หน้านี้แสดงรายการฟีเจอร์ทั้งหมดของ Android Enterprise
หากคุณต้องการจัดการอุปกรณ์มากกว่า 500 เครื่อง โซลูชัน EMM ของคุณต้องรองรับฟีเจอร์มาตรฐานทั้งหมด () ของชุดโซลูชันอย่างน้อย 1 ชุดก่อนจึงจะวางจำหน่ายในเชิงพาณิชย์ได้ นักพัฒนาซอฟต์แวร์ EMM ที่ต้องการให้โซลูชันของตนแสดงในไดเรกทอรี Enterprise Solutions ของ Android ว่ามีชุดการจัดการมาตรฐานจะต้องผ่านการยืนยันฟีเจอร์มาตรฐานและเป็นสมาชิกของโปรแกรมพาร์ทเนอร์ Android Enterprise
ฟีเจอร์ขั้นสูงชุดเพิ่มเติมพร้อมใช้งานสำหรับโซลูชันแต่ละชุด ฟีเจอร์เหล่านี้จะแสดงในหน้าชุดโซลูชันแต่ละหน้า ได้แก่ โปรไฟล์งานในอุปกรณ์ส่วนตัว, โปรไฟล์งานในอุปกรณ์ของบริษัท, อุปกรณ์ที่มีการจัดการครบวงจร และอุปกรณ์เฉพาะ นักพัฒนาซอฟต์แวร์ EMM ที่เป็นสมาชิกโปรแกรมพาร์ทเนอร์ AE ซึ่งมีโซลูชันที่ผ่านการยืนยันฟีเจอร์ขั้นสูงจะแสดงอยู่ในไดเรกทอรี Enterprise Solutions ของ Android ว่ามีชุดการจัดการขั้นสูง
คีย์
| ฟีเจอร์มาตรฐาน รายการ | ฟีเจอร์ขั้นสูง รายการ | ฟีเจอร์ที่ไม่บังคับ | ไม่เกี่ยวข้อง |
1. การจัดเตรียมอุปกรณ์
1.1 การจัดสรรโปรไฟล์งานที่ใช้ DPC เป็นหลัก
หลังจากดาวน์โหลด Android Device Policy จาก Google Play แล้ว ผู้ใช้จะจัดสรรโปรไฟล์งานได้
1.1.1. EMM จะให้คิวอาร์โค้ดหรือรหัสเปิดใช้งานแก่ผู้ดูแลระบบไอทีเพื่อรองรับวิธีการจัดเตรียมนี้ (ไปที่ การลงทะเบียนและการจัดเตรียมอุปกรณ์)
1.2 การจัดเตรียมอุปกรณ์โดยใช้ตัวระบุ DPC
การป้อน "afw#" ในวิซาร์ดการตั้งค่าของอุปกรณ์จะเป็นการจัดสรรอุปกรณ์ที่มีการจัดการครบวงจรหรืออุปกรณ์เฉพาะ
1.2.1. EMM จะให้คิวอาร์โค้ดหรือรหัสเปิดใช้งานแก่ผู้ดูแลระบบไอทีเพื่อรองรับวิธีการจัดเตรียมนี้ (ไปที่การลงทะเบียนและการจัดเตรียมอุปกรณ์)
1.3 การจัดเตรียมอุปกรณ์ NFC
ผู้ดูแลระบบไอทีสามารถใช้แท็ก NFC เพื่อจัดสรรอุปกรณ์ใหม่หรืออุปกรณ์ที่รีเซ็ตเป็นค่าเริ่มต้นได้ตามหลักเกณฑ์การติดตั้งใช้งานที่ระบุไว้ในเอกสารประกอบสำหรับนักพัฒนาซอฟต์แวร์ Play EMM API
1.3.1. EMM ต้องใช้แท็ก NFC Forum Type 2 ที่มีหน่วยความจำอย่างน้อย 888 ไบต์ การจัดสรรต้องใช้ข้อมูลเพิ่มเติมในการจัดสรรเพื่อส่งรายละเอียดการลงทะเบียนที่ไม่ละเอียดอ่อน เช่น รหัสเซิร์ฟเวอร์และรหัสการลงทะเบียนไปยังอุปกรณ์ รายละเอียดการลงทะเบียนไม่ควรมีข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่านหรือใบรับรอง
1.3.2. เราขอแนะนำให้ใช้แท็ก NFC สำหรับ Android 10 ขึ้นไปเนื่องจากมีการเลิกใช้งาน NFC Beam (หรือที่เรียกว่า NFC Bump)
1.4. การจัดเตรียมอุปกรณ์ด้วยคิวอาร์โค้ด
คอนโซลของ EMM สามารถสร้างคิวอาร์โค้ดที่ผู้ดูแลระบบไอทีสามารถสแกนเพื่อจัดสรรอุปกรณ์ที่มีการจัดการครบวงจรหรืออุปกรณ์เฉพาะได้ตามหลักเกณฑ์การติดตั้งใช้งานที่ระบุไว้ในเอกสารประกอบสำหรับนักพัฒนาซอฟต์แวร์ Android Management API
1.4.1. คิวอาร์โค้ดต้องใช้ข้อมูลเพิ่มเติมในการจัดสรรเพื่อส่งรายละเอียดการลงทะเบียนที่ไม่ละเอียดอ่อน (เช่น รหัสเซิร์ฟเวอร์ รหัสการลงทะเบียน) ไปยังอุปกรณ์ รายละเอียดการลงทะเบียนต้องไม่มีข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่านหรือใบรับรอง
1.5. การตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม
ข้อกำหนดนี้ถูกแทนที่ด้วยข้อกำหนด 1.6
1.6. การจัดสรรอุปกรณ์พร้อมใช้แบบรวมกลุ่ม
ผู้ดูแลระบบไอทีสามารถทำให้กระบวนการลงทะเบียนอุปกรณ์ส่วนใหญ่เป็นแบบอัตโนมัติได้ด้วยการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม เมื่อใช้ร่วมกับ URL สำหรับลงชื่อเข้าใช้ ผู้ดูแลระบบไอทีจะจำกัดการลงทะเบียนให้เฉพาะบัญชีหรือโดเมนที่ต้องการได้ตามตัวเลือกการกำหนดค่าที่ EMM มีให้
1.6.1. ผู้ดูแลระบบไอทีสามารถจัดสรรอุปกรณ์ของบริษัทได้โดยใช้วิธีการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม
1.6.2. ข้อกำหนดนี้เลิกใช้งานแล้ว
1.6.3. เมื่อใช้ URL การลงชื่อเข้าใช้ EMM ต้องตรวจสอบว่าผู้ใช้ที่ไม่ได้รับอนุญาตจะเปิดใช้งานไม่ได้ อย่างน้อยที่สุด การเปิดใช้งานต้องจำกัดไว้สำหรับผู้ใช้ขององค์กรที่ระบุเท่านั้น
1.6.4. เมื่อใช้ URL การลงชื่อเข้าใช้ EMM ต้องช่วยให้ผู้ดูแลระบบไอทีสามารถป้อนรายละเอียดการลงทะเบียนล่วงหน้าได้ (เช่น รหัสเซิร์ฟเวอร์ รหัสการลงทะเบียน) นอกเหนือจากข้อมูลผู้ใช้หรืออุปกรณ์ที่ไม่ซ้ำกัน (เช่น ชื่อผู้ใช้/รหัสผ่าน โทเค็นการเปิดใช้งาน) เพื่อให้ผู้ใช้ไม่ต้องป้อนรายละเอียดเมื่อเปิดใช้งานอุปกรณ์
- EMM ต้องไม่ใส่ข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่านหรือใบรับรอง ในการกำหนดค่าของการตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่ม
1.7 การจัดสรรโปรไฟล์งานของบัญชี Google
ข้อกำหนดนี้ถูกนำออกและแทนที่ด้วยข้อกำหนด 3.23
1.8. การจัดเตรียมอุปกรณ์ที่เชื่อมโยงกับบัญชี Google
ข้อกำหนดนี้ถูกนำออกและแทนที่ด้วยข้อกำหนด 3.23
1.9. การกำหนดค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่มโดยตรง
ผู้ดูแลระบบไอทีสามารถใช้คอนโซลของ EMM เพื่อตั้งค่าอุปกรณ์พร้อมใช้แบบรวมกลุ่มโดยใช้ iframe อุปกรณ์พร้อมใช้แบบรวมกลุ่ม
1.10. โปรไฟล์งานในอุปกรณ์ของบริษัท
EMM สามารถลงทะเบียนอุปกรณ์ของบริษัทที่มีโปรไฟล์งานได้โดยตั้งค่า AllowPersonalUsage
1.10.1. เว้นว่างไว้โดยเจตนา
1.10.2. ผู้ดูแลระบบไอทีสามารถตั้งค่าการดำเนินการด้านการปฏิบัติตามข้อกำหนดสำหรับโปรไฟล์งานในอุปกรณ์ของบริษัทผ่าน PersonalUsagePolicies
1.10.3. ผู้ดูแลระบบไอทีสามารถปิดใช้งานกล้องในโปรไฟล์งานหรือทั้งอุปกรณ์ผ่าน PersonalUsagePolicies
1.10.4. ผู้ดูแลระบบไอทีสามารถปิดใช้งานการจับภาพหน้าจอในโปรไฟล์งานหรือทั้งอุปกรณ์ผ่าน PersonalUsagePolicies ได้
1.10.5. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่บล็อกของแอปพลิเคชันที่ไม่สามารถติดตั้งในโปรไฟล์ส่วนตัวได้ผ่าน PersonalApplicationPolicy
1.10.6. ผู้ดูแลระบบไอทีสามารถสละสิทธิ์การจัดการอุปกรณ์ของบริษัทได้โดยใช้คำสั่งสละสิทธิ์ใน AMAPI
1.11. การจัดเตรียมอุปกรณ์เฉพาะ
ผู้ดูแลระบบไอทีสามารถลงทะเบียนอุปกรณ์เฉพาะได้โดยที่ผู้ใช้ไม่ต้องรับข้อความแจ้งให้ตรวจสอบสิทธิ์ด้วยบัญชี Google
2. ความปลอดภัยของอุปกรณ์
2.1 มาตรการรักษาความปลอดภัยของอุปกรณ์
ผู้ดูแลระบบไอทีสามารถตั้งค่าและบังคับใช้การถามคำถามเพื่อความปลอดภัยของอุปกรณ์ (PIN/รูปแบบ/รหัสผ่าน) จากระดับความซับซ้อน 3 ระดับที่กำหนดไว้ล่วงหน้าในอุปกรณ์ที่มีการจัดการ
2.1.1. นโยบายต้องบังคับใช้การตั้งค่าที่จัดการการตรวจสอบความปลอดภัยของอุปกรณ์ (parentProfilePasswordRequirements สำหรับโปรไฟล์งาน, passwordRequirements สำหรับอุปกรณ์ที่มีการจัดการครบวงจรและอุปกรณ์เฉพาะ)
2.1.2. ความซับซ้อนของรหัสผ่านควรสอดคล้องกับความซับซ้อนของรหัสผ่านต่อไปนี้
- PASSWORD_COMPLEXITY_LOW - รูปแบบหรือ PIN ที่มีตัวเลขซ้ำ (4444) หรือเป็นลําดับตัวเลข (1234, 4321, 2468)
- PASSWORD_COMPLEXITY_MEDIUM - PIN ที่ไม่มีตัวเลขซ้ำ (4444) หรือเป็นลําดับตัวเลข (1234, 4321, 2468) รหัสผ่านที่เป็นตัวอักษรหรือตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 4 ตัว
- PASSWORD_COMPLEXITY_HIGH - PIN ที่ไม่มีตัวเลขซ้ำ (4444) หรือเป็นลําดับตัวเลข (1234, 4321, 2468) และมีความยาวอย่างน้อย 8 ตัว หรือรหัสผ่านที่เป็นตัวอักษรหรือตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 6 ตัว
2.1.3. นอกจากนี้ คุณยังบังคับใช้ข้อจำกัดรหัสผ่านเพิ่มเติมเป็นการตั้งค่าเดิมในอุปกรณ์ของบริษัทได้ด้วย
2.2 มาตรการรักษาความปลอดภัยของงาน
ผู้ดูแลระบบไอทีสามารถตั้งค่าและบังคับใช้การถามคำถามเพื่อรักษาความปลอดภัยสำหรับแอปและข้อมูลในโปรไฟล์งานซึ่งแยกต่างหากและมีข้อกำหนดที่แตกต่างจากการถามคำถามเพื่อรักษาความปลอดภัยของอุปกรณ์ (2.1.)
