使用 Workspace ONE UEM 管理 Android 设备

通过使用 Workspace ONE UEM 平台，您可以访问一系列全面的解决方案，以便有效地注册、保护、调整和监督您的 Android 设备。Workspace ONE UEM Console 提供了多种工具和功能，可有效处理公司配发设备和个人拥有设备的所有阶段。

本指南介绍了如何将 Workspace ONE UEM 作为企业移动管理程序 (EMM) 与 Android 设备集成。

Android 关键术语

在开始之前，请先熟悉与 Android 关联的以下关键术语，以便更好地了解如何配置设置并将其部署到您的用户：

• 自定义 DPC - 通过自定义 DPC，Workspace ONE UEM 将策略、内部应用等分发给 Workspace ONE Intelligent Hub，后者充当设备或工作配置文件的主要管理应用程序。Intelligent Hub 将这些资源应用于设备，并将设备信息返回到 Workspace ONE UEM。
• Android 管理 API (AMAPI) – Android 管理 API（即 AMAPI）是 Android 操作系统的原生功能，因而可以更轻松地管理用于 Android Enterprise 用途的设备。利用 AMAPI，Workspace ONE UEM 构建设备所需的状态并将其传输到 AMAPI，由 AMAPI 将之应用于设备。
• 工作配置文件 – 工作配置文件模式（也称为"配置文件所有者"）在设备上创建一个专门用于业务应用程序和内容的容器。- -工作配置文件模式允许组织管理业务数据和应用程序，但无权访问用户的个人数据和应用。Android 应用程序用公文包图标表示，以区分个人应用程序。
• 工作受管 - 工作受管模式（也称为设备所有者或完全受管模式）锁定整个设备。用户将有权访问企业应用，并且无法通过 Google Play 商店访问个人应用。Android 5.0 及更高版本的设备上提供了完全受管模式。
• 企业拥有、个人启用 – 企业拥有、个人启用 (COPE) 是指公司拥有的设备，类似于工作受管设备，但用户会收到工作配置文件以访问企业应用程序，同时还能将设备用于个人用途。与 BYOD 一样，这些设备具有专门的工作配置文件，用于在 UEM 注册期间将工作数据与个人数据分开。COPE 在 Android 8.0 或更高版本的设备上可用。
• 受管 Google 帐户 – 使用 Google Workspace 域（前称为 G Suite）设置 Android Enterprise 需要您为您的组织注册 Google 域，并遵循验证过程来证明您拥有此域。此域只能链接到一个经过验证的 EMM 帐户。要启用使用 Google Workspace 注册 Android Enterprise，您的组织应使用 Google 创建一个服务帐户，并提供特定的 API 访问权限以将配置应用于受管设备。
• 受管 Google Play 帐户 – 当您的企业不使用 Google Workspace（前称为 G Suite）并允许使用个人 Gmail 帐户将 Workspace ONE UEM 与 Android Enterprise 绑定时，将使用受管 Google Play 帐户。这种情况不需要 Active Directory 同步或 Google 验证。
• Google 服务帐户 – Google 服务帐户是应用程序用于访问为 G Suite 客户建议的 Google API 的特殊 Google 帐户。
• EMM 令牌 - Workspace ONE UEM 用于将 Workspace ONE UEM Console 连接到受管 Google 帐户的唯一 ID。
• 受管 Google 域 - 申请用于启用与企业关联的 Android 的域。
• Google 域设置 – 申请受管 Google 域的 Google 过程。
• AirWatch Relay – 管理员将 Android 设备批量注册到 Workspace ONE UEM 使用的 Workspace ONE UEM 应用程序。
• NFC 触碰 – 一种通过将设备彼此相邻放置来进行信息交换的通信技术，称为"触碰"。可通过使用 AirWatch Relay 应用将信息从父设备传递到子设备来实现。
• AOSP/封闭式网络 – Android 开源项目或封闭式网络指的是没有 Google 移动服务 (GMS) 的 Android 设备以及无法访问 Google 的控制台环境。Google 帐户不是使用此注册模式创建的。
• 基于用户的注册 - 设备注册后，在此员工注册的所有设备上创建的 Google 帐户均相同。当您将员工分配到不涉及注册预备的设备时，此注册方法是理想的选择。
• 基于设备的注册 – 生成的 Google 帐户对于同一用户注册的每台设备都是唯一的。这是注册预备设备或专用设备的理想选择。
• 逐步替换 - 逐步替换允许您在从 Android（旧版）转换到 Android Enterprise 时继续使用当前设备部署。任何新的设备部署都可以注册到 Android Enterprise 中，并使用较旧的设备进行管理。

