安卓企业版

Last published : Oct 21, 2026
Android Enterprise 是 Google 提供的一套工具和服务，作为 Android 设备的企业管理解决方案。借助 Android Enterprise，您可以：
  • 使用 Citrix Endpoint Management 管理公司拥有的和自带设备 (BYOD) 的 Android 设备。
  • 您可以管理整个设备或设备上的独立配置文件。独立配置文件将业务帐户、应用程序和数据与个人帐户、应用程序和数据隔离开来。
  • 您还可以管理专用于单一用途的设备，例如库存管理。有关 Google 提供的 Android Enterprise 功能概述，请参阅 Android Enterprise Management。
资源：
  • 有关 Android Enterprise 相关术语和定义的列表，请参阅 Google Android Enterprise 开发者指南文章 Android Enterprise terminology。Google 会频繁更新这些术语。
  • 有关 Citrix Endpoint Management 支持的 Android 操作系统列表，请参阅 Supported device operating systems。
  • 有关为 Android Enterprise 设置网络环境时要考虑的出站连接的信息，请参阅 Google 支持文章 Android Enterprise Network Requirements。
  • 有关部署 Android Enterprise 的信息，请参阅 Deploy resources)。
Related information
设备管理

安卓企业版入门

重要提示：
不再支持设备管理模式。如果您的用户设备处于设备管理模式，请参阅 Migrate from device administration to Android Enterprise。将设备迁移到 Android Enterprise 后，请按照以下步骤设置 Android Enterprise 设备。
入门路径

一次性设置

  1. 创建托管 Google Play 帐户。
    请参阅 (#using-managed-google-play-with-citrix-endpoint-management) 和 (#requirements)。
  2. 将您的 Google Play 帐户绑定到 Citrix Endpoint Management。
    请参阅 (#connecting-citrix-endpoint-management-to-google-play)。
  3. 规划如何管理设备。
    请参阅 (#device-deployment-scenarios-and-profiles)。
  4. 规划用户设备的注册安全性。
    请参阅 (#enrollment-security)。
  5. 准备交付启用 MDX 的应用程序。
    使用 MAM SDK 开发应用程序。或者，如果您尚未准备好过渡到新的 SDK，请使用基于命令行的 MDX Toolkit 来封装应用程序。
    请参阅 (/zh-cn/mdx-toolkit/mam-sdk-overview.html)。
至此，您已准备好配置您的 Android Enterprise 设备以及应用程序和设备策略、注册配置文件和应用程序。有关指导，请参阅以下部分。

配置设备

  1. 创建交付组。
    控制谁在何时获得哪些资源。请参阅 (/zh-cn/citrix-endpoint-management/deploy-resources.html)。
    我们停止向注册到 Android Enterprise 的设备交付为旧版 DA 平台发布的应用程序。对于 Android Enterprise 设备，请为 Android Enterprise 平台发布应用程序。要继续向 DA 模式下的设备发布旧版 DA 应用程序，请为这些应用程序创建单独的交付组。请参阅 (/zh-cn/citrix-endpoint-management/whats-new/removed-features.html)。
  2. 添加应用程序。您可以直接从 Citrix Endpoint Management 控制台批准 Google Play 中的应用程序。
    请参阅 Google 支持文章，管理组织中的应用程序。
  3. 创建注册配置文件。
    指定设备和应用程序管理注册选项。请参阅设备部署方案和配置文件和创建注册配置文件。
    • 当您将 Android Enterprise 公共应用商店应用程序部署到 Android 设备用户时，该用户将自动注册到 Android Enterprise。
    • 零接触注册允许您配置设备，使其在首次开机时自动注册。请参阅零接触注册。
  4. 配置设备和应用程序策略。
    平衡企业安全性与用户隐私和用户体验。请参阅配置 Android Enterprise 设备和应用程序策略。
  5. 分发应用程序。
    您可以使用托管 Google Play 添加、购买和批准应用程序，以便部署到设备上的 Android Enterprise 工作区。用户只能从您为其提供的托管 Google Play 安装应用程序。
    请参阅：
  6. 配置安全操作以监控并提供合规性。
    请参阅 安全操作。

将托管 Google Play 与 Citrix Endpoint Management 结合使用

当您将 Citrix Endpoint Management 与托管 Google Play 集成以使用 Android Enterprise 时，您将创建一个企业。Google 将企业定义为组织与您的企业移动管理 (EMM) 解决方案之间的绑定。组织通过您的解决方案管理的所有用户和设备都属于其企业。
Android Enterprise 的企业有三个组件：EMM 解决方案、设备策略控制器 (DPC) 应用程序和 Google 企业应用程序平台。当您将 Citrix Endpoint Management 与 Android Enterprise 集成时，完整的解决方案包含以下组件：
  • Citrix Endpoint Management： Citrix EMM。Citrix Endpoint Management 是用于安全数字工作区的统一 Citrix Endpoint Management。Citrix Endpoint Management 为 IT 管理员提供了为其组织管理设备和应用程序的方法。
  • Citrix Secure Hub： Citrix DPC 应用程序。Citrix Secure Hub 是 Citrix Endpoint Management 的启动板。Citrix Secure Hub 在设备上强制执行策略。
  • 托管 Google Play： 一个与 Citrix Endpoint Management 集成的 Google 企业应用程序平台。Google Play EMM API 设置应用程序策略并分发应用程序。
此图说明了管理员如何与这些组件交互以及这些组件之间如何交互：
Android Enterprise 工作流
注意：
您可以使用托管 Google Play 或 Google Workspace（以前称为 G Suite）将 Citrix 注册为您的 EMM 提供商。本文讨论了将 Android Enterprise 与托管 Google Play 结合使用。如果您的组织使用 Google Workspace 提供对应用程序的访问，则可以将其与 Android Enterprise 结合使用。请参阅 适用于 Google Workspace 客户的旧版 Android Enterprise。
当您使用托管 Google Play 时，请为设备和最终用户预配托管 Google Play 帐户。托管 Google Play 帐户提供对托管 Google Play 的访问权限，允许用户安装和使用您提供的应用程序。如果您的组织使用第三方身份服务，则可以将托管 Google Play 帐户与现有身份帐户关联。
由于此类企业不与域绑定，因此您可以为一个组织创建多个企业。例如，组织内的每个部门或区域都可以注册为不同的企业。使用不同的企业可以管理不同的设备和应用程序集。
对于 Citrix Endpoint Management 管理员而言，托管 Google Play 将 Google Play 的用户体验和应用程序商店功能与一套专为企业设计的管理功能相结合。您可以使用托管 Google Play 添加、购买和批准应用程序，以便部署到设备上的 Android Enterprise 工作区。您可以使用 Google Play 部署公共应用程序、私人应用程序和第三方应用程序。
对于托管设备的用户而言，托管 Google Play 是企业应用程序商店。用户可以浏览应用程序、查看应用程序详细信息并安装它们。与公共版 Google Play 不同，用户只能从您为其提供的托管 Google Play 中安装应用程序。

