Thema
Die Funktionalität der Android-Richtlinien hängt davon ab, wie das Gerät registriert ist, wenn es der NinjaOne-Konsole hinzugefügt wird. Richtlinien übernehmen die volle Kontrolle über Nur-Arbeitsgeräte. Handelt es sich um ein Privatgerät, können bestimmte Richtlinieneinstellungen wie Einschränkungen eingeschränkt sein.
Bevor Sie die Android-MDM-Richtlinie konfigurieren, aktivieren Sie bitte die Android-MDM-Anwendung, falls Sie dies nicht bereits erledigt haben.
Umgebung
NinjaOne Mobile Device Management
Beschreibung
- Verwendungsarten: Persönliches Profil vs. Arbeitsprofil
- Neue Richtlinie erstellen
- Konfiguration der Richtlinie
- Zusätzliche Ressourcen:
Verwendungsarten: Persönliches Profil vs. Arbeitsprofil
Nachdem Sie die MDM Funktion aktiviert und Ihr Apple-/Android-Konto angemeldet haben, können Sie mobile Geräte zu NinjaOne hinzufügen. Wenn Sie ein Mobilgerät zu NinjaOne hinzufügen, haben Sie die Möglichkeit, die Art der Nutzung/Registrierung entweder als 'Persönliche Nutzung' oder 'Keine persönliche Nutzung erlaubt' zu kategorisieren.
Die Nutzungstypen definieren, wie ein Gerät registriert wird. Der Unterschied zwischen diesen beiden Nutzungstypen wird unten beschrieben.
-
Persönliche Nutzung: Persönliches Eigentum Ein Gerät, das sich in persönlichem Besitz befindet, wird in der Regel als BYOD-Anmeldung (bring your own device) betrachtet. NinjaOne (oder jedes andere MDM) hat nur begrenzten Zugriff auf Geräteinformationen und Aktionen.
- Das Gerät soll über die Android-Geräterichtlinien-Anwendung oder einen Link auf einem bereits eingerichteten Gerät registriert wird. Dieses Gerät muss den Einrichtungsprozess schon abgeschlossen haben und aktiv benutzt werden. Auf diese Weise kann ein Unternehmen die Anwendungen und Daten nur innerhalb des Arbeitsprofils verwalten, ohne dass das persönliche (oder übergeordnete) Profil sichtbar ist oder verwaltet werden kann.
-
Keine private Nutzung erlaubt: "Für die Arbeit" oder "firmeneigen" Ein Gerät, das im Besitz eines Arbeitgebers oder Unternehmens ist, aber persönlich aktiviert wird (COPE). Dieser Typ ermöglicht eine Trennung von Arbeitsanwendungen und Daten auf Plattformebene. NinjaOne verfügt über weitere Informationen über das Gerät, einschließlich Seriennummern und netzwerkbezogene Informationen. Unternehmen haben die Kontrolle über Daten und Sicherheitsrichtlinien innerhalb des Arbeitsprofils. Außerhalb des Arbeitsprofils bleibt das Gerät für den privaten Gebrauch geeignet.
- Bei Android-Geräten muss dieses Feld leer sein, sonst erhalten Sie eine Fehlermeldung, wenn Sie versuchen, das Gerät zu NinjaOne hinzuzufügen.
- Während der Einrichtung wird der Benutzer des Geräts aufgefordert, zusätzlich zum konfigurierten Arbeitsprofil seine eigenen Konten und Informationen hinzuzufügen. Das Unternehmen hat eine gewisse Kontrolle über das persönliche (übergeordnete) Profil, z. B. in Bezug auf Kameras, Screenshots und andere Richtlinien zur Verhinderung von Datenverlusten; es hat jedoch nur einen begrenzten Einblick in alles, was außerhalb des Arbeitsprofils liegt.
-
Dediziertes Gerät: "Kein bestimmter Benutzer" Diese Verwendung folgt der Logik des "keine persönliche Nutzung erlaubt" mit der zusätzlichen Angabe, dass das Gerät nicht mit einem einzelnen Benutzer verbunden ist und daher sowohl die persönliche Nutzung als auch die Authentifizierung der Unternehmensidentität nicht erwartet wird.
