Profils Android pour DPC personnalisé

Les charges utiles de profil suivantes sont disponibles pour les terminaux Android à DPC personnalisé :

Section de configuration Code d'accès

Une politique de code secret exige de vos utilisateurs finaux qu'ils saisissent un code secret, fournissant ainsi un premier niveau de sécurité pour les données sensibles des terminaux.

La stratégie de code secret professionnel s'applique uniquement aux applications professionnelles afin que les utilisateurs n'aient pas à saisir de mots de passe complexes chaque fois qu'ils déverrouillent leur terminal lorsqu'il est inscrit avec un profil professionnel. Le profil professionnel conserve les données des applications d'entreprise protégées et permet aux utilisateurs finaux d'accéder aux applications et aux données personnelles comme bon leur semble. Pour les terminaux gérés pour le travail, cette politique de code d'accès s'applique au terminal. Le code secret professionnel est disponible sur Android 7.0 (Nougat) et versions ultérieures pour les terminaux enrôlés avec un profil professionnel.

La stratégie de code secret du terminal s'applique à l'ensemble du terminal (inscrit avec un profil professionnel ou géré pour le travail). Ce code secret doit être saisi chaque fois que le terminal est déverrouillé. Il peut être appliqué en plus du code secret professionnel.

Par défaut, lors de la création de nouveaux profils, seul le code secret professionnel est activé (le code secret du terminal n'est pas activé). L'administrateur doit activer manuellement le code secret du terminal.

Remarque : Lorsque le profil avec code secret est présent sur le terminal et que l'utilisateur ne définit pas le code secret, aucune application ou aucun profil n'est transféré vers le terminal tant que celui-ci n'est pas conforme.

Une fois la stratégie de code secret établie, l'UEM Console avertit l'utilisateur via une notification permanente, afin qu'il mettre à jour les paramètres de code secret lorsqu'un code secret atteint la durée de vie minimale ou si un changement du code secret est requis. Les utilisateurs ne peuvent pas utiliser Intelligent Hub tant qu'ils n'ont pas configuré le code secret comme requis dans le profil. Sur les terminaux Samsung, l'utilisateur est verrouillé dans l'assistant de configuration de l'écran de verrouillage jusqu'à ce qu'il définisse un code secret répondant aux exigences de la politique de code secret. Pour les terminaux professionnel, les utilisateurs ne peuvent pas utiliser le terminal. Pour le profil professionnel et les terminaux COPE, les utilisateurs ne peuvent pas accéder aux applications professionnelles.

Complexité du code secret

Lorsque vous définissez le code secret professionnel ou du terminal, vous déterminez la complexité du code secret avant de configurer des paramètres supplémentaires. Tout d'abord, vous allez décider du niveau de granularité de vos exigences minimales de complexité de code secret en définissant les contrôles de complexité du code secret sur Basiques ou Advancé.

Lorsque vous sélectionnez Basiques vous pouvez simplement définir la complexité sur Basse, Moyenne ou Élevée. Pour Basse, les utilisateurs peuvent définir un verrouillage d'écran de n'importe quel type. Pour une complexité Moyenne, les utilisateurs devront définir un code pin ou un code secret complexe sur leur terminal sans exigence de longueur minimale. Lorsque Haute est sélectionné, les utilisateurs devront définir l'un des éléments suivants :

• Un code PIN complexe d'une longueur minimale de 8 caractères
• Un mot de passe d'une longueur minimale de 6 caractères

Si vous sélectionnez Avancés, vous devez définir les paramètres Contenu du code secret et Longueur minimale du code secret répertoriés dans les paramètres du profil.

Les paramètres disponibles pour le profil Code secret sont présentés ci-dessous.

Les paramètres suivants s'appliquent si vous sélectionnez Complexe dans la zone de texte Contenu du code secret.

Les paramètres suivants s'appliquent pour définir un code secret sur un terminal Samsung.

Ces paramètres s'affichent uniquement lorsque les Paramètres OEM dans les profils Général et Samsung à partir du menu déroulant Sélectionner OEM sont sélectionnés.

Configurer la superposition de l'écran de verrouillage (Android)

Dans le profil de code secret, l'option Superposition de l'écran de verrouillage vous permet de superposer des informations sur l'image de l'écran de verrouillage à l'intention de l'utilisateur final ou de la personne qui trouverait un terminal verrouillé. Superposition de l'écran de verrouillage fait partie du profil Code secret.

La superposition de l'écran de verrouillage est une fonctionnalité native pour Android qui est disponible pour plusieurs licences OEM.

Les paramètres de la superposition de l'écran de verrouillage pour les profils Android s'affichent lorsque le champ Paramètres OEM est défini sur Activé et que Samsung est sélectionné dans le champ Sélectionner l'OEM. Le champ Paramètres OEM du profil général s'applique uniquement aux profils Android et non aux configurations Android (héritées).

Configurez les paramètres de Superposition d'images selon les besoins :

Configurez les paramètres des Informations sur l'entreprise.

Paramètres du navigateur Chrome

Le profil Paramètres du navigateur Chrome vous aide à gérer les paramètres de l'application Work Chrome.

Chrome est le navigateur Web de Google. Chrome offre un certain nombre de fonctionnalités telles que la recherche, l'omnibox (une zone permettant de faire des recherches et de naviguer), le remplissage automatique, l'enregistrement des mots de passe et la connexion au compte Google pour accéder instantanément aux derniers onglets et recherches sur tous vos terminaux. L'application Work Chrome fonctionne de la même manière que la version personnelle de Chrome. La configuration de ce profil n'affectera pas l'application Chrome personnelle de l'utilisateur. Vous pouvez pousser ce profil avec une charge utile VPN ou Informations d'identification Wi-Fi séparée pour garantir que les utilisateurs finaux peuvent s'authentifier et se connecter à vos sites et systèmes internes. Cela permet de s'assurer que les utilisateurs utilisent l'application Work Chrome à des fins professionnelles.

Matrice des paramètres du navigateur Chrome (Android)

Le profil Paramètres du navigateur Chrome vous aide à gérer les paramètres de l'application Chrome professionnelle. La configuration de ce profil n'affectera pas l'application Chrome personnelle de l'utilisateur. Vous pouvez pousser ce profil avec une charge utile VPN ou Informations d'identification Wi-Fi séparée pour garantir que les utilisateurs finaux peuvent s'authentifier et se connecter à vos sites et systèmes internes.

Cette matrice présente en détail les paramètres disponibles dans le profil du navigateur Chrome :

Restrictions

Les profils de restriction dans la console UEM verrouillent la fonctionnalité native des terminaux Android. Les restrictions et le comportement disponibles varient en fonction de l'enrôlement du terminal.

Le profil Restrictions affiche des étiquettes qui indiquent si la restriction sélectionnée s'applique au mode Profil professionnel, Terminaux gérés pour le travail ou aux deux. Cependant, pour les terminaux avec un Profil professionnel, elles n'affectent que les applications badgées par Android. Par exemple, lorsque vous configurez des restrictions pour le Profil professionnel, vous pouvez désactiver l'accès à l'application Camera professionnelle. Ceci affecte uniquement l'application Camera badgée par Android et non l'application Camera personnelle de l'utilisateur.

Note : quelques applications système sont incluses par défaut dans le profil professionnel : Work Chrome, Google Play, Google Settings, Contacts et Camera, par exemple. Ces applications peuvent être masquées à l'aide d'un profil de restrictions et n'affectent pas l'application Camera personnelle de l'utilisateur.

Restrictions sur l'utilisation de comptes Google non gérés

Il est possible que vous souhaitiez autoriser des personnes à ajouter des comptes Google non gérés ou personnels, par exemple, pour lire des mails personnels, mais que vous vouliez quand même empêcher le compte personnel d'installer des applications sur le terminal. Vous pouvez définir une liste de comptes que les personnes peuvent utiliser dans Google Play dans la Workspace ONE UEM console.

Déployez une section de configuration Restrictions pour renforcer la sécurité sur des terminaux Android. Les sections de configuration Restrictions permettent de désactiver l'accès des utilisateurs aux fonctions du terminal pour veiller à ce que les terminaux ne soient pas altérés.