设备部署方案和配置文件

设备部署场景指的是您部署的设备归谁所有以及如何管理它们。设备配置文件指的是 DPC 如何在设备上管理和实施策略。
工作配置文件将业务帐户、应用程序和数据与个人帐户、应用程序和数据隔离开来。工作配置文件和个人配置文件在操作系统级别是分开的。有关工作配置文件的更多详细信息，请参阅 什么是工作配置文件。
重要提示：
当 Android Enterprise 设备更新到 Android 11 时，Google 会将作为“完全托管且带有工作配置文件”管理的设备迁移到新的安全增强型工作配置文件体验。新的注册模式称为“公司拥有设备上的工作配置文件”。有关详细信息，请参阅 Android Enterprise 完全托管且带有工作配置文件的未来变化。 对于 Android 12 设备，请参阅 工作配置文件的安全和隐私增强功能。
设备管理 用例 工作配置文件 个人配置文件 备注
公司拥有的设备（完全托管） 仅用于工作用途的公司拥有的设备 否 否 仅适用于新设备或恢复出厂设置的设备。请参阅 预配 Android Enterprise 完全托管设备。
完全托管且带有工作配置文件 / 公司拥有设备上的工作配置文件 适用于工作和个人用途的公司拥有的设备 是 是。这些设备上运行着两个 DPC 副本：一个以设备所有者模式管理设备，另一个以配置文件所有者模式管理工作配置文件。您可以对设备和工作配置文件应用单独的策略。 请参阅 预配带有工作配置文件或公司拥有设备上的工作配置文件的 Android Enterprise 完全托管设备。
专用设备* 公司拥有的设备，配置用于单一用例，例如数字标牌或票据打印 否 否 请参阅 预配专用 Android Enterprise 设备。
BYOD 工作配置文件** 通过工作配置文件管理注册的个人设备（也称为配置文件所有者模式） 是 是。DPC 仅管理工作配置文件，而不管理整个设备。 这些设备无需是新设备或恢复出厂设置。请参阅 预配 Android Enterprise 工作配置文件设备。
* 用户可以共享专用设备。当用户登录专用设备上的应用程序时，其工作状态与应用程序相关，而非设备本身。
** Citrix Endpoint Management 不支持 BYOD 工作配置文件模式下的 Zebra 设备。Citrix Endpoint Management 支持将 Zebra 设备作为使用 Android Enterprise 的完全托管设备。

注册安全性

注册配置文件决定 Android 设备是注册到 MAM、MDM 还是 MDM+MAM，并为用户提供了选择退出 MDM 的选项。
有关指定安全级别和所需注册步骤的信息，请参阅 用户帐户、角色和注册。
Citrix Endpoint Management 支持以下适用于注册到 MDM 或 MDM+MAM 的 Android 设备的身份验证方法。有关详细信息，请参阅以下文章：
  • 域或域加安全令牌身份验证
  • 客户端证书或证书加域身份验证
  • 身份提供程序：
    • 通过 Citrix Cloud 使用 Azure Active Directory 进行身份验证(/zh-cn/citrix-endpoint-management/authentication/authentication-with-azure-active-directory-through-citrix-cloud.html) (预览版)
    • 通过 Citrix Cloud 使用 Okta 进行身份验证(/zh-cn/citrix-endpoint-management/authentication/authentication-with-okta-through-citrix-cloud.html) (预览版)
一种不常用的身份验证方法是客户端证书加安全令牌。有关详细信息，请参阅 <https://support.citrix.com/article/CTX215200>。

要求

开始使用 Android Enterprise 之前，您需要：
  • 帐户和凭据：
    • 要使用托管 Google Play 设置 Android Enterprise，需要一个企业 Google 帐户
    • 要下载最新的 MDX 文件，需要一个 Citrix® 客户帐户
  • 已为 Citrix Endpoint Management 配置的 Firebase Cloud Messaging (FCM) 和连接计划设备策略。请参阅 (/zh-cn/citrix-endpoint-management/device-management/android/firebase-cloud-messaging.html) 和 (/zh-cn/citrix-endpoint-management/policies/connection-scheduling-policy.html)。

将 Citrix Endpoint Management 连接到 Google Play 商店

要为您的组织设置 Android Enterprise，请通过托管 Google Play 将 Citrix 注册为您的 EMM 提供商。此设置会将托管 Google Play 连接到 Citrix Endpoint Management，并在 Citrix Endpoint Management 中为 Android Enterprise 创建一个企业。
您需要一个企业 Google 帐户才能登录 Google Play。
  1. 在 Citrix Endpoint Management 控制台中，转到 设置 > Android Enterprise。
  2. 单击 Connect。Google Play 将打开。
Android 企业版连接到 Google Play 商店
  1. 使用您的企业 Google 帐户凭据登录 Google Play。输入您的组织名称并确认 Citrix 是您的 EMM 提供商。
  2. 已为 Android Enterprise 添加企业 ID。要启用 Android Enterprise，请将 Enable Android Enterprise 滑动到 Yes。
    启用 Android Enterprise 选项
您的企业 ID 将显示在 Citrix Endpoint Management 控制台中。
安卓企业版标识符
您的环境已连接到 Google，并已准备好管理设备。您现在可以为用户提供应用程序。
Citrix Endpoint Management 可以为用户提供 Citrix 移动生产力应用程序、MDX 应用程序、公共应用商店应用程序、Web 和 SaaS 应用程序、企业应用程序以及 Web 链接。有关向用户提供这些类型应用程序的更多信息，请参阅分发 Android Enterprise 应用程序。
以下部分介绍了如何提供移动生产力应用程序。

向 Android Enterprise 用户提供 Citrix 移动生产力应用程序

向 Android Enterprise 用户提供 Citrix 移动生产力应用程序需要执行以下步骤。
  1. 将应用程序发布为 MDX 应用程序。请参阅将应用程序配置为 MDX 应用程序。
  2. 配置用户用于访问其设备上工作配置文件的安全质询规则。请参阅配置安全质询策略。
您发布的应用程序可供已注册到您的 Android Enterprise 企业的设备使用。
注意：
当您向 Android 用户部署 Android Enterprise 公共应用商店应用程序时，该用户将自动注册到 Android Enterprise。

