사용자 계정 구현

Android Enterprise 등록에는 관리 Google Play 계정과 관리 Google 계정이라는 두 가지 기본 사용자 ID 유형이 있습니다. 관리 Google Play 계정은 기기 중심이므로 특정 사용자의 Google ID에 연결되지 않습니다. 반면 관리 Google 계정은 사용자의 회사 Google ID에 연결되어 기기에서 사용자가 로그인 상태를 유지하도록 하여 사용자 환경을 개선합니다.

관리 Google Play 계정은 표준으로 사용되었습니다. 하지만 이제 Google은 모든 새로운 개발에서 관리 Google 계정을 기본적으로 만드는 개선된 등록 흐름을 사용하도록 권장합니다.

이 문서의 끝부분에 이전 구현에 관한 안내가 제공되지만 모든 새로운 개발은 여기에 자세히 설명된 새로운 등록 흐름을 따라야 합니다.

개요

개선된 기기 등록 흐름은 여러 새로운 구성요소를 활용하고 맞춤 기기 정책 컨트롤러 (DPC)가 구현되는 방식을 변경하여 기기 설정을 간소화합니다. 이 새로운 접근 방식에서는 기기 준비 및 사용자 등록 기능을 실행하기 위해 맞춤 DPC 솔루션을 Android Management API (AMAPI) SDK 및 Android Device Policy와 통합해야 합니다.

AMAPI SDK는 기기 자체에서 Android Device Policy와 상호작용하는 데 필요한 API를 제공합니다. 서버 측에서 엔터프라이즈 모바일 관리 (EMM) 솔루션은 Play EMM API를 사용하여 기기 등록 프로세스를 시작하는 데 필요한 등록 토큰을 생성합니다.

이제 Android Device Policy 애플리케이션이 기기 측 작업을 처리하는 데 중심적인 역할을 합니다. AMAPI SDK는 기기에서 설치 및 필요한 업데이트를 관리하는 데 사용됩니다. Android Device Policy는 사용자 인증 흐름도 인수하여 사용자 인증을 직접 처리하고 사용자의 ID를 EMM에 제공합니다. Google에서 어떤 이유로든 사용자를 인증할 수 없는 경우 새 관리 Google Play 계정이 생성되어 대체 수단으로 기기에 추가됩니다.

이 새로운 등록 흐름의 핵심은 Google 서비스에 대한 기기의 액세스를 관리하는 것입니다. 기본적으로 기기는 제한된 상태로 시작되며 기기가 규정을 준수하면 EMM이 액세스를 사용 설정하는 데 중요한 역할을 합니다.

API 통합

시작하기 전에 Play EMM API 클라이언트와 AMAPI SDK의 최신 버전을 사용하고 있는지 확인하세요.

등록 구현 가이드

이 가이드에서는 등록을 구현하는 데 필요한 단계를 제공합니다. 환경 준비, 다양한 등록 방법 처리, 기기 수명 주기 관리를 다룹니다.

환경 준비

계정 설정을 시작하기 전에 기기 환경을 준비해야 합니다. 이 준비에는 Play 스토어를 최신 버전으로 업데이트하고 Android Device Policy(com.google.android.apps.work.clouddpc)를 기기에 자동으로 설치하는 작업이 포함됩니다. Android Device Policy 설치는 계정 설정 프로세스의 중요한 구성요소를 포함하므로 필수적입니다. EMM은 환경을 수동으로 준비할 필요가 없습니다. 대신 에 문서화된 대로 EnvironmentClient를 사용하고 제공된 코드 샘플을 준수해야 합니다.

샘플 코드

AccountSetup API를 사용하여 기기에 직장 계정을 추가하려면 먼저 DPC에서 기기 환경이 준비되었는지 확인해야 합니다.

