Cấp phép thiết bị

Có một số cách để cấp phép cho thiết bị. Của khách hàng của bạn kinh doanh sẽ xác định phương thức cấp phép mà bạn muốn sử dụng.

Thông tin cơ bản về cấp phép thiết bị

Các trường hợp triển khai cấp phép thiết bị mà khách hàng của bạn muốn dịch vụ hỗ trợ (chẳng hạn như sử dụng thiết bị cá nhân hoặc do công ty sở hữu) xác định phương thức hoạt động mà bạn sẽ sử dụng (chẳng hạn như chế độ chủ sở hữu thiết bị hoặc chế độ chủ sở hữu hồ sơ). Tương tự, các phương thức hoạt động và bản phát hành Android bạn cần hỗ trợ để xác định cấp phép nào mà bạn sẽ triển khai.

Trường hợp triển khai

Trong trường hợp triển khai do công ty sở hữu, doanh nghiệp sở hữu và kiểm soát toàn bộ các thiết bị mà nhân viên sử dụng. Thông thường, các tổ chức triển khai thiết bị thuộc sở hữu của công ty khi họ cần giám sát và quản lý chặt chẽ toàn bộ thiết bị.

Các công ty hỗ trợ tình huống triển khai BYOD cho phép nhân viên mang thiết bị thuộc sở hữu cá nhân đến nơi làm việc và sử dụng các thiết bị đó để truy cập các ứng dụng và thông tin đặc quyền của công ty.

Chế độ hoạt động

Chế độ chủ sở hữu thiết bị hỗ trợ các hoạt động triển khai do công ty sở hữu hoạt động. Trong Android, ứng dụng quản lý của bạn được gọi là chính sách thiết bị bộ điều khiển (DPC). DPC thực thi các chính sách trên thiết bị chạy Android và khi đóng vai trò là chủ sở hữu thiết bị, ứng dụng này sẽ quản lý toàn bộ thiết bị. Với tư cách là chủ sở hữu thiết bị, DPC có thể thực hiện các thao tác trên toàn thiết bị, chẳng hạn như định cấu hình toàn bộ thiết bị kết nối, định cấu hình cài đặt chung và tiến hành đặt lại về trạng thái ban đầu.

Chế độ chủ sở hữu hồ sơ của hoạt động. Thông qua DPC, doanh nghiệp cho phép sử dụng thiết bị cá nhân cho công việc bằng cách thêm hồ sơ công việc vào tài khoản người dùng chính trên thiết bị. Công việc hồ sơ được liên kết với người dùng chính, nhưng dưới dạng một hồ sơ riêng biệt. Như chủ sở hữu hồ sơ, DPC chỉ quản lý hồ sơ công việc trên thiết bị và quyền kiểm soát hạn chế bên ngoài hồ sơ công việc.

Phương thức cấp phép của chủ sở hữu thiết bị

Bạn phải cung cấp chế độ hoạt động của chủ sở hữu thiết bị trong quá trình thiết lập ban đầu của một thiết bị mới hoặc sau khi đặt lại về trạng thái ban đầu. Không thể cấp phép chế độ chủ sở hữu thiết bị trên một thiết bị tại bất kỳ thời điểm nào khác.

Tuỳ thuộc vào trường hợp sử dụng, có 2 loại phương thức cấp phép chính cho chế độ chủ sở hữu thiết bị cấp phép.

  • Trong quy trình dựa trên thiết bị, quản trị viên CNTT có thể sử dụng NFC để cung cấp số lượng thiết bị. Bạn có thể sử dụng quy trình này cho Tài khoản Google Play được quản lý hoặc Google Workspace trong trường hợp cụ thể.
  • Trong quy trình hướng đến người dùng, các lựa chọn phụ thuộc vào việc tổ chức của bạn sử dụng Google Workspace.
    • Trong một trường hợp Google Workspace, người dùng thêm Tài khoản Google của họ trong quá trình thiết lập thiết bị ban đầu và DPC phải hướng dẫn người dùng thông qua các bước thiết lập chủ sở hữu thiết bị. Quy trình do người dùng định hướng có thể giúp người dùng cuối thiết bị mới và cũng là một giải pháp thay thế khi thiết bị không hỗ trợ NFC.
    • Khi một tổ chức không dùng Google Workspace, bạn nên sử dụng tài khoản Google Play được quản lý.

Lưu ý: Nếu bạn giới hạn việc phân phối ứng dụng ở một số quốc gia cụ thể tại Chơi, những hạn chế này sẽ bị bỏ qua trong quá trình cấp phép cho chủ sở hữu thiết bị. DPC sẽ được tải xuống ngay cả khi thiết bị không ở quốc gia được nhắm đến.

Phương thức cấp phép của chủ sở hữu hồ sơ

Bạn nên sử dụng phương pháp đề xuất để cung cấp chế độ hoạt động của chủ sở hữu trang doanh nghiệp phụ thuộc về việc tổ chức có sử dụng Google Workspace hay không.

  • Trong trường hợp Google Workspace, phương thức được đề xuất là quy trình hướng đến người dùng, trong đó người dùng thêm Tài khoản Google của người dùng, và DPC sẽ hướng dẫn người dùng thực hiện các bước để thiết lập chủ sở hữu trang doanh nghiệp.
  • Khi một tổ chức không sử dụng Google Workspace, phương thức được đề xuất là phương pháp Tài khoản Google Play được quản lý.

Phương pháp truyền thống, trong đó người dùng được hướng dẫn cài đặt DPC theo cách thủ công cũng được hỗ trợ. Tính năng này dựa vào cách người dùng tải DPC của bạn xuống từ Google Play và cài đặt nó, và sau đó DPC sẽ hướng dẫn người dùng qua phần còn lại của quy trình thiết lập chủ sở hữu hồ sơ.

