Geräteverwaltung bereitstellen

IT-Administratoren können Geräte für Unternehmensnutzer mithilfe von Clouddiensten, QR-Codes oder der NFC-Bereitstellung (Near Field Communication) bereitstellen. Laden Sie zuerst das NfcProvisioning-APK und das Android-DeviceOwner-APK herunter. Eine vollständige Liste der Anforderungen finden Sie unter Geräteverwaltung implementieren.

Android 12-Updates

  • ACTION_PROVISION_MANAGED_DEVICE ist veraltet.

  • ACTION_PROVISION_MANAGED_PROFILE wird nur für die Bereitstellung von Arbeitsprofilen mit DPC-First unterstützt, bei der Endnutzer ein Arbeitsprofil bereitstellen können, nachdem sie den DPC heruntergeladen haben.

  • DPC-Entwickler, die QR-Codes oder andere Bereitstellungsmethoden unterstützen möchten, müssen Handler für die Intent-Aktionen DevicePolicyManager#ACTION_GET_PROVISIONING_MODE und DevicePolicyManager#ACTION_ADMIN_POLICY_COMPLIANCE implementieren. Wenn der DPC diese Handler nicht implementiert, schlägt die Bereitstellung fehl.

  • Der DPC-Handler ACTION_GET_PROVISIONING_MODE enthält ein neues EXTRA_PROVISIONING_ALLOWED_PROVISIONING_MODES-Extra. Der DPC muss das Extra EXTRA_PROVISIONING_MODE für den resultierenden Intent mit einem Wert festlegen, der zu dieser Liste gehört. Wenn der DPC einen Wert zurückgibt, der nicht in dieser Liste enthalten ist, schlägt die Bereitstellung fehl.

  • Um die Stabilität, Wartungsfreundlichkeit und Einfachheit von Abläufen während des Einrichtungsassistenten weiter zu erhöhen, kann die DPC-Einrichtung nicht nach dem Ende des Einrichtungsassistenten gestartet werden. DPCs, die die Kategorie android.intent.category.PROVISIONING_FINALIZATION mit der Intent-Aktion ADMIN_POLICY_COMPLIANCE verwenden, um explizit die Einrichtung vor dem Ende des Einrichtungsassistenten anzufordern, können diese Kategorie entfernen, da dies jetzt standardmäßig erfolgt.

Verwaltete Bereitstellung

Die verwaltete Bereitstellung ist ein Framework-UI-Ablauf, der dafür sorgt, dass Nutzer ausreichend über die Auswirkungen der Festlegung eines Geräteinhabers oder eines verwalteten Profils informiert werden. Geräte, die die Standardverschlüsselung unterstützen, bieten einen wesentlich einfacheren und schnelleren Bereitstellungsablauf für die Geräteverwaltung.

Während der verwalteten Bereitstellung führt die Komponente für die verwaltete Bereitstellung die folgenden Aktivitäten aus:

  • Verschlüsselt das Gerät.
  • Erstellt das verwaltete Profil.
  • Deaktiviert nicht erforderliche Apps.
  • Legt die Enterprise Mobility Management-App (EMM) als Profil- oder Geräteeigentümer fest.

Die EMM-App (Enterprise Mobility Management) führt dann die folgenden Aktionen aus:

  • Fügt Nutzerkonten hinzu.
  • Erzwingt die Geräte-Compliance.
  • Aktiviert alle zusätzlichen System-Apps.

Während der verwalteten Bereitstellung kopiert das Framework die EMM-App in das verwaltete Profil. Nachdem die Bereitstellung abgeschlossen ist, wird der ADMIN_POLICY_COMPLIANCE-Intent-Handler der EMM-App im Arbeitsprofilnutzer (bei der Bereitstellung des Arbeitsprofils) oder im Geräteeigentümernutzer (bei der Bereitstellung des Geräteeigentümers) aufgerufen. Der EMM fügt dann Konten hinzu und erzwingt Richtlinien. Anschließend wird setProfileEnabled() aufgerufen, um die Launcher-Symbole sichtbar zu machen.

Bereitstellung des Profilinhabers

Bei der Bereitstellung als Profilinhaber kann der Nutzer sowohl ein Arbeitsprofil (verwaltetes Profil) als auch ein privates Profil auf einem Gerät haben. Damit die Bereitstellung des Profilinhabers aktiviert werden kann, müssen Sie einen Intent mit den entsprechenden Extras senden. Installieren Sie beispielsweise die TestDPC App (im Google Play Store herunterladen oder auf GitHub erstellen) auf dem Gerät, starten Sie die App über den Launcher und folgen Sie der Anleitung in der App. Die Bereitstellung ist abgeschlossen, wenn im Launcher-Drawer Symbole mit Badges angezeigt werden.