2.2.1. นโยบายต้องบังคับใช้มาตรการรักษาความปลอดภัยสำหรับโปรไฟล์งาน
- โดยค่าเริ่มต้น ผู้ดูแลระบบไอทีควรกำหนดข้อจำกัดสำหรับโปรไฟล์งานเท่านั้นหากไม่ได้ระบุขอบเขตไว้
- ผู้ดูแลระบบไอทีสามารถตั้งค่านี้ได้ทั่วทั้งอุปกรณ์โดยระบุขอบเขต (ดูข้อกำหนด 2.1)
2.2.2. ความซับซ้อนของรหัสผ่านควรสอดคล้องกับความซับซ้อนของรหัสผ่านที่กำหนดไว้ล่วงหน้าต่อไปนี้
- PASSWORD_COMPLEXITY_LOW - รูปแบบหรือ PIN ที่มีตัวเลขซ้ำ (4444) หรือเป็นลําดับตัวเลข (1234, 4321, 2468)
- PASSWORD_COMPLEXITY_MEDIUM - PIN ที่ไม่มีตัวเลขซ้ำ (4444) หรือเป็นลําดับตัวเลข (1234, 4321, 2468) รหัสผ่านที่เป็นตัวอักษรหรือตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 4 ตัว
- PASSWORD_COMPLEXITY_HIGH - PIN ที่ไม่มีตัวเลขซ้ำ (4444) หรือเป็นลําดับตัวเลข (1234, 4321, 2468) และมีความยาวอย่างน้อย 8 ตัว หรือรหัสผ่านที่เป็นตัวอักษรหรือตัวอักษรและตัวเลขคละกันที่มีความยาวอย่างน้อย 6 ตัว
2.2.3. นอกจากนี้ คุณยังบังคับใช้ข้อจำกัดรหัสผ่านเพิ่มเติมเป็นการตั้งค่าเดิมได้ด้วย
2.3 การจัดการรหัสผ่านขั้นสูง
ผู้ดูแลระบบไอทีสามารถตั้งค่ารหัสผ่านขั้นสูงในอุปกรณ์ได้
2.3.1. เว้นว่างไว้โดยเจตนา
2.3.2. เว้นว่างไว้โดยเจตนา
2.3.3. คุณสามารถตั้งค่าการตั้งค่าวงจรของรหัสผ่านต่อไปนี้สำหรับหน้าจอล็อกแต่ละหน้าจอที่มีในอุปกรณ์ได้
- เว้นว่างโดยเจตนา
- เว้นว่างโดยเจตนา
- จำนวนครั้งสูงสุดที่ป้อนรหัสผ่านผิดก่อนล้างข้อมูล: ระบุจำนวนครั้งที่ผู้ใช้สามารถป้อนรหัสผ่านผิดก่อนที่ระบบจะล้างข้อมูลบริษัทออกจากอุปกรณ์ ผู้ดูแลระบบไอทีต้องปิดฟีเจอร์นี้ได้
2.3.4. (Android 8.0 ขึ้นไป) ระยะหมดเวลาที่ต้องใช้การตรวจสอบสิทธิ์ที่รัดกุม: ต้องป้อนรหัสผ่านสำหรับการตรวจสอบสิทธิ์ที่รัดกุม (เช่น PIN หรือรหัสผ่าน) หลังจากระยะหมดเวลาที่ผู้ดูแลระบบไอทีกำหนด หลังจากระยะหมดเวลา ระบบจะปิดวิธีการตรวจสอบสิทธิ์ที่ไม่เข้มงวด (เช่น ลายนิ้วมือ การปลดล็อกด้วยใบหน้า) จนกว่าจะปลดล็อกอุปกรณ์ด้วยรหัสผ่านสำหรับการตรวจสอบสิทธิ์ที่เข้มงวด
2.4 การจัดการ Smart Lock
ผู้ดูแลระบบไอทีสามารถจัดการได้ว่าจะอนุญาตให้ตัวแทนความน่าเชื่อถือในฟีเจอร์ Smart Lock ของ Android ขยายเวลาการปลดล็อกอุปกรณ์ได้สูงสุด 4 ชั่วโมงหรือไม่
2.4.1. ผู้ดูแลระบบไอทีสามารถปิดใช้ ตัวแทนความน่าเชื่อถือในอุปกรณ์ได้
2.5 ล้างข้อมูลและล็อก
ผู้ดูแลระบบไอทีสามารถใช้คอนโซลของ EMM เพื่อล็อกและล้างข้อมูลงานจากอุปกรณ์ที่มีการจัดการจากระยะไกลได้
2.5.1. ต้องล็อกอุปกรณ์โดยใช้ Android Management API
2.5.2. ต้องล้างข้อมูลอุปกรณ์โดยใช้ Android Management API
2.6 การบังคับใช้เพื่อให้เป็นไปตามข้อกำหนด
หากอุปกรณ์ไม่เป็นไปตามนโยบายความปลอดภัย กฎการปฏิบัติตามข้อกำหนดที่ Android Management API กำหนดไว้จะจำกัดการใช้ข้อมูลงานโดยอัตโนมัติ
2.6.1. นโยบายความปลอดภัยที่บังคับใช้ในอุปกรณ์ต้องมีนโยบายรหัสผ่านเป็นอย่างน้อย
2.7 นโยบายความปลอดภัยเริ่มต้น
EMM ต้องบังคับใช้นโยบายความปลอดภัยที่ระบุในอุปกรณ์โดยค่าเริ่มต้น โดยไม่ต้องให้ผู้ดูแลระบบไอทีตั้งค่าหรือปรับแต่งการตั้งค่าใดๆ ในคอนโซลของ EMM เราขอแนะนำ (แต่ไม่บังคับ) ให้ EMM ไม่อนุญาตให้ผู้ดูแลระบบไอทีเปลี่ยนสถานะเริ่มต้นของฟีเจอร์ความปลอดภัยเหล่านี้
2.7.1. ต้องบล็อกการติดตั้งแอปจากแหล่งที่มาที่ไม่รู้จัก ซึ่งรวมถึง Installed App ที่ติดตั้งในฝั่งส่วนตัวของอุปกรณ์ Android 8.0 ขึ้นไปที่มีโปรไฟล์งาน ฟีเจอร์ย่อยนี้รองรับโดยค่าเริ่มต้น
2.7.2. ต้องบล็อกฟีเจอร์การแก้ไขข้อบกพร่อง ฟีเจอร์ย่อยนี้ รองรับโดยค่าเริ่มต้น
2.8. นโยบายความปลอดภัยสำหรับอุปกรณ์เฉพาะ
ไม่อนุญาตให้ดำเนินการอื่นๆ สำหรับอุปกรณ์เฉพาะที่ล็อกไว้
2.8.1. ต้องปิดการเปิดเครื่องเข้าสู่โหมดปลอดภัยโดยค่าเริ่มต้นโดยใช้นโยบาย
(ไปที่ safeBootDisabled)
2.9. การสนับสนุน Play Integrity
ระบบจะตรวจสอบความสมบูรณ์ของ Play โดยค่าเริ่มต้น โดยไม่ต้องติดตั้งใช้งานเพิ่มเติม
2.9.1. เว้นว่างไว้โดยเจตนา
2.9.2. เว้นว่างไว้โดยเจตนา
2.9.3. ผู้ดูแลระบบไอทีสามารถตั้งค่าการตอบสนองต่อนโยบายที่แตกต่างกันตามค่า SecurityRisk ของอุปกรณ์ ซึ่งรวมถึงการบล็อกการจัดสรร การล้างข้อมูลของบริษัท และการอนุญาตให้ดำเนินการลงทะเบียนต่อ
- บริการ EMM จะบังคับใช้การตอบสนองต่อนโยบายนี้สำหรับผลลัพธ์ของการตรวจสอบความสมบูรณ์แต่ละครั้ง
2.9.4. เว้นว่างไว้โดยเจตนา
2.10. การบังคับใช้การตรวจสอบแอป
ผู้ดูแลระบบไอทีสามารถเปิดยืนยันแอปในอุปกรณ์ได้ ฟีเจอร์ยืนยันแอปจะสแกนแอปที่ติดตั้งในอุปกรณ์ Android เพื่อหาซอฟต์แวร์ที่เป็นอันตรายทั้งก่อนและหลังการติดตั้ง ซึ่งช่วยให้มั่นใจได้ว่าแอปที่เป็นอันตรายจะไม่สามารถบุกรุกข้อมูลขององค์กรได้
2.10.1. ต้องเปิดฟีเจอร์ยืนยันแอปไว้โดยค่าเริ่มต้นโดยใช้นโยบาย
(ไปที่ ensureVerifyAppsEnabled)
2.11. การรองรับ Direct Boot
Android Management API รองรับฟีเจอร์นี้โดยค่าเริ่มต้น โดยไม่ต้องติดตั้งใช้งานเพิ่มเติม
2.12. การจัดการความปลอดภัยของฮาร์ดแวร์
ผู้ดูแลระบบไอทีสามารถล็อกองค์ประกอบฮาร์ดแวร์ของอุปกรณ์ที่บริษัทเป็นเจ้าของเพื่อป้องกันข้อมูลรั่วไหล
2.12.1. ผู้ดูแลระบบไอทีสามารถบล็อกผู้ใช้ไม่ให้ต่อเชื่อมสื่อภายนอกที่จับต้องได้โดยใช้นโยบาย (ไปที่ mountPhysicalMediaDisabled)
2.12.2. ผู้ดูแลระบบไอทีสามารถบล็อกผู้ใช้ไม่ให้แชร์ข้อมูลจากอุปกรณ์โดยใช้ NFC Beam โดยใช้นโยบาย (ไปที่ outgoingBeamDisabled) ฟีเจอร์ย่อยนี้เป็นตัวเลือกเนื่องจากฟังก์ชัน NFC Beam ไม่รองรับใน Android 10 ขึ้นไปอีกต่อไป
2.12.3. ผู้ดูแลระบบไอทีสามารถบล็อกไม่ให้ผู้ใช้โอนไฟล์ผ่าน USB ได้โดยใช้นโยบาย (ไปที่ usbFileTransferDisabled)
2.13. การบันทึกความปลอดภัยขององค์กร
Android Management API ไม่รองรับฟีเจอร์นี้
3. การจัดการบัญชีและแอป
3.1 การเชื่อมโยงองค์กร
ผู้ดูแลระบบไอทีสามารถเชื่อมโยง EMM กับองค์กรของตนได้ ซึ่งจะช่วยให้ EMM ใช้ Managed Google Play เพื่อเผยแพร่แอปไปยังอุปกรณ์ต่างๆ ได้
3.1.1. ผู้ดูแลระบบที่มี Managed Google Domains อยู่แล้วสามารถเชื่อมโยงโดเมนกับ EMM ได้
3.1.2. เว้นว่างไว้โดยเจตนา
3.1.3. เว้นว่างไว้โดยเจตนา
3.1.4. คอนโซล EMM จะแนะนำให้ผู้ดูแลระบบป้อนอีเมลที่ทำงานในขั้นตอนการลงชื่อสมัครใช้ Android และไม่แนะนำให้ใช้บัญชี Gmail
3.1.5. EMM จะกรอกอีเมลของผู้ดูแลระบบล่วงหน้าในขั้นตอนการลงชื่อสมัครใช้ Android
3.2 การจัดสรรบัญชี Managed Google Play
EMM สามารถจัดสรรบัญชีผู้ใช้ระดับองค์กรที่เรียกว่าบัญชี Managed Google Play ได้โดยไม่ต้องแจ้งให้ทราบ บัญชีเหล่านี้จะระบุผู้ใช้ที่มีการจัดการและอนุญาตให้ใช้กฎการเผยแพร่แอปที่ไม่ซ้ำกันสำหรับผู้ใช้แต่ละราย
