Android for Work antiguo para clientes de G Suite

Los clientes de G Suite deben usar los parámetros de Android for Work antiguo.

Requisitos para Android for Work antiguo:

  • Un dominio accesible públicamente
  • Una cuenta de administrador de Google
  • Dispositivos que ofrezcan respaldo para perfiles administrados y ejecuten Android 5.0 Lollipop o versiones posteriores
  • Una cuenta de Google que tenga Google Play instalado
  • Un perfil de Work instalado en el dispositivo

Para comenzar la configuración de Android for Work antiguo, haga clic en Android for Work antiguo en la página Android for Work de los parámetros de XenMobile.

Imagen de la opción Android for Work antiguo

Crear una cuenta de Android for Work

Para poder configurar una cuenta de Android for Work, antes debe verificar el nombre de dominio en Google.

Si ya ha verificado el nombre de su dominio en Google, puede pasar a Configurar una cuenta de servicio de Android for Work y descargar un certificado de Android for Work.

  1. Vaya a https://www.google.com/a/signup/?enterprise_product=ANDROID_WORK.

    Aparece la siguiente página, donde puede introducir información sobre el administrador y la empresa.

    Imagen de la página de configuración de la cuenta

  2. Introduzca la información del usuario administrador.

    Imagen de la información del usuario administrador

  3. Escriba la información de la empresa, además de la información de su cuenta de administrador.

    Imagen de la pantalla de información de la empresa

    Una vez completado el primer paso, verá la página siguiente.

    Imagen de la página de verificación.

Verificación de la propiedad del dominio

Permita a Google verificar el dominio de alguna de las siguientes maneras:

  • Agregue un registro TXT o CNAME al sitio Web de su host de dominio.
  • Cargue un archivo HTML en el servidor Web del dominio.
  • Agregue una etiqueta <meta> a la página de inicio. Google recomienda el primer método. Los pasos para comprobar que usted es el propietario del dominio no se describen en este artículo, pero puede encontrar esta información aquí: https://support.google.com/a/answer/6248925/.
  1. Haga clic en Comenzar para iniciar la verificación de su dominio.

    Verá la página Verificar propiedad de dominio. Siga las instrucciones de esta página para verificar su dominio.

  2. Haga clic en Verificar.

    Imagen del botón Verificar

    Imagen de la confirmación de verificación

  3. Google verifica que usted posee el dominio.

    Imagen de la verificación de propiedad del dominio

  4. Aparecerá la siguiente página tras una verificación correcta. Haga clic en Continuar.

    Imagen de la página de confirmación

  5. Google crea un token de vinculación de EMM que usted debe suministrar a Citrix y usar para configurar los parámetros de Android for Work. Copie y guarde el token, porque lo necesitará más adelante durante el procedimiento de configuración.

    Imagen del token de vinculación

  6. Haga clic en Finalizar para completar la configuración de Android for Work. Aparecerá una página que indicará que el dominio se ha verificado correctamente.

Después de crear una cuenta de servicio de Android for Work, puede iniciar sesión en la consola de administración de Google para administrar sus opciones de movilidad.

Configurar una cuenta de servicio de Android for Work y descargar un certificado de Android for Work

Para permitir que XenMobile establezca contacto con los servicios de Google Play y Google Directorio, debe crear una cuenta de servicio en el portal de proyectos de Google para desarrolladores. Esta cuenta de servicio se utiliza para la comunicación de servidor a servidor entre XenMobile y los servicios de Google para Android. Para obtener más información sobre el protocolo de autenticación que se utiliza, vaya a https://developers.google.com/identity/protocols/OAuth2ServiceAccount.

  1. En un explorador Web, vaya a https://console.cloud.google.com/project e inicie sesión con las credenciales de administración de Google.

  2. En la lista Projects, haga clic en Create Project.

    Imagen de la opción de crear un proyecto

  3. En Project name, introduzca un nombre para el proyecto.

    Imagen de la opción de nombre del proyecto

  4. En el panel de mandos, haga clic en Use Google APIs.

    Imagen de la opción para usar las API de Google

  5. Haga clic en Library y, en Search, escriba EMM. A continuación, haga clic en el resultado de la búsqueda.

    Imagen de la opción de búsqueda de EMM

  6. En la página Overview, haga clic en Enable.

    Imagen de la opción para habilitar

  7. Junto a Google Play EMM API, haga clic en Go to Credentials.

    Imagen de la opción para ir a las credenciales

  8. En la lista Add credentials to our project, en el paso 1, haga clic en service account.

    Imagen de la opción de cuenta de servicio

  9. En la página Service Accounts, haga clic en Create Service Account.

    Imagen de la opción para crear una cuenta de servicio

  10. En Create service account, establezca un nombre para la cuenta y marque la casilla Furnish a new private key. Haga clic en P12, marque la casilla Enable Google Apps Domain-wide Delegation y haga clic en Create.

    Imagen de las opciones que incluye la creación de cuenta de servicio

    El archivo de certificado (P12) se descargará en su equipo. Guarde el certificado en una ubicación segura.

