Android Enterprise heredado para clientes de Google Workspace (anteriormente G Suite)
Los clientes de Google Workspace (anteriormente G Suite) deben usar la configuración de Android Enterprise heredado para configurar Android Enterprise heredado.
Requisitos para Android Enterprise heredado:
- Un dominio de acceso público
- Una cuenta de administrador de Google
- Dispositivos compatibles con perfiles administrados y que ejecuten Android 5.0+ Lollipop
- Una cuenta de Google con Google Play instalado
- Un perfil de trabajo configurado en el dispositivo
Para empezar a configurar un Android Enterprise heredado, haz clic en Android Enterprise heredado en la página Android Enterprise en la configuración de XenMobile®.
Crear una cuenta de Android Enterprise
Antes de que puedas configurar una cuenta de Android Enterprise, debes verificar tu nombre de dominio con Google.
Si ya has verificado tu nombre de dominio con Google, puedes saltar a este paso: Configurar una cuenta de servicio de Android Enterprise y descargar un certificado de Android Enterprise.
-
Ve a https://gsuite.google.com/signup/basic/welcome.
Se muestra la siguiente página donde introduces tu información de administrador y de la empresa.
-
Introduce tu información de usuario administrador.
-
Introduce la información de tu empresa, además de la información de tu cuenta de administrador.
El primer paso del proceso se ha completado y ves la siguiente página.
Verificar la propiedad del dominio
Permite que Google verifique tu dominio de una de las siguientes maneras:
- Agrega un registro TXT o CNAME al sitio web de tu proveedor de dominio.
- Sube un archivo HTML al servidor web de tu dominio.
- Agrega una etiqueta
<meta>a tu página de inicio. Google recomienda el primer método. Este artículo no cubre los pasos para verificar la propiedad de tu dominio, pero puedes encontrar la información que necesitas aquí: https://support.google.com/a/answer/6248925.
-
Haz clic en Iniciar para comenzar la verificación de tu dominio.
Aparece la página Verificar la propiedad del dominio. Sigue las instrucciones de la página para verificar tu dominio.
-
Haz clic en Verificar.
-
Google verifica la propiedad de tu dominio.
-
Después de una verificación exitosa, aparece la siguiente página. Haz clic en Continuar.
-
Google crea un token de enlace EMM que proporcionas a Citrix® y usas al configurar los ajustes de Android Enterprise. Copia y guarda el token; lo necesitarás más adelante en el procedimiento de configuración.
-
Haz clic en Finalizar para completar la configuración de Android Enterprise. Aparece una página que indica que has verificado tu dominio con éxito.
Después de crear una cuenta de servicio de Android Enterprise, puedes iniciar sesión en la consola de administración de Google para administrar tu configuración de gestión de movilidad.
Configurar una cuenta de servicio de Android Enterprise y descargar un certificado de Android Enterprise
Para permitir que XenMobile se ponga en contacto con los servicios de Google Play y Directorio, debes crear una cuenta de servicio usando el portal de proyectos de Google para desarrolladores. Esta cuenta de servicio se usa para la comunicación de servidor a servidor entre XenMobile y los servicios de Google para Android. Para obtener más información sobre el protocolo de autenticación que se utiliza, ve a https://developers.google.com/identity/protocols/OAuth2ServiceAccount.
-
En un navegador web, ve a https://console.cloud.google.com/project e inicia sesión con tus credenciales de administrador de Google.
-
En la lista Proyectos, haz clic en Crear proyecto.
-
En Nombre del proyecto, introduce un nombre para el proyecto.
-
En el Panel de control, haz clic en Usar API de Google.
-
Haz clic en Biblioteca, en Buscar, escribe EMM y luego haz clic en el resultado de la búsqueda.
-
En la página Información general, haz clic en Habilitar.
-
Junto a API de EMM de Google Play, haz clic en Ir a Credenciales.
-
En la lista Agregar credenciales a nuestro proyecto, en el paso 1, haz clic en cuenta de servicio.
-
En la página Cuentas de servicio, haz clic en Crear cuenta de servicio.
-
En Crear cuenta de servicio, asigna un nombre a la cuenta y selecciona la casilla de verificación Proporcionar una nueva clave privada. Haz clic en P12, selecciona la casilla de verificación Habilitar la delegación de todo el dominio de Google Apps y luego haz clic en Crear.
