Le provisionnement est le processus de configuration
d'un appareil à gérer à l'aide de
policies
par un enterprise
. Au cours du processus d'installation d'un appareil
Android Device Policy, utilisé pour recevoir et appliquer policies
. Si
le provisionnement a bien été effectué, l'API crée un objet devices
, qui lie
un appareil à une entreprise.
L'API Android Management utilise des jetons d'enregistrement pour déclencher le provisionnement processus. Le jeton d'enregistrement et la méthode de provisionnement que vous utilisez définissent le mode de propriété de l'appareil (personnel ou celui de l'entreprise) et le mode de gestion ou un appareil entièrement géré).
Appareils personnels
Android 5.1 ou version ultérieure
Les appareils appartenant aux employés peuvent être configurés avec un profil professionnel. Un profil professionnel
offre un espace autonome pour les applications et les données professionnelles, séparé du personnel
vos applications et vos données. La plupart des policies
de gestion des applications, des données et autres s'appliquent
profil professionnel uniquement, tandis que les applications et données personnelles de l'employé restent privées.
Pour configurer un profil professionnel sur un appareil personnel, créez un enregistrement
jeton (assurez-vous que allowPersonalUsage
est défini sur
PERSONAL_USAGE_ALLOWED
) et utilisez l'une des méthodes de provisionnement suivantes:
- Ajouter un profil professionnel depuis "Paramètres"
- Télécharger Android Device Policy
- Lien du jeton d'enregistrement
- URL de connexion
Appareils détenus par l'entreprise pour un usage professionnel et personnel
Android 8 et versions ultérieures
La configuration d'un appareil détenu par l'entreprise avec un profil professionnel permet d'activer les pour un usage professionnel et personnel. Sur les appareils détenus par l'entreprise dotés d'un profil professionnel:
- La plupart des
policies
de gestion des applications, des données et des autres paramètres s'appliquent au profil professionnel uniquement. - Le profil personnel de l'employé reste privé. Cependant, les entreprises peuvent appliquer certaines règles à l'échelle de l'appareil et des règles d'utilisation personnelle ;
- Les entreprises peuvent utiliser
blockScope
pour appliquer des actions de conformité sur une l'intégralité de l'appareil ou uniquement son profil professionnel. devices.delete
et les commandes d'appareil s'appliquent à l'ensemble d'un appareil.
Pour configurer un appareil détenu par l'entreprise avec un profil professionnel, créez un enregistrement
jeton (assurez-vous
allowPersonalUsage
est défini sur PERSONAL_USAGE_ALLOWED
) et utilisez l'une des
méthodes de provisionnement suivantes:
Appareils détenus par l'entreprise pour un usage professionnel uniquement
Android 5.1 ou version ultérieure
La gestion complète des appareils convient aux appareils détenus par l'entreprise destinés exclusivement à des fins professionnelles. Les entreprises peuvent gérer toutes les applications installées sur l'appareil et peut appliquer l'ensemble des règles et commandes de l'API Android Management.
Il est également possible de verrouiller un appareil (via des règles) sur une seule application ou
un petit ensemble d'applications pour répondre
à un objectif ou à un cas d'utilisation dédié. Ce sous-ensemble des
appareils gérés sont appelés appareils dédiés. Jetons d'enregistrement pour
allowPersonalUsage
doit être défini sur
PERSONAL_USAGE_DISALLOWED_USERLESS
Pour configurer la gestion complète sur un appareil détenu par l'entreprise, créez un jeton d'enregistrement,
en vous assurant que allowPersonalUsage
est défini sur
PERSONAL_USAGE_DISALLOWED
ou
PERSONAL_USAGE_DISALLOWED_USERLESS
,
et utilisez l'une des méthodes de provisionnement suivantes.
- Inscription sans contact
- Code QR
- URL de connexion (non adaptée aux appareils dédiés)
- NFC
- Identifiant DPC
Les règles peuvent avoir un impact sur la génération de l'interface utilisateur lors du provisionnement des appareils. Ces règles sont les suivantes:
PasswordPolicyScope
: Ce paramètre détermine les exigences concernant les mots de passe.PermittedInputMethods
: Cela détermine les modes de saisie du package.PermittedAccessibilityServices
: Cette option détermine les services d'accessibilité autorisés pour les services entièrement gérés appareils et profil professionnel.SetupActions
: Ce paramètre détermine les actions à exécuter lors de la configuration.ApplicationsPolicy
: Ce paramètre détermine la règle applicable à une application spécifique.