  11. En la pantalla de confirmación Service account created, haga clic en Close.

    Imagen de la página de confirmación

  12. En Permissions, haga clic en Service accounts y, en Options para su cuenta de servicio, haga clic en View Client ID.

    Imagen de la opción para ver el ID de cliente

  13. Aparecerán los datos requeridos para la autorización de cuentas en la consola de administración de Google. Copie el ID del cliente y el ID de la cuenta de servicio a una ubicación donde pueda recuperar la información más adelante. Necesita esta información, junto con el nombre de dominio, para enviarla a Citrix para su inclusión en una lista blanca.

    Imagen de los detalles de autorización de la cuenta

  14. En la página Library, busque Admin SDK y haga clic en el resultado de búsqueda.

    Imagen de la búsqueda de Admin SDK

  15. En la página Overview, haga clic en Enable.

    Imagen del botón para habilitar

  16. Abra la consola de administración de Google para su dominio y haga clic en Seguridad.

    Imagen de la opción Seguridad

  17. En la página Ajustes, haga clic en Mostrar más y en Configuración avanzada.

    Imagen de la configuración avanzada

    Imagen de los parámetros avanzados

  18. Haga clic en Administrar el acceso de cliente API.

    Imagen de la opción Administrar el acceso de cliente API

  19. En Nombre de cliente, introduzca el ID de cliente que guardó previamente, en Uno o más ámbitos API, introduzca https://www.googleapis.com/auth/admin.directory.user y haga clic en Autorizar.

    Imagen de las opciones de nombre del cliente

Vincular a EMM

Para poder utilizar XenMobile para administrar los dispositivos Android for Work, debe ponerse en contacto con el servicio de asistencia técnica de Citrix y proporcionarles su nombre de dominio, cuenta de servicio y token de vinculación. Citrix vincula el token con XenMobile como proveedor de administración de movilidad empresarial (EMM). Para obtener la información de contacto de la asistencia técnica de Citrix, consulte Asistencia técnica de Citrix.

  1. Para confirmar la vinculación, inicie sesión en el portal de administración de Google y haga clic en Seguridad.

  2. Haga clic en Administrar proveedor de EMM de Android.

    Verá que su cuenta de Google Android for Work aparece vinculada a Citrix como su proveedor EMM.

    Después de confirmar la vinculación con el token, ya puede empezar a usar la consola de XenMobile para administrar sus dispositivos Android. Importe el certificado P12 generado en el paso 14. Configure los parámetros del servidor de Android for Work, habilite el inicio de sesión Single Sign-On basado en SAML y defina al menos una directiva de dispositivo para Android for Work.

    Imagen de las opciones de Administrar proveedor de EMM de Android

Importar el certificado P12

Siga estos pasos para importar el certificado P12 de Android for Work:

  1. Inicie sesión en la consola de XenMobile.

  2. Haga clic en el icono con forma de engranaje ubicado en la esquina superior derecha de la consola para abrir la página Parámetros y, a continuación, haga clic en Certificados. Aparecerá la página Certificados.

    Imagen de la página Certificados

  3. Haga clic en Importar. Aparecerá el cuadro de diálogo Importar.

    Imagen del cuadro de diálogo Importar

    Configure los siguientes parámetros:

    • Importar: Seleccione Almacén de claves en la lista.
    • Tipo de almacén de claves: Seleccione PKCS#12 en la lista.
    • Usar como: Seleccione Servidor en la lista.
    • Archivo de almacén de claves: Haga clic en Examinar y vaya al certificado P12.
    • Contraseña: Escriba la contraseña del almacén de claves.
    • Descripción: Escriba una descripción opcional del certificado.
  4. Haga clic en Importar.

Configurar los parámetros de servidor de Android for Work

  1. En la consola de XenMobile, haga clic en el icono con forma de engranaje, situado en la esquina superior derecha de la consola. Aparecerá la página Parámetros.

  2. En Servidor, haga clic en Android for Work. Aparecerá la página Android for Work.

    Imagen de la página Android for Work

    Configure estos parámetros y haga clic en Guardar.

    • Nombre de dominio: Introduzca el nombre del dominio de Android for Work. Por ejemplo: dominio.com
    • Cuenta de administrador de dominio: Introduzca el nombre de usuario del administrador del dominio; por ejemplo la cuenta de correo electrónico utilizada en el portal Google Developer Portal.
    • ID de cuenta de servicio: Introduzca el ID de la cuenta de servicio. Por ejemplo, el correo electrónico asociado a la cuenta de servicio de Google (serviceaccountemail@xxxxxxxxx.iam.gserviceaccount.com).
    • ID de cliente: Escriba el ID numérico del cliente correspondiente a su cuenta de servicio de Google.
    • Habilitar Android for Work: Seleccione si habilitar o inhabilitar Android for Work.

Habilitar Single Sign-On basado en SAML

  1. Inicie sesión en la consola de XenMobile.

  2. Haga clic en el icono de engranaje en la esquina superior derecha de la consola. Aparecerá la página Parámetros.

  3. Haga clic en Certificados. Aparecerá la página Certificados.

    Imagen de la página Certificados

  4. En la lista de certificados, haga clic en el certificado SAML.

  5. Haga clic en Exportar y guarde el certificado en su equipo.

  6. Inicie sesión en el portal de Google Admin con las credenciales de administrador de Android for Work. Para acceder al portal, consulte portal Google Admin.