El certificado (archivo P12) se descarga en tu equipo. Asegúrate de guardar el certificado en una ubicación segura.
-
En la página de confirmación Cuenta de servicio creada, haz clic en Cerrar.
-
En Permisos, haz clic en Cuentas de servicio y luego, en Opciones de tu cuenta de servicio, haz clic en Ver ID de cliente.
-
Se muestran los detalles necesarios para la autorización de la cuenta en la consola de administración de Google. Copia el ID de cliente y el ID de cuenta de servicio en una ubicación donde puedas recuperar la información más tarde. Necesitas esta información, junto con el nombre de dominio, para enviarla a la asistencia técnica de Citrix para su autorización.
-
En la página Biblioteca, busca Admin SDK y luego haz clic en el resultado de la búsqueda.
-
En la página Información general, haz clic en Habilitar.
-
Abre la consola de administración de Google para tu dominio y luego haz clic en Seguridad.
-
En la página Configuración, haz clic en Mostrar más y luego haz clic en Configuración avanzada.
-
Haz clic en Administrar acceso de cliente API.
-
En Nombre de cliente, introduce el ID de cliente que guardaste anteriormente, en Uno o más ámbitos de API, escribe
https://www.googleapis.com/auth/admin.directory.usery luego haz clic en Autorizar.
Enlace a EMM
Antes de que puedas usar XenMobile para administrar tus dispositivos Android, debes ponerte en contacto con la asistencia técnica de Citrix y proporcionar tu nombre de dominio, cuenta de servicio y token de enlace. Citrix enlaza el token a XenMobile como tu proveedor de gestión de movilidad empresarial (EMM). Para obtener información de contacto de la asistencia técnica de Citrix, consulta Asistencia técnica de Citrix.
-
Para confirmar el enlace, inicia sesión en el portal de administración de Google y luego haz clic en Seguridad.
-
Haz clic en Administrar proveedor de EMM para Android.
Verás que tu cuenta de Google Android Enterprise está enlazada a Citrix como tu proveedor de EMM.
Después de confirmar el enlace del token, puedes empezar a usar la consola de XenMobile para administrar tus dispositivos Android. Importa el certificado P12 que generaste en el paso 14. Configura los ajustes del servidor de Android Enterprise, habilita el inicio de sesión único (SSO) basado en SAML y define al menos una política de dispositivos de Android Enterprise.
Importar el certificado P12
Sigue estos pasos para importar tu certificado P12 de Android Enterprise:
-
Inicia sesión en la consola de XenMobile.
-
Haz clic en el icono de engranaje en la esquina superior derecha de la consola para abrir la página Configuración y luego haz clic en Certificados. Aparece la página Certificados.
-
Haz clic en Importar. Aparece el cuadro de diálogo Importar.
Configura los siguientes ajustes:
- Importar: En la lista, haz clic en Almacén de claves.
- Tipo de almacén de claves: En la lista, haz clic en PKCS#12.
- Usar como: En la lista, haz clic en Servidor.
- Archivo de almacén de claves: Haz clic en Explorar y navega hasta el certificado P12.
- Contraseña: Introduce la contraseña del almacén de claves.
- Descripción: Opcionalmente, introduce una descripción del certificado.
-
Haz clic en Importar.
Configurar los ajustes del servidor de Android Enterprise
-
En la consola de XenMobile, haz clic en el icono de engranaje en la esquina superior derecha de la consola. Aparece la página Configuración.
-
En Servidor, haz clic en Android Enterprise. Aparece la página Android Enterprise.
Configura los siguientes ajustes y luego haz clic en Guardar.
- Nombre de dominio: Introduce tu nombre de dominio de Android Enterprise; por ejemplo, domain.com.
- Cuenta de administrador de dominio: Introduce tu nombre de usuario administrador de dominio; por ejemplo, la cuenta de correo electrónico usada para el Portal de desarrolladores de Google.
-
ID de cuenta de servicio: Introduce tu ID de cuenta de servicio; por ejemplo, el correo electrónico asociado en la cuenta de servicio de Google (
serviceaccountemail@xxxxxxxxx.iam.gserviceaccount.com). - ID de cliente: Introduce el ID de cliente numérico de tu cuenta de servicio de Google.
- Habilitar Android Enterprise: Selecciona para habilitar o deshabilitar Android Enterprise.
Habilitar el inicio de sesión único basado en SAML
-
Inicia sesión en la consola de XenMobile.