- Weitere Einzelheiten finden Sie in der einzelnen Anleitung zur Gerätebereitstellung.
Eine neue Richtlinie erstellen
- Klicken Sie im linken Navigationspanel auf Administration, öffnen Sie dann das Dropdown-Menü Richtlinien und wählen Sie MDM-Richtlinien.
- Klicken Sie auf Neue Richtlinie erstellen.
1. Abbildung: Erstellung einer neuen MDM-Richtlinie in NinjaOne
Das Modal zur Richtlinienerstellung wird angezeigt.
Die Vererbung von Richtlinien (über- und untergeordnet) wird von MDM-Richtlinien unterstützt. Die von Ihnen gewählte Rolle bestimmt, welche Richtlinien als übergeordnete Richtlinie ausgewählt werden können. Sie müssen eine MDM-spezifische Rolle auswählen, um eine MDM-spezifische Beziehung der vererbten Richtlinien zu erstellen. Weitere Einzelheiten finden Sie im Abschnitt Details zu vererbten Richtlinien weiter unten.
2. Abbildung: Erstellung einer vererbten MDM-Richtlinie in NinjaOne
- Geben Sie die Richtliniendetails ein und stellen Sie sicher, dass der Richtlinie aktiviert-Schalter am unteren Rand des Modals auf 'Ein' steht, um die Richtlinie zu aktivieren.
- Klicken Sie auf Speichern, um die neue Richtlinie zu erstellen.
Vererbte Richtlinieneinstellungen
Richtlinienvererbung wird von NinjaOne für MDM-Richtlinien unterstützt. Die von Ihnen gewählte Rolle bestimmt, welche Richtlinien als übergeordnete Richtlinie ausgewählt werden können. Sie müssen eine MDM-spezifische Rolle wählen, um eine MDM-spezifische Eltern-Kind-Richtlinienbeziehung zu erstellen.
Bei der Vererbung von Richtlinien wird in der neuen Richtlinie die Markierung 'vererbt' angezeigt, mit der Möglichkeit, einzelne Einstellungen zu überschreiben. Einstellungen, die überschrieben werden, werden zur Identifizierung markiert, und Sie können zu den übernommenen Einstellungen zurückkehren, wenn Sie den Mauszeiger über sie bewegen.
3. Abbildung: Einen überschriebenen Richtlinienwert in NinjaOne rückgängig machen
Auf der Seite MDM-Richtlinien unter 'Administration' werden vererbte Richtlinien mit einer Beschreibung unter dem Richtliniennamen angezeigt, damit Sie diese leicht identifizieren können.
4. Abbildung: Identifizierung einer vererbten Richtlinie in NinjaOne
Wichtige Hinweise:
- Wenn eine übergeordnete Richtlinie Anwendungen, Wi-Fi-Konfigurationen oder Android-Richtlinienerzwingungen enthält, können vererbte Richtlinien diese Elemente nicht entfernen. Um zu verhindern, dass eines dieser vererbten Elemente in der vererbten Richtlinie angewendet wird, muss es deaktiviert werden. Sie können ein Element deaktivieren, indem Sie die Konfiguration bearbeiten.
- Durch die Deaktivierung ändert sich die Statusspalte in 'Inaktiv', und die Beschriftung 'vererbt' ändert sich in 'Überschrieben'.
Konfiguration der Richtlinie
Wählen Sie einen Abschnitt aus, um mehr über die Konfigurationsoptionen zu erfahren:
Passcode
Für weitere Einstellungen klicken Sie sich durch die zwei Reiter am oberen Rand dieser Funktion.
- Gerätebereich: Legen Sie die Anforderungen für den vollständigen Besitz eines Geräts fest.
- Profilumfang: Legen Sie die Anforderungen nur für das Arbeitsprofil des Geräts fest.
