Android Enterprise

Android Enterprise est un ensemble d’outils et de services fournis par Google en tant que solution de gestion d’entreprise pour les appareils Android. Avec Android Enterprise :

• Vous utilisez XenMobile® pour gérer les appareils Android appartenant à l’entreprise et les appareils Android personnels (BYOD).

• Vous pouvez gérer l’intégralité de l’appareil ou un profil distinct sur l’appareil. Le profil distinct isole les comptes, applications et données professionnels des comptes, applications et données personnels.

• Vous pouvez également gérer des appareils dédiés à un usage unique, tels que la gestion des stocks. Pour un aperçu des capacités d’Android Enterprise de Google, consultez Gestion Android Enterprise.

Ressources :

• Pour une liste des termes et définitions liés à Android Enterprise, consultez Terminologie Android Enterprise dans le guide des développeurs Google Android Enterprise. Google met fréquemment à jour ces termes.

• Pour les systèmes d’exploitation Android pris en charge par XenMobile, consultez Systèmes d’exploitation d’appareils pris en charge.

• Pour plus d’informations sur les connexions sortantes à prendre en compte lors de la configuration des environnements réseau pour Android Enterprise, consultez l’article d’assistance Google, Exigences réseau Android Enterprise.

Lorsque vous intégrez XenMobile à Google Play géré pour utiliser Android Enterprise, vous créez une entreprise. Google définit une entreprise comme une liaison entre l’organisation et votre solution de gestion de la mobilité d’entreprise (EMM). Tous les utilisateurs et appareils que l’organisation gère via votre solution appartiennent à cette entreprise.

Une entreprise pour Android Enterprise comporte trois composants : une solution EMM, une application de contrôleur de stratégie d’appareil (DPC) et une plateforme d’applications d’entreprise Google. Lorsque vous intégrez XenMobile à Android Enterprise, la solution complète comprend les composants suivants :

• XenMobile : L’EMM Citrix. XenMobile est la solution XenMobile unifiée pour un espace de travail numérique sécurisé. XenMobile fournit aux administrateurs informatiques les moyens de gérer les appareils et les applications de leurs organisations.
• Citrix Secure Hub™ : L’application DPC Citrix. Secure Hub est la plateforme de lancement de XenMobile. Secure Hub applique les stratégies sur l’appareil.
• Google Play géré : Une plateforme d’applications d’entreprise Google qui s’intègre à XenMobile. L’API EMM de Google Play définit les stratégies d’application et distribue les applications.

Cette illustration montre comment les administrateurs interagissent avec ces composants et comment les composants interagissent entre eux :

Utilisation de Google Play géré avec XenMobile

Remarque :

Vous pouvez utiliser Google Play géré ou Google Workspace pour enregistrer Citrix en tant que fournisseur EMM. Cet article traite de l’utilisation d’Android Enterprise avec Google Play géré. Si votre organisation utilise Google Workspace pour fournir l’accès aux applications, vous pouvez l’utiliser avec Android Enterprise. Consultez Android Enterprise hérité pour les clients Google Workspace (anciennement G-Suite).

Lorsque vous utilisez Google Play géré, vous provisionnez des comptes Google Play gérés pour les appareils et les utilisateurs finaux. Les comptes Google Play gérés donnent accès à Google Play géré, permettant aux utilisateurs d’installer et d’utiliser les applications que vous mettez à disposition. Si votre organisation utilise un service d’identité tiers, vous pouvez lier les comptes Google Play gérés à vos comptes d’identité existants.

Étant donné que ce type d’entreprise n’est pas lié à un domaine, vous pouvez créer plusieurs entreprises pour une seule organisation. Par exemple, chaque service ou région au sein d’une organisation peut s’inscrire en tant qu’entreprise différente pour gérer des ensembles distincts d’appareils et d’applications.

Pour les administrateurs XenMobile, Google Play géré combine l’expérience utilisateur et les fonctionnalités de l’App Store de Google Play avec un ensemble de capacités de gestion conçues pour les entreprises. Vous utilisez Google Play géré pour ajouter, acheter et approuver des applications pour le déploiement dans l’espace de travail Android Enterprise sur un appareil. Vous pouvez utiliser Google Play pour déployer des applications publiques, des applications privées et des applications tierces.

Pour les utilisateurs d’appareils gérés, Google Play géré est l’App Store d’entreprise. Les utilisateurs peuvent parcourir les applications, afficher les détails des applications et les installer. Contrairement à la version publique de Google Play, les utilisateurs ne peuvent installer que les applications de Google Play géré que vous mettez à leur disposition.

Scénarios de déploiement d’appareils et modes de fonctionnement

Le scénario de déploiement d’appareils fait référence à la personne qui possède les appareils que vous déployez et à la manière dont vous les gérez. Les profils d’appareil font référence à la manière dont le DPC gère et applique les stratégies sur les appareils.

Un profil de travail isole les comptes, applications et données professionnels des comptes, applications et données personnels. Pour plus de détails sur les profils de travail, consultez la rubrique d’aide Google Android Enterprise, Qu’est-ce qu’un profil de travail.

Important :

Lorsque les appareils Android Enterprise sont mis à jour vers Android 11, Google migre les appareils gérés en tant que « entièrement gérés avec un profil de travail » vers une nouvelle expérience de profil de travail améliorée en matière de sécurité. Pour plus d’informations, consultez Changements à venir pour le profil de travail entièrement géré d’Android Enterprise.

* Les utilisateurs peuvent partager un appareil dédié. Lorsqu’un utilisateur se connecte à une application sur un appareil dédié, l’état de son travail est lié à l’application, et non à l’appareil.

** XenMobile ne prend pas en charge les appareils Zebra en mode profil de travail BYOD. XenMobile prend en charge les appareils Zebra en tant qu’appareils entièrement gérés et en mode hérité d’appareil (également appelé mode administrateur d’appareil).

Pour plus d’informations sur la migration du mode hérité vers le mode propriétaire de l’appareil ou propriétaire du profil, consultez Migrer de l’administration d’appareil vers Android Enterprise.

Méthodes d’authentification

Les profils d’inscription déterminent si les appareils Android s’inscrivent en MAM, MDM ou MDM+MAM, avec la possibilité pour les utilisateurs de se désinscrire du MDM.

Pour plus d’informations sur la spécification du niveau de sécurité et des étapes d’inscription requises, consultez Configurer les modes de sécurité d’inscription.

XenMobile prend en charge les méthodes d’authentification suivantes pour les appareils Android inscrits en MDM+MAM. Pour plus d’informations, consultez les articles sous Certificats et authentification.

• Domaine
• Domaine plus jeton de sécurité
• Certificat client
• Certificat client plus domaine
• Fournisseurs d’identité :
  • Azure Active Directory
  • Fournisseur d’identité Citrix

Une autre méthode d’authentification rarement utilisée est le certificat client plus le jeton de sécurité. Pour plus d’informations, consultez https://support.citrix.com/article/CTX215200.

Exigences

Avant de commencer à utiliser Android Enterprise, vous avez besoin de :

• Comptes et informations d’identification :

  • Pour configurer Android Enterprise avec Google Play géré, un compte Google d’entreprise
  • Pour télécharger les derniers fichiers MDX, un compte client Citrix
  • Pour déployer des applications privées (facultatif), un compte développeur Google

• Firebase Cloud Messaging (FCM) configuré pour XenMobile. Consultez Firebase Cloud Messaging pour obtenir des instructions.

• Pour Samsung Knox Mobile Enrollment (facultatif), des licences Knox premium.

Connexion de XenMobile à Google Play

Pour configurer Android Enterprise pour votre organisation, enregistrez Citrix en tant que fournisseur EMM via Google Play géré. Cette configuration connecte Google Play géré à XenMobile et crée une entreprise pour Android Enterprise dans XenMobile.

Vous avez besoin d’un compte Google d’entreprise pour vous connecter à Google Play.

1. Dans la console XenMobile, cliquez sur l’icône d’engrenage dans le coin supérieur droit. La page Paramètres apparaît.

2. Accédez à Paramètres > Android Enterprise.

1. Cliquez sur Connecter. Google Play s’ouvre.

1. Connectez-vous à Google Play avec les informations d’identification de votre compte Google d’entreprise. Saisissez le nom de votre organisation et confirmez que Citrix est votre fournisseur EMM.

2. Un ID d’entreprise est ajouté pour Android Enterprise. Pour activer Android Enterprise, faites glisser le bouton Activer Android Enterprise sur Oui.

   

Votre ID d’entreprise apparaît dans la console XenMobile.

Votre environnement est connecté à Google et est prêt à gérer les appareils. Vous pouvez maintenant fournir des applications aux utilisateurs.

