Einheitliche Update-Einstellungen

Mit Unified Update Controls (UUC) können IT-Administratoren einheitlich steuern, wann Softwareupdates auf unternehmenseigenen Android-Geräten heruntergeladen und angewendet werden, damit die Updates den Geschäftsbetrieb nicht beeinträchtigen.

Mit einer einzigen UUC-Richtlinie können Sie Updates für die folgenden Softwarekomponenten steuern:

• Betriebssystemupdates, die vom Gerätehersteller (OEM) herausgegeben werden, einschließlich wichtiger Betriebssystemupdates und kleinerer Betriebssystem- und Sicherheitsupdates.
• Google Play-Systemupdates (Mainline).
• Google-Systemdienste wie die Google Play-Dienste und Android System WebView, entweder als Gruppe oder einzeln.

UUC-Regeln werden im Feld unifiedUpdatePolicy einer Policy-Ressource definiert. Die Android Device Policy App (ADP) ist der zentrale Entscheidungspunkt auf dem Gerät für die UUC.

Vorbereitung

Prüfen Sie vor dem Konfigurieren von UUC die folgenden Anforderungen:

• Ihre EMM-Lösung kann Richtlinien für ein Unternehmen erstellen und aktualisieren.
• Die Geräte gehören dem Unternehmen und sind entweder als vollständig verwaltetes Gerät oder mit einem Arbeitsprofil auf einem unternehmenseigenen Gerät konfiguriert. UUC wird auf privaten Geräten nicht unterstützt.
• Die Geräte erfüllen die Mindestanforderungen an die Android-Version für jedes Updateziel, das Sie steuern möchten, wie in der folgenden Tabelle dargestellt:

Überlegungen und Einschränkungen

Beachten Sie die folgenden Überlegungen und Einschränkungen, bevor Sie die UUC-Integration planen:

• Einrichtungsassistent: UUC-Richtlinien werden nicht erzwungen, während sich das Gerät im Einrichtungsassistenten befindet. Kritische Updates von Google Play oder dem OEM-OTA-Agenten können während der Geräteeinrichtung erfolgen.
• Frühe Updates nach der Einrichtung: UUC-Richtlinien gelten möglicherweise nicht für automatische Updates, die sofort nach der Geräteeinrichtung gestartet werden, z. B. frühe Updates für Google Play-Dienste, bevor die Richtlinie den ADP erreicht.
• Gebündelte OTA-Module: OEM-Over-the-air-Updates können aktualisierte Versionen von Mainline-Modulen und Google-Systemdiensten enthalten. Durch die Installation eines OEM-Over-the-air-Updates werden diese gebündelten Komponenten automatisch aktualisiert.
• Google Play-Systemupdates (Mainline): UUC steuert das Mainline-Update als eine Einheit, sodass einzelne Mainline-Pakete nicht unabhängig voneinander gesteuert werden können. UUC steuert nur den Beginn der Downloadphase: Sobald ein Mainline-Download beginnt, kann er nicht mehr gestoppt werden. Wenn eine BLOCK-Regel nach dem Start des Downloads angewendet wird, wird das Update beim nächsten Neustart des Geräts abgeschlossen.
• Manuelle Updates während Sperrzeiträumen: Bei Google Play-Systemupdates (Mainline) und Google-Systemdiensten verhindert eine BLOCK-Regel nur automatische Updates. Nutzer können diese Komponenten auch dann manuell aktualisieren, wenn eine BLOCK-Regel aktiv ist. Dieses Problem wird in einer zukünftigen Version behoben.
• Ausgenommene Anwendungen: Die UUC verwaltet keine Updates für die Google Play Store App oder die ADP App.