3.2.1. ระบบจะสร้างบัญชี Managed Google Play (บัญชีผู้ใช้) โดยอัตโนมัติเมื่อมีการจัดสรรอุปกรณ์
Android Management API รองรับฟีเจอร์นี้โดยค่าเริ่มต้น โดยไม่ต้องติดตั้งใช้งานเพิ่มเติม
3.3. การจัดสรรบัญชีอุปกรณ์ Managed Google Play
EMM สามารถสร้างและจัดสรรบัญชีอุปกรณ์ Managed Google Play ได้ บัญชีอุปกรณ์รองรับการติดตั้งแอปแบบเงียบจาก Managed Google Play Store และไม่ได้เชื่อมโยงกับผู้ใช้รายเดียว แต่จะใช้บัญชีอุปกรณ์เพื่อระบุอุปกรณ์เครื่องเดียวเพื่อรองรับกฎ App Distribution ต่ออุปกรณ์ในสถานการณ์การใช้งานอุปกรณ์เฉพาะ
3.3.1. ระบบจะสร้างบัญชี Managed Google Play โดยอัตโนมัติเมื่อมีการจัดสรรอุปกรณ์
Android Management API รองรับฟีเจอร์นี้โดยค่าเริ่มต้น โดยไม่ต้องติดตั้งใช้งานเพิ่มเติม
3.4. การจัดสรรบัญชี Managed Google Play สำหรับอุปกรณ์เดิม
เราเลิกใช้งานฟีเจอร์นี้แล้ว
3.5. การเผยแพร่แอปแบบเงียบ
ผู้ดูแลระบบไอทีสามารถเผยแพร่แอปงานในอุปกรณ์แบบเงียบได้โดยไม่ต้องมีการโต้ตอบจากผู้ใช้
3.5.1. คอนโซลของ EMM ต้องใช้ Android Management API เพื่ออนุญาตให้ผู้ดูแลระบบไอทีติดตั้งแอปงานในอุปกรณ์ที่มีการจัดการ
3.5.2. คอนโซลของ EMM ต้องใช้ Android Management API เพื่ออนุญาตให้ผู้ดูแลระบบไอทีอัปเดตแอปงานในอุปกรณ์ที่มีการจัดการ
3.5.3. คอนโซลของ EMM ต้องใช้ Android Management API เพื่ออนุญาตให้ผู้ดูแลระบบไอทีถอนการติดตั้งแอปในอุปกรณ์ที่มีการจัดการ
3.6. การจัดการการกำหนดค่าที่มีการจัดการ
ผู้ดูแลระบบไอทีสามารถดูและตั้งค่าการกำหนดค่าที่มีการจัดการโดยไม่แจ้งให้ทราบสำหรับแอปที่รองรับการกำหนดค่าที่มีการจัดการ
3.6.1. คอนโซลของ EMM ต้องสามารถดึงข้อมูลและแสดงการตั้งค่าการกำหนดค่าที่มีการจัดการของแอป Play ใดก็ได้
3.6.2. คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าประเภทการกำหนดค่าใดก็ได้ (ตามที่กำหนดโดยเฟรมเวิร์ก Android Enterprise) สำหรับแอป Play ใดก็ได้โดยใช้ Android Management API
3.6.3. คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าไวลด์การ์ด (เช่น $username$ หรือ %emailAddress%) เพื่อให้สามารถใช้การกำหนดค่าเดียวสำหรับแอป เช่น Gmail กับผู้ใช้หลายคนได้
3.7. การจัดการแคตตาล็อกแอป
Android Management API รองรับฟีเจอร์นี้โดยค่าเริ่มต้น โดยไม่ต้องติดตั้งใช้งานเพิ่มเติม
3.8. การอนุมัติแอปแบบเป็นโปรแกรม
คอนโซลของ EMM ใช้ iframe ของ Managed Google Play เพื่อรองรับความสามารถในการค้นหาและอนุมัติแอปของ Google Play ผู้ดูแลระบบไอทีสามารถค้นหาแอป อนุมัติแอป และอนุมัติสิทธิ์ของแอปใหม่ได้โดยไม่ต้องออกจากคอนโซลของ EMM
3.8.1. ผู้ดูแลระบบไอทีสามารถค้นหาแอปและอนุมัติแอปภายในคอนโซลของ EMM โดยใช้ iframe ของ Managed Google Play
3.9. การจัดการเลย์เอาต์ร้านค้าขั้นพื้นฐาน
คุณใช้แอป Managed Google Play Store เพื่อติดตั้งและอัปเดตแอปงานได้ โดยค่าเริ่มต้น Managed Google Play Store จะแสดงแอปที่ได้รับอนุมัติสำหรับผู้ใช้ในรายการเดียว เลย์เอาต์นี้เรียกว่าเลย์เอาต์ร้านค้าพื้นฐาน
3.9.1. คอนโซลของ EMM ควรอนุญาตให้ผู้ดูแลระบบไอทีจัดการแอปที่มองเห็นได้ในเลย์เอาต์พื้นฐานของ Store ของผู้ใช้ปลายทาง
3.10. การกำหนดค่าเลย์เอาต์ร้านค้าขั้นสูง
3.10.1. ผู้ดูแลระบบไอทีสามารถปรับแต่งเลย์เอาต์ของ Store ที่เห็นในแอป Managed Google Play Store ได้
3.11. การจัดการใบอนุญาตแอป
เราเลิกใช้งานฟีเจอร์นี้แล้ว
3.12. การจัดการแอปส่วนตัวที่โฮสต์โดย Google
ผู้ดูแลระบบไอทีสามารถอัปเดตแอปส่วนตัวที่โฮสต์โดย Google ผ่านคอนโซล EMM แทนการอัปเดตผ่าน Google Play Console
3.12.1. ผู้ดูแลระบบไอทีสามารถอัปโหลดแอปเวอร์ชันใหม่ที่เผยแพร่แบบส่วนตัวไปยังองค์กรแล้วได้โดยใช้สิ่งต่อไปนี้
3.13. การจัดการแอปส่วนตัวที่โฮสต์เอง
เราเลิกใช้งานฟีเจอร์นี้แล้ว
3.14. การแจ้งเตือนแบบพุลของ EMM
ฟีเจอร์นี้ใช้ไม่ได้กับ Android Management API ตั้งค่าการแจ้งเตือน Pub/Sub แทน
3.15. ข้อกำหนดในการใช้งาน API
EMM ใช้ Android Management API ในวงกว้าง โดยหลีกเลี่ยงรูปแบบการเข้าชมที่อาจส่งผลเสียต่อความสามารถขององค์กรในการจัดการแอปในสภาพแวดล้อมฮาร์ดแวร์และซอฟต์แวร์
3.15.1. EMM ต้องปฏิบัติตามขีดจำกัดการใช้งาน Android Management API การไม่แก้ไขลักษณะการทำงานที่เกินหลักเกณฑ์เหล่านี้อาจส่งผลให้มีการระงับการใช้ API ตามที่ Google พิจารณาเห็นสมควร
3.15.2. EMM ควรกระจายการเข้าชมจากองค์กรต่างๆ ตลอดทั้งวัน แทนที่จะรวมการเข้าชมขององค์กรไว้ในช่วงเวลาที่เจาะจงหรือใกล้เคียงกัน พฤติกรรมที่สอดคล้องกับรูปแบบการเข้าชมนี้ เช่น การดำเนินการแบบกลุ่มที่กำหนดเวลาไว้สำหรับอุปกรณ์แต่ละเครื่องที่ลงทะเบียน อาจส่งผลให้มีการระงับการใช้ API ตามดุลยพินิจของ Google
3.15.3. EMM ไม่ควรส่งคำขอที่ไม่สอดคล้องกัน ไม่สมบูรณ์ หรือไม่ถูกต้องโดยเจตนาซึ่งไม่ได้พยายามดึงข้อมูลหรือจัดการข้อมูลจริงขององค์กร พฤติกรรมที่สอดคล้องกับรูปแบบการเข้าชมนี้อาจส่งผลให้มีการระงับการใช้ API ตามที่ Google พิจารณาเห็นสมควร
3.16. การจัดการการกำหนดค่าที่มีการจัดการขั้นสูง
EMM รองรับฟีเจอร์การจัดการการกำหนดค่าที่มีการจัดการขั้นสูงต่อไปนี้
3.16.1. คอนโซลของ EMM ต้องสามารถดึงข้อมูลและแสดงการตั้งค่าการกำหนดค่าที่มีการจัดการซ้อนกันได้สูงสุด 4 ระดับของแอป Play ใดก็ได้ โดยใช้สิ่งต่อไปนี้
- iframe ของ Managed Google Play หรือ
- UI ที่กำหนดเอง
3.16.2. คอนโซลของ EMM ต้องสามารถเรียกข้อมูลและแสดงความคิดเห็นที่ส่งกลับมาจากช่องทางแสดงความคิดเห็นของแอปได้เมื่อผู้ดูแลระบบไอทีตั้งค่าไว้
- คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีเชื่อมโยงรายการความคิดเห็นที่เฉพาะเจาะจงกับอุปกรณ์และแอปที่สร้างความคิดเห็นนั้น
- คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีสมัครรับการแจ้งเตือนหรือรายงานของข้อความบางประเภท (เช่น ข้อความแสดงข้อผิดพลาด)
3.16.3. คอนโซลของ EMM ต้องส่งเฉพาะค่าที่มีค่าเริ่มต้นหรือผู้ดูแลระบบตั้งค่าด้วยตนเองโดยใช้สิ่งต่อไปนี้
- iframe การกำหนดค่าที่มีการจัดการ หรือ
- UI ที่กำหนดเอง
3.17. การจัดการเว็บแอป
ผู้ดูแลระบบไอทีสามารถสร้างและเผยแพร่เว็บแอปในคอนโซล EMM ได้
3.17.1. คอนโซล EMM ช่วยให้ผู้ดูแลระบบไอทีสามารถเผยแพร่ทางลัดไปยังเว็บแอปได้โดยใช้สิ่งต่อไปนี้
3.18. การจัดการวงจรของบัญชี Managed Google Play
EMM สามารถสร้าง อัปเดต และลบบัญชี Managed Google Play ในนามของผู้ดูแลระบบไอที และกู้คืนจากบัญชีที่หมดอายุโดยอัตโนมัติ
ฟีเจอร์นี้รองรับโดยค่าเริ่มต้น โดยไม่ต้องติดตั้งใช้งาน EMM เพิ่มเติม
3.19. การจัดการแทร็กแอปพลิเคชัน
