רשימת התכונות ב-Android Enterprise

1.2.1. מערכת ה-EMM מספקת למנהל ה-IT קוד QR או קוד הפעלה כדי לתמוך בשיטת ההקצאה הזו (אפשר לעבור אל רישום והקצאת מכשיר).

1.3.1. פתרונות EMM חייבים להשתמש בתגי NFC Forum Type 2 עם זיכרון של לפחות 888 בייט. הקצאת ההרשאות צריכה להתבצע באמצעות תוספים להקצאת הרשאות, כדי להעביר למכשיר פרטי רישום לא רגישים, כמו מזהי שרת ומזהי הרשמה. פרטי ההרשמה לא צריכים לכלול מידע רגיש, כמו סיסמאות או אישורים.

1.3.2. אנחנו ממליצים להשתמש בתגי NFC ב-Android מגרסה 10 ואילך, כי הוצאנו משימוש את NFC Beam (שנקרא גם NFC Bump).

1.5.1. מנהלי IT יכולים להקצות מכשירים בבעלות החברה באמצעות שיטת ההרשמה דרך הארגון, שמתוארת במאמר הרשמה דרך הארגון למנהלי IT.

1.6.1. אדמינים ב-IT יכולים להקצות מכשיר בבעלות החברה באמצעות שיטת ההרשמה דרך הארגון.

1.6.2. הדרישה הזו הוצאה משימוש.

1.6.3. באמצעות כתובת ה-URL לכניסה , מערכת ה-EMM צריכה לוודא שמשתמשים לא מורשים לא יכולים להמשיך בהפעלה. לפחות, ההפעלה צריכה להיות מוגבלת למשתמשים בארגון מסוים.

1.6.4. באמצעות כתובת ה-URL לכניסה , מערכת ה-EMM צריכה לאפשר למנהלי IT לאכלס מראש פרטי הרשמה (לדוגמה, מזהי שרת, מזהי הרשמה) מלבד פרטים ייחודיים של משתמש או מכשיר (לדוגמה, שם משתמש/סיסמה, אסימון הפעלה), כדי שהמשתמשים לא יצטרכו להזין פרטים כשהם מפעילים מכשיר.

• אסור לכלול מידע רגיש, כמו סיסמאות או אישורים, בהגדרות של ההרשמה ללא מגע (ZTE) ב-EMM.

1.10.1. השדה ריק בכוונה.

1.10.2. אדמינים של IT יכולים להגדיר פעולות תאימות לפרופילי עבודה במכשירים שבבעלות החברה באמצעות PersonalUsagePolicies.

1.10.3. מנהלי IT יכולים להשבית את המצלמה בפרופיל העבודה או בכל המכשיר באמצעות PersonalUsagePolicies.

1.10.4. אדמינים של IT יכולים להשבית את צילום המסך בפרופיל העבודה או במכשיר כולו באמצעות PersonalUsagePolicies.

1.10.5. אדמינים של IT יכולים להגדיר רשימת חסימה של אפליקציות שלא ניתן להתקין בפרופיל האישי באמצעות PersonalApplicationPolicy.

2.1.1. מדיניות צריכה לאכוף הגדרות לניהול בעיות אבטחה במכשיר (parentProfilePasswordRequirements לפרופיל עבודה, passwordRequirements למכשירים בניהול מלא ולמכשירים ייעודיים).

2.1.2. מורכבות הסיסמה צריכה להיות תואמת למורכבויות הסיסמה הבאות:

1. ‫PASSWORD_COMPLEXITY_LOW – קו ביטול נעילה או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, ‏ 4321, ‏ 2468).
2. ‫PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או מסודרים (1234,‏ 4321,‏ 2468), סיסמה אלפביתית או אלפאנומרית באורך של 4 תווים לפחות
3. ‫PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או בסדר עולה או יורד (1234,‏ 4321,‏ 2468) ובאורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות

2.1.3. אפשר גם לאכוף הגבלות נוספות על סיסמאות כמדיניות מדור קודם במכשירים בבעלות החברה.

2.2.1. המדיניות צריכה לאכוף את אתגר האבטחה בפרופיל העבודה.