Sélectionnez le profil Restrictions et configurez les paramètres :

Restrictions spécifiques pour Android

Cette matrice fournit un aperçu des configurations de restrictions proposées par type de propriété du terminal.

Restrictions non prises en charge sur les terminaux COPE Android 11 et versions ultérieures

Avec Android 11 et versions ultérieures, les terminaux COPE ne prennent plus en charge la plupart des stratégies du profil de restrictions du côté personnel du terminal. Cette liste indique quelles stratégies ne sont pas prises en charge :

Exchange Active Sync

Workspace ONE UEM utilise le profil EAS (Exchange ActiveSync) sur les terminaux Android pour garantir une connexion sécurisée aux données internes (e-mails, calendriers et contacts) avec des clients de messagerie. Par exemple, les paramètres de messagerie EAS configurés pour le profil professionnel affectent toutes les applications de messagerie téléchargées à partir du catalogue Workspace ONE UEM avec l'icône badgée, mais ils n'affectent pas la messagerie personnelle de l'utilisateur.

Une fois que chaque utilisateur dispose d'une adresse e-mail et d'un nom d'utilisateur, vous pouvez créer un profil Exchange Active Sync.

Remarque : Le profil Exchange Active Sync s'applique aux types de modes Profil professionnel et Terminal géré pour le travail.

Sélectionnez le profil Exchange Active Sync et configurez les paramètres suivants.

Mise à jour automatique d'applications publiques

Le profil de mise à jour automatique d'applications publiques vous permet de configurer des mises à jour automatiques et de planifier des fenêtres de maintenance pour les applications Android publiques.

Le profil de mise à jour automatique d'application publique utilise les API Google pour envoyer des données de profil directement aux terminaux.

Pour configurer le profil de mise à jour automatique d'applications publiques :

Remarque : Si un profil contient une charge utile de mise à jour d'application publique, il ne peut pas contenir d'autres charges utiles.

Sélectionnez Mise à jour automatique d'applications publiques dans la liste de charges utiles et configurez les paramètres de mise à jour :

• Stratégie de mise à jour automatique des applications publiques : spécifiez à quel moment Google Play autorise la mise à jour automatique. Sélectionnez Autoriser l'utilisateur à configurer, Toujours mettre à jour automatiquement, Mettre à jour sur Wi-Fi uniquement ou Jamais de mise à jour automatique.

La sélection par défaut est Autoriser l'utilisateur à configurer.

• Heure de début : définissez ce que les applications à l'heure locale au premier plan sont autorisées à mettre à jour automatiquement chaque jour. Sélectionnez une heure comprise entre 0h30 et 23h30.

Remarque : S'applique uniquement si les options Procéder à la mise à jour en Wi-Fi uniquement ou Toujours procéder à la mise à jour automatique sont sélectionnées.

• Date de fin : définissez ce que les applications à l'heure locale au premier plan sont autorisées à mettre à jour automatiquement chaque jour. Sélectionnez une durée comprise entre 30 minutes et 24 heures.

Remarque : S'applique uniquement si les options Procéder à la mise à jour en Wi-Fi uniquement ou Toujours procéder à la mise à jour automatique sont sélectionnées.

En fonction de la durée configurée, les applications ne se mettent à jour automatiquement qu'entre les heures de début et de fin indiquées. Par exemple, vous pouvez configurer des terminaux kiosque pour qu'ils se mettent à jour uniquement en dehors des heures ouvrables pour ne pas interrompre leur utilisation.

Important : les terminaux Android conservent une seule version de l'application, même si l'application est installée dans un profil personnel et un profil professionnel. Cela signifie que, pour les terminaux enrôlés en mode Profil professionnel ou Terminal professionnel et personnel (COPE) dans Workspace ONE UEM, il n'est pas toujours possible d'empêcher les mises à jour automatiques des applications via Google Play. Les stratégies relatives aux mises à jour automatiques des applications n'affectent pas le profil personnel, ou le côté professionnel, du terminal. Si l'application est installée sur le profil personnel, il est possible que le Play Store dans le profil personnel mette automatiquement à jour l'application.

Informations d'identification et profil SCEP

Pour une sécurité renforcée, vous pouvez mettre en place des certificats numériques qui protégeront vos actifs professionnels. Pour ce faire, vous devez d'abord définir une autorité de certification, puis configurer une charge utile Informations d'identification ou un profil SCEP avec votre charge utile Exchange ActiveSync (EAS), Wi-Fi ou VPN.

Les profils Informations d'identification et SCEP déploient des certificats d'entreprise pour l'authentification des utilisateurs sur les terminaux gérés. Chaque charge utile dispose de paramètres pour l'association d'une autorité de certification définie dans la section de configuration Informations d'identification ou SCEP. Sur les terminaux Android enrôlés en mode Profil professionnel ou Terminal professionnel et personnel (COPE), Workspace ONE UEM installe le certificat dans le keystore du profil professionnel.

Les terminaux doivent disposer d'un code PIN de terminal configuré avant que Workspace ONE UEM puisse installer des certificats d'identité avec une clé privée.

Quelle est la différence entre les charges utiles Identifiants et les SCEP ?

Pour plus d'informations sur les différents protocoles, reportez-vous à la section Intégrations d'autorité de certification.

Sélectionnez le profil Informations d'identification ou SCEP et sélectionnez Ajouter.

Dans le menu déroulant, sélectionnez Importer ou Autorité de certification définie pour la Source du certificat. Les options de profil restantes dépendent de la source. Si vous choisissez Importer, vous devez saisir un nom d'identifiant et importer un nouveau certificat. Si vous sélectionnez Autorité de certification définie, vous devez choisir une autorité de certification prédéfinie, ainsi qu'un modèle de certificat.

Autoriser les applications à accéder aux certificats en mode silencieux

Lorsque vous choisissez Autorité de certification définie comme Source d'informations d'identification, vous pouvez également spécifier des applications qui peuvent accéder silencieusement au certificat client émis par cette autorité de certification. Cette option est appelée Autoriser l'accès silencieux aux applications. Lorsque cette option est activée, vous pouvez choisir toutes les applications Android publiques et internes que vous avez précédemment ajoutées à la Workspace ONE UEM Console.

Normalement, les applications Android nécessitent l'autorisation de l'utilisateur final avant qu'il puisse accéder aux certificats clients dans le keystore Android. Elles demandent cette autorisation en présentant une boîte de dialogue à l'utilisateur final qui lui demande de choisir dans une liste de certificats clients. En choisissant un certificat, l'utilisateur final autorise l'application à y accéder.

En utilisant Autoriser l'accès silencieux aux applications, vous pouvez autoriser administrativement les applications à accéder au certificat dans le profil Informations d'identification/SCEP. Cela permet à l'application d'extraire silencieusement le certificat du keystore Android. Cela fonctionne uniquement si les applications auxquelles vous avez accordé l'accès répondent à l'une des conditions suivantes :

• L'application connaît à l'avance l'alias du certificat. Par exemple, si l'application prend en charge la configuration de l'application, vous pouvez fournir l'alias, ou nom convivial, du certificat à l'application via Workspace ONE UEM. Dans le cas de certificats clients émis par une Autorité de certification définie, l'alias de certificat équivaut à l'objet du modèle de certificat sélectionné dans le profil Informations d'identification/SCEP.
• L'application écoute la diffusion ACTION_KEY_ACCESS_CHANGED. Lorsque Workspace ONE UEM accorde à une application un accès silencieux à un certificat, Intelligent Hub émet cette diffusion sur le terminal Android. Si l'application écoute la diffusion, elle peut détecter que le certificat est désormais disponible pour y accéder.

Gérer les certificats avec XML personnalisé

Les certificats peuvent être gérés via Workspace ONE Intelligent Hub pour Android et à l'aide de XML personnalisés dans UEM console. Vous pouvez spécifier des noms de modules qui vous permettent de gérer vos certificats sur des terminaux Android. Vous pouvez ajouter les noms des modules via des paramètres personnalisés.