将应用程序配置为 MDX 应用程序

要将 Citrix 生产力应用程序配置为 Android Enterprise 的 MDX 应用程序，请执行以下操作：
  1. 在 Citrix Endpoint Management 控制台中，单击 配置 > 应用程序。将显示 应用程序 页面。
    应用程序配置屏幕(/en-us/citrix-endpoint-management/media/configure-apps-example-list.png)
  2. 单击 添加。将显示 添加应用程序 对话框。
    应用程序配置屏幕(/en-us/citrix-endpoint-management/media/configure-apps-add.png)
  3. 单击 MDX。将显示 应用程序信息 页面。
  4. 在页面的左侧，选择 Android Enterprise 作为平台。
  5. 在 应用程序信息 页面上，键入以下信息：
    • 名称： 键入应用程序的描述性名称。此名称将显示在 应用程序 表的 应用程序名称 下。
    • 说明： 键入应用程序的可选说明。
    • 应用程序类别： （可选）在列表中，单击要添加应用程序的类别。有关应用程序类别的详细信息，请参阅 关于应用程序类别。
  6. 单击 下一步。将显示 Android Enterprise MDX 应用程序 页面。
  7. 单击 上载 并导航到应用程序 .mdx 文件的文件位置。选择文件，然后单击 打开。
  8. 如果附加的应用程序需要托管 Google Play 商店的批准，UI 会通知您。要在不离开 Citrix Endpoint Management 控制台的情况下批准应用程序，请单击 是。
    添加 MDX 应用程序(/en-us/citrix-endpoint-management/media/mdx-app-not-approved.png)
  9. 当托管 Google Play 商店页面打开时，单击 批准。
    批准 MDX 应用程序
  10. 再次单击批准。
  11. 选择当应用程序请求新权限时保持批准。单击保存。
    Google Play 批准设置
  12. 应用程序获得批准并保存后，页面上将显示更多设置。配置这些设置：
    • **文件名：**键入与应用程序关联的文件名。
    • **应用程序描述：**键入应用程序的描述。
    • **产品跟踪：**指定要推送到用户设备的产品跟踪。如果您有专为测试设计的跟踪，则可以选择并将其分配给用户。默认值为“生产”。
    • 应用程序版本：（可选）键入应用程序版本号。
    • **程序包 ID：**Google Play 商店中应用程序的 URL。
    • 最低操作系统版本：（可选）键入设备可运行的、用于使用此应用程序的最旧操作系统版本。
    • 最高操作系统版本：（可选）键入设备必须运行的、用于使用此应用程序的最新操作系统版本。
    • 排除的设备：（可选）键入无法运行此应用程序的设备的制造商或型号。
  13. 配置 MDX 策略。有关 MDX 应用程序的应用程序策略的详细信息，请参阅MDX 策略概述和MAM SDK 概述。
  14. 配置部署规则。有关信息，请参阅部署资源。
  15. 展开应用商店配置。此设置不适用于 Android Enterprise 应用程序，这些应用程序仅显示在托管 Google Play 中。
    应用程序配置屏幕
    您可以选择为应用程序添加常见问题解答或在应用商店中显示的屏幕截图。您还可以设置用户是否可以对应用程序进行评分或评论。
    • 配置以下设置：
      • 应用程序常见问题解答： 为应用程序添加常见问题和答案。
      • 应用程序屏幕截图： 添加屏幕截图以帮助在应用商店中对应用程序进行分类。您上传的图形必须是 PNG 格式。您不能上传 GIF 或 JPEG 图像。
      • 允许应用程序评分： 选择是否允许用户对应用程序进行评分。默认值为开。 允许应用程序评论： 选择是否允许用户评论所选应用程序。默认值为开。
  16. 单击下一步。此时将显示批准页面。
    应用程序配置屏幕
    在创建用户帐户时需要批准时，您可以使用工作流。如果您不想设置批准工作流，可以跳到步骤 15。
    配置以下设置以分配或创建工作流：
    • 要使用的工作流： 单击下拉列表中的现有工作流，或单击创建新工作流。默认值为无。
    • 如果选择创建新工作流，请配置以下设置。有关详细信息，请参阅创建和管理工作流。
    • 名称： 键入工作流的唯一名称。
    • 描述： （可选）键入工作流的描述。
    • 电子邮件审批模板： 在列表中，选择要分配的电子邮件审批模板。当您单击此字段右侧的眼睛图标时，将出现一个对话框，您可以在其中预览模板。
    • 经理审批级别： 在列表中，选择此工作流所需的经理审批级别数。默认值为 1 级。可能的选项包括：
      • 不需要
      • 1 级
      • 2 级
      • 3 级
    • 选择 Active Directory 域： 在列表中，选择要用于工作流的相应 Active Directory 域。
    • 查找其他必需的审批者： 在搜索字段中键入其他必需人员的姓名，然后单击“搜索”。姓名源自 Active Directory。
    • 当姓名出现在字段中时，选中姓名旁边的复选框。姓名和电子邮件地址将显示在“选定的其他必需审批者”列表中。
      • 要从“选定的其他必需审批者”列表中删除人员，请执行以下操作之一：
        • 单击“搜索”以查看所选域中所有人员的列表。
        • 在搜索框中键入完整或部分姓名，然后单击“搜索”以限制搜索结果。
        • “选定的其他必需审批者”列表中的人员在搜索结果列表中其姓名旁边带有复选标记。滚动列表并清除要删除的每个姓名旁边的复选框。
  17. 单击“下一步”。此时将显示“交付组分配”页面。
    应用程序配置屏幕
  18. 在“选择交付组”旁边，键入以查找交付组，或从列表中选择一个或多个组。您选择的组将显示在“接收应用程序分配的交付组”列表中。
  19. 展开“部署计划”，然后配置以下设置：
    • 在“部署”旁边，单击“开”以安排部署，或单击“关”以阻止部署。默认选项设置为“开”。
    • 在“部署计划”旁边，单击“立即”或“稍后”。默认选项设置为“立即”。
    • 如果单击“稍后”，请单击日历图标，然后选择部署的日期和时间。
    • 在“部署条件”旁边，单击“每次连接时”或单击“仅当以前的部署失败时”。默认选项设置为“每次连接时”。
    • 在“为始终在线连接部署”旁边，确保选中“关”。默认选项设置为“关”。对于从版本 10.18.19 或更高版本开始使用 Citrix Endpoint Management 的客户，Android Enterprise 不提供始终在线连接。对于在版本 10.18.19 之前开始使用 Citrix Endpoint Management 的客户，我们不建议使用这些连接。
      当您在“设置 > 服务器属性”中配置了计划后台部署密钥时，此选项适用。
      您配置的部署计划对所有平台都相同。您所做的任何更改都适用于所有平台，但“为始终在线连接部署”除外。
  20. 点击 保存。
对每个移动生产力应用程序重复这些步骤。

配置安全质询策略

Citrix Endpoint Management 密码设备策略配置安全质询规则。当用户访问其设备或设备上的 Android Enterprise 工作配置文件时，会出现质询。安全质询可以是密码或生物识别。有关密码策略的详细信息，请参阅密码设备策略。
  • 如果您的 Android Enterprise 部署包含 BYOD 设备，请为工作配置文件配置密码策略。
  • 如果您的部署包含公司拥有的完全托管设备，请为设备本身配置密码策略。
  • 如果您的部署包含这两种类型的设备，请配置这两种类型的密码策略。
要配置密码策略：
  1. 在 Citrix Endpoint Management 控制台中，转至 配置 > 设备策略。
  2. 单击 添加。
  3. 单击 Show filter 以显示 Policy Platform 窗格。在 Policy Platform 窗格中，选择 Android Enterprise。
  4. 在右侧窗格中单击 Passcode。
密码安全选项(/en-us/citrix-endpoint-management/media/password-security-policy.png)
  1. 输入 Policy Name。单击 Next。
    密码安全名称(/en-us/citrix-endpoint-management/media/password-security-name.png)
  2. 配置密码策略设置。
    • 将 Device passcode required 设置为 On 以查看设备本身的安全质询可用设置。
    • 将 Work profile security challenge 设置为 On 以查看工作配置文件安全质询的可用设置。
  3. 单击“下一步”。
  4. 将策略分配给一个或多个交付组。
  5. 点击 保存。

