Cómo usar perfiles de trabajo

Un perfil de trabajo es un perfil administrado que tiene datos de apps separados del perfil de usuario principal, pero comparte algunos parámetros de configuración de todo el sistema, como Wi-Fi y Bluetooth. El objetivo principal de un perfil de trabajo es crear un contenedor seguro y segregado para almacenar datos administrados. El administrador de un perfil de trabajo tiene control total sobre el alcance, la entrada, la salida y el ciclo de vida de los datos. A continuación, se indican algunas características de los perfiles de trabajo:

• Creación: Cualquier app del usuario principal puede crear un perfil de trabajo. Antes de la creación, se notifica al usuario sobre los comportamientos del perfil de trabajo y la aplicación de políticas.

• Administración: Las apps conocidas como propietarios de perfiles pueden invocar de forma programática APIs en la clase DevicePolicyManager para restringir el uso. Los propietarios del perfil se definen durante la configuración inicial del perfil. Las políticas exclusivas de los perfiles de trabajo incluyen restricciones de apps, capacidad de actualización y comportamientos de intents.

• Tratamiento visual. Las apps, las notificaciones y los widgets del perfil de trabajo tienen una insignia y, por lo general, están disponibles en línea con los elementos de la interfaz de usuario (IU) del usuario principal.

Detalles de implementación

Los perfiles de trabajo se implementan como usuarios secundarios, de modo que las apps que se ejecutan en el perfil de trabajo tienen un UID de uid = 100000 \* userid + appid. Estos perfiles tienen datos de la app (/data/user/userid) separados, de manera similar a los usuarios principales.

AccountManagerService mantiene una lista separada de cuentas para cada usuario. Las diferencias entre la cuenta de un usuario con un perfil de trabajo y la de un usuario secundario normal incluyen lo siguiente:

• El perfil de trabajo está asociado a su usuario principal y se inicia con el usuario principal en el momento del arranque.

• ActivityManagerService habilita las notificaciones para los perfiles de trabajo, lo que permite que el perfil de trabajo comparta la pila de actividades con el usuario principal.

• Entre los servicios adicionales del sistema compartido, se incluyen el IME, los servicios de A11Y, Wi-Fi y NFC.

• Las APIs del selector permiten que los selectores muestren apps con distintivos y widgets incluidos en la lista de entidades permitidas del perfil de trabajo junto a las apps del perfil principal sin cambiar de usuario.

Segregación de datos

Los perfiles de trabajo usan las siguientes reglas de segregación de datos.

Apps

Cuando la misma app existe en el perfil de usuario principal y en el perfil de trabajo, las apps se limitan con sus propios datos segregados. En general, las apps actúan de forma independiente y no pueden comunicarse directamente con instancias a través del límite entre el perfil y el usuario, a menos que tengan el permiso INTERACT_ACROSS_PROFILES o App-ops.

Cuentas

Las cuentas del perfil de trabajo son únicas para el usuario principal, y no se puede acceder a las credenciales a través del límite entre el perfil y el usuario. Solo las apps en su contexto respectivo pueden acceder a sus cuentas respectivas.

Intents

El administrador controla si las intents se resuelven dentro o fuera del perfil de trabajo. De forma predeterminada, las apps del perfil de trabajo se limitan para permanecer dentro de la excepción del perfil de trabajo de la API de Device Policy.

Identificadores de dispositivos

En los dispositivos personales con un perfil de trabajo, Android 12 o versiones posteriores quitan el acceso a los identificadores de hardware del dispositivo (IMEI, MEID y número de serie) y proporcionan un ID único específico de inscripción que identifica la inscripción del perfil de trabajo a una organización específica. El ID de inscripción permanece estable en los restablecimientos de la configuración de fábrica, lo que permite un seguimiento confiable del inventario de dispositivos con perfiles de trabajo.

Los dispositivos personales con un perfil de trabajo deben usar el ID específico de la inscripción. Los dispositivos empresariales, incluidos los dispositivos con perfil de trabajo y los dispositivos completamente administrados, también pueden habilitar el uso del ID. Para usar el ID específico de la inscripción, los EMM deben establecer el ID de organización para cada dispositivo que administren. Después de eso, podrán leer el ID específico de la inscripción en ese dispositivo y controlarlo como un número de serie. Para obtener más detalles, consulta Mejoras de seguridad y privacidad para el perfil de trabajo.