Sự khác biệt chính về cấp phép giữa các phiên bản Android

Tình huống triển khai Phương thức hoạt động Phương thức cấp phép 5.0, 5.1 6.0 7.0 8.0 11 12+
Thuộc quyền sở hữu của công ty Chủ sở hữu thiết bị Mã QR ✓ ✓ ✓ ✓
Tài khoản Managed Google Play ✓ ✓ ✓ ✓ ✓
Tài khoản Google ✓ ✓ ✓ ✓ ✓
NFC ✓ ✓ ✓ ✓ ✓ ✓
Thiết lập tự động ✓ ✓ ✓
Thuộc quyền sở hữu của công ty Chủ sở hữu hồ sơ Mã QR ✓ ✓
Tài khoản Managed Google Play ✓ ✓
Tài khoản Google ✓ ✓
Giao tiếp phạm vi gần (NFC) ✓
Thiết lập tự động ✓ ✓
Sử dụng thiết bị cá nhân Chủ sở hữu hồ sơ Tài khoản Managed Google Play ✓ ✓ ✓ ✓ ✓ ✓
Tài khoản Google 5.11 ✓ ✓ ✓ ✓ ✓
Cài đặt DPC thủ công ✓ ✓ ✓ ✓ ✓ ✓
Thiết lập tự động ✓ ✓ ✓

Những điều cần cân nhắc chung khi triển khai

Dưới đây là một số điều cần lưu ý khi bạn viết DPC, bất kể bạn triển khai chế độ hoạt động nào.

Khả năng tương thích của Dịch vụ Google Play

Chiến lược phát hành đĩa đơn Hướng dẫn về APK của Dịch vụ Google Play hướng dẫn nhà phát triển kiểm tra phiên bản của Dịch vụ Google Play trước thực hiện giao dịch API. Do cố gắng cập nhật Dịch vụ Google Play gây ra sự gián đoạn nghiêm trọng trong quá trình thiết lập thiết bị, DPC của bạn không hãy thử cập nhật Dịch vụ Google Play trước khi quá trình cấp phép thiết bị hoàn tất.

Các điểm chính về khả năng tương thích của DPC với Dịch vụ Google Play là:

  • DPC phải chạy bằng dịch vụ Google Play đi kèm với thiết bị cụ thể.
  • DPC không nên dựa vào tính năng mới trong các phiên bản sau này của Google Play các dịch vụ sẵn có tại thời điểm cấp phép thiết bị.

Khi cấp phép thiết bị hoàn tất, DPC có thể nhắc người dùng cập nhật Các dịch vụ của Google Play để DPC có thể sử dụng các tính năng mới nhất. Tuy nhiên, nếu một không thể sử dụng tính năng này vì lý do nào đó, DPC phải dễ dàng quay lại phiên bản đi kèm thiết bị.

Truy xuất thông tin chi tiết về thiết bị

Do độ trễ truyền tải, có thể mất tới 2 phút mới có cuộc gọi đến devices.get dành cho thiết bị mới đăng ký sẽ trả về thông tin chi tiết về thiết bị.

Nếu quy trình làm việc của bạn cần có thông tin chi tiết trước khi người dùng cuối có thể sử dụng thiết bị hoặc hồ sơ công việc, bạn nên sử dụng màn hình tiến trình trong DPC và đợi đến lệnh gọi thành công.

Những điều cần cân nhắc khi triển khai chế độ chủ sở hữu trang doanh nghiệp

Dưới đây là một số điều cần lưu ý khi bạn viết DPC để triển khai chủ sở hữu hồ sơ phương thức hoạt động.

Xoá hoặc vô hiệu hoá DPC cá nhân

Khi cấp phép hoạt động cho chế độ hoạt động của chủ sở hữu hồ sơ, DPC sẽ bắt đầu chạy trong hồ sơ cá nhân và bắt đầu quy trình tạo hồ sơ công việc. Sau khi hồ sơ công việc được tạo, DPC cũng sẽ chạy bên trong công việc hồ sơ. DPC trong hồ sơ công việc hoàn tất quá trình cấp phép. Tại điểm đó, DPC trong hồ sơ cá nhân sẽ tự vô hiệu hoá chính nó hoặc thiết bị nên xoá nội dung đó.

Người dùng xoá DPC cá nhân

  1. DPC cá nhân lắng nghe ACTION_MANAGED_PROFILE_PROVISIONED. (Đối với các thiết bị Android 5.1, DPC cá nhân nên lắng nghe ACTION_MANAGED_PROFILE_ADDED).
  2. DPC cá nhân bắt đầu yêu cầu gỡ cài đặt ACTION_UNINSTALL_PACKAGE. Thao tác này sẽ nhắc người dùng gỡ cài đặt DPC cá nhân. Dành cho người dùng tốt nhất quá trình gỡ cài đặt sẽ diễn ra trong luồng cấp phép.

DPC cá nhân tự vô hiệu hoá

  1. DPC cá nhân lắng nghe ACTION_MANAGED_PROFILE_PROVISIONED. (Đối với các thiết bị Android 5.1, DPC cá nhân nên lắng nghe ACTION_MANAGED_PROFILE_ADDED).
  2. Nếu có thể, DPC cá nhân phải huỷ bỏ đặc quyền của quản trị viên thiết bị trước khi tự tắt.
  3. DPC cá nhân khởi tạo một setApplicationEnabledSetting vô hiệu hoá yêu cầu bằng COMPONENT_ENABLED_STATE_DISABLED .
  4. Người dùng có thể bật lại DPC cá nhân qua Google Play.

Những điều cần cân nhắc khi triển khai chế độ chủ sở hữu thiết bị

Dưới đây là một số điều cần xem xét khi bạn viết DPC để triển khai chế độ hoạt động của chủ sở hữu thiết bị.

Thiết bị phải là thiết bị mới hoặc được đặt lại về trạng thái ban đầu

Bạn phải cung cấp chế độ hoạt động của chủ sở hữu thiết bị trong quá trình thiết lập ban đầu của một thiết bị mới hoặc sau khi đặt lại về trạng thái ban đầu. Không thể dùng Chế độ chủ sở hữu thiết bị được cấp phép trên thiết bị vào bất kỳ thời điểm nào khác.

Chế độ chủ sở hữu thiết bị cho phép DPC kiểm soát hoàn toàn thiết bị. Nếu là cấp phép chế độ chủ sở hữu thiết bị sau lần thiết lập ban đầu được cho phép:

  • Phần mềm độc hại có thể tạo ra chủ sở hữu thiết bị và chiếm đoạt thiết bị.
  • Các vấn đề về quyền riêng tư có thể xảy ra nếu đã có một số dữ liệu người dùng hoặc ứng dụng trên thiết bị.

