Android-Geräteverwaltung mit Workspace ONE UEM

Durch die Nutzung der Workspace-ONE-UEM-Plattform haben Sie Zugriff auf eine umfassende Palette von Lösungen zur effektiven Registrierung, zum Schutz, zur Anpassung und Überwachung Ihrer Android-Geräte. Die Workspace ONE UEM Console bietet eine Vielzahl von Tools und Funktionen, um effektiv alle Phasen von unternehmenseigenen und persönlichen Geräten zu bewältigen.

Der Leitfaden erläutert die Integration von Workspace ONE UEM als Ihren Enterprise Mobility-Manager (EMM) mit Android-Geräten.

Schlüsselbegriffe für Android

Bevor Sie beginnen, machen Sie sich mit den folgenden wichtigen Android-Begriffen vertraut, um besser zu verstehen, wie Sie Einstellungen konfigurieren und für Ihre Benutzer bereitstellen können:

• Benutzerdefinierte DPC – Mit benutzerdefinierter DPC verteilt Workspace ONE UEM Richtlinien, interne Apps usw. an Workspace ONE Intelligent Hub, das als primäre Verwaltungsanwendung des Geräts oder des Work-Profils fungiert. Intelligent Hub wendet diese Ressourcen auf das Gerät an und gibt Geräteinformationen an Workspace ONE UEM zurück.
• Android-Management-API (AMAPI) – Das Android-Verwaltungs-API (AMAPI) ist Android-betriebssystemeigen und vereinfacht die Verwaltung von für Android-Enterprise-Zwecke verwendeten Geräten. Mit AMAPI erstellt Workspace ONE UEM den gewünschten Zustand des Geräts und überträgt ihn an das AMAPI, das dies auf das Gerät anwendet.
• Arbeitsprofil – Der Arbeitsprofil-Modus, auch als Profilbesitzer bezeichnet, erstellt auf Ihrem Gerät einen dedizierten Container nur für Geschäftsanwendungen und -inhalte. - Der Arbeitsprofil-Modus ermöglicht es Organisationen, die Geschäftsdaten und -anwendungen zu verwalten und dabei keinen Zugriff auf die persönlichen Daten und Apps des Benutzers zu haben. Die Android-Anwendungen sind mit einem Aktenordner-Symbol gekennzeichnet, sodass sie sich von den privaten Anwendungen unterschieden.
• Vom Unternehmen verwaltet: Der Modus „Vom Unternehmen verwaltet“ (auch als „Gerätebesitzer-Modus“ oder „vollständig verwalteter Modus“ bezeichnet) sperrt das gesamte Gerät. Benutzer haben Zugriff auf Unternehmensapps und keinen Zugriff auf private Apps über den Google Play Store. Der vollständig verwaltete Modus ist auf Geräten mit Android ab Version 5.0 verfügbar.
• Corporate Owned Personally Enabled (COPE) bezieht sich auf unternehmenseigene Geräte, ähnlich wie „Unternehmensverwaltete Geräte“, aber Benutzer erhalten ein Arbeitsprofil für den Zugriff auf Unternehmensanwendungen und können das Gerät zugleich auch für private Zwecke nutzen. Wie bei BYOD verfügen diese Geräte über ein dediziertes Arbeitsprofil, um während der UEM-Registrierung Arbeitsdaten von persönlichen Daten zu trennen. COPE ist erst ab Android 8.0 verfügbar.
• Verwaltetes Google-Konto – Zum Einrichten von Android Enterprise mit einer verwalteten Google-Domäne (zuvor als G Suite bekannt) müssen Sie für Ihr Unternehmen eine Google-Domäne einrichten und eine Überprüfung durchführen, um nachzuweisen, dass Sie der Besitzer der Domäne sind. Diese Domäne kann nur mit einem verifizierte EMM-Account verknüpft werden. Um die Android-Enterprise-Registrierung mit Hilfe von Google Workspace zu aktivieren, muss Ihre Organisation ein Dienstkonto bei Google erstellen und spezifischen API-Zugriff bereitstellen, um die Konfigurationen auf die verwalteten Geräte anzuwenden.
• Verwaltetes Google-Play-Konto – Ein verwaltetes Google-Play-Konto wird verwendet, wenn Ihr Unternehmen Google Workspace (früher G Suite) nicht verwendet und die Bindung von Workspace ONE UEM mit Android Enterprise über ein persönliches Gmail-Konto ermöglicht. Hier ist keine Active-Directory-Synchronisierung oder Google-Verifizierung erforderlich.
• Google-Dienstkonto – Das Google-Dienstkonto ist ein spezielles Google-Konto, das von Anwendungen verwendet wird, um Zugriff auf für G-Suite-Kunden empfohlene Google-APIs zu erhalten.
• EMM-Token: Eindeutige ID, die Workspace ONE UEM verwendet, um Workspace ONE UEM Console mit dem verwalteten Google-Konto zu verbinden.
• Verwaltete Google-Domäne: Domäne, die für die Aktivierung von Ihrem Unternehmen zugeordneten Android beansprucht wird.
• Google-Domänen-Einrichtung – Google-Prozess für die Beanspruchung einer verwalteten Google-Domäne.
• AirWatch-Relay – Die Workspace-ONE-UEM-Anwendung, die Administratoren verwenden, um zahlreiche Android-Geräte gleichzeitig in Workspace ONE UEM zu registrieren.
• NFC-Bump: Eine Kommunikationstechnologie, die es Geräten ermöglicht, Informationen auszutauschen, indem Sie sie nebeneinander platzieren – als „Bump“ bezeichnet. Dieser Vorgang findet statt, wenn die AirWatch Relay-Anwendung verwendet wird, um Informationen vom übergeordneten an das untergeordnete Gerät zu übertragen.
• AOSP/Geschlossenes Netzwerk: „Android Open Source Project“ oder „Geschlossenes Netzwerk“ bezieht sich auf Android-Geräte ohne Google Mobile Services (GMS) und Konsolen-Umgebungen ohne Zugriff auf Google. Mit diesem Registrierungsmodus wird kein Google-Konto erstellt.
• Benutzerbasierte Registrierung: Wenn ein Gerät registriert wird, ist das erstellte Google-Konto für alle von diesem Mitarbeiter registrierten Geräte identisch. Diese Registrierungsmethode ist ideal, wenn Sie Mitarbeitern Geräte ohne Staging zuweisen.
• Gerätebasierte Registrierung – Das generierte Google-Konto ist für jedes von demselben Benutzer registrierte Gerät eindeutig. Dies ist ideal für ein Staging-Gerät oder dedizierte Geräte.
• Cap and Grow: Mit Cap and Grow können Sie während der Umstellung von Android (Legacy) auf Android Enterprise weiterhin Ihre aktuelle Gerätebereitstellung nutzen. Alle neuen Geräte-Rollouts können bei Android Enterprise registriert und mit älteren Geräten verwaltet werden.

