Profil służbowy Androida: zakres działania zasad i ograniczenia BYOD

Zasady profilu służbowego Android Enterprise w Sophos Mobile dotyczą urządzeń zarządzanych w trybie Android Enterprise work profile. Obejmują między innymi ustawienia haseł, ograniczeń, aplikacji, Google Play i poczty e-mail. Są istotne dla BYOD, ale ich nazwa nie oznacza, że każde ustawienie wpływa tylko na profil służbowy. Ten projekt omawia udokumentowane skutki; nie jest zatwierdzonym szablonem zasad i nie podaje zalecanych wartości progowych.

Wstrzymaj wdrożenie BYOD: Nie przypisuj produkcyjnie progu nieudanych prób logowania powodującego usunięcie danych ani nie zezwalaj na przepływ kontaktów i danych między obszarem służbowym a prywatnym bez zatwierdzenia pod kątem ochrony danych i ryzyka ich utraty. Wcześniej sprawdź kopie zapasowe i sposoby przywracania danych, uzyskaj wyraźną akceptację ryzyka dotyczącego danych prywatnych oraz przetestuj działanie na właściwych wersjach Androida i urządzeniach. Dokumentacja Sophos nie gwarantuje ani cofnięcia zmian, ani zachowania danych prywatnych.

Najważniejsze rozróżnienie: Blokada urządzenia (Android 11 i starsze): dostępny dla wybranego typu hasła i skonfigurowany próg nieudanych prób może spowodować wymazanie całego urządzenia. Blokada profilu służbowego: dostępny dla wybranego typu hasła i skonfigurowany próg nieudanych prób powoduje usunięcie profilu służbowego. Działania administracyjne polegające na usuwaniu danych stanowią osobną kategorię i zależą od użytego interfejsu — nie są skutkiem przekroczenia tych progów.

Blokada urządzenia i profilu służbowego: co zostaje usunięte i kiedy?

Password policies – Device: Ustawienia dotyczą blokady ekranu całego urządzenia. Dla Androida 12+ Sophos opisuje poziomy złożoności Low/Medium/High, ale w tej sekcji nie wymienia pola Maximum sign-in attempts. Zanim uznasz tę blokadę urządzenia za skuteczną, uwzględnij SMCAND-3170. Starsza konfiguracja Password policy - Device nie wymusza ustawienia hasła urządzenia na urządzeniach z profilem służbowym i Androidem 12 lub nowszym, jeśli hasło nie zostało jeszcze ustawione. Sophos wskazuje jako warunki konfigurację zastępczą dla Androida 12, wprowadzoną w wydaniu Sophos Fusion Mobile 2024.24, oraz zainstalowaną wersję Sophos Mobile Control 9.7.10339. Nie oznacza to potwierdzonej zgodności wszystkich późniejszych wersji klienta. Przed zatwierdzeniem sprawdź właściwą konfigurację i wersję klienta oraz rzeczywiste żądanie ustawienia hasła i działanie blokady na urządzeniu testowym; same zapisane zasady nie stanowią tego dowodu. Dla Androida 11 i starszych Sophos pokazuje to pole tylko przy typach Simple password, PIN or password, Alphanumeric password i Complex password, a nie przy Pattern, PIN or password. Po skonfigurowanej liczbie błędnych prób logowania urządzenie zostaje wymazane — nie tylko profil. Nie zalecaj domyślnego progu nieudanych prób dla urządzeń prywatnych; wcześniej wyjaśnij kwestie prywatnych kopii zapasowych, możliwej utraty danych, dokładnego działania na danym systemie i urządzeniu oraz zgody użytkownika.

Password policies – Work profile: Hasło odblokowujące dotyczy profilu służbowego. Pole Maximum sign-in attempts jest wyświetlane przy typach Simple password, PIN or password, Alphanumeric password i Complex password, ale nie przy Pattern, PIN or password ani Weak biometric recognition. Po skonfigurowanej liczbie błędnych prób logowania profil służbowy zostaje usunięty wraz ze swoimi aplikacjami i danymi. Faktyczna dostępność poszczególnych ustawień zależy również od urządzenia i wersji Androida; Sophos odsyła do oznaczeń w Mobile Admin. Wcześniej zaplanuj odzyskiwanie danych służbowych i ponowną rejestrację; nie jest to ani reset całego urządzenia, ani blokada bez dalszych konsekwencji.