Pour transférer ces modules :

1. Accédez à Groupes et paramètres > Tous les paramètres > Applications > Paramètres et politiques > Paramètres > Paramètres personnalisés.

2. Configurez les profils XML personnalisés en conséquence :

   Paramètre	Description
   Paramètres personnalisés	Collez le ode XML personnalisé suivant : { "AuthorizedCertInstaller" : "packagename" } et remplacez l'espace réservé pour le nom du module par le nom du module réel de l'application (généralement au format : com.company.appname).

3. Enregistrez le code XML personnalisé.

Messages personnalisés

Le profil de messages personnalisés vous permet de configurer des messages qui s'affichent sur l'écran d'accueil du terminal lorsque des informations importantes doivent être relayées à l'utilisateur.

Le profil de messages personnalisés vous permet de définir un message de verrouillage de l'écran, un message pour les paramètres bloqués ou un message que les utilisateurs peuvent afficher dans les paramètres de leur terminal.

Sélectionnez le profil de messages personnalisés et configurez les paramètres des messages :

Contrôle d'applications

Le profil de contrôle des applications vous permet de contrôler les applications approuvées et d'éviter de désinstaller des applications importantes. Alors que le moteur de conformité peut envoyer des alertes et effectue des actions administratives lorsqu'un utilisateur installe ou désinstalle certaines applications, le contrôle des applications empêche les utilisateurs de procéder à ces changements.

Warning: Enabling/ disabling critical system apps results in devices becoming unusable.

Même sans profil de contrôle des applications, les organisations ont déjà un certain contrôle sur les applications qui peuvent être installées sur un terminal géré. Par défaut, seules les applications publiques que l'administrateur a attribuées au terminal via la Workspace ONE UEM Console seront disponibles dans le catalogue d'applications Play Store géré. Pour les terminaux Profil professionnel et les terminaux professionnels et personnels (COPE), cela s'applique au catalogue Play Store uniquement dans le profil professionnel.

Les administrateurs peuvent appliquer d'autres restrictions d'application sur les terminaux gérés.

Restriction des applications professionnelles

Pour les applications gérées sur des périphériques Android, les administrateurs peuvent appliquer les restrictions dans le tableau ci-dessous.

Les restrictions du tableau ci-dessus sont appliquées comme suit :

• Terminaux à profil professionnel ou or COPE (Android 11 et versions ultérieures) : les restrictions s'appliquent uniquement aux applications du profil professionnel.
• Terminaux gérés pour le travail : Les restrictions s'appliquent à l'ensemble du terminal, car il n'y a pas de séparation entre les applications professionnelles et personnelles.
• Terminaux COPE (Android 10 et versions antérieures) : si la case Géré pour le travail est cochée, les restrictions s'appliquent aux applications du côté personnel du terminal. Si la case Profile professionnel est cochée, des restrictions s'appliquent au profil professionnel.

Restriction des applications personnelles sur les terminaux Android COPE versions 11 et ultérieures

Pour les terminaux enrôlés en mode COPE et exécutant Android 11 ou version ultérieure, les administrateurs disposent d'un paramètre séparé (Restrictions concernant le Play Store personnel) pour limiter les applications pouvant être utilisées du côté personnel du terminal.

Groupes d'applications et profil de contrôle des applications

Workspace ONE UEM applique les paramètres de contrôle des applications aux applications définies dans les groupes d'applications que vous créez dans la Workspace ONE UEM Console. Un groupe d'applications ne s'applique qu'à un terminal s'il est attribué au groupe d'applications. En d'autres termes, les groupes d'applications et les profils de contrôle des applications doivent être attribués au terminal pour qu'un paramètre du profil de contrôle des applications prenne effet.

Par exemple, pour empêcher la désinstallation d'une application professionnelle, les deux applications doivent être attribuées au terminal :

• Un groupe d'applications de type Requis contenant l'application
• Un profil de contrôle d'applications avec Empêcher la désinstallation des applications requises

L'ordre dans lequel ils sont attribués au terminal est également important. Les modifications apportées aux applications d'un groupe d'applications ne sont pas appliquées au terminal tant qu'un profil de contrôle des applications correspondant n'est pas installé sur le terminal. Dans l'exemple ci-dessus, pour empêcher la désinstallation d'une autre application, l'application doit d'abord être ajoutée au groupe d'applications. Le profil de contrôle des applications doit ensuite être réinstallé sur le terminal.

Enfin, plusieurs groupes d'applications du même type peuvent être attribués à un terminal. Dans cet exemple, si deux groupes d'applications de type Requis contenant des applications différentes sont attribués au même terminal, le paramètre Empêcher la désinstallation des applications requises s'appliquera aux applications définies dans les deux groupes d'applications sur ce terminal.

Pour plus d'informations sur les Groupes d'applications, consultez la documentation relative à la gestion des applications mobiles.

Paramètres du proxy

Les paramètres de proxy sont configurés de sorte que tout le trafic réseau HTTP et HTTPS passe uniquement par ce proxy. Toutes les données personnelles et professionnelles sont alors filtrées via le profil de paramètres de proxy, ce qui renforce la sécurité des données.

Configurez les paramètres du proxy de la manière suivante :

Mises à jour système

Utilisez ce profil pour gérer la manière dont les mises à jour de terminaux Android sont gérées lorsque le terminal est inscrit dans Workspace ONE UEM.

Sélectionnez le profil Mises à jour système.

Utilisez le menu déroulant du champ Mises à jour automatiques pour sélectionner la politique de mise à jour.

Wi-Fi

La configuration d'un profil Wi-Fi permet aux terminaux de se connecter aux réseaux d'entreprise même s'ils sont masqués, chiffrés ou protégés.

Ce profil Wi-Fi peut s'avérer utile pour les utilisateurs finaux en déplacement dans des bureaux disposant de leur propre réseau sans fil ou pour configurer les terminaux automatiquement de sorte qu'ils se connectent au réseau sans fil approprié d'un site.

Lors du déploiement d'un profil Wi-Fi sur des terminaux sous Android 6.0 ou version ultérieure, si un utilisateur a déjà connecté son terminal à un réseau Wi-Fi manuellement, Workspace ONE UEM ne peut modifier la configuration Wi-Fi. Par exemple, si vous déployez le profil mis à jour sur les terminaux inscrits alors que le mot de passe Wi-Fi a été modifié, certains utilisateurs devront saisir le nouveau mot de passe manuellement sur leur terminal.

Pour configurer le profil :

Configurez les paramètres du Wi-Fi :

Itinérance Wi-Fi

Le profil Itinérance Wi-Fi vous permet de contrôler la transition des terminaux Android entre les points d'accès sur le même réseau sans fil. Ces paramètres permettent d'équilibrer la qualité de connexion, les performances et l'utilisation de la batterie.

Remarque : Vous n'avez pas besoin de configurer un réseau Wi-Fi dans la charge utile Wi-Fi Android pour appliquer les paramètres d'itinérance Wi-Fi. La charge utile Itinérance Wi-Fi fonctionne indépendamment et peut gérer le comportement d'itinérance pour n'importe quel réseau auquel le terminal se connecte. Il vous suffit de fournir le SSID sous forme de valeur de texte. Cela permet d'appliquer des contrôles d'itinérance même lorsque le réseau lui-même n'est pas provisionné via Workspace ONE UEM.

Pour chaque SSID, vous pouvez attribuer l'un des comportements d'itinérance suivants :

• Par défaut Le terminal suit la logique d'itinérance intégrée dans Android. Il bascule entre les points d'accès lorsque le système détermine que la force du signal s'est suffisamment dégradée.

• Agressif Le terminal choisit en priorité de rester connecté au point d'accès disponible le plus fort. Cela peut améliorer la stabilité de connexion dans les environnements dotés d'une couverture de points d'accès dense, même si cela peut augmenter la consommation de la batterie.

• Pas d'itinérance Le terminal restera connecté au point d'accès actuel et ne changera pas automatiquement. Cela peut être utile dans les réseaux dans lesquels les transitions de points d'accès provoquent des abandons, des boucles d'authentification ou une instabilité des applications.

