Sophos Mobile: migracja z administratora urządzenia Android na Android Enterprise
Ten artykuł pomaga ustalić ścieżkę migracji i niezbędne kontrole. Nie stanowi zgody na reset urządzeń produkcyjnych. Sophos określa tryb administratora urządzenia jako przestarzały: w Sophos Mobile jest dostępny tylko dla systemu Android 9 lub starszego; urządzeń z systemem Android 10 lub nowszym nie można w tym trybie rejestrować. Nie oznacza to, że każda funkcja Android Device Policy Manager została ogólnie wycofana, ani nie jest zaleceniem dalszego używania systemu Android 9. Nie rejestruj nowych urządzeń w starym trybie. Opis migracji Sophos zakłada, że środowisko Android Enterprise zostało już skonfigurowane.
Najpierw ustal właściciela i tryb docelowy
Przed każdą zmianą porównaj rzeczywisty tryb zarządzania, tożsamość urządzenia, własność, wersję Androida, przypisanie użytkownika, zasady, aplikacje, łączność oraz ostatnio znany stan urządzenia na urządzeniu i we właściwym tenancie Sophos.
Przygotuj ponowną rejestrację przed rozpoczęciem zmian
Wykonaj tę kontrolę, gdy stare urządzenie jest jeszcze zarządzane. Nie uruchamia ona resetu ani wyrejestrowania. W protokole migracji odnotuj poniższe informacje dla wybranego trybu docelowego:
- W Sophos Fusion > My Products > Mobile > Setup > Google setup > Android Enterprise sprawdź aktualny Android Enterprise mode, wyświetlane dane konta i stan ustawienia Use managed Google domain device enrollment. Korzystaj z istniejącej rejestracji organizacji; nie uruchamiaj ponownie Register account ani nie zastępuj powiązania z Google. Brakujące lub niejasne powiązanie wyjaśnij najpierw zgodnie z sekcją Powiązanie organizacji z Google.
- Dla urządzenia firmowego przygotuj Android Enterprise device policy, a dla prywatnego — Android Enterprise work profile policy. Zapisz nazwę zasady docelowej i powiązanego pakietu zadań. Pakiet dla danego typu urządzenia musi zawierać co najmniej Enroll i Assign policy z dokładnie tą zasadą. Stara zasada administratora urządzenia nie jest zamiennikiem.
- Jeśli korzystasz z Self Service Portal, w Setup > Self Service Portal otwórz konfigurację obowiązującą danego użytkownika. W ustawieniach platformy Android pole Enrollment package musi wskazywać przygotowany pakiet zadań. Sprawdź Owner, docelową Device group, priorytet grupy i pozostały limit urządzeń. Sprawdź istniejącą, odpowiednią konfigurację; nie twórz automatycznie nowej ani nie zmieniaj Default. Przygotowanie opisuje sekcja Przygotowanie zasady, pakietu i tożsamości użytkownika.
- Sprawdź zatwierdzenie Sophos Mobile Control w Managed Google Play. Bez tego zatwierdzenia zarządzana aplikacja nie aktualizuje się automatycznie. Jeśli rejestracja urządzeń w domenie jest włączona, przewidziani użytkownicy muszą istnieć w zarządzanej domenie Google. Ta metoda rejestracji wymaga Mobile Control 9.8 lub nowszego; w przypadku profili służbowych muszą być dodatkowo zainstalowane wszystkie dostępne aktualizacje systemu operacyjnego i aplikacji. W zadaniu uruchomionym przez Sophos Mobile przypisany adres e-mail musi dokładnie odpowiadać loginowi Google.
- Wybierz ścieżkę rejestracji dozwoloną w aktualnym trybie organizacji i wcześniej przygotuj z odpowiedzialnym zespołem IT przekazanie użytkownikowi instrukcji opisanych poniżej. W organizacji zarejestrowanej przed 9 kwietnia 2024 r. w trybie managed Google domain, bez włączonej rejestracji urządzeń w domenie, rejestracja przez administratora nie jest dostępna; przygotuj wtedy dozwoloną ścieżkę SSP. Nie włączaj tego ustawienia przy okazji migracji. Zmiany powiązania organizacji lub trybu rejestracji wymagają osobnej zgody.