  7. Haga clic en Seguridad.

    Imagen de la opción Seguridad

  8. En Seguridad, haga clic en Configurar inicio de sesión único (SSO) y configure los parámetros siguientes:

    Imagen de la configuración de SSO

    • URL de la página de inicio de sesión: Introduzca la URL para que los usuarios inicien sesiones en el sistema y Google Apps. Por ejemplo: https://<Xenmobile-FQDN>/aw/saml/signin.
    • URL de la página de cierre de sesión: Introduzca la URL a la que se redirige a los usuarios cuando cierran la sesión. Por ejemplo: https://<Xenmobile-FQDN>/aw/saml/signout.
    • Cambiar URL de contraseña: Introduzca la URL para permitir que los usuarios cambien su contraseña en el sistema. Por ejemplo: https://<Xenmobile-FQDN>/aw/saml/changepassword. Si se define este campo, los usuarios verán esta solicitud incluso cuando SSO no esté disponible.
    • Certificado de verificación: Haga clic en ELEGIR ARCHIVO y busque el certificado SAML exportado desde XenMobile.
  9. Haga clic en Guardar cambios.

Configurar una directiva de dispositivo para Android for Work

Configure una directiva de códigos de acceso para requerir que los usuarios definan un código de acceso en sus dispositivos la primera vez que los inscriban.

Imagen de la página de la directiva Código de acceso

Estos son los pasos básicos para configurar una directiva de dispositivo:

  1. Inicie sesión en la consola de XenMobile.

  2. Haga clic en Configurar y, a continuación, en Directivas de dispositivo.

  3. Haga clic en Agregar y seleccione la directiva que quiere agregar en el cuadro de diálogo Agregar nueva directiva. Para este ejemplo, haga clic en Código de acceso.

  4. Complete la página Información de directiva.

  5. Haga clic en Android for Work y defina las configuraciones de la directiva.

  6. Asigne la directiva a un grupo de entrega.

Directivas MDX y directivas de dispositivo respaldadas

En la siguiente tabla, se muestran las directivas de dispositivo y las directivas MDX respaldadas en el contenedor Android for Work. Para obtener más información sobre las directivas de dispositivo y las directivas MDX, consulte Directivas de dispositivo y Vista general de las directivas MDX, respectivamente.

Directivas de autenticación Respaldado Valores respaldados Notas
Código de acceso de aplicación X Todos  
Sesión con conexión requerida   Solo desactivado  
Periodo máximo sin conexión X Todos  
NetScaler Gateway alternativo   Solo vacío  
Directivas de acceso de las aplicaciones a la red Respaldado Valores respaldados Notas
Acceso de red X Todos  
Etiqueta de certificado   Solo vacío  
Modo preferido de VPN X Todos  
Permitir cambio de modo VPN X Todos  
URL del archivo PAC o servidor proxy X Todos  
Salida de registros predeterminada X Todos  
Nivel de registro predeterminado X Todos  
Máximo de archivos de registros X Todos  
Tamaño máximo de archivo de registros X Todos  
Redirigir registros de la aplicación X Todos  
Cifrar registros X Todos  
Lista blanca de redes Wi-Fi   Solo vacío  
Directivas de seguridad del dispositivo Respaldado Valores respaldados Notas
Bloquear si está liberado por jailbreak o root X Todos  
Requerir cifrado del dispositivo X Todos  
Requerir bloqueo de dispositivo X Todos  
Directivas de requisitos de la red Respaldado Valores respaldados Notas
Requerir Wi-Fi X No  
Otras directivas de acceso Respaldado Valores respaldados Notas
Periodo de gracia de actualización de aplicación (horas) X Todos  
Borrar datos de la aplicación al bloquear X Todos  
Periodo de sondeo activo (minutos) X Todos  
Directivas de cifrado Respaldado Valores respaldados Notas
Claves de cifrado X Acceso sin conexión permitido Respaldado a través de la directiva Android Enterprise
Cifrado de archivos privados X Solo inhabilitado Respaldado a través de la directiva Android Enterprise
Exclusiones de cifrado de archivos privados X N/D (vacío) Respaldado a través de la directiva Android Enterprise
Límites de acceso para archivos públicos X N/D (vacío) Respaldado a través de la directiva Android Enterprise
Cifrado de archivos públicos X Solo inhabilitado Respaldado a través de la directiva Android Enterprise
Exclusiones de cifrado de archivos públicos X N/D (vacío) Respaldado a través de la directiva Android Enterprise
Migración de archivos públicos X Solo inhabilitado Respaldado a través de la directiva Android Enterprise
Directivas de interacción entre aplicaciones Respaldado Valores respaldados Notas        
Grupo de seguridad X Vacío Respaldado a través de la directiva Android Enterprise Cortar y copiar X Sin restricciones solo Respaldado a través de la directiva Android Enterprise
Pegar X Sin restricciones solo Respaldado a través de la directiva Android Enterprise        
Intercambio de documentos (Abrir en) X Sin restricciones solo Respaldado a través de la directiva Android Enterprise        
Intercambio de documentos entrantes (Abrir en) X Todos Respaldado a través de la directiva Android Enterprise        
Lista blanca de intercambio de documentos entrantes X Vacío Respaldado a través de la directiva Android Enterprise        
Lista de excepciones de la apertura restringida X Vacío Respaldado a través de la directiva Android Enterprise        
Directivas de restricciones a aplicaciones Respaldado Valores respaldados Notas
Bloquear cámara X Solo activado Respaldado a través de la directiva Android Enterprise
Bloquear galería X Solo activado Respaldado a través de la directiva Android Enterprise
Bloquear conexiones localhost X Todos  
Bloquear grabación de micrófono X Solo desactivado Respaldado a través de la directiva Android Enterprise
Bloquear servicios de localización X Solo desactivado Respaldado a través de la directiva Android Enterprise
Bloquear redacción de SMS X Solo desactivado Respaldado a través de la directiva Android Enterprise
Bloquear captura de pantalla X Solo desactivado Respaldado a través de la directiva Android Enterprise
Bloquear sensor del dispositivo X Todos  
Bloquear NFC X Solo desactivado Respaldado a través de la directiva Android Enterprise
Bloquear impresión X Todos  
Bloquear registros de aplicaciones X Todos  
Directivas de geocercas para aplicaciones Respaldado Valores respaldados Notas
Longitud del punto central X Todos  
Latitud del punto central X Todos  
Radio X Todos  

