Knox Service Plugin w Sophos Mobile — zastosowanie i ograniczenia

Knox Service Plugin (KSP) udostępnia dodatkowe ustawienia Samsung Knox jako zarządzaną aplikację Android Enterprise w Sophos Mobile. Nie jest osobną zasadą urządzeń Sophos ani nie zastępuje rejestracji w Android Enterprise czy wybranego trybu zarządzania.

WSTRZYMAĆ WDROŻENIE PRODUKCYJNE: Nie przypisywać produkcyjnie ustawień KSP dotyczących dostępu do urządzenia, sieci, certyfikatów, aplikacji, haseł ani trybu kiosku, dopóki na urządzeniu docelowym nie zostaną sprawdzone konkretna zasada, tryb zarządzania, licencja, zaobserwowane działanie i droga wycofania zmian. Sama instalacja KSP lub ukończenie zadania w Sophos nie wystarcza.

Weryfikacja wstępna: co ustalić przed próbą?

Przed autoryzowanym testem na urządzeniu nieprodukcyjnym należy sprawdzić:

1. Urządzenie, tryb i potrzebne ustawienia: Zanotować model, status własności urządzenia, wersje Androida, Knox i KSP oraz tryb zarządzania. Porównać każde wymagane ustawienie i jego zamierzony zakres działania z uwagami do wydań firmy Samsung dotyczącymi odpowiednich wersji. Obsługa poszczególnych ustawień nie została zweryfikowana.
2. Wsparcie firmy Samsung: W przypadku starszych urządzeń wyjaśnić z firmą Samsung opisane niżej rozbieżne informacje dotyczące Androida 9 i Androida 12. Sam Android 12/Knox 3.8 nie potwierdza zgodności wszystkich zasad.
3. Środowisko Sophos i licencja: Na podstawie podlinkowanych niżej wymagań minimalnych KSP firmy Samsung ustalić z Sophos, czy używana konsola do ujednoliconego zarządzania urządzeniami (UEM) obsługuje Android Enterprise, interfejsy API zarządzania urządzeniami, OEMConfig oraz managed Google Play dla wybranego trybu Device Owner/Profile Owner. Sprawdzić udokumentowane pole klucza, ważność uprawnienia, faktyczną aktywację i datę wygaśnięcia. Ustalić, kto odpowiada za odnowienie i wymaganą ponowną aktywację urządzeń przez UEM. Niezweryfikowane; „bezpłatne” nie znaczy „bez klucza”.
4. Wykluczenie podwójnego sterowania: Porównać natywne zasady Sophos i ustawienia KSP dla każdego ograniczenia; uwzględnić szczególne zalecenie firmy Samsung dotyczące ograniczeń urządzenia w KSP. Nie potwierdzono, że takie połączenie jest wolne od konfliktów.
5. Obserwacja działania i drogi wycofania: Po zatwierdzeniu testu sprawdzić na urządzeniu testowym stan początkowy, działanie każdego ustawienia, dostępne informacje zwrotne oraz stan po administracyjnym usunięciu. Zapewnić zabezpieczone połączenie administracyjne i sposób odzyskania kontroli nad urządzeniem.

Tryb zarządzania i zakres działania

Sophos Mobile obsługuje KSP jako aplikację dla urządzeń Samsung z Knox Platform for Enterprise (KPE, platformą zasad firmowych firmy Samsung). Aplikację zatwierdza się i dystrybuuje przez managed Google Play. Poniższa kolejność jest potwierdzona w dokumentacji Sophos, ale nie została sprawdzona w tenantcie Sophos ani na urządzeniu. W autoryzowanym teście po weryfikacji wstępnej zatwierdzenie, konfiguracja i instalacja są odrębnymi krokami:

1. Zatwierdź dla konta Android Enterprise: W Apps > Android na stronie Apps - Android Enterprise otwórz osadzony sklep przez Open managed Google Play. Otwórz w nim aplikację KSP, wybierz Select i potwierdź przyciskiem Yes. Opcjonalnie możesz przypisać aplikację do kolekcji przez Organize apps. Zamknij okno; aplikacja pojawi się na liście aplikacji Sophos. To udokumentowana ścieżka zatwierdzenia, a nie instalacja.
2. Skonfiguruj aplikację i wyślij ustawienia: W udokumentowanej procedurze Sophos wybierz aplikację KSP w Apps > Android. Za pomocą Page i App category określ jej położenie w aplikacji Sklepu Google Play użytkowników. Następnie włącz Use managed configuration i skonfiguruj ustawienia określone przez firmę Samsung w sekcji Managed configuration. Zgodnie z tą udokumentowaną procedurą wpisz klucz licencyjny Knox w KPE Premium License key; nadal obowiązuje opisane niżej zastrzeżenie dotyczące niezweryfikowanego aktualnego środowiska Sophos. Następnie użyj Save oraz osobnego polecenia Send app settings to Google. Według Sophos to polecenie udostępnia użytkownikom zmiany konfiguracji.
3. Uruchom instalację osobno: Według Sophos KSP można zainstalować na wybranych urządzeniach lub grupach urządzeń; użytkownicy mogą też samodzielnie zainstalować zatwierdzoną aplikację z managed Google Play. Aby przeprowadzić instalację administracyjną, w Apps > Android otwórz menu strzałki obok KSP i wybierz Install. Wybierz pojedyncze urządzenia lub grupy przez Select device groups i zakończ przyciskiem Finish. Sophos przekazuje zlecenie do Google; sprawdź status instalacji w Show device > Installed apps. Send app settings to Google nie zastępuje tego kroku instalacji. Według Sophos podczas instalacji wcześniej skonfigurowanego KSP na urządzeniu stosowane są zasady Knox; udokumentowana procedura wymaga wspomnianego wyżej klucza licencyjnego Knox.