3.19.1. ผู้ดูแลระบบไอทีสามารถดึงรายการรหัสติดตามที่นักพัฒนาแอปตั้งค่าไว้สำหรับแอปหนึ่งๆ ได้
3.19.2. ผู้ดูแลระบบไอทีสามารถตั้งค่าอุปกรณ์ให้ใช้แทร็กการพัฒนาที่เฉพาะเจาะจงสำหรับแอปพลิเคชันได้
3.20. การจัดการการอัปเดตแอปพลิเคชันขั้นสูง
ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปอัปเดตทันทีหรือเลื่อนการอัปเดตออกไปเป็นเวลา 90 วัน
3.20.1. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปใช้การอัปเดตแอปที่มีลำดับความสำคัญสูงเพื่ออัปเดตเมื่อการอัปเดตพร้อมใช้งาน
3.20.2. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปเลื่อนการอัปเดตแอปออกไปเป็นเวลา 90 วันได้
3.21. การจัดการวิธีการจัดสรร
EMM สามารถสร้างการกำหนดค่าการจัดสรรและแสดงให้ผู้ดูแลระบบไอทีเห็นในรูปแบบที่พร้อมสำหรับการเผยแพร่ไปยังผู้ใช้ปลายทาง (เช่น คิวอาร์โค้ด, การกำหนดค่าแบบ Zero-Touch, URL ของ Play Store)
3.22. อัปเกรดการเชื่อมโยงองค์กร
ผู้ดูแลระบบไอทีสามารถอัปเกรดประเภทการเชื่อมโยงระดับองค์กรเป็นองค์กรที่ใช้โดเมน Google ที่มีการจัดการ ซึ่งจะช่วยให้องค์กรเข้าถึงบริการและฟีเจอร์ของบัญชี Google ในอุปกรณ์ที่ลงทะเบียนได้
3.22.1. คอนโซล EMM ช่วยให้ผู้ดูแลระบบไอทีเรียกใช้การอัปเกรดกลุ่มบัญชี Managed Google Play สำหรับองค์กรที่มีอยู่เป็นกลุ่มโดเมน Google ที่มีการจัดการสำหรับองค์กรได้โดยใช้ API ที่จำเป็น
3.22.2. EMM ควรใช้ Pub/Sub เพื่อรับการแจ้งเตือนเกี่ยวกับเหตุการณ์การอัปเกรดที่ผู้ดูแลระบบไอทีเป็นผู้เริ่ม (แม้แต่เหตุการณ์ที่เกิดขึ้นนอกคอนโซล EMM) และอัปเดต UI เพื่อแสดงการเปลี่ยนแปลงเหล่านี้
3.23. การจัดสรรบัญชี Google ที่มีการจัดการ
EMM สามารถจัดสรรอุปกรณ์ด้วยบัญชีผู้ใช้ระดับองค์กร ซึ่งเรียกว่าบัญชี Google ที่มีการจัดการ บัญชีเหล่านี้จะระบุผู้ใช้ที่มีการจัดการและอนุญาตให้ใช้กฎการเผยแพร่แอป รวมถึงอนุญาตให้เข้าถึงบริการของ Google นอกจากนี้ ผู้ดูแลระบบไอทียังสามารถกำหนดนโยบายเพื่อกำหนดให้มีการตรวจสอบสิทธิ์บัญชี Google ที่มีการจัดการในระหว่างหรือหลังการลงทะเบียน
3.23.1. EMM สามารถจัดสรรบัญชี Google ที่มีการจัดการตามหลักเกณฑ์การติดตั้งใช้งานที่กำหนดไว้
โดยการดำเนินการดังกล่าวมีรายละเอียดดังนี้
- มีการเพิ่มบัญชี Google ที่มีการจัดการลงในอุปกรณ์
- บัญชี Google ที่มีการจัดการต้องมีการแมปแบบ 1 ต่อ 1 กับผู้ใช้จริงในคอนโซลของ EMM
3.23.2. ผู้ดูแลระบบไอทีสามารถใช้นโยบายนี้เพื่อให้ผู้ใช้มีตัวเลือกในการลงชื่อเข้าใช้บัญชี Google ที่มีการจัดการเพื่อลงทะเบียน
3.23.3. ผู้ดูแลระบบไอทีสามารถใช้นโยบายเพื่อควบคุมว่าผู้ใช้จำเป็นต้องลงชื่อเข้าใช้บัญชี Google ที่มีการจัดการเพื่อลงทะเบียนให้เสร็จสมบูรณ์หรือไม่
3.23.4. ผู้ดูแลระบบไอทีสามารถเลือกจำกัดขั้นตอนการอัปเกรดให้ใช้ได้เฉพาะกับตัวระบุบัญชี (อีเมล) ที่เฉพาะเจาะจงสำหรับอุปกรณ์ที่กำหนดได้
3.24. การอัปเกรดบัญชี Managed Google Play
ผู้ดูแลระบบไอทีสามารถอัปเกรดประเภทบัญชีผู้ใช้เป็นบัญชี Google ที่มีการจัดการ ซึ่งจะช่วยให้อุปกรณ์เข้าถึงบริการและฟีเจอร์ของบัญชี Google ในอุปกรณ์ที่ลงทะเบียนได้
3.24.1. ผู้ดูแลระบบไอทีสามารถอัปเกรดบัญชี Managed Google Play ที่มีอยู่ในอุปกรณ์เป็นบัญชี Google ที่มีการจัดการได้
3.24.2. ผู้ดูแลระบบไอทีสามารถเลือกจำกัดขั้นตอนการอัปเกรดให้ใช้ได้เฉพาะกับตัวระบุบัญชี (อีเมล) ที่เฉพาะเจาะจงสำหรับอุปกรณ์ที่กำหนดได้
3.25. บทบาทของแอป
EMM รองรับการให้สิทธิ์พิเศษซึ่งระบุโดยประเภทบทบาทที่พร้อมใช้งานแก่แอปที่ผู้ดูแลระบบไอทีเลือก สิทธิ์เพิ่มเติมเหล่านี้รวมถึงความสามารถในการทำงานโดยไม่หยุดชะงักจากข้อจำกัดด้านพลังงานหรือเบื้องหลัง การระงับ การไฮเบอร์เนต และการควบคุมของผู้ใช้
3.25.1. แอปที่ใช้ร่วมกันเป็นแอปที่ไม่บังคับและช่วยให้ EMM ขยายฟังก์ชันการจัดการได้โดยใช้ไคลเอ็นต์ในเครื่องของตนเองในอุปกรณ์ หากโซลูชันของคุณมีแอปที่ใช้ร่วมกัน คุณต้องกำหนดบทบาท Companion_App ที่ถูกต้องให้กับแอปโดยอัตโนมัติ (นั่นคือ โดยไม่ต้องให้ผู้ดูแลระบบไอทีป้อนข้อมูล) ผู้ดูแลระบบไอทีไม่ควรกำหนดค่าบทบาทนี้ได้
3.25.2. คอนโซลของ EMM ช่วยให้ผู้ดูแลระบบไอทีมอบหมายบทบาทใดก็ได้ที่ระบุไว้ใน RoleType ยกเว้น Companion_APP ซึ่ง EMM เป็นผู้มอบหมาย
3.25.3 EMM สามารถแนะนำแอปที่เหมาะสมสำหรับแต่ละบทบาทได้ แต่ต้องไม่จำกัดตัวเลือกแอปไว้เฉพาะรายการที่กำหนดเอง
3.26. การโอนและการกู้คืนข้อมูลในอุปกรณ์
ผู้ดูแลระบบไอทีสามารถเปิดใช้การโอนข้อมูลและการกู้คืนอุปกรณ์สำหรับอุปกรณ์ที่มีการจัดการครบวงจรซึ่งติดตั้งบัญชี Google ที่มีการจัดการ และมีแอป Google Restore ในอุปกรณ์ ซึ่งเป็นข้อเสนอแพลตฟอร์มสำหรับอุปกรณ์ที่มีการจัดการครบวงจร ฟังก์ชันนี้ไม่รองรับโปรไฟล์งาน ซึ่งรวมถึงทั้ง COPE และ BYOD
3.26.1. คอนโซล EMM ช่วยให้ผู้ดูแลระบบไอทีเปิดใช้บริการสำรองข้อมูลได้โดยตั้งค่า backupService เป็น BACKUP_SERVICE_USER_CHOICE ใน AMAPI เนื่องจากฟีเจอร์นี้ปิดใช้อยู่โดยค่าเริ่มต้นในอุปกรณ์ที่มีการจัดการครบวงจร
4. การจัดการอุปกรณ์
4.1 การจัดการนโยบายสิทธิ์รันไทม์
ผู้ดูแลระบบไอทีสามารถตั้งค่าการตอบกลับเริ่มต้นสำหรับคำขอสิทธิ์รันไทม์ที่แอปงานส่งมาได้โดยไม่ต้องแจ้งให้ผู้ใช้ทราบ
4.1.1. ผู้ดูแลระบบไอทีต้องเลือกจากตัวเลือกต่อไปนี้ได้เมื่อตั้งค่านโยบายสิทธิ์รันไทม์เริ่มต้นสำหรับองค์กร
- ข้อความแจ้ง (อนุญาตให้ผู้ใช้เลือก)
- allow
- ปฏิเสธ
EMM ควรบังคับใช้การตั้งค่าเหล่านี้โดยใช้นโยบาย
4.2 การจัดการสถานะการให้สิทธิ์รันไทม์
หลังจากตั้งค่านโยบายสิทธิ์รันไทม์เริ่มต้น (ไปที่ 4.1) ผู้ดูแลระบบไอทีสามารถตั้งค่าการตอบกลับสำหรับสิทธิ์ที่เฉพาะเจาะจงจากแอปงานที่สร้างขึ้นใน API 23 ขึ้นไปได้โดยไม่ต้องแจ้งให้ผู้ใช้ทราบ
4.2.1. ผู้ดูแลระบบไอทีต้องสามารถตั้งค่าสถานะการให้สิทธิ์ (ค่าเริ่มต้น ให้สิทธิ์ หรือปฏิเสธ) ของคำขอสิทธิ์ใดๆ จากแอปงานที่สร้างบน API 23 ขึ้นไป EMM ควรบังคับใช้การตั้งค่าเหล่านี้โดยใช้นโยบาย
4.3 การจัดการการกำหนดค่า Wi-Fi
ผู้ดูแลระบบไอทีสามารถจัดสรรการกำหนดค่า Wi-Fi ขององค์กรในอุปกรณ์ที่มีการจัดการได้โดยไม่ต้องแจ้งให้ผู้ใช้ทราบ ซึ่งรวมถึง
4.3.1. SSID โดยใช้นโยบาย
4.3.2. รหัสผ่าน โดยใช้นโยบาย
4.4 การจัดการความปลอดภัยของ Wi-Fi
ผู้ดูแลระบบไอทีสามารถจัดสรรการกำหนดค่า Wi-Fi ระดับองค์กรในอุปกรณ์ที่มีฟีเจอร์ความปลอดภัยขั้นสูงต่อไปนี้ได้
4.4.1. Identity
4.4.2. ใบรับรองสำหรับการให้สิทธิ์ไคลเอ็นต์
4.4.3. ใบรับรอง CA
4.5 การจัดการ Wi-Fi ขั้นสูง
ผู้ดูแลระบบไอทีสามารถล็อกการกำหนดค่า Wi-Fi ในอุปกรณ์ที่มีการจัดการเพื่อป้องกันไม่ให้ผู้ใช้สร้างการกำหนดค่าหรือแก้ไขการกำหนดค่าขององค์กร