XenMobile peut être utilisé pour fournir aux utilisateurs des applications de productivité mobile Citrix, des applications MDX, des applications de l’App Store public, des applications web et SaaS, des applications d’entreprise et des liens web. Pour plus d’informations sur ces types d’applications et leur mise à disposition des utilisateurs, consultez Ajouter des applications.

La section suivante montre comment fournir des applications de productivité mobile.

Fournir des applications de productivité mobile Citrix aux utilisateurs d’Android Enterprise

La mise à disposition d’applications de productivité mobile Citrix pour les utilisateurs d’Android Enterprise nécessite les étapes suivantes.

1. Publiez les applications en tant qu’applications MDX. Consultez Configurer les applications en tant qu’applications MDX.

2. Configurez les règles pour les défis de sécurité que vos utilisateurs utilisent pour accéder aux profils de travail sur leurs appareils. Consultez Configurer la stratégie de défi de sécurité.

Les applications que vous publiez sont disponibles pour les appareils inscrits dans votre entreprise Android Enterprise.

Remarque :

Lorsque vous déployez une application publique Android Enterprise depuis l’App Store sur un utilisateur Android, cet utilisateur est automatiquement inscrit à Android Enterprise.

Configurer les applications en tant qu’applications MDX

Pour configurer une application de productivité Citrix en tant qu’application MDX pour Android Enterprise :

1. Dans la console XenMobile, cliquez sur Configurer > Applications. La page Applications s’affiche.

   

2. Cliquez sur Ajouter. La boîte de dialogue Ajouter une application s’affiche.

   

3. Cliquez sur MDX. La page Informations sur l’application s’affiche.

4. Dans la partie gauche de la page, sélectionnez Android Enterprise comme plateforme.

5. Sur la page Informations sur l’application, saisissez les informations suivantes :

   • Nom : Saisissez un nom descriptif pour l’application. Ce nom apparaît sous Nom de l’application dans le tableau Applications.
   • Description : Saisissez une description facultative de l’application.
   • Catégorie d’application : Si vous le souhaitez, dans la liste, cliquez sur la catégorie à laquelle vous souhaitez ajouter l’application. Pour plus d’informations sur les catégories d’applications, consultez À propos des catégories d’applications.

6. Cliquez sur Suivant. La page Application MDX Android Enterprise s’affiche.

7. Cliquez sur Charger et accédez à l’emplacement des fichiers .mdx de l’application. Sélectionnez le fichier et cliquez sur Ouvrir.

8. L’interface utilisateur vous informe si l’application jointe nécessite une approbation du Google Play Store géré. Pour approuver l’application sans quitter la console XenMobile, cliquez sur Oui.

   

9. Lorsque la page du Google Play Store géré s’ouvre, cliquez sur Approuver.

   

10. Cliquez à nouveau sur Approuver.

11. Sélectionnez Maintenir l’approbation lorsque l’application demande de nouvelles autorisations. Cliquez sur Enregistrer.

    

12. Lorsque l’application est approuvée et enregistrée, d’autres paramètres apparaissent sur la page. Configurez ces paramètres :

    • Nom de fichier : Saisissez le nom de fichier associé à l’application.
    • Description de l’application : Saisissez une description pour l’application.
    • Piste de produit : Spécifiez la piste de produit que vous souhaitez déployer sur les appareils des utilisateurs. Si vous disposez d’une piste conçue pour les tests, vous pouvez la sélectionner et l’attribuer à vos utilisateurs. La valeur par défaut est Production.
    • Version de l’application : Saisissez éventuellement le numéro de version de l’application.
    • ID de package : L’URL de l’application dans le Google Play Store.
    • Version minimale du système d’exploitation : Saisissez éventuellement la version la plus ancienne du système d’exploitation que l’appareil peut exécuter pour utiliser l’application.
    • Version maximale du système d’exploitation : Saisissez éventuellement la version la plus récente du système d’exploitation que l’appareil doit exécuter pour utiliser l’application.
    • Appareils exclus : Saisissez éventuellement le fabricant ou les modèles d’appareils qui ne peuvent pas exécuter l’application.

13. Configurez les Stratégies MDX. Pour plus d’informations sur les stratégies d’application pour les applications MDX, consultez Stratégies MDX en un coup d’œil et Présentation du SDK MAM.

14. Configurez les règles de déploiement. Pour plus d’informations, consultez Déployer des ressources.

15. Développez Configuration du Store. Ce paramètre ne s’applique pas aux applications Android Enterprise, qui apparaissent uniquement dans Google Play géré.

    

    Vous pouvez éventuellement ajouter une FAQ pour l’application ou des captures d’écran qui apparaissent dans l’App Store. Vous pouvez également définir si les utilisateurs peuvent évaluer ou commenter l’application.

    • Configurez ces paramètres :
      • FAQ de l’application : Ajoutez des questions et réponses de FAQ pour l’application.
      • Captures d’écran de l’application : Ajoutez des captures d’écran pour aider à classer l’application dans l’App Store. Le graphique que vous chargez doit être un PNG. Vous ne pouvez pas charger une image GIF ou JPEG.
      • Autoriser les évaluations de l’application : Sélectionnez si vous souhaitez autoriser un utilisateur à évaluer l’application. La valeur par défaut est ACTIVÉ. Autoriser les commentaires sur l’application : Sélectionnez si vous souhaitez autoriser les utilisateurs à commenter l’application sélectionnée. La valeur par défaut est ACTIVÉ.

16. Cliquez sur Suivant. La page Approbations s’affiche.

    

    Vous utilisez des workflows lorsque vous avez besoin d’une approbation lors de la création de comptes utilisateur. Si vous ne souhaitez pas configurer de workflows d’approbation, vous pouvez passer à l’étape 15.

    Configurez ces paramètres pour attribuer ou créer un workflow :

    • Workflow à utiliser : Dans la liste, cliquez sur un workflow existant ou cliquez sur Créer un nouveau workflow. La valeur par défaut est Aucun.
    • Si vous sélectionnez Créer un nouveau workflow, configurez ces paramètres. Pour plus d’informations, consultez Appliquer des workflows.
    • Nom : Saisissez un nom unique pour le workflow.
    • Description : Saisissez éventuellement une description pour le workflow.
    • Modèles d’approbation par e-mail : Dans la liste, sélectionnez le modèle d’approbation par e-mail à attribuer. Lorsque vous cliquez sur l’icône en forme d’œil à droite de ce champ, une boîte de dialogue s’affiche dans laquelle vous pouvez prévisualiser le modèle.
    • Niveaux d’approbation du responsable : Dans la liste, sélectionnez le nombre de niveaux d’approbation du responsable requis pour ce workflow. La valeur par défaut est 1 niveau. Les options possibles sont :
      • Non requis
      • 1 niveau
      • 2 niveaux
      • 3 niveaux
    • Sélectionner le domaine Active Directory : Dans la liste, sélectionnez le domaine Active Directory approprié à utiliser pour le workflow.
    • Rechercher des approbateurs supplémentaires requis : Saisissez le nom de la personne supplémentaire requise dans le champ de recherche, puis cliquez sur Rechercher. Les noms proviennent d’Active Directory.
    • Lorsque le nom apparaît dans le champ, cochez la case en regard du nom. Le nom et l’adresse e-mail apparaissent dans la liste Approbateurs supplémentaires requis sélectionnés.
      • Pour supprimer une personne de la liste Approbateurs supplémentaires requis sélectionnés, effectuez l’une des opérations suivantes :
        • Cliquez sur Rechercher pour afficher une liste de toutes les personnes du domaine sélectionné.
        • Saisissez un nom complet ou partiel dans la zone de recherche, puis cliquez sur Rechercher pour limiter les résultats de la recherche.
        • Les personnes figurant dans la liste Approbateurs supplémentaires requis sélectionnés ont des coches en regard de leur nom dans la liste des résultats de recherche. Faites défiler la liste et décochez la case en regard de chaque nom que vous souhaitez supprimer.

17. Cliquez sur Suivant. La page Attribution de groupe de mise à disposition s’affiche.

    

18. En regard de Choisir des groupes de mise à disposition, saisissez un nom pour trouver un groupe de mise à disposition ou sélectionnez un ou plusieurs groupes dans la liste. Les groupes que vous sélectionnez apparaissent dans la liste Groupes de mise à disposition pour recevoir l’attribution d’application.

19. Développez Planification du déploiement, puis configurez les paramètres suivants :

    • En regard de Déployer, cliquez sur ACTIVÉ pour planifier le déploiement ou sur DÉSACTIVÉ pour empêcher le déploiement. L’option par défaut est ACTIVÉ.
    • En regard de Planification du déploiement, cliquez sur Maintenant ou Plus tard. L’option par défaut est Maintenant.
    • Si vous cliquez sur Plus tard, cliquez sur l’icône du calendrier, puis sélectionnez la date et l’heure du déploiement.
    • En regard de Condition de déploiement, cliquez sur À chaque connexion ou sur Uniquement lorsque le déploiement précédent a échoué. L’option par défaut est À chaque connexion.

