Compliance-Durchsetzung für Android-Geräte (Technische Vorschau)
Hinweis:
Funktionen in der Technischen Vorschau können in Nicht-Produktions- oder eingeschränkten Produktionsumgebungen verwendet werden und bieten Kunden die Möglichkeit, Feedback zu geben. Citrix® akzeptiert keine Supportfälle für Funktionen in der technischen Vorschau, freut sich jedoch über Feedback zur Verbesserung dieser Funktionen. Sie können Feedback zu dieser Funktion geben, indem Sie auf Senden Sie uns Ihr Feedback klicken. Citrix kann auf Feedback reagieren, basierend auf dessen Schweregrad, Kritikalität und Bedeutung.
-
Für Android-Geräte, die im Gerätebesitzer-Modus registriert sind, können Kundenadministratoren die Geräte-Compliance verwalten. Sie können benutzerdefinierte Regeln zur Bewertung der Compliance definieren, darunter:
- Sicherstellen, dass die Gerätekennwortstärke den angegebenen Standards entspricht.
- Überprüfen der Installation aller erforderlichen Apps.
- Bestätigen der Entfernung aller verbotenen Apps.
In Fällen, in denen Geräte als nicht konform befunden werden, können Kunden Benutzer auffordern, die Probleme zu beheben. Darüber hinaus stehen strengere Maßnahmen zur Verfügung, wie das Einfrieren von Apps auf dem Gerät, um den Benutzerzugriff einzuschränken, bis die Compliance erreicht ist. Um diese Funktionalität zu aktivieren, sind zwei Voraussetzungen erforderlich, da Änderungen sowohl auf Server- als auch auf Clientseite notwendig sind:
-
Aktualisieren Sie den CEM-Server auf Version 24.8.0. - Aktualisieren Sie Secure Hub auf Version 24.8.0.
- ## Verfahren zur Verwaltung der Android-Geräte-Compliance - 1. Aktivieren Sie das Feature-Flag `afw.policy.compliance` speziell für den CEM-Server.
-
Compliance-Richtlinie hinzufügen und bereitstellen. - 1. Wählen Sie auf der Registerkarte Konfigurieren die Option Geräterichtlinien und klicken Sie auf Compliance.
- Konfigurieren Sie die Richtlinie mit den folgenden Einstellungen:
-
Compliance-Prüfung aktivieren: Diese Einstellung steuert, ob Geräte Compliance-Prüfungen unterzogen werden. Um eine bereitgestellte Compliance-Richtlinie zu widerrufen, deaktivieren Sie diese Option und stellen Sie die Richtlinie erneut bereit. Das bloße Entfernen der Richtlinie aus der Bereitstellungsgruppe ist nicht wirksam.
-
-
Aktion bei Nicht-Compliance: Wählen Sie zwischen Nur Warnung und Apps einfrieren (nur unternehmenseigene Geräte). Die Auswahl von Nur Warnung benachrichtigt Benutzer in Secure Hub über nicht konforme Elemente und fordert sie auf, diese Probleme zu beheben. Die Auswahl von Apps einfrieren (nur unternehmenseigene Geräte) sperrt alle Apps auf dem Gerät, aber Administratoren können eine Liste der nicht eingefrorenen Apps anpassen, um bestimmte Apps auszunehmen, wie Secure Hub (zum Anzeigen und Beheben nicht konformer Elemente), Google Play Store (zum Installieren notwendiger Apps), Einstellungen (für Werksresets) und SMS (für Notfallkommunikation). Die Option Apps einfrieren (nur unternehmenseigene Geräte) ist nur für unternehmenseigene Geräte anwendbar.
- Passcode-Compliance überprüfen: Prüft, ob Geräte-Passcodes den angegebenen Standards entsprechen. Wird typischerweise mit Passcode-Richtlinien verwendet.
- Erforderliche Apps überprüfen: Zeigt eine Liste obligatorischer Apps an. Stellt sicher, dass diese Apps auf dem Gerät installiert sind.
-
-
Hinweis:
- Apps, die unter Erforderliche Apps aufgeführt sind, müssen auch im Abschnitt für erforderliche Apps der Bereitstellungsgruppe enthalten sein, um ihre Funktionalität zu gewährleisten. Andernfalls sind sie nicht wirksam.
- Da erforderliche Apps im verwalteten Google Play möglicherweise nicht verfügbar sind, bleiben Endbenutzer im gesperrten Modus.
-
-
Verbotene Apps überprüfen: Zeigt eine Liste verbotener Apps an. Stellt sicher, dass keine dieser Apps installiert ist.
-
Hinweis:
-
-
Administratoren sollten davon absehen, vorinstallierte System-Apps zur Liste der Verbotenen Apps hinzuzufügen, da Endbenutzer keine Berechtigung haben, diese zu entfernen.
-
-
- Richtlinie bereitstellen.
- Klicken Sie in Secure Hub auf Richtlinie aktualisieren oder warten Sie auf die 6-stündige periodische Synchronisierung, um die Richtlinie auf den Geräten bereitzustellen.
- Richtlinie bereitstellen.
-
- Nach der Bereitstellung wird sofort eine Compliance-Prüfung ausgelöst. Nicht konforme Geräte im Modus “Apps einfrieren” schränken sowohl das Gerät als auch seine Apps ein, bis die Compliance erreicht ist.
Wenn der Administrator die Aktion bei Nicht-Compliance auf “Apps einfrieren” konfiguriert, schränken sowohl Secure Hub als auch das Gerät selbst die App-Nutzung ein. Im Einzelnen:
- Eine dauerhafte Benachrichtigung wird in der Benachrichtigungsleiste angezeigt, die den Benutzer daran erinnert, dass Apps eingefroren wurden.