4.5.1. ผู้ดูแลระบบไอทีสามารถล็อกการกำหนดค่า Wi-Fi ขององค์กรได้โดยใช้นโยบายในการกำหนดค่าอย่างใดอย่างหนึ่งต่อไปนี้
- ผู้ใช้ไม่สามารถแก้ไขการกำหนดค่า Wi-Fi ที่จัดสรรโดย EMM (ไปที่
wifiConfigsLockdownEnabled) แต่อาจเพิ่มและแก้ไขเครือข่ายที่ผู้ใช้กำหนดค่าได้เอง (เช่น เครือข่ายส่วนตัว) - ผู้ใช้จะเพิ่มหรือแก้ไขเครือข่าย Wi-Fi ในอุปกรณ์ไม่ได้ (ไปที่
wifiConfigDisabled) ซึ่งจะจำกัดการเชื่อมต่อ Wi-Fi ไว้เฉพาะเครือข่ายที่ EMM จัดสรรไว้เท่านั้น
4.6 การจัดการบัญชี
ผู้ดูแลระบบไอทีสามารถตรวจสอบว่ามีเพียงบัญชีที่ได้รับอนุญาตของบริษัทเท่านั้นที่จะโต้ตอบกับข้อมูลของบริษัทได้ สำหรับบริการต่างๆ เช่น พื้นที่เก็บข้อมูล SaaS และแอปเพื่อการทำงาน หรืออีเมล หากไม่มีฟีเจอร์นี้ ผู้ใช้จะเพิ่มบัญชีส่วนตัวลงในแอปขององค์กรที่รองรับบัญชีผู้ใช้ทั่วไปได้ ซึ่งจะทำให้ผู้ใช้แชร์ข้อมูลขององค์กรกับบัญชีส่วนตัวเหล่านั้นได้
4.6.1. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้เพิ่มหรือแก้ไขบัญชีได้ (ดู modifyAccountsDisabled)
- เมื่อบังคับใช้นโยบายนี้ในอุปกรณ์ EMM ต้องตั้งค่าข้อจำกัดนี้ก่อนที่การจัดสรรจะเสร็จสมบูรณ์ เพื่อให้มั่นใจว่าผู้ใช้จะไม่สามารถหลีกเลี่ยงนโยบายนี้โดยการเพิ่มบัญชีก่อนที่นโยบายจะมีผลบังคับใช้
4.7 การจัดการบัญชี Workspace
เราเลิกใช้งานฟีเจอร์นี้แล้ว ดูข้อกำหนดในการเปลี่ยนทดแทนได้ที่ข้อ 3.23
4.8. การจัดการใบรับรอง
ช่วยให้ผู้ดูแลระบบไอทีสามารถติดตั้งใช้งานใบรับรองข้อมูลประจำตัวและผู้ออกใบรับรองในอุปกรณ์เพื่ออนุญาตให้ใช้ทรัพยากรขององค์กรได้
4.8.1. ผู้ดูแลระบบไอทีสามารถติดตั้งใบรับรองข้อมูลประจำตัวของผู้ใช้ที่สร้างโดย PKI ของตนเองแบบต่อผู้ใช้ คอนโซลของ EMM ต้องผสานรวมกับ PKI อย่างน้อย 1 รายการและแจกจ่ายใบรับรองที่สร้างจากโครงสร้างพื้นฐานนั้น
4.8.2. ผู้ดูแลระบบไอทีสามารถติดตั้งผู้ออกใบรับรอง (ดู caCerts) ใน Keystore ที่มีการจัดการได้ อย่างไรก็ตาม ระบบไม่รองรับฟีเจอร์ย่อยนี้
4.9. การจัดการใบรับรองขั้นสูง
ช่วยให้ผู้ดูแลระบบไอทีเลือกใบรับรองที่แอปที่มีการจัดการบางแอปควรใช้ได้โดยไม่ต้องแจ้งให้ผู้ใช้ทราบ นอกจากนี้ ฟีเจอร์นี้ยังช่วยให้ผู้ดูแลระบบไอทีสามารถนำ CA และใบรับรองข้อมูลประจำตัวออกจากอุปกรณ์ที่ใช้งานอยู่ และป้องกันไม่ให้ผู้ใช้แก้ไขข้อมูลเข้าสู่ระบบที่จัดเก็บไว้ในคีย์สโตร์ที่มีการจัดการ
4.9.1. สำหรับแอปที่เผยแพร่ไปยังอุปกรณ์ ผู้ดูแลระบบไอทีสามารถระบุใบรับรองที่แอปจะได้รับสิทธิ์เข้าถึงโดยไม่มีการแจ้งเตือนในระหว่างรันไทม์ (ไม่รองรับฟีเจอร์ย่อยนี้)
- การเลือกใบรับรองต้องเป็นแบบทั่วไปมากพอที่จะอนุญาตให้มีการกำหนดค่าเดียวที่ใช้กับผู้ใช้ทั้งหมด ซึ่งแต่ละรายอาจมีใบรับรองข้อมูลประจำตัวเฉพาะผู้ใช้
4.9.2. ผู้ดูแลระบบไอทีสามารถนำใบรับรองออกจาก Keystore ที่มีการจัดการได้โดยไม่ต้องแจ้งให้ทราบ
4.9.3. ผู้ดูแลระบบไอทีสามารถถอนการติดตั้งใบรับรอง CA แบบเงียบได้ (ไม่รองรับฟีเจอร์ย่อยนี้)
4.9.4. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้กำหนดค่าข้อมูลเข้าสู่ระบบ (ไปที่ credentialsConfigDisabled) ใน Keystore ที่มีการจัดการได้
4.9.5. ผู้ดูแลระบบไอทีสามารถให้สิทธิ์ใบรับรองล่วงหน้าสำหรับแอปงานได้โดยใช้ ChoosePrivateKeyRule
4.10. การจัดการใบรับรองที่ได้รับมอบ
ผู้ดูแลระบบไอทีสามารถเผยแพร่แอปการจัดการใบรับรองของบุคคลที่สามไปยังอุปกรณ์และให้สิทธิพิเศษแก่แอปนั้นในการติดตั้งใบรับรองในคีย์สโตร์ที่มีการจัดการ
4.10.1. ผู้ดูแลระบบไอทีสามารถระบุแพ็กเกจการจัดการใบรับรอง (ไปที่ CERT_INSTALL DelegatedScope) เพื่อตั้งค่าเป็นแอปการจัดการใบรับรองที่ได้รับมอบสิทธิ์
- EMM อาจแนะนำแพ็กเกจการจัดการใบรับรองที่รู้จัก (ไม่บังคับ) แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง
4.11. การจัดการ VPN ขั้นสูง
ช่วยให้ผู้ดูแลระบบไอทีระบุ VPN แบบเปิดตลอดเวลาเพื่อให้มั่นใจว่าข้อมูลจากแอปที่มีการจัดการที่ระบุจะผ่านการตั้งค่า VPN เสมอ
4.11.1. ผู้ดูแลระบบไอทีสามารถระบุแพ็กเกจ VPN ใดก็ได้เพื่อตั้งค่าเป็น VPN แบบเปิดตลอดเวลา
- คอนโซลของ EMM อาจแนะนำแพ็กเกจ VPN ที่รู้จักซึ่งรองรับ VPN ที่เปิดตลอดเวลา แต่จะจำกัด VPN ที่ใช้ได้สำหรับการกำหนดค่า VPN ที่เปิดตลอดเวลาให้เป็นรายการที่กำหนดเองไม่ได้
4.11.2. ผู้ดูแลระบบไอทีสามารถใช้การกำหนดค่าที่มีการจัดการเพื่อระบุการตั้งค่า VPN สำหรับแอปได้
4.12. การจัดการ IME
ผู้ดูแลระบบไอทีสามารถจัดการวิธีการป้อนข้อมูล (IME) ที่ตั้งค่าสำหรับอุปกรณ์ได้ เนื่องจากมีการแชร์ IME ทั้งในโปรไฟล์งานและโปรไฟล์ส่วนตัว การบล็อกการใช้ IME จะป้องกันไม่ให้ผู้ใช้อนุญาต IME เหล่านั้นสำหรับการใช้งานส่วนตัวด้วย อย่างไรก็ตาม ผู้ดูแลระบบไอทีไม่สามารถบล็อกการใช้ IME ของระบบในโปรไฟล์งานได้ (ดูรายละเอียดเพิ่มเติมได้ที่การจัดการ IME ขั้นสูง)
4.12.1. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่อนุญาตของ IME (ไปที่ permitted_input_methods) ที่มีความยาวตามต้องการ (รวมถึงรายการที่ว่างเปล่า ซึ่งจะบล็อก IME ที่ไม่ใช่ของระบบ) ซึ่งอาจมีแพ็กเกจ IME ใดก็ได้ตามต้องการ
- คอนโซลของ EMM อาจแนะนำ IME ที่รู้จักหรือแนะนำให้รวมไว้ในรายการที่อนุญาต (ไม่บังคับ) แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง
4.12.2. EMM ต้องแจ้งให้ผู้ดูแลระบบไอทีทราบว่า IME ของระบบจะไม่รวมอยู่ในการจัดการในอุปกรณ์ที่มีโปรไฟล์งาน
4.13. การจัดการ IME ขั้นสูง
ผู้ดูแลระบบไอทีสามารถจัดการวิธีการป้อนข้อมูล (IME) ที่ผู้ใช้ตั้งค่าในอุปกรณ์ได้ การจัดการ IME ขั้นสูงจะขยายฟีเจอร์พื้นฐานโดยอนุญาตให้ผู้ดูแลระบบไอทีจัดการการใช้ IME ของระบบได้ด้วย ซึ่งโดยปกติแล้วผู้ผลิตอุปกรณ์หรือผู้ให้บริการของอุปกรณ์จะเป็นผู้จัดหาให้
4.13.1. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่อนุญาตของ IME (ไปที่ permitted_input_methods) ที่มีความยาวเท่าใดก็ได้ (ยกเว้นรายการที่ว่างเปล่า ซึ่งจะบล็อก IME ทั้งหมด รวมถึง IME ของระบบ) ซึ่งอาจมีแพ็กเกจ IME ใดก็ได้
- คอนโซลของ EMM อาจแนะนำ IME ที่รู้จักหรือแนะนำให้รวมไว้ในรายการที่อนุญาต (ไม่บังคับ) แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง
4.13.2. EMM ต้องป้องกันไม่ให้ผู้ดูแลระบบไอทีตั้งค่ารายการที่อนุญาตที่ว่างเปล่า เนื่องจากการตั้งค่านี้จะบล็อกไม่ให้ตั้งค่า IME ทั้งหมด รวมถึง IME ของระบบในอุปกรณ์
4.13.3. EMM ต้องตรวจสอบว่าหากรายการที่อนุญาตของ IME ไม่มี IME ของระบบ ระบบจะติดตั้ง IME ของบุคคลที่สามแบบเงียบก่อนที่จะใช้รายการที่อนุญาตในอุปกรณ์
