הקצאה לניהול מכשירים

אדמינים ב-IT יכולים לפרוס מכשירים למשתמשים ארגוניים באמצעות שירותי ענן, קוד QR או תקשורת מטווח קצר (NFC). כדי להתחיל, מורידים את קובץ ה-APK של NfcProvisioning ואת קובץ ה-APK של Android-DeviceOwner. רשימת הדרישות המלאה מופיעה במאמר הטמעת ניהול מכשירים.

עדכונים ל-Android 12

  • האפשרות ACTION_PROVISION_MANAGED_DEVICE הוצאה משימוש.

  • אפשר להשתמש ב-ACTION_PROVISION_MANAGED_PROFILE רק לצורך הקצאה של פרופיל עבודה לפי DPC-first, שבה משתמשי הקצה יכולים להקצות פרופיל עבודה אחרי שהם מורידים את ה-DPC.

  • מפתחים של DPC שרוצים לתמוך בקוד QR או בשיטות אחרות להקצאה צריכים להטמיע מנהלים לפעולות הכוונה DevicePolicyManager#ACTION_GET_PROVISIONING_MODE ו-DevicePolicyManager#ACTION_ADMIN_POLICY_COMPLIANCE. אם ה-DPC לא מטמיע את הטיפולנים האלה, הקצאת המשאבים נכשלת.

  • הטיפול ב-DPC ACTION_GET_PROVISIONING_MODE כולל תוסף EXTRA_PROVISIONING_ALLOWED_PROVISIONING_MODES חדש. ה-DPC צריך להגדיר את התוסף EXTRA_PROVISIONING_MODE לכוונה שהתקבלה עם ערך ששייך לרשימה הזו. אם ה-DPC מחזיר ערך שלא מופיע ברשימה הזו, הקצאת המשאבים נכשלת.

  • כדי לשפר את היציבות, יכולת התחזוקה והפשטות של התהליכים שמתרחשים במהלך אשף ההגדרה, אי אפשר להתחיל את הגדרת ה-DPC אחרי סיום אשף ההגדרה. שירותי DPC שמשתמשים בקטגוריה android.intent.category.PROVISIONING_FINALIZATION עם פעולת ה-Intent ADMIN_POLICY_COMPLIANCE כדי לבקש במפורש הגדרה לפני סיום האשף להגדרה יכולים להסיר את הקטגוריה הזו, כי הפעולה הזו מתבצעת עכשיו כברירת מחדל.

ניהול תצורה מנוהל

הקצאה מנוהלת היא תהליך בממשק המשתמש של המסגרת שמבטיח שהמשתמשים יקבלו מידע מספק על ההשלכות של הגדרת בעלים של מכשיר או פרופיל מנוהל. במכשירים שמפעילים הצפנה כברירת מחדל, תהליך הקצאת המשאבים לניהול המכשיר פשוט ומהיר יותר.

במהלך הקצאה מנוהלת, הרכיב של הקצאה מנוהלת מבצע את הפעולות הבאות:

  • הצפנת המכשיר.
  • יצירת הפרופיל המנוהל.
  • השבתת אפליקציות לא נדרשות.
  • הגדרת אפליקציית ניהול מכשירים ושירותי מובייל בארגון (EMM) כבעלים של פרופיל או מכשיר.

בתמורה, אפליקציית ניהול הניידות בארגון (EMM) מבצעת את הפעולות הבאות:

  • הוספת חשבונות משתמשים.
  • אכיפת התאימות של המכשיר.
  • הפעלת אפליקציות מערכת נוספות.

במהלך הקצאה מנוהלת, המסגרת מעתיקה את אפליקציית ה-EMM לפרופיל המנוהל. בסיום ההקצאה, מתבצעת קריאה למטפל הכוונה ADMIN_POLICY_COMPLIANCE של אפליקציית ה-EMM אצל משתמש פרופיל העבודה (להקצאה של פרופיל עבודה) או אצל משתמש הבעלים של המכשיר (להקצאה של הבעלים של המכשיר). לאחר מכן, ה-EMM מוסיף חשבונות ואוכף את כללי המדיניות, ולאחר מכן הוא קורא ל-setProfileEnabled() כדי להפוך את הסמלים של מרכז האפליקציות לגלויים.

הקצאה של בעלי פרופיל

הקצאת הבעלות על הפרופיל מאפשרת למשתמש להשתמש במכשיר גם בפרופיל עבודה (פרופיל מנוהל) וגם בפרופיל אישי. כדי להפעיל את הקצאת הבעלים של הפרופיל, צריך לשלוח כוונה עם נתונים נוספים מתאימים. לדוגמה, אפשר להתקין את אפליקציית TestDPC (להורדה מ-Google Play או ל-build מ-GitHub) במכשיר, להפעיל את האפליקציה מהמרכז להפעלת אפליקציות ופועלים לפי ההוראות באפליקציה. ההקצאה תושלם כשסמלים עם תגים יופיעו במגירה של מרכז האפליקציות.