Pour configurer le comportement d'itinérance, ajoutez un SSID, choisissez l'option souhaitée dans le menu déroulant et enregistrez le profil. Ces paramètres s'appliquent aux terminaux Android 15 et versions ultérieures entièrement gérés et COPE.

VPN

Les réseaux privés virtuels (VPN) fournissent aux terminaux un tunnel sécurisé et chiffré pour accéder aux ressources internes, telles que la messagerie, les fichiers et le contenu professionnels. Les profils VPN permettent à chaque terminal de fonctionner comme s'il était connecté sur le réseau local.

Selon le type de connexion et la méthode d'authentification, utilisez des valeurs de recherche qui permettront de renseigner automatiquement le nom d'utilisateur, afin de rationaliser le processus de connexion.

Remarque : Le profil VPN s'applique aux deux types de mode Profil professionnel et Terminal géré pour le travail.

Configurez les paramètres de VPN. Le tableau ci-dessous contient tous les paramètres que vous pouvez configurer selon le client VPN.

Configurer les règles du VPN par application

Vous pouvez obliger certaines applications à se connecter via votre VPN d'entreprise. Votre fournisseur VPN doit prendre en charge cette fonctionnalité et vous devez publier les applications en tant qu'applications gérées.

Remarque : Le VPN par application ne prend pas en charge la configuration automatique du proxy Wi-Fi.

1. Sélectionnez la section de configuration VPN dans la liste.

2. Sélectionnez votre fournisseur VPN dans le champ Type de connexion.

3. Configurez votre profil VPN.

4. Sélectionnez Règles de VPN par application pour pouvoir associer le profil VPN aux applications souhaitées. Pour les clients Workspace ONE Tunnel, cette option est activée par défaut. Une fois la case cochée, ce profil peut être sélectionné dans la liste déroulante des profils de tunnel par application sur la page d'attribution de l'application.

5. Cliquez sur Enregistrer et publier.

   Si les règles de VPN par application sont activées en tant que mise à jour d'un profil VPN existant, les terminaux/applications qui utilisaient auparavant la connexion VPN sont affectés. La connexion VPN qui acheminait précédemment tout le trafic d'applications est déconnectée et le VPN ne s'applique qu'aux applications associées au profil mis à jour.

Pour configurer des applications publiques afin d'utiliser le profil VPN par application, reportez-vous à la section Ajout d'applications publiques pour Android dans la Gestion des applications pour la publication Android.

Autorisations

Workspace ONE UEM Console permet à l'administrateur d'afficher une liste de toutes les autorisations qu'une application utilise et de définir l'action par défaut au moment de l'exécution de l'application. Le profil Autorisations est disponible sur les terminaux Android 6.0 (et versions ultérieures) utilisant le mode Terminaux gérés pour le travail.

Vous pouvez définir des politiques d'autorisation pour chaque application Android. Les dernières autorisations sont récupérées lors de la configuration de chaque application au niveau individuel.

Remarque : Toutes les autorisations utilisées par une application sont énumérées lorsque vous sélectionnez l'application dans la liste Exceptions. Toutefois, les politiques d'autorisation de Workspace ONE UEM Console ne s'appliquent qu'aux autorisations considérées comme dangereuses par Google. Les autorisations dangereuses concernent les opérations où l'application demande des données qui incluent les informations personnelles de l'utilisateur ou qui pourraient potentiellement affecter les données stockées par l'utilisateur. Pour plus d'informations, veuillez consulter le site Web Android Developer.

Configurez les paramètres Autorisations, notamment :

Il existe deux autorisations avec des cas d'utilisation spéciaux :

• Emplacement : dans Android 12 et versions ultérieures, UEM ne peut pas accorder à une application les autorisations liées à un capteur, notamment la localisation, lorsque le terminal est enrôlé en mode Profil professionnel ou COPE. Reportez-vous à la documentation Préparation pour Android.

• Accès à tous les fichiers (également appelé stockage étendu) : dans Android 11 et versions ultérieures, Android n'autorise plus les applications à accéder aux fichiers dans le stockage partagé du terminal, sauf si elles disposent de cette autorisation spéciale/restreinte. UEM ne peut pas accorder ce type d'autorisation aux applications. Pour plus d'informations, reportez-vous à la section Stockage étendu sur Android 11.

Mode Verrouillage des tâches

Le mode Verrouillage des tâches permet à une application de s'épingler au premier plan, ce qui permet un usage unique tel que le mode Kiosque. L'application prend en charge le mode Verrouillage des tâches et est ajoutée via le paramètre Applications et livres pour s'afficher dans la liste blanche des applications. Le développeur d'application configure le paramètre Verrouillage des tâches lors du développement de l'application. Les paramètres du profil Verrouillage des tâches vous permettent de configurer les autorisations et les paramètres.

Remarque : Pour plus d'informations sur les applications prises en charge, consultez le lien dans le profil du mode Verrouillage des tâches dans Workspace ONE UEM Console qui vous renvoie vers le site Google Developer pour des spécificités.

Configurer les paramètres du mode Verrouillage des tâches :

Meilleures pratiques pour le mode Verrouillage des tâches

Pensez à appliquer ces politiques et restrictions afin d'assurer la meilleure expérience et la meilleure maintenance pour votre application à finalité unique en utilisant les politiques du mode Verrouillage des tâches. Ces recommandations sont utiles si vous déployez un profil du mode Verrouillage des tâches pour les terminaux dans des cas d'utilisation de type kiosque et affichage numérique pour lesquels un utilisateur final n'est pas associé au terminal.

Créez un profil « Restrictions » et configurez les éléments suivants dans le profil :

• Désactivez les options suivantes sous Fonctionnalités du terminal :

  • Autoriser barre d'état – Permet une expérience immersive lorsque le terminal est verrouillé en mode Verrouillage des tâches.
  • Autoriser Keyguard – Permet d'empêcher le verrouillage du terminal. Ce paramètre est ignoré lorsqu'un code secret est présent sur le terminal.

• Désactivez les options suivantes sous Fonctionnalités du terminal :

  • Forcer l'activation de l'écran lorsque le terminal est branché sur un chargeur CA.
  • Forcer l'activation de l'écran lorsque le terminal est branché sur un chargeur USB.
  • Forcer l'activation de l'écran lorsque le terminal est branché sur un chargeur sans fil. Ces options permettent de s'assurer que l'écran du terminal est toujours actif.

Déployez le profil Politique de mise à jour système pour vous assurer que le terminal reçoit les dernières corrections avec un minimum d'intervention manuelle.

Date/heure des terminaux Android

Configurez les paramètres de synchronisation de la date et de l'heure pour vous assurer que les terminaux ont toujours l'heure correcte dans différentes régions. Pris en charge sur les terminaux Android 9.0 ou version ultérieure.

Configurez les paramètres de date/heure :

Date et heure des terminaux Samsung

Configurez les paramètres de synchronisation de la date et de l'heure pour vous assurer que les terminaux ont toujours l'heure correcte dans différentes régions.

Ce profil est disponible lorsque l'option Paramètres OEM est activée et que le champ Sélectionner OEM est défini sur Samsung dans les paramètres du profil général.

Remarque : Le profil Date/Heure s'affiche uniquement lorsque le champ Paramètres OEM est défini sur Activer.

Configurez les paramètres de date/heure pour Samsung, y compris :

Workspace ONE Launcher

Workspace ONE Launcher est un lanceur d'applications qui vous permet de verrouiller les terminaux Android pour certains cas d'utilisation et de personnaliser l'apparence et le comportement des terminaux Android gérés. Workspace ONE Launcher remplace l'interface de votre terminal par une interface personnalisée, adaptée aux besoins de votre entreprise.