Configurar parámetros de cuenta para Android for Work

En XenMobile, antes de empezar a administrar aplicaciones y directivas Android en los dispositivos, debe configurar la información de la cuenta y del dominio de Android for Work. Primero, debe completar las tareas de configuración de Android for Work en Google para definir un administrador de dominio y obtener un ID de cuenta de servicio, así como un token de vinculación.

  1. En la consola Web de XenMobile, haga clic en el icono con forma de engranaje situado en la esquina superior derecha. Aparecerá la página Parámetros.

  2. En Servidor, haga clic en Android for Work. Aparecerá la página de configuración Android for Work.

Imagen de la página de configuración de Android for Work

  1. En la página Android for Work, configure los siguientes parámetros:

    • Nombre de dominio: Introduzca el nombre de dominio.
    • Cuenta de administrador de dominio: Escriba el nombre de usuario del administrador de dominio.
    • ID de cuenta de servicio: Escriba el ID de la cuenta de servicio de Google.
    • ID de cliente: Escriba el ID del cliente correspondiente a su cuenta de servicio de Google.
    • Habilitar Android for Work: Seleccione si habilitar Android for Work.
  2. Haga clic en Guardar.

Configurar el acceso de socios G Suite para XenMobile

Algunas características para la administración de dispositivos de punto final que ofrece Chrome usan las API de socios de Google para la comunicación entre XenMobile y el dominio de G Suite. Por ejemplo, XenMobile requiere las API para las directivas de dispositivo que administran las funciones de Chrome (como el modo incógnito y el modo invitado).

Para habilitar las API de los socios, configure su dominio de G Suite en la consola de XenMobile y luego configure su cuenta de G Suite.

Configurar el dominio de G Suite en XenMobile

Para permitir que XenMobile se comunique con las API en su dominio de G Suite, vaya a Parámetros > Configuración de Google Chrome y defina estos parámetros.

Imagen de la pantalla de configuración de Google Chrome

  • Dominio de G-Suite: El dominio de G Suite que aloja las API que necesita XenMobile.
  • Administrador de G-Suite: La cuenta de administrador del dominio de G Suite.
  • ID de cliente de G-Suite: El ID de cliente para Citrix. Use este valor cuando configure el acceso de socios (partners) a su dominio de G Suite.
  • ID de G-Suite Enterprise: El ID de empresa de la cuenta, rellenado desde su cuenta empresarial de Google.

Habilitar el acceso de socios para dispositivos y usuarios en su dominio de G Suite

  1. Inicie una sesión en la Consola de administración de Google: https://admin.google.com

  2. Haga clic en Administración de dispositivos.

    Imagen de la consola de administrador de Google

  3. Haga clic en Administración de Chrome.

    Imagen de la consola de administrador de Google

  4. Haga clic en Configuración de usuario.

    Imagen de la consola de administrador de Google

  5. Busque Administración de Chrome ‑ Acceso de partners.

    Imagen de la consola de administrador de Google

  6. Marque la casilla Habilitar Administración de Chrome - Acceso de partners.

  7. Acepte el indicador de que comprende y quiere habilitar el acceso de socios. Haga clic en Guardar.

  8. En la página de administración de Chrome, haga clic en Configuración del dispositivo.

    Imagen de la consola de administrador de Google

  9. Busque Administración de Chrome ‑ Acceso de partners.

    Imagen de la consola de administrador de Google

  10. Marque la casilla Habilitar Administración de Chrome - Acceso de partners.

  11. Acepte el indicador de que comprende y quiere habilitar el acceso de socios. Haga clic en Guardar.

  12. Vaya a la página Seguridad y haga clic en Configuración avanzada.

    Imagen de la consola de administrador de Google

  13. Haga clic en Administrar el acceso de cliente API.

  14. En la consola de XenMobile, vaya a Parámetros > Configuración de Google Chrome y copie el valor de ID de cliente de G-Suite. A continuación, vuelva a la página Administrar el acceso de cliente API y pegue el valor copiado en el campo Nombre de cliente.