Anforderungen für die Verwendung von Android mit Workspace ONE UEM

Bevor Sie Android-Geräte bereitstellen, beachten Sie die folgenden Voraussetzungen, Anforderungen für die Bereitstellung, technischen Unterlagen und nützlichen Empfehlungen vom Workspace ONE UEM-Team.

Unterstützte Betriebssysteme

Android 8.X.X

Android 9.X.X

Android 10.X.X

Android 11.X.X

Android 12.X.X

Android 13.X.X

Android 14.X.X

Android 15.X.X

Android 16.X.X

Hinweis: Für Kunden wird ein aktualisiertes Datenschutzkennwort eingerichtet, wenn für das COPE-registrierte Gerät ein Upgrade von Android 10 auf Android 11 ausgeführt wird. Eine Übersicht der wichtigsten Funktionen und der Funktionen von COPE-Geräten finden Sie unter „Android-Gerätemodi verstehen“.

Hinweis: Wenn Ihre Organisation mehr Zeit benötigt, um Tests abzuschließen, gibt es zwei Möglichkeiten, um das Upgrade Ihrer Geräte auf Android 11 zu verzögern. Mehr darüber unter „Verwalten von Systemupdates für Android-Geräte“.

Wenn Ihre Geräte die Google-Play-EMM-Integration nicht unterstützen, verwenden Sie die Konfiguration von „AOSP/Geschlossenes Netzwerk“.

Weitere Informationen zu AOSP/Geschlossenes Netzwerk finden Sie unter „Android-Gerätemodi verstehen“.

Netzwerkanforderungen für Android

Endbenutzergeräte müssen in der Lage sein, bestimmte Endpoints für den Zugriff auf Apps und Dienste zu erreichen. Die Netzwerkanforderungen für Android umfassen eine Liste bekannter Endpoints für aktuelle und vergangene Versionen von Enterprise Management-APIs.

Um alle Endpoints erfolgreich zu erreichen, ist eine direkte Verbindung erforderlich. Wenn die Geräte hinter einem Proxy verbunden sind, ist die direkte Kommunikation nicht möglich, und bestimmte Funktionen schlagen fehl.