    • En regard de Déployer pour une connexion permanente, assurez-vous que DÉSACTIVÉ est sélectionné. L’option par défaut est DÉSACTIVÉ. Les connexions permanentes ne sont pas disponibles pour Android Enterprise si vous avez commencé à utiliser XenMobile avec la version 10.18.19 ou ultérieure. Nous ne recommandons pas ces connexions aux clients qui ont commencé à utiliser XenMobile avant la version 10.18.19.

      Cette option s’applique lorsque vous avez configuré la clé de déploiement en arrière-plan de planification dans Paramètres > Propriétés du serveur.

      La planification du déploiement que vous configurez est la même pour toutes les plateformes. Toutes les modifications que vous apportez s’appliquent à toutes les plateformes, à l’exception de Déployer pour une connexion permanente.

20. Cliquez sur Enregistrer.

Répétez les étapes pour configurer une application MDX pour chaque application de productivité mobile.

Configurer la stratégie de défi de sécurité

La stratégie de périphérique de code d’accès XenMobile configure l’ensemble des règles pour les défis de sécurité que les utilisateurs doivent relever pour accéder à leurs appareils ou aux profils de travail Android Enterprise sur leurs appareils. Un défi de sécurité peut être un code d’accès ou une reconnaissance biométrique. Pour plus d’informations sur la stratégie de code d’accès, consultez Stratégie de périphérique de code d’accès.

• Si votre déploiement Android Enterprise inclut des appareils BYOD, configurez la stratégie de code d’accès pour le profil de travail.
• Si votre déploiement inclut des appareils d’entreprise entièrement gérés, configurez la stratégie de code d’accès pour l’appareil lui-même.
• Si votre déploiement inclut les deux types d’appareils, configurez les deux types de stratégie de code d’accès.

Pour configurer la stratégie de code d’accès :

1. Dans la console XenMobile, accédez à Configurer > Stratégies d’appareil.

2. Cliquez sur Ajouter.

3. Cliquez sur Afficher le filtre pour afficher le volet Plateforme de stratégie. Dans le volet Plateforme de stratégie, sélectionnez Android Enterprise.

4. Cliquez sur Code d’accès dans le volet de droite.

1. Saisissez un Nom de stratégie. Cliquez sur Suivant.

   

2. Configurez les paramètres de la stratégie de code d’accès.
   • Définissez Code d’accès de l’appareil requis sur Activé pour afficher les paramètres disponibles pour les défis de sécurité de l’appareil lui-même.
   • Définissez Défi de sécurité du profil de travail sur Activé pour afficher les paramètres disponibles pour les défis de sécurité du profil de travail.

3. Cliquez sur Suivant.

4. Attribuez la stratégie à un ou plusieurs groupes de mise à disposition.

5. Cliquez sur Enregistrer.

Création de profils d’inscription

Les profils d’inscription contrôlent la manière dont les appareils Android sont inscrits si Android Enterprise est activé pour votre déploiement XenMobile. Lorsque vous créez un profil d’inscription pour inscrire des appareils Android Enterprise, vous pouvez configurer le profil d’inscription pour inscrire les appareils neufs et réinitialisés en usine comme :

• Appareils entièrement gérés
• Appareils dédiés (appareils COSU)
• Appareils entièrement gérés avec un profil de travail (appareils COPE)

Vous pouvez également configurer chacun de ces profils d’inscription Android Enterprise pour inscrire les appareils Android BYOD comme appareils de profil de travail.

Si Android Enterprise est activé pour votre déploiement XenMobile, tous les appareils Android nouvellement inscrits ou réinscrits sont inscrits comme appareils Android Enterprise. Par défaut, le profil d’inscription global inscrit les appareils Android neufs et réinitialisés en usine comme appareils entièrement gérés et inscrit les appareils Android BYOD comme appareils de profil de travail.

Lorsque vous créez des profils d’inscription, vous leur attribuez des groupes de mise à disposition. Si un utilisateur appartient à plusieurs groupes de mise à disposition ayant des profils d’inscription différents, le nom du groupe de mise à disposition détermine le profil d’inscription utilisé. XenMobile sélectionne le groupe de mise à disposition qui apparaît en dernier dans une liste alphabétique de groupes de mise à disposition. Pour plus d’informations, consultez Profils d’inscription.

Vous pouvez utiliser les profils d’inscription pour combiner plusieurs cas d’utilisation tels que MDM uniquement, MDM+MAM et MAM uniquement. Le type de licence de votre serveur XenMobile, reflété dans la propriété du serveur xms.server.mode, détermine les paramètres disponibles dans Configurer > Profils d’inscription.

Ajouter un profil d’inscription pour les appareils entièrement gérés

Le profil d’inscription global inscrit les appareils entièrement gérés par défaut, mais vous pouvez créer d’autres profils d’inscription pour inscrire des appareils entièrement gérés.

1. Dans la console XenMobile, accédez à Configurer > Profils d’inscription.

2. Pour ajouter un profil d’inscription, cliquez sur Ajouter. Dans la page Informations d’inscription, saisissez un nom pour le profil d’inscription.

3. Définissez le nombre d’appareils que les membres associés à ce profil peuvent inscrire.

4. Sélectionnez Android sous Plateformes ou cliquez sur Suivant. La page Configuration de l’inscription s’affiche.

5. Définissez Gestion sur Android Enterprise.

6. Définissez Mode propriétaire de l’appareil sur Appareil appartenant à l’entreprise.

   

7. Le profil de travail BYOD vous permet de configurer le profil d’inscription pour inscrire les appareils BYOD en tant qu’appareils avec profil de travail. Les appareils neufs et réinitialisés en usine sont inscrits en tant qu’appareils entièrement gérés.

   • Définissez Profil de travail BYOD sur Activé pour autoriser l’inscription d’appareils BYOD en tant qu’appareils avec profil de travail. La valeur par défaut est Activé.
   • Définissez Profil de travail BYOD sur Désactivé pour restreindre l’inscription aux appareils entièrement gérés.

8. Choisissez d’inscrire ou non les appareils dans Citrix MAM.

9. Si vous définissez Profil de travail BYOD sur Activé, configurez le consentement de l’utilisateur. Pour permettre aux utilisateurs d’appareils avec profil de travail BYOD de refuser la gestion des appareils lors de l’inscription de leurs appareils, définissez Autoriser les utilisateurs à refuser la gestion des appareils sur Activé.

   Si Profil de travail BYOD est défini sur Activé, la valeur par défaut de Autoriser les utilisateurs à refuser la gestion des appareils est Activé. Si Profil de travail BYOD est défini sur Désactivé, alors Autoriser les utilisateurs à refuser la gestion des appareils est désactivé.

10. Sélectionnez Affectation (options). L’écran Affectation de groupe de mise à disposition s’affiche.

11. Choisissez le ou les groupes de mise à disposition contenant les administrateurs qui inscrivent les appareils entièrement gérés. Cliquez ensuite sur Enregistrer.

    La page Profil d’inscription s’affiche avec le profil que vous avez ajouté.

    

Ajouter un profil d’inscription d’appareil dédié

Lorsque votre déploiement XenMobile inclut des appareils dédiés, un seul administrateur XenMobile ou un petit groupe d’administrateurs inscrit de nombreux appareils dédiés. Pour vous assurer que ces administrateurs peuvent inscrire tous les appareils requis, créez un profil d’inscription pour eux avec un nombre illimité d’appareils autorisés par utilisateur.

1. Dans la console XenMobile, accédez à Configurer > Profils d’inscription.

2. Pour ajouter un profil d’inscription, cliquez sur Ajouter. Dans la page Informations d’inscription, saisissez un nom pour le profil d’inscription. Assurez-vous que le nombre d’appareils que les membres associés à ce profil peuvent inscrire est défini sur illimité.

3. Sélectionnez Android sous Plateformes ou cliquez sur Suivant. La page Configuration de l’inscription s’affiche.

4. Définissez Gestion sur Android Enterprise.

5. Définissez Mode propriétaire de l’appareil sur Appareil dédié.

   

6. Le profil de travail BYOD vous permet de configurer le profil d’inscription pour inscrire les appareils BYOD en tant qu’appareils avec profil de travail. Les appareils neufs et réinitialisés en usine sont inscrits en tant qu’appareils dédiés. Définissez Profil de travail BYOD sur Activé pour autoriser l’inscription d’appareils BYOD en tant qu’appareils avec profil de travail. Définissez Profil de travail BYOD sur Désactivé pour restreindre l’inscription aux appareils appartenant à l’entreprise. La valeur par défaut est Activé.