  15. En Uno o más ámbitos API, agregue la URL: https://www.googleapis.com/auth/chromedevicemanagementapi

    Imagen de la consola de administrador de Google

  16. Haga clic en Autorizar.

    Aparece el mensaje de configuración guardada.

Imagen de la pantalla de configuración de directivas de dispositivo

Inscribir dispositivos Android for Work

Si el proceso de inscripción de dispositivos requiere que los usuarios introduzcan un ID o un nombre de usuario, el formato aceptado depende de cómo esté configurado el servidor XenMobile para buscar usuarios (por nombre principal de usuario (UPN) o por nombre de cuenta SAM).

Si el servidor XenMobile está configurado para buscar usuarios por nombre UPN, los usuarios deben introducir un nombre UPN en el formato:

  • nombre de usuario@dominio

Si el servidor XenMobile está configurado para buscar usuarios por SAM, los usuarios deben introducir un SAM en uno de estos formatos:

  • nombre de usuario@dominio
  • dominio\nombre de usuario

Para determinar para qué tipo de nombre de usuario está configurado su servidor XenMobile:

  1. En la consola del servidor XenMobile, haga clic en el icono con forma de engranaje situado en la esquina superior derecha. Aparecerá la página Parámetros.
  2. Haga clic en LDAP para ver la configuración de la conexión LDAP.
  3. En la parte inferior de la página, verá el campo Buscar usuarios por:

    • Si está establecido en userPrincipalName, el servidor XenMobile está configurado para buscar usuarios por nombre UPN.
    • Si está establecido en sAMAccountName, el servidor XenMobile está configurado para buscar usuarios por cuenta SAM.

Desinscribir una empresa de Android for Work

Puede desinscribir una empresa de Android for Work utilizando la consola de XenMobile Server y las herramientas de XenMobile Tools.

Cuando realiza esta tarea, XenMobile Server abre una ventana emergente para XenMobile Tools. Antes de comenzar, asegúrese de que XenMobile Server tenga permiso para abrir ventanas emergentes en el explorador Web que esté utilizando. Algunos exploradores Web, como Google Chrome, requieren que se inhabilite el bloqueo de ventanas emergentes y se agregue la dirección del sitio de XenMobile a la lista blanca de bloqueo de ventanas emergentes.

Advertencia:

Una vez que se ha desinscrito una empresa, las aplicaciones Android for Work en dispositivos ya inscritos a través de ella se restablecen a sus estados predeterminados. Google ya no administrará los dispositivos. Volver a inscribirlos en una empresa de Android for Work podría requerir una configuración adicional para restaurar la funcionalidad anterior.

Después de que la empresa Android for Work se ha desinscrito:

  • En los dispositivos y los usuarios inscritos a través de la empresa, las aplicaciones de Android for Work se restablecen a sus estados predeterminados. Las directivas Permisos y Restricciones a aplicaciones de Android for Work aplicadas ya no tienen efecto.
  • XenMobile administra los dispositivos inscritos a través de la empresa, pero se consideran no administradas desde el punto de vista de Google. No se pueden agregar nuevas aplicaciones de Android for Work. No se pueden aplicar las directivas de Permisos ni Restricciones a las aplicaciones Android for Work. Sin embargo, aún se pueden aplicar otras directivas, tales como Programación, Contraseña y Restricciones, a estos dispositivos.
  • Si intenta inscribir dispositivos en Android for Work, se inscriben como dispositivos Android, no como dispositivos Android for Work.

Para desinscribir una empresa de Android for Work:

  1. En la consola de XenMobile, haga clic en el icono con forma de engranaje situado en la esquina superior derecha. Aparecerá la página Parámetros.

  2. En la página “Parámetros”, haga clic en Android for Work.

  3. Haga clic en Quitar empresa.

    Imagen de la opción Quitar empresa

  4. Especifique una contraseña. La necesitará en el próximo paso para completar la desinscripción. Haga clic en Desinscribir.