创建注册配置文件

如果为您的 Citrix Endpoint Management 部署启用了 Android Enterprise，注册配置文件将控制 Android 设备的注册方式。当您创建注册配置文件以注册 Android Enterprise 设备时，您可以将注册配置文件配置为注册新的和恢复出厂设置的设备，如下所示：
  • 完全托管设备
  • 专用设备
  • 具有工作资料的完全托管设备/公司自有设备上的工作资料
您还可以配置每个 Android Enterprise 注册配置文件，以将 BYOD Android 设备注册为工作资料设备。
如果您的 Citrix Endpoint Management 部署启用了 Android Enterprise，所有新注册或重新注册的 Android 设备都将注册为 Android Enterprise 设备。默认情况下，全局注册配置文件会将新的和恢复出厂设置的 Android 设备注册为完全托管设备，并将 BYOD Android 设备注册为公司自有设备上的工作资料。
创建注册配置文件时，您需要为其分配交付组。如果用户属于具有不同注册配置文件的多个交付组，交付组的名称将决定所使用的注册配置文件。Citrix Endpoint Management 会选择按字母顺序排列的交付组列表中最后一个出现的交付组。有关详细信息，请参阅注册配置文件。

添加用于完全托管设备的注册配置文件

全局注册配置文件默认注册完全托管设备，但您可以创建更多注册配置文件来注册完全托管设备。
  1. 在 Citrix Endpoint Management 控制台中，转至 配置 > 注册配置文件。
  2. 要添加注册配置文件，请单击 Add。在“注册信息”页面上，键入注册配置文件的名称。
  3. 设置具有此配置文件的成员可以注册的设备数量。
  4. 在 Platforms 下选择 Android 或单击 Next。“注册配置”页面随即显示。
  5. 将 管理 设置为 Android Enterprise。
  6. 将 设备所有者模式 设置为 公司拥有的设备。
    注册配置文件配置屏幕
  7. BYOD work profile 允许您配置注册配置文件以将 BYOD 设备注册为工作资料设备。新设备和恢复出厂设置的设备将注册为完全托管设备。将 BYOD work profile 设置为 On 以允许将 BYOD 设备注册为工作资料设备。将 BYOD work profile 设置为 Off 以将注册限制为完全托管设备。默认值为 On。
  8. 选择是否在 Citrix MAM 中注册设备。
  9. 如果您将BYOD 工作配置文件设置为开，请配置用户同意。要允许 BYOD 工作配置文件设备的用户在注册设备时拒绝设备管理，请将允许用户拒绝设备管理设置为开。
    如果BYOD 工作配置文件设置为开，则允许用户拒绝设备管理的默认值为开。如果BYOD 工作配置文件设置为关，则允许用户拒绝设备管理将被禁用。
  10. 选择分配（选项）。此时将显示“交付组分配”屏幕。
  11. 选择包含注册完全托管设备的管理员的交付组。然后单击保存。
    此时将显示“注册配置文件”页面，其中包含您添加的配置文件。

添加专用设备注册配置文件

当您的 Citrix Endpoint Management 部署包含专用设备时，单个 Citrix Endpoint Management 管理员或一小组管理员会注册许多专用设备。为确保这些管理员可以注册所有必需的设备，请为他们创建注册配置文件，并允许每个用户注册无限数量的设备。
  1. 在 Citrix Endpoint Management 控制台中，转至配置 > 注册配置文件。
  2. 要添加注册配置文件，请单击添加。在“注册信息”页面中，键入注册配置文件的名称。将此配置文件成员可以注册的设备数量设置为无限制。
  3. 在平台下选择Android，或单击下一步。此时将显示“注册配置”页面。
  4. 将管理设置为Android Enterprise。
  5. 将设备所有者模式设置为专用设备。
    注册配置文件页面
  6. BYOD 工作配置文件允许您配置注册配置文件，以将 BYOD 设备注册为工作配置文件设备。新设备和恢复出厂设置的设备将注册为专用设备。将BYOD 工作配置文件设置为开以允许将 BYOD 设备注册为工作配置文件设备。将BYOD 工作配置文件设置为关以限制仅注册公司拥有的设备。默认值为开。
  7. 选择是否在 Citrix MAM 中注册设备。
  8. 如果将 BYOD 工作配置文件 设置为 开，请配置用户同意。要允许 BYOD 工作配置文件设备的用户在注册设备时拒绝设备管理，请将 允许用户拒绝设备管理 设置为 开。
    如果 BYOD 工作配置文件 设置为 开，则 允许用户拒绝设备管理 的默认值为 开。如果 BYOD 工作配置文件 设置为 关，则 允许用户拒绝设备管理 将被禁用。
  9. 选择 分配（选项）。此时将显示“交付组分配”屏幕。
  10. 选择包含注册专用设备的管理员的交付组。然后单击 保存。
    此时将显示“注册配置文件”页面以及您添加的配置文件。

为具有工作配置文件/公司拥有设备上的工作配置文件的完全托管设备添加注册配置文件

  1. 在 Citrix Endpoint Management 控制台中，转至 配置 > 注册配置文件。
  2. 要添加注册配置文件，请单击 添加。在“注册信息”页面中，键入注册配置文件的名称。
  3. 设置具有此配置文件的成员可以注册的设备数量。
  4. 在 平台 下选择 Android 或单击 下一步。此时将显示“注册配置”页面。
  5. 将 管理 设置为 Android Enterprise。将 设备所有者模式 设置为 具有工作配置文件的完全托管 / 公司拥有设备上的工作配置文件。
    注册配置文件配置屏幕
  6. BYOD 工作配置文件 允许您配置注册配置文件，以将 BYOD 设备注册为工作配置文件设备。新设备和恢复出厂设置的设备将注册为具有工作配置文件的完全托管设备。将 BYOD 工作配置文件 设置为 开 以允许将 BYOD 设备注册为工作配置文件设备。将 BYOD 工作配置文件 设置为 关 以将注册限制为专用设备。默认值为 关。
  7. 选择是否在 Citrix MAM 中注册设备。
  8. 如果将 BYOD 工作配置文件 设置为 开，请配置用户同意。要允许 BYOD 工作配置文件设备的用户在注册设备时拒绝设备管理，请将 允许用户拒绝设备管理 设置为 开。
    如果BYOD 工作配置文件设置为开，则允许用户拒绝设备管理的默认值为开。如果BYOD 工作配置文件设置为关，则允许用户拒绝设备管理处于禁用状态。
  9. 选择分配（选项）。此时将显示“交付组分配”屏幕。
  10. 选择具有使用工作配置文件注册完全托管设备的管理员的交付组或交付组。然后单击保存。
    此时将显示“注册配置文件”页面以及您添加的配置文件。

为旧版设备添加注册配置文件

Google 已弃用设备管理的设备管理员模式。Google 鼓励客户以设备所有者模式或配置文件所有者模式管理所有 Android 设备。（请参阅 Google Android Enterprise 开发人员指南中的设备管理员弃用。）
为支持此更改：
  • Citrix 将 Android Enterprise 设为 Android 设备的默认注册选项。
  • 如果您的 Citrix Endpoint Management 部署启用了 Android Enterprise，则所有新注册或重新注册的 Android 设备都将注册为 Android Enterprise 设备。
您的组织可能尚未准备好开始使用 Android Enterprise 管理旧版 Android 设备。在这种情况下，您可以继续以设备管理员模式管理它们。对于已在设备管理员模式下注册的设备，Citrix Endpoint Management 将继续以设备管理员模式管理它们。
为旧版设备创建注册配置文件，以允许新的 Android 设备注册使用设备管理员模式。
要为旧版设备创建注册配置文件，请执行以下操作：
  1. 在 Citrix Endpoint Management 控制台中，转至配置 > 注册配置文件。
  2. 要添加注册配置文件，请单击添加。在“注册信息”页面中，键入注册配置文件的名称。
  3. 设置具有此配置文件的成员可以注册的设备数量。
  4. 在 平台 下选择 Android 或点击 下一步。将显示“注册配置”页面。
  5. 将 管理 设置为 旧版设备管理（不推荐）。点击 下一步。
    注册配置文件配置屏幕
  6. 选择是否在 Citrix MAM 中注册设备。
  7. 要允许用户在注册设备时拒绝设备管理，请将 允许用户拒绝设备管理 设置为 开。默认值为 开。
  8. 选择 分配（选项）。将显示“交付组分配”屏幕。
  9. 选择包含注册专用设备的管理员的交付组或多个交付组。然后点击 保存。
将显示“注册配置文件”页面，其中包含您添加的配置文件。
要继续在设备管理员模式下管理旧版设备，请使用此配置文件注册或重新注册它们。您可以通过让用户下载 Citrix Secure Hub 并提供注册服务器 URL 来注册设备管理员设备，这与工作配置文件设备类似。