Si vous souhaitez que la procédure de création du mot de passe s'affiche à côté de l'installation d'applications professionnelles et les cartes d'enregistrement des appareils lors de la préparation de l'appareil, nous vous conseillons de mettre à jour pour retarder le lancement de l'interface utilisateur en laissant l'appareil dans un État de la quarantaine, qui se produit si l'appareil est enregistré sans règle associée tant que vous n'avez pas spécifié la dernière règle sélectionnée pour la configuration de l'appareil avec les éléments correspondant à vos besoins de configuration. Une fois l'appareil provisionné terminée, vous pouvez modifier la règle en tant que obligatoire.
Créer un jeton d'enregistrement
<ph type="x-smartling-placeholder">![Présentation d'Android Management](https://developers-dot-devsite-v2-prod.appspot.com/static/android/management/images/enrollment-token.png?authuser=4&hl=fr)
Vous avez besoin d'un jeton d'enregistrement pour chaque appareil que vous souhaitez enregistrer (vous pouvez
utiliser le même jeton pour plusieurs appareils). Pour demander un jeton d'enregistrement, appelez
enterprises.enrollmentTokens.create
Les jetons d'enregistrement expirent au bout d'un
heure par défaut, mais vous pouvez spécifier un délai d'expiration personnalisé (duration
)
environ 10 000 ans.
Une requête réussie renvoie un objet enrollmentToken
contenant une
enrollmentTokenId
et qrcode
que les administrateurs informatiques et les utilisateurs finaux peuvent utiliser pour
provisionner des appareils.
Spécifier une stratégie
Vous pouvez également spécifier un policyName
dans la demande d'application d'une règle
en même temps qu'un appareil est enregistré. Si vous ne spécifiez pas de policyName
, consultez
Enregistrez un appareil sans règle.
Spécifier votre utilisation personnelle
allowPersonalUsage
détermine si un profil professionnel peut être ajouté à l'appareil
pendant le provisionnement. Définissez ce paramètre sur PERSONAL_USAGE_ALLOWED
pour permettre à un utilisateur de créer un
Profil professionnel (obligatoire pour les appareils personnels, facultatif pour les appareils appartenant à l'entreprise)
appareils).
À propos des codes QR
Les codes QR constituent une méthode efficace de provisionnement des appareils pour les entreprises
maintenir de nombreuses
stratégies différentes. Code QR renvoyé par
enterprises.enrollmentTokens.create
est constituée d'une charge utile de paires clé/valeur.
contenant un jeton d'enregistrement et toutes les informations nécessaires pour utiliser Android
Device Policy pour provisionner un appareil.
Exemple de lot de codes QR
Le bundle comprend l'emplacement de téléchargement d'Android Device Policy et un un jeton d'enregistrement unique.
{
"android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
"android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM": "I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
"android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=setup",
"android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
"com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "{enrollment-token}"
}
}
Vous pouvez utiliser le code QR renvoyé par enterprises.enrollmentTokens.create
ou de la personnaliser. Pour obtenir la liste complète des établissements que vous pouvez inclure dans
un lot de codes QR, consultez la section Créer un code QR.
Pour convertir la chaîne qrcode
en un code QR lisible, utilisez un générateur de code QR.
comme ZXing.
Méthodes de provisionnement
Cette section décrit différentes méthodes de provisionnement d'un appareil.
Ajouter un profil professionnel depuis "Paramètres"
Android 5.1 ou version ultérieure
Pour configurer un profil professionnel sur son appareil, un utilisateur peut:
- Accédez à Paramètres > Google > Configuration et ou restaurer.
- Appuyez sur Configurer votre profil professionnel.
Cette procédure permet de lancer un assistant de configuration qui télécharge Android Device Policy sur le appareil. Ensuite, l'utilisateur sera invité à scanner un code QR ou saisir manuellement un jeton d'enregistrement pour terminer la configuration du profil professionnel.
