בדף הזה מפורטות כל התכונות של Android Enterprise.
אם אתם מתכוונים לנהל יותר מ-500 מכשירים, פתרון ה-EMM שלכם חייב לתמוך בכל התכונות הרגילות () של קבוצת פתרונות אחת לפחות, לפני שתוכלו להפוך אותו לזמין באופן מסחרי. מפתחי EMM שרוצים שהפתרונות שלהם יופיעו בספריית הפתרונות לארגונים של Android כפתרונות שמציעים קבוצת תכונות רגילה לניהול, צריכים לעבור אימות של תכונות רגילות ולהצטרף ל-Android Enterprise Partner Program.
לכל קבוצת פתרונות יש קבוצה נוספת של תכונות מתקדמות. התכונות האלה מצוינות בכל דף של קבוצת פתרונות: פרופיל עבודה במכשיר בבעלות אישית, פרופיל עבודה במכשיר בבעלות החברה, מכשיר בניהול מלא ומכשיר ייעודי. מפתחי EMM שחברים בתוכנית השותפים של AE, ושהפתרונות שלהם עוברים אימות של תכונות מתקדמות, מופיעים בספריית הפתרונות לארגונים של Android כספקים שמציעים חבילת ניהול מתקדמת.
מפתח
| תכונה רגילה אחת () | תכונה מתקדמת אחת | תכונה אופציונלית | לא רלוונטי |
1. הקצאת הרשאות למכשירים
1.1. הקצאת פרופיל עבודה שמתחיל ב-DPC
אחרי שמורידים את Android Device Policy מ-Google Play, המשתמשים יכולים להקצות פרופיל עבודה.
1.1.1. ספק ה-EMM נותן לאדמין ממחלקת ה-IT קוד QR או קוד הפעלה כדי לתמוך בשיטת ההקצאה הזו (עוברים אל רישום והקצאה של מכשיר).
1.2. הקצאת מכשירים באמצעות מזהה DPC
הזנת "afw#" באשף ההגדרה של המכשיר מקצה מכשיר מנוהל באופן מלא או מכשיר ייעודי.
1.2.1. ה-EMM מספק לאדמין ממחלקת ה-IT קוד QR או קוד הפעלה כדי לתמוך בשיטת ההקצאה הזו (עוברים אל רישום והקצאה של מכשיר).
1.3. הקצאת מכשיר NFC
אדמינים ממחלקת IT יכולים להשתמש בתגי NFC כדי להקצות מכשירים חדשים או מכשירים שאופסו להגדרות המקוריות, בהתאם להנחיות ההטמעה שמוגדרות במאמרי העזרה למפתחים של Play EMM API.
1.3.1. ספקי EMM חייבים להשתמש בתגי NFC Forum Type 2 עם זיכרון של 888 בייטים לפחות. כדי להעביר למכשיר פרטי רישום לא רגישים, כמו מזהי שרתים ומזהי הרשמה, צריך להשתמש בתוספות להקצאת הרשאות. פרטי הרישום לא צריכים לכלול מידע רגיש, כמו סיסמאות או אישורים.
1.3.2. אנחנו ממליצים להשתמש בתגי NFC ב-Android מגרסה 10 ואילך, כי הוצאנו משימוש את NFC Beam (שנקרא גם NFC Bump).
1.4. הקצאת מכשיר באמצעות קוד QR
במסוף של ה-EMM אפשר ליצור קוד QR שאדמינים ממחלקת ה-IT יכולים לסרוק כדי להקצות מכשיר ייעודי או מכשיר בניהול מלא, בהתאם להנחיות ההטמעה שמוגדרות במאמרי העזרה למפתחים של Android Management API.
1.4.1. קוד ה-QR חייב להשתמש בתוספות להקצאת הרשאות כדי להעביר למכשיר פרטי רישום לא רגישים (כמו מזהי שרתים, מזהי הרשמה). פרטי הרישום לא יכולים לכלול מידע רגיש, כמו סיסמאות או אישורים.
1.5. שיוך אוטומטי לארגון
הדרישה הזו הוחלפה בדרישה 1.6.
1.6. הקצאה ללא מגע יד אדם (ZTP)
| |
אדמינים ממחלקת IT יכולים להפוך חלק גדול מתהליך רישום המכשירים לאוטומטי באמצעות שיוך אוטומטי לארגון. בשילוב עם כתובות URL לכניסה, אדמינים ממחלקת IT יכולים להגביל את ההרשמה לחשבונות או לדומיינים ספציפיים, בהתאם לאפשרויות ההגדרה שמוצעות על ידי ה-EMM.
1.6.1. אדמינים ממחלקת IT יכולים להקצות מכשיר בבעלות החברה באמצעות שיטת השיוך האוטומטי לארגון.
1.6.2. הדרישה הזו הוצאה משימוש.
1.6.3. באמצעות כתובת ה-URL לכניסה, ספק ה-EMM צריך לוודא שמשתמשים לא מורשים לא יכולים להמשיך בתהליך ההפעלה. לכל הפחות, ההפעלה חייבת להיות מוגבלת למשתמשים של ארגון מסוים.
1.6.4. באמצעות כתובת ה-URL לכניסה, ספק ה-EMM צריך לאפשר לאדמינים ממחלקת IT לאכלס מראש שדות של פרטי רישום (לדוגמה, מזהי שרתים, מזהי הרשמה) מלבד פרטים ייחודיים של משתמשים או מכשירים (לדוגמה, שם משתמש/סיסמה, אסימון הפעלה), כדי שהמשתמשים לא יצטרכו להזין פרטים כשהם מפעילים מכשיר.
- ספקי EMM לא יכולים לכלול מידע רגיש, כמו סיסמאות או אישורים, בהגדרות של השיוך האוטומטי לארגון.
1.7. הקצאת פרופיל עבודה בחשבון Google
הדרישה הזו הוסרה והוחלפה בדרישה 3.23.
1.8. הקצאת מכשירים בחשבון Google
הדרישה הזו הוסרה והוחלפה בדרישה 3.23.
1.9. הגדרה ישירה של שיוך אוטומטי
אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי להגדיר מכשירים ב-"הרשמה דרך הארגון" באמצעות ה-iframe של "הרשמה דרך הארגון".
1.10. פרופילי עבודה במכשירים בבעלות החברה
כדי לרשום מכשירים בבעלות החברה שיש להם פרופיל עבודה, ספקי EMM יכולים להגדיר את AllowPersonalUsage.
1.10.1. השורה הזו ריקה בכוונה.
1.10.2. אדמינים ממחלקת IT יכולים להגדיר פעולות תאימות לפרופילי עבודה במכשירים בבעלות החברה באמצעות PersonalUsagePolicies.
1.10.3. אדמינים ממחלקת IT יכולים להשבית את המצלמה בפרופיל העבודה או במכשיר כולו דרך PersonalUsagePolicies.
1.10.4. אדמינים ממחלקת ה-IT יכולים להשבית את האפשרות לצלם את המסך בפרופיל העבודה או במכשיר כולו באמצעות PersonalUsagePolicies.
1.10.5. אדמינים ממחלקת IT יכולים להגדיר רשימת חסימה של אפליקציות שאי אפשר להתקין בפרופיל האישי באמצעות PersonalApplicationPolicy.
1.10.6. אדמינים ממחלקת IT יכולים לוותר על הניהול של מכשיר בבעלות החברה באמצעות הפקודה לוותר ב-AMAPI.
1.11. הקצאת מכשיר ייעודי
אדמינים ממחלקת IT יכולים לרשום מכשירים ייעודיים בלי שהמשתמש יתבקש לאמת את הזהות שלו באמצעות חשבון Google.
2. אבטחת המכשיר
2.1. מבחן אבטחה במכשיר
אדמינים ממחלקת IT יכולים להגדיר ולאכוף אתגר אבטחה במכשיר (קוד אימות/דפוס/סיסמה) מתוך מבחר מוגדר מראש של 3 רמות מורכבות במכשירים מנוהלים.
2.1.1. המדיניות חייבת לאכוף הגדרות שמנהלות את אתגרי האבטחה של המכשיר (parentProfilePasswordRequirements לפרופיל עבודה, passwordRequirements למכשירים ייעודיים ומנוהלים באופן מלא).
2.1.2. רמת המורכבות של הסיסמה צריכה להתאים לרמות המורכבות הבאות:
- PASSWORD_COMPLEXITY_LOW – קו ביטול נעילה או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468), סיסמה אלפביתית או סיסמה אלפאנומרית באורך של 4 תווים לפחות
- PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468) באורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות
2.1.3. במכשירים בבעלות החברה, אפשר גם לאכוף הגבלות נוספות על סיסמאות כהגדרות מדור קודם.
