工作資料夾是受管理的資料夾,其應用程式資料與主要使用者資料夾分開,但會共用部分系統層級設定,例如 Wi-Fi 和藍牙。工作設定檔的主要目標是建立安全的隔離容器,用於保存受管理的資料。工作資料夾的管理員可全面控管資料的範圍、傳入、傳出和生命週期。以下是工作資料夾的幾個特性:
創作。主要使用者的任何應用程式都可以建立工作資料夾。在建立工作資料夾之前,系統會通知使用者工作資料夾行為和政策執行方式。
管理。稱為「profile owner」的應用程式可透過程式輔助方式,在
DevicePolicyManager
類別中叫用 API 來限制使用方式。設定檔擁有者是在初始設定檔時定義。工作資料夾專屬的政策包括應用程式限制、可更新性和意圖行為。視覺效果處理。工作資料夾中的應用程式、通知和小工具會加上徽章,並通常與主要使用者的使用者介面 (UI) 元素一併顯示。
導入作業詳細資料
工作資料夾是以次要使用者的身分實作,因此在工作資料夾中執行的應用程式會具有 uid = 100000 \* userid + appid
的 UID。這些設定檔會擁有與主要使用者類似的應用程式資料 (/data/user/userid
)。
AccountManagerService
會為每位使用者維護一份獨立的帳戶清單。工作設定檔使用者和一般次要使用者的帳戶差異包括:
工作資料夾會與其父項使用者建立關聯,並在啟動時與主要使用者一併啟動。
ActivityManagerService
會啟用工作資料夾的通知,讓工作資料夾可與主要使用者共用活動堆疊。其他共用系統服務包括輸入法編輯器、A11Y 服務、Wi-Fi 和 NFC。
啟動器 API 可讓啟動器在主要設定檔的應用程式旁邊,顯示工作資料夾中的標記應用程式和許可清單小工具,而無須切換使用者。
資料分隔
工作資料夾會使用下列資料區隔規則。
應用程式
如果相同的應用程式同時存在於主要使用者和工作資料夾中,則應用程式會以各自的區隔資料進行範圍設定。一般來說,應用程式會獨立運作,除非擁有 INTERACT_ACROSS_PROFILES
權限或 App-ops,否則無法直接與跨設定檔使用者邊界範圍的例項通訊。
帳戶
工作資料夾中的帳戶與主要使用者不同,因此無法跨越設定檔使用者界線存取憑證。只有各自情境中的應用程式可以存取其個人帳戶。
意圖
管理員可以控制意圖是在工作資料夾中還是在工作資料夾外解析。根據預設,工作資料夾中的應用程式會限定在 Device Policy API 的工作資料夾例外狀況內。
裝置 ID
在設有工作資料夾的個人裝置上,Android 12 以上版本會移除對裝置硬體 ID (IMEI、MEID、序號) 的存取權,並提供專屬的註冊專屬 ID,用於識別特定機構的工作資料夾註冊。註冊 ID 在恢復原廠設定後仍保持穩定,可讓您可靠地追蹤設有工作資料夾的裝置。
設有工作資料夾的個人擁有裝置必須使用註冊專屬 ID;公司擁有的裝置 (包括工作資料夾和全代管裝置) 也可以選擇使用這組 ID。如要使用註冊專屬 ID,EMM 必須針對所管理的每部裝置設定機構 ID,這樣一來,他們才能在該裝置上讀取註冊專屬 ID,並將其當做序號處理。詳情請參閱「加強工作資料夾的安全性與隱私權強化功能」。
設定
設定強制執行範圍為工作資料夾,但螢幕鎖定畫面和加密設定的範圍為裝置,且會在主要使用者和工作資料夾之間共用。除了這些例外狀況,設定檔擁有者在工作資料夾以外,沒有裝置管理員權限。
在設有工作資料夾的裝置上管理裝置
Android 5.0 以上版本支援使用 DevicePolicyManager
類別,在自攜裝置 (BYOD) 個人裝置上管理工作資料夾。此外,Android 11 也推出了在公司擁有的裝置上工作資料夾的概念。無論是 BYOD 還是公司擁有的裝置,工作資料夾中的裝置管理功能都相同,但公司擁有的裝置上的工作資料夾可能會提供額外的功能/政策,例如 installSystemUpdate
、setScreenCaptureDisabled
和 setPersonalAppsSuspended
,可將管理員政策強制執行範圍擴大到工作資料夾以外的特定裝置。
個人裝置上的「BYOD」工作資料夾:這類裝置是個人裝置,且包含由與雇主相關聯的 IT 管理員管理的工作資料夾。
公司裝置上的 Work 設定檔:這類裝置是由雇主提供或擁有,並包含由與雇主相關聯的 IT 管理員管理的工作資料夾。應用程式可以呼叫
isOrganizationOwnedDeviceWithManagedProfile()