Télécharger Android Device Policy
Android 5.1 ou version ultérieure
Pour configurer un profil professionnel sur son appareil, l'utilisateur peut télécharger Appareil Android Règlement sur le Google Play Store. Une fois l'application installée, l'utilisateur sera invité à saisir un code QR ou à saisir manuellement un un jeton d'enregistrement pour terminer la configuration du profil professionnel.
Lien du jeton d'enregistrement
Android 5.1 ou version ultérieure
Utiliser le jeton d'enregistrement renvoyé par enrollmentTokens.create
ou
signinEnrollmentToken
d'entreprise,
générez une URL au format suivant:
https://enterprise.google.com/android/enroll?et=<enrollmentToken>
Vous pouvez fournir cette URL aux administrateurs informatiques, qui pourront la transmettre à leurs utilisateurs finaux. Lorsqu'un utilisateur final ouvre le lien sur son appareil, il est guidé tout au long la configuration du profil professionnel.
URL de connexion
Avec cette méthode, les utilisateurs sont redirigés vers une page sur laquelle ils peuvent saisir nécessaires pour effectuer le provisionnement. D’après les informations que l’utilisateur saisi, vous pouvez calculer la stratégie appropriée pour l'utilisateur avant de continuer avec le provisionnement des appareils. Exemple :
Indiquez votre URL de connexion dans
enterprises.signInDetails[]
. DéfinirallowPersonalUsage
surPERSONAL_USAGE_ALLOWED
si vous souhaitez autoriser un utilisateur pour créer un profil professionnel (obligatoire pour les appareils personnels, facultatif pour les appareils détenus par l'entreprise).Ajoutez le
signinEnrollmentToken
obtenu en tant que complément de provisionnement à un QR. code, charge utile NFC ou sans contact. . Vous pouvez également indiquersigninEnrollmentToken
directement aux utilisateurs.Sélectionnez une option :
- Appareils détenus par l'entreprise:après l'activation d'un appareil neuf ou réinitialisé
l'appareil, transmettez-lui le
signinEnrollmentToken
(via un code QR, NFC) de coche, par exemple) ou de demander aux utilisateurs de saisir le jeton manuellement. L'appareil va ouvrez l'URL de connexion spécifiée à l'étape 1. - Appareils personnels:demandez aux utilisateurs d'ajouter un profil professionnel depuis
"Paramètres". Lorsque l'utilisateur y est invité,
scanne un code QR contenant le
signinEnrollmentToken
ou saisit le manuellement. L'appareil ouvre l'URL de connexion spécifiée à l'étape 1. - Appareils personnels:fournissez aux utilisateurs un jeton d'enregistrement
, où le jeton d'enregistrement correspond
signinEnrollmentToken
L'appareil ouvre l'URL de connexion spécifiée comme indiqué à l'étape 1.
- Appareils détenus par l'entreprise:après l'activation d'un appareil neuf ou réinitialisé
l'appareil, transmettez-lui le
Vérifiez si Google a déjà authentifié l'utilisateur. Obtenir l'appareil les informations de provisionnement (pendant l'enregistrement de l'appareil) à l'aide du paramètre GET.
provisioningInfo
et recherchez une valeur pour le champauthenticatedUserEmail
Si ce champ comporte une valeur, l'utilisateur était déjà authentifiée par Google, et vous pouvez utiliser cette identité sans authentification supplémentaire.Si Google n'a pas encore authentifié l'utilisateur, votre URL de connexion doit inviter les utilisateurs à saisir leurs identifiants. En vous basant sur son identité, vous définir la règle appropriée et configurer les appareils (lors de l'enregistrement de l'appareil) à l'aide du paramètre GET
provisioningInfo
Appelez
enrollmentTokens.create
, en spécifiant lepolicyId
approprié. en fonction des identifiants de l'utilisateur.Renvoyez le jeton d'enregistrement généré à l'étape 5 à l'aide de la redirection d'URL, dans le formulaire
https://enterprise.google.com/android/enroll?et=<token>
.
Méthode par code QR
Android 7.0 et versions ultérieures
Pour provisionner un appareil détenu par l'entreprise, vous pouvez générer un code QR code et affichez-le dans votre console EMM:
- Sur un appareil neuf ou réinitialisé, l'utilisateur (généralement un administrateur informatique) appuie sur l'icône écran six fois au même endroit. L'appareil affiche alors une invite de scanner un code QR.
