הקצאה לניהול מכשירים

אדמינים ב-IT יכולים לפרוס מכשירים למשתמשים בארגון באמצעות שירותי ענן, קוד QR או הקצאת הרשאות באמצעות תקשורת מטווח קצר (NFC). כדי להתחיל, מורידים את קובץ ה-APK של NfcProvisioning ואת קובץ ה-APK של Android-DeviceOwner. רשימת הדרישות המלאה מופיעה במאמר בנושא הטמעה של ניהול מכשירים.

עדכונים ל-Android 12

  • האפשרות ACTION_PROVISION_MANAGED_DEVICE הוצאה משימוש.

  • יש תמיכה ב-ACTION_PROVISION_MANAGED_PROFILE רק בהקצאת פרופיל עבודה שמתבצעת קודם על ידי DPC, שבה משתמשי קצה יכולים להקצות פרופיל עבודה אחרי שהם מורידים את ה-DPC.

  • מפתחים של DPC שרוצים לתמוך בקוד QR או בשיטות הקצאת הרשאות אחרות צריכים להטמיע את ה-handlers לפעולות intent‏ DevicePolicyManager#ACTION_GET_PROVISIONING_MODE ו-DevicePolicyManager#ACTION_ADMIN_POLICY_COMPLIANCE. אם ב-DPC לא מוטמעים רכיבי ה-handler האלה, הקצאת ההרשאות נכשלת.

  • ה-DPC ACTION_GET_PROVISIONING_MODE handler כולל EXTRA_PROVISIONING_ALLOWED_PROVISIONING_MODES חדש. ה-DPC צריך להגדיר את הערך של EXTRA_PROVISIONING_MODE extra לתוצאת הכוונה שלו עם ערך ששייך לרשימה הזו. אם ה-DPC מחזיר ערך שלא מופיע ברשימה הזו, הקצאת ההרשאות נכשלת.

  • כדי לשפר את היציבות, את התחזוקה ואת הפשטות של התהליכים שמתרחשים במהלך אשף ההגדרה, אי אפשר להתחיל בהגדרת DPC אחרי שאשף ההגדרה מסתיים. אמצעי DPC שמשתמשים בקטגוריה android.intent.category.PROVISIONING_FINALIZATION עם פעולת ה-Intent‏ ADMIN_POLICY_COMPLIANCE כדי לבקש במפורש הגדרה לפני סיום אשף ההגדרה יכולים להסיר את הקטגוריה הזו, כי ההגדרה מתבצעת עכשיו כברירת מחדל.

ניהול תצורה מנוהל

הקצאת הרשאות מנוהלת היא תהליך בממשק המשתמש שמוודא שהמשתמשים מקבלים מידע מספק על ההשלכות של הגדרת בעלים של מכשיר או פרופיל מנוהל. מכשירים שמופעלת בהם הצפנה כברירת מחדל מציעים תהליך הקצאת הרשאות פשוט ומהיר יותר לניהול המכשיר.

במהלך הקצאת הרשאות מנוהלת, רכיב הקצאת ההרשאות המנוהלת מבצע את הפעולות הבאות:

  • המכשיר מוצפן.
  • הפרופיל המנוהל ייווצר.
  • השבתה של אפליקציות לא נדרשות.
  • הגדרת אפליקציית ניהול מכשירים ושירותי מובייל בארגון (EMM) כבעלים של הפרופיל או המכשיר.

בתמורה, אפליקציית ניהול הניידות הארגונית (EMM) מבצעת את הפעולות הבאות:

  • הוספת חשבונות משתמשים.
  • אכיפת תאימות המכשיר.
  • מאפשרת גישה לכל אפליקציות המערכת הנוספות.

במהלך הקצאת הרשאות מנוהלת, המסגרת מעתיקה את אפליקציית ה-EMM לפרופיל המנוהל. אחרי שההקצאה מסתיימת, מתבצעת קריאה ל-ADMIN_POLICY_COMPLIANCE intent handler של אפליקציית ה-EMM במשתמש של פרופיל העבודה (להקצאת פרופיל עבודה) או במשתמש של בעלי המכשיר (להקצאת בעלות על המכשיר). לאחר מכן, מערכת ה-EMM מוסיפה חשבונות ומחילת מדיניות, ואז היא מבצעת קריאה אל setProfileEnabled() כדי להציג את סמלי מרכז האפליקציות.

