Настройка регистрации устройств с личным рабочим профилем Android Enterprise

Настройте регистрацию для сценариев использования собственного устройства (BYOD) и личных устройств с помощью решения для управления личным рабочим профилем Android Enterprise . Во время регистрации на устройстве создается рабочий профиль для размещения рабочих приложений и рабочих данных. Для управления рабочим профилем и его содержимым можно использовать политики Microsoft Intune. Личные приложения и данные остаются отдельными в другой части устройства и не затрагиваются Intune.

Дополнительные сведения о функциях рабочих профилей Android Enterprise см. в разделе Рабочие профили (открывается справка Android Enterprise).

Методы регистрации

Intune поддерживает два метода регистрации для устройств с личным рабочим профилем. Используйте следующую таблицу, чтобы понять параметры и путь миграции.

Требования

Настройка регистрации

Выполните эти действия, чтобы настроить регистрацию для устройств Android Enterprise в сценариях BYOD. Независимо от того, регистрируются ли пользователи через веб-поток или через приложение Корпоративный портал, сначала создается профиль регистрации. Регистрация через Интернет является рекомендуемым методом, и для его включения требуется дополнительный шаг в профиле. Для регистрации на основе приложений через Корпоративный портал создайте тот же профиль регистрации, но не выбирайте параметр регистрации через Интернет. Настройка ограничений платформы устройств необязательна и требуется только в том случае, если вы хотите ограничить или настроить поведение регистрации за пределами по умолчанию.

Создание профиля регистрации

Создайте профиль регистрации для личных устройств с рабочим профилем. Один и тот же профиль поддерживает как веб-, так и Корпоративный портал регистрацию на основе приложений. Включение регистрации через Интернет — это лишь один дополнительный шаг в ней.

1. Войдите в Центр администрирования Microsoft Intune.

2. Перейдите в раздел Устройства.

3. Разверните узел Подключение устройств и выберите Регистрация.

4. Перейдите на вкладку Android .

5. В разделе Профили регистрации выберите Личные устройства с рабочим профилем.

6. Выберите Использовать регистрацию через Интернет для всех пользователей, регистрирующихся в управлении личным рабочим профилем Android , чтобы включить регистрацию через Интернет. Если ключи доступа являются единственным методом проверки подлинности, оставьте этот флажок без выбора и положитесь на Корпоративный портал регистрации на основе приложений.

7. Выберите Сохранить. Включение регистрации через Интернет применяется на уровне клиента и не может быть отменено.

Настройка ограничений платформы устройств

Используйте этот раздел, только если вам нужно контролировать или ограничивать другие методы регистрации, например блокировать регистрацию администратора устройств Android. Если параметры по умолчанию соответствуют вашим потребностям, пропустите этот шаг.

1. Войдите в Центр администрирования Microsoft Intune.

2. Перейдите в раздел Устройства.

3. Разверните узел Подключение устройств и выберите Регистрация.

4. Перейдите на вкладку Android .

5. В разделе Параметры регистрации выберите Ограничение платформы устройства.

6. Перейдите на вкладку Ограничения Android .

7. Выберите Создать ограничение.

8. На странице Основные сведения введите имя и описание ограничения, чтобы отличить его от других ограничений в Центре администрирования. Пользователи устройств не видят эти сведения.

9. Нажмите кнопку Далее , чтобы перейти к разделу Параметры платформы.

10. Настройка параметров платформы для Android Enterprise (рабочий профиль). Доступны следующие параметры:

    • Платформа. Выберите Разрешить , чтобы разрешить регистрацию с помощью рабочего профиля Android Enterprise. Выберите Блокировать , чтобы запретить регистрацию рабочего профиля. Если вы блокируете рабочий профиль, устройства регистрируются с помощью решения для управления администратором устройств Android, если регистрация администратора устройства также не заблокирована.
    • Личные. Выберите Разрешить , чтобы разрешить личные устройства регистрироваться с помощью рабочего профиля. Личные устройства разрешены по умолчанию. Выберите Блокировать, чтобы запретить регистрацию личных устройств с помощью рабочего профиля. Устройства Android, которые не поддерживают Android Enterprise, регистрируются с помощью решения для администраторов устройств Android, если регистрация администратора устройства не заблокирована.

    Важно!