Proxy-Anforderungen für Gerätedienste

Die Workspace ONE UEM-Gerätedienstanwendung verwendet die SafetyNet-Nachweis-API von Google, um die Integrität von Android-Geräten zu überprüfen und sicherzustellen, dass sie nicht kompromittiert sind. Dazu führt sie ausgehende API-Aufrufe an Google-Server aus. In On-Premise-Umgebungen können Organisationen auswählen, dass nur die Gerätedienstanwendung ausgehende Verbindungen über einen Proxy herstellen darf. In diesen Fällen müssen Kunden neben der Konfiguration der Proxy-Einstellungen auf Anwendungsebene über die Workspace ONE UEM Console diesen ausgehenden Proxy auch auf Systemebene für den Windows-Server konfigurieren, der die Gerätedienstanwendung hostet. Wenn der Windows-Server keine ausgehenden Verbindungen zu den erforderlichen Google-Endpoints herstellen kann, schlägt der SafetyNet-Integritätsnachweis fehl.

Firewall-Regeln für Konsolen

Wenn sich eine EMM-Konsole vor Ort befindet, müssen die unten angegebenen Ziele vom Netzwerk aus erreichbar sein, um ein verwaltetes Google-Play-Unternehmen zu erstellen und auf den ​verwalteten Google-Play-iFrame zuzugreifen​.

Diese Anforderungen entsprechen den aktuellen Anforderungen von Google Cloud und können jederzeit geändert werden.

UEM-Zertifikatanforderungen

Android-Geräte verfügen anfangs über eine Reihe vertrauenswürdiger Zertifizierungsstellen. Diese Liste variiert geräteübergreifend und wird im Laufe der Zeit aktualisiert, um neue kommerzielle SSL-Zertifikatanbieter einzubeziehen. Dies führt dazu, dass ältere Android-Gerätemodelle neueren SSL-Zertifikatanbietern nicht vertrauen.

Das SSL-Zertifikat in den Workspace-ONE-UEM-Gerätedienstknoten muss von Android-Geräten als vertrauenswürdig eingestuft werden. In cloudgehosteten Workspace-ONE-UEM-Umgebungen werden weithin vertrauenswürdige Zertifikatanbieter verwendet, um das Risiko dieses Problems zu mindern. In lokalen Workspace-ONE-UEM-Umgebungen stellen Sie das SSL-Zertifikat bereit, wie unter Konfigurieren des externen DNS-Datensatzes und der Zertifikate beschrieben.

Wenn keine Vertrauensstellung hergestellt werden kann, kann Intelligent nicht mit Workspace ONE UEM kommunizieren. Infolgedessen:

• Geräteverwaltungsfunktionen sind eingeschränkt. In einer benutzerdefinierten DPC können ohne diese Vertrauensstellung fast keine Geräteverwaltungsfunktionen ausgeführt werden.
• Wenn Benutzer versuchen, ein Android-Gerät bei Workspace ONE UEM zu registrieren, wird der Fehler „Bei der Erkennung ist ein Fehler aufgetreten“ angezeigt.

Bei Bedarf können Sie das Stammzertifikat der Zertifizierungsstelle auf Geräten installieren, bevor Sie sie bei Workspace ONE UEM registrieren.

• Auf mitarbeitereigenen Geräten muss das Zertifikat vom Benutzer manuell installiert werden.
• Für unternehmenseigene Geräte finden Sie unter Zusätzliche Flags für die Registrierung Schritte zum Einbeziehen des Zertifikats in eine QR-Code- oder Out-of-Box-Registrierungskonfiguration.

Registrierungsanforderungen

Jedes in Ihrer Organisation eingesetzte Android-Gerät muss registriert werden, bevor es mit Workspace ONE UEM kommunizieren und auf interne Inhalte und Funktionen zugreifen kann. Die folgenden Informationen sind erforderlich, bevor Ihr Gerät registriert werden kann.

Wenn Ihrer Umgebung eine E-Mail-Domäne zugeordnet ist – bei Verwendung von automatischer Erkennung:

• E-Mail-Adresse: Dies ist Ihre E-Mail-Adresse, die mit Ihrer Organisation verbunden ist. Zum Beispiel ErikaMusterfrau@acme.com.
• Anmeldedaten – Mit dieser Kombination aus Anwendername und Kennwort können Sie auf Ihre Workspace ONE UEM-Umgebung zugreifen. Diese Anmeldedaten dürfen die gleichen sein wie die Ihrer Netzwerkverzeichnisdienste oder können in der Workspace ONE UEM console eindeutig definiert werden.

