使用 Workspace ONE UEM 进行的 Android 设备管理

注册并配置设备后，使用 Workspace ONE UEM Console 设备仪表板管理设备。管理工具和功能允许您监控设备和远程执行管理功能。

仪表板是一个可以用来筛选和查找特定设备的可搜索、可定制化视图。利用此功能，可以更轻松地对一组特定的设备执行管理功能。设备列表视图显示当前在您的 Workspace ONE UEM 环境中注册的所有设备及其状态。您可以筛选特定于 Android 的列表视图，并查看如何快速管理设备。

使用"设备详细信息"页面

设备详细信息页面提供设备的特定信息，例如配置文件、应用、Workspace ONE Intelligent Hub 版本和设备上当前安装的任何适用 OEM 服务的版本。您还可以通过"设备详细信息"页面在设备上执行特定于平台的远程操作。

可以通过两种方式访问“设备详细信息”页面：从“设备搜索”页面或者可用的仪表板之一中选择设备的友好名称，或者将任何可用的搜索工具与 Workspace ONE UEM console 搭配使用。

设备详细信息中的注册状态

在某些情况下，由于在设备本地执行的操作，"设备详细信息"页面未更新注册状态。

以下是一些场景：

• 当用户从其设备上的"设置"应用执行出厂重置时，UEM console 中的注册状态未更新。
• 如果用户从其设备上的"设置"应用中移除工作配置文件，则 UEM console 中的注册状态未更新。
• 达到失败工作配置文件或设备密码限制后，注册状态未更新，这会触发工作配置文件或设备擦除，具体取决于注册模式：
  • 在工作配置文件上，将擦除工作配置文件。
  • 在 COPE 和完全受管设备上，将擦除整个设备。

如果设备为节能模式

运行 Android M 的 Android 设备会对空闲的应用和设备使用节能选项。如果用户拔出设备，并在关闭其屏幕的情况下让设备保持静止状态一段时间，则设备会进入瞌睡模式（该模式会尝试让设备保持睡眠状态）。在这段时间内不会有任何网络活动。

此外，应用待机模式可让设备确定这一点：如果用户未主动使用某个应用， 该应用将处于空闲状态。在设备处于上述任一状态时，Workspace ONE UEM Console 均 不会收到有关设备详细信息的报告。在用户插入设备电源以充电或打开应用时， 设备将恢复正常操作，并且也会恢复从设备上安装的 AirWatch 应用 向 Workspace ONE UEM console 的报告操作。

Android 设备的直接引导

直接引导模式是当设备已打开电源，但用户尚未解锁设备时。在这种状态下，应用将无法正常运行。当设备处于此状态时，应用（适用于 Android 的 Workspace ONE Intelligent Hub）无法向 UEM console 发送样本或执行支持的功能。

直接引导对在工作配置文件模式下注册的设备有不同的影响。工作配置文件仍以直接引导模式锁定，直到输入工作配置文件密码（如果存在）解锁工作配置文件。这样，如果设备已解锁，则工作配置文件之外的应用可能能够正常运行，但工作配置文件中的应用可能仍在直接引导模式下锁定，直到用户解锁工作配置文件。

在工作配置文件注册模式下锁定设备时，对于具有单独设备和工作配置文件密码的 Android 11 设备，工作配置文件锁定屏幕支持"忘记我的密码"按钮。

当用户选择"忘记我的密码"时，系统会提示他们联系其 IT 管理员。选择"忘记我的密码"按钮还会在直接引导（锁定）模式下启动工作配置文件，从而允许您的 DPC 完成执行安全工作配置文件密码重置的步骤。

按注册模式列出的支持的 Android 设备命令

此列表按注册模式显示可用的设备命令。

星号表示当设备处于直接引导模式时支持哪些命令。仅当 Workspace ONE UEM 使用 FCM（Firebase 云消息传递）与设备通信时，才支持在直接引导模式下执行命令。有关更多信息，请参阅 Workspace ONE Intelligent Hub 的 Android 设置。