    Параметр Личные данные, настроенный как блокировать , не применяется к устройствам API управления Android (AMAPI) и не является надежным для устройств под управлением Android 12 и более поздних версий, использующих настраиваемую регистрацию DPC. Если вы используете этот параметр для предотвращения регистрации личного рабочего профиля, рассмотрите один из следующих вариантов:

    • Используйте корпоративный метод управления. Зарегистрируйте устройства как устройства с корпоративным рабочим профилем , а не как личные.
    • Ограничение регистрации по группам пользователей. Настройте ограничение регистрации, чтобы заблокировать регистрацию в рабочем профиле Android Enterprise для всех пользователей. Затем создайте ограничение с более высоким приоритетом, которое разрешает регистрацию только для утвержденной группы. Этот подход управляет регистрацией через членство в группах, а не параметр Личные .

    Любое устройство, поддерживающее личные рабочие профили Android Enterprise, также поддерживает решение для управления администраторами устройств Android, поэтому, если вы не хотите, чтобы администратор устройств Android принимал участие в регистрации, обязательно заблокируйте платформу. Дополнительные сведения см. в разделе Ограничения платформы устройств.

    Примечание.

    Сегодня управление рабочим профилем Android Enterprise для личных устройств разрешено по умолчанию. В политиках, настроенных до июля 2019 года без каких-либо изменений, параметр по умолчанию блокирует управление рабочим профилем Android Enterprise.

    Важно!

    Управление администраторами устройств Android (DA) не рекомендуется и больше не доступно для устройств с доступом к Google Mobile Services (GMS). Если в настоящее время вы используете управление DA, рекомендуется перейти на другой вариант управления Android. Документация по поддержке и справке по-прежнему доступна для некоторых устройств Android 15 и более ранних версий без GMS. Дополнительные сведения см. в разделе Прекращение поддержки администратора устройств Android на устройствах GMS.

11. Нажмите кнопку Далее , чтобы перейти к разделу Теги области.

12. При необходимости примените один или несколько тегов область, чтобы ограничить видимость и управление ограничениями для определенных пользователей администраторов в Intune. Дополнительные сведения об использовании тегов область см. в статье Использование управления доступом на основе ролей и область тегов для распределенных ИТ-специалистов.

13. Нажмите кнопку Далее , чтобы перейти к разделу Назначения.

14. Назначьте ограничение всем пользователям или выберите определенные группы.

15. Нажмите кнопку Далее , чтобы продолжить просмотр и создание.

16. Просмотрите выбранные варианты и нажмите кнопку Создать , чтобы завершить создание ограничения.

Регистрация устройств

Если регистрация через Интернет включена, пользователи могут получить доступ к регистрации из любой из следующих точек входа, все из которых запускают одну и ту же веб-страницу регистрации:

• Приложения для повышения производительности, такие как Teams или Outlook (рекомендуется): если вы настроили политики условного доступа, которые требуют регистрации перед доступом к корпоративным ресурсам, пользователям будет предложено зарегистрироваться при открытии поддерживаемого приложения.
• Корпоративный портал приложение. Пользователи могут открыть приложение Корпоративный портал и следовать инструкциям на регистрацию.
• URL-адрес регистрации. Пользователи могут перейти к aka.ms/enrollmyandroid в браузере, чтобы начать регистрацию.

Обязательно сообщите, какую точку входа использует ваша организация, а также четкие рекомендации по шагам регистрации и какие сведения следует вводить. Пользователи могут быть не знакомы с самостоятельной регистрацией или приложениями Корпоративный портал Intune и Microsoft Intune. Некоторые рекомендации по взаимодействию с пользователями см. в статье Руководство по планированию. Шаг 5. Создание плана развертывания.

При регистрации пользователи должны войти в основную учетную запись пользователя на своем устройстве. Регистрация не поддерживается для учетных записей дополнительных пользователей. Личные устройства, ранее зарегистрированные с помощью администратора устройств Android, могут отменить регистрацию, а затем повторно зарегистрироваться с помощью решения рабочего профиля.

Дополнительные сведения и снимки экрана взаимодействия с конечными пользователями см. в разделе Регистрация устройства с помощью рабочего профиля Android в справочной документации по Intune пользователей.