-
Haz clic en el icono de engranaje en la esquina superior derecha de la consola. Aparece la página Configuración.
-
Haz clic en Certificados. Aparece la página Certificados.
-
En la lista de certificados, haz clic en el certificado SAML.
-
Haz clic en Exportar y guarda el certificado en tu equipo.
-
Inicia sesión en el portal de administración de Google con tus credenciales de administrador de Android Enterprise. Para acceder al portal, consulta el portal de administración de Google.
-
Haz clic en Seguridad.
-
En Seguridad, haz clic en Configurar inicio de sesión único (SSO) y, a continuación, configura los siguientes ajustes.
-
URL de la página de inicio de sesión: Escribe la URL para los usuarios que inician sesión en tu sistema y en las aplicaciones de Google. Por ejemplo:
https://<Xenmobile-FQDN>/aw/saml/signin. -
URL de la página de cierre de sesión: Escribe la URL a la que se redirige a los usuarios cuando cierran sesión. Por ejemplo:
https://<Xenmobile-FQDN>/aw/saml/signout. -
URL de la página para cambiar la contraseña: Escribe la URL para permitir que los usuarios cambien su contraseña en tu sistema. Por ejemplo:
https://<Xenmobile-FQDN>/aw/saml/changepassword. Si este campo está definido, los usuarios verán esta solicitud incluso cuando el SSO no esté disponible. - Certificado de verificación: Haz clic en ELEGIR ARCHIVO y, a continuación, navega hasta el certificado SAML exportado desde XenMobile.
-
URL de la página de inicio de sesión: Escribe la URL para los usuarios que inician sesión en tu sistema y en las aplicaciones de Google. Por ejemplo:
-
Haz clic en GUARDAR CAMBIOS.
Configurar una directiva de dispositivo de Android Enterprise
Configura una directiva de código de acceso para que los usuarios deban establecer un código de acceso en sus dispositivos cuando se inscriban por primera vez.
Los pasos básicos para configurar cualquier directiva de dispositivo son los siguientes.
-
Inicia sesión en la consola de XenMobile.
-
Haz clic en Configurar y, a continuación, haz clic en Directivas de dispositivo.
-
Haz clic en Agregar y, a continuación, en el cuadro de diálogo Agregar una nueva directiva, selecciona la directiva que quieres agregar. En este ejemplo, haz clic en Código de acceso.
-
Completa la página Información de la directiva.
-
Haz clic en Android Enterprise y, a continuación, configura los ajustes de la directiva.
-
Asigna la directiva a un grupo de entrega.
Configurar los ajustes de la cuenta de Android Enterprise
Antes de que puedas empezar a administrar aplicaciones y directivas de Android en los dispositivos, debes configurar un dominio de Android Enterprise y la información de la cuenta en XenMobile. Primero, completa las tareas de configuración de Android Enterprise en Google para configurar un administrador de dominio y obtener un ID de cuenta de servicio y un token de enlace.
-
En la consola web de XenMobile, haz clic en el icono de engranaje en la esquina superior derecha. Se muestra la página Configuración.
-
En Servidor, haz clic en Android Enterprise. Aparece la página de configuración de Android Enterprise.
-
En la página Android Enterprise, configura los siguientes ajustes:
- Nombre de dominio: Escribe tu nombre de dominio.
- Cuenta de administrador de dominio: Escribe tu nombre de usuario de administrador de dominio.
- ID de cuenta de servicio: Escribe tu ID de cuenta de servicio de Google.
- ID de cliente:: Escribe el ID de cliente de tu cuenta de servicio de Google.
- Habilitar Android Enterprise: Selecciona si quieres habilitar Android Enterprise o no.
-
Haz clic en Guardar.
Configurar el acceso de socio de Google Workspace para XenMobile
Algunas funciones de administración de puntos finales para Chrome usan las API de socio de Google para comunicarse entre XenMobile y tu dominio de Google Workspace. Por ejemplo, XenMobile requiere las API para las directivas de dispositivo que administran funciones de Chrome como el modo Incógnito y el modo Invitado.
Para habilitar las API de socio, configura tu dominio de Google Workspace en la consola de XenMobile y, a continuación, configura tu cuenta de Google Workspace.