Administracyjne wycofanie urządzenia z zarządzania:

• Sophos Mobile Admin: Pełne zdalne Wipe nie jest dostępne dla urządzeń z profilem służbowym. Wipe Android work profile usuwa profil służbowy wraz z aplikacjami i danymi; następnie Mobile Admin pokazuje urządzenie jako Unenrolled. Jeśli użytkownik wcześniej usunął profil, urządzenie nie może już odebrać polecenia.
• Sophos Fusion Admin: Według Sophos akcja nazwana tam Wipe usuwa z urządzeń z profilem służbowym tylko profil. Również Wipe w pakiecie zadań Androida ma wyjątek dotyczący profilu. Żadne z tych działań nie jest skutkiem przekroczenia progu błędnych prób logowania przy blokadzie urządzenia.

Przed wykonaniem działań destrukcyjnych ustal z osobą odpowiedzialną za wycofanie urządzenia używany interfejs, tryb zarządzania, typ zadania i urządzenie docelowe; sama nazwa akcji nie gwarantuje zachowania danych prywatnych.

W pełni zarządzane urządzenie Android Enterprise działa w innym trybie: według Sophos wyrejestrowanie takiego urządzenia powoduje przywrócenie ustawień fabrycznych. Nie jest to standardowy scenariusz profilu służbowego w BYOD.

Osobne zasady zgodności: Ta konfiguracja urządzenia nie jest zasadą zgodności. Niezależnie przypisane reguły zgodności mogą przez Deny email odmówić dostępu do poczty (tylko przy skonfigurowanym połączeniu z serwerem proxy Sophos Mobile EAS) albo uruchomić pakiet zadań; Sophos ostrzega, że błędnie skonfigurowane pakiety mogą wymazać urządzenia. Ogólny opis działań w razie niezgodności przedstawia Lock container dla Android Enterprise jako blokadę wszystkich aplikacji z sześcioma wyjątkami; osobna informacja o wyłączonych aplikacjach dotyczy wyraźnie urządzeń w pełni zarządzanych. Natomiast dla urządzeń z profilem służbowym Sophos opisuje w Set container access / Auto mode zablokowanie profilu służbowego oraz jego aplikacji i powiadomień w razie naruszenia reguły z działaniem Lock container. Nie wynika stąd, czy działanie związane ze zgodnością blokuje aplikacje prywatne na konkretnym urządzeniu BYOD z profilem służbowym, czy pozostawia je dostępne. Przed uzyskaniem zgody i egzekwowaniem reguły sprawdź jej wpływ na prywatne aplikacje na konkretnym urządzeniu z profilem służbowym. Opisany wyżej skutek błędnych prób logowania nie jest ogólnym działaniem w razie niezgodności. Przed pilotażem BYOD osobno przejrzyj z odpowiedzialnymi osobami reguły, działania i pakiety przypisane do grupy urządzeń — nie zakładaj tutaj automatycznej naprawy ani bezpiecznej konfiguracji bazowej.

Ograniczenia: kierunek przepływu danych ma znaczenie

Restrictions jest dodawane automatycznie podczas tworzenia zasad profilu służbowego i nie można go usunąć. Przed zmianą udokumentuj, w którą stronę płyną dane, kogo zmiana dotyczy oraz jak będzie monitorowana i wycofana.

Pozostałe ustawienia i ich ograniczenia

Przed przypisaniem zasad każdorazowo zapytaj: Co działa tylko w profilu służbowym, a co trzeba wdrożyć lub sprawdzić osobno?