אפליקציית ה-DPC של ה-EMM מפעילה את היצירה של הפרופיל המנוהל על ידי שליחת כוונה עם הפעולה DevicePolicyManager.ACTION_PROVISION_MANAGED_PROFILE. הפקודה הבאה היא כוונה לדוגמה שמפעילה את היצירה של הפרופיל המנוהל ומגדירה את DeviceAdminSample כבעלים של הפרופיל:

adb shell am start \
  -a android.app.action.PROVISION_MANAGED_PROFILE \
  -c android.intent.category.DEFAULT \
  -e wifiSsid $(printf '%q' \"WifiSSID\") \
  -e deviceAdminPackage "com.google.android.deviceadminsample" \
  -e android.app.extra.deviceAdminPackageName $(printf '%q'.DeviceAdminSample\$DeviceAdminSampleReceiver) \
  -e android.app.extra.DEFAULT_MANAGED_PROFILE_NAME "My Organisation"

הקצאה של הבעלים של המכשיר באמצעות NFC

אפשר להשתמש ב-NFC או בשירותי ענן כדי להגדיר הקצאה של הבעלים של המכשיר (DO) במהלך תהליך ההגדרה של המכשיר.

כשמשתמשים ב-NFC, מגדירים את המכשירים במצב DO באמצעות הצמדה של מכשיר NFC למכשיר אחר בשלב הראשון של הגדרת המכשיר. בשיטה הזו נדרשת יותר עבודה ראשונית, אבל היא דורשת פחות התעסקות ומאפשרת להגדיר את ה-Wi-Fi, להתקין את ה-DPC ולהגדיר את ה-DPC כבעלים של המכשיר.

חבילת NFC רגילה כוללת את הפריטים הבאים:

EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_LOCATION
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM
EXTRA_PROVISIONING_WIFI_SSID
EXTRA_PROVISIONING_WIFI_SECURITY_TYPE

צריך להגדיר את ה-NFC במכשירים כדי לקבל את ה-MIME type של הקצאת הרשאות מנוהלת מחוויית ההגדרה. כדי להגדיר את האפשרות, צריך לוודא שהקובץ /packages/apps/Nfc/res/values/provisioning.xml מכיל את השורות הבאות:

<bool name="enable\_nfc\_provisioning">true</bool>
<item>application/com.android.managedprovisioning</item>

הקצאה באמצעות שירותי ענן

אתם יכולים להקצות מכשירי בעלים של מכשיר או בעלים של פרופיל (פרופיל עבודה) באמצעות שירותי ענן. המכשיר אוסף פרטי כניסה (או אסימונים) ומשתמש בהם כדי לבצע חיפוש בשירות בענן, שבעזרתו אפשר להתחיל את תהליך הקצאת המשאבים.

היתרונות של ניהול מכשירים ושירותי מובייל בארגון

אפליקציה לניהול מכשירים ושירותי מובייל בארגון (EMM) יכולה לעזור לכם לבצע את המשימות הבאות:

  • הקצאת פרופיל מנוהל.
  • החלת מדיניות אבטחה.
    • הגדרת מורכבות הסיסמה.
    • אמצעי נעילה, כמו השבתת צילומי מסך, ששותפו מהפרופיל המנוהל
  • הגדרת קישוריות ארגונית.
    • משתמשים ב-WifiEnterpriseConfig כדי להגדיר רשת Wi-Fi ארגונית.
    • מגדירים את ה-VPN במכשיר.
    • משתמשים ב-DPM.setApplicationRestrictions() כדי להגדיר VPN עסקי.
  • הפעלת כניסה יחידה (SSO) לאפליקציות ארגוניות.
    • התקנת אפליקציות ארגוניות נבחרות.
    • משתמשים ב-DPM.installKeyPair() כדי להתקין אישורי לקוח ארגוניים בשקט.
    • משתמשים ב-DPM.setApplicationRestrictions() כדי להגדיר שמות מארחים, כתובות אימייל חלופיות של אישורי אימות לאפליקציות ארגוניות.

הקצאה מנוהלת היא רק חלק אחד מתהליך העבודה מקצה לקצה של EMM, והמטרה הסופית שלה היא לאפשר גישה לנתונים הארגוניים לאפליקציות בפרופיל המנוהל או במכשיר המנוהל. הנחיות לבדיקות מפורטות במאמר הגדרת בדיקת המכשיר.