Configurar tu dominio de Google Workspace (anteriormente G Suite) en XenMobile
Para permitir que XenMobile se comunique con las API de tu dominio de Google Workspace, ve a Configuración > Configuración de Google Chrome y configura los ajustes.
- Dominio de G Suite: El dominio de Google Workspace que aloja las API necesarias para XenMobile.
- Cuenta de administrador de G Suite: La cuenta de administrador de tu dominio de G Suite.
- ID de cliente de G Suite: El ID de cliente para Citrix. Usa este valor para configurar el acceso de socio para tu dominio de Google Workspace.
- ID de empresa de G Suite: El ID de empresa de tu cuenta, rellenado desde tu cuenta de empresa de Google.
Habilitar el acceso de socio para dispositivos y usuarios en tu dominio de Google Workspace
-
Inicia sesión en la consola de administración de Google: https://admin.google.com
-
Haz clic en Administración de dispositivos.
-
Haz clic en Administración de Chrome.
-
Haz clic en Configuración de usuario.
-
Busca Administración de Chrome - Acceso de socio.
-
Selecciona la casilla de verificación Habilitar Administración de Chrome - Acceso de socio.
-
Acepta que comprendes y quieres habilitar el acceso de socio. Haz clic en Guardar.
-
En la página de administración de Chrome, haz clic en Configuración de dispositivo.
-
Busca Administración de Chrome - Acceso de socio.
-
Selecciona la casilla de verificación Habilitar Administración de Chrome - Acceso de socio.
-
Acepta que comprendes y quieres habilitar el acceso de socio. Haz clic en Guardar.
-
Ve a la página Seguridad y, a continuación, haz clic en Configuración avanzada.
-
Haz clic en Administrar acceso de cliente de API.
-
En la consola de XenMobile, ve a Configuración > Configuración de Google Chrome y copia el valor del ID de cliente de Google Workspace. Luego, vuelve a la página Administrar acceso de cliente de API y pega el valor copiado en el campo Nombre de cliente.
-
En Uno o más ámbitos de API, agrega la URL:
https://www.googleapis.com/auth/chromedevicemanagementapi
-
Haz clic en Autorizar.
Aparece el mensaje “Se han guardado tus ajustes”.
Inscripción de dispositivos Android Enterprise
Si tu proceso de inscripción de dispositivos requiere que los usuarios introduzcan un nombre de usuario o un ID de usuario, el formato aceptado depende de cómo esté configurado el servidor de XenMobile para buscar usuarios por nombre principal de usuario (UPN) o nombre de cuenta SAM.
Si el servidor de XenMobile está configurado para buscar usuarios por UPN, los usuarios deben introducir un UPN en el formato:
- nombre_de_usuario@dominio
Si el servidor de XenMobile está configurado para buscar usuarios por SAM, los usuarios deben introducir un SAM en uno de estos formatos:
- nombre_de_usuario@dominio
- dominio\nombre_de_usuario
Para determinar para qué tipo de nombre de usuario está configurado tu servidor de XenMobile:
- En la consola del servidor de XenMobile, haz clic en el icono de engranaje en la esquina superior derecha. Aparece la página Configuración.
- Haz clic en LDAP para ver la configuración de la conexión LDAP.
-
Cerca de la parte inferior de la página, consulta el campo Buscar usuario por:
- Si está establecido en userPrincipalName, el servidor de XenMobile está configurado para UPN.
- Si está establecido en sAMAccountName, el servidor de XenMobile está configurado para SAM.
Anular la inscripción de una empresa de Android Enterprise
Puedes anular la inscripción de una empresa de Android Enterprise mediante la consola del servidor de XenMobile y las herramientas de XenMobile.
Cuando realizas esta tarea, el servidor de XenMobile abre una ventana emergente para las herramientas de XenMobile. Antes de empezar, asegúrate de que el servidor de XenMobile tenga permiso para abrir ventanas emergentes en el explorador que estás usando. Algunos exploradores, como Google Chrome, requieren que deshabilites el bloqueo de ventanas emergentes y agregues la dirección del sitio de XenMobile a la lista de permitidos del bloqueador de ventanas emergentes.
Advertencia:
Después de anular la inscripción de una empresa, las aplicaciones de Android Enterprise en los dispositivos ya inscritos a través de ella se restablecen a sus estados predeterminados. Los dispositivos ya no serán administrados por Google. Volver a inscribirlos en una empresa de Android Enterprise podría no restaurar la funcionalidad anterior sin una configuración adicional.