5. Abbildung: Aktivierung der Passcode-Regeln und Definieren des Geltungsbereichs in einer Android-MDM-Richtlinie
- Passwortqualität (bewegen Sie den Mauszeiger über die Tooltipps, um die Spezifikationen zu sehen). Bitte beachten Sie, dass der nicht spezifizierte Bereich veraltet ist und Sie möglicherweise aufgefordert werden, diesen Wert zu ändern.
6. Abbildung: Tooltipp-Beschreibung
- Zum Entsperren ein Passwort verlangen
- Historienlänge: 100 ist der maximale Wert.
- Maximale fehlgeschlagene Passwörter für das Löschen — 100 ist die maximal zulässige Anzahl von Fehlversuchen, bevor die Daten auf dem Gerät gelöscht werden.
- Maximales Alter des Passcodes (Tage) — 3.650.000 ist die maximal zulässige Anzahl von Tagen für den Passcode.
Wenn die Passcode-Einstellungen konfiguriert sind, zeigt der Abschnitt 'Sicherheit' unter Details auf dem Geräte-Dashboard an, ob ein Passcode angewendet wurde und konform ist.
7. Abbildung: Sicherheitsdaten auf dem Geräte-Dashboard für Android
Beschränkungen
NinjaOne zieht die meisten Android-Richtlinieneinschränkungen direkt von der Android Management API; diese Referenz bietet die JSON-Darstellung und Definitionen. In diesem Bereich können Sie die folgenden Einschränkungen kontrollieren:
- Funktionalität
- Anwendung
- Netzwerk und Internet
- Sicherheit und Datenschutz
Alle Einschränkungen werden unter der entsprechenden Kategorie angezeigt und können durch Aktivieren oder Deaktivieren des Kontrollkästchens neben dem Namen der Einschränkung aktiviert oder deaktiviert werden. Die Richtlinienkonfiguration wird an alle von der Richtlinie verwalteten Geräte gesendet.
Wichtige Hinweise:
- Nur Werte, die von ihrer Standardeinstellung abweichen, werden an ein Gerät übermittelt. Die Standardwerte einer Richtlinie geben an, wie sich ein Gerät verhält, wenn keine MDM-Richtlinie aktiviert ist.
- Wenn das Gerät über ein Arbeitsprofil registriert wurde, gelten die Einschränkungen nur für dieses Profil.
8. Abbildung: Verwaltung von Einschränkungen für Android-Geräte
Sie können die Suchleiste verwenden, um nach bestimmten Einschränkungen zu suchen, oder Sie können die Dropdown-Listen 'Kategorie' und/oder 'Registrierungsart' (persönlich oder firmeneigen) verwenden, um die Ergebnisse zu filtern.
9. Abbildung: Einschränkungsfilter für Android-Richtlinien
Anwendungen
Der Abschnitt 'Anwendungen' der Android-Richtlinie hat drei Registerkarten, die wir in diesem Paragraphen erläutern: Verwaltete Apps, Kioskeinstellungen, und Erweitert.
Abbildung 10: Registerkarte 'Anwendungen' in einer Android-Richtlinie
- Auf der Registerkarte Verwaltete Anwendungen können bestimmte Anwendungen ausgewählt werden, die entweder installiert oder von einem mobilen Gerät blockiert werden sollen.
- Auf der Registerkarte Kiosk-Einstellungen können Sie die native Android-Kiosk-Umgebung aktivieren und alle bereitgestellten (und nur die bereitgestellten) Anwendungen anzeigen, die der zugewiesenen Richtlinie hinzugefügt wurden.
- Auf der Registerkarte Erweitert können Sie Konfigurationen für die erweiterte Funktionsverwaltung hinzufügen. Diese können es ermöglichen, dass Aktivitäten bestimmter Anwendungen eine oder mehrere Systemaktionen oder -kategorien übernehmen. Ein Beispiel ist die Festlegung einer Standard-Home/Launcher-App.