4.14. การจัดการบริการการช่วยเหลือพิเศษ
ผู้ดูแลระบบไอทีสามารถจัดการบริการการช่วยเหลือพิเศษที่ผู้ใช้สามารถอนุญาตในอุปกรณ์ได้ บริการการช่วยเหลือพิเศษเป็นเครื่องมือที่มีประสิทธิภาพสำหรับผู้ใช้ที่พิการหรือผู้ที่ไม่สามารถโต้ตอบกับอุปกรณ์ได้อย่างเต็มที่ชั่วคราว อย่างไรก็ตาม ผู้ใช้อาจโต้ตอบกับข้อมูลของบริษัทในลักษณะที่ไม่เป็นไปตามนโยบายของบริษัท ฟีเจอร์นี้ช่วยให้ผู้ดูแลระบบไอทีปิดบริการการช่วยเหลือพิเศษที่ไม่ใช่ของระบบได้
4.14.1. ผู้ดูแลระบบไอทีสามารถตั้งค่ารายการที่อนุญาตสำหรับบริการการช่วยเหลือพิเศษ (ไปที่ permittedAccessibilityServices) ที่มีความยาวเท่าใดก็ได้ (รวมถึงรายการที่ว่างเปล่า ซึ่งจะบล็อกบริการการช่วยเหลือพิเศษที่ไม่ใช่ของระบบ) ซึ่งอาจมีแพ็กเกจบริการการช่วยเหลือพิเศษใดๆ ก็ได้ เมื่อใช้กับโปรไฟล์งาน การตั้งค่านี้จะส่งผลต่อทั้งโปรไฟล์ส่วนตัวและโปรไฟล์งาน
- คอนโซลอาจแนะนำบริการการช่วยเหลือพิเศษที่รู้จักหรือแนะนำให้รวมไว้ในรายการที่อนุญาต (ไม่บังคับ) แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง
4.15. การจัดการการแชร์ตำแหน่ง
ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้แชร์ข้อมูลตำแหน่งกับแอปในโปรไฟล์งานได้ มิเช่นนั้น คุณจะกำหนดการตั้งค่าตำแหน่งในโปรไฟล์งานได้ในการตั้งค่า
4.15.1. ผู้ดูแลระบบไอทีสามารถปิดใช้บริการตำแหน่ง (ไปที่ shareLocationDisabled) ภายในโปรไฟล์งานได้
4.16. การจัดการการแชร์ตำแหน่งขั้นสูง
ผู้ดูแลระบบไอทีสามารถบังคับใช้การตั้งค่าการแชร์ตำแหน่งที่กำหนดในอุปกรณ์ที่มีการจัดการได้ ฟีเจอร์นี้ช่วยให้มั่นใจได้ว่าแอปของบริษัทจะมีข้อมูลตำแหน่งที่มีความแม่นยำสูงเสมอ นอกจากนี้ ฟีเจอร์นี้ยังช่วยให้มั่นใจได้ว่าอุปกรณ์จะไม่ใช้แบตเตอรี่มากเกินไปโดยการจำกัดการตั้งค่าตำแหน่งให้อยู่ในโหมดประหยัดแบตเตอรี่
4.16.1. ผู้ดูแลระบบไอทีสามารถตั้งค่าบริการตำแหน่งของอุปกรณ์เป็นโหมดต่อไปนี้ได้
- ความแม่นยำสูง
- เซ็นเซอร์เท่านั้น เช่น GPS แต่ไม่รวมตำแหน่งที่เครือข่ายระบุ
- ประหยัดแบตเตอรี่ ซึ่งจะจำกัดความถี่ในการอัปเดต
- ปิด
4.17. การจัดการการป้องกันการรีเซ็ตเป็นค่าเริ่มต้น
ช่วยให้ผู้ดูแลระบบไอทีปกป้องอุปกรณ์ของบริษัทจากการขโมยได้โดยตรวจสอบว่าผู้ใช้ที่ไม่ได้รับอนุญาตจะไม่สามารถรีเซ็ตอุปกรณ์เป็นค่าเริ่มต้นได้ หากการป้องกันการรีเซ็ตเป็นค่าเริ่มต้นทำให้เกิดความซับซ้อนในการดำเนินการเมื่อมีการส่งคืนอุปกรณ์ให้ฝ่ายไอที ผู้ดูแลระบบไอทีสามารถปิดการป้องกันการรีเซ็ตเป็นค่าเริ่มต้นทั้งหมดได้
4.17.1. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้รีเซ็ตเป็นค่าเริ่มต้น (ไปที่ factoryResetDisabled) อุปกรณ์จากการตั้งค่าได้
4.17.2. ผู้ดูแลระบบไอทีสามารถระบุบัญชีปลดล็อกของบริษัทที่ได้รับอนุญาตให้จัดสรรอุปกรณ์ (ไปที่ frpAdminEmails) หลังจากรีเซ็ตเป็นค่าเริ่มต้นได้
- บัญชีนี้สามารถเชื่อมโยงกับบุคคลธรรมดา หรือใช้โดยทั้งองค์กรเพื่อปลดล็อกอุปกรณ์
4.17.3. ผู้ดูแลระบบไอทีสามารถปิดใช้การป้องกันการรีเซ็ตเป็นค่าเริ่มต้น (ไปที่ factoryResetDisabled) สำหรับอุปกรณ์ที่ระบุได้
4.17.4. ผู้ดูแลระบบไอทีสามารถเริ่มล้างข้อมูลในอุปกรณ์ระยะไกลซึ่งจะล้างข้อมูลการป้องกันการรีเซ็ต (ไม่บังคับ) จึงเป็นการนำการป้องกันการรีเซ็ตเป็นค่าเริ่มต้นออกจากอุปกรณ์ที่รีเซ็ต
4.18. การควบคุมแอปขั้นสูง
ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้ถอนการติดตั้งหรือแก้ไขแอปที่มีการจัดการผ่านการตั้งค่าได้ เช่น การป้องกันไม่ให้บังคับปิดแอปหรือล้างแคชข้อมูลของแอป
4.18.1. ผู้ดูแลระบบไอทีสามารถบล็อกการถอนการติดตั้งแอปที่มีการจัดการที่กำหนดเอง หรือแอปที่มีการจัดการทั้งหมด (ไปที่ uninstallAppsDisabled)
4.18.2. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้แก้ไขข้อมูลแอปพลิเคชันจากการตั้งค่าได้ (Android Management API ไม่รองรับฟีเจอร์ย่อยนี้)
4.19. การจัดการการจับภาพหน้าจอ
ผู้ดูแลระบบไอทีสามารถบล็อกไม่ให้ผู้ใช้จับภาพหน้าจอเมื่อใช้แอปที่มีการจัดการได้ การตั้งค่านี้รวมถึงการบล็อกแอปแชร์หน้าจอและแอปที่คล้ายกัน (เช่น Google Assistant) ที่ใช้ความสามารถในการจับภาพหน้าจอของระบบ
4.19.1. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้จับภาพหน้าจอได้ (ไปที่ screenCaptureDisabled)
4.20. ปิดใช้งานกล้องถ่ายรูป
ผู้ดูแลระบบไอทีสามารถปิดการใช้กล้องของอุปกรณ์โดยแอปที่มีการจัดการได้
4.20.1. ผู้ดูแลระบบไอทีสามารถปิดใช้กล้องของอุปกรณ์ (ไปที่ cameraDisabled) สำหรับแอปที่มีการจัดการได้
4.21. การเก็บรวบรวมสถิติด้านเครือข่าย
Android Management API ไม่รองรับฟีเจอร์นี้
4.22. การเก็บรวบรวมสถิติด้านเครือข่ายขั้นสูง
Android Management API ไม่รองรับฟีเจอร์นี้
4.23. รีบูตอุปกรณ์
ผู้ดูแลระบบไอทีสามารถรีสตาร์ทอุปกรณ์ที่มีการจัดการจากระยะไกลได้
4.23.1. ผู้ดูแลระบบไอทีสามารถรีบูตจากระยะไกลในอุปกรณ์ที่มีการจัดการได้
4.24. การจัดการวิทยุของระบบ
ช่วยให้ผู้ดูแลระบบไอทีสามารถจัดการวิทยุเครือข่ายระบบและนโยบายการใช้งานที่เกี่ยวข้องได้อย่างละเอียดโดยใช้นโยบาย
4.24.1. ผู้ดูแลระบบไอทีสามารถปิดการส่งข้อมูลเตือนภัยทางมือถือ (CB) ที่ผู้ให้บริการส่งได้ (ไปที่ cellBroadcastsConfigDisabled)
4.24.2. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าเครือข่ายมือถือในการตั้งค่า (ไปที่ mobileNetworksConfigDisabled)
4.24.3. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้รีเซ็ตการตั้งค่าเครือข่ายทั้งหมดในการตั้งค่าได้ (ไปที่ networkResetDisabled)
4.24.4. ผู้ดูแลระบบไอทีสามารถตั้งค่าได้ว่าจะอนุญาตให้อุปกรณ์ใช้อินเทอร์เน็ตมือถือขณะโรมมิ่งหรือไม่ (ไปที่ dataRoamingDisabled)
4.24.5. ผู้ดูแลระบบไอทีสามารถตั้งค่าได้ว่าอุปกรณ์จะโทรออกได้หรือไม่ โดยไม่รวมการโทรฉุกเฉิน (ไปที่ outGoingCallsDisabled)
4.24.6. ผู้ดูแลระบบไอทีสามารถตั้งค่าได้ว่าจะให้อุปกรณ์ส่งและรับ SMS ได้หรือไม่ (ไปที่ smsDisabled)
4.24.7. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้ใช้อุปกรณ์เป็นฮอตสปอตแบบพกพาโดยการปล่อยสัญญาณอินเทอร์เน็ต (ไปที่ tetheringConfigDisabled)
4.24.8. ผู้ดูแลระบบไอทีสามารถตั้งค่าระยะหมดเวลาของ Wi-Fi เป็นค่าเริ่มต้น ขณะเสียบปลั๊ก หรือไม่เลยก็ได้ (Android Management API ไม่รองรับฟีเจอร์ย่อยนี้)
4.24.9. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้ตั้งค่าหรือแก้ไขการเชื่อมต่อบลูทูธที่มีอยู่ได้ (ไปที่ bluetoothConfigDisabled)
4.25. การจัดการเสียงของระบบ