2.2. מבחן אבטחה בעבודה
אדמינים ממחלקת IT יכולים להגדיר ולאכוף אימות אבטחה לאפליקציות ולנתונים בפרופיל העבודה, שהוא נפרד ויש לו דרישות שונות מאימות האבטחה של המכשיר (2.1.).
2.2.1. המדיניות צריכה לאכוף את אתגר האבטחה בפרופיל העבודה.
- כברירת מחדל, אדמינים ממחלקת IT צריכים להגדיר הגבלות רק לפרופיל העבודה אם לא צוין היקף
- אדמינים ממחלקת IT יכולים להגדיר את זה ברמת המכשיר על ידי ציון ההיקף (ראו דרישה 2.1)
2.2.2. רמת המורכבות של הסיסמה צריכה להתאים לאחת מרמות המורכבות הבאות:
- PASSWORD_COMPLEXITY_LOW – קו ביטול נעילה או קוד אימות עם רצפים חוזרים (4444) או רצפים מסודרים (1234, 4321, 2468).
- PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468), סיסמה אלפביתית או סיסמה אלפאנומרית באורך של 4 תווים לפחות
- PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או רצפים בסדר עולה או יורד (1234, 4321, 2468) באורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות
2.2.3. אפשר גם לאכוף הגבלות נוספות על סיסמאות כהגדרות מדור קודם
2.3. ניהול מתקדם של קודי גישה
אדמינים ממחלקת IT יכולים לקבוע הגדרות סיסמה מתקדמות במכשירים.
2.3.1. השורה הזו ריקה בכוונה.
2.3.2. השורה הזו ריקה בכוונה.
2.3.3. אפשר להגדיר את ההגדרות הבאות של מחזור החיים של הסיסמה לכל מסך נעילה שזמין במכשיר:
- Deliberately blank
- Deliberately blank
- מספר מקסימלי של סיסמאות שגויות לפני איפוס: מספר הפעמים שמשתמשים יכולים להזין סיסמה שגויה לפני שהנתונים של הארגון יאופסו במכשיר. לאדמינים ממחלקת ה-IT צריכה להיות אפשרות להשבית את התכונה הזו.
2.3.4. (Android 8.0 ואילך) זמן קצוב לתפוגה של אימות חזק: צריך להזין קוד אימות חזק (כמו קוד אימות או סיסמה) אחרי פרק זמן קצוב לתפוגה שהוגדר על ידי אדמין ממחלקת IT. אחרי פרק הזמן הקצוב לתפוגה, שיטות אימות לא חזקות (כמו טביעת אצבע ופתיחה בזיהוי פנים) מושבתות עד שהמכשיר נפתח באמצעות קוד אימות חזק.
2.4. ניהול מנעולים חכמים
אדמינים ממחלקת IT יכולים לקבוע אם סוכני האמון בתכונה Smart Lock של Android יכולים להאריך את משך הזמן שהמכשיר נשאר פתוח עד ארבע שעות.
2.4.1. אדמינים ממחלקת IT יכולים להשבית סוכני אבטחה במכשיר.
2.5. מחיקה ונעילה
אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי לנעול מרחוק נתוני עבודה במכשיר מנוהל ולמחוק אותם.
2.5.1. צריך לנעול את המכשירים באמצעות Android Management API.
2.5.2. צריך לאפס את המכשירים באמצעות Android Management API.
2.6. אכיפת הציות
אם מכשיר לא עומד בדרישות של מדיניות האבטחה, כללי התאימות שמוגדרים ב-Android Management API מגבילים באופן אוטומטי את השימוש בנתוני העבודה.
2.6.1. מדיניות האבטחה שנאכפת במכשיר חייבת לכלול לפחות את מדיניות הסיסמאות.
2.7. כללי מדיניות ברירת המחדל לאבטחה
ספקי EMM חייבים לאכוף את מדיניות האבטחה שצוינה במכשירים כברירת מחדל, בלי לדרוש מאדמינים ממחלקת IT להגדיר או להתאים אישית הגדרות כלשהן במסוף של ספק ה-EMM. אנחנו ממליצים לספקי EMM (אבל לא מחייבים אותם) לא לאפשר לאדמינים ממחלקת ה-IT לשנות את מצב ברירת המחדל של אמצעי האבטחה האלה.
2.7.1. צריך לחסום התקנה של אפליקציות ממקורות לא מוכרים, כולל אפליקציות שמותקנות בפרופיל האישי בכל מכשיר Android מגרסה 8.0 ומעלה עם פרופיל עבודה. תכונת המשנה הזו נתמכת כברירת מחדל.
2.7.2. צריך לחסום את התכונות לניפוי באגים. תכונת המשנה הזו נתמכת כברירת מחדל.
2.8. מדיניות אבטחה למכשירים ייעודיים
אי אפשר לבצע פעולות אחרות במכשיר ייעודי נעול.
2.8.1. צריך להשבית את האפשרות להפעיל את המכשיר במצב בטוח כברירת מחדל באמצעות מדיניות (עוברים אל safeBootDisabled).
2.9. תמיכה ב-Play Integrity
בדיקות Play Integrity מתבצעות כברירת מחדל. אין צורך בהטמעה נוספת.
2.9.1. השורה הזו ריקה בכוונה.
2.9.2. השורה הזו ריקה בכוונה.
2.9.3. אדמינים ממחלקת ה-IT יכולים להגדיר תגובות שונות למדיניות בהתאם לערך של SecurityRisk במכשיר, כולל חסימת הקצאת הרשאות, מחיקת נתונים של הארגון ואישור להמשיך בתהליך הרישום.
- שירות ה-EMM יאכוף את תגובת המדיניות הזו על התוצאה של כל בדיקת תקינות.
2.9.4. השורה הזו ריקה בכוונה.
2.10. אכיפה של אימות אפליקציות
אדמינים ממחלקת IT יכולים להפעיל את התכונה אימות אפליקציות במכשירים. התכונה "אימות אפליקציות" סורקת אפליקציות שמותקנות במכשירי Android כדי לאתר תוכנות מזיקות לפני ואחרי ההתקנה, וכך עוזרת להבטיח שאפליקציות זדוניות לא יפגעו בנתונים של הארגון.
2.10.1. התכונה "אימות אפליקציות" חייבת להיות מופעלת כברירת מחדל באמצעות מדיניות (עוברים אל ensureVerifyAppsEnabled).
2.11. תמיכה ב-Direct Boot
התכונה הזו נתמכת כברירת מחדל ב-Android Management API. אין צורך בהטמעה נוספת.
2.12. ניהול אבטחת חומרה
אדמינים ממחלקת IT יכולים לנעול רכיבי חומרה של מכשיר בבעלות החברה כדי למנוע אובדן נתונים.
2.12.1. אדמינים ממחלקת IT יכולים לחסום משתמשים מלהתקין מדיה פיזית חיצונית באמצעות מדיניות (עוברים אל mountPhysicalMediaDisabled).
2.12.2. אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים לשתף נתונים מהמכשיר שלהם באמצעות NFC beam באמצעות המדיניות (עוברים אל outgoingBeamDisabled). תכונת המשנה הזו היא אופציונלית כי הפונקציה NFC beam לא נתמכת יותר ב-Android מגרסה 10 ואילך.
2.12.3. אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים להעביר קבצים באמצעות USB באמצעות מדיניות (עוברים אל usbFileTransferDisabled).
2.13. רישום של פעולות שמשפיעות על אבטחת החשבון בארגון
התכונה הזו לא נתמכת ב-Android Management API.
3. ניהול החשבון והאפליקציות
3.1. קישור לארגון
אדמינים ממחלקת IT יכולים לקשר את ה-EMM לארגון שלהם, וכך לאפשר ל-EMM להשתמש בגרסה המנוהלת של Google Play כדי להפיץ אפליקציות למכשירים.
3.1.1. אדמין עם דומיין מנוהל קיים ב-Google יכול לקשר את הדומיין שלו ל-EMM.
3.1.2. השורה הזו ריקה בכוונה.
3.1.3. השורה הזו ריקה בכוונה.
3.1.4. במסוף ה-EMM, האדמין מקבל הנחיה להזין את כתובת האימייל בעבודה בתהליך ההרשמה ל-Android, ולא להשתמש בחשבון Gmail.
3.1.5. ספק ה-EMM ממלא מראש את כתובת האימייל של האדמין בתהליך ההרשמה ל-Android.
3.2. הקצאת חשבון Google Play לארגונים
ה-EMM יכול להקצות באופן שקט חשבונות משתמשים בגרסה הארגונית, שנקראים חשבונות Google Play מנוהלים. החשבונות האלה מזהים משתמשים מנוהלים ומאפשרים להגדיר כללים ייחודיים להפצת אפליקציות לכל משתמש.
3.2.1. חשבונות מנוהלים ב-Google Play (חשבונות משתמשים) נוצרים באופן אוטומטי כשמכשירים מוקצים.