Die EMM-DPC-App löst die Erstellung des verwalteten Profils aus, indem sie einen Intent mit der Aktion DevicePolicyManager.ACTION_PROVISION_MANAGED_PROFILE sendet. Der folgende Befehl ist ein Beispiel für eine Absicht, die das Erstellen des verwalteten Profils auslöst und DeviceAdminSample als Profilinhaber festlegt:

adb shell am start \
  -a android.app.action.PROVISION_MANAGED_PROFILE \
  -c android.intent.category.DEFAULT \
  -e wifiSsid $(printf '%q' \"WifiSSID\") \
  -e deviceAdminPackage "com.google.android.deviceadminsample" \
  -e android.app.extra.deviceAdminPackageName $(printf '%q'.DeviceAdminSample\$DeviceAdminSampleReceiver) \
  -e android.app.extra.DEFAULT_MANAGED_PROFILE_NAME "My Organisation"

Deployment als Geräteinhaber mit NFC

Sie können NFC oder Clouddienste verwenden, um die Bereitstellung des Geräteinhabers während der Einrichtung eines Geräts zu konfigurieren.

Bei der Verwendung von NFC stellen Sie Geräte im DO-Modus mit NFC-Bump während der Ersteinrichtung des Geräts bereit. Diese Methode erfordert mehr Bootstrapping, ist aber wenig aufwendig und übernimmt die Konfiguration von WLAN, die Installation des DPC und die Festlegung des DPC als Geräteinhaber.

Ein typisches NFC-Bundle umfasst Folgendes:

EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_LOCATION
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM
EXTRA_PROVISIONING_WIFI_SSID
EXTRA_PROVISIONING_WIFI_SECURITY_TYPE

Auf Geräten muss NFC konfiguriert sein, damit der Mime-Typ für die verwaltete Bereitstellung während der Einrichtung akzeptiert wird. Achten Sie bei der Konfiguration darauf, dass /packages/apps/Nfc/res/values/provisioning.xml die folgenden Zeilen enthält:

<bool name="enable\_nfc\_provisioning">true</bool>
<item>application/com.android.managedprovisioning</item>

Mit Cloud-Diensten bereitstellen

Sie können Geräte mit einem Geräteinhaber oder Profilinhaber (Arbeitsprofil) über Cloud-Dienste bereitstellen. Das Gerät erfasst und verwendet Anmeldedaten (oder Tokens), um einen Cloud-Dienst aufzurufen, der dann zum Starten des Bereitstellungsprozesses verwendet werden kann.

Vorteile von Enterprise Mobility Management

Eine EMM-App (Enterprise Mobility Management) kann bei den folgenden Aufgaben helfen:

  • Verwaltetes Profil wird bereitgestellt.
  • Sicherheitsrichtlinien anwenden
    • Legen Sie die Passwortkomplexität fest.
    • Sperrungen, z. B. Screenshots deaktivieren, die über ein verwaltetes Profil geteilt werden
  • Unternehmensverbindungen konfigurieren.
    • Verwenden Sie WifiEnterpriseConfig, um das WLAN des Unternehmens zu konfigurieren.
    • Konfigurieren Sie das VPN auf dem Gerät.
    • Verwenden Sie DPM.setApplicationRestrictions(), um das Unternehmens-VPN zu konfigurieren.
  • Aktivieren der Einmalanmeldung (SSO) für Unternehmens-Apps.
    • Installieren Sie ausgewählte Unternehmens-Apps.
    • Verwenden Sie DPM.installKeyPair(), um Unternehmensclientzertifikate im Hintergrund zu installieren.
    • Verwenden Sie DPM.setApplicationRestrictions(), um Hostnamen und Zertifikatsaliase von Unternehmens-Apps zu konfigurieren.

Die verwaltete Bereitstellung ist nur ein Teil des EMM-End-to-End-Workflows. Ziel ist es, Unternehmensdaten für Apps im verwalteten Profil oder auf dem verwalteten Gerät zugänglich zu machen. Eine Anleitung zum Testen finden Sie unter Gerätetests einrichten.