使用设备详细信息菜单标签页来访问特定设备信息，包括：

• 摘要 – 查看常规统计信息，如注册状态、合规性、最后上线时间、平台/ 型号/操作系统、组织组、联系信息、序列号、电源状态，包括 电池运行状况、存储容量、物理内存和虚拟内存。Zebra 设备具有 一个面板，可显示详细的电池信息。您还可以查看 Workspace ONE Intelligent Hub，以及当前在设备上安装了任何适用 OEM 的哪个版本。注意：如果 Android 设备报告根据 Android 标准确定为无效的制造商和型号，则设备摘要的"型号/操作系统"字段在控制台中显示为"未知"。
• 合规性 – 显示状态、策略名称、以往和即将进行的 合规检查日期以及已对设备执行的操作。
• 配置文件 - 查看设备上当前安装的所有 MDM 配置文件。
• 应用 – 查看设备上当前已安装或待安装的所有应用。对于内部应用，我们将对所有应用的安装状态进行采样。 对于公共应用，我们仅对设备上具有可启动图标的应用进行采样。不会对没有可启动图标的非受管应用进行采样。
• 内容 – 查看状态、类型、名称、优先级、部署、上次更新时间 以及查看日期和时间，并为管理操作提供一个工具栏（安装或删除内容）。
• 位置 – 查看设备当前的位置或位置历史记录。如果您的设备目前处于节能模式，则定位数据在瞌睡模式下可能不会更新。系统将提示用户在以下情况的任何设备上启用 Google 定位精度： 在设备的组织组处的 Intelligent Hub 设置中启用位置数据收集或**在设备的隐私设置中启用位置数据收集（基于组织组和所有权类型）。**系统将提示用户在 Android 12 及更高版本上的工作配置文件和 COPE 设备中授予 Hub 位置权限。有关更多信息，请参阅 Workspace ONE Intelligent Hub 的 Android 设置。
• 用户 – 访问关于设备用户的详细信息以及注册到该用户的 其他设备的状态。 选择"设备详细信息"主选项卡上的"更多"来访问以下菜单选项卡。
• 网络 – 查看设备的当前网络（蜂窝、Wi-Fi、蓝牙或 eSIM）状态。注意：如果设备上未启用定位服务，则可能无法收集和报告活动的 SSID。在这些情况下，SSID 作为"未知 SSID"报告。
• 电信 – 查看设备所有通话、数据和收发消息的 数量。
• 注释 – 查看和添加有关设备的注释。例如，注明递送状态或者 设备是否已送修并已损坏。
• 证书 – 按名称和颁发者标识设备证书。此标签页还提供 关于证书过期方面的信息。
• 产品 – 查看置备到设备的所有软件包的完整历史记录和状态， 以及任何置备错误。
• 自定义属性 - 使您能够使用高级产品置备功能。
• 文件/操作 - 查看与设备相关的文件和其他操作。
• 事件操作 – 允许您在满足预定的条件时在设备上 进行操作
• 共享设备日志 - 查看共享设备的设备历史记录，包括以往签入、签出和当前状态的记录。
• 故障排除 - 查看事件日志和命令日志记录信息。此页提供了 导出和搜索功能，使您能够执行目标搜索和分析。
• 事件日志 – 查看详细的错误修复信息和服务器的签入次数，包括按事件组类型、 日期范围、严重程度、模块和类别进行筛选的筛选器。 在"事件日志"列表中，"事件数据"列可能显示超文本链接，单击这些链接可打开 一个单独的屏幕，其中会显示有关特定事件的更多详细信息。通过这些信息， 您可以执行高级故障排除，例如确定配置文件安装失败 的原因。
• 命令 – 查看发送到设备的待定、已排入队列和已完成命令 的详细列表。包括一个筛选器，使用该筛选器可以按类别、状态和特定命令 来筛选命令。
• 破解检测 – 查看有关设备的破解状态的详细信息， 包括状态的特定原因以及状态的严重程度。
• 状态历史记录 – 查看与注册状态有关的设备历史记录。
• 针对性日志记录 – 查看控制台、目录、设备服务、设备管理 和自助服务门户的日志。必须在设置中启用目标日志记录并提供链接， 以实现此目的。然后，必须选择"创建新日志"按钮并选择 收集日志的时间长度。
• 附件 – 使用这个服务器上的存储空间来存储屏幕截图、文档和故障排查 以及其他用途的链接，以节省设备本身的存储空间。

Android 的 MAC 地址行为

在运行 Android 10 或更高版本的设备上，系统默认传输随机 MAC 地址。这与以前版本的 Android 不同。

Android 操作系统版本和注册类型决定了我们收集 Wi-Fi MAC 地址的方式：

• 完全受管的设备可以收集所有操作系统版本上的实际硬件 WiFi MAC 地址。
• COPE 设备可以收集所有操作系统上的实际硬件 WiFi MAC 地址。
• 工作配置文件设备可以收集 Android 9 及更低版本上的实际硬件 Wi-Fi MAC 地址。
• 工作配置文件设备可以收集 Android 10 或更高版本上的活动 SSID 的随机 WiFi MAC 地址。

eSIM 管理

您可以远程管理 Android 设备上的嵌入式 SIM (eSIM)。添加、跟踪和移除受管 eSIM，同时最大限度减少用户交互并保持对设备群中受管 eSIM 的完全可见性。