1. כברירת מחדל, אדמינים של IT צריכים להגדיר הגבלות רק לפרופיל העבודה אם לא מצוין היקף
2. אדמינים ב-IT יכולים להגדיר את ההגדרה הזו לכל המכשיר על ידי ציון ההיקף (ראו דרישה 2.1)

2.2.2. מורכבות הסיסמה צריכה להיות בהתאם לרמות המורכבות המוגדרות מראש הבאות:

1. ‫PASSWORD_COMPLEXITY_LOW – קו ביטול נעילה או קוד אימות עם רצפים חוזרים (4444) או מסודרים (1234, ‏ 4321, ‏ 2468).
2. ‫PASSWORD_COMPLEXITY_MEDIUM – קוד אימות ללא רצפים חוזרים (4444) או מסודרים (1234,‏ 4321,‏ 2468), סיסמה אלפביתית או אלפאנומרית באורך של 4 תווים לפחות
3. ‫PASSWORD_COMPLEXITY_HIGH – קוד אימות ללא רצפים חוזרים (4444) או בסדר עולה או יורד (1234,‏ 4321,‏ 2468) ובאורך של 8 תווים לפחות, או סיסמאות אלפביתיות או אלפאנומריות באורך של 6 תווים לפחות

2.3.1. השדה ריק בכוונה.

2.3.2. השדה ריק בכוונה.

2.3.3. אפשר להגדיר את ההגדרות הבאות של מחזור החיים של הסיסמה לכל מסך נעילה שזמין במכשיר:

1. הושאר ריק בכוונה
2. הושאר ריק בכוונה
3. מספר מקסימלי של סיסמאות שגויות לפני איפוס: ההגדרה קובעת כמה פעמים משתמשים יכולים להזין סיסמה שגויה לפני שנתוני הארגון יימחקו מהמכשיר. אדמינים ממחלקת IT צריכים להיות מסוגלים להשבית את התכונה הזו.

2.3.4. ‫(Android 8.0+) דרישת אימות חזק לאחר פסק זמן: צריך להזין קוד אימות חזק (כמו קוד אימות או סיסמה) אחרי פסק זמן שהוגדר על ידי אדמין IT. אחרי תקופת ההמתנה, שיטות אימות לא חזקות (כמו טביעת אצבע, זיהוי פנים) מושבתות עד שפותחים את נעילת המכשיר באמצעות קוד גישה חזק לאימות.

2.5.1. המכשירים צריכים להיות נעולים באמצעות Android Management API .

2.7.1. צריך לחסום התקנה של אפליקציות ממקורות לא מוכרים, כולל אפליקציות שמותקנות בצד האישי של כל מכשיר Android בגרסה 8.0 ומעלה עם פרופיל עבודה. תכונת המשנה הזו נתמכת כברירת מחדל.

אדמינים ב-IT יכולים להפעיל את התכונה אימות אפליקציות במכשירים. התכונה'אימות אפליקציות' סורקת אפליקציות שמותקנות במכשירי Android כדי לאתר תוכנות מזיקות לפני ההתקנה ואחריה, וכך עוזרת לוודא שאפליקציות זדוניות לא יוכלו לסכן נתונים של החברה.

2.12.1. אדמינים ב-IT יכולים לחסום משתמשים מלהרכיב מדיה חיצונית פיזית באמצעות מדיניות (עוברים אל mountPhysicalMediaDisabled).

2.12.2. אדמינים ב-IT יכולים לחסום את האפשרות של המשתמשים לשתף נתונים מהמכשיר שלהם באמצעות NFC beam באמצעות מדיניות (עוברים אל outgoingBeamDisabled). תכונת המשנה הזו היא אופציונלית כי NFC beam לא נתמכת יותר ב-Android 10 ואילך.

3.1.1. אדמין עם דומיין מנוהל קיים של Google יכול לקשר את הדומיין שלו ל-EMM.

3.1.2. השדה ריק בכוונה.

3.1.3. השדה ריק בכוונה.

3.1.4. מסוף ה-EMM מנחה את האדמין להזין את כתובת האימייל שלו לצורכי עבודה בתהליך ההרשמה ל-Android, וממליץ לו לא להשתמש בחשבון Gmail.

3.1.5. מערכת ה-EMM ממלאת מראש את כתובת האימייל של האדמין בתהליך ההרשמה ל-Android.

3.2.1. חשבונות Google Play מנוהלים (חשבונות משתמשים) נוצרים אוטומטית כשמכשירים מוקצים.

ממשק Android Management API תומך בתכונה הזו כברירת מחדל. לא נדרשת הטמעה נוספת.

3.3.1. חשבונות Google Play לארגונים נוצרים באופן אוטומטי כשמכשירים מוקצים.

ממשק Android Management API תומך בתכונה הזו כברירת מחדל. לא נדרשת הטמעה נוספת.