,判斷裝置是否已設為由機構擁有的裝置,並具有受管理的設定檔。
如要進一步瞭解如何建立工作資料夾和使用裝置政策 API,請參閱「建立工作資料夾」。
設定檔擁有者
建立工作資料夾時,裝置政策用戶端 (DPC) 應用程式會充當設定檔擁有者。DPC 用戶端應用程式通常由企業行動管理服務 (EMM) 合作夥伴提供 (例如 Google Apps Device Policy),並可在設為設定檔擁有者時強制執行政策。工作資料夾的應用程式例項會加上標記,與個人應用程式例項的視覺效果不同;標記可識別應用程式為工作應用程式。EMM 僅可控制工作資料夾 (工作應用程式和資料),而無法控制個人空間。裝置政策只會在工作資料夾強制執行,但有一些例外,例如強制執行所有裝置適用的螢幕鎖定。
工作資料夾使用者體驗
Android 9 以上版本可讓工作資料夾與 Android 平台更緊密整合,方便使用者在裝置上將工作和個人資訊分開存放。工作資料夾變更會顯示在啟動器中,並在受管理裝置上提供一致的使用者體驗。
使用者可以透過「設定」或「快速設定」選單切換工作資料夾。在 Android 9 以上版本中,裝置實作可能會在工作分頁頁尾加入切換鈕,讓使用者啟用或停用工作資料夾。切換工作設定檔的作業會以非同步方式執行,並套用至所有有效的使用者設定檔;這個程序由 WorkModeSwitch
類別控制。
設有應用程式匣的裝置
在 Android 9 以上版本中,系統會變更啟動器 3 的工作資料夾使用者體驗,協助使用者維護個人和工作資料夾各自獨立。應用程式抽屜提供分頁檢視畫面,可區分個人資料夾應用程式和工作資料夾應用程式。使用者首次查看工作資料夾分頁時,系統會顯示說明畫面,協助他們瀏覽工作資料夾。
使用者可以使用應用程式抽屜頂端的個人資料分頁或類似的使用者介面,在不同個人資料檢視畫面之間切換:
圖 1.個人分頁檢視畫面
圖 2. 工作分頁檢視畫面、工作資料夾切換鈕
分頁檢視畫面是 AllAppsContainerView
Launcher3 類別的一部分。如需分頁設定檔指標的參考實作方式,請參閱 PersonalWorkSlidingTabStrip
類別。
裝置與工作分頁相關的使用者說明訊息
Android 9 以上版本支援教育檢視模式,向使用者告知工作分頁的用途,以及如何讓工作應用程式更容易存取。使用 Launcher3 時,使用者首次開啟工作分頁時,工作分頁畫面會顯示教育性視圖,如圖所示:
圖 3. 教育觀點
沒有應用程式匣的裝置
如果啟動器沒有應用程式工具列,建議您繼續在工作資料夾中放置工作資料夾應用程式的捷徑。
自訂啟動器實作項目可使用 getProfiles()
和 getActivityList()
,為工作資料夾使用者擷取含有啟動器圖示的應用程式清單。
在實作工作資料夾的裝置上,使用者可以開啟工作資料夾來存取工作資料夾應用程式:
圖 4. 已關閉的工作資料夾
圖 5. 已開啟的工作資料夾
裝置設有工作資料夾的使用者說明訊息
如果啟動器沒有應用程式工具列,且工作資料夾包含工作應用程式,則在使用者首次開啟工作資料夾時,可能會以可關閉的工具提示形式顯示工作資料夾說明訊息:
圖 3. 「可關閉」工具提示
驗證工作資料夾使用者體驗
測試工作資料夾使用者體驗最簡單的方法,就是使用 Test DPC 應用程式設定工作資料夾。以下步驟說明如何在個人裝置上設定工作資料夾 (BYOD 情況):
請先將裝置恢復原廠設定,然後使用個人 Google 帳戶完成個人資料夾設定,或者使用個人資料夾的裝置作為起點。
開啟啟動器或應用程式導覽匣,然後選取「Set Up Test DPC」。
按照畫面上的指示設定工作資料夾:
圖 4. 設定工作資料夾
圖 5.新增帳戶
圖 6. 設定完成開啟啟動器或應用程式抽屜,確認「工作」分頁是否顯示,且包含工作資料夾頁尾。其他裝置製造商的實作項目可以包含工作資料夾,而非工作分頁。
確認您可以透過「快速設定」(或「設定」) 切換工作資料夾,方法是確認工作資料夾應用程式 (帶有公事包標記的應用程式) 是否如預期啟用和停用。在某些裝置實作中,工作資料夾停用時,工作應用程式可能會顯示為灰色,而其他應用程式 (例如實作工作分頁的應用程式) 可能會顯示重疊訊息,說明工作資料夾已關閉。下列圖片顯示了在實作工作分頁的裝置上,啟用和停用工作資料夾的例子:
圖 7. 開啟切換鈕,啟用工作資料夾
圖 8. 切換為關閉,工作資料夾已停用
工作資料夾應用程式徽章
在 Android 9 以上版本中,基於無障礙考量,工作標記的顏色是藍色 (#1A73E8),而不是橘色。