预配 Android Enterprise 工作配置文件设备

Android Enterprise 工作配置文件设备以配置文件所有者模式注册。这些设备无需是新设备或恢复出厂设置的设备。BYOD 设备注册为工作配置文件设备。注册体验类似于 Citrix Endpoint Management 中的 Android 注册。用户从 Google Play 下载 Citrix Secure Hub 并注册其设备。
默认情况下，当您将设备作为工作配置文件设备注册到 Android Enterprise 时，设备上的 USB 调试和未知来源 设置将被禁用。
将设备作为工作配置文件设备注册到 Android Enterprise 时，请始终前往 Google Play。从那里，启用 Citrix Secure Hub 以显示在用户的个人配置文件中。

预配 Android Enterprise 完全托管设备

您可以在前面部分设置的部署中注册完全托管设备。完全托管设备是公司拥有的设备，并以设备所有者模式注册。只有新设备或恢复出厂设置的设备才能以设备所有者模式注册。
您可以使用以下任一注册方法在设备所有者模式下注册设备：
  • DPC 标识符令牌： 使用此注册方法时，用户在设置设备时输入字符 afw#xenmobile。afw#xenmobile 是 Citrix DPC 标识符令牌。此令牌将设备标识为由 Citrix Endpoint Management 管理，并从 Google Play 商店下载 Citrix Secure Hub。请参阅使用 Citrix DPC 标识符令牌注册设备。
  • 近场通信 (NFC) 碰撞： NFC 碰撞注册方法使用近场通信在两台设备之间传输数据。在新设备或恢复出厂设置的设备上，蓝牙、Wi-Fi 和其他通信模式均已禁用。NFC 是设备在此状态下可以使用的唯一通信协议。请参阅使用 NFC 碰撞注册设备。
  • QR 码： QR 码注册可用于注册不支持 NFC 的分布式设备群，例如平板电脑。QR 码注册方法通过从设置向导扫描 QR 码来设置和配置设备配置文件模式。请参阅使用 QR 码注册设备。
  • 零接触： 零接触注册允许您配置设备在首次开机时自动注册。零接触注册支持运行 Android 9.0 或更高版本的部分 Android 设备。请参阅零接触注册。
  • Google 帐户： 用户输入其 Google 帐户凭据以开始预配过程。此选项适用于使用 Google Workspace 的企业。

使用 Citrix DPC 标识符令牌注册设备

用户在首次设置时，在新设备或恢复出厂设置的设备开机后，当系统提示输入 Google 帐户时，输入 afw#xenmobile。此操作将下载并安装 Citrix Secure Hub。然后，用户按照 Citrix Secure Hub 设置提示完成注册。

系统要求

  • 支持所有运行 Android 操作系统的 Android 设备。

注册设备

  1. 打开新设备或恢复出厂设置的设备。
  2. 初始设备设置加载并提示输入 Google 帐户。如果设备加载了设备主屏幕，请检查通知栏中是否有“完成设置”通知。
    设备设置登录提示
  3. 在“电子邮件或电话”字段中输入 afw#xenmobile。
    设备设置文本
  4. 在提示安装 Citrix Secure Hub 的 Android Enterprise 屏幕上点击“安装”。
  5. 在 Citrix Secure Hub 安装程序屏幕上点击“安装”。
  6. 针对所有应用权限请求点击“允许”。
  7. 点击“接受并继续”以安装 Citrix Secure Hub 并允许其管理设备。
  8. Citrix Secure Hub 现已安装并显示在默认注册屏幕上。在此示例中，未设置自动发现。如果已设置，用户可以输入其用户名/电子邮件，系统将为其找到服务器。否则，请输入环境的注册 URL，然后点击“下一步”。
    思杰安全中心凭据
  9. Citrix Endpoint Management 的默认配置允许用户选择是使用 MAM 还是 MDM+MAM。如果出现此提示，请点击“是，注册”以选择 MDM+MAM。
  10. 输入用户电子邮件地址和密码，然后点击“下一步”。
  11. 系统会提示用户配置设备密码。点击“设置”并输入密码。
  12. 系统会提示用户配置工作配置文件解锁方法。在此示例中，点击“密码”，点击“PIN”，然后输入 PIN。
  13. 设备现在位于 Citrix Secure Hub 的“我的应用”登录屏幕上。点击“从应用商店添加应用”。
  14. 要添加 Citrix Secure Web，请点击“Citrix Secure Web”。
    Citrix Secure Hub 应用商店
  15. 点击“添加”。
    Citrix Secure Web 应用商店
  16. Citrix Secure Hub 将用户引导至 Google Play 商店以安装 Citrix Secure Web。点击 安装。
    安全应用程序安装(/en-us/citrix-endpoint-management/media/secure-app-install.png)
  17. 安装 Citrix Secure Web 后，点击 打开。在地址栏中输入内部站点的 URL，并验证页面是否加载。
    赛睿安全网络测试
  18. 在设备上转到 设置 > 帐户。观察到 托管帐户 无法修改。用于屏幕共享或远程调试的开发者选项也被阻止。
    帐户修改(/en-us/citrix-endpoint-management/media/account-modification-not-allowed.png)

使用 NFC 碰撞注册设备

要使用 NFC 碰撞将设备注册为完全托管设备，需要两台设备：一台已恢复出厂设置，另一台运行 Citrix Endpoint Management 预配工具。

系统要求和先决条件

  • 支持的 Android 设备。
  • 具有 NFC 功能的全新或已恢复出厂设置的设备，已预配为 Android Enterprise 的完全托管设备。请参阅 预配 Android Enterprise 完全托管设备 部分。
  • 另一台具有 NFC 功能的设备，运行已配置的预配工具。预配工具可在 Citrix Secure Hub 或 Citrix 下载页面 上获取。
每台设备只能有一个 Android Enterprise 配置文件。在这种情况下，配置文件用于托管的 Citrix Secure Hub。尝试添加第二个 DPC 应用程序会移除已安装的 Citrix Secure Hub。