• App Control: Grupa aplikacji (lista wybranych aplikacji) określa, których aplikacji nie można uruchamiać. Nie oznacza to ani instalacji aplikacji, ani udokumentowanej blokady wszystkich prywatnych aplikacji; sprawdź skład grupy i możliwość uruchamiania aplikacji na urządzeniu testowym. Przed celowym zablokowaniem Chrome sprawdź zależności aplikacji służbowych od WebView. W SMCAND-2931 Sophos opisuje scenariusz profilu służbowego od Androida 8, w którym wewnętrzna aplikacja WebView jest domyślnie wyłączona i zostaje włączona dopiero po włączeniu Chrome. W przeciwnym razie zależne od niej aplikacje mogą przestać działać. Ten opis problemu nie dotyczy automatycznie każdego obecnego urządzenia ani każdej późniejszej wersji Androida; sprawdź aplikacje, których dotyczy ta zależność, na wybranym urządzeniu testowym.
• App permissions: Można kontrolować tylko uprawnienia nadawane aplikacjom służbowym w czasie działania. Od Androida 12 administrator nie może przyznać w imieniu użytkownika dostępu do lokalizacji, aparatu, mikrofonu, czujników ciała i aktywności fizycznej, ale może go odmówić. Auto-accept/Auto-deny uniemożliwia użytkownikom późniejszą zmianę; funkcje ułatwień dostępu i optymalizacja baterii mogą nadal wymagać odpowiedzi użytkownika. Sprawdź ustawienia domyślne i wyjątki dla aplikacji dla każdej wersji systemu.
• App Protection: Wspólne hasło dla wybranych aplikacji służbowych nie zapewnia pełnej kontroli dostępu: dostęp przez inne aplikacje lub funkcje systemowe oraz tryb wielu okien może odbywać się bez pytania o to hasło. Przed użyciem przetestuj grupę aplikacji, okres bez ponownej prośby o hasło oraz alternatywne drogi dostępu.
• Google Play: Zasady kontrolują dostęp do zatwierdzonych aplikacji lub do wszystkich aplikacji Google Play w Sklepie Play profilu służbowego, a także preferencje automatycznych aktualizacji. Zatwierdzanie, wdrażanie i usuwanie aplikacji to osobne procesy.
• Password services: Zezwalanie na menedżery haseł lub ich blokowanie dotyczy tylko profilu służbowego; Allow system apps jest dostępne wyłącznie w trybie zezwalania i może stanowić wyjątek dla domyślnego menedżera producenta. Przed zastosowaniem restrykcyjnych list sprawdź dostęp i możliwości odzyskiwania.
• Email account: Sophos konfiguruje konto Exchange w Gmailu w profilu służbowym. Istniejące starsze konfiguracje zarządzanego Gmaila mają pierwszeństwo, nawet gdy są puste. Pola zastępcze wymagają loginu Exchange i adresu e-mail w Sophos Fusion; w przypadku Gmaila z OAuth przeglądarka Chrome musi być zainstalowana w profilu służbowym. Po zmianie loginu Exchange przez ADSync Utility, przed wdrożeniem z użyciem $username lub %_USERNAME_%, porównaj wartość Exchange login w sekcji People w Sophos Fusion z obiektem użytkownika w Mobile > People. Według SMCSRV-15474 Mobile może zachować starą wartość i w rezultacie przekazać nieprawidłowe wartości pól zastępczych. Jeśli wartości się różnią, wstrzymaj wdrożenie i wyjaśnij rozbieżność z odpowiedzialnymi osobami. Sophos opisuje cotygodniowe uzgadnianie danych w terminach zależnych od tenanta, a nie gwarantowany termin naprawy. Możliwość wycofania zmian również jest ograniczona: według SMCAND-2929 przekazane konto Exchange pozostaje w profilu służbowym po usunięciu zasad. Inna konfiguracja Email może zastąpić dotychczasową; zgodnie z tym opisem problemu samo konto można usunąć tylko przez usunięcie całego profilu służbowego. Nadal należy uwzględniać opisaną wyżej zasadę pierwszeństwa starszych konfiguracji Gmaila. Nie jest to zgoda na usunięcie profilu; takie działanie pozostaje odrębnym, osobno zatwierdzonym destrukcyjnym scenariuszem wycofania urządzenia z zarządzania, powodującym utratę aplikacji i danych profilu służbowego. Osobno uzgodnij z osobą odpowiedzialną za pocztę punkt końcowy chmury, zgodność z EAS i weryfikację certyfikatów. Exchange Online nie akceptuje uwierzytelniania podstawowego dla EAS; opcje Sophos Basic i Allow all certificates nie oznaczają zgody na stosowanie ich jako obejścia.