将 Android 与 Workspace ONE UEM 配合使用的要求

在部署 Android 设备之前，请考虑以下先决条件、注册要求、辅助资料和 Workspace ONE UEM 团队提供的实用建议。

支持的操作系统

Android 8.X.X

Android 9.X.X

Android 10.X.X

Android 11.X.X

Android 12.X.X

Android 13.X.X

Android 14.X.X

Android 15.X.X

Android 16.X.X

**注意：**当 COPE 注册的设备从 Android 10 升级到 Android 11 时，客户将体验到更新的隐私意识功能集。有关 COPE 设备的关键特性和功能的摘要，请参阅"了解 Android 设备模式"。

**注意：**如果贵组织需要更多时间来完成测试，有两种方法可推迟将设备升级到 Android 11。请参阅"管理 Android 设备的系统更新"。

如果您的设备不支持 Google Play EMM 集成，请使用 AOSP/封闭式网络配置。

有关 AOSP/封闭式网络的更多信息，请参阅"了解 Android 设备模式"。

Android 的网络要求

最终用户设备必须能够访问特定端点，以便访问应用和服务。Android 的网络要求是当前和过去的企业管理 API 版本的已知端点列表。

要成功到达所有端点，需要直接连接。如果设备通过代理进行连接，则无法进行直接通信，并且某些功能会失败。

设备服务代理服务器要求

Workspace ONE UEM 设备服务应用程序使用 Google 的 SafetyNet Attestation API 来验证 Android 设备的完整性并确保它们不会受到影响。为此，它会对 Google 服务器进行出站 API 调用。在内部部署环境中，组织可以选择仅允许设备服务应用程序通过代理建立出站连接。在这些情况下，除了通过 Workspace ONE UEM Console 在应用程序级别配置代理设置外，客户还必须在系统级别为托管设备服务应用程序的 Windows 服务器配置此出站代理。如果 Windows 服务器无法建立到所需 Google 端点的出站连接，SafetyNet 运行状况证明将失败。

控制台防火墙规则

如果 EMM 控制台位于本地，则需从网络访问以下目标，以便创建托管的 Google Play Enterprise 并访问​托管的 Google Play iFrame。​

这些要求反映当前 Google Cloud 要求，并且可能会更改。

UEM 证书要求

Android 设备具有一组预先加载的受信任证书颁发机构。此列表因设备而异，并且会不断更新以包含新的商业 SSL 证书供应商。因此，较旧的 Android 设备型号可能不信任较新的 SSL 证书供应商。

Workspace ONE UEM 设备服务节点中的 SSL 证书必须受 Android 设备信任。在云托管 Workspace ONE UEM 环境中，使用广泛信任的证书供应商来降低此问题的风险。在内部部署的 Workspace ONE UEM 环境中，您将提供 SSL 证书，如配置外部 DNS 记录和证书中详述。

如果无法建立信任，Intelligent 将无法与 Workspace ONE UEM 通信。结果：

• 设备管理功能受限。在自定义 DPC 中，如果没有这种信任，设备管理功能几乎无法运行。
• 当用户尝试将 Android 设备注册到 Workspace ONE UEM 时，他们将看到"发现出现问题"的错误。