Richtlinien für unerwünschte Software verstehen

Ein UnifiedUpdatePolicy besteht aus einer sortierten Liste von Rule-Objekten. Jede Regel gibt Folgendes an:

• Eine von Ihrer EMM-Lösung definierte Kennung (id)
• ein oder mehrere Ziele für Softwareupdates
• optionale Bewertungsphasen.
• ein oder mehrere optionale Prädikate mit zeitbasierten Bedingungen
• ein Ergebnis, das bestimmt, wie das Update verarbeitet wird

Regelauswertung

Bei der Bewertung eines ausstehenden Updates berücksichtigt ADP alle Regeln, die für das Ziel und die Phase dieses Updates gelten, in der Reihenfolge, in der sie in rules angezeigt werden. ADP wählt die erste Regel aus, deren Prädikat als true ausgewertet wird, und wendet ihr Ergebnis an, ähnlich wie bei einer verketteten if-else-Anweisung. Wenn das Prädikat keiner Regel als true ausgewertet wird, verwaltet der für die Komponente verantwortliche Update-Client das Update normal.

Regelkennungen

Für jede Regel ist eine id mit bis zu 64 Zeichen erforderlich, die von Ihrer EMM-Lösung definiert wird. Der id darf nicht leer sein und muss innerhalb der Regeln einer Richtlinie eindeutig sein.

Ziele aktualisieren

Für jede Regel muss eine nicht leere Liste von targets ohne Duplikate angegeben werden. Die Angabe mehrerer Ziele in einer einzelnen Regel entspricht der Definition mehrerer Regeln nacheinander, jeweils mit einem einzelnen Ziel, in derselben Reihenfolge.

In der folgenden Tabelle werden die unterstützten targetType-Werte beschrieben:

Bewertungsphasen

Für OS_UPDATE_WITH_API_LEVEL_CHANGE- und OS_UPDATE_WITHOUT_API_LEVEL_CHANGE-Ziele können Sie optional die stages angeben, bei der eine Regel ausgewertet wird:

• STAGE_DOWNLOAD: Die Regel wird vor dem Herunterladen des Updates ausgewertet.
• STAGE_APPLY: Die Regel wird ausgewertet, bevor eine Aktion zum Anwenden des Updates ausgeführt wird, z. B. das Auslösen eines automatischen Neustarts.

Wenn stages leer ist, wird die Regel in allen Phasen ausgewertet. Hinweis: Bei den Zielen GOOGLE_SYSTEM_SERVICES, SINGLE_APP und GOOGLE_PLAY_SYSTEM_UPDATE werden Phasen ignoriert.

Prädikate

Ein predicate definiert zeitbasierte Bedingungen, unter denen eine Regel zutrifft, z. B. die Wochentage, ein Zeitfenster (auf Stundenebene), ein Kalenderdatumsbereich in der lokalen Zeitzone des Geräts oder wie lange das Update für das Gerät verfügbar ist (in Vielfachen von 24 Stunden).

Alle Bedingungen, die innerhalb eines einzelnen Prädikats festgelegt sind, werden mit einem logischen AND kombiniert. Ein leeres oder weggelassenes Prädikat wird immer als true ausgewertet. Eine vollständige Liste der Prädikatfelder und ihrer Einschränkungen finden Sie in der Referenzdokumentation zu Predicate.

Ergebnisse

Ein outcome gibt an, wie ADP den Update-Agenten anweist, vorzugehen, wenn das Prädikat einer Regel als true ausgewertet wird. In der folgenden Tabelle werden die unterstützten outcomeType-Werte beschrieben:

Maximale Aufschublimits

Mit UUC können Updates mit dem Ergebnis BLOCK oder USER_PROMPT bis zu einem maximalen Aufschubzeitraum für jedes Updateziel aufgeschoben werden. Wenn ein Update länger als die maximale Aufschubdauer verfügbar ist, wird das Ergebnis BLOCK oder USER_PROMPT auf die Standardeinstellung zurückgesetzt und der Update-Client verwaltet das Update normal.