通过 NFC 碰撞传输的数据

预配已恢复出厂设置的设备需要您通过 NFC 碰撞发送以下数据以启动 Android Enterprise：
  • DPC 应用的包名，该应用充当设备所有者（在本例中为 Citrix Secure Hub）。
  • 设备可以从中下载 DPC 应用的内网/互联网位置。
  • DPC 应用的 SHA-256 哈希值，用于验证下载是否成功。
  • Wi-Fi 连接详细信息，以便恢复出厂设置的设备可以连接并下载 DPC 应用。注意：Android 现在不支持此步骤的 802.1x Wi-Fi。
  • 设备的时区（可选）。
  • 设备的地理位置（可选）。
当两台设备接触时，预配工具中的数据将发送到恢复出厂设置的设备。然后，该数据用于下载具有管理员设置的 Citrix Secure Hub。如果您不输入时区和位置值，Android 会自动在新设备上配置这些值。

配置 Citrix Endpoint Management 预配工具

在执行 NFC 碰触之前，您必须配置预配工具。此配置随后会在 NFC 碰触期间传输到恢复出厂设置的设备。
预配工具配置
您可以将数据键入到必填字段中，或者使用文本文件填充这些字段。下一过程中的步骤介绍了如何使用每个字段的说明来配置文本文件。该应用在您键入信息后不会保存信息，因此您可能需要创建一个文本文件以保留信息供将来使用。
使用文本文件配置预配工具
将文件命名为 nfcprovisioning.txt，并将其放置在设备 SD 卡上的 /sdcard/ 文件夹中。然后，应用可以读取文本文件并填充值。
文本文件必须包含以下数据：
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=<download_location>
此行是 EMM 提供商应用的内网/互联网位置。在恢复出厂设置的设备通过 NFC 碰触连接到 Wi-Fi 后，设备必须能够访问此位置才能进行下载。URL 是一个常规 URL，无需特殊格式。
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=<SHA-256 hash>
此行是 EMM 提供商应用程序的校验和。此校验和用于验证下载是否成功。获取校验和的步骤将在本文后面讨论。
android.app.extra.PROVISIONING_WIFI_SSID=<wifi ssid>
此行是运行预配工具的设备所连接的 Wi-Fi SSID。
android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=<wifi security type>
支持的值为 WEP 和 WPA2。如果 Wi-Fi 未受保护，则此字段必须为空。
android.app.extra.PROVISIONING_WIFI_PASSWORD=<wifi password>
如果 Wi-Fi 未受保护，则此字段必须为空。
android.app.extra.PROVISIONING_LOCALE=<locale>
输入语言和国家/地区代码。语言代码是 ISO 639-1 定义的两位小写 ISO 语言代码（例如 en）。国家/地区代码是 ISO 3166-1 定义的两位大写 ISO 国家/地区代码（例如 US）。例如，输入 en_US 表示在美国使用的英语。如果您不输入任何代码，则国家/地区和语言将自动填充。
android.app.extra.PROVISIONING_TIME_ZONE=<timezone>
设备运行所在的时区。输入 区域/位置的数据库名称。例如，输入 America/Los_Angeles 表示太平洋时间。如果您不输入名称，时区将自动填充。
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME=<package name>
此数据不是必需的，因为该值已作为 Citrix Secure Hub 硬编码到应用程序中。此处提及仅为完整性考虑。
如果 Wi-Fi 使用 WPA2 保护，则完成的 nfcprovisioning.txt 文件可能如下所示：
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d
android.app.extra.PROVISIONING_WIFI_SSID=Protected_WiFi_Name
android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=WPA2
android.app.extra.PROVISIONING_WIFI_PASSWORD=wifiPasswordHere
android.app.extra.PROVISIONING_LOCALE=en_US
android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles
如果 Wi-Fi 未受保护，则完成的 nfcprovisioning.txt 文件可能如下所示：
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk
android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d
android.app.extra.PROVISIONING_WIFI_SSID=Unprotected_WiFi_Name
android.app.extra.PROVISIONING_LOCALE=en_US
android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles

获取 Citrix Secure Hub 的校验和

Citrix Secure Hub 的校验和是一个常量值：qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM。要下载 Citrix Secure Hub 的 APK 文件，请使用以下 Google Play 商店链接：https://play.google.com/managed/downloadManagingApp?identifier=xenmobile。

获取应用程序校验和

先决条件：
  • Android SDK 构建工具中的 apksigner 工具
  • OpenSSL 命令行
要获取任何应用程序的校验和，请按照以下步骤操作：
  1. 从 Google Play 商店下载应用的 APK 文件。
  2. 在 OpenSSL 命令行中，导航到 apksigner 工具：android-sdk/build-tools/<version>/apksigner 并键入以下内容：
    apksigner verify -print-certs <apk_path> | perl -nle 'print $& if m{(?<=SHA-256 digest:) .*}'  | xxd -r -p | openssl base64 | tr -d '=' | tr -- '+/=' '-_'
    该命令返回一个有效的校验和。
  3. 要生成 QR 码，请在 PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM 字段中输入校验和。例如：
{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.zenprise/com.zenprise.configuration.AdminFunction",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=xenmobile",
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
      "serverURL": "https://supportablility.xm.cloud.com"
   }
}

使用的库

配置工具在其源代码中使用了以下库：
  • v7 appcompat 库、Design Support 库和 v7 palette support 库，由 Google 在 Apache 2.0 许可下提供
    有关信息，请参阅 Support Library Features Guide。
  • Butter Knife，由 Jake Wharton 在 Apache 2.0 许可下提供

使用 QR 码注册设备

用户可以使用您为其生成的 QR 码注册完全托管的设备。

系统要求

运行 Android 7.0 或更高版本的 Android 设备。

创建 QR 码

您可以根据需要通过指定注册信息来生成 QR 码。生成 QR 码后，请将其本地保存。Citrix Endpoint Management 不会存储它。
Android Enterprise QR 码生成器
  1. 导航到 设置 > Android Enterprise 二维码。
  2. 如有需要，请指定以下注册信息：
    • 服务器 FQDN： 键入 Citrix Endpoint Management 服务器的 FQDN（例如，example.cem.cloud.com）。此字段是可选的。如果将其留空，用户在注册时必须填写此信息。
    • 用户名： 键入用于注册的用户名。如果您计划将二维码分发给多个用户，建议将此字段留空。使用用户名和密码配置二维码对于注册自助服务终端设备很有用。如果将此字段留空，用户在注册时必须填写此信息。
    • 密码： 键入与您输入的用户名关联的密码。如果将此字段留空，用户在注册时必须填写此信息。
    • 跳过加密： 如果为 开，则设备在注册期间不会加密。默认值为 关。
    • 启用所有系统应用： 如果为 开，则允许访问设备上的所有系统应用。默认值为 关。
    • 跳过用户同意： 如果为 关，用户可以选择退出设备管理。默认值为 关。
    JSON 输出 框显示与您指定的信息对应的 JSON 内容。
  3. 要添加更多注册信息，请编辑 JSON 输出 框中的 JSON 内容。
  4. 单击 生成二维码。二维码将显示在 JSON 输出的右侧。
  5. 右键单击二维码图像并保存。
  6. 将图像发送给用户以进行设备注册。
恢复出厂设置的设备扫描此二维码以注册为完全托管设备。