Wenn Ihrer Umgebung keine E-Mail-Domäne zugeordnet ist – Ohne automatische Erkennung:

Wenn Ihrer Umgebung keine Domäne zugeordnet ist, werden Sie dennoch aufgefordert, Ihre E-Mail-Adresse einzugeben. Da AutoErmittlung nicht aktiviert ist, werden Sie aufgefordert, die folgenden Informationen einzugeben:

• Gruppen-ID – Die Gruppen-ID ordnet Ihr Gerät Ihrer Unternehmensrolle zu und wird in der Workspace ONE UEM Console festgelegt.
• Anmeldedaten – Diese eindeutige Kombination aus Benutzernamen und Kennwort ermöglicht Ihnen den Zugriff auf Ihre Workspace-ONE-UEM-Umgebung. Diese Anmeldedaten dürfen die gleichen sein wie die Ihrer Netzwerkverzeichnisdienste oder können in der Workspace ONE UEM console eindeutig definiert werden.

Für den Download des Workspace ONE Intelligent Hub und die anschließende Registrierung eines Android-Geräts müssen Sie einen der folgenden Schritte ausführen:

• Navigieren Sie zu https://www.getwsone.com, und folgen Sie den Eingabeaufforderungen.
• Laden Sie Workspace ONE Intelligent Hub aus dem Google Play Store herunter.

Registrierungsrestriktionen für Android

Mit Registrierungsrestriktionen können Sie bestimmte Registrierungsrestriktionen bereitstellen, zum Beispiel die Beschränkung der Registrierung auf bekannte Benutzer, Benutzergruppen und eine zulässige Anzahl an registrierten Geräten.

Für diese Option navigieren Sie zu Gruppen und Einstellungen > Alle Einstellungen > Geräte und Benutzer > Allgemein > Registrierung und wählen Sie die Registerkarte Restriktionen. Dort können Sie Richtlinien für die Registrierungsrestriktionen je nach Organisations- und Benutzergruppen anpassen.

Sie können Registrierungsrestriktionen basierend auf den folgenden Faktoren erstellen:

• Hersteller und Modell von Android, um sicherzustellen, dass nur genehmigte Geräte bei Workspace ONE UEM registriert werden. Wenn ein Android-Gerät registriert wird, werden die Kriterien für Smartgruppen und Registrierungseinschränkungen aktualisiert, um das neue Produkt und Modell des Geräts miteinzubeziehen.

  Hinweis: Einige Geräte werden von anderen Anbietern hergestellt. Sie können eine Richtlinie mit dem eigentlichen Hersteller des Geräts erstellen, damit die Richtlinien wirksam werden. Im Folgenden finden Sie einige Möglichkeiten zur Ermittlung des Geräteherstellers:

  • Navigieren Sie in den Geräteeinstellungen zur Seite Info.
  • Mit einem ADB-Befehl: adb shell getprop | grep "manufacturer".

• Setzen Sie Geräte nach UDID, IMEI und Seriennummer auf die Blacklist oder Whitelist.

  Hinweis: Wenn Sie Geräte mit Android 10 oder höher im Arbeitsprofilmodus registrieren, verbleiben die Geräte im Status „Ausstehend“, bis UEM Console die IMEI- oder Seriennummer von den Geräten abrufen kann, um zu ermitteln, ob sie auf der Whitelist oder auf der Blacklist aufgeführt sind. Das Gerät wird bis zum Abschluss dieser Überprüfung nicht vollständig registriert, und Arbeitsdaten werden erst nach Abschluss der Registrierung gesendet.

Benutzerdefinierte DPC

Mit benutzerdefinierter DPC können Sie auf unterstützten Android-Geräten den Zugriff auf Arbeitsapps und -daten separat verwalten. Benutzerdefinierte DPC:

• Kommuniziert mit Workspace ONE UEM, um Profile, Geräterestriktionen und Einstellungen anzuwenden.
• Implementiert verwaltete Konfigurationen und überprüft die Konformität der Geräte mit den UEM-Richtlinien.

Um öffentliche Anwendungen auf Android-Geräten bereitzustellen, nutzt Workspace ONE UEM das Google-Play-EMM-API.

Android-Verwaltungs-API (AMAPI)

Wenn Ihre Geräte unter dem Android-Verwaltungs-API oder AMAPI verwaltet werden, werden die Geräte über die Arbeitsprofil-Verwaltungseinstellungen registriert. Mit AMAPI überträgt Workspace ONE UEM die gewünschten Einstellungen und Konfigurationen des Geräts an das AMAPI als ADP. In ähnlicher Weise wie „Benutzerdefinierte DPC“ beinhaltet dies, welche öffentlichen Apps AMAPI auf dem Gerät installieren soll. Workspace ONE UEM übermittelt auch, welche Verwaltungsrichtlinien und/oder Profile – Passcode-Anforderungen, Zertifikate, App-Berechtigungseinstellungen, Datenerfassung – an das AMAPI übertragen werden. Im Gegenzug überträgt das AMAPI Richtlinien an den Android-Device-Policy(ADP)-Client, der sie auf das Gerät anwendet.