7. Choisissez d’inscrire ou non les appareils dans Citrix MAM.

8. Si vous définissez Profil de travail BYOD sur Activé, configurez le consentement de l’utilisateur. Pour permettre aux utilisateurs d’appareils avec profil de travail BYOD de refuser la gestion des appareils lors de l’inscription de leurs appareils, définissez Autoriser les utilisateurs à refuser la gestion des appareils sur Activé.

   Si Profil de travail BYOD est défini sur Activé, la valeur par défaut de Autoriser les utilisateurs à refuser la gestion des appareils est Activé. Si Profil de travail BYOD est défini sur Désactivé, alors Autoriser les utilisateurs à refuser la gestion des appareils est désactivé.

9. Sélectionnez Affectation (options). L’écran Affectation de groupe de mise à disposition s’affiche.

10. Choisissez le ou les groupes de mise à disposition qui contiennent les administrateurs qui inscrivent les appareils dédiés. Cliquez ensuite sur Enregistrer.

    La page Profil d’inscription s’affiche avec le profil que vous avez ajouté.

    

Ajouter un profil d’inscription pour les appareils entièrement gérés avec un profil de travail

1. Dans la console XenMobile, accédez à Configurer > Profils d’inscription.

2. Pour ajouter un profil d’inscription, cliquez sur Ajouter. Dans la page Informations d’inscription, saisissez un nom pour le profil d’inscription.

3. Définissez le nombre d’appareils que les membres associés à ce profil peuvent inscrire.

4. Sélectionnez Android sous Plateformes ou cliquez sur Suivant. La page Configuration de l’inscription s’affiche.

5. Définissez Gestion sur Android Enterprise. Définissez Mode propriétaire de l’appareil sur Entièrement géré avec profil de travail.

   

6. Le profil de travail BYOD vous permet de configurer le profil d’inscription pour inscrire les appareils BYOD en tant qu’appareils avec profil de travail. Les appareils neufs et réinitialisés en usine sont inscrits en tant qu’appareils entièrement gérés avec un profil de travail. Définissez Profil de travail BYOD sur Activé pour autoriser l’inscription d’appareils BYOD en tant qu’appareils avec profil de travail. Définissez Profil de travail BYOD sur Désactivé pour restreindre l’inscription aux appareils dédiés. La valeur par défaut est Désactivé.

7. Choisissez d’inscrire ou non les appareils dans Citrix MAM.

8. Si vous définissez Profil de travail BYOD sur Activé, configurez le consentement de l’utilisateur. Pour permettre aux utilisateurs d’appareils avec profil de travail BYOD de refuser la gestion des appareils lors de l’inscription de leurs appareils, définissez Autoriser les utilisateurs à refuser la gestion des appareils sur Activé.

   Si Profil de travail BYOD est défini sur Activé, la valeur par défaut de Autoriser les utilisateurs à refuser la gestion des appareils est Activé. Si Profil de travail BYOD est défini sur Désactivé, alors Autoriser les utilisateurs à refuser la gestion des appareils est désactivé.

9. Sélectionnez Affectation (options). L’écran Affectation de groupe de mise à disposition s’affiche.

10. Choisissez le ou les groupes de mise à disposition qui contiennent les administrateurs qui inscrivent les appareils entièrement gérés avec un profil de travail. Cliquez ensuite sur Enregistrer.

    La page Profil d’inscription s’affiche avec le profil que vous avez ajouté.

    

Ajout d’un profil d’inscription pour les appareils hérités

Google déprécie le mode administrateur d’appareil de la gestion des appareils. Google encourage les clients à gérer tous les appareils Android en mode propriétaire d’appareil ou en mode propriétaire de profil. (Consultez Dépréciation de l’administrateur d’appareil dans les guides de développement Google Android Enterprise.)

Pour prendre en charge ce changement :

• Citrix fait d’Android Enterprise l’option d’inscription par défaut pour les appareils Android.
• Si Android Enterprise est activé pour votre déploiement XenMobile, tous les appareils Android nouvellement inscrits ou réinscrits sont inscrits en tant qu’appareils Android Enterprise.

Votre organisation pourrait ne pas être prête à commencer à gérer les appareils Android hérités à l’aide d’Android Enterprise. Dans ce cas, vous pouvez continuer à les gérer en mode administrateur d’appareil. Pour les appareils déjà inscrits en mode administrateur d’appareil, XenMobile continue de les gérer en mode administrateur d’appareil.

Créez un profil d’inscription pour les appareils hérités afin de permettre aux nouvelles inscriptions d’appareils Android d’utiliser le mode administrateur d’appareil.

Pour créer un profil d’inscription pour les appareils hérités :

1. Dans la console XenMobile, accédez à Configurer > Profils d’inscription.

2. Pour ajouter un profil d’inscription, cliquez sur Ajouter. Dans la page Informations d’inscription, saisissez un nom pour le profil d’inscription.

3. Définissez le nombre d’appareils que les membres associés à ce profil peuvent inscrire.

4. Sélectionnez Android sous Plateformes ou cliquez sur Suivant. La page Configuration de l’inscription s’affiche.

5. Définissez Gestion sur Administration d’appareil héritée (non recommandée). Cliquez sur Suivant.

   

6. Choisissez d’inscrire ou non les appareils dans Citrix MAM.

7. Pour permettre aux utilisateurs de refuser la gestion des appareils lors de l’inscription de leurs appareils, définissez Autoriser les utilisateurs à refuser la gestion des appareils sur Activé. La valeur par défaut est Activé.

8. Sélectionnez Affectation (options). L’écran Affectation de groupe de mise à disposition s’affiche.

9. Choisissez le ou les groupes de mise à disposition qui contiennent les administrateurs qui inscrivent les appareils dédiés. Cliquez ensuite sur Enregistrer.

La page Profil d’inscription s’affiche avec le profil que vous avez ajouté.

Pour continuer à gérer un appareil hérité en mode administrateur d’appareil, inscrivez-le ou réinscrivez-le à l’aide de ce profil. Vous inscrivez les appareils administrateurs d’appareil de manière similaire aux appareils de profil professionnel, en demandant aux utilisateurs de télécharger Secure Hub et en fournissant une URL de serveur d’inscription.

Provisionnement des appareils de profil professionnel Android Enterprise

Les appareils de profil professionnel Android Enterprise sont inscrits en mode propriétaire de profil. Ces appareils n’ont pas besoin d’être neufs ou réinitialisés en usine. Les appareils BYOD sont inscrits en tant qu’appareils de profil professionnel. L’expérience d’inscription est similaire à l’inscription Android dans XenMobile. Les utilisateurs téléchargent Secure Hub depuis Google Play et inscrivent leurs appareils.

Par défaut, les paramètres Débogage USB et Sources inconnues sont désactivés sur un appareil lorsqu’il est inscrit dans Android Enterprise en tant qu’appareil de profil professionnel.

Lors de l’inscription d’appareils dans Android Enterprise en tant qu’appareils de profil professionnel, accédez toujours à Google Play. À partir de là, activez Secure Hub pour qu’il apparaisse dans le profil personnel de l’utilisateur.

Provisionnement des appareils Android Enterprise entièrement gérés

Vous pouvez inscrire des appareils entièrement gérés dans le déploiement que vous avez configuré dans les sections précédentes. Les appareils entièrement gérés sont des appareils appartenant à l’entreprise et sont inscrits en mode propriétaire d’appareil. Seuls les appareils neufs ou réinitialisés en usine peuvent être inscrits en mode propriétaire d’appareil.

Vous pouvez inscrire des appareils en mode propriétaire d’appareil à l’aide de l’une des méthodes d’inscription suivantes :

• Jeton d’identifiant DPC : Avec cette méthode d’inscription, les utilisateurs saisissent les caractères afw#xenmobile lors de la configuration de l’appareil. afw#xenmobile est le jeton d’identifiant DPC Citrix. Ce jeton identifie l’appareil comme étant géré par XenMobile et télécharge Secure Hub depuis le Google Play Store. Consultez Inscription des appareils à l’aide du jeton d’identifiant DPC Citrix.
• Communication en champ proche (NFC) : La méthode d’inscription par communication en champ proche (NFC) transfère des données entre deux appareils à l’aide de la communication en champ proche. Le Bluetooth, le Wi-Fi et d’autres modes de communication sont désactivés sur un appareil neuf ou réinitialisé en usine. La NFC est le seul protocole de communication que l’appareil peut utiliser dans cet état. Consultez Inscription des appareils par communication en champ proche (NFC).
• Code QR : L’inscription par code QR peut être utilisée pour inscrire un parc d’appareils distribués qui ne prennent pas en charge la NFC, tels que les tablettes. La méthode d’inscription par code QR configure le mode de profil de l’appareil en scannant un code QR à partir de l’assistant de configuration. Consultez Inscription des appareils à l’aide d’un code QR.
• Zero-touch : L’inscription Zero-touch vous permet de configurer les appareils pour qu’ils s’inscrivent automatiquement lors de leur première mise sous tension. L’inscription Zero-touch est prise en charge sur certains appareils Android exécutant Android 9.0 ou version ultérieure. Consultez Inscription Zero-touch.
• Comptes Google : Les utilisateurs saisissent leurs identifiants de compte Google pour démarrer le processus de provisionnement. Cette option est destinée aux entreprises utilisant Google Workspace.