Después de anular la inscripción de la empresa de Android Enterprise:
- Los dispositivos y usuarios inscritos a través de la empresa tienen las aplicaciones de Android Enterprise restablecidas a su estado predeterminado. Las directivas de permisos de aplicaciones de Android Enterprise y de restricciones de aplicaciones de Android Enterprise aplicadas anteriormente ya no tienen efecto.
- Los dispositivos inscritos a través de la empresa son administrados por XenMobile, pero no son administrados desde la perspectiva de Google. No se pueden agregar nuevas aplicaciones de Android Enterprise. No se pueden aplicar directivas de permisos de aplicaciones de Android Enterprise ni de restricciones de aplicaciones de Android Enterprise. Otras directivas, como Programación, Contraseña y Restricciones, aún se pueden aplicar a estos dispositivos.
- Si intentas inscribir dispositivos en Android Enterprise, se inscriben como dispositivos Android, no como dispositivos Android Enterprise.
Para anular la inscripción de una empresa de Android Enterprise:
-
En la consola de XenMobile, haz clic en el icono de engranaje en la esquina superior derecha. Aparece la página Configuración.
-
En la página Configuración, haz clic en Android Enterprise.
-
Haz clic en Quitar empresa.
-
Especifica una contraseña. Necesitarás esta contraseña para el siguiente paso para completar la anulación de la inscripción. Luego, haz clic en Anular inscripción.
-
Cuando se abra la página de herramientas de XenMobile, introduce la contraseña que creaste en el paso anterior.
-
Haz clic en Anular inscripción.
Aprovisionamiento de dispositivos totalmente administrados en Android Enterprise
Solo los dispositivos propiedad de la empresa pueden ser dispositivos totalmente administrados para Android Enterprise. En los dispositivos totalmente administrados, todo el dispositivo, no solo el perfil de trabajo, está controlado por la empresa u organización. Los dispositivos totalmente administrados también se conocen como dispositivos administrados por el trabajo.
XenMobile admite estos métodos de inscripción para dispositivos totalmente administrados:
- afw#xenmobile: Con este método de inscripción, el usuario introduce los caracteres “afw#xenmobile” al configurar el dispositivo. Este token identifica el dispositivo como administrado por XenMobile y descarga Secure Hub.
- Código QR: El aprovisionamiento con código QR es una forma sencilla de aprovisionar una flota distribuida de dispositivos que no admiten NFC, como las tabletas. El método de inscripción con código QR se puede usar en dispositivos de flota que se han restablecido a su configuración de fábrica. El método de inscripción con código QR configura dispositivos totalmente administrados escaneando un código QR desde el asistente de configuración.
- Toque de comunicación de campo cercano (NFC): El método de inscripción por toque NFC se puede usar en dispositivos de flota que se han restablecido a su configuración de fábrica. Un toque NFC transfiere datos entre dos dispositivos mediante comunicación de campo cercano. Bluetooth, Wi-Fi y otros modos de comunicación están deshabilitados en un dispositivo restablecido de fábrica. NFC es el único protocolo de comunicación que el dispositivo puede usar en este estado.
afw#xenmobile
El método de inscripción se usa después de encender un dispositivo nuevo o restablecido de fábrica para la configuración inicial. Los usuarios introducen “afw#xenmobile” cuando se les pide que introduzcan una cuenta de Google. Esta acción descarga e instala Secure Hub. Luego, los usuarios siguen las indicaciones de configuración de Secure Hub para completar la inscripción.
Este método de inscripción se recomienda para la mayoría de los clientes porque la última versión de Secure Hub se descarga de Google Play Store. A diferencia de otros métodos de inscripción, no proporcionas Secure Hub para su descarga desde el servidor de XenMobile.
Requisitos previos:
- Compatible con todos los dispositivos Android que ejecutan Android 5.0 y versiones posteriores.
Código QR
Para inscribir un dispositivo en modo dispositivo usando un código QR, generas un código QR creando un JSON y convirtiendo el JSON en un código QR. Las cámaras de los dispositivos escanean el código QR para inscribir el dispositivo.
Requisitos previos:
- Compatible con todos los dispositivos Android que ejecutan Android 7.0 y versiones posteriores.
Crear un código QR a partir de un JSON
Crea un JSON con los siguientes campos.