如果需要，您可以在设备上安装证书颁发机构的根证书，然后再将设备注册到 Workspace ONE UEM。

• 对于员工拥有的设备，用户必须手动安装证书。
• 对于企业拥有的设备，请参阅用于注册的其他标志，了解在二维码或即时可用的注册配置中包含证书的步骤。

注册要求

您的组织部署中的每台 Android 设备都必须先注册，然后才能与 Workspace ONE UEM 通信并访问内部内容和功能。注册设备之前，您需要提供以下信息。

如果电子邮件域与您的环境关联 - 如果使用自动发现：

• 电子邮件地址 – 这是与您的组织关联的电子邮件地址。例如：JohnDoe@acme.com。
• 凭证 - 此用户名和密码可让您访问 Workspace ONE UEM 环境。这些凭证可能与您的网络目录服务使用的凭证相同，也可能是在 Workspace ONE UEM console 中定义的唯一凭证。

如果电子邮件域与您的环境不关联 - 如果不使用自动发现：

如果域未与环境关联，系统仍会提示您输入电子邮件地址。由于未启用自动发现，因此系统会提示您输入以下信息：

• 组 ID – 组 ID 将设备与企业角色关联，它是在 Workspace ONE UEM console 中定义的。
• 凭证 – 此唯一用户名和密码配对可让您访问 Workspace ONE UEM 环境。这些凭证可能与您的网络目录服务使用的凭证相同，也可能是在 Workspace ONE UEM Console 中定义的唯一凭证。

要下载 Workspace ONE Intelligent Hub 并随后注册 Android 设备，您需要完成以下操作之一：

• 导航到 https://www.getwsone.com，然后按照提示进行操作。
• 从 Google Play 商店下载 Workspace ONE Intelligent Hub。

适用于 Android 的注册限制

注册限制允许您预置注册，例如将注册限制为已知用户、用户组和允许的已注册设备数量。

通过导航到组与设置 > 所有设置 > 设备与用户 > 常规 > 注册访问这些选项。选择限制标签页，可以按组织组和用户组角色自定义注册限制策略。

您可以基于以下信息创建注册限制：

• Android 制造商和型号，以确保只有经过批准的设备才能在 Workspace ONE UEM 中注册。Android 设备注册后，智能组和注册限制条件会更新，以包含设备的新制造商和型号。

  **注意：**某些设备由其他供应商生产。您可以与设备的实际制造商创建策略，以使策略生效。以下是识别设备制造商的一些方法：

  • 导航到设备设置中的关于页面。
  • 使用 adb 命令：adb shell getprop | grep "manufacturer"。

• 按 UDID、IMEI 和序列号将设备列入黑名单或白名单。

  **注意：**在将 Android 10 或更高版本的设备注册到工作配置文件模式时，设备将保持待定状态，直到 UEM console 能够从设备中检索 IMEI 或序列号，以查看其是否已列入白名单或黑名单。在验证成功前，设备将不会完全注册，也不会发送任何工作数据，直到注册完成为止。

自定义 DPC

通过自定义 DPC，您可以单独管理对受支持 Android 设备上的工作应用和数据的访问。自定义 DPC：

• 与 Workspace ONE UEM 通信以应用配置文件、设备限制和设置。
• 实施受管配置并验证设备是否符合 UEM 策略。

要为 Android 设备置备公共应用程序，Workspace ONE UEM 利用 Google 的 Play EMM API。

Android 管理 API (AMAPI)

在 Android 管理 API 或 AMAPI 下管理设备时，将通过工作配置文件管理设置注册设备。使用 AMAPI，Workspace ONE UEM 将设备所需的设置和配置传输到 AMAPI 作为 ADP。这与自定义 DPC 类似，包括 AMAPI 应在设备上安装的公共应用。Workspace ONE UEM 还会将管理策略和/或配置文件（密码要求、证书、应用权限设置、数据收集）传输到 AMAPI。反过来，AMAPI 会将策略推送到 Android 设备策略 (ADP) 客户端，后者将这些策略应用于设备。