  • EnvironmentClientFactory 를 사용하여 EnvironmentClient 를 인스턴스화하고 prepareEnvironment 또는 prepareEnvironmentAsync를 호출합니다.

    val notificationReceiverServiceName = ComponentName(context,
NotificationReceiver::class.java)

// An EMM should implement android.app.admin.DeviceAdminReceiver and use that
// class to instantiate a ComponentName

val admin = ComponentName(this, com.example.dpc.DeviceAdminReceiver::class.java)

EnvironmentClientFactory.create(context)
    .prepareEnvironment(
        PrepareEnvironmentRequest.builder()
            .setRoles(
                listOf(
                    Role.builder().setRoleType(
                        Role.RoleType.DEVICE_POLICY_CONTROLLER
                    ).build()
                )
            )
    .setAdmin(admin)
            .build(),
          notificationReceiverServiceName,
        )

[Proceed with AccountSetup]

애플리케이션이 설치되거나 업데이트되어 올바른 작업 환경을 확인할 수 있으므로 이 작업은 몇 초 또는 몇 분이 걸릴 수 있습니다. Google은 이 프로세스를 백그라운드에서 최대한 빨리 시작하고 사용자가 기다리는 동안 적절한 UI를 표시하는 것이 좋습니다. 작업이 완료되면 기기에서 DPC가 AccountSetup API를 사용할 수 있습니다.

등록 흐름

EMM은 모든 기기에서 users.generateAuthenticationToken() 및 users.insert() 사용을 중단해야 합니다. 대신 EMM은 기기 내 API를 호출하여 최종 사용자 인증을 실행해야 합니다. 새 API는 userId 및 email 을 DPC에 반환합니다. Google에서 사용자를 인증할 수 없는 경우 관리 Google Play 계정이 생성되어 기기에 추가됩니다. 이 경우 Google은 해당 계정의 userId 를 반환합니다.

이제 Google은 인증 API에 전달해야 하는 등록 토큰 사용을 도입합니다. EMM은 토큰을 만드는 시점과 방법을 결정하며 기존 등록 페이로드 (예: QR 코드 또는 제로터치 구성)의 일부가 될 수 있습니다.

기존 등록 토큰의 예외

일부 고객은 만료일이 긴 등록 토큰을 사용하여 등록을 반복합니다. 이러한 기존 워크플로가 중단되지 않도록 하려면 'Google을 사용하여 인증' 요구사항이 처음 사용 설정되기 전에 생성된 토큰은 새 로그인 메시지에서 제외됩니다. 이러한 이전 토큰은 이전과 같이 계속 작동하므로 사용자는 Google 인증 프로세스를 거치지 않고 기기를 등록할 수 있습니다. 하지만 Google 인증 요구사항이 처음 사용 설정된 후에 생성된 토큰은 새 인증 규칙을 따릅니다. 즉, 이러한 최신 토큰을 사용하는 기기에서는 IT 관리자가 선택한 설정에 따라 사용자를 인증해야 합니다.

Google은 요청 시 토큰을 만들고 변경사항을 최소화하기 위해 관리 Google Play 계정의 기존 API를 새 API로 대체하는 것이 좋습니다.

이전 API와의 일반적인 DPC 통합
그림 1. 이전 API와의 일반적인 DPC 통합
사용자 없는 기기를 위한 새로운 API를 사용한 DPC 통합 예
그림 2. 사용자가 없는 기기를 위한 새 API와의 DPC 통합 예
사용자 기기를 위한 새로운 API를 사용한 DPC 통합 예
그림 3. 사용자 기기를 위한 새 API와의 DPC 통합 예

개선된 맞춤 DPC 등록 흐름에는 다음 단계가 포함됩니다.

중요한 초기 기기 상태: 맞춤 DPC로 기기를 등록할 때 기기에 추가된 Google 계정은 사용 중지됨 상태로 시작됩니다. 즉, Google Play를 비롯한 Google 서비스에 대한 액세스가 처음에는 제한됩니다.

이 기본 '사용 중지됨' 상태와 이후에 EMM이 기기를 규정 준수 상태로 표시해야 하는 요구사항 (예: Devices.SetState 호출)은 다음과 같은 조건에서만 적용됩니다.