3.5.1. המסוף של ה-EMM צריך להשתמש ב-Android Management API כדי לאפשר לאדמינים של IT להתקין אפליקציות לשימוש בעבודה במכשירים מנוהלים.

3.5.2. המסוף של EMM חייב להשתמש ב-Android Management API כדי לאפשר למנהלי IT לעדכן אפליקציות לשימוש בעבודה במכשירים מנוהלים.

אדמינים של IT יכולים לראות ולהגדיר בשקט הגדרות מנוהלות לכל אפליקציה שתומכת בהגדרות מנוהלות.

3.6.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את הגדרות הניהול של כל אפליקציה ב-Play.

3.6.2. מסוף ה-EMM צריך לאפשר לאדמינים ב-IT להגדיר כל סוג של תצורה (כפי שמוגדר במסגרת Android Enterprise) לכל אפליקציה ב-Play באמצעות Android Management API.

3.9.1. מסוף ה-EMM צריך לאפשר לאדמינים ב-IT לנהל את האפליקציות שמוצגות בפריסה הבסיסית של החנות למשתמשי קצה.

3.12.1. אדמינים ב-IT יכולים להעלות גרסאות חדשות של אפליקציות שכבר פורסמו באופן פרטי לארגון באמצעות:

3.13.1. המסוף של ה-EMM צריך לעזור לאדמינים ב-IT לארח את קובץ ה-APK של האפליקציה, באמצעות שתי האפשרויות הבאות:

• אירוח קובץ ה-APK בשרת ה-EMM. השרת יכול להיות מקומי בארגון או מבוסס-ענן.
• אירוח קובץ ה-APK מחוץ לשרת של ה-EMM, לפי שיקול דעתה של החברה. אדמין ה-IT צריך לציין במסוף ה-EMM איפה מתארח קובץ ה-APK.

3.13.2. מסוף ה-EMM צריך ליצור קובץ הגדרה מתאים של APK באמצעות ה-APK שסופק, ולהנחות את מנהלי ה-IT בתהליך הפרסום.

3.13.3. אדמינים ב-IT יכולים לעדכן אפליקציות פרטיות שמתארחות בשרתים שלהם, ומסוף ה-EMM יכול לפרסם בשקט קובצי הגדרה מעודכנים של APK באמצעות Google Play Developer Publishing API.

3.13.4. השרת של ה-EMM מגיב לבקשות הורדה של קובץ ה-APK שמתארח באופן עצמאי ומכיל JWT תקין בקובץ ה-Cookie של הבקשה, כפי שאומת על ידי המפתח הציבורי של האפליקציה הפרטית.

• כדי להקל על התהליך הזה, השרת של ה-EMM צריך להנחות את מנהלי ה-IT להוריד את המפתח הציבורי של הרישיון של האפליקציה המתארחת באופן עצמאי מ-Play Console, ולהעלות את המפתח הזה למסוף ה-EMM.

3.15.1. פתרון ה-EMM חייב לעמוד במגבלות השימוש ב-Android Management API. אם לא תתקנו את ההתנהגות שחורגת מההנחיות האלה, Google עשויה להשעות את השימוש ב-API, לפי שיקול דעתה.

3.15.2. מערכת ה-EMM צריכה לפזר את התנועה מארגונים שונים במהלך היום, במקום לרכז את התנועה מארגונים בזמנים ספציפיים או דומים. התנהגות שתואמת לדפוס התנועה הזה, כמו פעולות מתוזמנות של אצווה לכל מכשיר רשום, עלולה להוביל להשעיית השימוש ב-API, לפי שיקול הדעת של Google.

3.15.3. ה-EMM לא צריך לשלוח בקשות עקביות, חלקיות או שגויות בכוונה, בלי לנסות לאחזר או לנהל נתונים עסקיים בפועל. התנהגות שתואמת לדפוס התנועה הזה עשויה להוביל להשעיית השימוש ב-API, לפי שיקול דעתה של Google.

3.16.1. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג את עד ארבע רמות של הגדרות מנוהלות מוטמעות של כל אפליקציה ב-Play, באמצעות:

• ה-iframe של Google Play לארגונים , או
• ממשק משתמש מותאם אישית.

3.16.2. מסוף ה-EMM צריך להיות מסוגל לאחזר ולהציג כל משוב שמוחזר על ידי ערוץ המשוב של האפליקציה, כשהוא מוגדר על ידי אדמין IT.