适用于 Android 的 Workspace ONE Intelligent Hub 仍负责分发证书和内部应用，并提供产品预置和 Freestyle Orchestrator 等独特功能。适用于 Android 的 Intelligent Hub 仍然是该过程的一部分，因为它托管了我们的统一应用目录、Mobile Threat Defense SDK、与 Intelligence 的集成（以用于高级分析）等。

管理员和最终用户的 AMAPI 体验有何不同？

作为管理员，您将看到 Workspace ONE UEM Console 中的两个主要更新：

• 现在，在创建 Android 配置文件时，您将选择是为自定义 DPC 还是为 AMAPI 创建配置文件。
• 在注册设备时，您将选择是使用自定义 DPC 还是 AMAPI 来管理注册到 Workspace ONE UEM 的新设备。这可以按模式（工作配置文件、COPE 或完全受管）和按组织组进行设置。

作为设备最终用户：

• 在注册设备时，除了通过 Intelligent Hub 启动注册外，您现在还可以通过启动 AMAPI 注册 URL 来启动个人拥有设备的注册。此注册 URL 由 UEM 管理员共享，可通过二维码、文本、电子邮件、内部站点或其他方式分发。
• 在设置需要最终用户交互的策略时，AMAPI 将采取措施确保强制执行策略要求。例如，当您通过配置文件设置最低设备密码要求时，AMAPI 会挂起受管应用程序，直到设备密码满足策略要求为止。AMAPI 还指导最终用户设置符合策略要求的密码。

了解 Android 设备管理类型

Workspace ONE UEM 提供了多种管理 Android 设备的方法，这些设备可用作个人拥有或企业拥有的设备。Workspace ONE UEM 提供众多选项，您需要了解差异并选择满足您组织业务需求的最佳解决方案。

个人拥有是指最终用户拥有的可以用来访问公司资源的设备。这些设备也称为 BYOD（自带设备）。

企业拥有的设备属于您的公司，并提供给员工（最终用户）用于工作目的。如果设备为企业拥有的设备，但也启用了个人用途，则称为企业拥有、个人启用 (COPE)。

您可以根据最终用户所需的安全和隐私级别选择适当的管理类型。可用的管理选项包括：

注意 * 仅使用 Android 11 或更高版本的企业拥有、个人启用设备支持 AMAPI。

此图表还将介绍每个管理类型的注册方法和配置文件管理。

工作配置文件模式

员工拥有设备（也称为 BYOD）的工作配置文件

依据工作配置文件策略管理的设备会在设备上创建仅用于工作应用程序和数据的安全空间或容器。这是自带设备 (BYOD) 应用程序较为理想的部署样态。设备所有者的个人和企业数据始终保持分离。工作配置文件中的应用程序用红色公文包图标加以区分，这些程序被称为标记应用程序，与用户的个人应用程序一并显示在统一启动器中。例如，您的设备为 Google Chrome 显示个人图标，为标记表示的 Work Chrome 显示单独的图标。从最终用户的角度来看，似乎存在两个不同的应用程序，但实际上应用程序仅安装了一次，并将业务数据与个人数据分开存储。

Workspace ONE Intelligent Hub 带有标记，且仅存在于工作配置文件数据空间中。个人应用程序不受控制，且 Workspace ONE Intelligent Hub 无权访问个人信息。

工作配置文件默认包含一些系统应用程序，例如 Work Chrome、Google Play、Google 设置、Contacts 和 Camera，可使用限制配置文件隐藏这些应用程序。