Chỉ thiết lập chế độ chủ sở hữu thiết bị trên thiết bị thuộc quyền sở hữu của công ty

Bạn chỉ nên cung cấp chế độ chủ sở hữu thiết bị trên các thiết bị mà bạn xác định là thuộc sở hữu của công ty của khách hàng. Bạn có thể xác minh điều này bằng cách phát hiện một mã nhận dạng thiết bị duy nhất (chẳng hạn như số sê-ri) hoặc bằng cách sử dụng mã nhận dạng nhóm tài khoản được phép đăng ký thiết bị thông qua EMM của bạn .

Nếu không thể xác minh quyền sở hữu của công ty đối với một thiết bị, bạn phải tạo một thiết bị dự phòng để chế độ chủ sở hữu thiết bị không được cấp phép nhầm. Ví dụ: bạn có thể nhắc người dùng thiết bị xác nhận hoặc thực hiện một hành động rõ ràng nào đó trước khi cấp phép cho chế độ chủ sở hữu thiết bị.

Bật ứng dụng hệ thống

Khi DPC cung cấp hồ sơ công việc, mọi ứng dụng hệ thống không có biểu tượng trình chạy được giả định là quan trọng đối với thiết bị và tự động được phép chạy trong hồ sơ công việc. Những ứng dụng hệ thống có biểu tượng trình chạy được coi là không bắt buộc và bạn có thể quyết định xem có bật chúng hay không.

Bật ứng dụng hệ thống thông qua Google Play

Người dùng có thể bật các ứng dụng hệ thống bằng Google Play để tải bản cập nhật ứng dụng khi tải xuống khi có bản cập nhật ứng dụng.

Bật ứng dụng hệ thống bằng API khung Android

Nếu bạn muốn người dùng thấy ứng dụng hệ thống ngay khi họ bắt đầu sử dụng thiết bị, bật ứng dụng hệ thống trong quá trình cấp phép thiết bị. DPC cho phép ứng dụng hệ thống theo tên gói hoặc theo ý định sử dụng DevicePolicyManager.enableSystemApp().

Có một số cách để xác định ứng dụng hệ thống mà bạn muốn bật và trình bày trong bảng điều khiển EMM của bạn cho quản trị viên CNTT.

Tạo danh mục ứng dụng hệ thống

Trong phương thức này, mỗi thiết bị sẽ xác định ứng dụng nào có trên thiết bị và gửi dữ liệu này trở lại bảng điều khiển EMM. Bảng điều khiển EMM (quản lý thiết bị di động doanh nghiệp) sẽ tự động hiển thị thông tin này khi tạo chính sách thiết bị, giúp quản trị viên CNTT quản lý ứng dụng trên cơ sở mỗi ứng dụng.

  1. Nếu hồ sơ công việc chưa được cấp phép trên thiết bị, hãy lấy một danh sách tất cả ứng dụng có biểu tượng trình chạy trên một thiết bị sử dụng queryIntentActivities():

    private List<ResolveInfo> getAppsWithLauncher() {
  Intent i = new Intent(Intent.ACTION_MAIN);
  i.addCategory(Intent.CATEGORY_LAUNCHER);
  return getPackageManager().queryIntentActivities(i, 0);
}

  2. Nếu hồ sơ công việc đã được cấp phép trên thiết bị, hãy lấy một danh sách tất cả ứng dụng trong hồ sơ công việc đang dùng PackageManager.GET_DISABLED_COMPONENTS và PackageManager.GET_UNINSTALLED_PACKAGES.

  3. Tìm ứng dụng hệ thống trong danh sách ứng dụng bằng cách kiểm tra FLAG_SYSTEM! cho biết liệu một ứng dụng có được cài đặt trong ảnh hệ thống của thiết bị hay không.

Ưu điểm:

  • Cung cấp cho quản trị viên CNTT thông tin tổng quan về các ứng dụng trên tất cả thiết bị.
  • Cung cấp quyền kiểm soát chi tiết đối với những ứng dụng được bật.

Nhược điểm:

  • Vì mỗi thiết bị có danh mục ứng dụng khác nhau nên rất khó để áp dụng một mô hình cấu hình chính sách duy nhất cho nhiều loại thiết bị.
  • Việc trình bày số lượng ứng dụng dành riêng cho nhà sản xuất thiết bị gốc (OEM) trong một một cách hiệu quả cho quản trị viên CNTT.

Phân loại các ứng dụng hệ thống theo chức năng

Khi một quản trị viên CNTT muốn bật ứng dụng hệ thống cho một nhóm thiết bị, họ chọn một ứng dụng chung chung dựa trên chức năng; ví dụ: "Hệ thống Trình duyệt". Sau đó, DPC sẽ cho phép tất cả các ứng dụng hệ thống thực hiện ý định đó.

Ưu điểm:

  • Hỗ trợ đơn giản, dựa trên chức năng cho quản trị viên CNTT.
  • Đảm bảo chức năng nhất quán trên nhiều thiết bị (ít nhất là cho các trường hợp sử dụng phổ biến).

Nhược điểm:

  • Giới hạn các ứng dụng hệ thống ở những ứng dụng được hỗ trợ trên tất cả các loại thiết bị.
  • Quản trị viên CNTT có thể muốn đẩy một phiên bản OEM của ứng dụng (chẳng hạn như Samsung®), nhưng không phải là trình duyệt khác (chẳng hạn như trình duyệt LG®).
  • Quản trị viên CNTT có thể không muốn phân phối nhiều ứng dụng, nhưng không thể ngăn chặn khi có nhiều trình xử lý ý định.

Chỉ hỗ trợ các ứng dụng hệ thống đã được phê duyệt

Bạn sẽ làm việc với OEM để xác định các gói OEM cụ thể và chỉ hỗ trợ những gói đó trong bảng điều khiển EMM. Thao tác này cũng cho phép bạn lập danh mục các cấu hình khác của ứng dụng OEM mà bạn sẽ không biết nếu không có Ứng dụng OEM không được lưu trữ trên Google Play.

Ưu điểm:

  • Đơn giản hoá quy trình tích hợp và loại bỏ các trường hợp hiếm gặp khó hiểu ở hai lựa chọn đầu tiên.
  • Bạn có thể lập danh mục các cấu hình được quản lý cho ứng dụng OEM và giới thiệu các cấu hình đó trong bảng điều khiển EMM (quản lý thiết bị di động doanh nghiệp) dành cho quản trị viên CNTT.
  • Thiết lập mối quan hệ chặt chẽ với OEM để hỗ trợ các thiết bị hàng đầu.