Dla urządzenia firmowego z przypisanym użytkownikiem przewodnik Android Enterprise w części „Pilotaż administratora” opisuje obsługiwaną ścieżkę kreatora przez Devices > Add > Add device wizard, wybór użytkownika, Platform: Android i przygotowany pakiet rejestracji. Wykonaj te kroki dopiero po osobno zatwierdzonym przywróceniu ustawień fabrycznych, którego wykonanie potwierdzono na urządzeniu. Jeśli wymagany jest SSP, zastosuj opisany tam przebieg rejestracji przez SSP. Metody QR, zero-touch i bez użytkownika są alternatywami wymagającymi własnego przygotowania, a nie dodatkowymi obowiązkowymi krokami.
Dla urządzenia o potwierdzonej własności prywatnej przygotuj wcześniej dla użytkownika sekcję Konfiguracja profilu służbowego w przewodniku Android BYOD. Prowadzi ona przez Owner: Personal, pakiet profilu służbowego i konfigurację Mobile Control na urządzeniu. Tę nową rejestrację rozpocznij dopiero po potwierdzonym wyrejestrowaniu ze starego trybu i późniejszym usunięciu właściwego starego wpisu. Uwzględnij także kontrolę prywatności i zgody z sekcji „Przed rejestracją”; procedura BYOD nie dotyczy urządzeń firmowych z profilem służbowym.
Jeśli którykolwiek z tych warunków nie jest spełniony, zatrzymaj się przed rozpoczęciem którejkolwiek ścieżki migracji. Przed zmianami na urządzeniach produkcyjnych sprawdź wybraną ścieżkę na reprezentatywnym urządzeniu testowym, dla którego uzyskano zgodę na test. Przygotowane konta, zapisany pakiet ani widoczne opcje portalu nie dowodzą jeszcze pomyślnej rejestracji urządzenia. Po rejestracji sprawdź tryb zarządzania, przypisanie użytkownika, stan zadań i faktycznie obowiązującą zasadę w Sophos Mobile oraz na urządzeniu.
Udokumentowane ścieżki migracji
Nie mieszaj dwóch udokumentowanych ścieżek:
| Urządzenie źródłowe | Udokumentowany tryb docelowy | Działanie według Sophos — wyłącznie po osobnym zatwierdzeniu |
|---|---|---|
| Firmowe, dotychczas w trybie administratora urządzenia | Android Enterprise: pełne zarządzanie urządzeniem | W niemieckiej konsoli Gerät anzeigen > Aktionen > Zurücksetzen urządzenie jest przywracane do ustawień fabrycznych; następnie należy je ponownie zarejestrować. Sophos wymienia kreator „Gerät hinzufügen”, portal Sophos Fusion Self Service Portal, rejestrację za pomocą kodu QR i zero-touch jako możliwe ścieżki. |
| Prywatne, dotychczas w trybie administratora urządzenia | Android Enterprise: zarządzanie profilem służbowym | W niemieckiej konsoli Gerät anzeigen > Aktionen > Deregistrieren, następnie Aktionen > Löschen; dopiero potem ponownie zarejestruj profil służbowy. Sophos wymienia kreator „Gerät hinzufügen” lub portal Sophos Fusion Self Service Portal. Przywrócenie ustawień fabrycznych nie jest standardowym krokiem dla BYOD. |
Nazwy pozycji menu pochodzą z niemieckojęzycznej pomocy Sophos z 22 września 2026 r.; w konsoli ustawionej na język angielski występują Show device > Actions > Wipe, Unenroll i Delete. Sprawdź wcześniej konkretne menu, uprawnienia oraz dostępne sposoby rejestracji w docelowym tenancie. Wipe w Sophos Fusion, Zurücksetzen w administracji Sophos Mobile oraz usunięcie istniejącego profilu służbowego nie są zamiennymi nazwami ani krokami migracji. Istniejące urządzenia firmowe z profilem służbowym oraz inne tryby wymagają osobnej decyzji; nie należy automatycznie przypisywać ich do jednej z tych dwóch kategorii. Źródła: migracja, wyrejestrowanie i jego skutki.
