Android Enterprise: política de dispositivo para equipamentos empresariais totalmente geridos

Resposta curta: A política de dispositivo Android Enterprise da Sophos aplica-se a dispositivos no modo Android Enterprise full device. Este artigo aborda a política para equipamentos empresariais totalmente geridos, não a política autónoma para perfis de trabalho destinada a dispositivos no modo Android Enterprise work profile (por exemplo, BYOD; o modo de gestão não equivale ao regime de propriedade). O facto de determinadas definições terem o mesmo nome não significa que produzam o mesmo efeito nos dois modos. As opções aqui descritas servem de apoio à decisão, não constituem um perfil padrão testado no tenant.

Antes de alterar uma política

Verificar se os dispositivos estão efetivamente inscritos no modo de gestão integral, se o tenant dispõe da licença Sophos Mobile necessária, quais são a versão do Android e o modelo do dispositivo em causa e que política está efetivamente atribuída ao dispositivo de teste. Documentar as alterações previstas, o estado inicial, a cópia de segurança e o procedimento de recuperação. Observar primeiro num equipamento empresarial representativo se a definição pretendida produz efeito e se é possível reverter a alteração; só depois autorizar uma implementação mais alargada. Nem a criação de uma política nem a sua atribuição demonstram que ela produz efeito no dispositivo.

Aplicações e permissões

App Control: Um grupo de aplicações selecionado contém aplicações que os utilizadores não podem iniciar; isto também abrange aplicações pré-instaladas pelo fabricante que não podem ser desinstaladas. Não se trata de uma desinstalação. No caso de aplicações necessárias à atividade, verificar primeiro o grupo de aplicações e o acesso de emergência no projeto-piloto.
App permissions: A resposta predefinida aos pedidos e as definições específicas de cada aplicação controlam apenas as permissões em tempo de execução. Na resposta predefinida, Prompt pede autorização ao utilizador; Auto-accept concede e Auto-deny recusa automaticamente as permissões pedidas. Nas definições específicas de cada aplicação, Selectable permite ao utilizador decidir, enquanto Granted ou Denied impõem a autorização ou recusa. Podem continuar a surgir pedidos relativos à otimização da bateria ou aos serviços de acessibilidade. As opções gerais Auto-accept e Auto-deny impedem os utilizadores de alterar posteriormente as permissões em causa; testar previamente o impacto nas aplicações necessárias.
App Protection: Ao abrirem pela primeira vez aplicações do grupo selecionado, os utilizadores definem uma palavra-passe comum. O acesso através de outras aplicações ou de funções do sistema Android, bem como os modos de várias janelas, podem contornar o pedido da palavra-passe. Depois de fechar uma aplicação protegida, um período de tolerância configurado permite reabri-la sem palavra-passe; pode também ser permitida a autenticação por impressão digital em vez da introdução da palavra-passe. Por isso, não utilizar esta opção como bloqueio do dispositivo nem como garantia abrangente de proteção dos conteúdos confidenciais das aplicações; testar no projeto-piloto o período de tolerância e os métodos de autenticação permitidos. Password complexity também define os requisitos da palavra-passe das aplicações protegidas, incluindo o comprimento mínimo e a exigência de letras ou algarismos; escolher e testar estes requisitos separadamente do bloqueio do ecrã.

Gmail e Google Play

A configuração Email account pode adicionar uma conta Exchange Online ou Exchange Server ao Gmail. Para utilizar %_USERNAME_% e %_EMAILADDRESS_%, os campos Exchange Login e Email Address do utilizador associado têm de estar preenchidos no Sophos Fusion; uma política com estes marcadores de posição não pode ser atribuída a um dispositivo sem utilizador associado. Se ainda existir uma configuração gerida do Gmail mais antiga, o Gmail ignora Email account, mesmo que a configuração antiga esteja vazia; nas versões mais recentes, essa configuração antiga já não é disponibilizada. Para Exchange Online, a Sophos indica outlook.office365.com apenas para a cloud Microsoft 365 global; para outras clouds, verificar o endpoint correspondente. Para Exchange Server, é necessário o URL do servidor; se for utilizado um proxy EAS do Sophos Mobile, indicar antes o URL desse proxy. Como nome de utilizador, utiliza-se normalmente %_EMAILADDRESS_% para Exchange Online e %_USERNAME_% para Exchange Server; só acrescentar um prefixo de domínio se este ainda não constar do campo Exchange Login no Fusion. Para a autenticação moderna do Gmail (OAuth 2.0), o Google Chrome tem de estar instalado no dispositivo; a presença das opções de autenticação Basic ou mista não garante a compatibilidade com o serviço Exchange utilizado. A Sophos recomenda SSL/TLS; Allow all certificates alarga os certificados aceites e exige uma decisão consciente sobre a confiança neles. Se Allow unmanaged accounts estiver ativado, não é possível impedir a partilha de dados entre outras aplicações e contas Exchange adicionadas pelos utilizadores. Verificar no projeto-piloto a configuração existente do Gmail, a associação do utilizador, a autenticação, a confiança nos certificados e o fluxo de correio; a migração de proxies Exchange/EAS é um assunto distinto. Synchronization period limita o correio sincronizado ao período selecionado; verificar se mensagens mais antigas têm de estar disponíveis offline. Client certificate seleciona o certificado da ligação ao Exchange; verificar separadamente a sua disponibilidade e confiança.