Nhược điểm:

  • Do đó, khó mở rộng hơn và giảm khả năng lựa chọn của người tiêu dùng.

Các trường hợp kiểm thử cho DPC

DPC kiểm thử là nguồn mở do Google cung cấp để thử nghiệm các tính năng dành cho doanh nghiệp trong ứng dụng DPC của bạn. DPC thử nghiệm có sẵn từ github hoặc Google Play. Bạn có thể sử dụng DPC kiểm thử để:

  • Mô phỏng các tính năng trong Android
  • Thiết lập và thực thi chính sách
  • Đặt các quy tắc hạn chế về ứng dụng và ý định
  • Thiết lập hồ sơ công việc
  • Thiết lập các thiết bị Android được quản lý hoàn toàn

Mặc dù mục đích thử nghiệm DPC chủ yếu là phương tiện để thử nghiệm doanh nghiệp của bạn cho Android, bạn cũng có thể sử dụng giải pháp này làm nguồn mã mẫu cho Android các tính năng AI mới.

Tuỳ chỉnh việc cấp phép

Trong quá trình cấp phép thiết bị, giao diện người dùng hệ thống sẽ hiển thị một màu mặc định trong thanh trạng thái và một biểu trưng mặc định ở đầu màn hình. Đặt màu tuỳ chỉnh và biểu trưng để chuyển đổi hình ảnh nhất quán giữa DPC và giao diện hệ thống hoặc cho phép quản trị viên làm như vậy qua bảng điều khiển EMM của bạn. Ví dụ: quản trị viên có thể tải biểu trưng của công ty lên hoặc tuỳ chỉnh giao diện màn hình hiển thị thông báo.

DPC của bạn thực thi các lựa chọn màu sắc và biểu trưng bằng cách sử dụng DevicePolicyManager.EXTRA_PROVISIONING_MAIN_COLOR và DevicePolicyManager.EXTRA_PROVISIONING_LOGO_URI ứng dụng khác.

Để đặt màu tùy chỉnh, hãy sử dụng EXTRA_PROVISIONING_MAIN_COLOR để đặt một số nguyên cho biết màu chủ đạo hiển thị trong thiết bị cấp phép. Đặt dữ liệu bổ sung (hằng số) vào một ý định bằng ACTION_PROVISION_MANAGED_PROFILE hoặc ACTION_PROVISION_MANAGED_DEVICE.

Để xem cách số nguyên được biểu thị, hãy xem Màu sắc. Để biết ví dụ, hãy xem MAIN_COLOR trong ứng dụng TestDPC.

Để đặt biểu trưng tùy chỉnh, hãy sử dụng EXTRA_PROVISIONING_LOGO_URI để đặt hình ảnh hiển thị ở đầu màn hình trong khi thiết bị cấp phép. Đặt dữ liệu bổ sung (hằng số) vào một ý định bằng ACTION_PROVISION_MANAGED_PROFILE hoặc ACTION_PROVISION_MANAGED_DEVICE. Đảm bảo hình ảnh có mật độ pixel hợp lý cho thiết bị.

Để biết ví dụ, hãy xem LOGO_URI trong ứng dụng TestDPC.

Phương thức dùng mã QR

Phương thức cấp phép bằng mã QR sẽ thiết lập và định cấu hình chế độ chủ sở hữu thiết bị bằng cách quét Mã QR từ trình hướng dẫn thiết lập. Mã QR chứa tải trọng của các cặp khoá-giá trị có tất cả thông tin cần thiết để DPC cung cấp một thiết bị.

Bảng điều khiển EMM (quản lý thiết bị di động doanh nghiệp) phải giúp quản trị viên CNTT tạo mã QR cho các thiết bị họ muốn cấp phép. Quản trị viên CNTT gửi mã QR cho người dùng cuối và người dùng cuối cấp phép cho thiết bị của họ bằng cách quét Mã QR.

Các trường hợp sử dụng để cấp phép bằng mã QR

Một số thiết bị không hỗ trợ NFC, chẳng hạn như máy tính bảng. Cấp phép bằng mã QR là phương thức thuận tiện để cung cấp một nhóm thiết bị được phân phối không hỗ trợ Công nghệ Giao tiếp phạm vi gần (NFC). Quản trị viên CNTT có thể gửi mã QR cho người dùng của họ để cho phép người dùng cấp phép.

Việc cấp phép bằng mã QR không yêu cầu danh tính trên Google, chẳng hạn như một miền mua qua Google hoặc Tài khoản Google. Các tổ chức sử dụng Android nhưng không sử dụng Google Workspace, không có danh tính Google.

Giống như NFC, tính năng cấp phép bằng mã QR cũng cho phép triển khai kiosk và sử dụng một lần trong đó Danh tính trên Google (hay bất kỳ danh tính nào) là không cần thiết hoặc không được mong muốn. Ví dụ: một thiết bị kiosk trong cửa hàng không thuộc về ai và không được có người dùng cuối nhận dạng.

Tạo mã QR

Mã QR hợp lệ để cấp phép bằng mã QR là Đối tượng JavaScript® được mã hoá UTF-8 Chuỗi ký hiệu (JSON). Bạn có thể đưa những thuộc tính này vào Mã QR hợp lệ:

Luôn bắt buộc

Bắt buộc nếu DPC chưa được cài đặt trên thiết bị

Nên dùng nếu thiết bị chưa kết nối Wi-Fi

Không bắt buộc

Mẫu này tạo một mã QR hợp lệ:

{
"android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":
"com.emm.android/com.emm.android.DeviceAdminReceiver",

"android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":
"gJD2YwtOiWJHkSMkkIfLRlj-quNqG1fb6v100QmzM9w=",

"android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION":
"https://path.to/dpc.apk",
    "android.app.extra.PROVISIONING_SKIP_ENCRYPTION": false,
    "android.app.extra.PROVISIONING_WIFI_SSID": "GuestNetwork",
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
        "dpc_company_name": "Acme Inc.",
        "emm_server_url": "https://server.emm.biz:8787",
        "another_custom_dpc_key": "dpc_custom_value"
    }
}

Quy trình cấp phép bằng mã QR

  1. Trình hướng dẫn thiết lập sẽ nhắc người dùng nhấn 6 lần vào Màn hình chào mừng. Chiến lược phát hành đĩa đơn phải thực hiện thao tác nhấn ở cùng một nơi trên màn hình.
  2. Trình hướng dẫn thiết lập nhắc người dùng kết nối với Internet để quá trình thiết lập có thể tải trình đọc mã QR xuống.
  3. Dịch vụ Google Play tải một mô-đun có chứa công nghệ nhận dạng mã QR công cụ tìm kiếm.
  4. Người dùng quét Mã QR do quản trị viên CNTT của họ cung cấp.
  5. Trình hướng dẫn thiết lập tải ứng dụng DPC của bạn xuống và bắt đầu chủ sở hữu thiết bị quá trình cấp phép đang sử dụng ACTION_PROVISION_MANAGED_DEVICE.