Dostępne pola mogą zmieniać się wraz z wersją aplikacji KSP; to, czy dane ustawienie rzeczywiście zadziała, zależy od trybu zarządzania i konkretnej zasady firmy Samsung. Ani przesłanie ustawień do Google, ani instalacja aplikacji nie dowodzą ich działania na urządzeniu.

• W pełni zarządzane urządzenie firmowe: Sophos Mobile może zarządzać całym urządzeniem. Nie potwierdza to jeszcze obsługi każdego ustawienia KSP.
• Urządzenie prywatne z profilem służbowym: Zarządzanie obejmuje tylko obszar służbowy; widoczne pole KSP nie dowodzi działania ustawienia na całym urządzeniu.
• Urządzenie firmowe z profilem służbowym: Samsung wymienia ten tryb dla KSP. To, które ustawienia mogą działać także poza profilem służbowym, zależy od konkretnej zasady firmy Samsung; obsługa przez Sophos i rzeczywiste działanie pozostają nieustalone.
• Urządzenie dedykowane: Jest w pełni zarządzane i dodatkowo skonfigurowane do pracy w trybie kiosku. Także tutaj nie każde ustawienie KSP jest automatycznie dopuszczone do użycia.

Sophos rozróżnia urządzenia w pełni zarządzane, profile służbowe i urządzenia dedykowane. Urządzenie dedykowane oznacza przy tym rejestrację w trybie pełnego zarządzania z dodatkową konfiguracją kiosku, a nie czwarty, odrębny tryb rejestracji. Starszy tryb administratora urządzenia Android, kontener Knox i Mobile Threat Defense nie są zamiennymi trybami zarządzania KSP. W przypadku pokrywających się funkcji Samsung zasadniczo zaleca użycie wbudowanych mechanizmów rozwiązania do zarządzania urządzeniami, a KSP — dla dodatkowo potrzebnych funkcji. Jeśli natywne ograniczenia Sophos pokrywają się z ograniczeniami KSP, przed testem trzeba ustalić, który mechanizm ma nimi zarządzać. W szczególnym przypadku, gdy potrzebne jest choćby jedno ograniczenie urządzenia w KSP, Samsung zaleca zarządzanie wszystkimi ograniczeniami urządzenia w strukturze KSP. Nie stanowi to ogólnej zgody na mieszaną konfigurację Sophos/KSP; nakładanie się ograniczeń trzeba sprawdzić na obsługiwanym urządzeniu testowym.

Które urządzenia Samsung mogą korzystać z KSP?

Informacje firmy Samsung o działaniu KSP na starszych urządzeniach i o ich oficjalnym wsparciu są sprzeczne. Wymagania minimalne KSP (stan na 1 września 2026 r.) wskazują Androida 12 lub nowszego. Tabela obsługiwanych wersji Knox (strona zaktualizowana 2 września, tabela 22 lipca 2026 r.) wymienia dla KSP Android 12.0/Knox 3.8, z wyjątkami zależnymi od funkcji. Osobno podana wartość dla platformy KPE nie jest granicą wsparcia KSP. Tymczasem w FAQ KSP (stan na 14 września 2026 r.) Samsung odpowiada na pytanie o obsługiwane urządzenia, że KSP działa już od Androida 9/Knox 3.2.1. Z powodu tej sprzeczności odpowiedź ta nie stanowi wiarygodnego potwierdzenia aktualnego wsparcia dla starszych urządzeń.

Nawet w przypadku urządzenia mieszczącego się w podanej granicy wsparcia trzeba sprawdzić poszczególne funkcje. Uwagi do wydania KSP 26.08 podają wersję aplikacji 1.5.74 z 4 września 2026 r.; funkcja Auto Blocker wymaga Knox 3.14 lub nowszego, a lista wyjątków USB przy zablokowanym urządzeniu wymaga Knox 3.14 oraz Androida 17 lub nowszego. W tym wydaniu wycofano zasady Peripheral Configuration. Ograniczenia te dotyczą wymienionych funkcji, nie wszystkich zasad KSP. Opublikowanie nowej wersji aplikacji nie potwierdza jej dostępności w konkretnym tenantcie Sophos ani przekazania konfiguracji lub jej działania na urządzeniach.