Estos campos son obligatorios:
Key: android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME
Valor: com.zenprise/com.zenprise.configuration.AdminFunction
Clave: android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM
Valor: qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM
Clave: android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION
Valor: https://path/to/securehub.apk
Nota:
Si Secure Hub se carga en Citrix XenMobile Server como una aplicación empresarial, puedes descargarlo desde
https://<fqdn>:4443/*instanceName*/worxhome.apk. La ruta al APK de Secure Hub debe ser accesible a través de la conexión Wi-Fi a la que se conecta el dispositivo durante el aprovisionamiento.
Estos campos son opcionales:
-
android.app.extra.PROVISIONING_LOCALE: Introduce los códigos de idioma y país.
Los códigos de idioma son códigos ISO de dos letras en minúscula (como en) definidos por ISO 639-1. Los códigos de país son códigos ISO de dos letras en mayúscula (como US) definidos por ISO 3166-1. Por ejemplo, introduce en_US para el inglés hablado en Estados Unidos.
-
android.app.extra.PROVISIONING_TIME_ZONE: La zona horaria en la que se ejecuta el dispositivo.
Introduce un nombre de Olson con el formato área/ubicación. Por ejemplo, America/Los_Angeles para la hora del Pacífico. Si no introduces ninguno, la zona horaria se rellena automáticamente.
-
android.app.extra.PROVISIONING_LOCAL_TIME: Hora en milisegundos desde la Época.
La época Unix (o tiempo Unix, tiempo POSIX o marca de tiempo Unix) es el número de segundos transcurridos desde el 1 de enero de 1970 (medianoche UTC/GMT). La hora no incluye segundos intercalares (en ISO 8601: 1970-01-01T00:00:00Z).
-
android.app.extra.PROVISIONING_SKIP_ENCRYPTION: Establece en true para omitir el cifrado durante la creación del perfil. Establece en false para forzar el cifrado durante la creación del perfil.
Un JSON típico tiene el siguiente aspecto:
Valida el JSON creado con cualquier herramienta de validación de JSON, como https://jsonlint.com. Convierte esa cadena JSON en un código QR con cualquier generador de códigos QR en línea, como https://goqr.me.
Este código QR lo escanea un dispositivo restablecido de fábrica para inscribirlo en el modo de dispositivo administrado por el trabajo.
Para inscribir el dispositivo
Para inscribir un dispositivo como dispositivo totalmente administrado, el dispositivo debe estar en estado de restablecimiento de fábrica.
- Toca la pantalla seis veces en la pantalla de bienvenida para iniciar el flujo de inscripción con código QR.
-
Cuando se te solicite, conéctate a la red Wi-Fi. La ubicación de descarga de Secure Hub en el código QR (codificada en el JSON) es accesible a través de esta red Wi-Fi.
Una vez que el dispositivo se conecta correctamente a la red Wi-Fi, descarga un lector de códigos QR de Google e inicia la cámara.
-
Apúntale con la cámara al código QR para escanearlo.
Android descarga Secure Hub desde la ubicación de descarga en el código QR, valida la firma del certificado de firma, instala Secure Hub y lo establece como propietario del dispositivo.
Para obtener más información, consulta esta guía de Google para desarrolladores de Android EMM: https://developers.google.com/android/work/prov-devices#qr_code_method.
NFC bump
Para inscribir un dispositivo como dispositivo totalmente administrado mediante NFC bump, se necesitan dos dispositivos: uno restablecido a su configuración de fábrica y otro que ejecute la herramienta de aprovisionamiento de XenMobile.
Requisitos previos:
- Compatible con todos los dispositivos Android que ejecuten Android 5.0, Android 5.1, Android 6.0 y versiones posteriores.
- Una versión de XenMobile Server 10.4 habilitada para Android Enterprise.
- Un dispositivo nuevo o restablecido de fábrica, aprovisionado para Android Enterprise como un dispositivo totalmente administrado. Puedes encontrar los pasos para completar este requisito previo más adelante en este artículo.
- Otro dispositivo con capacidad NFC, que ejecute la herramienta de aprovisionamiento configurada. La herramienta de aprovisionamiento está disponible en Secure Hub 10.4 o en la página de descargas de Citrix.
Cada dispositivo puede tener solo un perfil de Android Enterprise, administrado por una aplicación de administración de movilidad empresarial (EMM). En XenMobile, Secure Hub es la aplicación EMM. Solo se permite un perfil por dispositivo. Intentar agregar una segunda aplicación EMM quita la primera aplicación EMM.