Vous pouvez configurer les terminaux Android 6.0 Marshmallow (et versions ultérieures) en mode Propriété de l'entreprise, utilisation unique (COSU, Corporate-Owned, Single-Use). Le mode COSU vous permet de configurer des terminaux avec une seule finalité telle que le mode kiosque en ajoutant sur la liste blanche les applications internes et publiques prises en charge. Le mode COSU est pris en charge pour les modes Application unique, Applications multiples et Modèle. Pour plus d'informations sur le déploiement du profil Workspace ONE Launcher en mode COSU, reportez-vous à la publication Workspace ONE Launcher.

Pour obtenir un guide plus complet sur la configuration de Workspace ONE Launcher, consultez la Publication sur Workspace ONE Launcher.

Firewall

La section de configuration Pare-feu permet aux administrateurs de configurer des règles de pare-feu pour les terminaux Android. Chaque type de règle de pare-feu vous permet d'ajouter plusieurs règles.

Ce profil est disponible lorsque l'option Paramètres OEM est activée et que le champ Sélectionner OEM est défini sur Samsung dans les paramètres du profil général.

Remarque : La charge utile Pare-feu s'applique uniquement aux terminaux SAFE 2.0 et versions ultérieures.

1. Accédez à Ressources > Profils et lignes de base > Profils > Ajouter > Ajouter un profil > Android.

   Le profil Pare-feu s'affiche uniquement pour les profils Android lorsque le champ Paramètres OEM est activé et que Samsung est sélectionné dans le champ Sélectionner OEM. Le champ Paramètres OEM du profil général s'applique uniquement aux profils Android et non aux configurations Android (héritées).

2. Cliquez sur Terminal pour déployer votre profil.

3. Configurez les paramètres du profil dans l'onglet Général.

   Les paramètres généraux déterminent la façon dont le profil est déployé et les utilisateurs qui le reçoivent.

4. Sélectionnez le profil Pare-feu.

5. Cliquez sur le bouton Ajouter sous la règle souhaitée et configurez les paramètres suivants :

   Paramètre	Description
   Règles d'autorisation	Permettent au terminal d'envoyer et de recevoir des données à partir d'un emplacement réseau spécifique.
   Règles de refus	Empêchent le terminal d'envoyer et de recevoir des données à partir d'un emplacement réseau spécifique.
   Règles de redirection	Redirigent le trafic provenant d'un emplacement réseau spécifique vers un autre réseau. Si un site Web autorisé redirige vers une autre URL, veuillez ajouter toutes les URL de redirection à la section Règles d'autorisation pour qu'il soit accessible.
   Règles d'exception de redirection	Évite la redirection du trafic.

6. Cliquez sur Enregistrer et publier.

Nom du point d'accès Samsung (APN)

Remarque Samsung a abandonné les API KNOX utilisées pour prendre en charge cette fonctionnalité sur les versions du système d'exploitation plus récentes. Il est recommandé aux organisations d'utiliser plutôt la charge utile Access Point Name (APN).

Configurez les paramètres du nom du point d'accès (APN) pour unifier les paramètres d'opérateur de la flotte de terminaux et corriger les erreurs de configuration.

1. Accédez à Ressources > Profils et lignes de base > Profils > Ajouter > Ajouter un profil > Android.

2. Cliquez sur Terminal pour déployer votre profil sur un terminal.

3. Configurez les paramètres du profil de l'onglet Général. Le profil APN s'affiche uniquement lorsque le champ Paramètres OEM est défini sur Activé et que Samsung est sélectionné dans le champ Sélectionner OEM.

   Les paramètres du profil général déterminent la façon dont le profil est déployé et les utilisateurs qui le reçoivent.

4. Sélectionnez la section de configuration APN.

5. Configurez les paramètres APN, y compris :

   Paramètre	Description
   Nom d'affichage	Indiquez un nom convivial pour le nom de l'accès.
   Nom du point d'accès (APN)	Saisissez l'APN fourni par votre opérateur (par exemple, come.moto.cellular).
   Type de point d'accès	Spécifie les types de communication de données qui doivent utiliser cette configuration APN.
   Code pays du réseau mobile (MCC)	Saisissez les 3 chiffres de l'indicatif du pays. Cette valeur permet de vérifier si les terminaux itinérants utilisent un opérateur différent de celui indiqué ici. Elle est utilisée conjointement avec un code d'opérateur de réseau (MNC) pour identifier de manière unique un opérateur de réseau mobile (opérateur) via les réseaux mobiles GSM (y compris GSM-R), UMTS et LTE.
   Code du réseau mobile (MNC)	Saisissez les 3 chiffres du code d'opérateur de réseau. Cette valeur permet de vérifier si les terminaux itinérants utilisent un opérateur différent de celui indiqué ici. Elle est utilisée conjointement avec un indicatif de pays (MCC) pour identifier de manière unique un opérateur de réseau mobile via les réseaux mobiles GSM (y compris GSM-R), UMTS et LTE.
   Serveur MMS (MMSC)	Indiquez l'adresse du serveur.
   Numéro du serveur MMS proxy	Saisissez le numéro du port MMS.
   Port du serveur proxy MMS	Indiquez le port cible du serveur proxy.
   Serveur	Saisissez le nom ou l'adresse utilisé(e) pour la connexion.
   Serveur proxy	Saisissez les détails du serveur proxy.
   Port du serveur proxy	Indiquez le port du serveur proxy pour tout le trafic.
   Nom d'utilisateur du point d'accès	Indiquez le nom d'utilisateur utilisé pour la connexion au point d'accès.
   Mot de passe du point d'accès APN	Indiquez le mot de passe utilisé pour l'authentification du point d'accès.
   Type d'authentification	Sélectionnez le protocole d'authentification.
   Définir comme nom de point d'accès préféré	Activez cette option pour vous assurer que les terminaux des utilisateurs finaux présentent tous les mêmes paramètres APN et empêcher que des modifications ne soient effectuées depuis les terminaux ou par l'opérateur.

6. Cliquez sur Enregistrer et publier.

Nom du point d'accès (APN)

Configurez des noms de point d'accès pour les réseaux mobiles sur les terminaux Android gérés. Pris en charge sur les terminaux Android 9.0 et versions ultérieures enrôlés en mode Terminal géré pour le travail.

Remarque : Cette charge utile doit être utilisée à la place de la charge utile du profil Access Point Name Samsung. Samsung a abandonné les API KNOX utilisées pour prendre en charge sa configuration APN propre à l'OEM.

Protection contre la réinitialisation d'usine

La protection contre la réinitialisation d'usine (FRP, Factory Reset Protection) est une méthode de sécurité Android qui empêche l'utilisation d'un terminal après une réinitialisation aux paramètres d'usine non autorisée. Lorsque ce paramètre est activé, le terminal protégé ne peut pas être utilisé après une réinitialisation d'usine jusqu'à ce que vous vous connectiez à l'aide du même compte Google précédemment configuré.

Le profil de protection d'entreprise contre la réinitialisation d'usine utilise un ID d'utilisateur Google qui vous permet de remplacer le compte Google après une réinitialisation d'usine pour attribuer le terminal à un autre utilisateur. Pour obtenir l'ID utilisateur Google, rendez-vous sur People:get.

Pour plus d'informations sur les paramètres et les actions du terminal, reportez-vous à la section Gestion des terminaux Android.

Générer un ID d'utilisateur Google pour le profil de protection contre la réinitialisation d'usine pour les terminaux Android

Cet ID d'utilisateur Google vous permet de réinitialiser le terminal sans le compte Google d'origine. Obtenez votre ID d'utilisateur Google à l'aide de l'API People:get pour configurer le profil. Avant de commencer, vous devez obtenir votre ID utilisateur Google sur le site Web People:get.

1. Accédez à People:get.

2. Dans la fenêtre Essayer cette API, configurez les paramètres suivants.

   Paramètre	Description
   resourceName	Entrez people/me.
   personFields	Entrez metadata,emailAddresses
   requestMask.includefield	Laissez ce champ vide.
   Identifiants	Activez les champs Google OAuth 2.0 et Clé API.

3. Sélectionnez Exécuter.

4. Connectez-vous à votre compte Google, si vous y êtes invité. Il s'agit du compte utilisé pour déverrouiller des terminaux lorsque FRP est activé.