Phương pháp Tài khoản Managed Google Play

DPC có thể sử dụng phương thức cấp phép của Tài khoản Google Play được quản lý để thiết lập chế độ chủ sở hữu thiết bị hoặc chế độ chủ sở hữu hồ sơ. Phương thức cấp phép này được nhắm mục tiêu tại các tổ chức hiện không sử dụng Google Workspace.

Phương thức cấp phép của Tài khoản Google Play được quản lý sử dụng Thư viện hỗ trợ DPC. Thư viện ứng dụng này đảm bảo Managed Google Play hoạt động trơn tru Tài khoản. Việc này cũng duy trì khả năng tương thích với các bản cập nhật trong tương lai cho trình quản lý Quy trình cấp phép Tài khoản Google Play.

Điều kiện tiên quyết để cấp phép thiết bị

  • Mã doanh nghiệp được tạo và đăng ký bằng thông tin nhận dạng EMM (quản lý thiết bị di động doanh nghiệp) và EEA như được mô tả trong Tạo và đăng ký doanh nghiệp.
  • Bảng điều khiển EMM của bạn biết danh tính công ty của người dùng.
  • Người dùng có thể đăng nhập vào ứng dụng DPC bằng thông tin đăng nhập do EMM của bạn chấp nhận bảng điều khiển, thường là thông tin đăng nhập email của công ty.

Thiết lập chế độ chủ sở hữu trang doanh nghiệp

Bạn có thể cung cấp chế độ hoạt động của chủ sở hữu hồ sơ trên thiết bị đang được được sử dụng trong trường hợp sử dụng thiết bị cá nhân (BYOD) làm thiết bị cá nhân.

  1. Người dùng tải DPC của bạn xuống theo cách thủ công từ Google Play và khởi chạy nó.
  2. DPC cung cấp hồ sơ công việc bằng ACTION_PROVISION_MANAGED_PROFILE.
  3. Hoàn tất các bước thiết lập cuối cùng.

Thiết lập chế độ chủ sở hữu thiết bị

Bạn phải cung cấp chế độ hoạt động của chủ sở hữu thiết bị trong quá trình thiết lập ban đầu của thiết bị mới hoặc sau khi đặt lại về trạng thái ban đầu. Không thể cấp phép sử dụng chế độ chủ sở hữu thiết bị một thiết bị vào bất kỳ thời điểm nào khác.

Trong quá trình thiết lập thiết bị, người dùng nhập một mã thông báo dành riêng cho DPC khi họ được nhắc thêm tài khoản. Mã thông báo có định dạng afw#DPC_IDENTIFIER. Để EMM có tên là ACME, afw#acme sẽ cài đặt DPC mặc định của ACME EMM. Mỗi EMM phải yêu cầu một giá trị nhận dạng DPC cụ thể từ Google trước khi họ có thể sử dụng trong quá trình cung cấp.

  1. Người dùng bật thiết bị mới hoặc thiết bị đã đặt lại về trạng thái ban đầu và trình hướng dẫn thiết lập khởi chạy.
  2. Khi được nhắc thêm tài khoản, người dùng nhập một mã thông báo đặc biệt vào định dạng afw#DPC_IDENTIFIER xác định DPC cho EMM của bạn.
  3. Sử dụng giá trị nhận dạng DPC trong mã thông báo, trình hướng dẫn thiết lập sẽ thêm đoạn mã Tài khoản Google với thiết bị. Tài khoản tạm thời này chỉ được dùng để tải xuống DPC cho EMM của bạn từ Google Play và bị xóa trong các bước thiết lập cuối cùng.
  4. DPC cung cấp thiết bị sử dụng ACTION_PROVISION_MANAGED_DEVICE.
  5. Hoàn tất các bước thiết lập cuối cùng.

Các bước thiết lập cuối cùng cho mọi chế độ hoạt động

Chỉ thực hiện các bước này sau các bước thiết lập ban đầu chế độ chủ sở hữu hồ sơ hoặc chế độ chủ sở hữu thiết bị đã hoàn tất.

  1. DPC đảm bảo rằng thiết bị có thể hỗ trợ tài khoản Google Play được quản lý bằng cách khởi chạy Thư viện hỗ trợ DPC:

    AndroidForWorkAccountSupport androidForWorkAccountSupport =
  new AndroidForWorkAccountSupport(context, admin);
androidForWorkAccountSupport.ensureWorkingEnvironment(callback);

    Nếu bạn đang thiết lập chế độ chủ sở hữu thiết bị trên một thiết bị, bước này sẽ xóa Tài khoản Google tạm thời được thêm vào để tải DPC xuống.

  2. Người dùng đăng nhập vào DPC bằng thông tin đăng nhập EMM của họ. Đây là thường là thông tin đăng nhập email công ty.

  3. DPC yêu cầu thông tin đăng nhập Tài khoản Google Play được quản lý cho người dùng công ty đã xác thực từ bảng điều khiển EMM.

  4. Nếu bảng điều khiển của EMM không có userId của Google Play cho người dùng, thì bảng điều khiển đó tạo người dùng mới bằng cách gọi Users.insert(). Nếu bạn đang cấp phép cho chế độ chủ sở hữu thiết bị, hãy chỉ định một tài khoản thiết bị (cho triển khai thiết bị chuyên dụng) hoặc tài khoản người dùng (đối với quy trình triển khai do công ty sở hữu).