- Apps, ausgenommen jene, die als standardmäßig erlaubt oder in der Liste der nicht eingefrorenen Apps aufgeführt sind, werden eingefroren und reagieren nicht, wenn sie angeklickt werden.
-
Dieser Zustand bleibt bestehen, bis das Gerät die Compliance erreicht. Selbst nach einem Neustart oder einem System-Upgrade kehrt das Gerät sofort in diesen eingefrorenen Zustand zurück (außer bei Secure Hub-Upgrades, die ein manuelles Starten durch den Benutzer erfordern).
-
- Behebung von Nicht-Compliance:
- Wenn ein Gerät nicht konform ist, wird Secure Hub daran gehindert, die Richtlinie auf die übliche Weise zu aktualisieren (durch Klicken auf die Schaltfläche Richtlinie aktualisieren auf der Seite Geräteinformationen).
- Stattdessen wird eine alternative Lösung bereitgestellt, indem die Seite, die die nicht konformen Elemente anzeigt, nach unten gezogen wird, und das Aktualisierungsergebnis wird über eine Toast-Benachrichtigung übermittelt.
- Spezifische Aktionen für Benutzer:
- Einen komplexeren Passcode festlegen, um die Standards zu erfüllen.
- Erforderliche Apps aus dem Google Play Store installieren.
- Verbotene Apps deinstallieren.
- Konfigurieren Sie die Richtlinie mit den folgenden Einstellungen:
-
Compliance überwachen
- Compliance-Status anzeigen: Ein neues Compliance-Status-Symbol unter Verwalten -> Geräte -> Status. Grün zeigt Compliance an, während Orange Nicht-Compliance anzeigt.
- Detaillierter Compliance-Status verfügbar unter Verwalten -> Geräte -> Gerätedetails -> Eigenschaften -> Sicherheitsinformationen.
Fehlerbehebung
-
Die konfigurierte erforderliche App kann im Google Play Store nicht gefunden werden, was dazu führt, dass das Gerät nicht konform ist und das Problem nicht behoben werden kann. Dies ist ein Designfehler.
Der CEM-Server pusht erforderliche Apps über die Links 1 und 2 an Secure Hub und Google-Server, aber Link 3 liegt außerhalb unserer Kontrolle. Wenn Secure Hub über Link 1 nach erforderlichen Apps sucht, können wir nicht garantieren, dass der verwaltete Google Play Store diese Apps verfügbar hat. Diese Diskrepanz bedeutet, dass, obwohl die Compliance-Richtlinie Secure Hub zur Installation dieser Apps auffordert, diese möglicherweise nicht sofort im Store gefunden werden. Typischerweise pushen Google-Server die erforderlichen Apps innerhalb von 24 Stunden über Link 3 an das Gerät.
-
Vor dem Upgrade von Secure Hub war das Gerät nicht konform und die Apps waren eingefroren. Nach dem Upgrade von Secure Hub wurden jedoch alle Apps wieder freigegeben. Dies geschah, weil während des Upgrade-Prozesses der Betrieb von Secure Hub beendet wurde, was es daran hinderte, das Einfrieren der Apps aufrechtzuerhalten. Dieses Problem ist bekannt und hat derzeit keine Lösung. Wir arbeiten aktiv mit Google zusammen, um dies zu beheben, und erwarten Verbesserungen in zukünftigen Versionen. Nach Abschluss des Upgrades können Benutzer Secure Hub manuell starten, um den Prozess einzuleiten und die Apps in ihren eingefrorenen Zustand zurückzuversetzen.
-
Wie kann man Apps wieder freigeben? Die gängigste Methode besteht darin, dass Benutzer alle nicht konformen Probleme beheben, wodurch das Gerät wieder konform wird und alle Apps automatisch freigegeben werden. Wenn es nicht möglich ist, die Compliance schnell zu erreichen, können die folgenden Schritte unternommen werden:
- Fügen Sie verwandte Apps zur Liste der nicht eingefrorenen Apps hinzu und führen Sie eine Pull-Down-Aktualisierung durch.
- Ändern Sie die Aktion bei Nicht-Compliance auf “Warnung” und führen Sie eine Pull-Down-Aktualisierung durch.
- Deaktivieren Sie den Prüfschalter für nicht-konforme Elemente oder den Hauptschalter und führen Sie dann eine Pull-down-Aktualisierung durch.
- Wenn keine der oben genannten Methoden funktioniert, aktivieren Sie das Feature-Flag
afw.locktaskmode.disablefür den spezifischen CEM-Server und führen Sie eine Pull-down-Aktualisierung durch. Diese Aktion hebt die Sperrung aller Apps zwangsweise auf, aber Secure Hub bleibt blockiert, ähnlich wie wenn die Aktion bei Nichteinhaltung auf Warnung eingestellt ist. - Deaktivieren Sie das Feature-Flag
afw.policy.compliancefür den spezifischen CEM-Server und führen Sie eine Pull-down-Aktualisierung durch. - Im schlimmsten Fall, in dem Secure Hub keine Verbindung zum CEM-Server herstellen kann, führen Sie einen Werksreset über die Einstellungen durch.
-
Der unter Analysieren -> Dashboard angezeigte Compliance-Status ist eine andere Art von Compliance in Citrix Endpoint Management™ als die in dieser Richtlinie referenzierte. Diese Funktion ist noch nicht entwickelt und wird in zukünftigen Versionen erweitert.
-
Diese Funktion gilt nicht für Geräte, die über COSU/WPCOD/BYOD-Modi registriert wurden. Derzeit unterstützt sie nur Geräte, die im Device Owner (DO)-Modus registriert sind.