Приложения, установленные при регистрации

Intune автоматически устанавливает следующие приложения на зарегистрированных устройствах:

• Microsoft Intune: пользовательское приложение для задач управления устройствами, включая проверку соответствия требованиям, синхронизацию политик, сбор журналов диагностики и обращение в службу поддержки ИТ.
• Корпоративный портал: используется для просмотра и установки рабочих приложений и поддерживает сценарии MAM.
• Политика устройств Android. Применяет политики API управления Android для регистрации через Интернет. Устанавливается в скрытом состоянии. Пользователи не видят его.
• Microsoft Authenticator. Предоставляет единый вход (SSO) для рабочей учетной записи пользователя.

Данные, к которым предоставлен доступ с помощью Google

Microsoft Intune предоставляет google определенные сведения о пользователях и устройствах, если включено управление устройствами Android Enterprise. Дополнительные сведения см. в статье Данные, отправляемые Intune в Google.

Ограничения

Ограничения в этом разделе применяются к личным устройствам с рабочим профилем.

Частное пространство

Личное пространство — это функция, появилась в Android 15, которая позволяет пользователям создавать на устройстве пространство для конфиденциальных приложений и данных, которые они хотят скрыть.

• Личное пространство считается личным профилем. Microsoft Intune не поддерживает управление мобильными устройствами в частном пространстве или не предоставляет техническую поддержку для устройств, которые пытаются зарегистрировать частное пространство.

• Если пользователи пытаются зарегистрировать частное пространство после регистрации устройства, Intune инициирует процесс регистрации администратора устройства. Вторая регистрация приводит к тому, что в Центре администрирования Microsoft Intune отображаются две записи о регистрации: одна в разделе управление рабочим профилем, а другая — в разделе управление администраторами устройств. Microsoft Intune не поддерживает этот сценарий.

Регистрация через Интернет

• Если ключи доступа настроены как единственный принятый метод проверки подлинности в клиенте, пользователи не смогут завершить регистрацию в Интернете. Не включайте регистрацию в Интернете, пока не будет объявлено о поддержке ключа доступа.
• Если для многофакторной проверки подлинности требуется телефонный звонок, на который пользователь должен ответить на устройстве, на которое он регистрируется, регистрация в Интернете может завершиться сбоем. Чтобы обойти эту проблему, предойте пользователю проверку подлинности на дополнительном устройстве или используйте SMS вместо телефонного звонка.
• Microsoft Teams и Outlook — это поддерживаемые точки входа в приложения для повышения производительности для регистрации в Интернете. Другие приложения Microsoft 365 в настоящее время не поддерживаются в качестве точек входа в регистрацию.
• Microsoft Entra условия использования (TOU) перед созданием рабочего профиля не поддерживаются для веб-регистрации Android, не требуя их во всех сценариях Intune.
• После регистрации в Интернете в рабочий профиль устройства устанавливаются как Microsoft Intune приложение (для управления устройствами), так и Корпоративный портал (для управления приложениями). Если Корпоративный портал не отображается, убедитесь, что он успешно установлен.
• Если пользователь уже зарегистрирован в более старом рабочем профиле Пользовательского DPC и открывает приложение для повышения производительности в своем личном профиле после включения регистрации в Интернете, но до миграции устройства ей может быть предложено снова зарегистрировать. Попытка повторной регистрации приводит к ошибке. Направьте этих пользователей открыть приложение для повышения производительности в своем рабочем профиле.
• Если пользователь попадает на страницу Приступая к регистрации, но его устройство уже зарегистрировано, может потребоваться только повторить присоединение к рабочему месту. Дополнительные сведения см. в разделе Повторное присоединение к рабочему месту для устройств Android Enterprise.
• Если Корпоративный портал старше версии 2604.x, пользователи направляются в поток регистрации на основе приложений, а не через Интернет. Перед включением регистрации через Интернет убедитесь, что Корпоративный портал обновлена на устройствах.
• Во время регистрации браузер может предложить пользователям добавить в браузер свою рабочую учетную запись. Пользователи должны пропустить этот запрос и продолжить действия по регистрации.

Дальнейшие действия

• Развертывание приложений Android Enterprise
• Добавление политик конфигурации Android Enterprise
• Настройка устройств Android для бизнеса и устранение неполадок с ними в Microsoft Intune