Workspace ONE Intelligent Hub für Android übernimmt nach wie vor die Verteilung von Zertifikaten und internen Apps und ermöglicht einzigartige Funktionen wie Produktbereitstellung und Freestyle Orchestrator. Intelligent Hub für Android bleibt ein Teil des Prozesses, da es unseren einheitlichen App-Katalog, das Mobile-Threat-Defense-SDK, Integrationen mit Intelligence für erweiterte Analysen usw. hosten.

Wie unterscheidet die AMAPI-Erfahrung sich für Administratoren und Endbenutzer?

Als Administrator sehen Sie in der Workspace ONE UEM Console zwei wichtige Updates:

• Beim Erstellen von Android-Profilen wählen Sie nun aus, ob Profile für benutzerdefinierte DPC- oder AMAPI-Profile erstellt werden sollen.
• Bei der Registrierung von Geräten wählen Sie aus, ob neue Geräte, die bei Workspace ONE UEM registriert werden, mit benutzerdefinierter DPC oder dem AMAPI verwaltet werden. Dies kann nach Modus (Arbeitsprofil, COPE oder Vollständig verwaltet) und nach Organisationsgruppe festgelegt werden.

Als Geräte-Endbenutzer:

• Bei der Registrierung Ihrer Geräte können Sie jetzt die Registrierung Ihrer privaten Geräte initiieren, indem Sie zusätzlich zur Initiierung der Registrierung über Intelligent Hub einen AMAPI-Registrierungs-URL starten. Dieser Registrierungs-URL wird vom UEM-Administrator freigegeben und kann über einen QR-Code, einen Text, eine E-Mail, eine interne Website oder andere Mittel verteilt werden.
• Wenn Sie eine Richtlinie festlegen, die eine Endbenutzerinteraktion erfordert, ergreift das AMAPI Maßnahmen, um sicherzustellen, dass die Richtlinienanforderungen erzwungen werden. Wenn Sie beispielsweise Mindestanforderungen an die Gerätekennung über Profile festlegen, hält das AMAPI verwaltete Anwendungen an, bis die Gerätekennung die Richtlinienanforderungen erfüllt. Das AMAPI führt den Endbenutzer auch an, eine Kennung festzulegen, die mit der Richtlinie konform ist.

Android-Geräteverwaltungsmodi verstehen

Workspace ONE UEM bietet verschiedene Methoden zur Verwaltung von Android-Geräten, die als private oder unternehmenseigene Geräte verwendet werden können. Mit so vielen Optionen, die mit Workspace ONE UEM zur Verfügung stehen, müssen Sie die Unterschiede verstehen und die beste Lösung für die geschäftlichen Anforderungen Ihres Unternehmens auswählen.

Privat bezieht sich auf Geräte im Besitz des Endbenutzers, die sie für den Zugriff auf Unternehmensressourcen verwenden können. Diese Geräte werden auch als BYOD (Bring Your Own Devices) bezeichnet.

Unternehmenseigene Geräte gehören Ihrem Unternehmen und werden dem Mitarbeiter (Endanwender) für Arbeitszwecke zur Verfügung gestellt. Wenn ein Gerät unternehmenseigen ist, aber auch für den persönlichen Gebrauch aktiviert ist, wird dies als Unternehmenseigenes Gerät mit privater Nutzung (COPE, Corporate Owned Personal Personally-Enabled) bezeichnet.

Sie können den entsprechenden Verwaltungstyp basierend auf dem erforderlichen Sicherheits- und Datenschutzniveau für Ihre Endbenutzer auswählen. Zu den verfügbaren Verwaltungsoptionen gehören:

Hinweis * AMAPI wird nur auf unternehmenseigenen, privat nutzbaren Geräten mit Android ab Version 11 unterstützt.

In diesem Diagramm werden auch die Registrierungsmethoden und die Profilverwaltung mit jedem Verwaltungstyp vorgestellt.

Work-Profil-Modus

Work-Profil für mitarbeitereigene Geräte (auch als BYOD bezeichnet)

Geräte, die unter Work-Profil-Richtlinien verwaltet werden, schaffen auf dem Gerät einen sicheren Speicherplatz oder Container für ausschließlich geschäftliche Anwendungen und Daten. Dies ist die ideale Bereitstellungsart für private Geräte bzw. BYOD-Anwendungen (Bring Your Own Device). Persönliche und geschäftliche Daten des Gerätebesitzers werden zu jeder Zeit getrennt aufbewahrt. Anwendungen im Work-Profil werden durch ein rotes Aktenkoffer-Symbol kenntlich gemacht und als Anwendungen mit Badge bezeichnet. Sie werden in einem einheitlichen Launcher mit den persönlichen Anwendungen des Benutzers angezeigt. Beispielsweise zeigt Ihr Gerät ein persönliches Symbol für Google Chrome und ein separates, durch das Badge gekennzeichnete, Symbol für Work Chrome an. Für den Endbenutzer sieht es so aus, als hätte er zwei verschiedene Anwendungen. Die Anwendung ist jedoch nur einmal installiert, wobei die Geschäftsdaten von den persönlichen Daten getrennt gespeichert werden.