  5. Đặt chính sách của thiết bị bằng cách gọi Devices.update. Bạn nên đặt chính sách này trước khi thêm Tài khoản Managed Google Play vào thiết bị, nếu không chính sách sẽ không được áp dụng trong một khoảng thời gian ngắn sau khi thêm tài khoản vào thiết bị.

  6. Bảng điều khiển EMM yêu cầu thông tin đăng nhập tài khoản cho userId bằng cách đang gọi Users.generateAuthenticationToken(). Mã thông báo xác thực này chỉ tồn tại trong thời gian ngắn và không thể sử dụng lại. DPC phải sử dụng mã thông báo để thêm tài khoản theo phương thức lập trình (không sử dụng được cho đến cuối) người dùng).

  7. API EMM của Google Play trả về mã thông báo xác thực cho bảng điều khiển EMM.

  8. Bảng điều khiển EMM sẽ chuyển tiếp mã thông báo xác thực tới DPC.

  9. DPC thêm Tài khoản Google Play được quản lý vào thiết bị bằng cách sử dụng

    androidForWorkAccountSupport.addAndroidForWorkAccount(token,
  accountAddedCallback);

Phương thức dùng Tài khoản Google

DPC có thể sử dụng phương thức cấp phép Tài khoản Google để thiết lập chủ sở hữu thiết bị hoặc chế độ chủ sở hữu hồ sơ. Với phương thức cấp phép Tài khoản Google, DPC hướng dẫn người dùng thực hiện các bước cấp phép sau khi người dùng thêm Tài khoản Google trong quá trình thiết lập thiết bị ban đầu.

Khi người dùng nhập thông tin đăng nhập Tài khoản Google của họ:

  • Máy chủ xác thực của Google sẽ xác thực tài khoản người dùng.
  • Sau đó, máy chủ xác thực sẽ giao tiếp với máy chủ doanh nghiệp để xem nếu miền của tài khoản được đăng ký là miền Google Workspace hoặc Miền do EMM quản lý.
  • Nếu có, hệ thống sẽ tự động tải DPC được liên kết với miền xuống trên Google Play rồi cài đặt ứng dụng đó.

Thiết lập chế độ chủ sở hữu trang doanh nghiệp

Bạn có thể cung cấp chế độ hoạt động của chủ sở hữu hồ sơ trong quá trình thiết lập ban đầu của thiết bị hoặc khi người dùng đang thêm tài khoản bằng cách sử dụng Cài đặt > Thêm tài khoản.

  1. Người dùng bắt đầu quy trình xác thực tài khoản từ trình hướng dẫn thiết lập hoặc từ phần Cài đặt > Thêm tài khoản.
  2. GMSCore bắt đầu cấp phép hồ sơ công việc bằng ACTION_PROVISION_MANAGED_DEVICE_FROM_TRUSTED_SOURCE.
  3. DPC được tự động tải xuống thiết bị và khởi chạy bằng ACTION_GET_PROVISIONING_MODE để xác minh rằng tính năng cấp phép hồ sơ công việc được DPC hỗ trợ.
  4. Nền tảng này sẽ tiến hành cấp phép hồ sơ công việc.
  5. Khi hồ sơ công việc được cấp phép, DPC sẽ nhận được thông báo truyền tin ACTION_PROFILE_PROVISIONING_COMPLETE. ACTION_ADMIN_POLICY_COMPLIANCE của DPC trình xử lý được khởi chạy trong hồ sơ công việc. Sau khi hồ sơ công việc được tạo, DPC cũng đang chạy bên trong hồ sơ công việc. DPC đẩy các chính sách cho Tài khoản Google được quản lý đó, giúp đảm bảo rằng thiết bị không bị xâm nhập và xác minh rằng các chính sách được thực thi (chẳng hạn như yêu cầu mật khẩu).
  6. DPC trong hồ sơ cá nhân tự tắt hoặc người dùng xoá nó.

Thiết lập chế độ chủ sở hữu thiết bị hoặc COPE

Bạn phải cung cấp chế độ hoạt động của chủ sở hữu thiết bị trong quá trình thiết lập ban đầu của thiết bị mới hoặc sau khi đặt lại về trạng thái ban đầu. Bạn không thể thêm chế độ chủ sở hữu thiết bị vào thiết bị bất cứ lúc nào khác.

  1. Quy trình xác thực tài khoản do người dùng bắt đầu thông qua trình hướng dẫn thiết lập.
  2. GMSCore bắt đầu cấp phép chủ sở hữu thiết bị bằng ACTION_PROVISION_MANAGED_DEVICE_FROM_TRUSTED_SOURCE. 3.DPC được tự động tải xuống thiết bị và chạy bằng trình xử lý GET_PROVISIONING_MODE để chọn chế độ cấp phép mong muốn.
  3. Nền tảng sẽ cấp thiết bị sang chế độ cấp phép mong muốn.
  4. Khi thiết bị được cấp phép, DPC nhận được các tin truyền này và trình xử lý ACTION_ADMIN_POLICY_COMPLIANCE của DPC được khởi chạy:
  5. DPC sử dụng giá trị của Global.DEVICE_PROVISIONED để xác minh thiết bị là thiết bị mới hoặc đã đặt lại về trạng thái ban đầu (không được cấp phép):
    • 0 — Không được cấp phép.
    • 1 — Đã được cấp phép.
  6. DPC hoàn tất quá trình cấp phép bằng cách đưa ra các chính sách cho quá trình đó thiết bị được quản lý, đảm bảo rằng thiết bị đó không ở trạng thái bị xâm nhập và xác minh rằng chính sách được thực thi (chẳng hạn như yêu cầu mật khẩu).

Những điều cần cân nhắc khi triển khai phương thức Tài khoản Google

  • DPC sẽ phát hiện quy trình xác thực Tài khoản Google bằng cách tìm kiếm tiện ích bổ sung cụ thể trong ý định khởi chạy đã được sử dụng (xem LaunchIntentUtil):

    • Tài khoản thuộc loại android.accounts.Account — Cho biết rằng tài khoản được thêm từ trình hướng dẫn thiết lập hoặc từ Cài đặt > Thêm tài khoản, yêu cầu DPC đã khởi chạy quản lý thiết bị hoặc hồ sơ.
    • is_setup_wizard thuộc loại Boolean — Nếu đúng, DPC đã được khởi chạy trong trình hướng dẫn thiết lập trước khi trình hướng dẫn thiết lập hoàn tất, nếu không từ Cài đặt > Thêm tài khoản hoặc một quy trình khác.