- L'utilisateur scanne le code QR affiché dans votre console de gestion (ou application similaire) pour enregistrer et provisionner l'appareil.
Méthode NFC
Android 6.0 ou version ultérieure
Pour utiliser cette méthode, vous devez créer une application de programmeur NFC contenant le paramètre le jeton d'enregistrement, les règles initiales et la configuration Wi-Fi, les paramètres les autres détails de provisionnement requis par votre client pour provisionner un appareil géré ou dédié. Lorsque vous ou votre client installez la technologie NFC une application de programmation sur un appareil Android, cet appareil devient le programmeur appareil.
Vous trouverez des instructions détaillées sur la prise en charge de la méthode NFC dans la plate-forme EMM Play. Développeur d'API dans la documentation Google Cloud. Le site inclut également un exemple de code du modèle par défaut paramètres envoyés à un appareil via NFC. Pour installer Android Device Policy, définissez le téléchargement emplacement du package d'administration de l'appareil vers:
https://play.google.com/managed/downloadManagingApp?identifier=setup
Méthode d'identification DPC
S'il est impossible d'ajouter Android Device Policy à l'aide d'un code QR ou de la NFC, un utilisateur ou un administrateur informatique Pour provisionner un appareil détenu par l'entreprise, procédez comme suit:
- Suivez les instructions de l'assistant de configuration sur un appareil neuf ou réinitialisé.
- Saisissez les identifiants de connexion Wi-Fi pour connecter l'appareil à Internet.
- Lorsque vous êtes invité à vous connecter, saisissez afw#setup, qui permet de télécharger Android Règles relatives aux appareils.
- Scannez un code QR ou saisissez manuellement un jeton d'enregistrement pour de provisionner l'appareil.
Inscription sans contact
Android 8.0 ou version ultérieure (Pixel 7.1 ou version ultérieure)
Les appareils achetés auprès d'un revendeur sans contact autorisé sont éligibles à : l'enregistrement sans contact, une méthode simplifiée permettant de préconfigurer des appareils automatiquement au premier démarrage.
Les organisations peuvent créer des configurations contenant des informations de provisionnement leurs appareils sans contact, via le portail d'enregistrement sans contact. ou via votre console EMM (voir l'API client d'enregistrement sans contact). Le premier démarre, un appareil sans contact vérifie si une configuration lui a été attribuée. Si oui, l'appareil télécharge Android Device Policy, qui termine la configuration du appareil à l'aide des extras de provisionnement spécifiés dans la configuration attribuée.
Si vos clients utilisent le portail d'enregistrement sans contact, ils doivent sélectionner Android Device Policy comme DPC EMM pour chaque configuration créer. Des instructions détaillées sur l'utilisation du portail, y compris la création de et attribuer des configurations aux appareils, sont disponibles dans l'Android Enterprise consultez notre centre d'aide.
Si vous préférez que vos clients définissent et attribuent des configurations directement depuis votre
EMM, vous devez intégrer l'API client d'enregistrement sans contact. Quand ?
créer une configuration, vous spécifiez des options de provisionnement supplémentaires dans la
dpcExtras
. L'extrait de code JSON suivant montre un exemple de base des éléments à
inclure dans dpcExtras
, en ajoutant un jeton de connexion.
{
"android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":"com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
"android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"I5YvS0O5hXY46mb01BlRjq4oJJGs2kuUcHvVkAPEXlg",
"android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":{
"com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN":"{Sign In URL token}"
}
}
Lancer une application pendant la configuration
![action de configuration](https://developers-dot-devsite-v2-prod.appspot.com/static/android/management/images/setupaction.png?authuser=4&hl=fr)
setupActions
pour lancer une application
pendant la configuration.Dans policies
, vous pouvez spécifier une application pour qu'Android Device Policy puisse être lancé
pendant la configuration de l'appareil ou du profil professionnel. Par exemple, vous pouvez lancer
une application VPN pour
les utilisateurs peuvent configurer les paramètres VPN
dans le cadre du processus de configuration. L'application doit
renvoyez RESULT_OK
pour signaler l'achèvement et autorisez Android Device Policy à
terminer le provisionnement de l'appareil ou du profil professionnel. Pour lancer une application pendant la configuration:
Assurez-vous que le installType
de l'application est défini sur REQUIRED_FOR_SETUP
. Si l'application ne peut pas être
installé ou lancé sur l'appareil, le provisionnement échouera.