התכונה הזו נתמכת כברירת מחדל ב-Android Management API. אין צורך בהטמעה נוספת.
3.3. הקצאת חשבונות למכשירים ב-Managed Google Play
ה-EMM יכול ליצור ולהקצות חשבונות מכשירים ב-Google Play לארגונים. חשבונות מכשיר תומכים בהתקנה שקטה של אפליקציות מחנות Google Play המנוהלת, והם לא קשורים למשתמש יחיד. במקום זאת, חשבון המכשיר משמש לזיהוי מכשיר יחיד כדי לתמוך בכללי הפצת אפליקציות לכל מכשיר בתרחישים של מכשירים ייעודיים.
3.3.1. חשבונות Google Play לארגונים נוצרים באופן אוטומטי כשמנהלים את הקצאת המכשירים.
התכונה הזו נתמכת כברירת מחדל ב-Android Management API. אין צורך בהטמעה נוספת.
3.4. הקצאת חשבון Google Play לארגונים במכשירים מדור קודם
התכונה הזו הוצאה משימוש.
3.5. הפצת אפליקציות שקטה
אדמינים ממחלקת IT יכולים להפיץ אפליקציות לעבודה במכשירים בהתקנה שקטה, בלי אינטראקציה עם המשתמשים.
3.5.1. מסוף ה-EMM חייב להשתמש ב-Android Management API כדי לאפשר לאדמינים ממחלקת ה-IT להתקין אפליקציות לעבודה במכשירים מנוהלים.
3.5.2. מסוף ה-EMM חייב להשתמש ב-Android Management API כדי לאפשר לאדמינים ממחלקת ה-IT לעדכן אפליקציות לעבודה במכשירים מנוהלים.
3.5.3. מסוף ה-EMM חייב להשתמש ב-Android Management API כדי לאפשר לאדמינים ממחלקת ה-IT להסיר אפליקציות במכשירים מנוהלים.
3.6. ניהול הגדרות מנוהלות
אדמינים ממחלקת IT יכולים לראות ולהגדיר הגדרות אישיות מנוהלות לכל אפליקציה שתומכת בהגדרות אישיות מנוהלות.
3.6.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את הגדרות התצורה המנוהלות של כל אפליקציה ב-Play.
3.6.2. מסוף ה-EMM חייב לאפשר לאדמינים ממחלקת ה-IT להגדיר כל סוג של הגדרה (כפי שמוגדרת במסגרת של Android Enterprise) לכל אפליקציה ב-Play באמצעות Android Management API.
3.6.3. מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT להגדיר תווים כלליים לחיפוש (כמו $username$ או %emailAddress%), כדי שאפשר יהיה להחיל הגדרה אחת של אפליקציה כמו Gmail על כמה משתמשים.
3.7. ניהול קטלוג האפליקציות
התכונה הזו נתמכת כברירת מחדל ב-Android Management API. אין צורך בהטמעה נוספת.
3.8. אישור פרוגרמטי של אפליקציות
מסוף ה-EMM משתמש ב-iframe של Google Play לארגונים כדי לתמוך ביכולות של Google Play לגלות ולאשר אפליקציות. אדמינים ממחלקת IT יכולים לחפש אפליקציות, לאשר אפליקציות ולאשר הרשאות שניתנות לאפליקציה בלי לצאת מהמסוף של ה-EMM.
3.8.1. אדמינים ממחלקת IT יכולים לחפש אפליקציות ולאשר אותן במסוף של ה-EMM באמצעות ה-iframe של Google Play לארגונים.
3.9. ניהול בסיסי של פריסת החנות
אפשר להשתמש באפליקציה של חנות Google Play לארגונים כדי להתקין ולעדכן אפליקציות לעבודה. כברירת מחדל, חנות Google Play לארגונים מציגה את האפליקציות שאושרו למשתמש ברשימה אחת. הפריסה הזו נקראת פריסת חנות בסיסית.
3.9.1. מסוף ה-EMM אמור לאפשר לאדמינים ממחלקת ה-IT לנהל את האפליקציות שמוצגות בפריסת החנות הבסיסית של משתמש הקצה.
3.10. הגדרות מתקדמות של פריסת החנות
3.10.1. אדמינים ממחלקת IT יכולים להתאים אישית את פריסת החנות שמוצגת באפליקציה של חנות Google Play לארגונים.
3.11. ניהול רישיונות לאפליקציות
התכונה הזו הוצאה משימוש.
3.12. ניהול אפליקציות פרטיות שמתארחות ב-Google
אדמינים ממחלקת IT יכולים לעדכן אפליקציות פרטיות שמתארחות ב-Google דרך מסוף ה-EMM במקום דרך Google Play Console.
3.12.1. אדמינים ממחלקת IT יכולים להעלות גרסאות חדשות של אפליקציות שכבר פורסמו באופן פרטי לארגון באמצעות:
3.13. ניהול אפליקציות פרטיות באירוח עצמי
התכונה הזו הוצאה משימוש.
3.14. התראות במשיכה ב-EMM
התכונה הזו לא רלוונטית ל-Android Management API. הגדרת התראות Pub/Sub.
3.15. דרישות השימוש ב-API
ה-EMM מטמיע את Android Management API בקנה מידה נרחב, תוך הימנעות מדפוסי תנועה שעלולים להשפיע לרעה על היכולת של ארגונים לנהל אפליקציות בסביבות ייצור.
3.15.1. ה-EMM חייב לעמוד במגבלות השימוש של Android Management API. אם לא תתקנו התנהגות שחורגת מההנחיות האלה, Google עשויה להשעות את השימוש ב-API, לפי שיקול דעתה.
3.15.2. ספק ה-EMM צריך לפזר את התנועה מארגונים שונים לאורך היום, ולא לרכז את התנועה מארגונים בזמנים ספציפיים או דומים. התנהגות שמתאימה לדפוס התנועה הזה, כמו פעולות אצווה מתוזמנות לכל מכשיר רשום, עלולה לגרום להשעיית השימוש ב-API, לפי שיקול הדעת של Google.
3.15.3. ספק ה-EMM לא יכול לשלוח בקשות עקביות, חלקיות או שגויות בכוונה, שלא מנסות לאחזר או לנהל נתונים אמיתיים של הארגון. התנהגות שמתאימה לדפוס התנועה הזה עלולה לגרום להשעיית השימוש ב-API, בהתאם לשיקול הדעת של Google.
3.16. ניהול מתקדם של הגדרות מנוהלות
ה-EMM תומך בתכונות המתקדמות הבאות לניהול הגדרות מנוהלות:
3.16.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את הגדרות התצורה המנוהלת של כל אפליקציה ב-Play, עד ארבע רמות של הגדרות מקוננות, באמצעות:
- ה-iframe של Google Play לארגונים , או
- ממשק משתמש בהתאמה אישית.
3.16.2. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג כל משוב שמוחזר על ידי ערוץ המשוב של האפליקציה, כשהוא מוגדר על ידי אדמין ממחלקת IT.
- מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT לשייך פריט משוב ספציפי למכשיר ולאפליקציה שמהם הוא הגיע.
- מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT להירשם להתראות או לדוחות של סוגי הודעות ספציפיים (כמו הודעות שגיאה).
3.16.3. מסוף ה-EMM צריך לשלוח רק ערכים שיש להם ערך ברירת מחדל או שהוגדרו באופן ידני על ידי האדמין באמצעות:
- ה-iframe של ההגדרות האישיות המנוהלות, או
- ממשק משתמש בהתאמה אישית.
3.17. ניהול אפליקציות אינטרנט
אדמינים ממחלקת IT יכולים ליצור ולהפיץ אפליקציות אינטרנט במסוף ה-EMM.
3.17.1. מסוף ה-EMM מאפשר לאדמינים ממחלקת ה-IT להפיץ קיצורי דרך לאפליקציות אינטרנט באמצעות:
3.18. ניהול מחזור החיים של חשבון Google Play לארגונים
ספק ה-EMM יכול ליצור, לעדכן ולמחוק חשבונות Google Play לארגונים בשם האדמינים ממחלקת ה-IT, ולשחזר באופן אוטומטי חשבונות שתוקפם פג.
התכונה הזו נתמכת כברירת מחדל. אין צורך בהטמעה נוספת של EMM.
3.19. ניהול מסלולי אפליקציות
3.19.1. אדמינים ממחלקת IT יכולים לשלוף רשימה של מזהים לצורכי מעקב שהוגדרו על ידי מפתח לאפליקציה מסוימת.
3.19.2. אדמינים ממחלקת IT יכולים להגדיר מכשירים כך שישתמשו במסלול פיתוח מסוים לאפליקציה.