Configuración

La aplicación de la configuración se limita al perfil de trabajo, con excepciones para la configuración de la pantalla de bloqueo y la encriptación, que se limitan al dispositivo y se comparten entre el usuario principal y el perfil de trabajo. A excepción de estas excepciones, un propietario del perfil no tiene privilegios de administrador del dispositivo fuera del perfil de trabajo.

Administración de dispositivos con un perfil de trabajo

Android 5.0 y versiones posteriores admiten la administración de dispositivos para perfiles de trabajo en dispositivos personales de uso personal (BYOD) con la clase DevicePolicyManager. Además, Android 11 introdujo el concepto de perfiles de trabajo en dispositivos empresariales. La capacidad de administración de dispositivos dentro del perfil de trabajo sigue siendo la misma para los casos de BYOD y de dispositivos propiedad de la empresa. Sin embargo, los perfiles de trabajo en dispositivos propiedad de la empresa pueden proporcionar capacidades o políticas adicionales, como installSystemUpdate, setScreenCaptureDisabled y setPersonalAppsSuspended, que pueden extender la aplicación de políticas de administrador más allá del perfil de trabajo para ciertas políticas a nivel del dispositivo.

• Perfil de trabajo en un dispositivo personal (BYOD): El dispositivo es personal y contiene un perfil de trabajo administrado por un administrador de TI asociado con el empleador.

• Perfil de trabajo en un dispositivo empresarial: El empleador proporciona o posee el dispositivo, y este contiene un perfil de trabajo administrado por un administrador de TI asociado con el empleador. Las apps pueden llamar a isOrganizationOwnedDeviceWithManagedProfile() para determinar si el dispositivo se aprovisionó como un dispositivo propiedad de la organización con un perfil administrado.

Para obtener más información sobre la creación de perfiles de trabajo y el uso de la API de Device Policy, consulta Crea un perfil de trabajo.

Propietarios del perfil

Una app de Device Policy Client (DPC) funciona como propietario del perfil cuando se crea un perfil de trabajo. Por lo general, el socio de administración de movilidad empresarial (EMM), como Google Apps Device Policy, proporciona la app cliente del DPC, que puede aplicar políticas cuando se establece como propietario del perfil. El perfil de trabajo tiene instancias con distintivos de las apps que son visualmente distintas de las instancias personales de las apps. El distintivo identifica una app como una app de trabajo. El EMM solo tiene control sobre el perfil de trabajo (apps y datos de trabajo) y no sobre el espacio personal. Las políticas del dispositivo solo se aplican al perfil de trabajo, con algunas excepciones, como la aplicación del bloqueo de pantalla, que se aplica en todo el dispositivo.

Experiencia del usuario del perfil de trabajo

Android 9 y versiones posteriores crean una integración más estrecha entre los perfiles de trabajo y la plataforma de Android, lo que facilita que los usuarios mantengan separada su información personal y laboral en sus dispositivos. Los cambios en el perfil de trabajo aparecen en el selector y proporcionan una experiencia del usuario coherente en todos los dispositivos administrados.

Los usuarios pueden activar o desactivar el perfil de trabajo desde la configuración o el menú de Configuración rápida. En Android 9 y versiones posteriores, las implementaciones de dispositivos pueden incluir un botón de activación en el pie de página de la pestaña Trabajo para que los usuarios habiliten o inhabiliten el perfil de trabajo. La activación o desactivación del perfil de trabajo se realiza de forma asíncrona y se aplica a todos los perfiles de usuario válidos. Este proceso se controla con la clase WorkModeSwitch.

Dispositivos con una bandeja de apps

En Android 9 o versiones posteriores, los cambios en la UX del perfil de trabajo para Launcher3 ayudan a los usuarios a mantener perfiles personales y de trabajo separados. El selector de apps proporciona una vista con pestañas para distinguir las apps del perfil personal de las apps del perfil de trabajo. Cuando los usuarios ven por primera vez la pestaña del perfil de trabajo, se les muestra una vista educativa para ayudarlos a navegar por el perfil de trabajo.