{
"applications":[
{
"packageName":"com.my.vpnapp.",
"installType":"REQUIRED_FOR_SETUP"
}
]
}
Ajoutez le nom du package de l'application à setupActions
. Utilisez title
et description
pour
spécifier des instructions destinées à l'utilisateur.
{
"setupActions":[
{
"title":{
"defaultMessage":"Configure VPN"
},
"description":{
"defaultMessage":"Enable your VPN client to access corporate resources."
},
"launchApp":{
"packageName":"com.my.vpnapp."
}
}
]
}
Pour distinguer qu'une application est lancée depuis launchApp
, l'activité
lancé pour la première fois dans l'application contient l'intent booléen supplémentaire
com.google.android.apps.work.clouddpc.EXTRA_LAUNCHED_AS_SETUP_ACTION
(définie sur
true
). Cet extra vous permet de personnaliser votre application
lancé à partir de setupActions
ou par un utilisateur.
Une fois que l'application a renvoyé RESULT_OK
, Android Device Policy termine le processus
pour provisionner l'appareil ou le profil professionnel.
Annuler l'enregistrement lors de la configuration
L'application a été lancée avec SetupAction pour annuler l'enregistrement renvoyé.
RESULT_FIRST_USER
En annulant l'enregistrement, un appareil détenu par l'entreprise est réinitialisé ou le travail est supprimé. sur un appareil personnel.
Remarque: L'annulation de l'enregistrement déclenche l'action sans utilisateur
boîte de dialogue de confirmation. Il est de la responsabilité de l'application d'afficher
à l'utilisateur avant de renvoyer RESULT_FIRST_USER
.
Appliquer une règle aux appareils nouvellement enregistrés
La méthode à utiliser pour appliquer les règles aux appareils nouvellement enregistrés dépend de vous et aux besoins de vos clients. Voici les différentes approches que vous pouvez utiliser:
(Recommandé) Lors de la création d'un jeton d'enregistrement, vous pouvez spécifier le nom de la règle (
policyName
) qui sera initialement associée à appareil. Lorsque vous enregistrez un appareil avec le jeton, la règle est automatiquement appliquée à l'appareil.Définir une règle comme règle par défaut pour une entreprise. Si aucun nom de règle n'est spécifié dans le jeton d'enregistrement, et une règle portant le nom
enterprises/<enterprise_id>/policies/default
, chaque nouvel appareil est automatiquement associé à la stratégie par défaut au moment de l'enregistrement.vous abonner à un sujet Cloud Pub/Sub pour : recevoir des notifications concernant les appareils nouvellement enregistrés. En réponse à une Notification
ENROLLMENT
, appelezenterprises.devices.patch
pour associer l'appareil à une règle.
Enregistrer un appareil sans règle
Si un appareil est enregistré sans règle valide, il est placé sur quarantaine. Toutes les fonctionnalités des appareils mis en quarantaine sont bloquées jusqu'à l'appareil est associé à une règle.
Si un appareil n'est associé à aucune règle au bout de cinq minutes, l'enregistrement de l'appareil échoue et la configuration d'usine de l'appareil est rétablie. L'état de l'appareil mis en quarantaine vous donne la possibilité de mettre en place des contrôles de licence ou d'autres validations d'inscription. dans le cadre de votre solution.
Exemple de workflow de vérification des licences
- Un appareil est enregistré sans règle par défaut ni règle spécifique.
- Vérifiez le nombre de licences restantes dans l'entreprise.
- Si des licences sont disponibles, utilisez
devices.patch
pour joindre un sur l'appareil, puis diminuez le nombre de licences. S'il n'y a pas licences disponibles, utilisezdevices.patch
pour désactiver l'appareil. L'API rétablit également la configuration d'usine de tout appareil qui n'est pas connecté dans les cinq minutes suivant l'enregistrement.