要求

• 最低操作系统版本：Android 15
• 支持的管理类型：自定义 DPC

将 eSIM 远程添加到单一设备

要将 eSIM 添加到个别 Android 设备，请使用"安装 eSIM"操作，从 Console 中的设备记录可以访问此操作。

1. 通过设备详细信息 > 更多操作导航到目标设备，然后选择安装 eSIM。
2. 选择如何将 eSIM 添加到设备。您的运营商可能仅支持以下某一种方法：
   • 激活码：使用运营商提供的预生成的激活码。
   • eSIM 服务器主机名：输入运营商的 SM-DP+ 服务器的主机名。
3. （仅限企业拥有的设备）对于注册为工作受管或 COPE 的设备，可以选择在将 eSIM 添加到设备后立即启用。Workspace ONE UEM 将尝试以静默方式启用 eSIM，但在某些情况下需要用户交互。

大规模部署受管 eSIM

使用 Workspace ONE UEM REST API 在多个设备之间部署受管 eSIM。您可以使用以下任一 API：

• MDM v4 操作：此 API 支持使用 eSIM 服务器主机名或激活码将 eSIM 添加到 Android 设备。
• MDM v2 命令：此 API 也支持将 eSIM 添加到 iOS 设备。但是，此 API 仅支持使用 eSIM 服务器主机名在 Android 设备上添加 eSIM。不支持激活码。

添加 eSIM 的用户体验

eSIM 用户体验因设备的管理模式以及置备期间是否选择了"启用 eSIM"选项而异。

您可以在设备详细信息的网络选项卡中找到所列的 MAC 地址。

适用于 Android 设备的设备管理命令

借助"设备详细信息"页面上的更多下拉菜单，您可以隔空对所选设备执行远程操作。下面列出的操作会因各种因素（如设备平台、Workspace ONE UEM console 设置和注册状态）而有所不同。

清除密码

• 清除密码（设备）– 清除设备密码。用于用户忘记了设备密码的情形。
• 生成应用令牌 - 为忘记了 Workspace ONE SDK 构建的应用程序的登录信息的用户生成应用令牌。
• 清除工作密码 - 清除工作或容器密码。用于用户忘记了设备密码的情形。

管理

• 更改设备密码 – 使用新密码来替换用来访问选定设备的任何现有设备密码。
• 更改工作密码 - 选择此选项可移除设备上的工作安全质询。适用于 Android 8.0 或更高版本。
• 锁定 SSO – 锁定设备用户，使其无法访问 Workspace ONE UEM Container 和所有参与 SSO 的应用程序。
• 重启设备 – 远程重启设备，再现开关设备电源的影响。
• 设备擦除 – 发出 MDM 命令以擦除设备上的所有数据和操作系统。此操作无法撤销。注意：在 Zebra 设备上，仅当设备电池电量达到 5% 或更高时，Workspace ONE UEM 才会执行"设备擦除"命令。设备擦除功能的行为因配置文件设置和管理模式而异。有关更多信息，请参阅 Android 配置文件。
• 锁定 SSO – 锁定设备用户，使其无法访问 Workspace ONE UEM Container 和所有参与 SSO 的应用程序。
• 企业擦除 – 从设备中移除企业数据，而不会影响任何个人数据。在 COPE 注册的 Android 11 + 设备上，企业擦除会取消设备注册，移除工作配置文件，并使个人配置文件保持完整。
• 安装 eSIM - 无需物理交互即可在企业拥有的设备上远程激活 eSIM。必须在设备上至少启用一次受管 eSIM，然后 Workspace ONE UEM 才能收集并在 Workspace ONE UEM 中显示其信息。要进行安装，必须提供 eSIM URL 或激活码。
• 移除 eSIM - 从受管设备中删除 eSIM 配置文件和蜂窝运营商数据。选择移除 eSIM 选项后，您将选择想要移除并保存的 eSIM。

支持

• 查找设备 – 向适用的 Workspace ONE UEM 应用程序发送短信和可听见的声音（旨在帮助用户寻找放错地方的设备）。可听见的声音选项让用户能配置声音的重放次数和重放间隔秒数。
• 同步设备 – 调整"最后上线时间"状态，让所选设备与 UEM console 同步。