ผู้ดูแลระบบไอทีสามารถควบคุมฟีเจอร์เสียงของอุปกรณ์โดยไม่ส่งเสียง ซึ่งรวมถึงการปิดเสียงอุปกรณ์ การป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าระดับเสียง และการป้องกันไม่ให้ผู้ใช้เปิดเสียงไมโครโฟนของอุปกรณ์
4.25.1. ผู้ดูแลระบบไอทีสามารถปิดเสียงอุปกรณ์ที่มีการจัดการได้โดยไม่ส่งเสียงแจ้งเตือน (Android Management API ไม่รองรับฟีเจอร์ย่อยนี้)
4.25.2. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าระดับเสียงของอุปกรณ์ได้ (ไปที่ adjustVolumeDisabled) ซึ่งจะปิดเสียงอุปกรณ์ด้วย
4.25.3. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้เปิดเสียงไมโครโฟนของอุปกรณ์ได้ (ไปที่ unmuteMicrophoneDisabled)
4.26. การจัดการนาฬิกาของระบบ
ผู้ดูแลระบบไอทีสามารถจัดการการตั้งค่านาฬิกาและการตั้งค่าเขตเวลาของอุปกรณ์ และป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าอุปกรณ์อัตโนมัติได้
4.26.1. ผู้ดูแลระบบไอทีสามารถบังคับใช้เวลาอัตโนมัติและเขตเวลาอัตโนมัติของระบบ ซึ่งจะป้องกันไม่ให้ผู้ใช้ตั้งค่าวันที่ เวลา และเขตเวลาของอุปกรณ์ได้
4.27. ฟีเจอร์ขั้นสูงสำหรับอุปกรณ์ที่ใช้เพื่อวัตถุประสงค์เฉพาะ
สำหรับอุปกรณ์เฉพาะ ผู้ดูแลระบบไอทีสามารถจัดการฟีเจอร์ต่อไปนี้ได้โดยใช้นโยบายเพื่อรองรับกรณีการใช้งานคีออสก์ต่างๆ
4.27.1. ผู้ดูแลระบบไอทีสามารถปิดการล็อกปุ่มกดของอุปกรณ์ได้ (ไปที่ keyguardDisabled)
4.27.2. ผู้ดูแลระบบไอทีสามารถปิดแถบสถานะของอุปกรณ์ บล็อกการแจ้งเตือน และการตั้งค่าด่วนได้ (ไปที่ statusBarDisabled)
4.27.3. ผู้ดูแลระบบไอทีสามารถบังคับให้หน้าจออุปกรณ์เปิดอยู่เสมอขณะที่เสียบปลั๊กอุปกรณ์ (ไปที่ stayOnPluggedModes)
4.27.4. ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้UI ของระบบต่อไปนี้แสดงได้ (ไปที่ createWindowsDisabled)
- Toast
- การซ้อนทับแอปพลิเคชัน
4.27.5. ผู้ดูแลระบบไอทีสามารถอนุญาตให้ใช้คำแนะนำของระบบสำหรับแอปเพื่อข้ามบทแนะนำผู้ใช้และคำแนะนำเบื้องต้นอื่นๆ ในการเริ่มต้นใช้งานครั้งแรก (ไปที่ skip_first_use_hints)
4.28. การจัดการขอบเขตที่ได้รับมอบสิทธิ์
ผู้ดูแลระบบไอทีสามารถมอบสิทธิ์เพิ่มเติมให้กับแพ็กเกจแต่ละรายการได้
4.28.1. ผู้ดูแลระบบไอทีสามารถจัดการขอบเขตต่อไปนี้ได้
- การติดตั้งและการจัดการใบรับรอง
- เว้นว่างโดยเจตนา
- การบันทึกกิจกรรมของเครือข่าย
- การบันทึกด้านความปลอดภัย (ไม่รองรับโปรไฟล์งานในอุปกรณ์ส่วนตัว)
4.29. การรองรับรหัสเฉพาะสำหรับการลงทะเบียน
ตั้งแต่ Android 12 เป็นต้นไป โปรไฟล์งานจะไม่มีสิทธิ์เข้าถึงตัวระบุเฉพาะฮาร์ดแวร์อีกต่อไป ผู้ดูแลระบบไอทีสามารถติดตามวงจรการใช้งานของอุปกรณ์ที่มีโปรไฟล์งานผ่านรหัสเฉพาะสำหรับการลงทะเบียน ซึ่งจะยังคงอยู่แม้จะรีเซ็ตเป็นค่าเริ่มต้น
4.29.1. ผู้ดูแลระบบไอทีสามารถรับรหัสเฉพาะสำหรับการลงทะเบียนได้
4.29.2. รหัสเฉพาะสำหรับการลงทะเบียนนี้ต้องคงอยู่แม้จะรีเซ็ตเป็นค่าเริ่มต้น
4.30. นโยบาย Credential Manager
ผู้ดูแลระบบไอทีสามารถจัดการแอปพลิเคชัน Credential Manager ที่อนุญาตหรือถูกบล็อกได้โดยใช้ค่าเริ่มต้นของนโยบายผู้ให้บริการข้อมูลเข้าสู่ระบบหรือนโยบายผู้ให้บริการข้อมูลเข้าสู่ระบบ
4.30.1 ผู้ดูแลระบบไอทีสามารถบล็อก Credential Manager ทั้งหมดในอุปกรณ์ (หรือภายในโปรไฟล์งาน) โดยใช้นโยบายได้
4.30.2 โดยค่าเริ่มต้น ผู้ดูแลระบบไอทีสามารถอนุญาตเฉพาะผู้ให้บริการข้อมูลเข้าสู่ระบบของระบบตามที่แสดงในค่าเริ่มต้นของนโยบายผู้ให้บริการข้อมูลเข้าสู่ระบบ
4.30.3 ผู้ดูแลระบบไอทีสามารถระบุรายชื่อแพ็กเกจเพื่อเปิดใช้ฟังก์ชันการทำงานของเครื่องมือจัดการข้อมูลเข้าสู่ระบบ
4.31. การจัดการ eSIM ขั้นพื้นฐาน
ช่วยให้ผู้ดูแลระบบไอทีจัดสรรอุปกรณ์ที่มีโปรไฟล์ eSIM และจัดการวงจรของ eSIM ในอุปกรณ์ได้
4.31.1 ผู้ดูแลระบบไอทีสามารถจัดสรรโปรไฟล์ eSIM ลงในอุปกรณ์โดยใช้ นโยบายได้โดยไม่ต้องแจ้งให้ผู้ใช้ทราบ
4.31.2 ผู้ดูแลระบบไอทีสามารถลบ eSIM ที่มีการจัดการออกจากอุปกรณ์ได้โดยใช้นโยบาย
4.31.3 ผู้ดูแลระบบไอทีสามารถป้องกันไม่ให้ผู้ใช้แก้ไขการตั้งค่าเครือข่ายมือถือในการตั้งค่า (ไปที่ mobileNetworksConfigDisabled)
4.31.4 ผู้ดูแลระบบไอทีสามารถส่งคำสั่งล้างข้อมูลไปยังอุปกรณ์หรือโปรไฟล์งานจากระยะไกลได้ คำสั่งนี้จะนำ eSIM ที่มีการจัดการออกจากอุปกรณ์ (ไม่บังคับ) โดยค่าเริ่มต้น ระบบจะนำ eSIM ที่มีการจัดการออกจากโปรไฟล์งานในอุปกรณ์ส่วนตัว แต่จะเก็บไว้ในอุปกรณ์ของบริษัท
4.31.5 ผู้ดูแลระบบไอทีสามารถเรียกข้อมูลตัวระบุ EID (เอกสารระบุตัวตนแบบฝัง) ของอุปกรณ์ได้โดยใช้ UI ของคอนโซล EMM (หรือวิธีการที่เทียบเท่า)
5. ความสามารถในการใช้งานอุปกรณ์
5.1 การปรับแต่งการจัดสรรที่มีการจัดการ
ผู้ดูแลระบบไอทีสามารถแก้ไข UX ของขั้นตอนการตั้งค่าเริ่มต้นให้รวมฟีเจอร์เฉพาะขององค์กรได้ ผู้ดูแลระบบไอทีสามารถเลือกแสดงการสร้างแบรนด์ที่ EMM มีให้ในระหว่างการจัดสรรได้
5.1.1. ผู้ดูแลระบบไอทีสามารถปรับแต่งกระบวนการจัดสรรได้โดยระบุข้อกำหนดในการให้บริการและข้อจำกัดความรับผิดอื่นๆ เฉพาะสำหรับองค์กร (ไปที่ termsAndConditions)
5.1.2. ผู้ดูแลระบบไอทีสามารถติดตั้งใช้งานข้อกำหนดในการให้บริการเฉพาะ EMM และข้อจำกัดความรับผิดอื่นๆ ที่กำหนดค่าไม่ได้ (ไปที่ termsAndConditions)
- EMM อาจตั้งค่าการปรับแต่งเฉพาะ EMM ที่กำหนดค่าไม่ได้เป็นค่าเริ่มต้นสำหรับการติดตั้งใช้งาน แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าการปรับแต่งของตนเองได้
5.1.3. primaryColor เลิกใช้งานแล้วสำหรับทรัพยากรองค์กรใน Android 10 ขึ้นไป
5.2 การปรับแต่งสำหรับองค์กร
Android Management API ไม่รองรับฟีเจอร์นี้
5.3 การปรับแต่งขั้นสูงสำหรับองค์กร
Android Management API ไม่รองรับฟีเจอร์นี้
5.4. ข้อความบนหน้าจอล็อก
ผู้ดูแลระบบไอทีสามารถตั้งค่าข้อความที่กำหนดเองซึ่งจะแสดงบนหน้าจอล็อกของอุปกรณ์เสมอ และไม่จำเป็นต้องปลดล็อกอุปกรณ์เพื่อดู
5.4.1. ผู้ดูแลระบบไอทีสามารถตั้งค่าข้อความหน้าจอล็อกที่กำหนดเองได้
(ไปที่ deviceOwnerLockScreenInfo)
5.5. การจัดการความโปร่งใสของนโยบาย
ผู้ดูแลระบบไอทีสามารถปรับแต่งข้อความช่วยเหลือที่แสดงต่อผู้ใช้เมื่อพยายามแก้ไขการตั้งค่าที่มีการจัดการในอุปกรณ์ หรือติดตั้งใช้งานข้อความสนับสนุนทั่วไปที่ EMM มีให้ คุณสามารถปรับแต่งข้อความสนับสนุนทั้งแบบสั้นและแบบยาวได้ และข้อความจะแสดงในกรณีต่างๆ เช่น เมื่อพยายามถอนการติดตั้งแอปที่มีการจัดการซึ่งผู้ดูแลระบบไอทีบล็อกการถอนการติดตั้งไว้
5.5.1. ผู้ดูแลระบบไอทีสามารถปรับแต่งข้อความสนับสนุนที่แสดงต่อผู้ใช้แบบสั้นและแบบยาวได้
5.5.2. ผู้ดูแลระบบไอทีสามารถติดตั้งใช้งานข้อความสนับสนุนแบบสั้นและแบบยาวที่กำหนดค่าไม่ได้และเจาะจงสำหรับ EMM (ไปที่ shortSupportMessage และ longSupportMessage ใน policies)