5. Sélectionnez Autoriser pour accorder des autorisations.

6. Recherchez le nombre à 21 chiffres dans l'onglet application/json dans le champ id.

7. Revenez dans Workspace ONE UEM console et configurez le profil de protection contre la réinitialisation d'usine d'entreprise.

Configurez le profil de protection contre la réinitialisation d'usine d'entreprise pour Android

Entrez l'ID d'utilisateur Google dans le profil de protection contre la réinitialisation d'usine d'entreprise.

1. Accédez à Ressources > Profils et lignes de base > Profils > Ajouter > Ajouter un profil > Android.

2. Configurez les paramètres de profil appropriés dans l'onglet Général.

3. Sélectionnez la section de configuration Protection de la réinitialisation aux paramètres d'usine.

4. Pour définir le niveau de contrôle de vos déploiements d'applications, configurez les paramètres suivants :

   Paramètre	Description
   ID d'utilisateur Google	Entrez l'ID d'utilisateur Google obtenu à partir de People:get de Google.

5. Cliquez sur Enregistrer et publier.

Zebra MX

Le profil Zebra MX vous permet de profiter des fonctionnalités supplémentaires offertes par l'application de service Zebra MX sur les terminaux Android. L'application de service Zebra MX peut être envoyée à partir de Google Play et distribuée depuis My Workspace ONE en tant qu'application interne dans Workspace ONE UEM Console avec ce profil.

1. Accédez à Ressources > Profils et lignes de base > Profils > Ajouter > Ajouter un profil > Android.

2. Configurez les paramètres de profil appropriés dans l'onglet Général. Activez le champ Paramètres OEM et sélectionnez Zebra dans le champ Sélectionner OEM pour activer le profil de service Zebra MX.

3. Configurez les paramètres de profil Zebra MX :

   Paramètre	Description
   Inclure les paramètres de Fusion	Activez ce paramètre pour étendre les options Fusion aux adaptateurs Fusion pour terminaux Motorola.
   Activer Fusion 802.11d	Activez ce paramètre pour utiliser Fusion 802.11d pour définir les paramètres Fusion 802.11d.
   Activer 802.11d	Activez ce paramètre pour utiliser la spécification réseau sans fil 802.11d dans des domaines réglementaires supplémentaires.
   Configurer le code du pays	Activez ce paramètre pour définir le code du pays à utiliser dans les spécifications 802.11d.
   Configurer la bande RF	Activez ce paramètre pour choisir la bande 2.4 GHz, 5 GHz ou les deux, avec les masques de canal applicables.
   Autoriser le mode avion	Activez cette option pour autoriser l'accès à l'écran des paramètres du mode Avion.
   Autoriser les positions fictives	Activez ou désactivez les positions fictives (dans Paramètres > Options du développeur).
   Autoriser les données en arrière-plan	Activez ou désactivez les données en arrière-plan.
   Conserver le Wi-Fi activé en mode veille	Toujours activé – Le Wi-Fi reste activé lorsque le terminal passe en mode veille. Uniquement en cas de connexion – Le Wi-Fi reste activé lorsque le terminal passe en mode veille à la condition que ce dernier soit en cours de charge. Jamais activé – Le Wi-Fi est désactivé lorsque le terminal passe en mode veille.
   Utilisation des données en itinérance	Activez cette option pour autoriser une connexion données en itinérance.
   Forcer l'activation du Wi-Fi	Activez cette option pour forcer l'activation du Wi-Fi de sorte que l'utilisateur ne puisse pas le désactiver.
   Autoriser Bluetooth	Activez cette option pour autoriser l'utilisation du Bluetooth.
   Autoriser le presse-papiers	Activez cette option pour autoriser le copier/coller.
   Autoriser une notification de surveillance du réseau	Activez cette option pour autoriser la notification Avertissement du module de surveillance du réseau, qui s'affiche normalement après l'installation des certificats.
   Activer les paramètres de date/heure	Activez ce paramètre pour définir les paramètres de date/heure
   	Format de la date : définissez l'ordre d'affichage du mois, du jour et de l'année.
   	Format de l'heure : choisissez un format 12 ou 24 heures.
   	Date/heure : définissez la source de données que vos terminaux consulteront pour les paramètres de date et d'heure :
   	Automatique – Définit la date et l'heure à partir des paramètres natifs des terminaux.
   	Heure du serveur – Définit l'heure à partir de l'heure du serveur de Workspace ONE UEM Console.
   	Définir le fuseau horaire – Précisez le fuseau horaire.
   	URL HTTP : Workspace ONE UEM Intelligent Hub atteint l'URL et récupère l'horodatage à partir de l'en-tête HTTP. Il applique ensuite celui-ci au terminal. Il ne gère pas les sites de redirection
   	URL – Indiquez le site web utilisé pour la date et l'heure, Doit inclure « http:// ». Exemple : http://www.google.com (HTTPS n'est pas pris en charge).
   	Activer la synchronisation périodique – Permet au terminal de vérifier la date et l'heure à intervalles réguliers (en jours).
   	Définir le fuseau horaire – Précisez le fuseau horaire.
   	Serveur SNTP : les paramètres NTP sont appliqués directement au terminal.
   	URL : saisissez l'adresse Web du serveur NTP/SNTP. par exemple time.nist.gov.
   	Activer la synchronisation périodique – Permet au terminal de vérifier la date et l'heure à intervalles réguliers (en jours).
   Activer les paramètres du son	Activez les paramètres du son pour configurer les paramètres audio sur le terminal. - Musique, vidéos, jeux et autres médias : positionnez le curseur selon le volume sonore que vous souhaitez définir sur le terminal.
   	Sonneries et notifications : positionnez le curseur selon le volume sonore que vous souhaitez définir sur le terminal.
   	Appels vocaux : positionnez le curseur selon le volume sonore que vous souhaitez définir sur le terminal.
   	Activer les notifications par défaut : permet d'activer le son des notifications par défaut sur le terminal.
   	Activer la tonalité des touches sur le pavé de numérotation : permet d'activer le son des touches sur le pavé de numérotation.
   	Activer les tonalités des touches : permet de faire retentir les touches sur le terminal.
   	Activer les sons de l'écran de verrouillage : permet d'activer le son de verrouillage du terminal.
   	Activer la fonction Vibrer au toucher : permet d'activer les paramètres de vibration.
   Activer les paramètres d'affichage	Activez cette option pour définir les paramètres d'affichage : - Luminosité de l'écran : positionnez le curseur selon le niveau de luminosité que vous souhaitez définir sur le terminal.
   	Activer la rotation automatique de l'écran : utilisez cette option pour verrouiller l'orientation du terminal.
   	Configurer le mode veille : indiquez le délai avant que l'écran ne passe en mode veille.

4. Cliquez sur Enregistrer et publier.

Paramètres personnalisés

La section de configuration Paramètres personnalisés peut être utilisée en cas de mise à disposition d'une nouvelle version d'Android ou de nouvelles fonctions non prises en charge par les sections de configuration natives de Workspace ONE UEM Console. Utilisez la charge utile Paramètres personnalisés et le code XML pour activer ou désactiver manuellement certains paramètres.

1. Accédez à Ressources > Profils et lignes de base > Profils > Ajouter > Ajouter un profil > Android.

2. Configurez les paramètres du profil de l'onglet Général.

3. Configurez les sections de configuration applicables (Restrictions ou code secret, par exemple).

   Afin d'éviter tout impact sur les autres utilisateurs avant l'enregistrement et la publication de la configuration, vous pouvez travailler sur une copie de votre profil, enregistrée dans un groupe organisationnel « test ».

4. Enregistrez votre profil, mais ne le publiez pas.

5. Cliquez sur le bouton radio dans l'affichage en liste des profils pour la ligne du profil que vous souhaitez personnaliser.

6. Cliquez sur le bouton XML en haut pour afficher le profil XML.

7. Pour la charge utile de profil que vous avez configurée précédemment, copiez la section de code XML délimitée par les balises et (y compris ces balises). Si le profil comporte plusieurs charges utiles, identifiez les balises pour la charge utile pour laquelle vous souhaitez copier le code XML. Par exemple, un profil de code secret aura une balise avec la valeur « type » com.airwatch.android.androidwork.apppasswordpolicy.