Inscription des appareils à l’aide du jeton d’identifiant DPC Citrix

Les utilisateurs saisissent afw#xenmobile lorsqu’ils sont invités à entrer un compte Google après avoir mis sous tension des appareils neufs ou réinitialisés en usine pour la configuration initiale. Cette action télécharge et installe Secure Hub. Les utilisateurs suivent ensuite les invites de configuration de Secure Hub pour terminer l’inscription.

Cette méthode d’inscription est recommandée pour la plupart des clients car la dernière version de Secure Hub est téléchargée depuis le Google Play Store. Contrairement aux autres méthodes d’inscription, vous ne fournissez pas Secure Hub pour le téléchargement depuis le serveur XenMobile.

Configuration système requise

• Pris en charge sur tous les appareils Android exécutant le système d’exploitation Android.

Pour inscrire l’appareil

1. Mettez sous tension un appareil neuf ou réinitialisé en usine.

2. La configuration initiale de l’appareil se charge et vous invite à saisir un compte Google. Si l’appareil charge l’écran d’accueil de l’appareil, vérifiez la barre de notification pour une notification Terminer la configuration.

3. Saisissez afw#xenmobile dans le champ E-mail ou téléphone.

   

4. Appuyez sur Installer sur l’écran Android Enterprise vous invitant à installer Secure Hub.

5. Appuyez sur Installer sur l’écran d’installation de Secure Hub.

6. Appuyez sur Autoriser pour toutes les demandes d’autorisation d’application.

7. Appuyez sur Accepter et continuer pour installer Secure Hub et lui permettre de gérer l’appareil.

8. Secure Hub est maintenant installé et sur l’écran d’inscription par défaut. Dans cet exemple, la découverte automatique n’est pas configurée. Si elle l’était, l’utilisateur pourrait saisir son nom d’utilisateur/e-mail et un serveur pourrait être trouvé pour lui. Au lieu de cela, saisissez l’URL d’inscription de l’environnement et appuyez sur Suivant.

   

9. La configuration par défaut de XenMobile permet aux utilisateurs de choisir s’ils utilisent MAM ou MDM+MAM. Si vous êtes invité de cette manière, appuyez sur Oui, inscrire pour choisir MDM+MAM.

10. Saisissez le nom d’utilisateur et le mot de passe, puis appuyez sur Suivant.

11. L’utilisateur est invité à configurer un code d’accès pour l’appareil. Appuyez sur Définir et saisissez un code d’accès.

12. L’utilisateur est invité à configurer une méthode de déverrouillage de profil professionnel. Pour cet exemple, appuyez sur Mot de passe, appuyez sur PIN, et saisissez un code PIN.

    

13. L’appareil est maintenant sur l’écran d’accueil Mes applications de Secure Hub. Appuyez sur Ajouter des applications depuis le Store.

14. Pour ajouter Secure Web, appuyez sur Secure Web.

    

15. Appuyez sur Ajouter.

16. Secure Hub dirige l’utilisateur vers le Google Play Store pour installer Secure Web. Appuyez sur Installer.

17. Une fois Secure Web installé, appuyez sur Ouvrir. Saisissez une URL d’un site interne dans la barre d’adresse et vérifiez que la page se charge.

18. Accédez à Paramètres > Comptes sur l’appareil. Observez que le Compte géré ne peut pas être modifié. Les options de développeur pour le partage d’écran ou le débogage à distance sont également bloquées.

    

Inscription des appareils par communication en champ proche (NFC)

Pour inscrire un appareil en tant qu’appareil entièrement géré à l’aide de la communication en champ proche (NFC), deux appareils sont nécessaires : l’un réinitialisé à ses paramètres d’usine et l’autre exécutant l’outil de provisionnement XenMobile.

Configuration système requise et prérequis

• Appareils Android pris en charge.
• Un appareil neuf ou réinitialisé en usine, provisionné pour Android Enterprise en tant qu’appareil entièrement géré. Vous trouverez les étapes pour satisfaire ce prérequis plus loin dans cet article.
• Un autre appareil doté de la capacité NFC, exécutant l’outil de provisionnement configuré. L’outil de provisionnement est disponible dans Secure Hub ou sur la page de téléchargements Citrix.

Chaque appareil ne peut avoir qu’un seul profil Android Enterprise, géré par Secure Hub. Un seul profil est autorisé sur chaque appareil. Tenter d’ajouter une deuxième application DPC supprime Secure Hub installé.

Données transférées via la communication en champ proche (NFC)

Le provisionnement d’un appareil réinitialisé en usine nécessite l’envoi des données suivantes via une communication en champ proche (NFC) pour initialiser Android Enterprise :

• Nom du package de l’application DPC qui agit en tant que propriétaire de l’appareil (dans ce cas, Secure Hub).
• Emplacement intranet/Internet à partir duquel l’appareil peut télécharger l’application DPC.
• Hachage SHA1 de l’application DPC pour vérifier si le téléchargement est réussi.
• Détails de connexion Wi-Fi afin qu’un appareil réinitialisé en usine puisse se connecter et télécharger l’application DPC. Remarque : Android ne prend plus en charge le Wi-Fi 802.1x pour cette étape.
• Fuseau horaire de l’appareil (facultatif).
• Emplacement géographique de l’appareil (facultatif).

Lorsque les deux appareils sont mis en contact, les données de l’outil de provisionnement sont envoyées à l’appareil réinitialisé en usine. Ces données sont ensuite utilisées pour télécharger Secure Hub avec les paramètres d’administrateur. Si vous ne saisissez pas les valeurs de fuseau horaire et d’emplacement, Android configure automatiquement ces valeurs sur le nouvel appareil.

Configuration de l’outil de provisionnement XenMobile

Avant d’effectuer une communication en champ proche (NFC), vous devez configurer l’outil de provisionnement. Cette configuration est ensuite transférée à l’appareil réinitialisé en usine lors de la communication en champ proche (NFC).

Vous pouvez saisir des données dans les champs requis ou les renseigner à l’aide d’un fichier texte. Les étapes de la procédure suivante décrivent comment configurer le fichier texte et contiennent des descriptions pour chaque champ. L’application n’enregistre pas les informations après que vous les ayez saisies, vous pouvez donc créer un fichier texte pour conserver les informations pour une utilisation future.

Pour configurer l’outil de provisionnement à l’aide d’un fichier texte

Nommez le fichier nfcprovisioning.txt et placez-le dans le dossier /sdcard/ de la carte SD de l’appareil. L’application peut alors lire le fichier texte et renseigner les valeurs.

Le fichier texte doit contenir les données suivantes :

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=<download_location>

Cette ligne représente l’emplacement intranet/Internet de l’application du fournisseur EMM. Une fois que l’appareil réinitialisé en usine se connecte au Wi-Fi après la communication en champ proche (NFC), l’appareil doit avoir accès à cet emplacement pour le téléchargement. L’URL est une URL normale, sans formatage spécial requis.

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=<SHA1 hash>

Cette ligne représente la somme de contrôle (checksum) de l’application du fournisseur EMM. Cette somme de contrôle est utilisée pour vérifier que le téléchargement est réussi. Les étapes pour obtenir la somme de contrôle sont abordées plus loin dans cet article.

android.app.extra.PROVISIONING_WIFI_SSID=<wifi ssid>

Cette ligne représente le SSID Wi-Fi connecté de l’appareil sur lequel l’outil de provisionnement est exécuté.

android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=<wifi security type>

Les valeurs prises en charge sont WEP et WPA2. Si le Wi-Fi n’est pas protégé, ce champ doit être vide.

android.app.extra.PROVISIONING_WIFI_PASSWORD=<wifi password>

Si le Wi-Fi n’est pas protégé, ce champ doit être vide.

android.app.extra.PROVISIONING_LOCALE=<locale>

Saisissez les codes de langue et de pays. Les codes de langue sont des codes de langue ISO à deux lettres minuscules (tels que en) tels que définis par ISO 639-1. Les codes de pays sont des codes de pays ISO à deux lettres majuscules (tels que US) tels que définis par ISO 3166-1. Par exemple, saisissez en_US pour l’anglais tel que parlé aux États-Unis. Si vous ne saisissez aucun code, le pays et la langue sont automatiquement renseignés.

android.app.extra.PROVISIONING_TIME_ZONE=<timezone>

Le fuseau horaire dans lequel l’appareil fonctionne. Saisissez un nom Olson sous la forme zone/emplacement. Par exemple, America/Los_Angeles pour l’heure du Pacifique. Si vous ne saisissez pas de nom, le fuseau horaire est automatiquement renseigné.

