.7 App-Katalogverwaltung
Die Android Management API unterstützt diese Funktion standardmäßig. Es ist keine zusätzliche Implementierung erforderlich.
3.8. Programmatische App-Genehmigung
Die EMM-Konsole verwendet den iFrame von Managed Google Play, um die Funktionen von Google Play für die App-Suche und ‑Genehmigung zu unterstützen. IT-Administratoren können Apps suchen, Apps genehmigen und neue App-Berechtigungen genehmigen, ohne die EMM-Konsole zu verlassen.
3.8.1. IT-Administratoren können über den iFrame von Managed Google Play in der EMM-Konsole nach Apps suchen und diese genehmigen.
3.9. Grundlegende Verwaltung von Store-Layouts
Über die Managed Play Store App können geschäftliche Apps installiert und aktualisiert werden. Standardmäßig werden im Managed Play Store die für einen Nutzer genehmigten Apps in einer einzigen Liste angezeigt. Dieses Layout wird als einfaches Store-Layout bezeichnet.
3.9.1. In der EMM-Konsole sollten IT-Administratoren die Möglichkeit haben, die Apps zu verwalten, die im grundlegenden Store-Layout eines Endnutzers sichtbar sind.
3.10. Erweiterte Konfiguration von Store-Layouts
3.10.1. IT-Administratoren können das Store-Layout anpassen, das in der Managed Google Play Store App angezeigt wird.
3.11. App-Lizenzverwaltung
Diese Funktion wurde eingestellt.
3.12. Verwaltung von von Google gehosteten internen Apps
IT-Administratoren können von Google gehostete interne Apps über die EMM-Konsole statt über die Google Play Console aktualisieren.
3.12.1. IT-Administratoren können neue Versionen von Apps, die bereits intern im Unternehmen veröffentlicht wurden, über folgende Optionen hochladen:
3.13. Verwaltung von selbst gehosteten internen Apps
Diese Funktion wurde eingestellt.
3.14. EMM-Pull-Benachrichtigungen
Diese Funktion ist für die Android Management API nicht zutreffend. Richten Sie stattdessen Pub/Sub-Benachrichtigungen ein.
3.15. Anforderungen an die API-Nutzung
Der EMM-Anbieter implementiert Android Management APIs in großem Umfang und vermeidet so Trafficmuster, die sich negativ auf die Fähigkeit von Unternehmen auswirken könnten, Apps in Produktionsumgebungen zu verwalten.
3.15.1. Der EMM-Anbieter muss die Nutzungslimits der Android Management API einhalten. Wenn ein Verhalten, das diese Richtlinien überschreitet, nicht korrigiert wird, kann dies nach Ermessen von Google zur Sperrung der API-Nutzung führen.
3.15.2. Der EMM-Anbieter sollte den Traffic von verschiedenen Unternehmen über den Tag verteilen, anstatt den Traffic von Unternehmen zu bestimmten oder ähnlichen Zeiten zu bündeln. Verhalten, das diesem Traffic-Muster entspricht, z. B. geplante Batchvorgänge für jedes registrierte Gerät, kann nach Ermessen von Google zur Sperrung der API-Nutzung führen.
3.15.3. Der EMM-Anbieter sollte keine konsistenten, unvollständigen oder absichtlich falschen Anfragen stellen, die nicht darauf abzielen, tatsächliche Unternehmensdaten abzurufen oder zu verwalten. Verhalten, das diesem Traffic-Muster entspricht, kann nach Ermessen von Google zur Sperrung der API-Nutzung führen.
3.16. Erweiterte Verwaltung verwalteter Konfigurationen
Der EMM unterstützt die folgenden erweiterten Funktionen zur Konfigurationsverwaltung:
3.16.1. Die EMM-Konsole muss in der Lage sein, die bis zu vier Ebenen verschachtelter Einstellungen für verwaltete Konfigurationen einer beliebigen Google Play-App abzurufen und anzuzeigen. Dazu wird Folgendes verwendet:
- iFrame von Managed Google Play oder
- eine benutzerdefinierte UI erstellen.
3.16.2. Die EMM-Konsole muss in der Lage sein, Feedback abzurufen und anzuzeigen, das über den Feedbackkanal einer App zurückgegeben wird, wenn dieser von einem IT-Administrator eingerichtet wurde.
- In der EMM-Konsole muss es IT-Administratoren möglich sein, ein bestimmtes Feedbackelement mit dem Gerät und der App zu verknüpfen, von dem es stammt.
- Die EMM-Konsole muss es IT-Administratoren ermöglichen, Benachrichtigungen oder Berichte zu bestimmten Nachrichtentypen (z. B. Fehlermeldungen) zu abonnieren.
3.16.3. Die EMM-Konsole darf nur Werte senden, die entweder einen Standardwert haben oder manuell vom Administrator festgelegt wurden. Dazu wird Folgendes verwendet:
- IFrame für verwaltete Konfigurationen oder
- Eine benutzerdefinierte Benutzeroberfläche.
3.17. Web-App-Verwaltung
IT-Administratoren können Web-Apps in der EMM-Konsole erstellen und verteilen.
3.17.1. Über die EMM-Konsole können IT-Administratoren Verknüpfungen zu Web-Apps verteilen, indem sie Folgendes verwenden:
- Der iFrame von Managed Google Play
- oder die Android Management API.
3.18. Lebenszyklusverwaltung für Managed Google Play-Konten
Der EMM-Anbieter kann im Namen von IT-Administratoren Managed Google Play-Konten erstellen, aktualisieren und löschen und abgelaufene Konten automatisch wiederherstellen.
Diese Funktion wird standardmäßig unterstützt. Es ist keine zusätzliche EMM-Implementierung erforderlich.
3.19. Verwaltung von App-Tracks
3.19.1. IT‑Administratoren können eine Liste der Track‑IDs abrufen, die ein Entwickler für eine bestimmte App festgelegt hat.
3.19.2. IT-Administratoren können Geräte so einstellen, dass sie einen bestimmten Entwicklungs-Track für eine Anwendung verwenden.