Datos transferidos mediante NFC bump
El aprovisionamiento de un dispositivo restablecido de fábrica requiere que envíes los siguientes datos mediante un NFC bump para inicializar Android Enterprise:
- Nombre del paquete de la aplicación del proveedor de EMM que actúa como propietario del dispositivo (en este caso, Secure Hub).
- Ubicación de intranet/internet desde la que el dispositivo puede descargar la aplicación del proveedor de EMM.
- Hash SHA1 de la aplicación del proveedor de EMM para verificar si la descarga se realizó correctamente.
- Detalles de la conexión Wi-Fi para que un dispositivo restablecido de fábrica pueda conectarse y descargar la aplicación del proveedor de EMM. Nota: Android ya no es compatible con Wi-Fi 802.1x para este paso.
- Zona horaria del dispositivo (opcional).
- Ubicación geográfica del dispositivo (opcional).
Cuando los dos dispositivos se “golpean” (bump), los datos de la herramienta de aprovisionamiento se envían al dispositivo restablecido de fábrica. Esos datos se utilizan luego para descargar Secure Hub con la configuración de administrador. Si no introduces los valores de zona horaria y ubicación, Android configura automáticamente los valores en el nuevo dispositivo.
Configurar la herramienta de aprovisionamiento de XenMobile
Antes de realizar un NFC bump, debes configurar la herramienta de aprovisionamiento. Esta configuración se transfiere luego al dispositivo restablecido de fábrica durante el NFC bump.
Puedes introducir datos en los campos obligatorios o rellenarlos a través de un archivo de texto. Los pasos del siguiente procedimiento describen cómo configurar el archivo de texto y contienen descripciones para cada campo. La aplicación no guarda la información después de que la introduces, por lo que es posible que quieras crear un archivo de texto para guardar la información para uso futuro.
Para configurar la herramienta de aprovisionamiento mediante un archivo de texto
Nombra el archivo nfcprovisioning.txt y colócalo en la carpeta /sdcard/ de la tarjeta SD del dispositivo. La aplicación podrá leer el archivo de texto y rellenar los valores.
El archivo de texto debe contener los siguientes datos:
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=<download_location>
Esta línea es la ubicación de intranet/internet de la aplicación del proveedor de EMM. Después de que el dispositivo restablecido de fábrica se conecte a la red Wi-Fi tras el NFC bump, el dispositivo debe tener acceso a esta ubicación para la descarga. La URL es una URL normal, sin necesidad de formato especial.
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=<SHA1 hash>
Esta línea es la suma de comprobación de la aplicación del proveedor de EMM. Esta suma de comprobación se utiliza para verificar que la descarga se realizó correctamente. Los pasos para obtener la suma de comprobación se explican más adelante en este artículo.
android.app.extra.PROVISIONING_WIFI_SSID=<wifi ssid>
Esta línea es el SSID de la red Wi-Fi conectada del dispositivo en el que se ejecuta la herramienta de aprovisionamiento.
android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=<wifi security type>
Los valores admitidos son WEP y WPA2. Si la red Wi-Fi no está protegida, este campo debe estar vacío.
android.app.extra.PROVISIONING_WIFI_PASSWORD=<wifi password>
Si la red Wi-Fi no está protegida, este campo debe estar vacío.
android.app.extra.PROVISIONING_LOCALE=<locale>
Introduce los códigos de idioma y país. Los códigos de idioma son códigos ISO de dos letras en minúscula (como en) definidos por ISO 639-1. Los códigos de país son códigos ISO de dos letras en mayúscula (como US) definidos por ISO 3166-1. Por ejemplo, escribe en_US para el inglés hablado en Estados Unidos. Si no escribes ningún código, el país y el idioma se rellenan automáticamente.
android.app.extra.PROVISIONING_TIME_ZONE=<timezone>
La zona horaria en la que se ejecuta el dispositivo. Escribe un nombre de Olson con el formato área/ubicación. Por ejemplo, America/Los_Angeles para la hora del Pacífico. Si no introduces un nombre, la zona horaria se rellena automáticamente.
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME=<package name>
Estos datos no son obligatorios, porque el valor está codificado en la aplicación como Secure Hub. Se menciona aquí solo por completitud.
