适用于 Android 设备的合规性强制执行 (技术预览版)

• 确保设备密码强度符合指定标准。
• 验证所有必需应用程序的安装。
• 确认已删除任何禁用应用程序。

• 将 CEM 服务器升级到 24.8.0 版本。
• 将 Secure Hub 升级到 24.8.0 版本。

Android 设备合规性管理过程

1. 激活功能标志 afw.policy.compliance 专门用于 CEM 服务器。
2. 添加并部署合规性策略。
   1. 在“配置”选项卡中，选择“设备策略”，然后单击“合规性”。
      
   2. 使用以下设置配置策略：
      • 启用合规性检查：此设置控制设备是否进行合规性检查。要撤销已部署的合规性策略，请禁用此选项并重新部署策略。仅从交付组中删除策略将无效。
      启用合规性检查(/en-us/citrix-endpoint-management/media/enable-compliance-check.png)
      • 不合规操作：在仅警告和冻结应用程序（仅限公司拥有的设备）之间选择。选择仅警告将通过 Secure Hub 通知用户不合规项目，并要求他们解决这些问题。选择**冻结应用程序（仅限公司拥有的设备）**将锁定设备上的所有应用程序，但管理员可以自定义一个“未冻结应用程序”列表，以豁免特定应用程序，例如 Secure Hub（用于显示和解决不合规项目）、Google Play 商店（用于安装必要的应用程序）、设置（用于恢复出厂设置）和短信（用于紧急通信）。**冻结应用程序（仅限公司拥有的设备）**仅适用于公司拥有的设备。
      冻结应用程序(/en-us/citrix-endpoint-management/media/freeze-apps.png)
      • 验证密码合规性：检查设备密码是否符合指定标准。通常与密码策略一起使用。
      • 验证所需应用程序：显示强制性应用程序列表。确保这些应用程序已安装在设备上。
      注意：
      • 所需应用程序下列出的应用程序也必须包含在交付组的所需应用程序部分中，以确保其功能。否则，它们将无效。
      • 由于所需应用程序可能在托管的 Google Play 中不可用，最终用户将保持锁定模式。
      验证所需应用程序(/en-us/citrix-endpoint-management/media/verify-required-apps.png)
      • 验证禁用应用程序：显示禁用应用程序列表。确保未安装这些应用程序。
      注意：
      管理员应避免将系统预装应用程序添加到禁用应用程序列表中，因为最终用户无权删除它们。

3. 部署策略。
   1. 在 Secure Hub 中，单击“刷新策略”或等待 6 小时定期同步以将策略部署到设备。
   2. 部署后，会立即触发合规性检查。处于“冻结应用”模式的不合规设备会限制设备及其应用，直到满足合规性要求。
   设备策略(/en-us/citrix-endpoint-management/media/device-policy.png)
   如果管理员将不合规操作配置为“冻结应用”，则 Secure Hub 和设备本身都将限制应用使用。具体而言：
   • 通知栏中将显示一条持久性通知，提醒用户应用已被冻结。
   思杰安全中心(/en-us/citrix-endpoint-management/media/citrix-secure-hub.png)
   • 应用（默认允许的应用或“未冻结应用”列表中的应用除外）将被冻结，单击时无响应。
   • 此状态将持续到设备达到合规性为止。即使在重新启动或进行系统升级后，设备也会立即返回此冻结状态（Secure Hub 升级期间除外，这需要用户手动启动）。
4. 不合规解决方案：
   • 当设备不合规时，Secure Hub 将无法通过常规方法（单击“设备信息”页面中的“刷新策略”按钮）刷新策略。
   • 相反，通过下拉显示不合规项目的页面来提供替代解决方案，刷新结果通过浮动通知传达。
   刷新请求成功(/en-us/citrix-endpoint-management/media/refresh-request-succeeded.png)
   • 用户的具体操作：
     • 设置更复杂的密码以符合标准。
     • 从 Google Play 商店安装所需应用。
     • 卸载禁用应用。
5. 监控合规性
   • 查看合规性状态：在 管理 -> 设备 -> 状态 中有一个新的合规性状态图标。绿色表示合规，橙色表示不合规。
   
   • 详细合规性状态可在 管理 -> 设备 -> 设备详细信息 -> 属性 -> 安全信息 中查看。
   

故障排除

1. 在 Google Play 商店中找不到配置的必需应用，导致设备不合规且无法解决此问题。这是一个设计缺陷。
   
   CEM 服务器通过链接 1 和 2 将必需应用推送到 Secure Hub 和 Google 服务器，但链接 3 超出了我们的控制范围。当 Secure Hub 使用链接 1 检查必需应用时，我们无法保证托管的 Google Play 商店中提供这些应用。这种差异意味着，尽管合规性策略要求 Secure Hub 安装这些应用，但它们可能无法立即在商店中找到。通常，Google 服务器会在 24 小时内使用链接 3 将必需应用推送到设备。
2. 在升级 Secure Hub 之前，设备不合规，并且应用被冻结。但是，升级 Secure Hub 后，所有应用都被解冻了。发生这种情况是因为在升级过程中，Secure Hub 的操作被终止，从而无法维持应用冻结状态。 此问题已知，目前尚无解决方案。我们正在积极与 Google 合作解决此问题，并期望在未来版本中有所改进。完成升级后，用户可以手动启动 Secure Hub 以启动该过程并将应用恢复到冻结状态。
3. 如何解冻应用？ 最常见的方法是用户解决所有不合规问题，从而使设备合规并自动解冻所有应用。如果无法快速实现合规，可以采取以下步骤：
   • 将相关应用添加到“未冻结应用”列表并执行下拉刷新。
   • 将“不合规操作”更改为“警告”并执行下拉刷新。
   • 禁用与不合规项目对应的检查开关或主开关，然后执行下拉刷新。
   • 如果以上方法均无效，请为特定的 CEM 服务器启用功能标志 afw.locktaskmode.disable 并执行下拉刷新。此操作会强制解冻所有应用程序，但 Secure Hub 仍将保持阻止状态，类似于将不合规操作设置为 警告 时的情况。
   • 为特定的 CEM 服务器禁用功能标志 afw.policy.compliance 并执行下拉刷新。
   • 在 Secure Hub 无法连接到 CEM 服务器的最坏情况下，请从“设置”执行恢复出厂设置。
4. 在“分析”->“仪表板”下显示的合规性状态是 Citrix Endpoint Management™ 中与此策略中引用的合规性不同的一种合规性。此功能尚未开发，将在未来版本中增强。
   
5. 此功能不适用于通过 COSU/WPCOD/BYOD 模式注册的设备。目前，它仅支持以设备所有者 (DO) 模式注册的设备。