管理员

• 更改组织组 – 将设备的主组织组变更为另一个现有组织组。此操作包括一个选择静态或动态组织组的选项。 如果要一次更改多个设备的组织组，则必须使用块选择方法（使用 shift 键）而不是"全局"复选框（在设备列表视图中的"最后上线时间"列标题旁边）选择要进行批量操作的设备。

• 管理标记 -

• 编辑设备 – 编辑诸如友好名称、资产编号、设备所有权、设备组以及设备类别等设备信息。

• 删除设备 – 删除设备，并从控制台取消设备注册。将企业擦除命令发送到在下一次签入过程中擦除的设备，并在控制台上将该设备标记为"正在删除"。如果设备上的擦除保护处于关闭状态，则发出的命令会立即执行企业擦除，并移除控制台中的设备表示形式。

• 请求设备日志 - 请求所选设备的调试日志，然后通过选择"更多"标签页并选择"附件">"文档"来查看日志。您无法在 Workspace ONE UEM console 中查看日志。日志记录将以 ZIP 文件形式提供，可用于故障排查并提供支持。 请求日志时，您可以选择从系统或 Hub 接收日志。系统提供系统级日志。Hub 从设备上运行的多个代理提供日志。

  仅限 Android：您可以从企业拥有的 Android 设备检索详细日志，并在控制台上查看日志，以快速解决设备上存在的问题。

• 覆盖作业日志级别 – 覆盖当前在所选设备上指定的作业事件日志记录级别。此操作可设置通过"产品预置"推送的作业的日志记录详细程度，并且覆盖"Android Hub 设置"中配置的当前日志级别。可以通过选择操作屏幕上的下拉菜单项"重置为默认"来清除"作业日志级别覆盖"。您还可以在 Android Hub 设置中的"产品置备"类别下更改作业日志级别。

高级

• 启动/停止 AWCM – 启动/停止所选设备的云消息服务。AirWatch Cloud Messaging (AWCM) 简化了从管理控制台发送消息和命令的工作。AWCM 使最终用户无需访问公共互联网，也无需使用 Google ID 等使用者帐户。
• 同步设备 – 调整"最后上线时间"状态，让所选设备与 UEM console 同步。

设备擦除与企业出厂重置保护

企业出厂重置保护允许您指定受信任的 Google 帐户，该帐户可在设备完成出厂重置后解锁设备。这有助于防止未经授权的访问，但有必要了解它如何与 Workspace ONE UEM 中的设备擦除功能进行交互。

如果在出厂重置之前或出厂重置期间未移除 EFRP，设备将需要使用受信任的 Google 帐户手动登录，然后才能进行设置或重新注册。

EFRP 的处理方式取决于设备的取消注册方式

如果您的设备通过 Android 配置文件配置了 EFRP，则每种场景下都会出现以下情况：

• 设备擦除命令：系统将会在擦除过程中提示您选择是否移除 EFRP 策略。注意：如果设备在自定义 DPC 中管理，并在启动擦除时处于直接引导模式，则无论您选择何种方式，都可能会移除 EFRP。
• 管理员从 Workspace ONE UEM Console 中删除设备：EFRP 将会自动移除。
• 用户从 Intelligent Hub 取消注册：EFRP 将会自动移除。

"详细信息应用"标签页

Workspace ONE UEM console 中的设备详细信息应用标签页包含按设备控制公共应用程序的选项。您可以根据注册类型和隐私配置查看已在 UEM console 和个人应用中分配的应用。

管理员可以查看应用程序的相关信息，包括安装状态、应用程序类型、应用程序版本和应用程序标识符。

通过"操作"菜单中的安装选项，您可以从列表视图中选择分配的应用并直接推送到设备。操作菜单中的移除选项能够以静默方式卸载应用程序。

工作配置文件注册仅显示由管理员分配的应用，不会显示用户安装的个人应用程序。工作受管注册会显示所有应用程序，因为 Workspace ONE UEM 可以完全控制设备，并且没有个人应用程序的概念。对于 COPE 注册，"设备详细信息应用"标签页显示受管应用程序，其中包括默认情况下在个人端安装的内部应用程序。

Workspace ONE UEM console 不会显示用户无法启动的应用。UEM console 将报告具有用户可以单击并打开的 Launcher 图标的应用的状态。因此，"设备详细信息"中不会显示后台应用或服务应用程序。