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_NAME=<package name>

Ces données ne sont pas requises, car la valeur est codée en dur dans l’application en tant que Secure Hub. Elle est mentionnée ici uniquement à titre d’information.

S’il existe un réseau Wi-Fi protégé par WPA2, un fichier nfcprovisioning.txt complété peut ressembler à ce qui suit :

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d

android.app.extra.PROVISIONING_WIFI_SSID=Protected_WiFi_Name

android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE=WPA2

android.app.extra.PROVISIONING_WIFI_PASSWORD=wifiPasswordHere

android.app.extra.PROVISIONING_LOCALE=en_US

android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles

S’il existe un réseau Wi-Fi non protégé, un fichier nfcprovisioning.txt complété peut ressembler à ce qui suit :

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION=https://www.somepublicurlhere.com/path/to/securehub.apk

android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_CHECKSUM=ga50TwdCmfdJ72LGRFkke4CrbAk\u003d

android.app.extra.PROVISIONING_WIFI_SSID=Unprotected_WiFi_Name

android.app.extra.PROVISIONING_LOCALE=en_US

android.app.extra.PROVISIONING_TIME_ZONE=America/Los_Angeles

Pour obtenir la somme de contrôle de Citrix Secure Hub

La somme de contrôle de Secure Hub est une valeur constante : qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM. Pour télécharger un fichier APK pour Secure Hub, utilisez le lien du Google Play Store suivant : https://play.google.com/managed/downloadManagingApp?identifier=xenmobile.

Pour obtenir la somme de contrôle d’une application

Prérequis :

• L’outil apksigner des outils de compilation du SDK Android
• Ligne de commande OpenSSL

Pour obtenir la somme de contrôle de n’importe quelle application, suivez ces étapes :

1. Téléchargez le fichier APK de l’application depuis le Google Play Store.

2. Dans la ligne de commande OpenSSL, accédez à l’outil apksigner : android-sdk/build-tools/<version>/apksigner et saisissez ce qui suit :

   apksigner verify -print-certs <apk_path> | perl -nle 'print $& if m{(?<=SHA-256 digest:) .*}'  | xxd -r -p | openssl base64 | tr -d '=' | tr -- '+/=' '-_'
   <!--NeedCopy-->
   

   La commande renvoie une somme de contrôle valide.

3. Pour générer le code QR, saisissez la somme de contrôle dans le champ PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM. Par exemple :

{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME": "com.zenprise/com.zenprise.configuration.AdminFunction",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":"qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION": "https://play.google.com/managed/downloadManagingApp?identifier=xenmobile",
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
      "serverURL": "https://supportablility.xm.cloud.com"
   }
}
<!--NeedCopy-->

Bibliothèques utilisées

L’outil de provisionnement utilise les bibliothèques suivantes dans son code source :

• Bibliothèque appcompat v7, bibliothèque de support Design et bibliothèque Palette v7 par Google sous licence Apache 2.0

  Pour plus d’informations, consultez le Guide des fonctionnalités de la bibliothèque de support.

• Butter Knife par Jake Wharton sous licence Apache 2.0

Enrôlement des appareils à l’aide d’un code QR

Pour enrôler un appareil entièrement géré à l’aide d’un code QR, vous générez un code QR en créant un JSON et en convertissant ce JSON en code QR. Les caméras des appareils scannent le code QR pour enrôler l’appareil.

Configuration système requise

• Pris en charge sur tous les appareils Android exécutant Android 9.0 et versions ultérieures.

Créer un code QR à partir d’un JSON

Créez un JSON avec les champs suivants.

Ces champs sont obligatoires :

Clé : android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME

Valeur : com.zenprise/com.zenprise.configuration.AdminFunction

Clé : android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM

Valeur : qn7oZUtheu3JBAinzZRrrjCQv6LOO6Ll1OjcxT3-yKM

Clé : android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION

Valeur : https://play.google.com/managed/downloadManagingApp?identifier=xenmobile

Ces champs sont facultatifs :

• android.app.extra.PROVISIONING_LOCALE : Saisissez les codes de langue et de pays.

  Les codes de langue sont des codes de langue ISO à deux lettres minuscules (tels que en) tels que définis par ISO 639-1. Les codes de pays sont des codes de pays ISO à deux lettres majuscules (tels que US) tels que définis par ISO 3166-1. Par exemple, saisissez en_US pour l’anglais tel que parlé aux États-Unis.

• android.app.extra.PROVISIONING_TIME_ZONE : Le fuseau horaire dans lequel l’appareil fonctionne.

  Saisissez un nom Olson sous la forme zone/emplacement. Par exemple, America/Los_Angeles pour l’heure du Pacifique. Si vous n’en saisissez pas, le fuseau horaire est automatiquement renseigné.

• android.app.extra.PROVISIONING_LOCAL_TIME : Heure en millisecondes depuis l’époque.

  L’époque Unix (ou heure Unix, heure POSIX ou horodatage Unix) est le nombre de secondes écoulées depuis le 1er janvier 1970 (minuit UTC/GMT). L’heure n’inclut pas les secondes intercalaires (dans ISO 8601 : 1970-01-01T00:00:00Z).

• android.app.extra.PROVISIONING_SKIP_ENCRYPTION : Définissez sur true pour ignorer le chiffrement lors de la création du profil. Définissez sur false pour forcer le chiffrement lors de la création du profil.

Un JSON typique ressemble à ce qui suit :

Validez le JSON créé à l’aide de n’importe quel outil de validation JSON, tel que https://jsonlint.com. Convertissez cette chaîne JSON en code QR à l’aide de n’importe quel générateur de code QR en ligne, tel que https://www.qr-code-generator.com.

Ce code QR est scanné par un appareil réinitialisé en usine pour enrôler l’appareil en tant qu’appareil entièrement géré.

Pour enrôler l’appareil

Après avoir allumé un appareil neuf ou réinitialisé en usine :

1. Appuyez six fois sur l’écran d’accueil pour lancer le processus d’enrôlement par code QR.

2. Lorsque vous y êtes invité, connectez-vous au Wi-Fi. L’emplacement de téléchargement de Secure Hub dans le code QR (encodé dans le JSON) est accessible via ce réseau Wi-Fi.

   Une fois que l’appareil se connecte avec succès au Wi-Fi, il télécharge un lecteur de code QR depuis Google et lance l’appareil photo.

3. Pointez la caméra vers le code QR pour scanner le code.

   Android télécharge Secure Hub à partir de l’emplacement de téléchargement indiqué dans le code QR, valide la signature du certificat de signature, installe Secure Hub et le définit comme propriétaire de l’appareil.

Pour plus d’informations, consultez ce guide Google pour les développeurs Android EMM : https://developers.google.com/android/work/prov-devices#qr_code_method.

Enrôlement sans contact (Zero-touch)

L’enrôlement sans contact vous permet de configurer des appareils pour qu’ils se provisionnent eux-mêmes en tant qu’appareils entièrement gérés lors de leur première mise sous tension.

Votre revendeur d’appareils crée un compte pour vous sur le portail Android zero-touch, un outil en ligne qui vous permet d’appliquer des configurations aux appareils. À l’aide du portail Android zero-touch, vous créez une ou plusieurs configurations d’enrôlement sans contact et appliquez ces configurations aux appareils attribués à votre compte. Lorsque vos utilisateurs mettent ces appareils sous tension, ils sont automatiquement enrôlés dans XenMobile. La configuration attribuée à l’appareil définit son processus d’enrôlement automatique.

Configuration système requise

• La prise en charge de l’enrôlement sans contact commence avec Android 9.0.

Appareils et informations de compte de votre revendeur

• Les appareils éligibles à l’enrôlement sans contact sont achetés auprès d’un revendeur d’entreprise ou d’un partenaire Google. Pour obtenir la liste des partenaires Android Enterprise zero-touch, consultez le site web Android.

• Un compte de portail Android Enterprise zero-touch, créé par votre revendeur.

• Les informations de connexion au compte du portail Android Enterprise zero-touch, fournies par votre revendeur.

Créer une configuration sans contact

Lorsque vous créez une configuration sans contact, incluez un JSON personnalisé pour spécifier les détails de la configuration.

Utilisez ce JSON pour configurer l’appareil afin qu’il s’enrôle sur le serveur XenMobile que vous spécifiez. Remplacez l’URL de votre serveur par « URL » dans cet exemple.

