Android Enterprise: apparaatbeleid voor volledig beheerde bedrijfsapparaten

Kort antwoord: Het Android Enterprise-apparaatbeleid van Sophos geldt voor apparaten in de modus Android Enterprise full device. Deze gids behandelt het beleid voor volledig beheerde bedrijfsapparaten, niet het afzonderlijke Work Profile-beleid voor apparaten in de modus Android Enterprise work profile (bijvoorbeeld BYOD; de beheermodus is niet hetzelfde als de eigendomsvorm). Gelijknamige instellingen hebben niet noodzakelijk dezelfde werking in beide modi. De hier beschreven opties zijn hulpmiddelen bij de besluitvorming, geen standaardprofiel dat in de tenant is getest.

Vóór een beleidswijziging

Controleer of apparaten daadwerkelijk in de full-device-modus zijn ingeschreven, of de vereiste Sophos Mobile-licentie in de tenant aanwezig is, welke Android-versie en welk apparaatmodel het betreft en welk beleid daadwerkelijk aan het testapparaat is toegewezen. Documenteer geplande wijzigingen, de uitgangssituatie, back-ups en de herstelprocedure. Controleer eerst op een representatief bedrijfsapparaat of de gewenste instelling effect heeft en of deze kan worden teruggedraaid; geef pas daarna toestemming voor een bredere uitrol. Noch het aanmaken noch het toewijzen van een beleid bewijst dat het effect heeft op het apparaat.

Apps en machtigingen

App Control: Een geselecteerde app-groep bevat apps die gebruikers niet mogen starten; dit geldt ook voor niet-verwijderbare apps die door de fabrikant zijn voorgeïnstalleerd. Dit is geen deïnstallatie. Controleer bij apps die nodig zijn voor de bedrijfsvoering eerst de app-groep en de noodtoegang in een pilot.
App permissions: Het standaardantwoord op machtigingsverzoeken en app-specifieke instellingen regelen uitsluitend runtime-machtigingen. Bij het standaardantwoord vraagt Prompt de gebruiker om toestemming; Auto-accept verleent en Auto-deny weigert de aangevraagde runtime-machtigingen automatisch. Bij app-specifieke instellingen bepaalt Selectable of gebruikers de machtiging kunnen aanpassen; Granted en Denied leggen de machtiging vast. Verzoeken voor batterijoptimalisatie of toegankelijkheidsfuncties kunnen nog steeds verschijnen. De algemene opties Auto-accept en Auto-deny verhinderen dat gebruikers de betreffende machtigingen later aanpassen; test vooraf de gevolgen voor noodzakelijke apps.
App Protection: Voor apps in de geselecteerde groep stellen gebruikers bij de eerste keer openen één gezamenlijk wachtwoord in. Toegang via andere apps of Android-systeemfuncties en modi met meerdere vensters kan de wachtwoordvraag omzeilen. Na het sluiten van een beveiligde app kan deze tijdens een ingestelde respijtperiode opnieuw zonder wachtwoord worden geopend; desgewenst kan een vingerafdruk in plaats van een wachtwoord worden gebruikt. Gebruik dit daarom niet als apparaatvergrendeling of als alomvattende garantie voor vertrouwelijke app-inhoud; test de respijtperiode en toegestane verificatiemethode in een pilot. Password complexity bepaalt ook de vereisten voor het wachtwoord van beveiligde apps, waaronder minimumlengte en verplichte letters of cijfers; kies en test deze los van de schermvergrendeling.

Gmail en Google Play

De configuratie Email account kan een Exchange Online- of Exchange Server-account toevoegen aan Gmail. Om %_USERNAME_% en %_EMAILADDRESS_% te gebruiken, moeten Exchange Login en Email Address van de gekoppelde gebruiker in Sophos Fusion zijn ingevuld; een beleid met deze tijdelijke aanduidingen kan niet worden toegewezen aan een apparaat zonder gekoppelde gebruiker. Als er nog een oudere beheerde Gmail-configuratie aanwezig is, negeert Gmail Email account, zelfs als die oudere configuratie leeg is; in nieuwere versies wordt die niet meer aangeboden. Voor Exchange Online noemt Sophos outlook.office365.com uitsluitend voor de wereldwijde Microsoft 365-cloud; controleer voor andere clouds het juiste cloud-eindpunt. Voor Exchange Server is de server-URL vereist; gebruik in plaats daarvan de URL van de Sophos Mobile EAS-proxy als die wordt gebruikt. Als gebruikersnaam wordt voor Exchange Online doorgaans %_EMAILADDRESS_% gebruikt en voor Exchange Server %_USERNAME_%; voeg een vereist domeinvoorvoegsel alleen toe als dit nog niet in Exchange Login in Fusion staat. Voor moderne Gmail-verificatie (OAuth 2.0) moet Google Chrome op het apparaat zijn geïnstalleerd; de aangeboden opties voor Basic-verificatie en gecombineerde verificatie garanderen geen compatibiliteit met de eigen Exchange-dienst. Sophos adviseert SSL/TLS; Allow all certificates breidt de acceptatie van certificaten uit en vereist een bewuste vertrouwensbeslissing. Als Allow unmanaged accounts is ingeschakeld, kan het delen van gegevens tussen andere apps en door gebruikers toegevoegde Exchange-accounts niet worden voorkomen. Controleer in een pilot de bestaande Gmail-configuratie, gebruikerskoppeling, verificatie, het vertrouwen in certificaten en de mailstroom; migratie van een Exchange-/EAS-proxy is een afzonderlijk onderwerp. Synchronization period beperkt de gesynchroniseerde e-mail tot het gekozen tijdvak; controleer of oudere berichten offline beschikbaar moeten zijn. Client certificate kiest het certificaat voor de Exchange-verbinding; controleer beschikbaarheid en vertrouwen afzonderlijk.