• מסוף ה-EMM צריך לאפשר לאדמינים ב-IT לשייך פריט משוב ספציפי למכשיר ולאפליקציה שממנו הוא נשלח.
• המסוף של ה-EMM צריך לאפשר לאדמינים של IT להירשם לקבלת התראות או דוחות על סוגים ספציפיים של הודעות (כמו הודעות שגיאה).

3.16.3. מסוף ה-EMM צריך לשלוח רק ערכים שיש להם ערך ברירת מחדל או שהאדמין הגדיר אותם באופן ידני באמצעות:

• ה-iframe של ההגדרות המנוהלות, או
• ממשק משתמש בהתאמה אישית.

3.17.1. מסוף ה-EMM מאפשר לאדמינים ב-IT להפיץ קיצורי דרך לאפליקציות אינטרנט באמצעות:

• ‫iframe של Google Play לארגונים,
• או Android Management API .

התכונה הזו נתמכת כברירת מחדל. לא נדרשת הטמעה נוספת של EMM.

3.20.1. אדמינים ממחלקת IT יכולים לאפשר לאפליקציות להשתמש בעדכוני אפליקציות בעדיפות גבוהה כדי להתעדכן כשיש עדכון מוכן.

3.20.2. אדמינים ב-IT יכולים לאפשר לאפליקציות לדחות את העדכונים שלהן למשך 90 יום.

3.22.1. מסוף ה-EMM מאפשר לאדמין ה-IT להפעיל את השדרוג של קבוצת חשבונות קיימת של Google Play לארגונים לדומיין מנוהל ב-Google באמצעות ממשקי ה-API הנדרשים.

3.23.1. פתרון ה-EMM יכול להקצות חשבון Google מנוהל בהתאם להנחיות ההטמעה המוגדרות.

במהלך הפעולה:

• חשבון Google מנוהל נוסף למכשיר.
• צריך להיות מיפוי של אחד לאחד בין חשבון Google המנוהל לבין משתמשים בפועל במסוף של מערכת ה-EMM.

3.23.2. אדמינים ב-IT יכולים להשתמש במדיניות כדי לספק למשתמשים את האפשרות להיכנס לחשבון Google מנוהל לצורך רישום.

3.23.3. אדמינים ב-IT יכולים להשתמש במדיניות כדי לקבוע אם המשתמש נדרש להיכנס לחשבון Google מנוהל כדי להשלים את ההרשמה.

3.24.1. אדמינים ב-IT יכולים לשדרג חשבונות קיימים של Google Play לארגונים במכשיר לחשבון Google מנוהל.

4.1.1. אדמינים ב-IT צריכים להיות מסוגלים לבחור מבין האפשרויות הבאות כשהם מגדירים מדיניות הרשאות ברירת מחדל בזמן ריצה לארגון שלהם:

• הצגת בקשה (המשתמשים יכולים לבחור)
• לאפשר
• דחייה

4.3.1. SSID, באמצעות מדיניות.

אדמינים ב-IT יכולים להקצות הגדרות Wi-Fi למכשירים שכוללים את תכונות האבטחה המתקדמות הבאות:

4.4.1. זהויות

4.4.2. אישורים להרשאת לקוח

4.4.3. אישורי CA

4.5.1. אדמינים ממחלקת IT יכולים לנעול את הגדרות ה-Wi-Fi הארגוניות באמצעות מדיניות באחת מההגדרות הבאות:

• המשתמשים לא יכולים לשנות הגדרות Wi-Fi שסופקו על ידי מערכת ה-EMM (ראו wifiConfigsLockdownEnabled), אבל הם יכולים להוסיף ולשנות רשתות שניתנות להגדרה על ידי המשתמש (לדוגמה, רשתות אישיות).
• המשתמשים לא יכולים להוסיף או לשנות רשת Wi-Fi במכשיר (כדאי לעבור אל wifiConfigDisabled), כך שהחיבור ל-Wi-Fi מוגבל רק לרשתות שהוקצו על ידי מערכת ה-EMM.

4.6.1. אדמינים ב-IT יכולים למנוע ממשתמשים להוסיף או לשנות חשבונות (ראו modifyAccountsDisabled).

• כשמחילים את המדיניות הזו על מכשיר, פתרונות EMM צריכים להגדיר את ההגבלה הזו לפני שההקצאה מסתיימת, כדי לוודא שהמשתמשים לא יוכלו לעקוף את המדיניות הזו על ידי הוספת חשבונות לפני שהמדיניות נכנסת לתוקף.