3.20. Erweiterte Verwaltung von Anwendungsupdates
IT-Administratoren können festlegen, dass Apps sofort aktualisiert werden, oder die Aktualisierung um 90 Tage verschieben.
3.20.1. IT-Administratoren können Apps erlauben, App-Updates mit hoher Priorität zu verwenden, damit sie aktualisiert werden, sobald ein Update verfügbar ist.
3.20.2. IT-Administratoren können zulassen, dass App-Updates für 90 Tage verschoben werden.
3.21. Verwaltung der Bereitstellungsmethoden
Der EMM-Anbieter kann Bereitstellungskonfigurationen generieren und diese dem IT-Administrator in einer Form präsentieren, die für die Verteilung an Endnutzer bereit ist (z. B. QR-Code, Zero-Touch-Konfiguration, Play Store-URL).
3.22. Unternehmensbindung aktualisieren
IT-Administratoren können den Bindungstyp der Kontogruppe auf eine verwaltete Google-Domain aktualisieren, damit die Organisation auf registrierten Geräten auf Google-Kontodienste und ‑funktionen zugreifen kann.
3.22.1. In der EMM-Konsole kann der IT-Administrator das Upgrade einer bestehenden Kontogruppe für Managed Google Play auf eine verwaltete Google-Domain mit den erforderlichen APIs auslösen.
3.22.2. EMMs sollten Pub/Sub verwenden, um Benachrichtigungen zu von IT-Admins initiierten Upgrade-Ereignissen zu erhalten (auch zu solchen, die außerhalb der EMM-Konsole auftreten), und ihre Benutzeroberfläche entsprechend aktualisieren.
3.23. Bereitstellung von verwalteten Google-Konten
Der EMM-Anbieter kann ein Gerät mit Unternehmensnutzerkonten, sogenannten verwalteten Google-Konten, bereitstellen. Diese Konten identifizieren verwaltete Nutzer und ermöglichen Regeln für die App-Bereitstellung sowie den Zugriff auf Google-Dienste. IT-Admins können außerdem eine Richtlinie festlegen, die die Authentifizierung mit einem verwalteten Google-Konto während oder nach der Registrierung erfordert.
3.23.1. Der EMM-Anbieter kann ein verwaltetes Google-Konto gemäß den festgelegten Implementierungsrichtlinien bereitstellen.
Dabei gilt:
- Dem Gerät wird ein verwaltetes Google-Konto hinzugefügt.
- Das verwaltete Google-Konto muss in der EMM-Konsole 1:1 den tatsächlichen Nutzern zugeordnet sein.
3.23.2. Der IT-Administrator kann die Richtlinie verwenden, um Nutzern die Möglichkeit zu geben, sich für die Registrierung in einem verwalteten Google-Konto anzumelden.
3.23.3. Der IT-Administrator kann mit der Richtlinie festlegen, ob sich der Nutzer in einem verwalteten Google-Konto anmelden muss, um die Registrierung abzuschließen.
3.23.4. IT-Administratoren können den Upgrade-Vorgang optional auf eine bestimmte Kontokennung (E-Mail-Adresse) für ein bestimmtes Gerät beschränken.
3.24. Upgrade des Managed Google Play-Kontos
IT-Administratoren können den Nutzerkontotyp auf ein verwaltetes Google-Konto upgraden, damit das Gerät auf Google-Kontodienste und ‑funktionen auf registrierten Geräten zugreifen kann.
3.24.1. IT-Administratoren können ein vorhandenes Managed Google Play-Konto auf einem Gerät auf ein verwaltetes Google-Konto upgraden.
3.24.2. IT-Administratoren können den Upgrade-Vorgang optional auf eine bestimmte Kontokennung (E-Mail-Adresse) für ein bestimmtes Gerät beschränken.
3.25. App-Rollen
Der EMM-Anbieter unterstützt die Gewährung von Sonderberechtigungen, die durch die verfügbaren Rollentypen angegeben werden, für eine vom IT-Administrator ausgewählte App. Zu diesen zusätzlichen Berechtigungen gehört die Möglichkeit, ohne Unterbrechung durch Energie- oder Hintergrundbeschränkungen, Sperrung, Ruhezustand und Nutzerkontrollen zu funktionieren.
3.25.1. Companion-Apps sind optional und ermöglichen es dem EMM, die Verwaltungsfunktionen mithilfe eines eigenen lokalen Clients auf einem Gerät zu erweitern. Wenn Ihre Lösung eine Companion-App enthält, müssen Sie Ihrer App automatisch (d.h. ohne Eingabe des IT-Administrators) die richtige Companion_App-Rolle zuweisen. Diese Rolle sollte nicht vom IT-Administrator konfigurierbar sein.
3.25.2. In der Konsole des EMM-Anbieters kann ein IT-Administrator jede der in „RoleType“ angegebenen Rollen zuweisen, mit Ausnahme von Companion_APP, die vom EMM-Anbieter zugewiesen wird.
3.25.3 Der EMM-Anbieter kann für jede Rolle geeignete Apps vorschlagen, darf die App-Auswahl jedoch nicht auf eine beliebige Liste beschränken.
3.26. Übertragung und Wiederherstellung von Gerätedaten
IT-Administratoren können die Datenübertragung und -wiederherstellung für vollständig verwaltete Geräte aktivieren, auf denen verwaltete Google-Konten installiert sind und die Google-App zur Wiederherstellung vorhanden ist. Dies ist ein Plattformangebot für vollständig verwaltete Geräte. Arbeitsprofile, einschließlich COPE und BYOD, werden von dieser Funktion nicht unterstützt.
3.26.1. In der EMM-Konsole können IT-Administratoren den Sicherungsdienst aktivieren, indem sie backupService in der AMAPI auf BACKUP_SERVICE_USER_CHOICE setzen, da die Funktion auf vollständig verwalteten Geräten standardmäßig deaktiviert ist.