    Kiểm tra xem DPC có được khởi chạy trong phương thức Tài khoản Google hay không là:

    boolean isSynchronousAuthLaunch(Intent launchIntent) {
  return launchIntent.hasExtra("is_setup_wizard");
}

  • DPC không được gọi finish() trước khi thiết lập xong. Thao tác này cũng sẽ trả về một mã kết quả dương (chẳng hạn như RESULT_OK) khi DPC được khởi chạy bằng startActivityForResult() và chờ kết quả.

    DPC phải đợi mã kết quả từ quá trình cấp phép trước gọi finish() nếu quy trình thiết lập DPC đạt đến điểm gửi một Ý định ACTION_PROVISION_*. Sử dụng startActivityForResult() và onActivityResult() lệnh gọi lại khi chạy ý định ACTION_PROVISION_*. (Xem LaunchActivity và SetupSyncAuthManagement để có ví dụ).

    Do tính chất không đồng bộ của quá trình thiết lập, DPC không thể dựa vào mã kết quả là RESULT_OK để cho biết rằng việc cấp phép đã thành công. Cách duy nhất được đảm bảo là dựa vào DeviceAdminReceiver lệnh gọi lại khi cấp phép thành công. RESULT_CANCELED cho biết rằng người dùng sao lưu trong một phần đồng bộ của quy trình thiết lập và DPC sẽ phản ứng cho việc này.

    Trong ví dụ này, DPC khởi chạy tính năng cấp phép và chờ mã kết quả từ một hoạt động:

    Intent intent = new Intent(ACTION_PROVISION_MANAGED_PROFILE);
startActivityForResult(intent, REQUEST_MANAGED_PROFILE);
...

@Override
public void onActivityResult(int req, int res, Intent i) {
    if (req == REQUEST_MANAGED_PROFILE) {
        if (res == Activity.RESULT_OK) {
            setResult(Activity.RESULT_OK);
            finish();
        } else {
            Toast.makeText(this, “Provisioning failed”,
                    Toast.LENGTH_SHORT).show();
        }
    }
}

  • DPC không được tìm cách thiết lập chế độ hoạt động của chủ sở hữu thiết bị nếu thiết bị đã được cấp phép (xem ProvisioningStateUtil.isDeviceProvisioned()). Trong ví dụ này, DPC sẽ kiểm tra xem thiết bị đã được cấp phép hay chưa:

    public static boolean isDeviceProvisioned(Context context) {
ContentResolver cr = context.getContentResolver();
    return
Settings.Global.getInt(cr, DEVICE_PROVISIONED, 0) != 0;
}

  • Không bắt buộc. DPC có thể sử dụng EXTRA_PROVISIONING_ADMIN_EXTRAS_BUNDLE khi khởi chạy cấp phép để chuyển thông tin trạng thái trở lại DeviceAdminReceiver (trong trường hợp chủ sở hữu hồ sơ đang chạy bên trong hồ sơ công việc). TestDPC sử dụng dữ liệu bổ sung này truy cập vào một nhóm hoạt động khác trong luồng Tài khoản Google sau khi hoàn tất quá trình cấp phép. Để biết chi tiết, hãy xem DeviceAdminReceiver.

    public class DeviceAdminReceiver extends android.app.admin.DeviceAdminReceiver
{
  @Override
  public void onProfileProvisioningComplete(Context context, Intent intent) {
    // Retrieve the admin extras bundle, which we can use to determine the original context for
    // Test DPC's launch.
    PersistableBundle extras = intent.getParcelableExtra(
            EXTRA_PROVISIONING_ADMIN_EXTRAS_BUNDLE);
    ...

  • Để thiết lập hồ sơ công việc, DPC phải di chuyển tài khoản đã thêm sang hồ sơ công việc mới. Để thực hiện việc này, DPC phải chuyển tài khoản được cung cấp trong ý định khởi chạy cho ACTION_PROVISION_MANAGED_PROFILE.

  • DPC phải cung cấp cho người dùng lời kêu gọi hành động rõ ràng (chẳng hạn như Hoàn tất) để thoát khỏi ứng dụng ở cuối quá trình thiết lập để người dùng không nghĩ chúng đã đi đến mục đích cụ thể trong luồng.

  • DPC phải sử dụng giao diện của trình hướng dẫn thiết lập hoặc thư viện bố cục để người dùng trải nghiệm mượt mà và được tích hợp tốt.

Phương thức NFC

DPC có thể sử dụng phương thức cấp phép NFC để thiết lập chế độ chủ sở hữu thiết bị. Trong Phương thức cấp phép NFC hay Thẻ NFC, bạn tạo một ứng dụng lập trình viên NFC chứa các chính sách ban đầu và cấu hình Wi-Fi, các chế độ cài đặt và chi tiết cấp phép theo yêu cầu của khách hàng để định cấu hình chủ sở hữu thiết bị phương thức hoạt động. Khi bạn hoặc khách hàng của bạn cài đặt ứng dụng lập trình viên NFC trên thiết bị chạy Android, thiết bị đó sẽ trở thành thiết bị của lập trình viên.

Để cấp phép cho một thiết bị, quản trị viên CNTT sẽ lấy một thiết bị mới ra khỏi hộp và đẩy thẻ đó vào thiết bị của lập trình viên hoặc thẻ NFC. Vết va đập sẽ chuyển đi các cấu hình của thiết bị để thiết bị kết nối với Internet và tải xuống các chính sách và chế độ cài đặt phù hợp. Sau đó, thiết bị sẽ do DPC của bạn quản lý.

Sau khi thiết bị được cấp phép, trong một thời gian ngắn, Google Play sẽ hiển thị các thành phần không được quản lý nội dung của người tiêu dùng thay vì những ứng dụng và bộ sưu tập được phê duyệt cần được phê duyệt màn hình. Sự chậm trễ này có thể kéo dài từ vài phút đến một giờ.