3.20. ניהול מתקדם של עדכוני אפליקציות
אדמינים ממחלקת IT יכולים לאפשר עדכון מיידי של אפליקציות או לדחות את העדכון שלהן ב-90 יום.
3.20.1. אדמינים ממחלקת IT יכולים לאפשר לאפליקציות להשתמש בעדכוני אפליקציות בעדיפות גבוהה כדי להתעדכן כשהעדכון מוכן.
3.20.2. אדמינים ממחלקת IT יכולים לאפשר לדחות את העדכונים לאפליקציות למשך 90 יום.
3.21. ניהול שיטות הקצאת ההרשאות
ה-EMM יכול ליצור הגדרות להקצאת הרשאות ולהציג אותן לאדמין ממחלקת ה-IT בפורמט שמוכן להפצה למשתמשי הקצה (כמו קוד QR, הגדרה ללא מגע ידני, כתובת URL של חנות Play).
3.22. שדרוג הקישור ל-Enterprise
אדמינים ממחלקת IT יכולים לשדרג את סוג הקישור של הארגון לדומיין מנוהל ב-Google, כדי לאפשר לארגון לגשת לשירותים ולתכונות של חשבון Google במכשירים רשומים.
3.22.1. מסוף ה-EMM מאפשר לאדמין ממחלקת ה-IT להפעיל את השדרוג של קבוצת חשבונות קיימת של Google Play לארגונים לקבוצת חשבונות של דומיין מנוהל ב-Google באמצעות ממשקי ה-API הנדרשים.
3.22.2. ספקי EMM צריכים להשתמש ב-Pub/Sub כדי לקבל התראות על אירועי שדרוג שהתחילו על ידי אדמינים ממחלקת IT (גם כאלה שמתרחשים מחוץ למסוף ה-EMM) ולעדכן את ממשק המשתמש שלהם כדי לשקף את השינויים האלה.
3.23. הקצאת חשבון Google מנוהל
ה-EMM יכול להקצות מכשיר עם חשבונות משתמשים ארגוניים, שנקראים חשבונות Google מנוהלים. החשבונות האלה מזהים משתמשים מנוהלים, מאפשרים להגדיר כללים להפצת אפליקציות ומאפשרים גישה לשירותי Google. אדמינים ממחלקת IT יכולים גם להגדיר מדיניות שמחייבת אימות של חשבון Google מנוהל במהלך הרישום או אחריו.
3.23.1. ה-EMM יכול להקצות חשבון Google מנוהל בהתאם להנחיות ההטמעה המוגדרות.
במסגרת התהליך:
- חשבון Google מנוהל נוסף למכשיר.
- חשבון Google המנוהל חייב להיות ממופה באופן חד-חד-ערכי למשתמשים בפועל במסוף של ה-EMM.
3.23.2. האדמין ממחלקת ה-IT יכול להשתמש במדיניות כדי לתת למשתמשים אפשרות להיכנס לחשבון Google מנוהל לצורך רישום.
3.23.3. האדמין ממחלקת ה-IT יכול להשתמש במדיניות כדי לקבוע אם המשתמש נדרש להיכנס לחשבון Google מנוהל כדי להשלים את הרישום.
3.23.4. אדמינים ממחלקת IT יכולים להגביל את תהליך השדרוג למזהה חשבון ספציפי (כתובת אימייל) במכשיר מסוים.
3.24. שדרוג חשבון Google Play לארגונים
אדמינים ממחלקת IT יכולים לשדרג את סוג חשבון המשתמש לחשבון Google מנוהל, כדי לאפשר למכשיר לגשת לשירותים ולתכונות של חשבון Google במכשירים רשומים.
3.24.1. אדמינים ממחלקת IT יכולים לשדרג חשבון קיים של Google Play לארגונים במכשיר לחשבון Google מנוהל.
3.24.2. אדמינים ממחלקת IT יכולים להגביל את תהליך השדרוג למזהה חשבון ספציפי (כתובת אימייל) במכשיר מסוים.
3.25. תפקידים באפליקציה
ה-EMM תומך בהענקת הרשאות מיוחדות, שצוינו על ידי סוגי התפקידים הזמינים, לאפליקציה שנבחרה על ידי האדמין ממחלקת ה-IT. ההרשאות הנוספות האלה כוללות את היכולת לפעול בלי הפרעה מצד הגבלות על צריכת החשמל או על פעילות ברקע, השעיה, מצב שינה ואמצעי בקרה של המשתמש.
3.25.1. אפליקציות נלוות הן אופציונליות ומאפשרות ל-EMM להרחיב את פונקציות הניהול באמצעות לקוח מקומי משלהן במכשיר. אם הפתרון כולל אפליקציה נלווית, צריך להקצות לאפליקציה באופן אוטומטי (כלומר, בלי קלט של אדמין ממחלקת IT) את התפקיד המתאים ב-Companion_App. לאדמין ממחלקת ה-IT לא אמורה להיות אפשרות להגדיר את התפקיד הזה
3.25.2. מסוף ה-EMM מאפשר לאדמין ממחלקת IT להקצות כל אחד מהתפקידים שצוינו ב-RoleType, חוץ מ-Companion_APP שמוקצה על ידי ה-EMM.
3.25.3 ספק ה-EMM יכול להציע אפליקציות מתאימות לכל תפקיד, אבל אסור לו להגביל את האפשרויות של האפליקציות לרשימה שרירותית.
3.26. העברה ושחזור של נתונים במכשיר
אדמינים ממחלקת IT יכולים להפעיל העברת נתונים ושחזור מכשירים במכשירים בניהול מלא שמותקנים בהם חשבונות Google מנוהלים, ושאפליקציית Google Restore מותקנת בהם. זוהי פלטפורמה למכשירים בניהול מלא. הפונקציונליות הזו לא תומכת בפרופילי עבודה, כולל COPE ו-BYOD.
3.26.1. במסוף ה-EMM, אדמינים ממחלקת IT יכולים להפעיל את שירות הגיבוי על ידי הגדרת backupService ל-BACKUP_SERVICE_USER_CHOICE ב-AMAPI, כי התכונה מושבתת כברירת מחדל במכשירים בניהול מלא.
4. ניהול מכשירים
4.1. ניהול מדיניות ההרשאות בתחילת ההפעלה
אדמינים ממחלקת ה-IT יכולים להגדיר תגובה כברירת מחדל לבקשות הרשאה בתחילת ההפעלה שנשלחות מאפליקציות לעבודה, בלי שהמשתמשים יקבלו על כך הודעה.
4.1.1. אדמינים ממחלקת IT צריכים להיות מסוגלים לבחור מבין האפשרויות הבאות כשהם מגדירים מדיניות ברירת מחדל להרשאות בתחילת ההפעלה בארגון שלהם:
- הצגת בקשה (המשתמשים יכולים לבחור)
- לאפשר
- דחייה
המערכת לניהול מכשירים ניידים בארגון (EMM) צריכה לאכוף את ההגדרות האלה באמצעות מדיניות.
4.2. ניהול מצב ההרשאות בתחילת ההפעלה
אחרי שמגדירים מדיניות ברירת מחדל להרשאות בתחילת ההפעלה (עוברים לסעיף 4.1), אדמינים ממחלקת IT יכולים להגדיר תשובות להרשאות ספציפיות בלי להציג אותן למשתמשים, בכל אפליקציה לעבודה שמבוססת על API 23 ומעלה.
4.2.1. אדמינים ממחלקת IT צריכים להיות מסוגלים להגדיר את מצב ההרשאה (ברירת מחדל, אישור או דחייה) של כל בקשת הרשאה של אפליקציה לעבודה שמבוססת על API 23 ומעלה. ה-EMM צריך לאכוף את ההגדרות האלה באמצעות מדיניות.
4.3. ניהול הגדרות ה-Wi-Fi
אדמינים ממחלקת IT יכולים להקצות הגדרות Wi-Fi ארגוניות במכשירים מנוהלים בלי שהמשתמשים ישימו לב, כולל:
4.3.1. SSID, באמצעות מדיניות.
4.3.2. סיסמה, באמצעות מדיניות.
4.4. ניהול אבטחת Wi-Fi
אדמינים ממחלקת IT יכולים להקצות הגדרות Wi-Fi ארגוניות במכשירים שכוללים את אמצעי האבטחה המתקדמים הבאים:
4.4.1. זהויות
4.4.2. אישורים להרשאת לקוח
4.4.3. אישורי CA
4.5. ניהול מתקדם של Wi-Fi
אדמינים ממחלקת IT יכולים לנעול את הגדרות ה-Wi-Fi במכשירים מנוהלים, כדי למנוע מהמשתמשים ליצור הגדרות או לשנות את ההגדרות של הארגון.