8. Copiez cette portion de texte et fermez la vue XML. Ouvrez votre profil.

9. Sélectionnez la section de configuration Paramètres personnalisés puis cliquez sur Configurer. Collez le code XML que vous venez de copier dans la zone de texte. Le code XML doit contenir un bloc de code complet, délimité par et .

   • Vous devez vous assurer qu'un UUID unique est utilisé pour chaque charge utile de profil Paramètres personnalisés envoyée à leurs terminaux.
   • Si deux charges utiles Paramètres personnalisés avec le même UUID sont envoyées au même terminal, le dernier profil transféré remplacera le premier.
   • Choisissez plusieurs caractères dans la valeur « uuid » et modifiez-les pour que l'UUID reste unique pour chaque charge utile.
   • Chaque caractère (sauf les traits d'union) dans l'UUID est une valeur hexadécimale qui peut avoir une valeur de chiffres (0-9) ou de lettres (a-f).
   • Ce fichier XML doit contenir le bloc complet de code tel qu'il est répertorié pour chaque XML personnalisé.
   • Les administrateurs doivent configurer chaque paramètre sur selon les besoins.
   • Si des certificats sont requis, configurez une charge utile de certificat dans le profil et référencez la charge utile UUID dans la charge utile Paramètres personnalisés.

10. Supprimez la section de configuration que vous aviez configurée à l'origine en sélectionnant la section de configuration de base et en cliquant sur le bouton moins (-). Vous pouvez maintenant améliorer le profil en ajoutant du code XML personnalisé pour les nouvelles fonctionnalités.

    • Lors de l'application de paramètres personnalisés pour le profil Launcher, assurez-vous d'utiliser le type de caractéristique approprié pour votre type de profil :

      • Pour les profils Android, utilisez le type de caractéristique = « com.airwatch.android.androidwork.launcher ».
      • Pour les profils Android (hérités), utilisez le type de caractéristique = « com.airwatch.android.kiosk.settings ».

    Any device not upgraded to the latest version ignores the enhancements you create. Since the code is now custom, you should test the profile devices with older versions to verify expected behavior.

11. Cliquez sur Enregistrer et publier.

XML personnalisé pour les terminaux Android

Dans Android 11, les clients qui utilisent des attributs personnalisés tiers doivent utiliser le profil Paramètres personnalisés pour spécifier un autre emplacement pour stocker les fichiers d'attributs personnalisés. Les applications des clients devront également cibler ce même emplacement de dossier, ce qui peut nécessiter des modifications dans leur application.

Exemple de XML personnalisé (la valeur peut différer en fonction de la préférence client) :

<characteristic type="com.android.agent.miscellaneousSettingsGroup" uuid="2c787565-1c4a-4eaa-8cd4-3bca39b8e98b">
<parm name="attributes_file_path" value="/storage/emulated/0/Documents/Attributes"/></characteristic>

Activer les cookies tiers pour l'authentification Workspace ONE Access lors de l'enrôlement

Dans certains scénarios, Intelligent Hub nécessite la prise en charge des cookies tiers pour que les utilisateurs s'authentifient avec Workspace ONE Access. Si des cookies tiers sont requis, mais non réglés, les utilisateurs peuvent rencontrer une erreur « cookies non pris en charge » dans Intelligent Hub.

Utilisez cette charge utile Paramètres personnalisés pour activer les cookies tiers une fois l'enrôlement du terminal terminé. Cela s'applique aux terminaux déjà enrôlés dans Workspace ONE UEM et qui nécessitent des cookies tiers pour l'authentification utilisateur, tels que la connexion à des applications gérées ou l'extraction de terminaux partagés.

<characteristic type="CustomSettingsV2" uuid="4146fda2-22dd-4b5b-8502-0aafe72167cc">
	<parm name="packageid" value="com.airwatch.androidagent" />
	<parm name="CustomSettings" value="{&quot;enable3rdPartyCookiesInVIDM&quot;:true}" />
</characteristic>

Si des cookies tiers sont requis lors de l'enrôlement du terminal dans Workspace ONE UEM, cette charge utile ne s'applique pas. Configurez plutôt l'indicateur d'enrôlement équivalent comme décrit dans la documentation Indicateurs supplémentaires d'enrôlement Android.

Définir le délai d'expiration et la luminosité de l'écran

Vous pouvez configurer les paramètres de délai d'expiration et de luminosité de l'écran sur les terminaux Android professionnels. Cette fonction est prise en charge sur les terminaux Android enrôlés en mode Terminaux gérés pour le travail (n'importe quelle version de système d'exploitation) et en mode Professionnel et personnel (Android 15 et versions ultérieures).

Pour modifier le délai d'expiration de l'écran, utilisez le modèle ci-dessous. Définissez ScreenTimeout sur une valeur en secondes.

Remarque : ScreenTimeout sera ignoré si un profil de code secret Android avec une valeur inférieure de la plage de verrouillage du terminal est installé sur les mêmes terminaux.

<characteristic type="com.airwatch.android.androidwork.display.settings" uuid="f278eb76-cc9b-4e32-9aca-fad1556399b1"> 
<parm name="ScreenTimeout" value="300000" type="integer" /> 
</characteristic>

Utilisez le modèle ci-dessous pour modifier la luminosité de l'écran. Définissez le Mode de luminosité sur 0 pour définir une luminosité fixe qui ne change pas avec la lumière ambiante. Définissez le Mode de luminosité sur 1 pour définir une valeur de luminosité d'écran préférée, tout en permettant à Android d'ajuster la luminosité de l'écran en fonction de la lumière ambiante. Définissez BrightnessValue sur une valeur comprise entre 1 et 255.

<characteristic type="com.airwatch.android.androidwork.display.settings" uuid="f278eb76-cc9b-4e32-9aca-fad1556399b2"> 
<parm name="BrightnessMode" value="1" type="integer" /> 
<parm name="BrightnessValue" value="100" type="integer" /> 
</characteristic> 

Pour définir la luminosité et le délai d'expiration de l'écran, ajoutez les trois paires clé-valeur dans la même charge utile :

<characteristic type="com.airwatch.android.androidwork.display.settings" uuid="f278eb76-cc9b-4e32-9aca-fad1556399b5"> 
<parm name="BrightnessMode" value="1" type="integer" /> 
<parm name="BrightnessValue" value="100" type="integer" /> 
<parm name="ScreenTimeout" value="300000" type="integer" /> 
</characteristic> 

Rapports d'applications administrés à tête nue

Par défaut, seule une liste prédéfinie d'applications sans interface utilisateur ou icône d'application exécutable est remontée à la Workspace ONE UEM Console. Les autres applications sans interface utilisateur ou icône d'application exécutable ne sont pas remontées. Lorsque cela se produit, vous ne pouvez pas confirmer l'état de l'installation et les profils de ces applications ne sont pas envoyés aux terminaux.

La liste prédéfinie des applications est définie ici. Vous pouvez utiliser cette charge utile de profil XML personnalisé pour ajouter d'autres ID de module qui seront remontés à la console, même si les applications n'ont pas d'UI exécutable. Une fois la mise en œuvre effectuée :

• Les ID de module spécifiés dans le profil sont signalés une fois installés. Ils s'afficheront comme « Installé » dans la console.
• Les données du canal de commentaires sont également disponibles pour l'affichage dans la console (si l'application les prend en charge).

Utilisez le profil XML personnalisé ci-dessous pour spécifier les applications que le Hub doit signaler à la console :

<characteristic type="com.android.agent.miscellaneousSettingsGroup" uuid="2c787987-1c4a-4eaa-8cd4-3acb39b8f97b"> <parm name="headlessapps" value="com.example1.com, com.example2.com, com.example3.com"/></characteristic> 

Forcer l'activation du Bluetooth

Vous pouvez activer le Bluetooth de manière administrative sur des terminaux Android gérés. Ceci fonctionne pour les terminaux configurés en mode Terminaux gérés pour le travail ou Terminaux professionnels et personnels (COPE). Lorsque vous appliquez ce profil, Workspace ONE UEM active automatiquement le Bluetooth. Si quelqu'un tente de le désactiver, Intelligent Hub pour Android le réactivera rapidement.