4. Geräteverwaltung
4.1. Verwaltung von Richtlinien für Laufzeitberechtigungen
IT-Administratoren können im Hintergrund eine Standardantwort auf Anfragen von geschäftlichen Apps zu Laufzeitberechtigungen festlegen.
4.1.1. IT-Administratoren müssen die Möglichkeit haben, aus den folgenden Optionen auszuwählen, wenn sie eine Standardrichtlinie für Laufzeitberechtigungen für ihre Organisation festlegen:
- Aufforderung (Nutzer können auswählen)
- allow
- deny
Der EMM-Anbieter sollte diese Einstellungen mithilfe der Richtlinie erzwingen.
4.2. Verwaltung des Status für das Erteilen von Laufzeitberechtigungen
Nachdem Sie eine Standardrichtlinie für Laufzeitberechtigungen festgelegt haben (siehe 4.1), IT-Administratoren können Antworten für bestimmte Berechtigungen von geschäftlichen Apps, die auf API 23 oder höher basieren, im Hintergrund festlegen.
4.2.1. IT-Administratoren müssen in der Lage sein, den Berechtigungsstatus (Standard, Gewähren oder Ablehnen) für jede Berechtigungsanfrage festzulegen, die von einer geschäftlichen App angefordert wird, die auf API 23 oder höher basiert. Der EMM-Anbieter sollte diese Einstellungen mithilfe von Richtlinien erzwingen.
4.3. WLAN-Konfigurationsverwaltung
IT-Administratoren können WLAN-Konfigurationen für Unternehmen auf verwalteten Geräten automatisch bereitstellen, darunter:
4.3.1. SSID, mithilfe der Richtlinie.
4.3.2. Passwort, das der Richtlinie entspricht.
4.4. WLAN-Sicherheitsverwaltung
IT-Administratoren können WLAN-Konfigurationen für Unternehmen auf Geräten bereitstellen, die die folgenden erweiterten Sicherheitsfunktionen enthalten:
4.4.1. Identität
4.4.2. Zertifikate für die Clientautorisierung
4.4.3. CA-Zertifikate
4.5. Erweiterte WLAN-Verwaltung
IT-Administratoren können WLAN-Konfigurationen auf verwalteten Geräten sperren, um zu verhindern, dass Nutzer Konfigurationen erstellen oder unternehmensspezifische Konfigurationen ändern.
4.5.1. IT-Administratoren können WLAN-Konfigurationen des Unternehmens mithilfe einer Richtlinie in einer der folgenden Konfigurationen sperren:
- Nutzer können keine vom EMM bereitgestellten WLAN-Konfigurationen ändern (siehe
wifiConfigsLockdownEnabled), aber sie können ihre eigenen vom Nutzer konfigurierbaren Netzwerke (z. B. private Netzwerke) hinzufügen und ändern. - Nutzer können auf dem Gerät keine WLANs hinzufügen oder ändern (siehe
wifiConfigDisabled). Die WLAN-Verbindung ist auf die vom EMM bereitgestellten Netzwerke beschränkt.
4.6. Kontoverwaltung
IT-Administratoren können dafür sorgen, dass nur autorisierte Unternehmenskonten mit Unternehmensdaten für Dienste wie SaaS-Speicher und Produktivitäts-Apps oder E‑Mail interagieren können. Ohne diese Funktion können Nutzer diesen Unternehmens-Apps, die auch Privatnutzerkonten unterstützen, private Konten hinzufügen und so Unternehmensdaten für diese privaten Konten freigeben.
4.6.1. IT-Administratoren können verhindern, dass Nutzer Konten hinzufügen oder ändern (siehe modifyAccountsDisabled).
- Wenn diese Richtlinie auf einem Gerät erzwungen wird, müssen EMMs diese Einschränkung festlegen, bevor die Bereitstellung abgeschlossen ist. So wird verhindert, dass Nutzer diese Richtlinie umgehen, indem sie Konten hinzufügen, bevor die Richtlinie in Kraft tritt.
4.7. Workspace-Kontoverwaltung
Diese Funktion wurde eingestellt. Die Anforderungen für den Ersatz findest du unter 3.23.
4.8. Zertifikatsverwaltung
Ermöglicht IT-Administratoren, Identitätszertifikate und Zertifizierungsstellen auf Geräten bereitzustellen, um die Nutzung von Unternehmensressourcen zu ermöglichen.
4.8.1. IT-Administratoren können von ihrer PKI generierte Nutzeridentitätszertifikate pro Nutzer installieren. Die EMM-Konsole muss in mindestens eine PKI eingebunden sein und Zertifikate verteilen, die von dieser Infrastruktur generiert wurden.
4.8.2. IT-Administratoren können im verwalteten Schlüsselspeicher Zertifizierungsstellen installieren (siehe caCerts). Dieses Unterfeature wird jedoch nicht unterstützt.
4.9. Erweiterte Zertifikatsverwaltung
Ermöglicht IT-Administratoren, im Hintergrund die Zertifikate auszuwählen, die bestimmte verwaltete Apps verwenden sollen. Mit dieser Funktion können IT-Administratoren auch Zertifizierungsstellen und Identitätszertifikate von aktiven Geräten entfernen und verhindern, dass Nutzer im verwalteten Schlüsselspeicher gespeicherte Anmeldedaten ändern.
4.9.1. Für jede App, die auf Geräten bereitgestellt wird, können IT-Administratoren ein Zertifikat angeben, auf das die App während der Laufzeit automatisch Zugriff erhält. (Diese Unterfunktion wird nicht unterstützt)
- Die Zertifikatsauswahl muss so allgemein sein, dass eine einzige Konfiguration für alle Nutzer möglich ist, von denen jeder ein nutzerspezifisches Identitätszertifikat haben kann.