Zatrzymaj się przed każdą operacją powodującą utratę danych
- Urządzenie firmowe: Uzyskaj pisemną zgodę na przywrócenie ustawień fabrycznych dokładnie tego urządzenia; sprawdź dane lokalne, konta firmowe, aplikacje, uwierzytelnianie, użyteczną kopię zapasową i możliwość odtworzenia danych. Planowany reset usuwa niezabezpieczone dane lokalne. Muszą być dostępne działająca ścieżka ponownej rejestracji w Android Enterprise, dostęp do Wi-Fi lub sieci komórkowej, niezbędne dane uwierzytelniające i uprawnienia. Sprawdź zawczasu konta Google i blokady po resecie w odniesieniu do konkretnego urządzenia i sposobu resetowania. Sophos dokumentuje Factory Reset Protection dla w pełni zarządzanych urządzeń z Android Enterprise; nie wynika z tego, że ta sama konfiguracja FRP obejmowała już reset w starym trybie administratora urządzenia. Nie obiecuj obejścia FRP.
- Urządzenie prywatne: Uzgodnij z użytkownikiem zgodę, rozdzielenie danych prywatnych i firmowych oraz skutki wyrejestrowania ze starego trybu. Według opisu wyrejestrowania Sophos czynność ta wyłącza administratora urządzenia Sophos Mobile Control, usuwa dane dostępowe serwera i otrzymane dane oraz resetuje Sophos Intercept X for Mobile. Najpierw potwierdź wyrejestrowanie, dopiero potem usuń powiązany wpis; oczekujące zadanie ani zniknięcie wpisu z konsoli nie dowodzą, że zmiany zostały wykonane na urządzeniu. Późniejsze usunięcie nowo skonfigurowanego profilu służbowego oznacza utratę jego aplikacji i danych lokalnych, a nie możliwość przywrócenia starego profilu. Nie zapewniaj o zachowaniu danych prywatnych bez sprawdzenia urządzenia.
- Urządzenie offline, o nieznanym stanie lub zablokowane: Nie oznaczaj zadania jako zakończonego i nie zlecaj na próbę kolejnego usunięcia lub resetu. Ustal z użytkownikiem i pomocą techniczną Sophos lub producenta faktyczny stan urządzenia, dostarczenie zadania i zatwierdzoną ścieżkę odzyskiwania. Zadanie w chmurze nie dowodzi jego wykonania.
Stara zasada jako spis ustawień, a nie wzorzec dla Android Enterprise
Zasady urządzeń z Androidem dotyczą starego trybu administratora urządzenia. Android Enterprise full device i Android Enterprise work profile mają odrębne rodziny zasad. Przed zatwierdzeniem przygotuj udokumentowaną macierz źródło–cel dla wszystkich 14 starych podkonfiguracji; w każdym wierszu odnotuj tryb docelowy, obsługiwane nowe ustawienie lub wyraźny brak odpowiednika, system operacyjny/OEM/licencję, test, skutki i ścieżkę wycofania zmian:
| Stare konfiguracje | Zależność do sprawdzenia — bez gwarancji przeniesienia 1:1 |
|---|---|
| APN; Wi-Fi; VPN | Zabezpiecz ustawienia operatora i alternatywną łączność: błędne Use as default APN może odciąć transmisję danych komórkowych. Nie przenoś bez weryfikacji starych certyfikatów Wi-Fi/EAP, identyfikatora SSID ani typów VPN; WEP nie jest bezpiecznym standardem docelowym. Sprawdź komunikację urządzenia z systemem zarządzania przez niezależne połączenie. |
| Client certificate; Root certificate; SCEP | Stare certyfikaty klienta i kotwice zaufania są powiązane z zasadami; SCEP wymaga urzędu certyfikacji serwera SCEP jako konfiguracji certyfikatu głównego. Od nowa potwierdź docelową tożsamość, wydawanie/odnawianie certyfikatów, zaufanie do CA i logowanie do Wi-Fi/VPN; nigdy nie wyłączaj weryfikacji certyfikatów w celu usunięcia problemu. |