<characteristic uuid="ff861aae-2b3b-4e43-a8ac-fcefdd541c4b" type="com.airwatch.android.androidwork.restrictions">
	<parm name="forceBluetoothOn" value="true" />
</characteristic>

Remarque : Cette fonctionnalité est prise en charge dans Workspace ONE Intelligent Hub 25.08 et versions ultérieures pour Android.

Désactiver la réinitialisation aux paramètres d'usine du chargeur de démarrage (Samsung)

Le paramètre « Autoriser la réinitialisation aux paramètres d'usine » dans le profil Restrictions Android peut être utilisé pour empêcher les utilisateurs d'effectuer une réinitialisation aux paramètres d'usine à partir de l'application Paramètres Android. Cependant, les utilisateurs peuvent toujours contourner cela en réinitialisant le terminal depuis le chargeur de démarrage. Implémentez le paramètre personnalisé ci-dessous pour empêcher les utilisateurs d'effectuer une réinitialisation aux paramètres d'usine depuis le chargeur de démarrage sur les terminaux Samsung. Cette option est uniquement prise en charge pour les terminaux Samsung professionnels. L'API Samsung est obsolète dans Android 12 et peut ne pas être disponible sur les terminaux Samsung sur les versions plus récentes du système d'exploitation.

Remarque : Cette fonctionnalité sera supprimée des nouvelles versions de Workspace ONE Intelligent Hub à partir de janvier 2026.

<characteristic type="com.airwatch.android.androidwork.samsung.restrictions" uuid="80edc0ae-abed-4efa-89e5-fdc1834f5ca0">
              <parm name="allowFactoryReset" value="false" />
</characteristic>

Autoriser les applications personnelles à lire les notifications professionnelles

Sur les terminaux gérés à l'aide d'un DPC personnalisé, Android autorise toutes les applications du profil personnel avec l'autorisation READ_NOTIFICATIONS privilégiée à lire les notifications des applications dans le profil professionnel. Avec Workspace ONE Intelligent Hub 24.10 pour Android et versions ultérieures, vous pouvez empêcher les applications non système d'accéder aux notifications professionnelles dans le profil personnel. Pour ceci, vous devez installer un profil Restrictions sur le terminal. Pour autoriser explicitement les applications personnelles non système à lire des notifications professionnelles, vous devez maintenant transférer le profil Paramètres personnalisés suivant pour activer cette option.

Pour autoriser des applications personnelles non système spécifiques à lire les notifications professionnelles, copiez le fichier XML ci-dessous. Pour allowedCrossProfileNotificationPackageIds, définissez une liste séparée par des virgules des ID des modules d'application.

<characteristic uuid="ff861aae-2b3b-4e43-a8ac-fcefdd541c4b" type="com.airwatch.android.androidwork.restrictions" target="1">
	<parm name="allowCrossProfileNotificationPackage" value="SetIndividualPackages" />
	<parm name="allowedCrossProfileNotificationPackageIds" value="com.example.a, com.example.b" />
</characteristic>

Pour autoriser toutes les applications personnelles à lire les notifications professionnelles, copiez le fichier XML ci-dessous.

<characteristic uuid="ff861aae-2b3b-4e43-a8ac-fcefdd541c4b" type="com.airwatch.android.androidwork.restrictions" target="1">
	<parm name="allowCrossProfileNotificationPackage" value="All" />
</characteristic>

Transférer la configuration de l'application pour les applications

Vous pouvez transférer des paires clé-valeur de configuration de l'application via le profil Paramètres personnalisés Android. Pour ce faire, suivez le modèle ci-dessous et fournissez :

• ID du module d'application
• Pour chaque paire clé-valeur de configuration d'application, le nom de clé, la valeur et le type de données de valeur

    <characteristic uuid="a0a4acc3-9de1-493b-b611-eb824ffed00f" type="com.airwatch.android.androidwork.app:packageID" target="1">
    <parm name="key1" value="string" type="string" />
    <parm name="key2" value="1" type="integer" />
    <parm name="key3" value="False" type="boolean" />
        </characteristic>

Exemple

<characteristic uuid="a0a4acc3-9de1-493b-b611-eb824ffed00f" type="com.airwatch.android.androidwork.app:com.airwatch.testapp" target="1">
    <parm name="server_hostname" value="test.com" type="string" />
    <parm name="connection_timeout" value="60" type="integer" />
    <parm name="feature_flag" value="True" type="boolean" />
</characteristic>

Remarque : La configuration de l'application peut être ajoutée lors de l'attribution d'applications Android. Pour plus d'informations, reportez-vous à la section Ajouter des attributions et des exclusions à vos applications.

Application de VPN sur liste autorisée pour le VPN Always On

Pour mettre sur liste autorisée un client VPN pour le VPN Always On, transférez une charge utile de profil Paramètres personnalisés à l'aide de ce modèle et fournissez le PackageID de l'application

<characteristic uuid="a0a4acc3-9de1-493b-b611-eb824ffed00f" type="com.airwatch.android.androidwork.app:packageID" target="1">
    <parm name="EnableAlwaysOnVPN" value="True" type="boolean" />
</characteristic>

Remarque : Pour transférer la configuration d'application et activer le VPN permanent pour une application, combinez cette paire clé-valeur avec les paires clé-valeur de configuration de l'application et déployez en tant que charge utile unique Paramètres personnalisés.

Désactiver la protection contre la réinitialisation d'usine

Les organisations peuvent utiliser cette charge utile Paramètres personnalisés pour désactiver la protection contre la réinitialisation aux paramètres d'usine sur les terminaux de l'entreprise. Avec ce profil, si les utilisateurs finaux ajoutent un compte Google personnel au terminal et que le terminal est réinitialisé aux paramètres d'usine à partir du chargeur de démarrage, la protection contre la réinitialisation aux paramètres d'usine ne prendra pas effet. Les organisations n'auront pas à s'authentifier avec le compte Google personnel pour configurer et réenrôler un tel terminal.

Remarque : Cette option est prise en charge sur les terminaux qui répondent à tous les critères suivants :

• Enrôlé dans les modes Terminal géré pour le travail ou Terminal professionnel et personnel
• Android 11 ou version ultérieure
• Workspace ONE Intelligent Hub 24.09 et versions ultérieures
• Gérés à l'aide d'un DPC personnalisé

Utilisez le xml suivant pour activer :

<characteristic type="com.airwatch.android.androidwork.app:com.google.android.gms" uuid="352d91a3-c4de-4821-b01d-f450ca474ba5">
  <parm name="disableFactoryResetProtectionAdmin" type="boolean" value="true"/>
</characteristic>

Désactiver le partage de journaux dans Intelligent Hub pour Android

Normalement, les utilisateurs peuvent envoyer des journaux depuis le Workspace ONE Intelligent Hub sur leurs terminaux Android via le menu Support. Cela leur permet de partager des journaux à l'aide d'applications telles que l'e-mail, le bluetooth ou d'autres méthodes de partage de fichiers. Cependant, les organisations peuvent désactiver cette fonctionnalité en appliquant un paramètre spécifique. Même si cette option est désactivée, les utilisateurs peuvent toujours télécharger des journaux vers Workspace ONE UEM, où les administrateurs peuvent les afficher.

Utilisez le XML suivant pour activer :

<characteristic type="com.android.agent.miscellaneousSettingsGroup" uuid="351d91a3-c4de-4821-b09d-f450cd474ba5">
	<parm name="enableShareLogs" type="boolean" value="false"/>
</characteristic>

Fonctionnalités des profils spécifiques pour Android

Les matrices des fonctionnalités donnent un aperçu des fonctions clés spécifiques des OS disponibles et mettent en avant les plus importantes d'entre elles pour l'administration des terminaux pour Android.