4.9.2. IT-Administratoren können Zertifikate im Hintergrund aus dem verwalteten Schlüsselspeicher entfernen.
4.9.3. IT‑Administratoren können ein CA-Zertifikat im Hintergrund deinstallieren. (Diese Unterfunktion wird nicht unterstützt)
4.9.4. IT-Administratoren können verhindern, dass Nutzer Anmeldedaten im verwalteten Schlüsselspeicher konfigurieren (siehe credentialsConfigDisabled).
4.9.5. IT-Administratoren können Zertifikate für geschäftliche Apps mit ChoosePrivateKeyRule vorab gewähren.
4.10. Delegierte Zertifikatsverwaltung
IT-Administratoren können eine Drittanbieter-App zur Zertifikatsverwaltung auf Geräten bereitstellen und der App privilegierten Zugriff zur Installation von Zertifikaten im verwalteten Schlüsselspeicher gewähren.
4.10.1. IT-Administratoren können ein Zertifikatsverwaltungspaket (siehe CERT_INSTALL DelegatedScope) als delegierte Zertifikatsverwaltungs-App festlegen.
- Die EMMs können optional bekannte Zertifikatverwaltungspakete vorschlagen, müssen dem IT-Administrator aber die Möglichkeit geben, für die entsprechenden Nutzer aus der Liste der zur Installation verfügbaren Apps auszuwählen.
4.11. Erweiterte VPN-Verwaltung
IT-Administratoren können ein durchgehend aktives VPN angeben, damit die Daten von bestimmten verwalteten Apps immer über ein eingerichtetes VPN übertragen werden.
4.11.1. IT-Administratoren können ein beliebiges VPN-Paket angeben, das als durchgehend aktives VPN festgelegt werden soll.
- In der EMM-Konsole können optional bekannte VPN-Pakete vorgeschlagen werden, die durchgehend aktives VPN unterstützen. Die für die Konfiguration von durchgehend aktivem VPN verfügbaren VPNs können jedoch nicht auf eine beliebige Liste beschränkt werden.
4.11.2. IT‑Administratoren können verwaltete Konfigurationen verwenden, um die VPN-Einstellungen für eine App festzulegen.
4.12. IME-Verwaltung
IT-Administratoren können festlegen, welche Eingabemethoden (IMEs) für Geräte eingerichtet werden können. Da die IME sowohl in beruflich genutzten als auch in privaten Profilen verwendet wird, können Nutzer diese IMEs auch nicht mehr privat nutzen, wenn sie blockiert werden. IT-Administratoren können die Verwendung von System-IMEs in Arbeitsprofilen jedoch nicht blockieren (weitere Informationen finden Sie unter „Erweiterte IME-Verwaltung“).
4.12.1. IT-Administratoren können eine IME-Zulassungsliste (unter permitted_input_methods) mit beliebiger Länge einrichten, die beliebige IME-Pakete enthalten kann. Eine leere Liste blockiert alle nicht systemeigenen IMEs.
- In der EMM-Konsole können optional bekannte oder empfohlene IMEs vorgeschlagen werden, die in die Zulassungsliste aufgenommen werden sollen. IT-Administratoren müssen jedoch die Möglichkeit haben, für die entsprechenden Nutzer aus der Liste der zur Installation verfügbaren Apps auszuwählen.
4.12.2. Die EMM-Lösung muss IT-Administratoren darüber informieren, dass System-IMEs auf Geräten mit Arbeitsprofilen nicht verwaltet werden.
4.13. Erweiterte IME-Verwaltung
IT-Administratoren können festlegen, welche Eingabemethoden (IMEs) Nutzer auf einem Gerät einrichten können. Die erweiterte IME-Verwaltung erweitert die grundlegende Funktion, indem IT-Administratoren auch die Verwendung von System-IMEs verwalten können, die normalerweise vom Gerätehersteller oder Mobilfunkanbieter des Geräts bereitgestellt werden.
4.13.1. IT-Administratoren können eine IME-Zulassungsliste (unter permitted_input_methods) mit beliebiger Länge einrichten (ausgenommen eine leere Liste, die alle IMEs einschließlich System-IMEs blockiert), die beliebige IME-Pakete enthalten kann.
- In der EMM-Konsole können optional bekannte oder empfohlene IMEs vorgeschlagen werden, die in die Zulassungsliste aufgenommen werden sollen. IT-Administratoren müssen jedoch die Möglichkeit haben, für die entsprechenden Nutzer aus der Liste der zur Installation verfügbaren Apps auszuwählen.
4.13.2. Der EMM-Anbieter muss verhindern, dass IT-Administratoren eine leere Zulassungsliste einrichten, da diese Einstellung die Einrichtung aller Eingabemethoden, einschließlich der System-Eingabemethoden, auf dem Gerät blockiert.
4.13.3. Der EMM-Anbieter muss dafür sorgen, dass Drittanbieter-IMEs automatisch installiert werden, bevor die Zulassungsliste auf dem Gerät angewendet wird, wenn eine IME-Zulassungsliste keine System-IMEs enthält.
4.14. Verwaltung von Bedienungshilfen
IT-Administratoren können festlegen, welche Bedienungshilfen Nutzer auf Geräten zulassen dürfen. Bedienungshilfen sind leistungsstarke Tools für Nutzer mit Beeinträchtigungen oder Nutzer, die vorübergehend nicht in der Lage sind, vollständig mit einem Gerät zu interagieren. Sie können jedoch auf eine Weise mit Unternehmensdaten interagieren, die nicht den Unternehmensrichtlinien entspricht. Mit dieser Funktion können IT-Administratoren alle Bedienungshilfen deaktivieren, die nicht zum System gehören.
4.14.1. IT-Administratoren können eine Zulassungsliste für Bedienungshilfen (siehe permittedAccessibilityServices) mit beliebiger Länge einrichten, einschließlich einer leeren Liste, die Bedienungshilfen blockiert, die nicht zum System gehören. Diese Liste kann ein beliebiges Paket für Bedienungshilfen enthalten. Wenn sie auf ein Arbeitsprofil angewendet wird, wirkt sich das sowohl auf das private Profil als auch auf das Arbeitsprofil aus.