  1. 조직에서 Google을 통해 도메인 소유권을 확인했습니다.
  2. IT 관리자가 Google 관리 콘솔 내에서 사용자의 특정 조직 단위 (OU)에 대해 서드 파티 Android 모바일 관리를 명시적으로 사용 설정했습니다.
  1. 등록 토큰 만들기: EMM은 Play EMM API를 사용하여 등록 토큰을 만듭니다.
  2. 환경 준비: 맞춤 DPC는 환경 준비 흐름 을 사용하여 기기가 등록 준비가 되었는지 확인합니다.
  3. 등록 시작: 맞춤 DPC는 등록 토큰을 전달하여 AMAPI SDK에서 startAccountSetup API를 호출합니다. 참고: 이 API를 호출하기 전에 DPC는 기기 소유자 또는 프로필 소유자여야 합니다.
  4. Google 인증 활동 실행: 필요한 경우 맞춤 DPC는 launchAuthenticationActivity API를 AMAPI SDK에서 호출하여 AccountSetupAttempt를 전달합니다. 이렇게 하면 Google 인증 활동이 시작되고 인증이 완료되면 사용자가 맞춤 DPC로 돌아갑니다. 사용자는 이 프로세스를 건너뛸 수도 있습니다. 이 경우 관리 Google Play 계정이 기기에 추가됩니다. 이 옵션은 googleAuthenticationOptions를 사용하여 구성할 수 있습니다.
  5. 등록 완료: AMAPI SDK는 등록 결과를 맞춤 DPC에 알립니다.
  6. Google 서비스 사용 설정: 맞춤 DPC가 기기를 완전히 프로비저닝하고 모든 엔터프라이즈 정책을 준수하는지 확인하면 EMM 서버는 해야 합니다. Devices.setState()를 호출하여 accountState 매개변수를 "enabled"로 설정
  • 이것이 중요한 이유: 이 API 호출은 기기를 규정 준수 상태로 표시합니다.
  • 호출하지 않을 경우의 결과: 이 Devices.setState(setStateRequest) 호출이 없으면 계정이 '사용 중지됨' 상태로 유지됩니다. 사용자는 Google Play에 액세스하여 앱을 설치하거나 업데이트할 수 없으며 계정 인증이 필요한 다른 Google 서비스에도 액세스할 수 없습니다.

기기 상태 및 서비스 액세스 관리

초기 등록 후 EMM은 규정 준수 상태에 따라 Google 서비스에 대한 기기의 액세스를 유지해야 합니다.

서비스 중단 처리: BAD_DEVICE_MANAGEMENT

Google 서비스에 대한 기기의 액세스가 차단되면 Google Play 서비스(GMSCore)는 작업이 com.google.android.gms.auth.BAD_DEVICE_MANAGEMENT인 인텐트를 브로드캐스트합니다. 이러한 상황은 여러 가지 이유로 발생할 수 있습니다.

  • EMM이 초기 기기 등록 후 Devices.setState('enabled')를 호출하지 않았습니다.
  • 기기가 더 이상 EMM 정책을 준수하지 않으며 EMM이 아직 다시 사용 설정하지 않았습니다.
  • EMM이 accountState를 '사용 중지됨'으로 설정하여 Devices.setState()를 호출하여 기기 상태를 명시적으로 '사용 중지됨'으로 설정했습니다. 이는 보안 문제, 관리 작업 또는 기타 이유 때문일 수 있습니다.

이 인텐트에는 "ThirdPartyDeviceManagementRequired"와 같은 상태 코드가 포함됩니다.

맞춤 DPC는 이 BAD_DEVICE_MANAGEMENT 인텐트를 수신 대기하는 BroadcastReceiver를 구현해야 합니다.

이 브로드캐스트를 수신하면 DPC는 다음을 실행해야 합니다.