Si hay una red Wi-Fi protegida con WPA2, un archivo nfcprovisioning.txt completado podría tener el siguiente aspecto:
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d
android.app.extra.PROVISIONING_WIFI_SSID=Protected_WiFi_Name
android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=WPA2
android.app.extra.PROVISIONING_WIFI_PASSWORD=wifiPasswordHere
android.app.extra.PROVISIONING_LOCALE=en_US
android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles
Si hay una red Wi-Fi desprotegida, un archivo nfcprovisioning.txt completado podría tener el siguiente aspecto:
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d
android.app.extra.PROVISIONING_WIFI_SSID=Unprotected_WiFi_Name
android.app.extra.PROVISIONING_LOCALE=en_US
android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles
Para obtener la suma de comprobación de Secure Hub
Para obtener la suma de comprobación de cualquier aplicación, agrega la aplicación como una aplicación empresarial.
-
En la consola de XenMobile, ve a Configurar > Aplicaciones y luego haz clic en Agregar.
Aparece la ventana Agregar aplicaciones.
-
Haz clic en Empresa.
Se muestra la página Información de la aplicación.
-
Selecciona la siguiente configuración y luego haz clic en Siguiente.
Aparece la página Aplicación empresarial de Android Enterprise.
-
Proporciona la ruta al archivo .apk y luego haz clic en Siguiente para cargar el archivo.
Una vez completada la carga, aparecen los detalles del paquete cargado.
-
Haz clic en Siguiente para abrir la página de descarga del archivo JSON, que luego usarás para cargar en Google Play. Para Secure Hub, la carga a Google Play no es obligatoria, pero necesitas el archivo JSON para leer el valor SHA1 de este.
Un archivo JSON típico tiene el siguiente aspecto:
-
Copia el valor file_sha1_base64 y úsalo en el campo Hash de la herramienta de aprovisionamiento.
Nota:
El hash debe ser seguro para URL.
- Convierte cualquier símbolo + en -
- Convierte cualquier símbolo / en _
- Reemplaza el \u003d final por =
Si almacenas el hash en el archivo nfcprovisioning.txt de la tarjeta SD del dispositivo, la aplicación realiza la conversión de seguridad. Sin embargo, si decides introducir el hash manualmente, es tu responsabilidad asegurarte de que sea seguro para URL.
Bibliotecas utilizadas
La herramienta de aprovisionamiento utiliza las siguientes bibliotecas en su código fuente:
-
v7 appcompat library, Design support library y v7 Palette library de Google bajo licencia Apache 2.0
Para obtener información, consulta la Guía de funciones de la biblioteca de soporte.
-
Butter Knife de Jake Wharton bajo licencia Apache 2.0
Aprovisionar un dispositivo con perfil de trabajo en Android Enterprise
En los dispositivos con perfil de trabajo en Android Enterprise, separas de forma segura las áreas corporativas y personales en un dispositivo. Por ejemplo, los dispositivos BYOD pueden ser dispositivos con perfil de trabajo. La experiencia de inscripción para dispositivos con perfil de trabajo es similar a la inscripción de Android en XenMobile. Los usuarios descargan Secure Hub de Google Play e inscriben sus dispositivos.
De forma predeterminada, la configuración de USB Debugging y Unknown Sources está deshabilitada en un dispositivo cuando se inscribe en Android Enterprise como un dispositivo con perfil de trabajo.
Consejo:
Al inscribir dispositivos en Android Enterprise como dispositivos con perfil de trabajo, ve siempre a Google Play. Desde allí, habilita Secure Hub para que aparezca en el perfil personal del usuario.
En este artículo
- Crear una cuenta de Android Enterprise
- Configurar una cuenta de servicio de Android Enterprise y descargar un certificado de Android Enterprise
- Enlace a EMM
- Importar el certificado P12
- Configurar los ajustes del servidor de Android Enterprise
- Habilitar el inicio de sesión único basado en SAML
- Configurar una directiva de dispositivo de Android Enterprise
- Configurar los ajustes de la cuenta de Android Enterprise
- Configurar el acceso de socio de Google Workspace para XenMobile
- Inscripción de dispositivos Android Enterprise
- Anular la inscripción de una empresa de Android Enterprise
- Aprovisionamiento de dispositivos totalmente administrados en Android Enterprise
- Aprovisionar un dispositivo con perfil de trabajo en Android Enterprise