Wenn Sie mehr über das Hinzufügen und Ändern dieser Anwendungen erfahren möchten, lesen Sie bitte MDM: Android-Anwendungsmanagement
Netzwerk
Klicken Sie zum Konfigurieren der Wi-Fi-SSID und Sicherheit als Erstes auf Neues Wi-Fi-Netzwerk hinzufügen. Klicken Sie dann auf die Schaltfläche unter Proxy-Einstellungen, um einen Netzwerk-Proxy manuell einzurichten.
11. Abbildung: Konfiguration der Netzwerkeinstellungen einer Android-Richtlinie
Sicherheit
Im Bereich Sicherheit können Systemadministratoren das Gerät verschlüsseln, Entwicklereinstellungen verwalten, festlegen, wie Daten für die Arbeit übertragen werden, und vieles mehr.
12. Abbildung: Konfiguration der Sicherheitseinstellungen einer Android-Richtlinie
Im Folgenden werden die meisten Konfigurationsmöglichkeiten beschrieben.
- Minimale Android-Versionsunterstützung (API-Ebene): Die minimal zulässige Android-API-Ebene.
- Zeitdauer bis zur Sperre: Wählen Sie die Anzahl der Sekunden, die vergehen müssen, bevor das Gerät gesperrt wird und der Benutzer das Passwort eingeben muss.
- Verschlüsselungsrichtlinie: Stellen Sie die Richtlinie so ein, dass ein Passwort erforderlich ist oder nicht.
- Deaktivierte Keyguard-Nutzereinstellungen: Die Keyguard-Anpassungen sperren Bildschirmelemente wie Widgets, Benachrichtigungen, Kamerazugriff und andere Tools, während das Gerät gesperrt ist.
-
Akkubetrieb: Der Modus, in dem die Batterie eingesteckt ist und in dem das Gerät eingeschaltet bleibt. Diese Einstellung sorgt dafür, dass der Bildschirm eines Geräts unter bestimmten Bedingungen eingeschaltet bleibt, zum Beispiel bei Anschluss an Stromnetz, beim drahtlosen Laden oder bei Verbindung über USB.
- Wenn Sie diese Einstellung verwenden, wird empfohlen, 'maximumTimeToLock' zu deaktivieren, damit sich das Gerät nicht selbst sperrt, während es eingeschaltet bleibt.
- Entwicklereinstellungen: Diese Einstellung legt fest, ob Entwickleroptionen wie Systemverhalten, Schnelleinstellungen und sicheres Booten erlaubt sind. Weitere Informationen zu den Android-Entwicklereinstellungen finden Sie unter Entwickleroptionen auf dem Gerät konfigurieren | Android Studio | Android Developers.
-
Erlaubte Eingabemethoden: Auf verwalteten Android-Geräten können Sie eine Liste von Paketnamen für Eingabemethoden oder Tastaturanwendungen konfigurieren.
- Erweiterung der Speicherkennzeichnung: Dies steuert die Memory Tagging Extension (MTE), eine Hardware-Implementierung von getaggtem Speicher. Diese Funktion wird auf Android 14 und höher unterstützt.
-
Senden Sie Inhalte an Hilfsanwendungen: Mit dieser Funktion können kontextbezogene Inhalte über die aktuelle App oder den Bildschirmstatus bereitgestellt werden, um Apps wie Gemini zu unterstützen, die auf Android 15 und höher laufen.
- Deaktivieren Sie diese Option, um die Freigabe von Inhalten zu verhindern.
- Werksreset-Schutz erlaubt aufgelistete Konten: Geben Sie alle E-Mail-Adressen der Geräteadministrator:innen ein, die für den Schutz beim Zurücksetzen auf die Werkseinstellungen (FRP) zuständig sind. Wenn das Gerät auf die Werkseinstellungen zurückgesetzt wird, muss sich einer dieser Administrator:innen mit der E-Mail und dem Passwort des Google-Kontos anmelden, um es zu entsperren. Wenn keine Administrator:innen angegeben sind, bietet das Gerät kein FRP.
- Regeln für private Schlüssel: Konfiguration der Regeln für private Schlüssel mit optionalen Paketen. Sie können mehrere Regeln für private Schlüssel erstellen und verwalten, indem Sie URL-Muster, zugehörige Anwendungen und Aliasnamen für private Schlüssel für die sichere Kommunikation definieren.