In der folgenden Tabelle sind die maximalen Aufschublimits nach Ziel und Verwaltungsmodus aufgeführt:

Rangfolge von „systemUpdate“

Bevor Sie unifiedUpdatePolicy einer vorhandenen Richtlinie hinzufügen, sollten Sie die systemUpdate-Einstellungen prüfen und das erforderliche Verhalten mit UUC-Regeln neu erstellen. Wenn Sie beispielsweise Betriebssystemupdates außerhalb der Öffnungszeiten durchführen möchten, verwenden Sie eine BLOCK-Regel wie die in Wichtige Betriebssystemupdates während der Geschäftszeiten blockieren.

Dieses Verhalten unterscheidet sich von benutzerdefinierten DPCs, die das AMAPI SDK verwenden. Bei diesen hat ein AOSP-SystemUpdatePolicy Vorrang vor dem UUC für OEM-Over-the-air-Updates. Weitere Informationen finden Sie unter AOSP SystemUpdatePolicy-Rangfolge.

UUC-Richtlinie konfigurieren

Sie können das Feld unifiedUpdatePolicy für eine Richtlinienressource festlegen, abrufen und löschen und die Geräte-Compliance für Geräte prüfen, die die Richtlinie verwenden.

UUC-Richtlinie festlegen

Wenn Sie die UUC konfigurieren möchten, fügen Sie der Richtlinie ein unifiedUpdatePolicy-Objekt hinzu. Wenn Sie die UUC-Richtlinie anwenden möchten, ohne die anderen Einstellungen einer vorhandenen Richtlinie zu ändern, rufen Sie enterprises.policies.patch mit updateMask=unifiedUpdatePolicy auf:

PATCH https://androidmanagement.googleapis.com/v1/enterprises/{enterpriseId}/policies/{policyId}?updateMask=unifiedUpdatePolicy

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Policy",
        "targets": [
          {
            "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE"
          }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}

Die aktualisierte Richtlinie wird auf alle Geräte angewendet, die sie verwenden. ADP wertet die Regeln auf jedem Gerät aus, wenn ein Update für eine kontrollierte Komponente verfügbar ist.

UUC-Richtlinie abrufen

Wenn Sie die konfigurierten UUC-Regeln lesen möchten, rufen Sie enterprises.policies.get auf und prüfen Sie das Feld unifiedUpdatePolicy der zurückgegebenen Richtlinie:

GET https://androidmanagement.googleapis.com/v1/enterprises/{enterpriseId}/policies/{policyId}

UUC-Richtlinie löschen

Wenn Sie alle UUC-Regeln aus einer Richtlinie entfernen möchten, rufen Sie enterprises.policies.patch mit updateMask=unifiedUpdatePolicy und einem Anfragetext auf, der unifiedUpdatePolicy nicht enthält:

PATCH https://androidmanagement.googleapis.com/v1/enterprises/{enterpriseId}/policies/{policyId}?updateMask=unifiedUpdatePolicy

{}

Beispiele für die Richtlinienkonfiguration

Die folgenden Beispiele zeigen das unifiedUpdatePolicy-Objekt für gängige Szenarien. Wenden Sie sie mit enterprises.policies.patch an, wie unter UUC-Richtlinie festlegen beschrieben. Dieselben Szenarien sind als Kotlin- und Java-Code unter Einheitliche Update-Steuerelemente mit dem AMAPI SDK konfigurieren verfügbar.

Wichtige Betriebssystemupdates während der Arbeitszeit blockieren

Mit der folgenden Regel werden größere Betriebssystemupdates (OS_UPDATE_WITH_API_LEVEL_CHANGE) von Montag bis Freitag zwischen 09:00 und 17:00 Uhr blockiert:

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Policy",
        "targets": [
          {
            "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE"
          }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}

Betriebssystemupdates nach Updatealter erzwingen

Mit der folgenden Regel werden wichtige Betriebssystemupdates erzwungen, die seit bis zu 7 Tagen für das Gerät verfügbar sind (604800s):