Tạo ứng dụng lập trình viên NFC và thiết bị lập trình viên NFC

Đối với các thiết bị chạy Android 10 trở xuống, bạn có thể sử dụng tính năng Truyền tia Android để hoàn tất việc cấp phép NFC:

  1. Tải ứng dụng mẫu lập trình viên NFC xuống. Bạn có thể giữ nguyên mẫu mà không thêm phần bổ sung hoặc chỉnh sửa các giá trị mặc định của bạn.
  2. Cài đặt ứng dụng của lập trình viên trên thiết bị đã chọn.
  3. Khởi chạy ứng dụng lập trình NFC rồi chọn Load Defaults (Tải mặc định) với giá com.example.android.apis. (Văn bản này có thể khác nhau tuỳ thuộc vào mặc định mà bạn đã đặt).

Cấp phép thiết bị của khách hàng

  1. Kết nối thiết bị của lập trình viên hoặc thẻ NFC với một thiết bị mới hoặc một thiết bị đã đặt lại về trạng thái ban đầu.
  2. Xác minh rằng thiết bị vẫn xuất hiện trên màn hình Welcome (Chào mừng) ban đầu được hiển thị khi bắt đầu. Văn bản được chỉ định trong Ready to send:{...} trong ứng dụng của lập trình viên.
  3. Chờ trong khi DPC:
    1. Mã hoá thiết bị.
    2. Nếu đó là thiết bị Đa truy cập phân chia mã (CDMA): Kích hoạt điện thoại trong khi hiển thị giao diện người dùng điện thoại (không cần tương tác).
    3. Thiết lập kết nối Wi-Fi.
    4. Tải tệp APK cho com.example.android.apis xuống.
    5. Cài đặt com.example.android.apis.
    6. Thiết lập Quản trị viên thiết bị mẫu trong com.example.android.apis làm chủ sở hữu thiết bị.
    7. Hiện một "thông báo ngắn" thành công khi chủ sở hữu thiết bị được kích hoạt.
  4. Sau khi trở về trang chủ (trình hướng dẫn thiết lập tự động bị bỏ qua), kiểm tra để đảm bảo rằng com.example.android.apis được đặt làm chủ sở hữu thiết bị:
    1. Trong phần Cài đặt > Bảo mật > Quản trị viên thiết bị, hãy đảm bảo rằng Thiết bị mẫu Không thể xoá quản trị viên.
    2. Trong phần Cài đặt > Người dùng > Người dùng và hồ sơ > Bạn (chủ sở hữu), hãy đảm bảo rằng Chủ sở hữu là tài khoản duy nhất hoạt động (mỗi thiết bị chỉ có thể có một tài khoản hoạt động) từng chủ sở hữu thiết bị).

Tài nguyên khác

NFC nâng cao mô tả các chủ đề như cách làm việc với nhiều công nghệ thẻ, viết về NFC thẻ và điều phối trên nền trước.

Phương pháp cài đặt DPC thủ công

Để thiết lập chế độ chủ sở hữu hồ sơ bằng phương thức cấp phép cài đặt DPC thủ công, người dùng tải DPC của bạn xuống từ Google Play rồi cài đặt nó. Sau đó, DPC hướng dẫn người dùng thực hiện phần còn lại của quy trình để thiết lập chủ sở hữu trang doanh nghiệp cho Tài khoản Google được quản lý.

DPC có thể thêm Tài khoản Google được quản lý trước hoặc sau khi tạo hồ sơ công việc. Ví dụ: DPC có thể tạo hồ sơ công việc dựa trên thông tin đăng nhập EMM của người dùng thay vì nhắc Tài khoản Google được quản lý đầu tiên.

Thiết lập chế độ chủ sở hữu trang doanh nghiệp

Trước tiên, hãy thêm Tài khoản Google được quản lý

  1. Người dùng tải DPC của bạn xuống qua Google Play rồi cài đặt nó.
  2. DPC thêm Tài khoản Google được quản lý trước khi tạo hồ sơ công việc đang sử dụng AccountManager.addAccount().
  3. DPC bắt đầu chạy trong hồ sơ cá nhân và bắt đầu quá trình để tạo hồ sơ công việc bằng cách sử dụng:
  4. DPC trong hồ sơ công việc hoàn tất quá trình cấp phép. Sau khi công việc hồ sơ được tạo, DPC cũng đang chạy bên trong hồ sơ công việc. DPC trong hồ sơ công việc hoàn tất quá trình cấp phép bằng cách đẩy các chính sách cho Tài khoản Google được quản lý, đảm bảo rằng thiết bị không bị xâm nhập trạng thái và xác minh rằng các chính sách được thực thi (chẳng hạn như yêu cầu mật khẩu).
  5. Khi hồ sơ công việc được cấp phép, DPC sẽ nhận được thông báo truyền tin ACTION_PROFILE_PROVISIONING_COMPLETE.
  6. DPC trong hồ sơ cá nhân tự vô hiệu hoá hoặc người dùng xoá ứng dụng.

Trước tiên, hãy tạo hồ sơ công việc

  1. Người dùng tải DPC của bạn xuống qua Google Play rồi cài đặt nó.
  2. DPC bắt đầu chạy trong hồ sơ cá nhân và bắt đầu quá trình để tạo hồ sơ công việc bằng cách sử dụng:
  3. DPC thêm Tài khoản Google được quản lý bằng cách sử dụng AccountManager.addAccount().
  4. DPC nhận thông báo truyền tin ACTION_PROFILE_PROVISIONING_COMPLETE và đọc EXTRA_PROVISIONING_ADMIN_EXTRAS_BUNDLE.
  5. DPC trong hồ sơ công việc hoàn tất quá trình cấp phép. Sau khi hồ sơ công việc được tạo, DPC cũng sẽ chạy bên trong công việc hồ sơ. DPC trong hồ sơ công việc hoàn tất quá trình cấp phép bằng cách áp dụng chính sách cho Tài khoản Google được quản lý đó, đảm bảo rằng thiết bị không ở trạng thái bị xâm nhập và xác minh rằng các chính sách đó đã được thực thi (chẳng hạn như yêu cầu mật khẩu).
  6. DPC bật hồ sơ công việc bằng cách sử dụng DevicePolicyManager.setProfileEnabled().
  7. DPC trong hồ sơ cá nhân tự vô hiệu hoá hoặc người dùng xoá ứng dụng.

  1. Phương thức Tài khoản Google trong Android 5.1 chỉ hỗ trợ chế độ hoạt động của chủ sở hữu hồ sơ và người dùng chỉ có thể định cấu hình phương thức này trong phần Cài đặt > Thêm tài khoản.↩