- Die Konsole kann optional bekannte oder empfohlene Bedienungshilfen vorschlagen, die in die Zulassungsliste aufgenommen werden sollen. IT-Administratoren müssen jedoch die Möglichkeit haben, für die entsprechenden Nutzer aus der Liste der zur Installation verfügbaren Apps auszuwählen.
4.15. Verwaltung der Standortfreigabe
IT-Administratoren können verhindern, dass Nutzer Standortdaten für Apps im Arbeitsprofil freigeben. Andernfalls kann die Standorteinstellung im Arbeitsprofil in den Einstellungen konfiguriert werden.
4.15.1. IT‑Administratoren können Standortdienste im Arbeitsprofil deaktivieren (siehe shareLocationDisabled).
4.16. Erweiterte Verwaltung der Standortfreigabe
IT-Administratoren können auf einem verwalteten Gerät eine bestimmte Einstellung für die Standortfreigabe erzwingen. Mit dieser Funktion können Sie dafür sorgen, dass geschäftliche Apps immer Standortdaten mit hoher Genauigkeit haben. Diese Funktion kann auch dafür sorgen, dass der Akku nicht zusätzlich beansprucht wird, indem die Standorteinstellungen auf den Energiesparmodus beschränkt werden.
4.16.1. IT-Administratoren können die Standortdienste für Geräte auf einen der folgenden Modi festlegen:
- Hohe Genauigkeit.
- Nur Sensoren, z. B. GPS, aber nicht der vom Netzwerk bereitgestellte Standort.
- Energiesparmodus, der die Aktualisierungshäufigkeit einschränkt.
- Deaktiviert.
4.17. Verwaltung des Schutzes vor Zurücksetzen
Ermöglicht IT-Administratoren, unternehmenseigene Geräte vor Diebstahl zu schützen, indem sie verhindern, dass nicht autorisierte Nutzer Geräte auf die Werkseinstellungen zurücksetzen. Wenn der Schutz vor Zurücksetzen auf die Werkseinstellungen zu betrieblichen Komplexitäten führt, wenn Geräte an die IT zurückgegeben werden, können IT-Administratoren den Schutz vor Zurücksetzen auf die Werkseinstellungen vollständig deaktivieren.
4.17.1. IT-Administratoren können verhindern, dass Nutzer ihr Gerät über die Einstellungen auf die Werkseinstellungen zurücksetzen (siehe factoryResetDisabled).
4.17.2. IT‑Administratoren können Unternehmenskonten zum Entsperren angeben, die berechtigt sind, Geräte nach dem Zurücksetzen auf die Werkseinstellungen bereitzustellen (siehe frpAdminEmails).
- Dieses Konto kann mit einer Einzelperson verknüpft oder vom gesamten Unternehmen zum Entsperren von Geräten verwendet werden.
4.17.3. IT-Administratoren können den Schutz vor Zurücksetzen für bestimmte Geräte deaktivieren (siehe factoryResetDisabled).
4.17.4. IT‑Administratoren können ein Remote-Gerät löschen und dabei optional die Daten zum Schutz vor Zurücksetzen löschen. Dadurch wird der Schutz vor Zurücksetzen auf dem zurückgesetzten Gerät entfernt.
4.18. Erweiterte App-Steuerung
IT-Administratoren können verhindern, dass Nutzer verwaltete Apps über die Einstellungen deinstallieren oder anderweitig ändern. Beispielsweise kann verhindert werden, dass die App beendet oder der Datencache einer App geleert wird.
4.18.1. IT-Administratoren können die Deinstallation beliebiger verwalteter Apps oder aller verwalteten Apps blockieren (siehe uninstallAppsDisabled).
4.18.2. IT-Administratoren können verhindern, dass Nutzer Anwendungsdaten über die Einstellungen ändern. (Die Android Management API unterstützt diese Unterfunktion nicht.)
4.19. Verwaltung von Bildschirmaufnahmen
IT-Administratoren können verhindern, dass Nutzer Screenshots aufnehmen, wenn sie verwaltete Apps verwenden. Diese Einstellung umfasst das Blockieren von Apps für die Bildschirmfreigabe und ähnlichen Apps (z. B. Google Assistant), die die Screenshot-Funktionen des Systems verwenden.
4.19.1. IT-Administratoren können verhindern, dass Nutzer Screenshots aufnehmen (siehe screenCaptureDisabled).
4.20. Kameras deaktivieren
IT-Administratoren können die Verwendung von Gerätekameras durch verwaltete Apps deaktivieren.
4.20.1. IT-Administratoren können die Verwendung von Gerätekameras durch verwaltete Apps deaktivieren (siehe cameraDisabled).
4.21. Erfassung von Netzwerkstatistiken
Diese Funktion wird von der Android Management API nicht unterstützt.
4.22. Erweiterte Erfassung von Netzwerkstatistiken
Diese Funktion wird von der Android Management API nicht unterstützt.
4.23. Gerät neu starten
IT-Administratoren können verwaltete Geräte per Remote-Zugriff neu starten.
4.23.1. IT-Administratoren können ein verwaltetes Gerät aus der Ferne neu starten.
4.24. Verwaltung der Funkschnittstellen von Systemen
IT-Administratoren können die Systemnetzwerk-Funkmodule und die zugehörigen Nutzungsrichtlinien mithilfe von Richtlinien detailliert verwalten.
4.24.1. IT‑Administratoren können von Mobilfunkanbietern gesendete Cell Broadcasts deaktivieren (siehe cellBroadcastsConfigDisabled).
4.24.2. IT-Administratoren können verhindern, dass Nutzer die Mobilfunknetz-Einstellungen in den Einstellungen ändern (mobileNetworksConfigDisabled).
4.24.3. IT-Administratoren können verhindern, dass Nutzer alle Netzwerkeinstellungen in den Einstellungen zurücksetzen. (networkResetDisabled aufrufen).