A configuração Google Play determina se, nos dispositivos totalmente geridos, os utilizadores veem na Play Store apenas as aplicações aprovadas para a organização ou todas as aplicações do Google Play. As atualizações automáticas também têm opções distintas: em qualquer rede, incluindo dados móveis; apenas por Wi-Fi; sem atualização automática; ou segundo a definição do dispositivo (os utilizadores podem configurar as atualizações). Definir conscientemente a visibilidade e o comportamento das atualizações em função do caso de utilização e das consequências para os custos de atualização e de dados; uma seleção na Play Store não substitui a disponibilização separada de aplicações geridas.

Não confundir o bloqueio do ecrã com os gestores de palavras-passe

Password policies controla o bloqueio do ecrã do dispositivo. Os tipos são Pattern, PIN or password, Simple password (pelo menos uma letra), PIN or password, Alphanumeric password (letras e algarismos) e Complex password (letras e algarismos com mínimos adicionais configuráveis de caracteres). Os últimos quatro oferecem comprimento mínimo, tempo máximo de inatividade, idade máxima e Maximum sign-in attempts; o dispositivo pode impor menos tempo de inatividade, e a idade varia de 0 (sem mudança obrigatória) a 730 dias. Password history impede que uma palavra-passe nova coincida com o número configurado de palavras-passe anteriormente guardadas pelo Sophos Mobile. Um limite configurado em Maximum sign-in attempts apaga o dispositivo após esse número de tentativas incorretas. Antes de o ativar, exigir cópia de segurança, projeto-piloto aprovado e percurso autorizado de recuperação. Se a Factory Reset Protection (FRP) estiver ativada, verificar separadamente a disponibilidade de credenciais utilizáveis de uma conta Google autorizada e configurada para desbloquear esse dispositivo específico através do FRP. Esta página de política não determina qual método de reposição ativa o FRP; a configuração do FRP e os efeitos de cada método pertencem ao procedimento separado de recuperação FRP. Retirar depois a política não restaura dados apagados.

Password services, pelo contrário, regula a utilização de gestores de palavras-passe com base num grupo de aplicações: Allow permite apenas os gestores indicados; Block bloqueia os indicados e permite os restantes. Com Allow, a opção Allow system apps permite incluir os gestores de palavras-passe predefinidos pelo fabricante do dispositivo; sem um grupo de aplicações selecionado, esta combinação permite apenas esses gestores do fabricante. Esta configuração não corresponde ao bloqueio do ecrã e não descreve a eliminação dos dados após tentativas falhadas de desbloqueio. Antes de bloquear gestores, identificar num teste os que são necessários.

Restrições com efeitos assimétricos

Em Restrictions, estas consequências são particularmente importantes para dispositivos totalmente geridos (não é uma lista exaustiva das restrições):

Enable system apps ativa todas as aplicações do sistema. Depois de ativadas, estas aplicações do sistema não podem voltar a ser desativadas, segundo a Sophos; não utilizar esta opção como teste padrão reversível.
Desativar Allow app uninstall também impede que os administradores desinstalem aplicações através do Sophos Mobile. Testar antecipadamente como remover aplicações quando necessário.
Desativar Allow location services desativa os serviços de localização e também impede que o Sophos Mobile localize o dispositivo.
Desativar Allow Bluetooth impede ligações a novos dispositivos Bluetooth; as ligações a dispositivos já emparelhados continuam a ser possíveis.
Allow Android Beam aplica-se apenas ao Android 9 e versões anteriores, não a outras tecnologias de partilha. Allow sharing of managed Wi-Fi connections aplica-se ao Android 13 e versões posteriores. Verificar sempre o efeito na versão do Android efetivamente utilizada. System update policy > Postpone bloqueia atualizações que não sejam de segurança durante 30 dias, mas não as de segurança; coordenar separadamente o calendário. Allow Smart Lock é ignorado quando há um bloqueio separado do perfil de trabalho. Allow managing Google accounts requer Allow managing accounts e desativa-se com esta opção. Desativar Allow installing apps from unknown sources também impede instalações via ADB. A lista de grupos de aplicações em Allowed accessibility services continua a permitir aplicações do sistema; verificar separadamente as necessidades de acessibilidade antes de a restringir.

Distinção face à conformidade e a outras políticas

A política de dispositivo com App Control ou App Protection não é uma ação de conformidade. Regras de conformidade, Lock container e Transfer task bundle pertencem a outro responsável; este artigo não determina as respetivas exceções, precedência, efeitos de eliminação nem impacto em aplicações privadas BYOD. Não usar um piloto da política de dispositivo como teste de uma ação de conformidade. Antes de qualquer intervenção, confirmar a ação, o modo, a recuperação e a possível perda de dados no procedimento de conformidade separado.

O modo quiosque e a saída física pertencem ao aprovisionamento de dispositivos dedicados; Wi-Fi, VPN, proxy e certificados pertencem à conectividade Android gerida; Work Profile tem uma política própria. A mera enumeração destas configurações na política de dispositivo Android não substitui as respetivas verificações de segurança e de implementação.