כדי להבטיח תמיכה מינימלית בפרופילים מנוהלים, מכשירי OEM חייבים לכלול את הרכיבים החיוניים הבאים:
- בעלי הפרופיל (כפי שמתואר בקטע איך מוודאים תאימות לפרופילים מנוהלים)
- בעלי המכשיר
רשימת הדרישות המלאה מופיעה במאמר הטמעת ניהול מכשירים. כדי לבדוק את התכונות של ניהול המכשיר, בעלי המכשירים יכולים להשתמש באפליקציית TestDPC שמתוארת בהמשך.
הגדרת הבעלים של המכשיר לצורך בדיקה
כדי להגדיר סביבה לבדיקה של בעלי המכשיר, פועלים לפי ההוראות הבאות.
- מאפסים את מכשיר היעד להגדרות המקוריות.
- מוודאים שהמכשיר לא מכיל חשבונות משתמשים (למשל, חשבונות המשמשים להתחברות לשירותים אונליין). כדי לוודא, עוברים אל הגדרות > חשבונות.
- מגדירים את אפליקציית הבדיקה באחת מהשיטות הבאות:
- מורידים את אפליקציית TestDPC (זמינה ב-Google Play).
- יוצרים את אפליקציית TestDPC (זמינה ב-github.com).
- מגדירים את אפליקציית TestDPC כבעלים של המכשיר באמצעות הפקודה הבאה:
adb shell dpm set-device-owner "com.afwsamples.testdpc/.DeviceAdminReceiver"
- מבצעים את ההגדרה של הבעלים של המכשיר במכשיר (הצפנה, בחירת רשת Wi-Fi).
אימות ההגדרה של בעלי המכשיר
כדי לוודא שבעלי המכשיר הוגדר בצורה נכונה, עוברים אל הגדרות > אבטחה > אדמינים של מכשירים ומוודאים ש-TestDPC נמצא ברשימה. מוודאים שלא ניתן להשבית אותו (המשמעות היא שהוא בעל המכשיר).
דוחות על באגים ויומני אירועים
החל מגרסה 7.0 של Android, בעלי מכשיר עם לקוח מדיניות מכשירים (DPC) יכולים לקבל דוחות באגים ולצפות ביומני תהליכים ארגוניים במכשיר מנוהל.
כדי להפעיל דוח על באג (כלומר, הנתונים המקבילים שנאספים על ידי adb bugreport, שמכילים את dumpsys, את dumpstate ואת נתוני logcat), משתמשים ב-DevicePolicyController.requestBugReport. אחרי שהדוח על הבאג נאסף, המשתמש מתבקש להביע הסכמה לשליחת הנתונים של דוח הבאג. התוצאות מתקבלות על ידי DeviceAdminReceiver.onBugreport[Failed|Shared|SharingDeclined]. למידע נוסף על התוכן של דוחות על באגים, קראו את המאמר קריאת דוחות על באגים.
בנוסף, חשבונות DPC של בעלי המכשיר יכולים גם לאסוף יומנים שקשורים לפעולות שמשתמשים ביצעו במכשיר המנוהל. תיעוד ביומן של תהליכים בארגון נדרש לכל המכשירים שמדווחים על device_admin, והוא מופעל באמצעות מאגר אבטחה חדש ביומן שרק שרת המערכת יכול לקרוא (כלומר, $ adb logcat -b security לא יכול לקרוא את המאגר). השירות ActivityManager והרכיבים של Keyguard מתעדים ביומן האבטחה את האירועים הבאים:
- תהליכי אפליקציות מתחילים
- פעולות של אבטחת מקשים (למשל, כישלון וביטול נעילה)
adbפקודות שהופעלו במכשיר
כדי לשמור יומנים במהלך הפעלות מחדש (לא הפעלה מחדש קרה) ולאפשר ל-DPC של בעלי המכשיר לגשת אליהם, ליבה של המכשיר צריכה לכלול את הפונקציות pstore ו-pmsg, ו-DRAM צריך להיות מופעל ומתרענן בכל שלבי ההפעלה מחדש כדי למנוע פגיעה ביומנים שנשמרים בזיכרון. כדי להפעיל את התמיכה, משתמשים בהגדרה config_supportPreRebootSecurityLogs בקטע frameworks/base/core/res/res/values/config.xml.