4.24.4. IT‑Administratoren können festlegen, ob das Gerät mobile Daten beim Roaming zulässt (siehe dataRoamingDisabled).
4.24.5. IT-Administratoren können festlegen, ob das Gerät ausgehende Anrufe tätigen kann, ausgenommen Notrufe (siehe outGoingCallsDisabled).
4.24.6. IT-Administratoren können festlegen, ob das Gerät Nachrichten senden und empfangen kann (siehe smsDisabled).
4.24.7. IT-Administratoren können verhindern, dass Nutzer ihr Gerät per Tethering als tragbaren Hotspot verwenden (siehe tetheringConfigDisabled).
4.24.8. IT‑Administratoren können das WLAN-Zeitlimit auf „Standard“, „Wenn angeschlossen“ oder „Nie“ festlegen. (Die Android Management API unterstützt diese Unterfunktion nicht.)
4.24.9. IT-Administratoren können verhindern, dass Nutzer Bluetooth-Verbindungen einrichten oder vorhandene ändern (siehe bluetoothConfigDisabled).
4.25. Verwaltung der Audiofunktionen von Systemen
IT-Administratoren können Audiofunktionen von Geräten im Hintergrund steuern, z. B. das Gerät stummschalten, verhindern, dass Nutzer die Lautstärkeeinstellungen ändern, und verhindern, dass Nutzer die Stummschaltung des Gerätemikrofons aufheben.
4.25.1. IT‑Administratoren können verwaltete Geräte stummschalten, ohne dass der Nutzer dies bemerkt. (Die Android Management API unterstützt diese Unterfunktion nicht.)
4.25.2. IT‑Administratoren können verhindern, dass Nutzer die Lautstärkeeinstellungen des Geräts ändern (siehe adjustVolumeDisabled). Dadurch werden die Geräte auch stummgeschaltet.
4.25.3. IT‑Administratoren können verhindern, dass Nutzer die Stummschaltung des Gerätemikrofons aufheben (siehe unmuteMicrophoneDisabled).
4.26. Verwaltung der Systemuhr
IT-Administratoren können die Einstellungen für die Geräteuhr und die Zeitzone verwalten und verhindern, dass Nutzer automatische Geräteeinstellungen ändern.
4.26.1. IT‑Administratoren können die automatische Einstellung von Uhrzeit und Zeitzone erzwingen, sodass Nutzer das Datum, die Uhrzeit und die Zeitzone des Geräts nicht selbst festlegen können.
4.27. Erweiterte Funktionen für zweckbestimmte Geräte
Für zweckbestimmte Geräte können IT-Administratoren die folgenden Funktionen mithilfe von Richtlinien verwalten, um verschiedene Kiosk-Anwendungsfälle zu unterstützen.
4.27.1. IT-Administratoren können die Displaysperre des Geräts deaktivieren (siehe keyguardDisabled).
4.27.2. IT-Administratoren können die Gerätestatusleiste deaktivieren, um Benachrichtigungen und Schnelleinstellungen zu blockieren (siehe statusBarDisabled).
4.27.3. IT-Administratoren können erzwingen, dass das Display des Geräts eingeschaltet bleibt, während das Gerät an die Stromversorgung angeschlossen ist (siehe stayOnPluggedModes).
4.27.4. IT-Administratoren können verhindern, dass die folgenden System-UIs angezeigt werden (siehe createWindowsDisabled):
- Toasts
- Anwendungs-Overlays.
4.27.5. IT-Administratoren können die Systemempfehlung für Apps zulassen, damit diese beim ersten Start das Nutzertutorial und andere Einführungshinweise überspringen (siehe skip_first_use_hints).
4.28. Delegierte Bereichsverwaltung
IT-Administratoren können einzelnen Paketen zusätzliche Berechtigungen zuweisen.
4.28.1. IT-Administratoren können die folgenden Bereiche verwalten:
- Zertifikatsinstallation und -verwaltung
- Absichtlich leer
- Netzwerk-Logging
- Sicherheitsprotokollierung (nicht unterstützt für Arbeitsprofile auf privaten Geräten)
4.29. Registrierungsspezifische ID-Unterstützung
Ab Android 12 haben Arbeitsprofile keinen Zugriff mehr auf hardwarespezifische Kennungen. IT-Administratoren können den Lebenszyklus eines Geräts mit einem Arbeitsprofil anhand der registrierungsspezifischen ID verfolgen, die auch nach dem Zurücksetzen auf die Werkseinstellungen erhalten bleibt.
4.29.1. IT-Administratoren können eine registrierungsspezifische ID erhalten.
4.29.2. Diese registrierungsspezifische ID muss auch nach dem Zurücksetzen auf die Werkseinstellungen erhalten bleiben.
4.30. Credential Manager-Richtlinie
IT-Administratoren können mit der Standardrichtlinie für Anmeldedatenanbieter oder der Richtlinie für Anmeldedatenanbieter festlegen, welche Anmeldedaten-Manager-Anwendungen zulässig oder blockiert sind.
4.30.1 IT-Administratoren können alle Credential Manager auf dem Gerät (oder im Arbeitsprofil) mithilfe einer Richtlinie blockieren.
4.30.2 IT-Administratoren können standardmäßig nur Systemanmeldedatenanbieter zulassen, wie in der Standardrichtlinie für Anmeldedatenanbieter gezeigt.
4.30.3 IT-Administratoren können eine Liste von Paketnamen angeben, um die Funktionen des Credential Managers zu aktivieren.
4.31. Grundlegende eSIM-Verwaltung
IT-Administratoren können ein Gerät mit einem eSIM-Profil bereitstellen und den Lebenszyklus des Profils auf dem Gerät verwalten.
4.31.1 IT-Administratoren können ein eSIM-Profil per Richtlinie automatisch auf einem Gerät bereitstellen.
4.31.2 IT-Administratoren können verwaltete eSIMs mithilfe von Richtlinien von einem Gerät löschen.
4.31.3 IT-Administratoren können verhindern, dass Nutzer die Mobilfunknetz-Einstellungen in den Einstellungen ändern (mobileNetworksConfigDisabled aufrufen).