4.8.1. אדמינים ב-IT יכולים להתקין אישורים של זהויות משתמשים שנוצרו על ידי ה-PKI שלהם על בסיס כל משתמש. המסוף של מערכת ה-EMM חייב להיות משולב עם לפחות PKI אחד, ולהפיץ אישורים שנוצרו מהתשתית הזו.

4.9.1. אדמינים ב-IT יכולים לציין אישור לכל אפליקציה שמופצת למכשירים, והאפליקציה תקבל גישה באופן שקט במהלך זמן הריצה. (תכונת המשנה הזו לא נתמכת)

• בחירת האישור צריכה להיות כללית מספיק כדי לאפשר הגדרה אחת שתחול על כל המשתמשים, שלכל אחד מהם יכול להיות אישור זהות ספציפי למשתמש.

4.9.2. אדמינים ב-IT יכולים להסיר אישורים מאגר המפתחות המנוהל.

4.9.3. אדמינים ב-IT יכולים להסיר אישור CA באופן שקט. (This subfeature is not supported)

4.9.4. אדמינים ממחלקת IT יכולים למנוע מהמשתמשים להגדיר פרטי כניסה (כדאי לעבור אל credentialsConfigDisabled) במאגר המפתחות המנוהל.

4.10.1. אדמינים ב-IT יכולים לציין חבילה לניהול אישורים (כדאי לעבור אל CERT_INSTALL DelegatedScope) שתוגדר כאפליקציה לניהול אישורים עם הרשאות גישה מוגבלות.

• יכול להיות שמערכות ה-EMM יציעו חבילות ידועות לניהול אישורים, אבל הן חייבות לאפשר לאדמין ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.11.1. אדמינים ב-IT יכולים להגדיר חבילת VPN שרירותית כ-VPN עם חיבור קבוע.

• יכול להיות שמסוף ה-EMM יציע חבילות VPN מוכרות שתומכות ב-VPN שפועל כל הזמן, אבל הוא לא יכול להגביל את שרתי ה-VPN שזמינים להגדרה של VPN שפועל כל הזמן לרשימה שרירותית כלשהי.

4.12.1. אדמינים ב-IT יכולים להגדיר רשימת היתרים של IME (עוברים אל permitted_input_methods) באורך שרירותי (כולל רשימה ריקה, שחוסמת ממשקי IME שאינם מערכתיים), שיכולה להכיל חבילות IME שרירותיות.

• יכול להיות שמסוף ה-EMM יציע מקלדות וירטואליות מוכרות או מומלצות להוספה לרשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.13.1. אדמינים ב-IT יכולים להגדיר רשימת היתרים ל-IME (כאן מגיעים אל permitted_input_methods) באורך שרירותי (לא כולל רשימה ריקה, שחוסמת את כל ה-IME, כולל IME של המערכת), שיכולה להכיל חבילות IME שרירותיות.

• יכול להיות שמסוף ה-EMM יציע מקלדות וירטואליות מוכרות או מומלצות להוספה לרשימת ההיתרים, אבל הוא חייב לאפשר לאדמינים ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.13.2. מערכת ה-EMM צריכה למנוע מאדמינים של IT להגדיר רשימת היתרים ריקה, כי ההגדרה הזו תחסום את כל ה-IME, כולל ה-IME של המערכת, מהגדרה במכשיר.

4.14.1. אדמינים של IT יכולים להגדיר רשימת היתרים של שירותי נגישות (permittedAccessibilityServices) בכל אורך (כולל רשימה ריקה, שחוסמת שירותי נגישות שאינם מערכתיים), שיכולה לכלול כל חבילה של שירותי נגישות. כשמחילים את ההגדרה על פרופיל עבודה, היא משפיעה גם על הפרופיל האישי וגם על פרופיל העבודה.

• יכול להיות שהמסוף יציע שירותי נגישות מוכרים או מומלצים להוספה לרשימת ההיתרים, אבל הוא חייב לאפשר לאדמין ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה, עבור משתמשים רלוונטיים.

4.15.1. אדמינים של IT יכולים להשבית את שירותי המיקום (עוברים אל shareLocationDisabled) בפרופיל העבודה.

4.16.1. אדמינים ב-IT יכולים להגדיר את שירותי המיקום של המכשיר לכל אחד מהמצבים הבאים:

• רמת דיוק גבוהה.
• חיישנים בלבד, למשל GPS, אבל לא כולל מיקום שסופק על ידי הרשת.
• חיסכון בסוללה, שמגביל את תדירות העדכון.
• כבוי.