      {
          "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":
        {
              "serverURL":"URL",
         }
      }
<!--NeedCopy-->

Vous pouvez utiliser un JSON facultatif avec plus de paramètres pour personnaliser davantage votre configuration. Cet exemple spécifie le serveur XenMobile ainsi que le nom d’utilisateur et le mot de passe que les appareils utilisant cette configuration utilisent pour se connecter au serveur.

     {
        "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE":
          {
              "serverURL":"URL",
              "xm_username":"username",
              "xm_password":"password"
          }
            }
  <!--NeedCopy-->

1. Accédez au portail Android zero-touch à l’adresse https://partner.android.com/zerotouch. Connectez-vous avec les informations de compte de votre revendeur d’appareils zero-touch.

2. Cliquez sur Configuration.

3. Cliquez sur + au-dessus du tableau de configuration.

4. Saisissez les informations de votre configuration dans la fenêtre de configuration qui apparaît.
   • Nom de la configuration : Saisissez le nom que vous choisissez pour cette configuration.
   • EMM DPC : Choisissez Citrix Secure Hub.
   • Extras DPC : Collez votre texte JSON personnalisé dans ce champ.
   • Nom de l’entreprise : Saisissez le nom que vous souhaitez voir apparaître sur vos appareils Android Enterprise zero-touch pendant le provisionnement de l’appareil.
   • Adresse e-mail de support : Saisissez une adresse e-mail que vos utilisateurs peuvent contacter pour obtenir de l’aide. Cette adresse apparaît sur vos appareils Android Enterprise zero-touch avant le provisionnement de l’appareil.
   • Numéro de téléphone de support : Saisissez un numéro de téléphone que vos utilisateurs peuvent contacter pour obtenir de l’aide. Ce numéro de téléphone apparaît sur vos appareils Android Enterprise zero-touch avant le provisionnement de l’appareil.
   • Message personnalisé : Vous pouvez éventuellement ajouter une ou deux phrases pour aider vos utilisateurs à vous contacter ou leur donner plus de détails sur ce qui se passe avec leur appareil. Ce message personnalisé apparaît sur vos appareils Android Enterprise zero-touch avant le provisionnement de l’appareil.

5. Cliquez sur Ajouter.

6. Pour créer d’autres configurations, répétez les étapes 2 à 4.

7. Pour appliquer une configuration à un appareil :

   1. Dans le portail Android zero-touch, cliquez sur Appareils.

   2. Recherchez l’appareil dans la liste des appareils et choisissez la configuration que vous souhaitez lui attribuer.

   3. Cliquez sur Mettre à jour.

Vous pouvez appliquer une configuration à de nombreux appareils à l’aide d’un fichier CSV.

Pour plus d’informations sur la façon d’appliquer une configuration à de nombreux appareils, consultez la rubrique d’aide d’Android Enterprise Enrôlement sans contact pour les administrateurs informatiques. Cette rubrique d’aide d’Android Enterprise contient plus d’informations sur la gestion des configurations et leur application aux appareils.

Provisionnement d’appareils Android Enterprise dédiés

Les appareils Android Enterprise dédiés sont des appareils entièrement gérés qui sont dédiés à un cas d’utilisation unique. Les appareils dédiés sont également connus sous le nom d’appareils à usage unique appartenant à l’entreprise (COSU). Vous limitez ces appareils à une seule application ou à un petit ensemble d’applications nécessaires pour effectuer les tâches requises pour ce cas d’utilisation. Vous empêchez également les utilisateurs d’activer d’autres applications ou d’effectuer d’autres actions sur l’appareil.

Enrôlez les appareils dédiés en utilisant l’une des méthodes d’enrôlement utilisées pour les autres appareils entièrement gérés, comme décrit dans Provisionnement d’appareils Android Enterprise entièrement gérés. Le provisionnement des appareils dédiés nécessite une configuration supplémentaire avant l’enrôlement.

Pour provisionner des appareils dédiés :

• Ajoutez un profil d’enrôlement pour les administrateurs XenMobile que vous autorisez à enrôler des appareils dédiés à votre déploiement XenMobile. Consultez Création de profils d’enrôlement.
• Autorisez les applications auxquelles vous souhaitez que l’appareil dédié accède.
• Optionnellement, configurez l’application autorisée pour permettre le mode de verrouillage des tâches. Lorsqu’une application est en mode de verrouillage des tâches, elle est épinglée à l’écran de l’appareil lorsque l’utilisateur l’ouvre. Aucun bouton Accueil n’apparaît et le bouton Retour est désactivé. L’utilisateur quitte l’application à l’aide d’une action programmée dans l’application, telle que la déconnexion.
• Enrôlez chaque appareil dans le profil d’enrôlement que vous avez ajouté.

Configuration système requise

• La prise en charge de l’enrôlement des appareils dédiés commence avec Android 6.0.

Autoriser les applications et définir le mode de verrouillage des tâches

La stratégie d’appareil Kiosque vous permet d’autoriser les applications et de définir le mode de verrouillage des tâches. Par défaut, Secure Hub et les services Google Play sont autorisés.

Pour ajouter la stratégie Kiosque :

1. Dans la console XenMobile, cliquez sur Configurer > Stratégies d’appareil. La page Stratégies d’appareil apparaît.

2. Cliquez sur Ajouter. La boîte de dialogue Ajouter une nouvelle stratégie apparaît.

3. Développez Plus, puis, sous Sécurité, cliquez sur Kiosque. La page Stratégie Kiosque apparaît.

4. Sous Plateformes, sélectionnez Android Enterprise. Désélectionnez les autres plateformes.

5. Dans le volet Informations sur la stratégie, saisissez le Nom de la stratégie et une Description facultative.

6. Cliquez sur Suivant, puis sur Ajouter.

7. Pour autoriser une application et autoriser ou refuser le mode de verrouillage des tâches pour cette application :

   Sélectionnez l’application que vous souhaitez autoriser dans la liste.

   Choisissez Autoriser pour que l’application soit épinglée à l’écran de l’appareil lorsque l’utilisateur la démarre. Choisissez Refuser pour que l’application ne soit pas épinglée. La valeur par défaut est Autoriser.

   

8. Cliquez sur Enregistrer.

9. Pour autoriser une autre application et autoriser ou refuser le mode de verrouillage des tâches pour cette application, cliquez sur Ajouter.

10. Configurez les règles de déploiement et choisissez les groupes de mise à disposition. Pour plus d’informations, consultez Stratégies d’appareil.

Pour enrôler l’appareil

1. Cliquez sur Suivant ou sélectionnez Android sous Plateformes. La page Configuration de l’enrôlement apparaît.

2. Définissez Gestion sur Android Enterprise.

3. Définissez Mode propriétaire de l’appareil sur Appareil appartenant à l’entreprise.

   

4. Sélectionnez Affectation (options). L’écran Affectation de groupe de mise à disposition apparaît.

5. Choisissez le ou les groupes de mise à disposition qui contiennent les administrateurs qui enrôlent les appareils dédiés. Cliquez ensuite sur Enregistrer.

Si vous avez activé le profil de travail BYOD dans le profil d’enrôlement, les appareils qui ne sont pas neufs ou réinitialisés en usine sont enrôlés en tant qu’appareils avec profil de travail. Consultez Provisionnement d’appareils Android Enterprise avec profil de travail.

Provisionnement d’appareils Android Enterprise entièrement gérés avec un profil de travail (appareils COPE)

Les appareils entièrement gérés avec un profil de travail, anciennement appelés appareils COPE, sont des appareils appartenant à l’entreprise qui sont utilisés à des fins professionnelles et personnelles. Votre organisation gère l’intégralité des appareils. Vous pouvez appliquer un ensemble de stratégies à l’appareil et un ensemble distinct de stratégies au profil de travail.

Dans la console XenMobile, les appareils entièrement gérés avec un profil de travail apparaissent avec les termes suivants :

• La propriété de l’appareil est « Entreprise ».

• Le type d’installation Android Enterprise de l’appareil est « Propriétaire d’entreprise à usage personnel activé ».

Configuration requise

• La prise en charge de l’inscription des appareils entièrement gérés avec des profils de travail est disponible à partir d’Android 9.0 jusqu’à Android 10.x.

Ajouter un profil d’inscription pour les appareils entièrement gérés avec des profils de travail

Créez un profil d’inscription pour l’inscription des appareils entièrement gérés avec des profils de travail. Les administrateurs des groupes de mise à disposition affectés à ce profil d’inscription peuvent inscrire des appareils entièrement gérés avec des profils de travail. Pour vous assurer que ces administrateurs peuvent inscrire tous les appareils requis, créez un profil d’inscription pour eux avec un nombre illimité d’appareils autorisés par utilisateur. Affectez ce profil à un groupe de mise à disposition qui contient les administrateurs qui inscrivent des appareils entièrement gérés avec des profils de travail.