Der Workspace ONE Intelligent Hub ist mit einem Badge gekennzeichnet und existiert ausschließlich im Datenspeicher des Work-Profils. Es besteht keine Kontrolle über private Anwendungen, und der Workspace ONE Intelligent Hub hat keinen Zugriff auf personenbezogene Daten.

Einige Systemanwendungen sind standardmäßig im Work-Profil enthalten, wie z.B. Work Chrome, Google Play, Google-Einstellungen, Kontakte und Kamera. Diese können bei Nutzung eines Restriktionsprofils ausgeblendet werden.

Bestimmte Einstellungen zeigen die Trennung zwischen persönlicher und geschäftlicher Konfiguration. Für die folgenden Einstellungen sehen Benutzer getrennte Konfigurationen:

• Anmeldedaten: Unternehmenszertifikate zur Benutzerauthentifizierung für verwaltete Geräte ansehen.
• Konten: Das mit dem Work-Profil verbundene verwaltete Google-Konto ansehen.
• Anwendungen: Listet alle Anwendungen, die auf dem Gerät installiert sind.
• Sicherheit: Zeigt den Status der Geräteverschlüsselung an.

Nach Aufheben der Registrierung oder einem Enterprise-Wipe wird das Work-Profil vom Gerät entfernt, ohne dass die Einstellungen oder Konfigurationen sich auf persönlicher Seite auswirken.

Modus „Unternehmenseigenes Gerät mit privater Nutzung“ (COPE)

Work-Profil für unternehmenseigene Geräte mit privater Nutzung

Unternehmenseigene Geräte werden mit bereits installierten Unternehmensressourcen an Endbenutzer ausgegeben. Wie auf BYOD-Geräten verfügen Benutzer über einen dedizierten Arbeitscontainer und haben Zugriff auf die Konfiguration und Verwendung persönlicher Anwendungen. Administratoren können zusätzliche Restriktionen und Datenschutzeinstellungen konfigurieren, indem sie die Einstellungen des vom Unternehmen verwalteten Profils auf diese Geräte anwenden.

Wichtige Überlegungen für alle Betriebssystemversionen für den COPE-Modus:

• Sie können Richtlinien anwenden, die nur im Arbeitsprofil und auf dem gesamten Gerät gelten.
• Für COPE-Registrierungen wird kein Produkt-Provisioning unterstützt.
• Die Pin-basierte Verschlüsselung und Single-Sign-On in Workspace ONE UEM mit Hilfe von SDK werden für Geräte, die im COPE-Modus registriert sind, nicht unterstützt. Eine Work-Kennung kann erzwungen werden, um sicherzustellen, dass die Verwendung von geschäftlichen Anwendungen eine Kennung erfordert.
• Ähnlich wie beim Arbeitsprofil können Benutzer nur bei der Registrierung im COPE-Modus das Arbeitsprofil deaktivieren (z.B., wenn der Benutzer im Urlaub ist). Wenn das Work-Profil deaktiviert ist, erhält der Benutzer keine Benachrichtigungen zu geschäftlichen Anwendungen, und die Anwendungen können auch nicht gestartet werden. Der Status (aktiviert oder deaktiviert) des Work-Profils kann der Administrator auf der Seite "Gerätedetails" einsehen. Wenn das Work-Profil deaktiviert ist, können keine aktuellen Informationen zur Anwendung bzw. zum Profil aus dem Work-Profil abgerufen werden. Administratoren können festlegen, wie viele Tage das Work-Profil deaktiviert bleiben kann.

Hinweis: Mit Android 11 hat Google einige Aktualisierungen an den Datenschutzkonfigurationen vorgenommen, die hier eingesehen werden können

Modus „Unternehmenseigenes Gerät mit privater Nutzung“ (COPE) unter Android bis Version 10

Der COPE-Modus unter Android bis Version 10 wird nur mit benutzerdefinierter DPC unterstützt.