  1. 규정 준수 재평가: 기기가 EMM에서 설정한 모든 정책을 충족하는지 확인합니다.
  2. 조치 취하기:

이 메커니즘을 사용하면 기기가 Google 서비스에 대한 액세스 권한을 잃는 상황을 감지하고 복구할 수 있습니다.

엔터프라이즈 인수 고려사항

조직의 계정 유형이 변경될 수 있습니다 (예: ManagedGoogleDomainType.TYPE_TEAM에서 ManagedGoogleDomainType.TYPE_DOMAIN으로 변경). 이 프로세스는 일반적으로 EMM 결합을 중단하지 않지만 때로는 기기에서 Google 서비스 액세스를 중단할 수 있습니다.

EMM은 사용자가 알려진 인수 이벤트 후에 서비스 액세스 문제를 신고하는 경우 기기가 EMM 정책을 준수하는 것으로 보이더라도 새 고객 구조에서 기기의 상태를 Google 백엔드와 다시 동기화하기 위해 Devices.setState()를 호출해야 할 수 있다는 점을 알고 있어야 합니다. 인수 후 모든 기기에 대한 사전 호출은 일반적으로 필요하지 않지만 액세스 문제를 해결하는 데 중요한 도구입니다.

계정 설정 - 샘플 코드

  1. 계정 설정 시도를 시작하려면 호출 앱에서 AccountSetupClient 를 사용하고 startAccountSetup() 또는 startAccountSetupFuture() 메서드를 호출할 수 있습니다. 구현 예는 다음 코드 샘플을 참고하세요.

    // Create AccountSetupClient
val client = AccountSetupClientFactory.create(
    this,
    activityResultRegistry
)
lifecycle.addObserver(client.lifecycleObserver)

// Create adminComponent
val notificationReceiver = ComponentName(this, AccountSetupNotificationReceiver::class.java)
// Helper method to get enrollment token created with Play EMM API
val enrollmentToken = getEnrollmentToken()
val request =
    StartAccountSetupRequest.builder()
        .setEnrollmentToken(enteredText)
        .setNotificationReceiverServiceComponentName(notificationReceiver)
        .setAdminComponentName(
            ComponentName(this, com.example.dpc.DeviceAdminReceiver::class.java))
        .build()
try {
    val accountSetupAttempt = client.startAccountSetup(request)
    // handle attempt
} catch (e: Exception) {
    // handle exception
}

  2. AccountSetupListener 인터페이스를 구현하고 수신된 상태 업데이트를 처리하는 방법을 구현합니다.

  3. NotificationReceiverService 를 확장하고 2단계에서 만든 AccountSetupListener 인스턴스를 getAccountSetupListener()를 재정의하여 제공합니다.

    // Handles account setup changes
class AccountSetupNotificationReceiver :
      NotificationReceiverService(),
      AccountSetupListener {

    override fun getAccountSetupListener(): AccountSetupListener = this

    override fun onAccountSetupChanged(accountSetupAttempt:
  AccountSetupAttempt) {

        when (accountSetupAttempt.state.kind) {
            StateCase.ADDED_ACCOUNT -> {
                val enterpriseAccount = state.addedAccount()
                val userId = enterpriseAccount.userId
                val deviceId = enterpriseAccount.deviceId
                // Handle account added state.

                // IMPORTANT: The device/account is now added but *DISABLED*
                // for Google services. Your EMM backend MUST be notified to
                // perform policy compliance checks and then call Devices.setState()
                // to activate Google Play and other services.

            }
            StateCase.AUTHENTICATION_ACTIVITY_LAUNCH_REQUIRED -> {
                val request = LaunchAuthenticationActivityRequest.builder()
            .setAccountSetupAttempt(accountSetupAttempt)
            .build();
                // Send the attempt to the foreground activity to call:
                accountSetupClient.launchAuthenticationActivity(request)
            }
            StateCase.ACCOUNT_SETUP_ERROR -> {
                // Handle error state.
                val failureReason = state.accountSetupError().failureReason
            }
            else -> {
                // Handle unknown account setup attempt state.
            }
        }
    }
}

  4. 확장된 NotificationReceiverService 클래스를 AndroidManifest.xml에 추가하고 내보내는지 확인합니다.