注册设备

在新设备或恢复出厂设置的设备开机后：
  1. 在欢迎屏幕上轻触屏幕六次，以启动二维码注册流程。
  2. 出现提示时，连接到 Wi-Fi。二维码中 Citrix Secure Hub 的下载位置可通过此 Wi-Fi 网络访问。
    设备成功连接到 Wi-Fi 后，它会从 Google 下载一个二维码阅读器并启动摄像头。
  3. 将摄像头对准二维码以扫描代码。
    Android 从二维码中的下载位置下载 Citrix Secure Hub，验证签名证书签名，安装 Citrix Secure Hub，并将其设置为设备所有者。
有关详细信息，请参阅此适用于 Android EMM 开发人员的 Google 指南：<https://developers.google.com/android/work/prov-devices#qr_code_method>。

零接触注册

零接触注册允许您设置设备，使其在首次开机时自动配置为完全托管设备。
您的设备经销商会在 Android 零接触门户上为您创建一个帐户，这是一个在线工具，可让您将配置应用于设备。使用 Android 零接触门户，创建一项或多项零接触注册配置，并将这些配置应用于分配给您帐户的设备。当您的用户启动这些设备时，设备将自动注册到 Citrix Endpoint Management。分配给设备的配置定义了其自动注册过程。

系统要求

  • 零接触注册支持始于 Android 9.0。

您的经销商提供的设备和帐户信息

  • 符合零接触注册条件的设备是从企业经销商或 Google 合作伙伴处购买的。有关 Android Enterprise 零接触合作伙伴列表，请参阅Android 网站。
  • 由您的经销商创建的 Android Enterprise 零接触门户帐户。
  • 您的经销商提供的 Android Enterprise 零接触门户帐户登录信息。

创建零接触配置

创建零接触配置时，请包含自定义 JSON 以指定配置详细信息。
使用此 JSON 配置设备以在您指定的 Citrix Endpoint Management 服务器上注册。在此示例中，将“URL”替换为您的服务器 URL。
{
    "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":
  {
        "serverURL":"URL"
   }
}
您可以使用包含更多参数的可选 JSON 来进一步自定义配置。此示例指定了 Citrix Endpoint Management 服务器以及使用此配置的设备用于登录服务器的用户名和密码。
{
   "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":
     {
         "serverURL":"URL",
         "xm_username":"username",
         "xm_password":"password"
     }
       }
重要提示：
要在企业自有设备模式下将设备注册到工作配置文件中，请将 {"desiredProvisioningMode": "managedProfile"} 添加到 PROVISIONING_ADMIN_EXTRAS_BUNDLE 下的自定义 JSON 中。
  1. 访问 Android 零接触门户 https://partner.android.com/zerotouch。使用零接触设备经销商提供的帐户信息登录。
  2. 单击 Configuration。 零接触门户
  3. 单击配置表上方的 +。 零接触门户
  4. 在出现的配置窗口中输入您的配置信息。 零接触门户
    • 配置名称： 键入您为此配置选择的名称。
    • EMM 设备策略控制器： 选择 Citrix Secure Hub。
    • DPC 额外项： 将您的自定义 JSON 文本粘贴到此字段中。
    • 公司名称： 键入您希望在设备预配期间显示在 Android Enterprise 零接触设备上的名称。
    • 支持电子邮件地址： 键入用户可以联系以获取帮助的电子邮件地址。此地址在设备预配之前显示在您的 Android Enterprise 零接触设备上。
    • 支持电话号码： 键入用户可以联系以获取帮助的电话号码。此电话号码在设备预配之前显示在您的 Android Enterprise 零接触设备上。
    • 自定义消息： （可选）添加一两句话，以帮助用户联系您，或向他们提供有关其设备状况的更多详细信息。此自定义消息在设备预配之前显示在您的 Android Enterprise 零接触设备上。
  5. 单击 添加。
  6. 要创建更多配置，请重复步骤 2 到 4。
  7. 要将配置应用于设备：
    1. 在 Android 零接触门户中，单击设备。
    2. 在设备列表中找到该设备，然后选择要分配给它的配置。 零接触门户
    3. 单击更新。
您可以使用 CSV 文件将配置应用于许多设备。
有关如何将配置应用于许多设备的信息，请参阅面向 IT 管理员的零接触注册。此 Android Enterprise 主题包含有关如何管理配置并将其应用于设备的更多信息。

预配专用 Android Enterprise 设备

专用 Android Enterprise 设备是完全托管的设备，专门用于实现单一用例。您将这些设备限制为单个应用程序或一小组应用程序，这些应用程序是完成此用例所需任务的必需应用程序。您还可以阻止用户启用其他应用程序或在设备上执行其他操作。
使用用于其他完全托管设备的任何注册方法注册专用设备，如预配 Android Enterprise 完全托管设备中所述。预配专用设备在注册前需要更多设置。
要预配专用设备：
  • 为 Citrix Endpoint Management 管理员添加注册配置文件，允许他们将专用设备注册到您的 Citrix Endpoint Management 部署中。请参阅创建注册配置文件。
  • 要使专用设备能够访问应用程序，请将其添加到允许列表中。
  • （可选）将允许的应用程序设置为允许锁定任务模式。当应用程序处于锁定任务模式时，用户打开应用程序时，应用程序会固定到设备屏幕。不显示主页按钮，并且禁用返回按钮。用户通过应用程序中编程的操作（例如注销）退出应用程序。
  • 将每个设备注册到您添加的注册配置文件中。

系统要求

  • 专用设备的注册支持从 Android 6.0 开始。

允许应用并设置锁定任务模式

信息亭设备策略允许您允许应用并设置锁定任务模式。默认情况下，Citrix Secure Hub 和 Google Play 服务在允许列表中。
要添加信息亭策略：
  1. 在 Citrix Endpoint Management 控制台中，单击“配置 > 设备策略”。此时将显示“设备策略”页面。
  2. 单击“添加”。此时将显示“添加新策略”对话框。
  3. 展开“更多”，然后在“安全”下，单击“信息亭”。此时将显示“信息亭策略”页面。
  4. 在“平台”下，选择“Android Enterprise”。清除其他平台。
  5. 在“策略信息”窗格中，键入“策略名称”和可选的“描述”。
  6. 单击“下一步”，然后单击“添加”。
  7. 要允许某个应用并允许或拒绝该应用的锁定任务模式：
    从列表中选择要允许的应用。
    选择“允许”以将应用设置为在用户启动应用时固定到设备屏幕。选择“拒绝”以将应用设置为不固定。默认值为“允许”。
    设备策略配置屏幕
  8. 点击 保存。
  9. 要允许另一个应用并允许或拒绝该应用的锁定任务模式，请单击 添加。
  10. 配置部署规则并选择交付组。有关详细信息，请参阅设备策略。

预配具有工作配置文件或在公司拥有的设备上具有工作配置文件的 Android Enterprise 全面管理设备

运行 Android 9.0-10.x 的设备注册为“具有工作配置文件的全面管理设备”。从 Android 11+ 开始，设备注册为“公司拥有的设备上的工作配置文件”。所有这些设备都是公司拥有的设备，用于工作和个人目的。您的组织管理整个设备。您可以将一组策略应用于设备，并将另一组策略应用于工作配置文件。
在 Citrix Endpoint Management 控制台中，具有工作配置文件的全面管理设备显示以下术语：
  • 设备所有权为“公司”所有。
  • 设备 Android Enterprise 安装类型为“公司所有者个人启用”。