某些设置可显示个人和工作配置的区别。用户将会看到以下设置的不同配置：

• 凭证 - 查看用于受管设备用户身份验证的企业证书。
• 帐户 - 查看与工作配置文件关联的受管 Google 帐户。
• 应用程序 - 列出了设备上安装的所有应用程序。
• 安全 - 显示设备加密状态。

取消注册或进行企业擦除后，工作配置文件将从设备中移除，而不会影响任何个人端设置或配置。

企业拥有、个人启用 (COPE)

公司拥有、个人启用设备的工作配置文件

企业设备配发给已安装企业资源的最终用户。与 BYOD 设备一样，用户将拥有一个专用的工作容器，并且有权配置和使用个人应用程序。管理员可以 通过将工作受管配置文件设置应用于这些设备来配置其他限制和隐私设置。

所有操作系统版本的 COPE 模式的关键注意事项：

• 您可以应用仅在工作配置文件应用以及在整个设备中应用的策略。
• COPE 注册不支持产品置备。
• 对于"企业拥有、个人启用"设备，不支持使用 SDK 进行基于 PIN 的加密和 Workspace ONE UEM 单点登录。您可以强制使用工作密码来确保使用工作应用程序需要输入密码。
• 与 仅用于注册的工作配置文件一样，处于 COPE 模式的设备为用户提供了停用工作配置文件的选项（例如在用户休假期间）。停用工作配置文件后，工作应用程序不会再显示通知，也无法启动。管理员可以在"设备详细信息"页面上查看工作配置文件的状态（"启用"或"禁用"）。停用工作配置文件后，将无法从工作配置文件检索最新的应用程序和配置文件信息。管理员可以定义工作配置文件可以保持停用状态的天数。

注意：在 Android 11 中，Google 对隐私配置进行了一些更新，具体可在此处查看

企业拥有、个人启用 (COPE) 模式，Android 10 及更低版本

在 Android 10 及更低版本上仅自定义 DPC 支持 COPE 模式。

对于 Android 10 及更低版本，COPE 设备完全由组织控制。组织可以查看个人配置文件中安装的应用程序，并且适用于 Android 的 Workspace ONE Intelligent Hub 会在个人配置文件和工作配置文件中运行。强烈建议组织在 Android 11 及更高版本的设备上使用 COPE 模式，在用户隐私和设备控制之间实现更好的平衡。

企业拥有、个人启用 (COPE) 模式，Android 11 及更高版本

在 Android 11 及更高版本上自定义 DPC 和 AMAPI 均支持 COPE 模式。

对于 Android 11 及更高版本，Android 允许组织在整个设备上设置策略，同时通过限制对个人配置文件的可见性来保护用户隐私。例如，组织可以设置一个应用程序允许列表，用户可以在个人配置文件中安装这些应用程序，但组织看不到在个人配置文件中安装了哪些应用程序。

Android 11 及更高版本 COPE 模式的一些关键注意事项：

• （自定义 DPC）用户无法使用 afw#hub 开始注册。
• 与产品置备一样，不支持内部应用程序。组织只能通过将内部开发的应用程序发布到受管 Google Play 商店来将其推送到设备。
• 只能在工作配置文件内直接管理应用程序。在个人配置文件中，组织仍然可以设置应用程序允许列表和拒绝列表。
• 可以选择对设备执行企业擦除，而不是执行完全设备擦除。执行企业擦除时，设备会删除工作配置文件并将设备的所有权返回给用户。用户个人数据不受影响。您仍然可以使用设备擦除命令启动设备出厂重置。

完全受管

公司拥有设备的受管工作

将设备注册为工作受管设备模式时，将创建真正的企业所有权模式。Workspace ONE UEM 控制整个设备，且不区分工作和个人数据。

对于工作受管模式，请注意以下重要事项：

• 与工作配置文件模式不同的是，主屏幕不显示标记应用程序。
• 激活设备后，用户有权访问各种预加载的应用程序。仅可以通过 Workspace ONE UEM console 批准和添加附加应用程序。
• Workspace ONE Intelligent Hub 在安全设置中被设置为设备管理员，且不能被禁用。
• 完全管理的设备通常配发给单个用户或在轮班工作的用户之间共享。
• 从工作受管模式取消注册设备会提示恢复设备出厂设置。