-
Benutzerdefinierte Nachrichten: Konfigurieren Sie den Text, der unter bestimmten Umständen auf einem Gerät angezeigt werden soll. Diese Nachrichten können mehrere Sprachen unterstützen.
- Eine kurze Supportmeldung wird angezeigt, wenn eine Aktion nicht zulässig ist.
- Eine lange Support-Meldung wird angezeigt, wenn eine Aktion nicht zulässig istund der Benutzer tippt für weitere Informationen.
- Die Sperrbildschirmnachricht wird auf dem Sperrbildschirm des Geräts angezeigt.
- Richtlinien zur persönlichen Nutzung: Diese Einstellungen sind auf Geräte mit einem persönlichen Profil beschränkt. Sie betreffen nur das Arbeitsprofil.
- Für das Gerät geltende profilübergreifende Richtlinien: Erlauben oder verhindern Sie die gemeinsame Nutzung von Daten über verschiedene Richtlinien hinweg.
-
System-Update-Konfiguration: Dies ist die System-Update-Richtlinie, die steuert, wie Betriebssystem-Updates angewendet werden. Wenn die Aktualisierungsart 'Windowed' ist, gilt das Aktualisierungsfenster automatisch auch für Play Store-App-Updates.
-
Sperrfrist (kann mehrfach eingestellt werden): Ein jährlich wiederkehrender Zeitraum, in dem Systemaktualisierungen über drahtlose Netzwerke verschoben werden, um die auf einem Gerät laufende Betriebssystemversion zu stoppen. Um zu verhindern, dass das Gerät auf unbestimmte Zeit gestoppt wird, muss zwischen den einzelnen Sperrfristen ein Abstand von mindestens 60 Tagen liegen.
- Wenn Sperrfristen von einer anderen Richtlinie übernommen werden, überschreibt jede Änderung innerhalb der Sperrfristen der untergeordneten Richtlinie den gesamten Sperrfristabschnitt.
Richtliniendurchsetzung
Durch die Richtliniendurchsetzung können Sie Regeln festlegen, die das Verhalten definieren, wenn eine Richtlinie nicht auf ein Gerät angewendet werden kann. So können Sie beispielsweise den Zugriff auf eine bestimmte Einstellung entweder für ein Arbeitsprofil oder für das gesamte Gerät für eine bestimmte Anzahl von Tagen sperren. Wenn bestimmte Aspekte der Richtlinie nicht erfolgreich angewendet werden, gibt es eine zusätzliche Option, das Gerät zu löschen.
Um eine Richtlinie durchzusetzen, klicken Sie oben rechts in der Richtlinientabelle auf Hinzufügen, um die gewünschten Richtlinien zu finden.
13. Abbildung: Konfiguration der Durchsetzungseinstellungen von Android-Richtlinien
| Feld | Beschreibung |
| Einstellungsname | Wählen Sie die Funktion, die Sie blockieren möchten. In der nachstehenden Tabelle sind die einzelnen Einstellungen aufgeführt. |
| Umfang blockieren | Sie können den Zugriff auf Apps und Daten auf einem unternehmenseigenen Gerät oder in einem Arbeitsprofil sperren. Diese Aktion löst auch eine benutzerseitige Benachrichtigung aus, die (falls möglich) Informationen darüber enthält, wie das Problem der Einhaltung der Vorschriften behoben werden kann. |
| Blockieren nach Tagen | Legen Sie optional ein bestimmtes Datum fest, an dem die Einstellung nach einer bestimmten Anzahl von Tagen nach dem Speichern der Richtlinienänderungen gesperrt werden soll. |
| Löschen nach Tagen | Eine Aktion zum Zurücksetzen eines firmeneigenen Geräts oder zum Löschen eines Arbeitsprofils. |
| Frp beibehalten | Optional können Sie den Schutz vor dem Zurücksetzen auf die Werkseinstellungen für persönliche Profile beibehalten. |
In der nachstehenden Tabelle finden Sie eine Übersicht über die einzelnen Einstellungen.