4.5.1. אדמינים ממחלקת IT יכולים לנעול את הגדרות ה-Wi-Fi של הארגון באמצעות מדיניות באחת מההגדרות הבאות:
- המשתמשים לא יכולים לשנות הגדרות Wi-Fi שהוקצו על ידי ה-EMM (בכתובת
wifiConfigsLockdownEnabled), אבל הם יכולים להוסיף ולשנות רשתות שהמשתמשים יכולים להגדיר בעצמם (למשל רשתות אישיות). - המשתמשים לא יכולים להוסיף או לשנות רשתות Wi-Fi במכשיר (עוברים אל
wifiConfigDisabled), והקישוריות ל-Wi-Fi מוגבלת רק לרשתות שהוקצו על ידי ה-EMM.
4.6. ניהול חשבון
אדמינים ממחלקת IT יכולים לוודא שרק חשבונות מורשים של הארגון יכולים לקיים אינטראקציה עם נתונים של הארגון, בשירותים כמו אחסון SaaS ואפליקציות פרודוקטיביות, או אימייל. בלי התכונה הזו, המשתמשים יכולים להוסיף חשבונות אישיים לאפליקציות הארגוניות האלה שתומכות גם בחשבונות פרטיים, וכך לשתף נתונים ארגוניים עם החשבונות האישיים האלה.
4.6.1. אדמינים ממחלקת IT יכולים למנוע ממשתמשים להוסיף או לשנות חשבונות (ראו modifyAccountsDisabled).
- כשמחילים את המדיניות הזו על מכשיר, ספקי EMM חייבים להגדיר את ההגבלה הזו לפני השלמת ההקצאה, כדי לוודא שהמשתמשים לא יוכלו לעקוף את המדיניות על ידי הוספת חשבונות לפני שהמדיניות נכנסת לתוקף.
4.7. ניהול חשבון Workspace
התכונה הזו הוצאה משימוש. בסעיף 3.23 מפורטות הדרישות להחלפה.
4.8. ניהול אישורים
מאפשר לאדמינים ממחלקת ה-IT לפרוס אישורי זהות ורשויות אישורים במכשירים כדי לאפשר שימוש במשאבים של הארגון.
4.8.1. אדמינים ממחלקת IT יכולים להתקין אישורי זהות של משתמשים שנוצרו על ידי ה-PKI שלהם לכל משתמש בנפרד. מסוף ה-EMM חייב להיות משולב עם תשתית מפתחות ציבוריים (PKI) אחת לפחות, ולהפיץ אישורים שנוצרו מהתשתית הזו.
4.8.2. אדמינים ממחלקת IT יכולים להתקין רשויות אישורים (ראו caCerts) במאגר המפתחות המנוהל. עם זאת, תכונת המשנה הזו לא נתמכת.
.
4.9. ניהול אישורים מתקדם
מאפשרת לאדמינים ממחלקת ה-IT לבחור באופן שקט את האישורים שבהם אפליקציות מנוהלות ספציפיות צריכות להשתמש. התכונה הזו גם מאפשרת לאדמינים ממחלקת ה-IT להסיר רשויות אישורים ואישורי זהות ממכשירים פעילים, ולמנוע מהמשתמשים לשנות את פרטי הכניסה שמאוחסנים במאגר המפתחות המנוהל.
4.9.1. לאדמינים ממחלקת ה-IT יש אפשרות לציין אישור לכל אפליקציה שמופצת למכשירים, והאפליקציה תקבל גישה באופן אוטומטי בזמן ההפעלה. (אין תמיכה בתכונת המשנה הזו)
- בחירת האישור צריכה להיות כללית מספיק כדי לאפשר הגדרה אחת שחלה על כל המשתמשים, שלכל אחד מהם יכול להיות אישור זהות ספציפי למשתמש.
4.9.2. אדמינים ממחלקת IT יכולים להסיר אישורים ממאגר המפתחות המנוהל בלי שהמשתמשים ישימו לב.
4.9.3. אדמינים ממחלקת IT יכולים להסיר אישור CA בלי שהמשתמשים ישימו לב. (אין תמיכה בתכונת המשנה הזו)
4.9.4. אדמינים ממחלקת IT יכולים למנוע ממשתמשים להגדיר פרטי כניסה (בכתובת credentialsConfigDisabled) במאגר המפתחות המנוהל.
4.9.5. אדמינים ממחלקת IT יכולים להעניק מראש אישורים לאפליקציות לעבודה באמצעות ChoosePrivateKeyRule.
4.10. ניהול אישורים שהועבר
אדמינים ממחלקת IT יכולים להפיץ למכשירים אפליקציה של צד שלישי לניהול אישורים, ולתת לאפליקציה הזו גישה מורשית להתקנת אישורים במאגר המפתחות המנוהל.
4.10.1. אדמינים ממחלקת IT יכולים לציין חבילת ניהול אישורים (עוברים אל CERT_INSTALL DelegatedScope) שתוגדר כאפליקציה לניהול אישורים שהוקצו.
- ספקי ה-EMM יכולים להציע חבילות מוכרות לניהול אישורים, אבל הם חייבים לאפשר לאדמין ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.11. ניהול מתקדם של VPN
מאפשרת לאדמינים ממחלקת ה-IT להגדיר VPN שפועל כל הזמן, כדי לוודא שהנתונים מאפליקציות מנוהלות מסוימות תמיד יעברו דרך הגדרת ה-VPN.
4.11.1. אדמינים ממחלקת IT יכולים לציין חבילת VPN שרירותית שתוגדר כ-VPN שפועל כל הזמן.
- מסוף ה-EMM יכול להציע חבילות VPN מוכרות שתומכות ב-Always On VPN, אבל הוא לא יכול להגביל את רשתות ה-VPN שזמינות להגדרת Always On לרשימה שרירותית כלשהי.
4.11.2. אדמינים ממחלקת IT יכולים להשתמש בהגדרות אישיות מנוהלות כדי לציין את הגדרות ה-VPN של אפליקציה.
4.12. ניהול IME
אדמינים ממחלקת IT יכולים לנהל את שיטות הקלט (IME) שאפשר להגדיר במכשירים. מכיוון שה-IME משותף לפרופיל העבודה ולפרופיל האישי, חסימת השימוש ב-IME תמנע מהמשתמשים לאשר את ה-IME האלה גם לשימוש אישי. עם זאת, אדמינים ממחלקת IT לא יכולים לחסום את השימוש בעורכי שיטות קלט של המערכת בפרופילי עבודה (לפרטים נוספים, אפשר לעבור לניהול מתקדם של עורכי שיטות קלט).
4.12.1. אדמינים ממחלקת IT יכולים להגדיר רשימת היתרים של IME (בכתובת permitted_input_methods) בכל אורך (כולל רשימה ריקה, שחוסמת את כל ה-IME שלא שייכים למערכת), שיכולה להכיל כל חבילת IME.
- במסוף של ה-EMM יכולות להופיע הצעות ל-IME מוכרים או מומלצים להכללה ברשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.12.2. ה-EMM חייב להודיע לאדמינים ממחלקת ה-IT שעורכי שיטות הקלט (IME) של המערכת לא נכללים בניהול במכשירים עם פרופילי עבודה.
4.13. ניהול מתקדם של IME
אדמינים ממחלקת IT יכולים לנהל את שיטות הקלט (IME) שהמשתמשים יכולים להגדיר במכשיר. ניהול מתקדם של IME מרחיב את התכונה הבסיסית ומאפשר לאדמינים ממחלקת ה-IT לנהל גם את השימוש במערכות IME, שבדרך כלל מסופקות על ידי יצרן המכשיר או ספק הסלולר.
4.13.1. אדמינים ממחלקת IT יכולים להגדיר רשימת היתרים של עורכי שיטות קלט (בכתובת permitted_input_methods) בכל אורך (חוץ מרשימה ריקה, שחוסמת את כל עורכי שיטות הקלט, כולל עורכי שיטות הקלט של המערכת), שיכולה להכיל כל חבילה של עורכי שיטות קלט.
- במסוף של ה-EMM יכולות להופיע הצעות ל-IME מוכרים או מומלצים להכללה ברשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.13.2. מערכת ה-EMM צריכה למנוע מאדמינים ממחלקת ה-IT להגדיר רשימת היתרים ריקה, כי ההגדרה הזו תחסום את כל עורכי שיטות הקלט (IME), כולל עורכי שיטות הקלט של המערכת, מלהיות מוגדרים במכשיר.
4.13.3. אם רשימת ההיתרים של עורכי שיטות הקלט לא מכילה עורכי שיטות קלט של המערכת, ה-EMM צריך לוודא שעורכי שיטות הקלט של הצד השלישי מותקנים בהתקנה שקטה לפני שרשימת ההיתרים מופעלת במכשיר.