    Imagen de la opción Desinscribir

  5. Cuando se abra la página de XenMobile Tools, introduzca la contraseña que creó en el paso anterior.

    Imagen del campo de contraseña

  6. Haga clic en Desinscribir.

    Imagen de la opción Desinscribir

Aprovisionar el modo de dispositivo administrado de trabajo en Android for Work

El modo de dispositivo administrado de trabajo (Work-managed) solo está disponible para dispositivos que son propiedad de la empresa en Android for Work. XenMobile admite estos métodos de inscripción en el modo de dispositivo administrado de trabajo:

  • afw#xenmobile: Con este método de inscripción, el usuario escribe los caracteres “afw#xenmobile” al configurar el dispositivo. Este token identifica el dispositivo como administrado por XenMobile y descarga Secure Hub.
  • Código QR: El aprovisionamiento de códigos QR es una forma fácil de aprovisionar una flota distribuida de dispositivos que no admiten NFC, como las tabletas. Puede usar el método de inscripción por código QR en flotas de dispositivos que se han restablecido a sus valores de fábrica. El método de inscripción por código QR define y configura el modo de dispositivo administrado de trabajo escaneando un código QR en el asistente de configuración.
  • Conexión Near Field Communication (NFC): Puede usar el método de inscripción por conexión NFC en flotas de dispositivos que se han restablecido a sus valores de fábrica. Una conexión NFC transfiere datos entre dos dispositivos por transmisión de datos en proximidad. Bluetooth, Wi-Fi y otros modos de comunicación están inhabilitados en un dispositivo que ha sido restablecido a sus parámetros de fábrica. NFC es el único protocolo de comunicación que el dispositivo puede utilizar en ese estado.

afw#xenmobile

El método de inscripción se usa después de encender un dispositivo nuevo o restablecido a los valores de fábrica para la configuración inicial. Los usuarios escriben “afw#xenmobile” cuando se les solicita que escriban una cuenta de Google. Esta acción descarga e instala Secure Hub. Los usuarios siguen las indicaciones de configuración de Secure Hub para completar la inscripción.

Se recomienda este método de inscripción para la mayoría de los clientes porque la versión más reciente de Secure Hub se descarga desde la tienda Google Play. A diferencia de otros métodos de inscripción, no es necesario proporcionar Secure Hub para descargarlo desde el servidor XenMobile.

Requisitos previos:

  • Se respalda en todos los dispositivos con Android 5.0 y versiones posteriores.

Código QR

Para inscribir un dispositivo en el modo propietario mediante un código QR, debe generar un código QR. Para ello, cree un JSON y conviértalo en un código QR. La cámara del dispositivo escanea el código QR para inscribir el dispositivo.

Requisitos previos:

  • Se respalda en todos los dispositivos con Android 7.0 y versiones posteriores.

Crear un código QR a partir de un JSON

Cree un JSON con los siguientes campos.

Estos campos son obligatorios:

Clave: android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME

Valor: com.zenprise/com.zenprise.configuration.AdminFunction

Clave: android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM

Valor: qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM

Clave: android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION

Valor: https://path/to/securehub.apk

Nota:

Si Secure Hub se carga en el servidor Citrix XenMobile como una aplicación de empresa, se puede descargar desde https://<fqdn>:4443/*instanceName*/worxhome.apk. Se debe poder acceder a la ruta del APK de Secure Hub a través de la conexión Wi-Fi a la que se conectará el dispositivo durante el aprovisionamiento.

Estos campos son opcionales:

  • android.app.extra.PROVISIONING_LOCALE=<locale>: Indique los códigos de idioma y país.

    Los códigos de idioma son códigos de idioma ISO de dos letras minúsculas (por ejemplo, “es” para español), según se definen en ISO 639-1. Los códigos de país son códigos de país de dos letras mayúsculas (por ejemplo, “ES” para España), según se definen en ISO 3166-1. Por ejemplo, introduzca es_ES para el español hablado en España.

  • android.app.extra.PROVISIONING_TIME_ZONE=<timezone>: La zona horaria en que se ejecuta el dispositivo.

    Introduzca un nombre Olson con el formato área/ciudad. Por ejemplo: America/Los_Angeles para la zona horaria del Pacífico en Estados Unidos. Si no introduce ninguno, la zona horaria se rellena automáticamente.

  • android.app.extra.PROVISIONING_LOCAL_TIME: Tiempo en milisegundos desde epoch.

    El epoch de Unix (o la hora de Unix, la hora de POSIX o la marca de hora de Unix) es la cantidad de segundos que hayan transcurridos desde el 1 de enero de 1970 (medianoche UTC/GMT). En este tiempo no se cuentan los segundos intercalares (en ISO 8601: 1970-01-01T00:00:00Z).

  • android.app.extra.PROVISIONING_SKIP_ENCRYPTION: Establézcalo en true para omitir el cifrado durante la creación del perfil. Establezca esta opción en false para forzar el cifrado durante la creación del perfil.

Un archivo JSON típico es similar al siguiente:

Imagen de un archivo JSON típico

Valide el archivo JSON que se cree utilizando cualquier herramienta de validación JSON, como https://jsonlint.com. Convierta esa cadena JSON en un código QR mediante cualquier generador de códigos QR en línea, como https://goqr.me.

Este código QR se escanea con un dispositivo restablecido a los valores de fábrica para inscribirlo en el modo de dispositivo administrado de trabajo.

Para inscribir el dispositivo

Para inscribir un dispositivo en el modo de dispositivo administrado de trabajo, este debe estar restablecido a los valores de fábrica.

  1. Toque seis veces en la pantalla de bienvenida para iniciar la inscripción por código QR.
  2. Cuando se le solicite, conéctese a la Wi-Fi. Se puede acceder a la ubicación de descarga que tenga establecido Secure Hub en el código QR (codificado en JSON) a través de esta red Wi-Fi.