| Einstellungsname | Beschreibung |
| Anwendungen | Richtlinieneinstellungen, die auf Anwendungen angewendet werden. |
| Schlüsselschutz deaktiviert | Deaktivierte Bildschirmsperre für primäre und/oder sekundäre Displays. |
| Erlaubte Zugänglichkeitsdienste | Wenn das Feld nicht gesetzt ist, kann jeder beliebige Zugänglichkeitsdienst verwendet werden. Wenn das Feld gesetzt ist, können nur die Zugänglichkeitsdienste in dieser Liste und der integrierte Zugänglichkeitsdienst des Systems verwendet werden. Wenn das Feld leer ist, können nur die in das System integrierten Zugänglichkeitsdienste verwendet werden. Dies kann bei vollständig verwalteten Geräten und bei Arbeitsprofilen eingestellt werden. Bei Anwendung auf ein Arbeitsprofil wirkt sich dies sowohl auf das persönliche Profil als auch auf das Arbeitsprofil aus. |
| Erlaubte Eingabemethoden | Falls vorhanden, sind nur die Eingabemethoden zulässig, die von den Paketen in dieser Liste bereitgestellt werden. Ist dieses Feld vorhanden, die Liste aber leer, so sind nur Systemeingabemethoden zulässig. |
| Minimale API-Ebene | Mindestens zulässige Android-API-Ebene |
| Empfohlener globaler Proxy | Der netzwerkunabhängige globale HTTP-Proxy. Normalerweise sollten Proxys pro Netzwerk in der Netzwerkkonfiguration konfiguriert werden. Für ungewöhnliche Konfigurationen wie die allgemeine interne Filterung kann jedoch ein globaler HTTP-Proxy nützlich sein. Wenn der Proxy nicht erreichbar ist, kann der Netzwerkzugang unterbrochen werden. Der globale Proxy ist nur eine Empfehlung, und einige Anwendungen können ihn ignorieren. |
| Ortungsmodus | Grad der aktivierten Standorterkennung. |
| Immer auf VPN-Paket | Gibt an, ob die App auf das Netzwerk zugreifen darf, wenn das VPN nicht verbunden und aktiviert ist. Diese Einstellung wird nur auf Geräten mit Android 10 und höher unterstützt. |
| Bluetooth-Konfiguration deaktiviert | Ob die Konfiguration von Bluetooth aktiviert ist. |
| Verschlüsselungsrichtlinie | Konfiguration der Verschlüsselung. |
| Gewährte Berechtigungen | Explizite Erlaubniserteilung oder -verweigerung für die Anwendung. |
| Passwort-Richtlinien | Richtlinien für Passwortanforderungen. Das Feld Passwortumfang in der Richtlinie kann auf unterschiedliche Richtlinien für Arbeitsprofile oder vollständig verwaltete Geräte eingestellt werden. |
| Erweiterte Sicherheitsüberschreibungen | Die Sicherheitsrichtlinien sind standardmäßig auf sichere Werte eingestellt. Um die Sicherheit eines Geräts zu gewährleisten, empfiehlt NinjaOne nicht, die Standardwerte zu überschreiben. |
| Persönliche Nutzungsrichtlinien | Richtlinien zur Verwaltung der persönlichen Nutzung eines unternehmenseigenen Geräts. |
| Richtlinien für Über-Kreuz-Profile | Legt fest, ob Daten aus einem Profil (privat oder beruflich) für Anwendungen im anderen Profil freigegeben werden können. |
Sobald die Richtlinien festgelegt sind, können Sie diese bearbeiten oder löschen, indem Sie den Mauszeiger über die Zeile mit der Richtlinie bewegen und auf die Ellipsen-Schaltfläche klicken.
14. Abbildung: Bearbeitung oder Entfernung einer Konfiguration der Durchsetzungseinstellungen von Android-Richtlinien
Standort-Tracking
Weitere Informationen finden Sie unter MDM-Standort-Tracking.
15. Abbildung: Konfiguration der Android-Richtlinie zum Standort-Tracking