4.14. ניהול שירותי נגישות
אדמינים ממחלקת IT יכולים לנהל את שירותי הנגישות שהמשתמשים יכולים להפעיל במכשירים. שירותי נגישות הם כלים יעילים למשתמשים עם מוגבלויות או למשתמשים שלא יכולים להשתמש במכשיר באופן מלא באופן זמני. עם זאת, יכול להיות שהם יבצעו פעולות לגבי נתונים ארגוניים באופן שלא תואם למדיניות הארגונית. התכונה הזו מאפשרת לאדמינים ממחלקת ה-IT להשבית כל שירות נגישות שלא שייך למערכת.
4.14.1. אדמינים ממחלקת IT יכולים להגדיר רשימת היתרים של שירותי נגישות (בכתובת permittedAccessibilityServices) בכל אורך (כולל רשימה ריקה, שחוסמת שירותי נגישות שלא שייכים למערכת), שיכולה להכיל כל חבילה של שירותי נגישות. כשמחילים את ההגדרה הזו על פרופיל עבודה, היא משפיעה גם על הפרופיל האישי וגם על פרופיל העבודה.
- במסוף אפשר להציע שירותי נגישות מוכרים או מומלצים שיופיעו ברשימת ההיתרים, אבל צריך לאפשר לאדמין ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
4.15. ניהול של שיתוף המיקום
אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשתף נתוני מיקום עם אפליקציות בפרופיל העבודה. אחרת, אפשר לקבוע את הגדרת המיקום בפרופיל העבודה דרך ההגדרות.
4.15.1. אדמינים ממחלקת IT יכולים להשבית את שירותי המיקום (בכתובת shareLocationDisabled) בפרופיל העבודה.
4.16. ניהול מתקדם של שיתוף המיקום
אדמינים ממחלקת IT יכולים לאכוף הגדרת שיתוף מיקום נתונה במכשיר מנוהל. התכונה הזו יכולה להבטיח שלאפליקציות ארגוניות תמיד יהיו נתוני מיקום ברמת דיוק גבוהה. התכונה הזו גם יכולה להגביל את הגדרות המיקום למצב חיסכון בסוללה, כדי למנוע צריכת סוללה מיותרת.
4.16.1. אדמינים ממחלקת IT יכולים להגדיר את שירותי המיקום במכשיר לכל אחד מהמצבים הבאים:
- רמת דיוק גבוהה.
- חיישנים בלבד, למשל GPS, אבל לא כולל מיקום שסופק על ידי הרשת.
- חיסכון בסוללה, שמגביל את תדירות העדכון.
- כבוי.
4.17. ניהול ההגנה למכשיר אחרי איפוס
אדמינים ממחלקת IT יכולים להגן על מכשירים בבעלות החברה מפני גניבה, ולוודא שמשתמשים לא מורשים לא יכולים לאפס את המכשירים להגדרות המקוריות. אם הגדרת החשבון שמורשה להפעיל את המכשיר אחרי איפוס גורמת למורכבות תפעולית כשהמכשירים מוחזרים ל-IT, אדמינים ממחלקת IT יכולים להשבית את ההגדרה הזו לגמרי.
4.17.1. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לבצע איפוס להגדרות המקוריות (בכתובת factoryResetDisabled) של המכשיר שלהם דרך ההגדרות.
4.17.2. אדמינים ממחלקת IT יכולים לציין חשבונות ארגוניים לביטול נעילה שמורשים להקצות מכשירים (עוברים אל frpAdminEmails) אחרי איפוס להגדרות המקוריות.
- החשבון הזה יכול להיות מקושר לאדם פרטי, או לשמש את כל הארגון כדי לבטל את הנעילה של מכשירים.
4.17.3. אדמינים ממחלקת IT יכולים להשבית את ההגנה למכשיר אחרי איפוס (בכתובת factoryResetDisabled) במכשירים מסוימים.
4.17.4. אדמינים ממחלקת IT יכולים להתחיל מחיקה מרחוק של מכשיר שמחובר לרשת אחרת, שמוחקת גם את נתוני ההגנה למכשיר אחרי איפוס, וכך מסירה את ההגנה למכשיר אחרי איפוס במכשיר שמאופס.
4.18. אמצעי בקרה מתקדמים לאפליקציות
אדמינים ממחלקת IT יכולים למנוע מהמשתמש להסיר או לשנות אפליקציות מנוהלות דרך ההגדרות. לדוגמה, מניעת סגירה ידנית של האפליקציה או ניקוי המטמון של נתוני האפליקציה.
4.18.1. אדמינים ממחלקת IT יכולים לחסום את האפשרות להסיר אפליקציות מנוהלות מסוימות, או את כל האפליקציות המנוהלות (בכתובת uninstallAppsDisabled).
4.18.2. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לשנות את נתוני האפליקציה דרך ההגדרות. (Android Management API לא תומך בתכונת המשנה הזו)
4.19. ניהול צילומי מסך
אדמינים ממחלקת IT יכולים לחסום את האפשרות של המשתמשים לצלם צילומי מסך כשהם משתמשים באפליקציות מנוהלות. ההגדרה הזו כוללת חסימה של אפליקציות לשיתוף מסך ואפליקציות דומות (כמו Google Assistant) שמשתמשות ביכולות של המערכת לצילום מסך.
4.19.1. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לצלם צילומי מסך (עוברים אל screenCaptureDisabled).
4.20. השבת מצלמות
אדמינים ממחלקת IT יכולים להשבית את השימוש במצלמות של המכשיר באפליקציות מנוהלות.
4.20.1. אדמינים ממחלקת IT יכולים להשבית את השימוש במצלמות של המכשיר (בכתובת cameraDisabled) באפליקציות מנוהלות.
4.21. איסוף נתונים סטטיסטיים של הרשת
התכונה הזו לא נתמכת ב-Android Management API.
4.22. איסוף נתונים סטטיסטיים מתקדמים של הרשת
התכונה הזו לא נתמכת ב-Android Management API.
4.23. הפעלת המכשיר מחדש
אדמינים ממחלקת IT יכולים להפעיל מחדש מכשירים מנוהלים מרחוק.
4.23.1. אדמינים ממחלקת IT יכולים להפעיל מחדש מרחוק מכשיר מנוהל.
4.24. ניהול הרדיו של המערכת
אדמינים ממחלקת IT יכולים לנהל באופן פרטני את רכיבי הרדיו של רשת המערכת ואת כללי המדיניות המשויכים לשימוש באמצעות מדיניות .
4.24.1. אדמינים ממחלקת IT יכולים להשבית את שידורי ה-Cell Broadcast שנשלחים על ידי ספקי שירות (עוברים אל cellBroadcastsConfigDisabled).
4.24.2. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית ב"הגדרות" (עוברים אל mobileNetworksConfigDisabled).
4.24.3. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לאפס את כל הגדרות הרשת ב"הגדרות". (עוברים אל networkResetDisabled).
4.24.4. אדמינים ממחלקת IT יכולים להגדיר אם המכשיר מאפשר שימוש בחבילת הגלישה בזמן נדידה (עוברים אל dataRoamingDisabled).
4.24.5. אדמינים ממחלקת IT יכולים להגדיר אם אפשר להוציא שיחות טלפון מהמכשיר, חוץ משיחות חירום (עוברים אל outGoingCallsDisabled).
4.24.6. אדמינים ממחלקת IT יכולים להגדיר אם המכשיר יכול לשלוח ולקבל הודעות טקסט (עוברים אל smsDisabled).
4.24.7. אדמינים ממחלקת IT יכולים למנוע ממשתמשים להשתמש במכשיר שלהם כנקודה לשיתוף אינטרנט נייד (באמצעות שיתוף אינטרנט בין מכשירים, בכתובת tetheringConfigDisabled).
4.24.8. אדמינים ממחלקת IT יכולים להגדיר את הזמן הקצוב לתפוגה של ה-Wi-Fi לברירת המחדל, כשהמכשיר מחובר לחשמל או אף פעם. (Android Management API לא תומך בתכונת המשנה הזו)
4.24.9. אדמינים ממחלקת IT יכולים למנוע ממשתמשים להגדיר או לשנות חיבורי Bluetooth קיימים (עוברים אל bluetoothConfigDisabled).
4.25. ניהול האודיו של המערכת
אדמינים ממחלקת IT יכולים לשלוט בתכונות האודיו של המכשיר באופן שקט, כולל השתקת המכשיר, מניעת שינוי של הגדרות עוצמת הקול על ידי המשתמשים ומניעת ביטול ההשתקה של המיקרופון במכשיר על ידי המשתמשים.
4.25.1. אדמינים ממחלקת ה-IT יכולים להשתיק מכשירים מנוהלים בלי שהמשתמשים ידעו על כך. (Android Management API לא תומך בתכונת המשנה הזו)
4.25.2. אדמינים ממחלקת IT יכולים למנוע ממשתמשים לשנות את הגדרות עוצמת הקול במכשיר (עוברים אל adjustVolumeDisabled). הפעולה הזו גם משתיקה את המכשירים.