Kwestia nierozstrzygnięta: Te strony nie podają spójnej granicy wsparcia dla starszych urządzeń. Model i wymagane ustawienia należy wyjaśnić z firmą Samsung, zamiast traktować FAQ jako zgodę na użycie KSP w starszej flocie. Także Android 12/Knox 3.8 nie potwierdza działania poszczególnych zasad w Sophos Mobile.

Licencja: bezpłatne nie znaczy bez klucza

Podlinkowana wyżej instrukcja konfiguracji Sophos (stan na 8 sierpnia 2023 r.) wymaga klucza w polu KPE Premium License key; bez niego zasady nie zostaną zastosowane. Nie sprawdzono, czy dziś to pole i zasady działają tak samo w konkretnym systemie Sophos. Samsung podaje, że aplikacja i uprawnienie KPE Premium są bezpłatne, ale wymaga ważnej licencji KPE. Funkcje specjalne mogą wymagać osobnych płatnych uprawnień. Zgodnie z warunkami licencji firmy Samsung uprawnienie Premium wygasa po dwóch latach od aktywacji; wygaśnięcie dotyczy również już zarządzanych urządzeń. Samsung wymaga po wygaśnięciu nie tylko odnowienia, lecz także ponownej aktywacji urządzeń objętych wygaśnięciem przez UEM, a nie samej wymiany klucza. Nie ustalono, czy i w jaki sposób można to zrobić w konkretnym tenantcie Sophos. Wygaśnięcie licencji nie jest sposobem wycofania zmian.

Bezpłatność nie oznacza braku klucza w udokumentowanej procedurze Sophos ani automatycznej aktywacji w konkretnym środowisku Sophos Mobile. Kluczy licencyjnych nie należy umieszczać w artykułach, zrzutach ekranu ani niezabezpieczonych zgłoszeniach.

Sprawdzenie na urządzeniu testowym

Przed sprawdzeniem działania zasad skontroluj instalację i wersję aplikacji. Podlinkowana wyżej instrukcja instalacji Sophos rozróżnia dwa rodzaje problemów:

• Jeśli status Installation request to be sent to Google utrzymuje się przez dłuższy czas, sprawdź, czy KSP jest dostępny w kraju użytkownika i dla danego typu urządzenia.
• Jeśli status Installation request sent to Google utrzymuje się przez dłuższy czas, otwórz na urządzeniu Pending downloads w Google Play i sprawdź, czy któreś zlecenie nie utknęło. Zlecenie KSP rozpocznie się dopiero po ukończeniu wcześniejszych zleceń w kolejce.

Aktualizacje: Według tej samej instrukcji nie można uruchamiać aktualizacji aplikacji z Sophos Mobile; użytkownicy muszą przeprowadzać je w Google Play. Ponowne zlecenie instalacji nie jest więc udokumentowaną ścieżką aktualizacji. Zanotuj faktycznie zainstalowaną wersję KSP i porównaj ją z odpowiednimi uwagami do wydań firmy Samsung oraz dostępnymi polami konfiguracji.

Zwłaszcza ograniczeń dotyczących sieci, certyfikatów, kiosku i dostępu nie wolno testować produkcyjnie bez zapewnienia zabezpieczonego połączenia administracyjnego i drogi wycofania. Pomyślna instalacja aplikacji lub przekazanie ustawień do Google nie dowodzą działania zasad. Według FAQ KSP firmy Samsung informacje zwrotne o poszczególnych zasadach są dostępne tylko wtedy, gdy UEM integruje wymagany interfejs Google; w przeciwnym razie możliwy jest ograniczony test diagnostyczny na urządzeniu testowym. To, czy Sophos Mobile pokazuje te informacje w konkretnym środowisku, pozostaje nieustalone. Rzeczywiste działanie trzeba obserwować na urządzeniu testowym.

Wycofanie zmian to nie samo odinstalowanie

W podlinkowanej wyżej instrukcji konfiguracji KSP Sophos opisuje odinstalowanie aplikacji jako sposób usunięcia zasad Knox. Administracyjne zlecenie odinstalowania jest jednak dostarczane przez Google i może dotrzeć z opóźnieniem. Usunięcie pozycji z katalogu nie odinstalowuje już zainstalowanych aplikacji; odinstalowanie przez użytkownika może spowodować ponowną instalację. Nie potwierdzono, że po administracyjnym usunięciu każde ustawienie przywraca poprzedni stan urządzenia. Dlatego na urządzeniu testowym trzeba udokumentować stan początkowy i zweryfikowany na urządzeniu sposób wycofania zmian.