4.17.1. אדמינים ב-IT יכולים למנוע מהמשתמשים לאפס את המכשיר להגדרות המקוריות (עוברים אל factoryResetDisabled) דרך ההגדרות.

4.17.2. אדמינים ב-IT יכולים לציין חשבונות ארגוניים לביטול הנעילה שמורשים להקצות מכשירים (עוברים אל frpAdminEmails) אחרי איפוס להגדרות היצרן.

• אפשר לקשר את החשבון הזה לאדם מסוים, או להשתמש בו בכל הארגון כדי לבטל את הנעילה של מכשירים.

4.17.3. אדמינים ב-IT יכולים להשבית את ההגנה מפני איפוס להגדרות המקוריות (כאן factoryResetDisabled) במכשירים ספציפיים.

אדמינים ב-IT יכולים למנוע מהמשתמש להסיר או לשנות בדרך אחרת אפליקציות מנוהלות דרך ההגדרות. לדוגמה, מניעת סגירה בכוח של האפליקציה או ניקוי מטמון הנתונים של האפליקציה.

4.18.1. אדמינים ב-IT יכולים לחסום את ההסרה של אפליקציות מנוהלות שרירותיות, או של כל האפליקציות המנוהלות (כך עושים זאת uninstallAppsDisabled).

4.18.2. אדמינים ב-IT יכולים למנוע מהמשתמשים לשנות נתוני אפליקציות דרך ההגדרות. (ה-API לניהול Android לא תומך בתכונת המשנה הזו)

4.19.1. אדמינים ב-IT יכולים למנוע ממשתמשים לצלם צילומי מסך (כדאי לעבור אל screenCaptureDisabled).

אדמינים ב-IT יכולים להפעיל מחדש מכשירים מנוהלים מרחוק.

4.23.1. אדמינים של IT יכולים להפעיל מחדש מרחוק מכשיר מנוהל.

4.24.1. אדמינים ב-IT יכולים להשבית שידורים סלולריים שנשלחים על ידי ספקי שירותים (כדאי לעבור אל cellBroadcastsConfigDisabled).

4.24.2. אדמינים ב-IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית בהגדרות (עוברים אל mobileNetworksConfigDisabled).

4.24.3. אדמינים ב-IT יכולים למנוע ממשתמשים לאפס את כל הגדרות הרשת בהגדרות. (עוברים אל networkResetDisabled).

4.24.4. אדמינים ב-IT יכולים להגדיר אם המכשיר יאפשר נדידת נתונים סלולריים (כך עושים זאת dataRoamingDisabled).

4.24.5. אדמינים ב-IT יכולים להגדיר אם אפשר להוציא שיחות טלפון מהמכשיר, לא כולל שיחות חירום (outGoingCallsDisabled).

4.24.6. אדמינים ב-IT יכולים להגדיר אם המכשיר יכול לשלוח ולקבל הודעות טקסט (smsDisabled).

4.24.7. אדמינים של IT יכולים למנוע מהמשתמשים להשתמש במכשיר שלהם כנקודה חמה ניידת על ידי שיתוף אינטרנט (tethering) (עוברים אל tetheringConfigDisabled).

4.24.8. אדמינים ב-IT יכולים להגדיר את הזמן הקצוב לתפוגה של Wi-Fi כברירת מחדל, בזמן שהמכשיר מחובר לחשמל או אף פעם. (ה-API לניהול Android לא תומך בתכונת המשנה הזו)

4.24.9. אדמינים ב-IT יכולים למנוע מהמשתמשים להגדיר חיבורי Bluetooth קיימים או לשנות אותם (כדאי לעבור אל bluetoothConfigDisabled).

אדמינים ב-IT יכולים לשלוט בשקט בתכונות האודיו של המכשיר, כולל השתקת המכשיר, מניעת שינוי הגדרות עוצמת הקול על ידי המשתמשים ומניעת ביטול ההשתקה של המיקרופון במכשיר על ידי המשתמשים.

4.25.1. אדמינים ב-IT יכולים להשתיק מכשירים מנוהלים בלי שהמשתמשים ידעו על כך. (ה-API לניהול Android לא תומך בתכונת המשנה הזו)

4.25.2. אדמינים ב-IT יכולים למנוע ממשתמשים לשנות את הגדרות עוצמת הקול במכשיר (למידע נוסף אפשר לעבור אל adjustVolumeDisabled). הפעולה הזו גם משתיקה את המכשירים.