通过"请求设备日志"命令，您可以从企业拥有的设备中检索 Workspace ONE Intelligent Hub 或详细的系统日志，并在控制台中查看这些日志，以快速解决设备上出现的任何问题。在"请求设备日志"对话框中，您可以为 Android 设备自定义日志记录请求。请参阅下方更多详细信息。

请求设备日志

通过"请求设备日志"命令，您可以从企业拥有的设备中检索 Workspace ONE Intelligent Hub 或详细的系统日志，并在控制台中查看这些日志，以快速解决设备上出现的任何问题。在"请求设备日志"对话框中，您可以为 Android 设备自定义日志记录请求。

Workspace ONE UEM 中未设置文件存储，Workspace ONE Intelligent Hub 上载的日志将被分为多个较小的文件。将这些文件拼凑在一起并不总是可行，例如，对于系统日志而言，并非所有日志行都包含时间戳。必须为内部部署 Workspace ONE UEM 环境手动设置文件存储。可在以下位置找到有关文件存储的更多信息：文件存储。

1. 导航到组与设置 > 所有设置 > 设备与用户 > 常规 > 隐私，并在隐私设置中启用"请求设备日志"。

   由于隐私问题，不允许选择员工拥有的设备

2. 导航到设备 > 列表视图 > 从列表中选择设备 > 更多操作 > 请求设备日志。

3. 自定义日志设置：

   设置	说明
   来源	选择 Hub 以收集 Workspace ONE Intelligent Hub 生成的日志。
   	选择系统以收集设备上所有应用程序和事件的日志。仅支持在工作受管模式下注册的设备。对于 Zebra 设备，Intelligent Hub 会收集 RX 记录器的输出。在非 Zebra 设备上，用户将会看到一条通知，要求用户授权其管理员收集错误报告。
   	选择网络可在指定的持续时间内将来自应用的 DNS 请求和网络连接记录到日志文件。**注意：**在运行 Android 8 或更高版本的工作受管设备上可用。**注意：**必须在"隐私设置"中启用"收集公共 IP 地址"。
   	选择安全以收集安全日志，其中详细记录了可能的安全漏洞，如引导前和引导后的活动、身份验证尝试、凭据存储修改、尝试的 adb 连接等等。注意：需要使用工作受管 Android 7.0 或更高版本的设备以及适用于 Android 的 Workspace ONE Intelligent Hub 21.05。如果设备未满足这些要求，安全选项将呈灰色显示。
   	选择 AMAPI 以收集 Android 管理 API 生成的日志，包括 AMAPI 当前拥有的设备信息以及 AMAPI 正在应用于设备的最新策略。
   类型	选择快照可检索设备中可用的最新日志记录。选择计时可收集指定时间段内的连续日志。多个日志文件可能会发送到 UEM console。选择"网络"时，"级别"选项将不可用
   持续时间	指定设备收集日志并将其报告给控制台的持续时间。
   级别	确定日志中包含的详细信息级别（错误、警告、信息、调试、详细）。

4. 选择保存。

5. 要查看日志文件，请导航到设备详细信息 > 更多 > 附件 > 文档。

6. 在收到日志后取消设备日志请求，并且不再需要收集日志。导航到设备 > 列表视图 > 从列表中选择设备 > 更多操作 > 取消设备日志以取消设备日志请求。

SafetyNet Attestation

SafetyNet Attestation 是一种 Google API，用于验证设备的完整性，确保设备未被破解。

SafetyNet 可验证设备上的软件和硬件信息，并创建该设备的配置文件。此认证有助于确定特定设备是否遭到篡改或修改。当 Workspace ONE UEM Console 运行 SafetyNet Attestation API 并报告设备已被破解时，UEM Console"设备详细信息"页面会将设备报告为被破解。如果 SafetyNet Attestation 检测到设备遭到破坏，则恢复设备被破坏状态的唯一方法是重新注册受影响的设备。

请务必注意，SafetyNet Attestation 在最初报告后不会重新评估破解状态。

仅 Workspace ONE Intelligent Hub 支持 SafetyNet Attestation。

启用 SafetyNet Attestation 在 UEM Console 中启用 SafetyNet Attestation API，以验证设备的完整性并确定设备是否已被破解。

1. 导航到"组与设置">"所有设置">"应用">"设置和策略">"设置">"自定义设置"

2. 将以下自定义 XML 粘贴到"自定义设置"字段中：{ "SafetyNetEnabled":true }

3. 保存自定义 XML。

4. 在 UEM console"设备详细信息"页面的"摘要"选项卡中验证 SafetyNet。如果看不到 SafetyNet Attestation 的状态，则可以发送远程命令以重新启动设备。