Unter Android bis Version 10 werden COPE-Geräte vollständig von der Organisation gesteuert. Organisationen haben Einblick in Anwendungen, die im persönlichen Profil installiert sind, und Workspace ONE Intelligent Hub für Android wird sowohl im persönlichen als auch im Arbeitsprofil ausgeführt. Organisationen wird dringend empfohlen, auf Geräten mit Android ab Version 11 den COPE-Modus zu verwenden, um ein besseres Gleichgewicht zwischen Anwenderdatenschutz und Gerätekontrolle zu erreichen.

Modus „Unternehmenseigenes Gerät mit privater Nutzung“ (COPE) unter Android ab Version 11

Der COPE-Modus unter Android ab Version 11 wird sowohl mit benutzerdefinierter DPC als auch dem AMAPI unterstützt.

Mit Android ab Version 11 können Organisationen Richtlinien für das gesamte Gerät festlegen und gleichzeitig die Privatsphäre der Anwender schützen, indem sie die Sichtbarkeit des persönlichen Profils einschränken. Organisationen können beispielsweise eine Positivliste von Anwendungen festlegen, die Benutzer im persönlichen Profil installieren können, aber nicht sehen, welche Anwendungen im persönlichen Profil installiert sind.

Einige wichtige Überlegungen zum COPE-Modus unter Android ab Version 11:

• (Benutzerdefinierte DPC) Benutzer können afw#hub nicht verwenden, um mit der Registrierung zu beginnen.
• Wie beim Produkt-Provisioning werden interne Anwendungen nicht unterstützt. Organisationen können intern entwickelte Anwendungen nur per Push auf das Gerät übertragen, indem sie sie im verwalteten Google-Play-Store veröffentlichen.
• Anwendungen können nur direkt innerhalb des Arbeitsprofils verwaltet werden. Im persönlichen Profil können Organisationen für Anwendungen weiterhin Positiv- und Negativlisten festlegen.
• Sie können die Aktion „Unternehmensdaten von Gerät löschen“ auswählen, anstatt eine vollständige Gerätezurücksetzung durchzuführen. Wenn Sie „Unternehmensdaten löschen“ ausführen, löscht das Gerät das Work-Profil und gibt die Zuständigkeit des Geräts an den Benutzer zurück. Die persönlichen Daten des Benutzers bleiben unverändert. Sie können weiterhin den Befehl „Gerätezurücksetzung“ verwenden, um ein Zurücksetzen des Geräts auf die Werkseinstellungen zu initiieren.

Vollständig verwaltet

Vom Unternehmen verwaltet für unternehmenseigene Geräte

Wenn ein Gerät im Modus „Vom Unternehmen verwaltetes Gerät“ registriert ist, wird ein echter Firmeneigentum-Modus erstellt. Workspace ONE UEM steuert das gesamte Gerät, und es erfolgt keine Trennung von geschäftlichen und persönlichen Daten.

Wichtige Punkte, die Sie beim Modus „Vom Unternehmen verwaltetes Gerät“ beachten sollten:

• Auf der Startseite werden keine Anwendungen mit Badge angezeigt, wie es im Work-Profil-Modus der Fall ist.
• Benutzer haben nach der Aktivierung des Geräts Zugriff auf verschiedenen vorinstallierte Anwendungen. Weitere Anwendungen können nur über die Workspace ONE UEM-Konsole genehmigt und hinzugefügt werden.
• In den Sicherheitseinstellungen ist der Workspace ONE Intelligent Hub als Geräteadministrator festgelegt, und diese Einstellung kann nicht deaktiviert werden.
• Geräte, die vollständig verwaltet werden, werden in der Regel an einen einzelnen Benutzer ausgegeben oder von Benutzern, die in Schichten arbeiten, gemeinsam genutzt.
• Das Abmelden des Geräts vom Modus „Unternehmensverwaltetes Gerät“ löst ein Zurücksetzen des Geräts auf die Werkseinstellungen aus.

Vollständig verwaltet (geschlossenes Netzwerk)-AOSP (Android-Open-Source-Projekt)

Vom Unternehmen verwaltetes Gerät ohne Google-Play-Dienste

Wenn Sie Workspace ONE UEM auf AOSP-Geräten (Android Open Source Project) oder Nicht-GMS-Geräten verwenden oder in Ihrer Organisation geschlossene Netzwerke nutzen, können Sie Ihre Android-Geräte mithilfe des Workflows „Vom Unternehmen verwaltete Geräte“ ohne Google Play-Dienste registrieren. Sie können Apps im Intranet Ihrer Organisation hosten und OEM-spezifische Registrierungsmethoden für die Bereitstellung verwenden.

Sie müssen während der Android-EMM-Registrierung in der UEM console angeben, dass Sie AOSP/geschlossene Netzwerke verwenden.