完全受管（封闭式网络）-AOSP（Android 开源项目）

不含 Google Play 服务的工作受管设备

如果在 Android 开源项目 (AOSP) 设备、非 GMS 设备上使用 Workspace ONE UEM，或者在您的组织内使用封闭式网络，则可以不使用 Google Play 服务，而通过工作受管设备注册流程注册您的 Android 设备。您可以在组织的内联网上托管应用，并使用 OEM 特定的注册方法进行部署。

您需要在 UEM console 中指定：您在 Android EMM 注册过程中使用 AOSP/封闭式网络。

对 AOSP/封闭式网络部署使用不含 Google Play 服务的工作受管设备时，需要考虑以下事项：

• 如果您已在顶层组织组中设置了 Android，并且希望仅在特定子组织组中部署 AOSP/封闭式网络，则 UEM console 管理员可以选择指定：子组织组中的开箱即用注册没有受管 Google 帐户。有关更多信息，请参阅"Android EMM 注册"中的"注册设置"。
• 如果要使用 Workspace ONE UEM 1907 和更低版本部署设备，则不需要 UEM console 配置。
• 如果要使用 Workspace ONE UEM 1908 和更高版本部署设备，则必须在"Android EMM 注册"页面中配置设置。
• 支持的注册方法包括：
  • 二维码
  • 适用于 Zebra 设备的 StageNow
  • 适用于 Honeywell 设备的 Honeywell Enterprise Provisioner
• AOSP 设备不支持通过 Workspace ONE Intelligent Hub 标识符进行注册。
• 不支持公共自动更新配置文件。此配置文件专门用于公共应用，对 AOSP 或封闭式网络上的设备不起作用
• 不支持出厂重置保护配置文件。
• 内部应用（在 Workspace ONE UEM console 中托管）将静默部署到 AOSP/封闭式网络设备。
• 不应为未使用受管 Google 帐户注册的工作受管设备分配任何公共应用，也不应在公共应用分配设备计数中考虑这些设备。
• 不使用 Google Play 服务的工作受管设备的操作系统版本和 OEM 要求：
  • AOSP（非 GMS）
    • Zebra 和 Honeywell - 必须为支持 StageNow 或 Honeywell Enterprise Provisioner 注册的操作系统版本。
    • 其他 OEM - 不支持，除非 OEM 通过 StageNow 等客户端或允许用户访问二维码注册来开发对它的支持。
  • 封闭式网络
    • Zebra 和 Honeywell - Android 7.0 及更高版本必须为支持 StageNow（也是 7.0 或更高版本）或 Honeywell Enterprise Provisioner 注册的操作系统版本。
    • 其他 OEM - Android 7.0 或更高版本，因为二维码注册是唯一受支持的方法。
• 如果配置工作受管设备时没有使用 Google Play 服务，Workspace ONE Intelligent Hub 需要配置为使用 AWCM 而不是 Firebase Cloud Messaging。 如果没有此更新，设备将不会收到来自控制台的推送通知。

Android GO 支持

Android Go（正式称"Android Go Edition"）是由 Google 创建的 Android 操作系统的轻量级版本。它专为硬件资源有限的入门级智能手机而设计。Workspace ONE UEM 仅支持在工作受管模式下运行 AndroidGO 的设备。

为此，支持工作受管模式的所有设备管理功能，但以下功能除外：

• Workspace ONE Launcher
• 需要访问或修改设备上的文件或目录的产品预置功能
  • 文件/操作 - 仅支持重新引导和运行意向操作
  • 条件 - 支持除 Launcher 以外的所有条件
  • 事件/操作 - 支持除应用自定义设置以外的所有操作