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Force Policy",
        "targets": [
          {
            "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE"
          }
        ],
        "predicate": {
          "updateAgeUpperBound": "604800s"
        },
        "outcome": {
          "outcomeType": "FORCE"
        }
      }
    ]
  }
}

Updates für eine einzelne Google-Systemdienst-App blockieren

Wenn Sie eine bestimmte App steuern möchten, die Teil der Google-Systemdienste ist, z. B. Android System WebView (com.google.android.webview), setzen Sie targetType auf SINGLE_APP und geben Sie die packageName der App in singleApp an. Mit der folgenden Regel werden WebView-Updates von Montag bis Freitag zwischen 09:00 und 17:00 Uhr blockiert:

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Webview Policy",
        "targets": [
          {
            "targetType": "SINGLE_APP",
            "singleApp": {
              "packageName": "com.google.android.webview"
            }
          }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}

Mehrere Regeln für alle Aktualisierungsziele kombinieren

Da Regeln der Reihe nach ausgewertet werden, können Sie mehrere Regeln kombinieren, um Updates während bestimmter Zeitfenster zu blockieren und Updates außerhalb dieser Zeitfenster zu erzwingen.

Im folgenden Beispiel werden zwei sequenzielle Regeln auf die vier Kategorieziele (OS_UPDATE_WITH_API_LEVEL_CHANGE, OS_UPDATE_WITHOUT_API_LEVEL_CHANGE, GOOGLE_SYSTEM_SERVICES und GOOGLE_PLAY_SYSTEM_UPDATE) angewendet:

1. Alle Updates während der Geschäftszeiten (Montag bis Freitag, 09:00 bis 17:00 Uhr) blockieren.
2. Außerhalb der Öffnungszeiten werden Updates erzwungen, die seit bis zu 7 Tagen verfügbar sind.

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "Block Policy - rule1",
        "targets": [
          { "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE" },
          { "targetType": "OS_UPDATE_WITHOUT_API_LEVEL_CHANGE" },
          { "targetType": "GOOGLE_SYSTEM_SERVICES" },
          { "targetType": "GOOGLE_PLAY_SYSTEM_UPDATE" }
        ],
        "predicate": {
          "daysOfWeek": [
            "MONDAY",
            "TUESDAY",
            "WEDNESDAY",
            "THURSDAY",
            "FRIDAY"
          ],
          "timeOfDayLowerBound": { "hours": 9 },
          "timeOfDayUpperBound": { "hours": 17 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      },
      {
        "id": "Force Policy - rule2",
        "targets": [
          { "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE" },
          { "targetType": "OS_UPDATE_WITHOUT_API_LEVEL_CHANGE" },
          { "targetType": "GOOGLE_SYSTEM_SERVICES" },
          { "targetType": "GOOGLE_PLAY_SYSTEM_UPDATE" }
        ],
        "predicate": {
          "updateAgeUpperBound": "604800s"
        },
        "outcome": {
          "outcomeType": "FORCE"
        }
      }
    ]
  }
}

Updates bis zu einem bestimmten Datum einschränken

Mit dateLowerBound und dateUpperBound können Sie Updates innerhalb eines bestimmten Kalenderzeitraums in der lokalen Zeitzone des Geräts einschränken oder zulassen. Mit der folgenden Regel werden Updates für die vier Kategorieziele bis zum 14. März 2026 blockiert:

{
  "unifiedUpdatePolicy": {
    "rules": [
      {
        "id": "block_until_date",
        "targets": [
          { "targetType": "OS_UPDATE_WITH_API_LEVEL_CHANGE" },
          { "targetType": "OS_UPDATE_WITHOUT_API_LEVEL_CHANGE" },
          { "targetType": "GOOGLE_SYSTEM_SERVICES" },
          { "targetType": "GOOGLE_PLAY_SYSTEM_UPDATE" }
        ],
        "predicate": {
          "dateUpperBound": { "year": 2026, "month": 3, "day": 14 }
        },
        "outcome": {
          "outcomeType": "BLOCK"
        }
      }
    ]
  }
}