4.25.3. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לבטל את ההשתקה של המיקרופון במכשיר (עוברים אל unmuteMicrophoneDisabled).
4.26. ניהול שעון המערכת
אדמינים ממחלקת IT יכולים לנהל את הגדרות השעון והגדרות אזור הזמן של המכשיר, ולמנע ממשתמשים לשנות את ההגדרות האוטומטיות של המכשיר.
4.26.1. אדמינים ממחלקת IT יכולים לאכוף הגדרות אוטומטיות של השעה ואזור הזמן במערכת, וכך למנוע מהמשתמשים להגדיר את התאריך, השעה ואזור הזמן במכשיר.
4.27. תכונות מתקדמות של מכשירים ייעודיים
במכשירים ייעודיים, אדמינים ממחלקת IT יכולים לנהל את התכונות הבאות באמצעות מדיניות כדי לתמוך בתרחישי שימוש שונים בקיוסק.
4.27.1. אדמינים ממחלקת IT יכולים להשבית את נעילת המקשים במכשיר (בכתובת keyguardDisabled).
4.27.2. אדמינים ממחלקת IT יכולים להשבית את שורת הסטטוס של המכשיר, לחסום התראות וגם את ההגדרות המהירות (עוברים אל statusBarDisabled).
4.27.3. אדמינים ממחלקת IT יכולים לאלץ את מסך המכשיר להישאר דלוק כשהמכשיר מחובר לחשמל (בכתובת stayOnPluggedModes).
4.27.4. אדמינים ממחלקת IT יכולים למנוע את ההצגה של ממשקי המשתמש הבאים של המערכת (בכתובת createWindowsDisabled):
- טוסטים
- שכבות-על של אפליקציות.
4.27.5. אדמינים ממחלקת IT יכולים לאפשר למערכת להמליץ לאפליקציות לדלג על המדריך למשתמש ועל רמזים אחרים להיכרות בהפעלה הראשונה (עוברים אל skip_first_use_hints).
4.28. ניהול היקף ההרשאות שהוענקו
אדמינים ממחלקת ה-IT יכולים להקצות הרשאות נוספות לחבילות ספציפיות.
4.28.1. אדמינים ממחלקת IT יכולים לנהל את ההיקפים הבאים:
- התקנה וניהול של אישורים
- Deliberately blank
- רישום התנועה ברשת
- רישום ביומן אבטחה (לא נתמך בפרופיל עבודה במכשיר בבעלות אישית)
4.29. תמיכה במזהה ספציפי להרשמה
החל מ-Android 12, לפרופילי עבודה לא תהיה יותר גישה למזהים ספציפיים לחומרה. אדמינים ממחלקת IT יכולים לעקוב אחרי מחזור החיים של מכשיר עם פרופיל עבודה באמצעות המזהה הספציפי להרשמה, שנשאר גם אחרי איפוס להגדרות המקוריות.
4.29.1. אדמינים ממחלקת IT יכולים לקבל מזהה ספציפי להרשמה
4.29.2. המזהה הספציפי הזה של ההרשמה צריך להישמר גם אחרי איפוס להגדרות המקוריות
4.30. מדיניות Credential Manager
אדמינים ממחלקת IT יכולים לנהל את האפליקציות של מנהלי פרטי הכניסה שמותרות או חסומות באמצעות ברירת המחדל של המדיניות בנושא ספקי פרטי כניסה או המדיניות בנושא ספקי פרטי כניסה.
4.30.1 אדמינים ממחלקת IT יכולים לחסום את כל מנהלי פרטי הכניסה במכשיר (או בפרופיל העבודה) באמצעות מדיניות.
4.30.2 אדמינים ממחלקת IT יכולים לאפשר כברירת מחדל רק ספקי פרטי כניסה של המערכת, כמו שמוצג בברירת המחדל של המדיניות בנושא ספקי פרטי כניסה.
4.30.3 אדמינים ממחלקת IT יכולים לציין רשימה של שמות חבילות כדי להפעיל את הפונקציונליות של Credential Manager.
4.31. ניהול בסיסי של eSIM
מאפשר לאדמינים ממחלקת IT להקצות מכשיר עם פרופיל eSIM ולנהל את מחזור החיים שלו במכשיר.
4.31.1 אדמינים ממחלקת IT יכולים להקצות פרופיל eSIM למכשיר באופן שקט באמצעות מדיניות.
4.31.2 אדמינים ממחלקת IT יכולים למחוק כרטיסי eSIM מנוהלים ממכשיר באמצעות מדיניות.
4.31.3 אדמינים ממחלקת IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית ב"הגדרות" (עוברים אל mobileNetworksConfigDisabled).
4.31.4 אדמינים ממחלקת IT יכולים לשלוח מרחוק פקודת איפוס למכשיר או לפרופיל עבודה. הפקודה הזו מסירה מהמכשיר כרטיסי eSIM מנוהלים, אם יש כאלה. כברירת מחדל, כרטיסי eSIM מנוהלים מוסרים מפרופילי עבודה במכשירים בבעלות אישית, אבל נשמרים במכשירים בבעלות החברה.
4.31.5 אדמינים ממחלקת IT יכולים לאחזר את מזהה ה-EID (מסמך זהות מוטמע) של מכשיר באמצעות ממשק המשתמש של מסוף ה-EMM (או שיטה מקבילה).
5. נוחות השימוש במכשיר
5.1. התאמה אישית של הקצאת הרשאות מנוהלת
אדמינים ממחלקת IT יכולים לשנות את ממשק המשתמש של תהליך ההגדרה שמוגדר כברירת מחדל, כדי לכלול תכונות ספציפיות לארגון. אדמינים ממחלקת IT יכולים להציג מיתוג שסופק על ידי EMM במהלך הקצאת ההרשאות.
5.1.1. אדמינים ממחלקת IT יכולים להתאים אישית את תהליך ההקצאה על ידי ציון תנאים והגבלות ספציפיים לארגון וכתבי ויתור אחרים (עוברים אל termsAndConditions).
5.1.2. אדמינים ממחלקת IT יכולים לפרוס תנאים והגבלות ספציפיים ל-EMM וכתבי ויתור אחרים שלא ניתנים להגדרה (עוברים אל termsAndConditions).
- ספקי EMM יכולים להגדיר את ההתאמה האישית הספציפית ל-EMM שלא ניתנת להגדרה כברירת המחדל לפריסות, אבל הם חייבים לאפשר לאדמינים ממחלקת IT להגדיר התאמה אישית משלהם.
5.1.3. השדה primaryColor הוצא משימוש במשאב הארגוני ב-Android מגרסה 10 ואילך.
5.2. התאמה אישית לארגונים
התכונה הזו לא נתמכת ב-Android Management API.
5.3. התאמה אישית מתקדמת לארגונים
התכונה הזו לא נתמכת ב-Android Management API.
5.4. הודעות במסך הנעילה
אדמינים ממחלקת IT יכולים להגדיר הודעה בהתאמה אישית שמוצגת תמיד במסך הנעילה של המכשיר, ולא צריך לבטל את הנעילה של המכשיר כדי לראות אותה.
5.4.1. אדמינים ממחלקת IT יכולים להגדיר הודעה בהתאמה אישית במסך הנעילה
(עוברים אל deviceOwnerLockScreenInfo).
5.5. ניהול השקיפות של המדיניות
אדמינים ממחלקת IT יכולים להתאים אישית את טקסט העזרה שמוצג למשתמשים כשהם מנסים לשנות הגדרות מנוהלות במכשיר שלהם, או לפרוס הודעת תמיכה כללית שסופקה על ידי EMM. אפשר להתאים אישית גם הודעות תמיכה קצרות וגם הודעות תמיכה ארוכות, והן מוצגות במקרים כמו ניסיון להסיר אפליקציה מנוהלת שאדמין ממחלקת IT כבר חסם את האפשרות להסיר אותה.
5.5.1. אדמינים ממחלקת IT יכולים להתאים אישית הודעות תמיכה קצרות וארוכות שגלויות למשתמשים.
5.5.2. אדמינים ממחלקת IT יכולים לפרוס הודעות תמיכה קצרות וארוכות שלא ניתנות להגדרה, ספציפיות ל-EMM (עוברים אל shortSupportMessage ו-longSupportMessage ב-policies).
- ספקי EMM יכולים להגדיר את הודעות התמיכה הספציפיות ל-EMM שלא ניתנות להגדרה כברירת המחדל לפריסות, אבל הם חייבים לאפשר לאדמינים ממחלקת ה-IT להגדיר הודעות משלהם.