Zatwierdź dopiero po sprawdzeniu na urządzeniu testowym

Zapisz tryb zarządzania, wersję Androida, zachowanie urządzenia i rozwiązania producenta, edycję Sophos i tenant, urządzenie oraz grupę docelową, a także osobne reguły zgodności. Przed każdą zmianą udokumentuj dotychczasowe zasady, ustawienia, wersję i przypisanie dla objętych testem urządzeń; sprawdź kopie zapasowe i sposoby odzyskiwania danych. Wybierz urządzenie testowe, którego utrata nie będzie problemem, i umieść na nim prywatne dane testowe. Przed testem uzyskaj zgodę użytkownika; następnie obserwuj dostarczenie zasad i ich działanie na tym urządzeniu. Zasady dla profili służbowych Android Enterprise tworzy się i zapisuje pod Policies > Android > Create, wybierając odpowiedni typ zasad; dopiero po zatwierdzeniu przypisz je celowo wybranemu urządzeniu testowemu lub grupie testowej. Samo przypisanie w konsoli nie dowodzi, że zasady zadziałały na urządzeniu: poczekaj na połączenie i synchronizację, a następnie sprawdź wersję zasad oraz status na urządzeniu docelowym, w Sophos Fusion w razie potrzeby osobno dla Google API i agenta MDM. Usunięcie profilu planuj tylko jako odrębny destrukcyjny scenariusz wycofania urządzenia z zarządzania.

Zaplanuj wycofanie zmian z wyprzedzeniem: Zasad profilu służbowego nie można odinstalować przez Uninstall policy; zamiast tego zaktualizuj je na podstawie udokumentowanych wcześniejszych ustawień albo przypisz inne, uprzednio sprawdzone zasady. Zmiany tego typu zasad są synchronizowane przy następnym połączeniu urządzenia z Sophos Mobile, a nie przez ścieżkę Update devices używaną dla starszych zasad urządzeń z Androidem. Po nawiązaniu połączenia ponownie sprawdź przypisanie, wersję, status składników oraz rzeczywiste działanie na urządzeniu. Jeśli urządzenie nie połączy się z usługą, składnik zgłosi inny status lub działanie zasad się utrzyma, nie zgłaszaj zakończenia wycofywania zmian i nie przypisuj zasad produkcyjnie. Zmiana zasad nie cofnie kopiowania danych do obszaru prywatnego ani nie przywróci usuniętych danych profilu służbowego lub urządzenia.

Przykład niedestrukcyjny: Po zatwierdzeniu zmiany zezwolenia dotyczącego schowka skopiuj tekst testowy z aplikacji służbowej do prywatnej; powinien wystąpić wyłącznie wcześniej oczekiwany przepływ danych. Następnie użyj ustalonej metody aktualizacji lub przypisania zasad zastępczych i po potwierdzeniu synchronizacji ponownie sprawdź działanie z nowym tekstem testowym. Jeśli zachowanie odbiega od oczekiwanego lub zezwolenie nadal obowiązuje, nie wdrażaj zasad produkcyjnie i wyjaśnij sprawę z osobami odpowiedzialnymi za ochronę danych i zarządzanie urządzeniami mobilnymi. Nie testuj progów wymazywania po błędnych próbach na prywatnych urządzeniach.

Bez potwierdzonego działania, sprawdzonych sposobów odzyskiwania danych oraz akceptacji pozostałego ryzyka ich utraty nie przypisuj zasad produkcyjnie ani ich nie zalecaj. Rejestracja i zgoda na BYOD, wdrażanie aplikacji, Wi-Fi/VPN/SCEP, uwierzytelnianie Exchange, przypisywanie zasad oraz destrukcyjne wycofanie urządzenia z zarządzania pozostają odrębnymi obszarami odpowiedzialności.