- EMM อาจตั้งค่าข้อความสนับสนุนเฉพาะ EMM ที่กำหนดค่าไม่ได้เป็นค่าเริ่มต้นสำหรับการติดตั้งใช้งาน แต่ต้องอนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าข้อความของตนเองได้
5.6. การจัดการรายชื่อติดต่อข้ามโปรไฟล์
5.6.1. ผู้ดูแลระบบไอทีสามารถปิดใช้การแสดงรายชื่อติดต่อสำหรับงานในการค้นหารายชื่อติดต่อในโปรไฟล์ส่วนตัวและสายเรียกเข้า
5.6.2. ผู้ดูแลระบบไอทีสามารถปิดใช้การแชร์รายชื่อติดต่อผ่านบลูทูธ ของรายชื่อติดต่อสำหรับงาน เช่น การโทรแบบแฮนด์ฟรีในรถยนต์หรือชุดหูฟัง
5.7. การจัดการข้อมูลข้ามโปรไฟล์
ช่วยให้ผู้ดูแลระบบไอทีจัดการประเภทข้อมูลที่แชร์ระหว่างโปรไฟล์งานและโปรไฟล์ส่วนตัวได้ ซึ่งช่วยให้ผู้ดูแลระบบรักษาสมดุลระหว่างความสามารถในการใช้งานและความปลอดภัยของข้อมูลตามข้อกำหนดได้
5.7.1. ผู้ดูแลระบบไอทีสามารถกำหนดค่านโยบายการแชร์ข้อมูลข้ามโปรไฟล์เพื่อให้แอปส่วนตัวสามารถแก้ไข Intent จากโปรไฟล์งานได้ เช่น Intent การแชร์หรือเว็บลิงก์
5.7.2. ผู้ดูแลระบบไอทีสามารถอนุญาตให้แอปพลิเคชันจากโปรไฟล์งานสร้างและแสดงวิดเจ็ตในหน้าจอหลักของโปรไฟล์ส่วนตัวได้ ความสามารถนี้จะปิดอยู่โดยค่าเริ่มต้น แต่สามารถตั้งค่าเป็นอนุญาตได้โดยใช้ช่อง workProfileWidgets และ workProfileWidgetsDefault
5.7.3. ผู้ดูแลระบบไอทีสามารถควบคุมความสามารถในการคัดลอก/วางระหว่างโปรไฟล์งานและโปรไฟล์ส่วนตัว
5.8. นโยบายการอัปเดตระบบ
ผู้ดูแลระบบไอทีสามารถตั้งค่าและใช้การอัปเดตระบบผ่านอากาศ (OTA) กับอุปกรณ์ได้
5.8.1. คอนโซลของ EMM ช่วยให้ผู้ดูแลระบบไอทีตั้งค่าการกำหนดค่า OTA ต่อไปนี้ได้
- อัตโนมัติ: อุปกรณ์จะติดตั้งการอัปเดต OTA เมื่อพร้อมใช้งาน
- เลื่อน: ผู้ดูแลระบบไอทีต้องเลื่อนการอัปเดต OTA ได้สูงสุด 30 วัน นโยบายนี้ไม่มีผลต่อการอัปเดตความปลอดภัย (เช่น แพตช์ด้านความปลอดภัยรายเดือน)
- แบบกำหนดกรอบเวลา: ผู้ดูแลระบบไอทีต้องสามารถกำหนดเวลาการอัปเดต OTA ภายในช่วงเวลาบำรุงรักษาประจำวันได้
5.8.2. ระบบจะใช้การกำหนดค่า OTA กับอุปกรณ์โดยใช้นโยบาย
5.9. การจัดการโหมดล็อกงาน
ผู้ดูแลระบบไอทีสามารถล็อกแอปหรือชุดแอปให้อยู่บนหน้าจอและไม่ให้ผู้ใช้ออกจากแอป
5.9.1. คอนโซลของ EMM ช่วยให้ผู้ดูแลระบบไอทีอนุญาตให้ติดตั้งและล็อกชุดแอปที่กำหนดเองในอุปกรณ์ได้โดยไม่ต้องแจ้งให้ผู้ใช้ทราบ นโยบายอนุญาตให้ตั้งค่าอุปกรณ์เฉพาะ
5.10. การจัดการกิจกรรมที่ต้องการอย่างต่อเนื่อง
อนุญาตให้ผู้ดูแลระบบไอทีตั้งค่าแอปเป็นตัวแฮนเดิล Intent เริ่มต้นสำหรับ Intent ที่ตรงกับตัวกรอง Intent บางรายการ ตัวอย่างเช่น ฟีเจอร์นี้จะช่วยให้ผู้ดูแลระบบไอทีเลือกแอปเบราว์เซอร์ที่จะเปิดเว็บลิงก์โดยอัตโนมัติได้ ฟีเจอร์นี้สามารถจัดการแอป Launcher ที่จะใช้เมื่อแตะปุ่มหน้าแรก
5.10.1. ผู้ดูแลระบบไอทีสามารถตั้งค่าแพ็กเกจใดก็ได้เป็นตัวแฮนเดิล Intent เริ่มต้นสำหรับตัวกรอง Intent ใดก็ได้ตามต้องการ
- คอนโซลของ EMM อาจแนะนำ Intent ที่รู้จักหรือแนะนำสำหรับการกำหนดค่า แต่จะจำกัด Intent ให้อยู่ในรายการที่กำหนดเองไม่ได้
- คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีเลือกจากรายการแอปที่พร้อมให้ติดตั้งสำหรับผู้ใช้ที่เกี่ยวข้อง
5.11. การจัดการฟีเจอร์ Keyguard
ผู้ดูแลระบบไอทีสามารถจัดการฟีเจอร์ที่ผู้ใช้เข้าถึงได้ก่อนปลดล็อกอุปกรณ์ (หน้าจอล็อก) และปลดล็อกการเข้าถึงโปรไฟล์งาน (หน้าจอล็อก)
5.11.1. นโยบาย สามารถปิดฟีเจอร์การล็อกปุ่มกดของอุปกรณ์ต่อไปนี้ได้
- เอเจนต์ความน่าเชื่อถือ
- การปลดล็อกด้วยลายนิ้วมือ
- การแจ้งเตือนที่ไม่ได้ปกปิด
5.11.2. คุณปิดฟีเจอร์การป้องกันปุ่มกดต่อไปนี้ของโปรไฟล์งานได้โดยใช้นโยบาย
- เอเจนต์ความน่าเชื่อถือ
- การปลดล็อกด้วยลายนิ้วมือ
5.12. การจัดการฟีเจอร์การล็อกหน้าจอขั้นสูง
- กล้องรักษาความปลอดภัย
- การแจ้งเตือนทั้งหมด
- ไม่ได้ปกปิด
- เอเจนต์ความน่าเชื่อถือ
- ปลดล็อกด้วยลายนิ้วมือ
- ฟีเจอร์ Keyguard ทั้งหมด
5.13. การซ่อมแซมรีโมต
Android Management API ไม่รองรับฟีเจอร์นี้
5.14. การเรียกข้อมูลที่อยู่ MAC
EMM สามารถดึงข้อมูลที่อยู่ MAC ของอุปกรณ์โดยไม่แจ้งให้ทราบ เพื่อใช้ระบุอุปกรณ์ในส่วนอื่นๆ ของโครงสร้างพื้นฐานขององค์กร (เช่น เมื่อระบุอุปกรณ์สำหรับการควบคุมการเข้าถึงเครือข่าย)
5.14.1. EMM สามารถดึงข้อมูลที่อยู่ MAC ของอุปกรณ์โดยไม่แจ้งให้ทราบและเชื่อมโยงกับอุปกรณ์ในคอนโซลของ EMM ได้
5.15. การจัดการโหมดล็อกงานขั้นสูง
เมื่อใช้อุปกรณ์เฉพาะ ผู้ดูแลระบบไอทีจะใช้คอนโซลของ EMM เพื่อทำงานต่อไปนี้ได้
5.15.1. อนุญาตให้แอปเดียวติดตั้งและล็อกไว้ในอุปกรณ์โดยไม่แจ้งให้ทราบ
5.15.2. เปิดหรือปิดฟีเจอร์ UI ของระบบต่อไปนี้
- ปุ่มหน้าแรก
- ภาพรวม
- การดำเนินการส่วนกลาง
- การแจ้งเตือน
- ข้อมูลระบบ / แถบสถานะ
- Keyguard (หน้าจอล็อก) ฟีเจอร์ย่อยนี้จะเปิดอยู่โดยค่าเริ่มต้นเมื่อใช้ 5.15.1
5.15.3. ปิดกล่องโต้ตอบข้อผิดพลาดของระบบ
5.16. นโยบายการอัปเดตระบบขั้นสูง
ผู้ดูแลระบบไอทีสามารถกำหนดช่วงหยุดทำงานเพื่อบล็อกการอัปเดตระบบในอุปกรณ์ได้
5.16.1. คอนโซลของ EMM ต้องอนุญาตให้ผู้ดูแลระบบไอทีบล็อกการอัปเดตระบบผ่านอากาศ (OTA) เป็นระยะเวลาหยุดทำงานที่ระบุ
5.17. การจัดการความโปร่งใสของนโยบายโปรไฟล์งาน
ผู้ดูแลระบบไอทีสามารถปรับแต่งข้อความที่แสดงต่อผู้ใช้เมื่อนำโปรไฟล์งานออกจากอุปกรณ์ได้
5.17.1. ผู้ดูแลระบบไอทีสามารถระบุข้อความที่กำหนดเองเพื่อแสดง (ไปที่ wipeReasonMessage) เมื่อล้างข้อมูลโปรไฟล์งานได้
5.18. การสนับสนุนแอปที่เชื่อมต่อ
ผู้ดูแลระบบไอทีสามารถกำหนดรายการแพ็กเกจที่สามารถสื่อสารข้ามขอบเขตโปรไฟล์งานได้โดยการตั้งค่า ConnectedWorkAndPersonalApp
5.19. การอัปเดตระบบด้วยตนเอง
Android Management API ไม่รองรับฟีเจอร์นี้
6. การเลิกใช้งานผู้ดูแลระบบอุปกรณ์
นำส่วนนี้ออกแล้ว
7. การใช้งาน API
7.1. ตัวควบคุมนโยบายมาตรฐานสำหรับการเชื่อมโยงใหม่
โดยค่าเริ่มต้น อุปกรณ์ต้องได้รับการจัดการโดยใช้ Android Device Policy สำหรับการเชื่อมโยงใหม่ๆ EMM อาจมีตัวเลือกในการจัดการอุปกรณ์โดยใช้ DPC ที่กำหนดเองในส่วนการตั้งค่าภายใต้หัวข้อ "ขั้นสูง" หรือคำศัพท์ที่คล้ายกัน ลูกค้าใหม่ต้องไม่เห็นตัวเลือกที่กำหนดเองระหว่าง Technology Stack ในระหว่างเวิร์กโฟลว์การเริ่มต้นใช้งานหรือการตั้งค่า
7.2. เครื่องมือควบคุมนโยบายมาตรฐานสำหรับอุปกรณ์ใหม่
โดยค่าเริ่มต้น อุปกรณ์ต้องได้รับการจัดการโดยใช้ Android Device Policy สำหรับการลงทะเบียนอุปกรณ์ใหม่ทั้งหมด ทั้งการเชื่อมโยงที่มีอยู่และการเชื่อมโยงใหม่ EMM อาจมีตัวเลือกในการจัดการอุปกรณ์โดยใช้ DPC ที่กำหนดเองในส่วนการตั้งค่าภายใต้หัวข้อ "ขั้นสูง" หรือคำศัพท์ที่คล้ายกัน