De Google Play-configuratie bepaalt op volledig beheerde apparaten of gebruikers in de Play Store alleen voor de organisatie goedgekeurde apps of alle Google Play-apps zien. Ook voor automatische updates zijn er verschillende opties: elk netwerk inclusief mobiele data, alleen wifi, niet automatisch of de apparaatinstelling (gebruikers kunnen updates zelf configureren). Kies de zichtbaarheid en het updategedrag bewust op basis van het gebruiksscenario en de gevolgen voor updates en datakosten; een Play Store-selectie vervangt de afzonderlijke beschikbaarstelling van beheerde apps niet.

Schermvergrendeling en wachtwoordmanagers niet verwarren

Password policies regelt de schermvergrendeling van het apparaat. De wachtwoordtypen zijn Pattern, PIN or password, Simple password (minstens één letter), PIN or password, Alphanumeric password (letters en cijfers) en Complex password (letters en cijfers met extra instelbare minimumaantallen tekens). De laatste vier tonen minimumlengte, maximale inactiviteitstijd, maximale wachtwoordleeftijd en Maximum sign-in attempts; het apparaat kan een kortere inactiviteitstijd afdwingen en de leeftijd loopt van 0 (geen verplichte wijziging) tot 730 dagen. Password history voorkomt dat een nieuw wachtwoord overeenkomt met het ingestelde aantal eerder door Sophos Mobile opgeslagen wachtwoorden. Een ingestelde grens bij Maximum sign-in attempts wist het apparaat na dat aantal onjuiste aanmeldpogingen. Vereis vóór inschakeling een back-up, goedgekeurde pilot en geautoriseerde herstelroute. Controleer, als Factory Reset Protection (FRP) is ingeschakeld, afzonderlijk of bruikbare aanmeldgegevens beschikbaar zijn voor een geautoriseerd Google-account dat is geconfigureerd om juist dit apparaat via FRP te ontgrendelen. Deze beleidspagina legt niet vast welke resetmethode FRP activeert; FRP-configuratie en gevolgen per resetmethode behoren tot de aparte FRP-herstelprocedure. Het later intrekken van beleid herstelt gewiste gegevens niet.

Password services regelt daarentegen het gebruik van wachtwoordmanagers op basis van een app-groep: Allow staat alleen de genoemde managers toe; Block blokkeert de genoemde managers en staat andere toe. Bij Allow kunnen met Allow system apps optioneel de standaardwachtwoordmanagers van de apparaatfabrikant worden toegestaan; zonder geselecteerde app-groep laat deze combinatie alleen die managers van de fabrikant toe. Deze configuratie is niet de schermvergrendeling en beschrijft geen wisactie na mislukte ontgrendelpogingen. Inventariseer vóór het blokkeren in een test welke wachtwoordmanagers nodig zijn.

Beperkingen met asymmetrische gevolgen

Onder Restrictions zijn voor volledig beheerde apparaten vooral de volgende gevolgen belangrijk (geen uitputtende lijst van alle beperkingen):

Enable system apps schakelt alle systeemapps in. Volgens Sophos kunnen deze systeemapps na het inschakelen niet meer worden uitgeschakeld; gebruik deze schakelaar niet als omkeerbare standaardtest.
Als Allow app uninstall wordt uitgeschakeld, kunnen ook beheerders apps niet meer via Sophos Mobile verwijderen. Test vooraf hoe noodzakelijke apps alsnog kunnen worden verwijderd.
Als Allow location services wordt uitgeschakeld, worden locatiediensten gedeactiveerd en kan ook Sophos Mobile het apparaat niet meer lokaliseren.
Als Allow Bluetooth wordt uitgeschakeld, kunnen geen verbindingen met nieuwe Bluetooth-apparaten worden gemaakt; verbindingen met al gekoppelde apparaten blijven mogelijk.
Allow Android Beam heeft alleen betrekking op Android 9 en ouder, niet op andere technologieën voor delen. Allow sharing of managed Wi-Fi connections heeft betrekking op Android 13 en nieuwer. Controleer de werking altijd op de Android-versie die daadwerkelijk wordt gebruikt. System update policy > Postpone blokkeert niet-beveiligingsupdates gedurende 30 dagen, maar geen beveiligingsupdates; stem de updateplanning afzonderlijk af. Allow Smart Lock wordt genegeerd als een afzonderlijke werkprofielvergrendeling is ingesteld. Allow managing Google accounts vereist Allow managing accounts en wordt samen daarmee uitgeschakeld. Het uitschakelen van Allow installing apps from unknown sources voorkomt ook installatie via ADB. De app-groepslijst bij Allowed accessibility services blijft systeemapps toestaan; controleer toegankelijkheidsbehoeften afzonderlijk voordat u dit beperkt.

Onderscheid met compliance en ander beleid

Het apparaatbeleid met App Control of App Protection is geen compliance-actie. Complianceregels, Lock container en Transfer task bundle behoren tot een andere eigenaar; dit artikel stelt hun uitzonderingen, prioriteit, wiseffecten of invloed op privé-apps op BYOD niet vast. Gebruik een pilot van apparaatbeleid niet als test van een compliance-actie. Controleer vóór een ingreep de actie, modus, herstelroute en mogelijk gegevensverlies in de afzonderlijke compliance-procedure.

Kiosk en het fysiek verlaten daarvan horen bij de inrichting van dedicated devices; wifi, VPN, proxy en certificaten bij beheerde Android-connectiviteit; Work Profile bij het eigen beleid. De enkele vermelding van dergelijke payloads in het Android-apparaatbeleid vervangt de bijbehorende beveiligings- en uitrolcontroles niet.