Überlegungen bei der Verwendung von „Unternehmensverwaltetes Gerät ohne Google-Play-Dienste“ bei Bereitstellungen mit AOSP/geschlossenem Netzwerk:

• Wenn Sie Android bereits in einer Organisationsgruppe der obersten Ebene eingerichtet haben und AOSP/ein geschlossenes Netzwerk nur in einer bestimmten untergeordneten Organisationsgruppe bereitstellen möchten, verfügt nur der Admin der UEM Console über eine Option, mit der angegeben wird, dass OOBE-Registrierungen in der untergeordneten Organisationsgruppe nicht über ein verwaltetes Google-Konto verfügen. Weitere Informationen finden Sie unter „Registrierungseinstellungen in der Android-EMM-Registrierung“.
• Wenn Sie Geräte mit Workspace ONE UEM 1907 und niedriger bereitstellen, ist keine Konfiguration der UEM-Konsole erforderlich.
• Wenn Sie Geräte mit Workspace ONE UEM 1908 und höher bereitstellen, müssen Sie die Einstellungen auf der Seite „Android EMM-Registrierung“ konfigurieren.
• Die unterstützten Registrierungsmethoden sind:
  • QR-Code
  • StageNow für Zebra-Geräte
  • Honeywell Enterprise Provisioner für Honeywell-Geräte
• Die Registrierung über den Workspace-ONE-Intelligent-Hub-Bezeichner wird auf AOSP-Geräten nicht unterstützt.
• Das öffentliche Profil „Automatische Aktualisierung“ wird nicht unterstützt. Dieses Profil ist speziell für öffentliche Apps vorgesehen und funktioniert nicht auf Geräten mit AOSP oder in geschlossenen Netzwerken.
• Das Profil „Factory Reset Protection“ wird nicht unterstützt.
• Interne Anwendungen (die in Workspace ONE UEM Console gehostet werden) werden im Hintergrund auf den Geräten mit AOSP/geschlossenem Netzwerk bereitgestellt.
• Vom Unternehmen verwalteten Geräten, die ohne ein verwaltetes Google-Konto registriert wurden, sollten keine öffentlichen Apps zugewiesen werden, und sie sollten nicht in der Anzahl der Geräte mit öffentlicher App-Zuweisung berücksichtigt werden.
• Betriebssystemversion und OEM-Anforderungen für „Unternehmensverwaltetes Gerät ohne Google-Play-Dienste“:
  • AOSP (Nicht-GMS)
    • Zebra und Honeywell: Müssen sich auf einer Betriebssystemversion befinden, die die Registrierung über StageNow oder Honeywell Enterprise Provisioner unterstützt.
    • Andere OEMs – Werden nicht unterstützt, es sei denn, OEM unterstützt sie über einen Client wie StageNow oder indem Benutzer auf die QR-Code-Registrierung zugreifen können.
  • Geschlossenes Netzwerk
    • Zebra und Honeywell: Android 7.0 und höher oder müssen sich auf einer Betriebssystemversion befinden, die Registrierung über StageNow (auch 7.0 oder höher) oder Honeywell Enterprise Provisioner unterstützt.
    • Andere OEMs: Android 7.0 oder höher, da die QR-Code-Registrierung die einzige unterstützte Methode ist.
• Wenn ein Gerät im Modus „Unternehmensverwaltetes Gerät“ ohne Google-Play-Dienste konfiguriert ist, muss Workspace ONE Intelligent Hub konfiguriert werden, um die Verwendung von AWCM anstelle von Firebase Cloud Messaging zu ermöglichen. Ohne dieses Update erhalten Geräte keine Push-Benachrichtigungen von der Konsole.

Android GO-Unterstützung

Android Go (offiziell „Android Go Edition“) ist eine leichte Version des Android-Betriebssystems, die von Google erstellt wurde. Es wurde speziell für Einsteiger-Smartphones mit begrenzten Hardwareressourcen entwickelt. Workspace ONE UEM unterstützt nur Geräte, auf denen Android GO im Modus „Unternehmensverwaltetes Gerät“ ausgeführt wird.

Für diese werden alle Geräteverwaltungsfunktionen für den Modus „Vom Unternehmen verwaltetes Gerät“ mit Ausnahme der folgenden unterstützt:

• Workspace ONE Launcher
• Produktbereitstellungsfunktionen, die auf Dateien oder Verzeichnisse auf dem Gerät zugreifen oder sie ändern müssen.
  • Dateien/Aktionen: Nur Aktionen zum Neustarten und Ausführen von Absichten werden unterstützt.
  • Bedingungen – Alle Bedingungen außer Launcher werden unterstützt.
  • Ereignis/Aktionen: Alle Aktionen außer „Benutzerdefinierte Einstellungen anwenden“ werden unterstützt.