4.31.4 IT-Administratoren können einen Befehl zum Löschen von Daten per Remote-Zugriff an ein Gerät oder Arbeitsprofil senden. Mit diesem Befehl werden optional verwaltete eSIMs vom Gerät entfernt. Standardmäßig werden verwaltete eSIMs aus Arbeitsprofilen auf privaten Geräten entfernt, auf unternehmenseigenen Geräten jedoch beibehalten.
4.31.5 IT-Administratoren können die EID-Kennung (Embedded Identity Document) eines Geräts über die Benutzeroberfläche der EMM-Konsole (oder eine entsprechende Methode) abrufen.
5. Nutzerfreundlichkeit von Geräten
5.1. Anpassung der verwalteten Bereitstellung
IT-Administratoren können die Standardeinrichtung so anpassen, dass sie unternehmensspezifische Funktionen enthält. Optional können IT-Administratoren während der Bereitstellung das vom EMM-Anbieter bereitgestellte Branding anzeigen lassen.
5.1.1. IT-Administratoren können den Bereitstellungsprozess anpassen, indem sie unternehmensspezifische Nutzungsbedingungen und andere Haftungsausschlüsse angeben (siehe termsAndConditions).
5.1.2. IT-Administratoren können nicht konfigurierbare, EMM-spezifische Nutzungsbedingungen und andere Haftungsausschlüsse bereitstellen (siehe termsAndConditions).
- EMMs können ihre nicht konfigurierbare, EMM-spezifische Anpassung als Standard für Bereitstellungen festlegen, müssen IT-Administratoren jedoch die Möglichkeit geben, ihre eigene Anpassung einzurichten.
5.1.3. primaryColor wurde für die Unternehmensressource unter Android 10 und höher eingestellt.
5.2. Anpassung für Unternehmen
Diese Funktion wird von der Android Management API nicht unterstützt.
5.3. Erweiterte Anpassung für Unternehmen
Diese Funktion wird von der Android Management API nicht unterstützt.
5.4. Nachrichten auf dem Sperrbildschirm
IT-Administratoren können eine benutzerdefinierte Nachricht festlegen, die immer auf dem Sperrbildschirm des Geräts angezeigt wird und ohne Entsperren des Geräts gelesen werden kann.
5.4.1. IT-Administratoren können eine benutzerdefinierte Nachricht für den Sperrbildschirm festlegen (siehe deviceOwnerLockScreenInfo).
5.5. Verwaltung der Richtlinientransparenz
IT-Administratoren können den Hilfetext anpassen, der Nutzern angezeigt wird, wenn sie versuchen, verwaltete Einstellungen auf ihrem Gerät zu ändern, oder eine vom EMM bereitgestellte allgemeine Supportnachricht bereitstellen. Sowohl kurze als auch lange Supportnachrichten können angepasst werden und werden beispielsweise angezeigt, wenn versucht wird, eine verwaltete App zu deinstallieren, für die ein IT-Administrator die Deinstallation bereits blockiert hat.
5.5.1. IT-Administratoren können kurze und lange für Nutzer sichtbare Supportnachrichten anpassen.
5.5.2. IT-Administratoren können nicht konfigurierbare, EMM-spezifische, kurze und lange Supportnachrichten bereitstellen (siehe shortSupportMessage und longSupportMessage in policies).
- EMM-Anbieter können ihre nicht konfigurierbaren, EMM-spezifischen Supportnachrichten als Standard für Bereitstellungen festlegen, müssen IT-Administratoren jedoch erlauben, eigene Nachrichten einzurichten.
5.6. Profilübergreifende Kontaktverwaltung
5.6.1. IT-Administratoren können die Anzeige von geschäftlichen Kontakten in der Kontaktsuche und bei eingehenden Anrufen im privaten Profil deaktivieren.
5.6.2. IT-Administratoren können die Freigabe von Arbeitskontakten über Bluetooth deaktivieren, z. B. für Freisprechanrufe im Auto oder über Headsets.
5.7. Profilübergreifende Datenverwaltung
IT-Administratoren können festlegen, welche Datentypen zwischen dem Arbeits- und dem privaten Profil geteilt werden dürfen. So können sie die Nutzerfreundlichkeit und die Datensicherheit entsprechend ihren Anforderungen aufeinander abstimmen.
5.7.1. IT-Administratoren können die Richtlinie für die profilübergreifende Datenweitergabe konfigurieren, damit private Apps Intents aus dem Arbeitsprofil auflösen können, z. B. Intents für die Freigabe oder Weblinks.
5.7.2. IT‑Administratoren können zulassen, dass Apps aus dem Arbeitsprofil Widgets auf dem Startbildschirm des privaten Profils erstellen und anzeigen. Diese Funktion ist standardmäßig deaktiviert, kann aber mit den Feldern workProfileWidgets und workProfileWidgetsDefault auf „Zulässig“ gesetzt werden.
5.7.3. IT‑Administratoren können die Möglichkeit zum Kopieren und Einfügen zwischen dem Arbeits- und dem privaten Profil steuern.
5.8. Richtlinien für Systemupdates
IT-Administratoren können OTA-Systemupdates (Over The Air) auf Geräten einrichten und anwenden.
5.8.1. In der EMM-Konsole können IT-Administratoren die folgenden OTA-Konfigurationen festlegen:
- Automatisch: Auf Geräten werden Over-the-Air-Updates installiert, sobald sie verfügbar sind.
- Verschieben: IT-Administratoren müssen in der Lage sein, Over-the-air-Updates um bis zu 30 Tage zu verschieben. Diese Richtlinie hat keine Auswirkungen auf Sicherheitsupdates, z.B. monatliche Sicherheitspatches.
- Zeitfenster: IT-Administratoren müssen in der Lage sein, Over-the-air-Updates innerhalb eines täglichen Wartungsfensters zu planen.
