Implementa la administración de dispositivos

En esta página, se describen los lineamientos para que los fabricantes de dispositivos habiliten la administración de dispositivos en Android. Para admitir la administración de dispositivos, estos deben cumplir con todos los requisitos de compatibilidad de software definidos en el artículo 3.9. Administración de dispositivos en el Documento de definición de compatibilidad de Android (CDD). Los lineamientos de implementación que se proporcionan aquí no son exhaustivos y solo sirven como un punto de partida para implementar la administración de dispositivos Android.

Habilita la administración de dispositivos

Para habilitar la administración de dispositivos en Android, habilita estas funciones:

  • android.software.device_admin
  • android.software.managed_users

Para confirmar que un dispositivo admite la administración de dispositivos, ejecuta el siguiente comando de adb en un dispositivo y verifica que esas funciones estén presentes: adb shell pm list features.

Requisitos de configuración

Los dispositivos que implementan el aprovisionamiento del propietario del dispositivo o del perfil deben presentar divulgaciones adecuadas a los usuarios finales durante la configuración (experiencia inicial o configuración del perfil de trabajo). El AOSP proporciona una implementación de referencia. El aprovisionamiento administrado es el flujo de IU del framework de Android que se invoca durante la configuración de un dispositivo completamente administrado o de un perfil de trabajo para garantizar que los usuarios del dispositivo estén informados de manera adecuada sobre las implicaciones de configurar un propietario del dispositivo o un perfil administrado en el dispositivo. El aprovisionamiento administrado realiza las siguientes actividades o las delega a un titular de rol de administración de políticas de dispositivos durante el aprovisionamiento:

  • Encripta el dispositivo (si la encriptación está habilitada).
  • Establece un usuario administrado.
  • Inhabilita las apps opcionales.
  • Establece la app del controlador de políticas de dispositivos (DPC) de Enterprise Mobility Management (EMM) como propietario del dispositivo o propietario del perfil.

A su vez, la app del DPC realiza las siguientes actividades:

  • Agrega cuentas de usuario.
  • Aplica el cumplimiento de la política de dispositivo.
  • Habilita cualquier app del sistema adicional.

Una vez que se completa el aprovisionamiento, el controlador de intents ADMIN_POLICY_COMPLIANCE de la app del DPC se ejecuta en el usuario del dispositivo completamente administrado (para el aprovisionamiento del propietario del dispositivo) o en el usuario del perfil de trabajo (para el aprovisionamiento del propietario del perfil). Luego, la app de DPC agrega cuentas y aplica políticas.

Requisitos del selector

Para admitir la administración de dispositivos, el selector debe admitir apps con insignias con insignias de íconos de trabajo (proporcionadas en AOSP para representar aplicaciones administradas). Otros elementos de la interfaz de usuario en dispositivos o perfiles administrados, como las notificaciones, deben usar recursos con insignias de trabajo. Launcher3 en AOSP ya admite estas funciones de insignias.

Apps de trabajo predeterminadas

De forma predeterminada, solo se habilitan las aplicaciones esenciales para el funcionamiento correcto de un dispositivo administrado o un perfil de trabajo como parte del aprovisionamiento de Android Enterprise. Los fabricantes de dispositivos pueden especificar una lista de apps predeterminadas con estos archivos en formato XML:

  • vendor_required_apps_managed_profile.xml
  • vendor_required_apps_managed_device.xml
  • vendor_required_apps_managed_user.xml

Después del aprovisionamiento de dispositivos, los administradores de TI pueden usar la consola de EMM o Google Play administrado para enviar las apps adicionales que una organización considere necesarias.

En los modos propietario del dispositivo (dispositivo completamente administrado) y propietario del perfil (perfil de trabajo), ocurre lo siguiente:

  • Las apps sin íconos de selector se consideran componentes vitales del sistema y Android las habilita automáticamente.
  • Las apps con íconos de selector de aplicaciones se pueden habilitar de forma predeterminada durante el aprovisionamiento del dispositivo si se incluyen en la lista de entidades permitidas sus nombres de paquete en vendor_required_apps_managed_[device|profile|user].xml files.
  • Todas las demás apps se inhabilitan automáticamente durante el aprovisionamiento del dispositivo.

Implementación del propietario del dispositivo en dispositivos configurados con un usuario del sistema sin interfaz gráfica

Android 14 (nivel de API 34) presenta la configuración del modo de usuario del sistema sin cabeza, en la que el usuario del sistema es un usuario en segundo plano y los usuarios en primer plano son usuarios secundarios. Debido a que la funcionalidad de propietario del dispositivo tradicionalmente depende de que el usuario del sistema también esté en primer plano, la configuración del usuario del sistema sin cabeza trae ciertos desafíos únicos a los dispositivos completamente administrados (aprovisionamiento del propietario del dispositivo).

Modo de usuario del sistema sin interfaz gráfica

Figura 1: Modo de usuario del sistema sin interfaz gráfica.

En un dispositivo en modo de usuario del sistema sin cabeza, una aplicación de controlador de política de dispositivo (DPC) se puede establecer como propietario del dispositivo solo si admite el modo afiliado (HEADLESS_DEVICE_OWNER_MODE_AFFILIATED). El sistema comprueba si el modo afiliado es compatible llamando a getHeadlessDeviceOwnerMode(). El aprovisionamiento de dispositivos se controla según si la aplicación de DPC admite el aprovisionamiento en modo afiliado.