במכשירים ייעודיים, אדמינים ממחלקת IT יכולים לנהל את התכונות הבאות באמצעות מדיניות כדי לתמוך בתרחישי שימוש שונים בקיוסק.

4.27.1. אדמינים ב-IT יכולים להשבית את מסך הנעילה של המכשיר (עוברים אל keyguardDisabled).

4.27.2. אדמינים ב-IT יכולים להשבית את סרגל הסטטוס של המכשיר, לחסום התראות וגישה להגדרות המהירות (statusBarDisabled).

4.27.3. אדמינים של IT יכולים להגדיר שהמסך של המכשיר יישאר דולק בזמן שהמכשיר מחובר לחשמל (עוברים אל stayOnPluggedModes).

4.27.4. אדמינים ממחלקת IT יכולים למנוע את ההצגה של ממשקי המשתמש של המערכת הבאים (עוברים אל createWindowsDisabled):

• Toast
• שכבות-על של אפליקציות.

4.27.5. אדמינים ב-IT יכולים לאפשר להמלצות המערכת לאפליקציות לדלג על הדרכות למשתמשים ועל רמזים אחרים להכרת האפליקציה בהפעלה הראשונה (כך עושים את זה skip_first_use_hints).

אדמינים של IT יכולים להקצות הרשאות נוספות לחבילות ספציפיות.

4.28.1. אדמינים ב-IT יכולים לנהל את ההיקפים הבאים:

• התקנה וניהול של אישורים
• הושאר ריק בכוונה
• רישום התנועה ברשת
• רישום ביומן האבטחה (לא נתמך בפרופיל עבודה במכשיר בבעלות אישית)

החל מ-Android 12, לפרופילים של עבודה לא תהיה יותר גישה למזהים ספציפיים לחומרה. אדמינים של IT יכולים לעקוב אחרי מחזור החיים של מכשיר עם פרופיל עבודה באמצעות המזהה הספציפי לרישום, שיישמר גם אחרי איפוס להגדרות היצרן.

4.29.1. אדמינים של IT יכולים לקבל מזהה ספציפי להרשמה

4.29.2. המזהה הספציפי הזה לרישום צריך להישמר גם אחרי איפוס להגדרות המקוריות

‫4.30.1 אדמינים ב-IT יכולים לחסום את כל מנהלי האישורים במכשיר (או בפרופיל העבודה) באמצעות מדיניות.

‫4.30.2 Deliberately blank.

‫4.31.1 אדמינים של IT יכולים להקצות פרופיל eSIM למכשיר באופן שקט באמצעות מדיניות.

‫4.31.2 אדמינים של IT יכולים למחוק כרטיסי eSIM מנוהלים ממכשיר באמצעות מדיניות.

‫4.31.3 אדמינים בתחום ה-IT יכולים למנוע מהמשתמשים לשנות את הגדרות הרשת הסלולרית בהגדרות (עוברים אל mobileNetworksConfigDisabled).

‫4.31.4 אדמינים ב-IT יכולים לשלוח מרחוק פקודת מחיקה למכשיר או לפרופיל עבודה. הפקודה הזו מסירה מהמכשיר כרטיסי eSIM מנוהלים (אופציונלי). כברירת מחדל, כרטיסי eSIM מנוהלים מוסרים מפרופילי עבודה במכשירים בבעלות אישית, אבל נשמרים במכשירים בבעלות החברה.

‫4.31.5 אדמינים של IT יכולים לאחזר את מזהה ה-EID ‏ (Embedded Identity Document) של מכשיר באמצעות ממשק המשתמש של מסוף ה-EMM (או שיטה מקבילה).

5.1.1. אדמינים ב-IT יכולים להתאים אישית את תהליך הקצאת ההרשאות על ידי ציון תנאים והגבלות ספציפיים לארגון והצהרות אחרות (כאן מוסבר איך עושים את זה termsAndConditions).

5.1.2. אדמינים ב-IT יכולים לפרוס תנאים והגבלות ספציפיים ל-EMM וכתבי ויתור אחרים שלא ניתן להגדיר (אפשר לעבור אל termsAndConditions).

• יכול להיות שספקי EMM יגדירו את ההתאמה האישית שלהם שאי אפשר לשנות, שספציפית ל-EMM, כברירת המחדל לפריסות, אבל הם חייבים לאפשר לאדמינים ב-IT להגדיר התאמה אישית משלהם.

5.1.3. ‫primaryColor הוצא משימוש במשאב הארגוני ב-Android מגרסה 10 ואילך.