5.6. ניהול אנשי קשר בין פרופילים שונים
5.6.1. אדמינים ממחלקת IT יכולים להשבית את ההצגה של אנשי קשר מהעבודה בחיפושים של אנשי קשר בפרופיל האישי ובשיחות נכנסות.
5.6.2. אדמינים ממחלקת IT יכולים להשבית את שיתוף אנשי הקשר ב-Bluetooth של אנשי קשר מהעבודה, למשל שיחות באמצעות דיבורית במכוניות או באוזניות.
5.7. ניהול נתונים בפרופילים שונים
אדמינים ממחלקת IT יכולים לנהל את סוגי הנתונים שאפשר לשתף בין הפרופיל לעבודה לפרופיל האישי, וכך לאזן בין נוחות השימוש לבין אבטחת המידע בהתאם לדרישות שלהם.
5.7.1. אדמינים ממחלקת IT יכולים להגדיר מדיניות לשיתוף נתונים בין פרופילים, כדי שאפליקציות אישיות יוכלו לפתור כוונות מפרופיל העבודה, כמו כוונות שיתוף או קישורים לדפי אינטרנט אחרים.
5.7.2. אדמינים ממחלקת IT יכולים לאפשר לאפליקציות מפרופיל העבודה ליצור ולהציג ווידג'טים במסך הבית של הפרופיל האישי. היכולת הזו מושבתת כברירת מחדל, אבל אפשר להגדיר אותה כמותרת באמצעות השדות workProfileWidgets ו-workProfileWidgetsDefault.
5.7.3. אדמינים ממחלקת IT יכולים לשלוט ביכולת להעתיק ולהדביק בין פרופיל העבודה לפרופיל האישי.
5.8. מדיניות עדכוני המערכת
אדמינים ממחלקת IT יכולים להגדיר ולהחיל עדכוני מערכת דרך האוויר (OTA) במכשירים.
5.8.1. מסוף ה-EMM מאפשר לאדמינים ממחלקת ה-IT להגדיר את ההגדרות הבאות של OTA:
- אוטומטי: המכשירים מתקינים עדכוני OTA כשהם זמינים.
- דחייה: אדמינים ממחלקת IT צריכים להיות מסוגלים לדחות עדכון OTA למשך עד 30 ימים. המדיניות הזו לא משפיעה על עדכוני אבטחה (למשל, תיקוני אבטחה חודשיים).
- חלון זמן: אדמינים ממחלקת IT צריכים להיות מסוגלים לתזמן עדכוני OTA במסגרת חלון זמן יומי לתחזוקה.
5.8.2. הגדרות OTA מוחלות על מכשירים באמצעות מדיניות.
5.9. ניהול מצב משימות נעולות (lock task mode)
אדמינים ממחלקת IT יכולים לנעול אפליקציה או קבוצת אפליקציות במסך, ולוודא שהמשתמשים לא יכולים לצאת מהאפליקציה.
5.9.1. מסוף ה-EMM מאפשר לאדמינים ממחלקת IT לאשר באופן שקט התקנה של קבוצת אפליקציות שרירותית ולנעול אותן במכשיר. המדיניות מאפשרת להגדיר מכשירים ייעודיים.
5.10. ניהול קבוע של הפעילות המועדפת
מאפשרת לאדמינים ממחלקת IT להגדיר אפליקציה כ-intent handler שמוגדר כברירת מחדל ל-intent שתואמים למסנן intent מסוים. לדוגמה, התכונה הזו מאפשרת לאדמינים ממחלקת ה-IT לבחור איזו אפליקציית דפדפן תפתח באופן אוטומטי קישורים לדפי אינטרנט. התכונה הזו יכולה לנהל את האפליקציה של מרכז האפליקציות שבה משתמשים כשלוחצים על כפתור הבית.
5.10.1. אדמינים ממחלקת IT יכולים להגדיר כל חבילה כ-intent handler שמוגדר כברירת מחדל לכל מסנן Intent שרירותי.
- מסוף ה-EMM יכול להציע כוונות ידועות או מומלצות להגדרה, אבל הוא לא יכול להגביל את הכוונות לרשימה שרירותית.
- מסוף ה-EMM צריך לאפשר לאדמינים ממחלקת ה-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.
5.11. ניהול תכונות של נעילת המסך
אדמינים ממחלקת IT יכולים לנהל את התכונות שזמינות למשתמשים לפני ביטול הנעילה של המכשיר (מסך הנעילה) ושל אתגר האבטחה בעבודה (מסך הנעילה).
5.11.1. המדיניות יכולה להשבית את התכונות הבאות של נעילת המכשיר:
- סביבות אמינות
- ביטול נעילה באמצעות טביעת אצבע
- התראות לא מצונזרות
5.11.2. אפשר להשבית את התכונות הבאות של נעילת המסך בפרופיל העבודה באמצעות המדיניות:
- סביבות אמינות
- ביטול נעילה באמצעות טביעת אצבע
5.12. ניהול מתקדם של תכונות נעילת המקשים
- מצלמה מאובטחת
- כל ההודעות
- לא מצונזר
- סביבות אמינות
- פתיחה בטביעת אצבע
- כל התכונות של נעילת המקשים
5.13. ניקוי באגים מרחוק
Android Management API לא תומך בתכונה הזו.
5.14. אחזור כתובת MAC
ספקי EMM יכולים לאחזר באופן שקט את כתובת ה-MAC של המכשיר, כדי להשתמש בה לזיהוי מכשירים בחלקים אחרים של תשתית הארגון (לדוגמה, כשמזהים מכשירים לצורך בקרת גישה לרשת).
5.14.1. ה-EMM יכול לאחזר באופן שקט את כתובת ה-MAC של המכשיר ולשייך אותה למכשיר במסוף של ה-EMM.
5.15. ניהול מתקדם של מצב משימות נעולות (lock task mode)
במכשיר ייעודי, אדמינים ממחלקת IT יכולים להשתמש במסוף של ה-EMM כדי לבצע את המשימות הבאות:
5.15.1. לאפשר התקנה שקטה של אפליקציה אחת ונעילה שלה במכשיר.
5.15.2. מפעילים או משביתים את התכונות הבאות של ממשק המשתמש של המערכת:
- כפתור דף הבית
- סקירה כללית
- פעולות גלובליות
- התראות
- פרטי המערכת / שורת הסטטוס
- מסך הנעילה. תכונת המשנה הזו מופעלת כברירת מחדל כשמטמיעים את גרסה 5.15.1.
5.15.3. משביתים את האפשרות תיבות דו-שיח של שגיאות מערכת.
5.16. מדיניות עדכוני מערכת מתקדמת
אדמינים ממחלקת IT יכולים להגדיר תקופת הקפאה מסוימת לחסימת עדכוני מערכת במכשיר.
5.16.1. מסוף ה-EMM חייב לאפשר לאדמינים ממחלקת ה-IT לחסום עדכוני מערכת באוויר (OTA) לתקופת הקפאה מסוימת.
5.17. ניהול השקיפות של המדיניות בפרופיל העבודה
אדמינים ממחלקת ה-IT יכולים להתאים אישית את ההודעה שמוצגת למשתמשים כשהם מסירים את פרופיל העבודה מהמכשיר.
5.17.1. אדמינים ממחלקת IT יכולים לספק טקסט מותאם אישית שיוצג (עוברים אל wipeReasonMessage) כשנתוני פרופיל העבודה מאופסים.
5.18. תמיכה באפליקציות מקושרות
אדמינים ממחלקת ה-IT יכולים להגדיר רשימה של חבילות שיכולות לתקשר מעבר לגבולות של פרופיל העבודה, על ידי הגדרת ConnectedWorkAndPersonalApp.
5.19. עדכון מערכת ידני
התכונה הזו לא נתמכת ב-Android Management API.
6. הוצאה משימוש של הרשאות אדמין במכשיר
הקטע הזה הוסר.
7. שימוש ב-API
7.1. בקר מדיניות רגיל לקישורים חדשים
כברירת מחדל, צריך לנהל את המכשירים באמצעות מדיניות מכשיר Android לכל קישור חדש. ספקי EMM יכולים לספק את האפשרות לנהל מכשירים באמצעות DPC בהתאמה אישית באזור ההגדרות, בכותרת "מתקדם" או במונח דומה. אסור לחשוף לקוחות חדשים לבחירה שרירותית בין סטאקי תוכנות במהלך תהליכי ההצטרפות או ההגדרה.
7.2. בקר מדיניות רגיל למכשירים חדשים
כברירת מחדל, צריך לנהל את המכשירים באמצעות מדיניות מכשיר Android בכל רישום של מכשיר חדש, גם בקישורים קיימים וגם בקישורים חדשים. יכול להיות שספקי EMM יאפשרו לנהל מכשירים באמצעות DPC בהתאמה אישית באזור ההגדרות, תחת הכותרת "מתקדם" או מונח דומה.