      <application>
    <service
        android:name = ".accountsetup.AccountSetupNotificationReceiver"
        android:exported = "true" />
  </application>

    앱이 SDK 30 이상을 타겟팅하는 경우 ADP와 상호작용하도록 지정하려면 AndroidManifest.xml에 queries 요소가 필요합니다.

      <queries>
    <package android:name="com.google.android.apps.work.clouddpc" />
  </queries>

테스트 안내

이 섹션에서는 구현을 테스트하기 위한 가이드라인 및 권장사항을 제공합니다.

PrepareEnvironment 테스트

  1. 기기의 현재 상태 가져오기: EMM이 다음을 실행합니다.

    adb shell dumpsys package com.google.android.apps.work.clouddpc | grep versionName

    기기에 있는 Android Device Policy의 버전을 가져옵니다. Android Device Policy가 설치되어 있지 않으면 빈 출력이 예상됩니다.

  2. PrepareEnvironment 통합: 맞춤 DPC는 올바른 요청을 전달하여 AMAPI SDK에서 prepareEnvironment API를 호출합니다.

  3. PrepareEnvironment 결과 대기: 맞춤 DPC는 prepareEnvironment 가 완료될 때까지 기다립니다.

  4. PrepareEnvironment 성공 확인: 완료되면 EMM이 다시 실행됩니다.

    adb shell dumpsys package com.google.android.apps.work.clouddpc | grep versionName

    이번에는 Android Device Policy 버전이 1단계보다 높아야 합니다.

Google 계정 인증 테스트

  1. 테스트 엔터프라이즈 만들기: EMM은 테스트 도메인 Google 엔터프라이즈 를 테스트 EMM에 연결하고 enterprises.generateSignupUrl를 사용합니다.
  2. Google 인증 사용 설정: EMM은 Google 관리 콘솔의 안내에 따라 테스트 엔터프라이즈에 Google 인증을 사용 설정합니다.
  3. 등록 토큰 만들기: EMM은 유형이 userDevice 인 Play EMM API를 사용하여 등록 토큰을 만듭니다.
  4. 등록 시작: 맞춤 DPC는 등록 토큰을 전달하여 AMAPI SDK에서 startAccountSetup API를 호출합니다.
  5. 필요한 활동 실행: AMAPI SDK는 사용자를 인증하기 위해 활동을 실행해야 한다고 맞춤 DPC에 알립니다.
  6. 사용자 인증: 맞춤 DPC는 launchAuthenticationActivity 을 호출하여 활동을 시작합니다. 사용자는 관리 Google 계정(1단계에서 만든 엔터프라이즈의 일부)으로 인증합니다.
  7. 등록 완료: AMAPI SDK는 등록 결과를 맞춤 DPC에 알립니다.

Google 인증 건너뛰기 테스트

이전에 설명한 설정을 사용합니다.

이번에는 7단계에서 사용자가 Google 계정으로 인증하는 대신 건너뛰기 를 누릅니다. 등록이 기기의 서비스 계정 (즉, AuthenticationType 이 익명임)으로 완료됩니다.

사용자가 없는 기기 테스트

개선된 맞춤 DPC 등록 흐름은 Google 인증이 사용 중지된 경우 다음 단계를 활용합니다.

  1. 테스트 엔터프라이즈 만들기: 이전에 만든 것과 동일한 엔터프라이즈일 수 있습니다.
  2. 등록 토큰 만들기: EMM은 유형이 userlessDevice 인 Play EMM API를 사용하여 등록 토큰을 만듭니다.
  3. 등록 시작: 맞춤 DPC는 등록 토큰을 전달하여 AMAPI SDK에서 startAccountSetup API를 호출합니다.
  4. 등록 완료: AMAPI SDK는 등록 결과를 맞춤 DPC에 알립니다.