| App Control; App permissions; App Protection | Zinwentaryzuj listy blokowanych aplikacji, uprawnienia nadawane w czasie działania oraz chronione aplikacje. Stare wspólne hasło aplikacji można obejść przez inne aplikacje/funkcje systemowe lub tryb wielu okien; nie zakładaj równoważnej ochrony firmowej ani automatycznego przeniesienia aplikacji ze sklepu Play. |
| Email account; Kiosk mode; Knox Premium restrictions | Osobno sprawdź aplikację pocztową, środowisko Exchange, obsługiwane logowanie przez OAuth i rzeczywisty przepływ poczty; stare pole hasła lub Allow all certificates nie stanowi rozwiązania awaryjnego dla Exchange Online. Przed resetem przetestuj uruchamianie aplikacji kiosku i fizyczną możliwość wyjścia z niego. Zinwentaryzuj licencję Knox Premium i typ urządzenia; nie wnioskuj o aktualnej równoważności z Android Enterprise na podstawie starej strony. |
| Password policies; Restrictions | Próg nieudanych prób może wymazać urządzenie; nie testuj tego na urządzeniach produkcyjnych. Sprawdź możliwość odzyskania dostępu, kopię zapasową oraz działanie każdej istotnej blokady i ograniczenia w danym systemie i trybie; nie zakładaj jednakowego skutku dla urządzeń prywatnych i firmowych. |
Historyczne podstrony opisują ustawienia źródłowe, częściowo z lat 2022–2023, a nie aktualną obsługę dawnych protokołów czy funkcji OEM na urządzeniach docelowych. Tabela wskazuje zależności, które trzeba sprawdzić przed migracją. Przed sformułowaniem konkretnych zaleceń dotyczących zasad sprawdź obie pełne rodziny zasad docelowych oraz własny tenant. Osobne artykuły KB o zasadach dla w pełni zarządzanych urządzeń, zasadach profilu służbowego, łączności urządzeń z Androidem, BYOD i FRP nie zastępują zgody na migrację. Kwestie uwierzytelniania poczty omówiono także w artykule o migracji Exchange.
Pilotaż, warunki przerwania i odzyskiwanie
Dopiero po ustaleniu własności urządzeń, właściwego tenanta, licencji i zatwierdzonej ścieżki odzyskiwania wykonaj pilotaż na urządzeniach reprezentatywnych, które można wyłączyć z użytku, osobno dla każdego trybu. Wcześniej zabezpiecz dane urządzenia i dotychczasowe zasady oraz osobno przygotuj nową zasadę i metodę rejestracji. Podczas pilotażu potwierdź wykonanie zadania na urządzeniu, sprawdź nowy tryb zarządzania i faktyczne przypisanie oraz obserwuj aplikacje, logowanie do konta i przepływ poczty, kiosk (jeżeli jest używany), Wi-Fi/VPN, wydawanie i odnawianie certyfikatów oraz dane prywatne po zmianie trybu BYOD. O rozszerzeniu migracji na kolejne urządzenia decyduj dopiero po potwierdzeniu rzeczywistych skutków.
Jeśli urządzenie jest nieosiągalne, stan danych jest niejasny, wskazano niewłaściwe urządzenie lub tryb, logowanie się nie udaje albo wystąpiła blokada po resecie, zatrzymaj działania i eskaluj sprawę. Przed rozpoczęciem wyznacz odpowiednią pomoc techniczną, działające niezależne połączenie i ścieżkę ponownego przygotowania urządzenia. Wycofanie migracji nie cofa przywrócenia ustawień fabrycznych ani usunięcia profilu służbowego: odtworzenie jest możliwe wyłącznie z kopii zapasowych o potwierdzonej użyteczności i przez zatwierdzoną ponowną rejestrację; nie potwierdzono ani natychmiastowego dostarczenia zadań zdalnych, ani identycznego działania zasad. Bez testów w tenancie i na urządzeniu nie traktuj tego projektu jako instrukcji migracji produkcyjnej ani gwarancji powodzenia.