    Una vez que el dispositivo se conecte a la red Wi-Fi, descarga un lector de códigos QR desde Google e inicia la cámara.

  3. Apunte la cámara al código QR para escanear el código.

    Android descarga Secure Hub desde la ubicación de descarga establecida en el código QR, valida la firma del certificado de firma, instala Secure Hub y establece el modo propietario del dispositivo.

Para obtener más información, consulte esta guía de Google para desarrolladores EMM de Android: https://developers.google.com/android/work/prov-devices#qr_code_method.

Conexión NFC

Para inscribir un dispositivo en el modo propietario del dispositivo por conexión NFC, se necesitan dos dispositivos: uno que se haya restablecido a sus parámetros de fábrica y uno que ejecute la herramienta XenMobile Provisioning Tool.

Requisitos previos:

  • Se respalda en todos los dispositivos con Android 5.0, Android 5.1, Android 6.0 y versiones posteriores.
  • XenMobile Server 10.4 habilitado para Android for Work.
  • Un dispositivo con parámetros de fábrica, aprovisionado para Android for Work en el modo de dispositivo administrado de trabajo. Dispone de los pasos necesarios para completar este requisito previo más adelante en este artículo.
  • Otro dispositivo con capacidades de comunicación NFC, que ejecuta la herramienta Provisioning Tool configurada. La herramienta Provisioning Tool está disponible en Secure Hub 10.4 o en la página de descargas de Citrix.

Cada dispositivo puede tener un solo perfil de Android for Work, administrado por una aplicación para la administración de movilidad empresarial (EMM). En XenMobile, Secure Hub es la aplicación EMM. Solo se permite un perfil por dispositivo. Si intenta agregar una segunda aplicación EMM, se eliminará la primera.

Puede iniciar el modo de dispositivo administrado de trabajo en dispositivos nuevos o en dispositivos que han sido restaurados a sus valores de fábrica. Podrá administrar por completo el dispositivo con XenMobile.

Datos transferidos a través de la conexión NFC

Para aprovisionar un dispositivo restablecido a sus valores de fábrica, debe enviar los siguientes datos vía una conexión NFC para activar Android for Work:

  • Nombre del paquete de la aplicación de proveedor EMM que actuará como propietario del dispositivo (en este caso, Secure Hub).
  • Ubicación de intranet o Internet desde donde el dispositivo puede descargar la aplicación de proveedor EMM.
  • Valor hash SHA1 de la aplicación de proveedor EMM para verificar si la descarga fue correcta.
  • Datos de la conexión Wi-Fi para que un dispositivo restablecido a sus valores de fábrica pueda conectarse y descargar la aplicación de proveedor EMM. Nota: Android no admite 802.1x Wi-Fi para este paso.
  • Zona horaria del dispositivo (opcional).
  • Ubicación geográfica del dispositivo (opcional).

Cuando los dos dispositivos se conectan por NFC, los datos de la herramienta Provisioning Tool se envían al dispositivo restablecido a los valores de fábrica. Esos datos se utilizan para descargar Secure Hub con los parámetros del administrador. Si no introduce valores para la zona horaria y la ubicación geográfica, Android los configurará automáticamente en el nuevo dispositivo.

Configuración de la herramienta XenMobile Provisioning Tool

Antes de una conexión NFC, es necesario configurar la herramienta Provisioning Tool. Esta configuración se transfiere, a continuación, al dispositivo restablecido con parámetros de fábrica durante la conexión NFC.

Imagen de la configuración de Provisioning Tool

Puede introducir los datos en los campos requeridos o rellenar los campos mediante un archivo de texto. En los pasos del siguiente procedimiento, se describe cómo configurar un archivo de texto que contenga descripciones para cada campo. La aplicación no guarda información una vez introducida ésta, por lo que puede ser conveniente crear un archivo de texto para conservar esa información para el futuro.

Para configurar Provisioning Tool mediante un archivo de texto

Nombre el archivo nfcprovisioning.txt y colóquelo en la tarjeta SD del dispositivo (en la carpeta /sdcard/). La aplicación leerá el archivo de texto y rellenará los valores.

El archivo de texto debe contener los datos siguientes:

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=<download_location>

Esta línea es la ubicación de intranet o Internet de la aplicación de proveedor EMM. Una vez que el dispositivo restablecido a los valores de fábrica se conecte a Wi-Fi por conexión NFC, el dispositivo debe tener acceso a esta ubicación para la descarga. La URL es una dirección URL normal, sin formato especial.