5.5.1. אדמינים ב-IT יכולים להתאים אישית הודעות תמיכה קצרות וארוכות למשתמשי קצה.

5.5.2. אדמינים של IT יכולים לפרוס הודעות תמיכה קצרות וארוכות שלא ניתן להגדיר, ספציפיות ל-EMM (אפשר לעבור אל shortSupportMessage ו-longSupportMessage ב-policies).

• יכול להיות שספק ה-EMM יגדיר את הודעות התמיכה הספציפיות שלו שאי אפשר לשנות כברירת מחדל לפריסות, אבל הוא חייב לאפשר לאדמינים של IT להגדיר הודעות משלהם.

5.7.1. אדמינים ב-IT יכולים להגדיר מדיניות לשיתוף נתונים בין פרופילים כדי שאפליקציות לשימוש אישי יוכלו לפתור כוונות מפרופיל העבודה, כמו שיתוף כוונות או קישורי אינטרנט.

5.7.2. אדמינים ממחלקת IT יכולים לאפשר לאפליקציות מפרופיל העבודה ליצור ולהציג ווידג'טים במסך הבית של הפרופיל האישי. היכולת הזו מושבתת כברירת מחדל, אבל אפשר להגדיר אותה כמאושרת באמצעות השדות workProfileWidgets ו-workProfileWidgetsDefault.

5.8.1. מסוף ה-EMM מאפשר לאדמינים של IT להגדיר את ההגדרות הבאות של OTA:

• אוטומטי: העדכונים יותקנו במכשירים ברגע שהם יהיו זמינים.
• דחייה: אדמינים בתחום ה-IT צריכים להיות מסוגלים לדחות עדכון OTA למשך עד 30 ימים. המדיניות הזו לא משפיעה על עדכוני אבטחה (למשל, תיקוני אבטחה חודשיים).
• חלון זמן: אדמינים של IT צריכים להיות מסוגלים לתזמן עדכוני OTA בחלון זמן יומי לתחזוקה.

5.9.1. המסוף של EMM מאפשר לאדמינים בתחום ה-IT לאשר בשקט התקנה של קבוצה שרירותית של אפליקציות ולנעול אותן במכשיר. המדיניות מאפשרת להגדיר מכשירים ייעודיים.

5.10.1. אדמינים של IT יכולים להגדיר כל חבילה כמטפל ברירת המחדל בכוונה לכל מסנן כוונות שרירותי.

• מסוף ה-EMM עשוי להציע intents מוכרים או מומלצים להגדרה, אבל הוא לא יכול להגביל את ה-intents לרשימה שרירותית כלשהי.
• מסוף ה-EMM צריך לאפשר לאדמינים ב-IT לבחור מתוך רשימת האפליקציות שזמינות להתקנה למשתמשים הרלוונטיים.

‫5.11.1.מדיניות יכולה להשבית את התכונות הבאות של מסך הנעילה במכשיר:

• סביבות אמינות
• ביטול נעילה באמצעות טביעת אצבע
• התראות שלא צונזרו

5.11.2. אפשר להשבית את התכונות הבאות של מסך הנעילה בפרופיל העבודה באמצעות מדיניות:

• סביבות אמינות
• ביטול נעילה באמצעות טביעת אצבע

• העברה מאובטחת של נתוני המצלמה
• כל ההודעות
• לא צונזר
• סביבות אמינות
• פתיחה בטביעת אצבע
• כל התכונות של מסך הנעילה

‫Android Management API לא תומך בתכונה הזו.

5.15.1. מתן הרשאה שקטה להתקנה של אפליקציה אחת ונעילה שלה במכשיר .

5.15.2. מפעילים או משביתים את התכונות הבאות של ממשק המשתמש של המערכת:

• לחצן הבית
• סקירה כללית
• פעולות גלובליות
• התראות
• מידע על המערכת / שורת הסטטוס
• Keyguard (מסך הנעילה). תכונת המשנה הזו מופעלת כברירת מחדל כשמטמיעים את גרסה 5.15.1.

5.15.3. משביתים את האפשרות תיבות דו-שיח של שגיאות מערכת.

5.17.1. אדמינים ממחלקת ה-IT יכולים לספק טקסט מותאם אישית שיוצג (עוברים אל wipeReasonMessage) כשפרופיל עבודה נמחק.

אדמינים של IT יכולים להגדיר רשימה של חבילות שיכולות לתקשר מעבר לגבולות של פרופיל העבודה באמצעות ההגדרה ConnectedWorkAndPersonalApp.