5.8.2. OTA-Konfigurationen werden mithilfe von Richtlinien auf Geräte angewendet.
5.9. Verwaltung des Modus „gesperrte Aufgabe“
IT-Administratoren können eine oder mehrere Apps auf dem Bildschirm sperren und dafür sorgen, dass Nutzer die App nicht schließen können.
5.9.1. Über die EMM-Konsole können IT-Administratoren eine beliebige Anzahl von Apps automatisch installieren und auf einem Gerät sperren. Mit der Richtlinie können zweckbestimmte Geräte eingerichtet werden.
5.10. Dauerhafte Verwaltung bevorzugter Aktivitäten
Ermöglicht IT-Administratoren, eine App als Standard-Intent-Handler für Intents festzulegen, die einem bestimmten Intent-Filter entsprechen. Mit dieser Funktion können IT-Administratoren beispielsweise festlegen, welche Browser-App Weblinks automatisch öffnet. Mit dieser Funktion kann festgelegt werden, welche Launcher-App verwendet wird, wenn auf den Home-Button getippt wird.
5.10.1. IT-Administratoren können jedes Paket als Standard-Intent-Handler für einen beliebigen Intent-Filter festlegen.
- Die EMM-Konsole kann optional bekannte oder empfohlene Intents für die Konfiguration vorschlagen, Intents jedoch nicht auf eine beliebige Liste beschränken.
- In der EMM-Konsole müssen IT-Administratoren die Möglichkeit haben, aus der Liste der Apps auszuwählen, die für die entsprechenden Nutzer zur Installation verfügbar sind.
5.11. Verwaltung der Keyguard-Funktion
IT-Administratoren können die Funktionen verwalten, auf die Nutzer Zugriff haben, bevor sie den Sperrbildschirm des Geräts und den des Arbeitsprofils entsperren.
5.11.1. Mit der Richtlinie können die folgenden Funktionen für die Displaysperre deaktiviert werden:
- Trust Agents
- Entsperren mit Fingerabdruck
- unredigierte Benachrichtigungen
5.11.2. Die folgenden Sperrbildschirmfunktionen des Arbeitsprofils können mithilfe der Richtlinie deaktiviert werden:
- Trust Agents
- Entsperren mit Fingerabdruck
5.12. Erweiterte Verwaltung der Keyguard-Funktion
- Sichere Kamera
- Alle Benachrichtigungen
- Nicht geschwärzt
- Trust Agents
- Entsperren mit Fingerabdruck
- Alle Keyguard-Funktionen
5.13. Remote-Debugging
Die Android Management API unterstützt diese Funktion nicht.
5.14. Abruf der MAC-Adresse
EMMs können die MAC-Adresse eines Geräts im Hintergrund abrufen, um Geräte in anderen Teilen der Unternehmensinfrastruktur zu identifizieren (z. B. bei der Identifizierung von Geräten für die Netzwerkzugriffssteuerung).
5.14.1. Der EMM-Anbieter kann die MAC-Adresse eines Geräts im Hintergrund abrufen und sie in der EMM-Konsole mit dem Gerät verknüpfen.
5.15. Erweiterte Verwaltung des Modus „gesperrte Aufgabe“
Bei einem zweckbestimmten Gerät können IT-Administratoren die EMM-Konsole für folgende Aufgaben verwenden:
5.15.1. Eine einzelne App installieren und auf einem Gerät sperren, ohne dass der Nutzer dies bemerkt.
5.15.2. Aktiviere oder deaktiviere die folgenden Funktionen der System-UI:
- Button „Startseite“
- Übersicht
- Globale Aktionen
- Benachrichtigungen
- Systeminfo / Statusleiste
- Sperrbildschirm Diese Unterfunktion ist standardmäßig aktiviert, wenn 5.15.1 implementiert ist.
5.15.3. Deaktivieren Sie Systemfehlerdialoge.
5.16. Erweiterte Richtlinie für Systemupdates
IT-Administratoren können einen bestimmten Zeitraum festlegen, in dem Systemupdates auf einem Gerät blockiert werden.
5.16.1. In der EMM-Konsole muss es IT-Administratoren möglich sein, OTA-Systemupdates (Over The Air) für einen bestimmten Zeitraum zu blockieren.
5.17. Verwaltung der Transparenz von Richtlinien für Arbeitsprofile
IT‑Administratoren können die Nachricht anpassen, die Nutzern angezeigt wird, wenn das Arbeitsprofil von einem Gerät entfernt wird.
5.17.1. IT-Administratoren können benutzerdefinierten Text angeben (siehe wipeReasonMessage), der angezeigt wird, wenn ein Arbeitsprofil gelöscht wird.
5.18. Unterstützung für verbundene Apps
IT-Administratoren können eine Liste von Paketen festlegen, die über die Grenze des Arbeitsprofils hinweg kommunizieren können, indem sie ConnectedWorkAndPersonalApp festlegen.
5.19. Manuelles Systemupdate
Diese Funktion wird von der Android Management API nicht unterstützt.
6. Einstellung von Device Admin
Dieser Abschnitt wurde entfernt.
7. API-Nutzung
7.1. Standard-Policy Controller für neue Bindungen
Standardmäßig müssen Geräte für alle neuen Bindungen über die Android Device Policy verwaltet werden. EMMs bieten möglicherweise die Option, Geräte mit einem benutzerdefinierten DPC in einem Einstellungsbereich unter der Überschrift „Erweitert“ oder einer ähnlichen Bezeichnung zu verwalten. Neukunden dürfen während des Onboardings oder der Einrichtung nicht mit einer willkürlichen Auswahl zwischen Technologie-Stacks konfrontiert werden.
7.2. Standard-Device Policy Controller für neue Geräte
Standardmäßig müssen Geräte für alle neuen Geräteregistrierungen, sowohl für bestehende als auch für neue Bindungen, mit Android Device Policy verwaltet werden. EMMs bieten möglicherweise die Option, Geräte mit einem benutzerdefinierten DPC in einem Einstellungsbereich unter der Überschrift „Erweitert“ oder einer ähnlichen Bezeichnung zu verwalten.