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=<SHA1 hash>

Esta línea es la suma de comprobación de la aplicación de proveedor EMM. Esta suma de comprobación se utiliza para verificar que la descarga se ha realizado correctamente. Los pasos para obtener la suma de comprobación se describen más adelante en este artículo.

android.app.extra.PROVISIONING_WIFI_SSID=<wifi ssid>

Esta línea es el SSID del dispositivo conectado por Wi-Fi donde se está ejecutando la herramienta Provisioning Tool.

android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=<wifi security type>

Los valores admitidos son WEP y WPA2. Si la red Wi-Fi no está protegida, este campo debe estar vacío.

android.app.extra.PROVISIONING_WIFI_PASSWORD=<wifi password>

Si la red Wi-Fi no está protegida, este campo debe estar vacío.

android.app.extra.PROVISIONING_LOCALE=<locale>

Introduzca códigos de idioma y país. Los códigos de idioma son códigos de idioma ISO de dos letras minúsculas (por ejemplo, “es” para español), según se definen en ISO 639-1. Los códigos de país son códigos de país de dos letras mayúsculas (por ejemplo, “ES” para España), según se definen en ISO 3166-1. Por ejemplo, introduzca es_ES para el español hablado en España. Si no introduce ningún código, el país y el idioma se rellenan automáticamente.

android.app.extra.PROVISIONING_TIME_ZONE=<timezone>

La zona horaria en que se ejecuta el dispositivo. Introduzca un nombre Olson con el formato área/ciudad. Por ejemplo: America/Los_Angeles para la zona horaria del Pacífico en Estados Unidos. Si no introduce ningún nombre, la zona horaria se rellena automáticamente.

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME=<package name>

Este dato no es necesario, porque el valor está codificado en la aplicación como “Secure Hub”. Se menciona aquí a título meramente informativo.

Si existe una red Wi-Fi protegida con WPA2, un archivo nfcprovisioning.txt completado puede tener el siguiente aspecto:

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d

android.app.extra.PROVISIONING_WIFI_SSID=Protected_WiFi_Name

android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=WPA2

android.app.extra.PROVISIONING_WIFI_PASSWORD=wifiPasswordHere

android.app.extra.PROVISIONING_LOCALE=en_US

android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles

Si existe una red Wi-Fi no protegida, un archivo nfcprovisioning.txt completado puede tener el siguiente aspecto:

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d

android.app.extra.PROVISIONING_WIFI_SSID=Unprotected_WiFi_Name

android.app.extra.PROVISIONING_LOCALE=en_US

android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles

Para obtener la suma de comprobación de Secure Hub

Si quiere obtener la suma de comprobación de cualquier aplicación, agregue la aplicación como aplicación de empresa.

  1. En la consola de XenMobile, vaya a Configurar > Aplicaciones y haga clic en Agregar.

    Aparecerá la ventana Agregar aplicación.

  2. Haga clic en Empresa.

    Aparecerá la página Información de la aplicación.

    Imagen de la página Información de la aplicación

  3. Seleccione la configuración siguiente y haga clic en Siguiente.

    Aparecerá la pantalla de la aplicación de empresa para Android for Work.

    Imagen de la página de la aplicación de empresa para Android for Work

  4. Facilite la ruta al archivo APK y haga clic en Siguiente para cargar el archivo.

    Una vez completada la carga, verá los datos del paquete cargado.

    Imagen de la página de carga de archivos

  5. Haga clic en Siguiente para ver la página desde donde descargar el archivo JSON, que podrá utilizar para hacer cargas en Google Play. Para Secure Hub, la carga en Google Play no es obligatoria, pero necesita el archivo JSON para leer el valor SHA1 en él.

    Imagen de la página de descarga de archivo JSON

    Un archivo JSON típico es similar al siguiente:

    Imagen de un archivo JSON típico

  6. Copie el valor file_sha1_base64 y úselo en el campo Hash de la herramienta Provisioning Tool.

    Nota: El hash debe ser contener caracteres que se puedan usar en las URL.

    • Convierta todos los símbolos + a -.
    • Convierta los símbolos / a _.
    • Reemplace \u003d por =.

    La aplicación hará la conversión de manera segura si guarda el hash en el archivo nfcprovisioning.txt, en la tarjeta SD del dispositivo. Sin embargo, si opta por introducir el hash manualmente, tendrá que comprobar usted mismo que el valor es compatible con direcciones URL.

Bibliotecas utilizadas

La herramienta Provisioning Tool utiliza las bibliotecas siguientes en su código fuente:

  • Biblioteca appcompat v7, biblioteca Design support y biblioteca Palette v7 de Google bajo la licencia de Apache 2.0

    Para obtener información, consulte Support Library Features Guide.

  • Butter Knife de Jake Wharton bajo la licencia de Apache 2.0

Aprovisionar el modo de perfil de trabajo en Android for Work

En Android for Work, el modo de perfil de trabajo está disponible para dispositivos en los que se separan de forma segura las áreas corporativas de las personales. Por ejemplo, el modo de perfil de trabajo está disponible para dispositivos BYOD. La experiencia de inscripción para el modo de perfil de trabajo es similar a la inscripción de Android en XenMobile. Los usuarios descargan Secure Hub desde Google Play e inscriben sus dispositivos.

De forma predeterminada, los parámetros de depuración por USB y fuentes desconocidas están inhabilitados en un dispositivo cuando se inscribe en Android for Work en el modo de perfil de trabajo.

Sugerencia:

Cuando inscriba dispositivos en Android for Work en el modo de perfil de trabajo, vaya siempre a Google Play. Desde allí, habilite Secure Hub para que aparezca en el perfil personal del usuario.