Los usuarios pueden cambiar entre las diferentes vistas de perfil con las pestañas de perfil o una interfaz de usuario similar en la parte superior del selector de aplicaciones:

La vista con pestañas se implementa como parte de la clase AllAppsContainerView Launcher3. Para obtener una implementación de referencia del indicador de perfil con pestañas, consulta la clase PersonalWorkSlidingTabStrip.

Mensaje de educación para el usuario en dispositivos con una pestaña de trabajo

Android 9 y versiones posteriores admiten una vista educativa que informa a los usuarios sobre el propósito de la pestaña Trabajo y cómo pueden facilitar el acceso a las apps de trabajo. Con Launcher3, se puede mostrar una vista educativa en la pantalla de la pestaña Trabajo cuando los usuarios abren la pestaña por primera vez, como se muestra en la siguiente figura:

Figura 3: Vista educativa

Dispositivos sin bandeja de apps

En el caso de los lanzadores sin bandeja de apps, se recomienda seguir colocando accesos directos a las apps del perfil de trabajo en la carpeta de trabajo.

Las implementaciones de selectores personalizados pueden usar getProfiles() y getActivityList() para recuperar una lista de apps con un ícono de selector para el usuario del perfil de trabajo.

En los dispositivos que implementan una carpeta de trabajo, los usuarios pueden acceder a las apps del perfil de trabajo abriendo la carpeta de trabajo:

Mensaje de educación para el usuario en dispositivos con una carpeta de trabajo

En el caso de los lanzadores sin bandeja de apps, en los que una carpeta de trabajo contiene apps de trabajo, es posible que se muestre el mensaje educativo del perfil de trabajo en forma de una sugerencia emergente que se puede descartar cuando el usuario abre la carpeta de trabajo por primera vez:

Figura 3: Información sobre la herramienta que se puede descartar

Valida la experiencia del usuario del perfil de trabajo

La forma más sencilla de probar la experiencia del usuario del perfil de trabajo es configurar un perfil de trabajo con la app de Test DPC. En los siguientes pasos, se describe cómo configurar un perfil de trabajo en un dispositivo personal (situación de BYOD):

1. Comienza con un dispositivo restablecido a la configuración de fábrica y completa la configuración del perfil personal con una Cuenta de Google personal o, como alternativa, usa un dispositivo con un perfil personal como punto de partida.

2. Instala la app de Test DPC desde Google Play Store.

3. Abre el selector o el panel de apps y selecciona Set up Test DPC.

4. Sigue las instrucciones en pantalla para configurar un perfil de trabajo:

   
   Figura 4: Configurar perfil de trabajo
   
   Figura 5: Agregar cuentas
   
   Figura 6: Configuración completa

5. Abre el selector o el panel de aplicaciones y verifica que la pestaña Trabajo esté presente y contenga un pie de página del perfil de trabajo. Las implementaciones alternativas de fabricantes de dispositivos pueden contener una carpeta de trabajo en lugar de una pestaña de trabajo.

6. Verifica que puedes activar o desactivar el perfil de trabajo desde la Configuración rápida (o la configuración) confirmando que las apps del perfil de trabajo (las que tienen la insignia de maletín) se habiliten y se inhabiliten según lo esperado. En ciertas implementaciones de dispositivos, es posible que las apps de trabajo aparezcan en gris cuando el perfil de trabajo esté inhabilitado, mientras que otras, como las implementaciones con una pestaña de trabajo, pueden mostrar una superposición con un mensaje que informa que el perfil de trabajo está desactivado. Las siguientes figuras muestran ejemplos de perfiles de trabajo habilitados y inhabilitados en un dispositivo que implementa una pestaña de trabajo:

   
   Figura 7. Activado, perfil de trabajo habilitado
   
   Figura 8: Botón de activación desactivado, perfil de trabajo inhabilitado

Insignia de app del perfil de trabajo

En Android 9 o versiones posteriores, por motivos de accesibilidad, el color de la insignia de trabajo es azul (nº 1A73E8) en lugar de naranja.