הקצאת הרשאות לבעלי הפרופיל

הקצאת הרשאות לבעלי פרופילים מאפשרת למשתמשים להגדיר במכשיר גם פרופיל עבודה (פרופיל מנוהל) וגם פרופיל אישי. כדי להפעיל הקצאת הרשאות לבעלי פרופילים, צריך לשלוח כוונה עם תוספים מתאימים. לדוגמה, מתקינים את אפליקציית TestDPC (מורידים מ-Google Play או מבצעים build מ-GitHub) במכשיר, מפעילים את האפליקציה ממרכז האפליקציות ופועלים לפי ההוראות באפליקציה. ההקצאה מסתיימת כשסמלים עם תגים מופיעים במגירת האפליקציות.

אפליקציית ה-DPC של ה-EMM מפעילה את יצירת הפרופיל המנוהל על ידי שליחת intent עם הפעולה DevicePolicyManager.ACTION_PROVISION_MANAGED_PROFILE. הפקודה הבאה היא דוגמה ל-intent שמפעיל את היצירה של הפרופיל המנוהל ומגדיר את DeviceAdminSample כבעלים של הפרופיל:

adb shell am start \
  -a android.app.action.PROVISION_MANAGED_PROFILE \
  -c android.intent.category.DEFAULT \
  -e wifiSsid $(printf '%q' \"WifiSSID\") \
  -e deviceAdminPackage "com.google.android.deviceadminsample" \
  -e android.app.extra.deviceAdminPackageName $(printf '%q'.DeviceAdminSample\$DeviceAdminSampleReceiver) \
  -e android.app.extra.DEFAULT_MANAGED_PROFILE_NAME "My Organisation"

הקצאת הרשאות לבעלי מכשירים באמצעות NFC

אתם יכולים להשתמש ב-NFC או בשירותי ענן כדי להגדיר הקצאת הרשאות לבעלי מכשירים (DO) במהלך תהליך ההגדרה של מכשיר חדש.

כשמשתמשים ב-NFC, מקצים הרשאות למכשירים במצב DO באמצעות NFC bump במהלך שלב ההגדרה הראשוני של המכשיר. השיטה הזו דורשת יותר אתחול, אבל היא לא דורשת מגע פיזי ומטפלת בהגדרת ה-Wi-Fi, בהתקנת ה-DPC ובהגדרת ה-DPC כבעלים של המכשיר.

חבילת NFC טיפוסית כוללת את הרכיבים הבאים:

EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_LOCATION
EXTRA_PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM
EXTRA_PROVISIONING_WIFI_SSID
EXTRA_PROVISIONING_WIFI_SECURITY_TYPE

צריך להגדיר במכשירים NFC כדי לאשר את סוג ה-MIME של הקצאת הרשאות מנוהלת מתוך חוויית ההגדרה. כדי להגדיר את התכונה, מוודאים שהקובץ /packages/apps/Nfc/res/values/provisioning.xml מכיל את השורות הבאות:

<bool name="enable\_nfc\_provisioning">true</bool>
<item>application/com.android.managedprovisioning</item>

הקצאת הרשאות באמצעות שירותי ענן

אתם יכולים להקצות מכשירים עם בעלות על המכשיר או בעלות על הפרופיל (פרופיל עבודה) באמצעות שירותי ענן. המכשיר אוסף פרטי כניסה (או אסימונים) ומשתמש בהם כדי לבצע חיפוש בשירות ענן, שאפשר להשתמש בו כדי להתחיל את תהליך הקצאת ההרשאות.

היתרונות של ניהול מכשירים ושירותי מובייל בארגון

אפליקציה לניהול מכשירים ושירותי מובייל בארגון (EMM) יכולה לעזור לכם לבצע את המשימות הבאות:

  • הקצאת פרופיל מנוהל.
  • מחילים את מדיניות האבטחה.
    • הגדרת מורכבות הסיסמה.
    • הגבלות, כמו השבתת צילומי מסך, ששותפו מפרופיל מנוהל
  • הגדרת קישוריות לארגון.
    • משתמשים ב-WifiEnterpriseConfig כדי להגדיר Wi-Fi ארגוני.
    • מגדירים VPN במכשיר.
    • משתמשים ב-DPM.setApplicationRestrictions() כדי להגדיר VPN ארגוני.
  • הפעלה של כניסה יחידה (SSO) לאפליקציות ארגוניות.
    • התקנה של אפליקציות ארגוניות נבחרות.
    • משתמשים ב-DPM.installKeyPair() כדי להתקין בשקט אישורי לקוח של החברה.
    • משתמשים ב-DPM.setApplicationRestrictions() כדי להגדיר שמות מארחים, כינויים של אישורים של אפליקציות ארגוניות.

הקצאת הרשאות מנוהלת היא רק חלק אחד בתהליך העבודה מקצה לקצה של EMM, והמטרה הסופית היא לאפשר לאפליקציות גישה לנתונים ארגוניים בפרופיל המנוהל או במכשיר המנוהל. הוראות לבדיקה מפורטות במאמר הגדרת בדיקת מכשירים.