系统要求

  • 对注册具有工作配置文件的全面管理设备的支持始于 Android 9.0。

注册设备

新设备和恢复出厂设置的设备注册为具有工作配置文件的全面管理设备。这些设备使用为其他全面管理设备所用的任何注册方法，如预配 Android Enterprise 全面管理设备中所述。运行 Android 11 的设备可以使用该部分中描述的二维码或零接触注册方法，在公司拥有的设备模式下注册工作配置文件。
重要提示：
使用二维码方法在公司拥有的设备模式下注册工作配置文件中的设备时，请在 serverURL 字段上方将以下内容添加到 JSON 输出中： "desiredProvisioningMode": "managedProfile",
示例二维码
未恢复出厂设置或非新设备将注册为工作配置文件设备，如预配 Android Enterprise 工作配置文件设备中所述。

在 Citrix Endpoint Management 控制台中查看 Android Enterprise 设备

要查看 Android Enterprise 全面管理设备、专用设备以及具有工作配置文件的全面管理设备：
  1. 在 Citrix Endpoint Management 控制台中，转到 管理 > 设备。
  2. 通过单击表格右边缘的菜单，添加 Android Enterprise 已启用设备？ 列。 Android Enterprise 设备列表
  3. 要查看可用的安全操作，请选择一个完全托管的设备，然后单击 安全。当设备完全托管时，完全擦除 操作可用，但 选择性擦除 不可用。这种差异是因为设备只允许来自托管 Google Play 商店的应用程序。用户无法从公共商店安装应用程序。您的组织管理设备上的所有内容。
    安全操作

配置 Android Enterprise 设备和应用程序策略

有关在设备和应用程序级别控制的策略概述，请参阅 适用于 Android Enterprise 的支持的设备策略和 MDX 策略。
关于策略须知：
  • 设备限制： 数十种设备限制允许您控制以下功能：
    • 设备摄像头的使用
    • 在工作和个人配置文件之间使用复制和粘贴
  • 每应用 VPN： 使用托管配置设备策略为 Android Enterprise 配置 VPN 配置文件。
  • 电子邮件策略： 我们建议使用托管配置设备策略来配置应用程序。

设备策略

此表列出了适用于 Android Enterprise 设备的所有设备策略。
重要提示：
对于注册到 Android Enterprise 并使用 MDX 应用程序的设备：您可以通过 MDX 和 Android Enterprise 控制某些设置。对 MDX 使用限制最少的策略设置，并通过 Android Enterprise 控制策略。
应用权限 应用清单 应用卸载
自动更新托管应用 连接计划 凭据
自定义 XML Citrix 端点管理选项 文件
锁屏管理 信息亭 启动器配置
位置 托管配置 网络
OS 更新 密码 限制

带工作资料的完全托管设备（COPE 设备）的设备策略

对于带工作资料的完全托管设备，您可以使用某些设备策略将单独的设置应用于整个设备和工作资料。您可以使用其他设备策略仅将设置应用于整个设备，或仅应用于带工作资料的完全托管设备的工作资料。对于在企业拥有设备模式下注册工作资料的设备，策略仅应用于工作资料，而不应用于整个设备。
策略 适用于
应用程序权限 工作资料
应用程序清单 工作资料
应用程序卸载 工作资料
自动更新托管应用程序 工作资料
连接计划 工作资料
凭据(/zh-cn/citrix-endpoint-management/policies/credentials-policy.html#android-enterprise-settings) 工作配置文件
自定义 XML(/zh-cn/citrix-endpoint-management/policies/custom-xml-policy.html) 不适用
Citrix 端点管理选项 工作配置文件
文件(/zh-cn/citrix-endpoint-management/policies/files-policy.html) 工作配置文件
键盘锁管理(/zh-cn/citrix-endpoint-management/policies/keyguard-management-policy.html) 设备和工作配置文件
自助服务终端(/zh-cn/citrix-endpoint-management/policies/kiosk-policy.html#android-enterprise-settings) 不适用
启动器配置(/zh-cn/citrix-endpoint-management/policies/launcher-configuration-policy.html) 设备和工作配置文件
位置(/zh-cn/citrix-endpoint-management/policies/location-policy.html#android-enterprise-settings) 设备（仅限位置模式）
托管配置(/zh-cn/citrix-endpoint-management/policies/managed-configurations-policy.html) 工作配置文件
网络 设备
操作系统更新 不适用
密码 设备和工作配置文件
限制 设备和工作配置文件（为设备和工作配置文件创建单独的策略）
VPN 不适用
另请参阅Android Enterprise 支持的设备策略和 MDX 策略和MAM SDK 概述。

安全操作

Android Enterprise 支持以下安全操作。有关每个安全操作的说明，请参阅安全操作。
安全操作 工作配置文件 完全托管
证书续订 是 是
完全擦除 是（选择性擦除后） 是
定位 是 是
锁定 是 是
锁定并重置密码 否 是
通知（响铃） 是 是
吊销 是 是
选择性擦除 是 是

安全操作注意事项

  • 定位安全操作会失败，除非位置设备策略将设备的定位模式设置为高精度或省电。请参阅位置设备策略。
  • 在运行低于 Android 9.0 版本的企业配置文件设备上：
    • 不支持锁定和重置密码操作。
  • 在运行 Android 9.0 或更高版本的企业配置文件设备上：
    • 发送的密码会锁定企业配置文件。设备本身不会被锁定。
    • 如果工作配置文件上未设置密码：
      • 如果未发送密码，或者发送的密码不符合密码要求：设备将被锁定。
    • 如果工作配置文件上设置了密码：
      • 如果未发送密码，或者发送的密码不符合密码要求：工作配置文件将被锁定，但设备本身不会被锁定。

取消注册 Android Enterprise 企业

如果您不再希望使用您的 Android Enterprise 企业，可以取消注册该企业。
警告：
取消注册企业后，通过该企业注册的设备上的 Android Enterprise 应用程序将重置为默认状态。Google 不再管理这些设备。如果您注册新的 Android Enterprise 企业，则必须从托管的 Google Play 批准新组织的应用程序。然后，您可以从 Citrix Endpoint Management 控制台更新这些应用程序。
Android Enterprise 企业取消注册后：
  • 通过企业注册的设备和用户，其 Android Enterprise 应用程序将重置为默认状态。以前应用的托管配置策略不再影响操作。
  • Citrix Endpoint Management 管理通过企业注册的设备。从 Google 的角度来看，这些设备是未受管理的。您无法添加新的 Android Enterprise 应用程序。您无法应用托管配置策略。您可以对这些设备应用其他策略，例如计划、密码和限制。
  • 如果您尝试在 Android Enterprise 中注册设备，它们将注册为 Android 设备，而不是 Android Enterprise 设备。
使用 Citrix Endpoint Management 服务器控制台和 Citrix Endpoint Management 工具取消注册 Android Enterprise 企业。
执行此任务时，Citrix Endpoint Management 会打开一个“工具”弹出窗口。开始之前，请确保您的浏览器有权打开弹出窗口。某些浏览器（例如 Google Chrome）要求您禁用弹出窗口阻止功能，并将 Citrix Endpoint Management 站点的地址添加到弹出窗口允许列表中。
要取消注册 Android Enterprise 企业：
  1. 在 Citrix Endpoint Management 控制台中，单击右上角的齿轮图标。“设置”页面随即显示。
  2. 在“设置”页面上，单击“Android Enterprise”。
  3. 单击“取消注册”。
    取消注册选项(/en-us/citrix-endpoint-management/media/android-enterprise-setup-unenroll.png)