1. Dans la console XenMobile, accédez à Configurer > Profils d’inscription.

2. Pour ajouter un profil d’inscription, cliquez sur Ajouter. Sur la page Informations d’inscription, saisissez un nom pour le profil d’inscription. Assurez-vous que le nombre d’appareils que les membres avec ce profil peuvent inscrire est défini sur illimité.

3. Cliquez sur Suivant ou sélectionnez Android Enterprise sous Plateformes. La page Configuration de l’inscription apparaît.

4. Définissez le Type d’inscription sur l’une des options suivantes :
   • Entièrement géré/Profil de travail : Les nouveaux appareils ou les appareils réinitialisés en usine s’inscrivent en mode entièrement géré. Les appareils BYOD s’inscrivent avec un profil de travail uniquement géré par vous.
   • COPE/Profil de travail : Les nouveaux appareils ou les appareils réinitialisés en usine s’inscrivent en mode entièrement géré avec un profil de travail. Les appareils BYOD s’inscrivent avec un profil de travail uniquement géré par vous.

   

5. Sélectionnez Affectation (facultatif) ou cliquez sur Suivant. L’écran Affectation de groupe de mise à disposition apparaît.

6. Choisissez le ou les groupes de mise à disposition qui contiennent les administrateurs qui inscrivent les appareils dédiés. Cliquez ensuite sur Enregistrer.

   La page Profil d’inscription apparaît avec le profil que vous avez ajouté.

   

Si un utilisateur appartient à plusieurs groupes de mise à disposition ayant des profils d’inscription différents, le nom du groupe de mise à disposition détermine le profil d’inscription utilisé. XenMobile sélectionne le groupe de mise à disposition qui apparaît en dernier dans une liste alphabétique de groupes de mise à disposition.

Pour inscrire l’appareil

Les appareils neufs et réinitialisés en usine s’inscrivent en tant qu’appareils entièrement gérés avec un profil de travail à l’aide du jeton d’identifiant DPC, de la communication en champ proche (NFC) ou des méthodes de code QR. Consultez Inscription d’appareils à l’aide du jeton d’identifiant DPC Citrix, Inscription d’appareils avec NFC ou Inscription d’appareils à l’aide d’un code QR.

Les appareils qui ne sont pas neufs ou réinitialisés en usine s’inscrivent en tant qu’appareils avec profil de travail, comme décrit dans Provisionnement des appareils avec profil de travail Android Enterprise.

Affichage des appareils Android Enterprise dans la console XenMobile

1. Dans la console XenMobile, accédez à Gérer > Appareils.

2. Ajoutez la colonne Appareil Android Enterprise activé ? en cliquant sur le menu à droite du tableau sur cette page.

3. Pour afficher les actions de sécurité disponibles, sélectionnez un appareil entièrement géré et cliquez sur Sécuriser. Lorsque l’appareil est entièrement géré, l’action Effacement complet est disponible, mais pas l’action Effacement sélectif. Cette différence s’explique par le fait que l’appareil n’autorise que les applications du Google Play Store géré. L’utilisateur n’a pas la possibilité d’installer des applications depuis le store public. Votre organisation gère tout le contenu de l’appareil.

   

Configurer les stratégies d’appareil et d’application Android Enterprise

Pour un aperçu des stratégies contrôlées au niveau de l’appareil et de l’application, consultez Stratégies d’appareil et stratégies MDX prises en charge pour Android Enterprise.

Ce qu’il faut savoir sur les stratégies :

• Protection contre la perte de données : La technologie de conteneur MAM de Citrix sécurise les applications avec le chiffrement et d’autres technologies de prévention des pertes de données (DLP) mobiles. Utilisez le SDK MAM Citrix ou le MDX Toolkit pour activer les applications MDX.

• Restrictions d’appareil : Des dizaines de restrictions d’appareil vous permettent de contrôler des fonctionnalités telles que :

  • L’utilisation de l’appareil photo de l’appareil
  • L’utilisation du copier-coller entre les profils de travail et personnels

• VPN par application : Utilisez la stratégie d’appareil Configurations gérées pour configurer les profils VPN pour Android Enterprise.

• Stratégie de messagerie : Nous vous recommandons d’utiliser la stratégie d’appareil Configurations gérées pour configurer les applications.

Ce tableau répertorie toutes les stratégies d’appareil disponibles pour les appareils Android Enterprise.

Important :

Pour les appareils qui s’inscrivent à Android Enterprise et utilisent des applications MDX : Vous pouvez contrôler certains paramètres via MDX et Android Enterprise. Utilisez les paramètres de stratégie les moins restrictifs pour MDX et contrôlez la stratégie via Android Enterprise.

Stratégies d’appareil pour les appareils entièrement gérés avec profil de travail (appareils COPE)

Pour les appareils entièrement gérés avec des profils de travail (appareils COPE), certaines stratégies d’appareil peuvent être utilisées pour appliquer des paramètres distincts à l’ensemble de l’appareil et au profil de travail. Vous pouvez utiliser d’autres stratégies d’appareil pour appliquer des paramètres uniquement à l’ensemble de l’appareil ou uniquement au profil de travail des appareils entièrement gérés avec des profils de travail.

Voir aussi, Stratégies d’appareil et stratégies MDX prises en charge pour Android Enterprise et Présentation du SDK MAM.

Actions de sécurité

Android Enterprise prend en charge les actions de sécurité suivantes. Pour une description de chaque action de sécurité, consultez Actions de sécurité.

Remarques sur les actions de sécurité

• L’action de sécurité de localisation échoue à moins que la stratégie d’appareil Localisation ne définisse le mode de localisation de l’appareil sur Haute précision ou Économie de batterie. Consultez Stratégie d’appareil Localisation.

• Sur les appareils avec profil de travail exécutant des versions d’Android antérieures à Android 9.0 :

  • L’action de verrouillage et de réinitialisation du mot de passe n’est pas prise en charge.

• Sur les appareils avec profil de travail sous Android 9.0 ou version ultérieure :

  • Le code secret envoyé verrouille le profil de travail. L’appareil lui-même n’est pas verrouillé.
  • Si aucun code secret n’est défini sur le profil de travail :
    • Si aucun code secret n’est envoyé, ou si le code secret envoyé ne répond pas aux exigences de code secret : L’appareil est verrouillé.
  • Si un code secret est défini sur le profil de travail :
    • Si aucun code secret n’est envoyé, ou si le code secret envoyé ne répond pas aux exigences de code secret : Le profil de travail est verrouillé, mais l’appareil lui-même n’est pas verrouillé.

• Sur les appareils entièrement gérés avec des profils de travail (appareils COPE) :

  • Vous pouvez appliquer l’action de sécurité Verrouiller séparément à l’appareil ou au profil de travail

Désinscrire une entreprise Android Enterprise

Si vous ne souhaitez plus utiliser votre entreprise Android Enterprise, vous pouvez la désinscrire.

Avertissement :

Après avoir désinscrit une entreprise, les applications Android Enterprise sur les appareils déjà inscrits via celle-ci sont réinitialisées à leur état par défaut. Google ne gère plus les appareils. Si vous vous inscrivez à une nouvelle entreprise Android Enterprise, vous devez approuver les applications pour la nouvelle organisation à partir de Google Play géré. Vous pouvez ensuite mettre à jour les applications depuis la console XenMobile.

Une fois l’entreprise Android Enterprise désinscrite :

• Les appareils et les utilisateurs inscrits via l’entreprise voient leurs applications Android Enterprise réinitialisées à leur état par défaut. Les stratégies de configurations gérées précédemment appliquées n’affectent plus les opérations.
• XenMobile gère les appareils inscrits via l’entreprise. Du point de vue de Google, ces appareils ne sont pas gérés. Vous ne pouvez pas ajouter de nouvelles applications Android Enterprise. Vous ne pouvez pas appliquer de stratégies de configurations gérées. Vous pouvez appliquer d’autres stratégies, telles que Planification, Mot de passe et Restrictions, à ces appareils.
• Si vous tentez d’inscrire des appareils dans Android Enterprise, ils sont inscrits en tant qu’appareils Android, et non en tant qu’appareils Android Enterprise.

Désinscrivez une entreprise Android Enterprise à l’aide de la console XenMobile Server et des outils XenMobile.

Lorsque vous effectuez cette tâche, XenMobile ouvre une fenêtre contextuelle pour les outils XenMobile. Avant de commencer, assurez-vous que XenMobile est autorisé à ouvrir des fenêtres contextuelles dans le navigateur que vous utilisez. Certains navigateurs, tels que Google Chrome, vous obligent à désactiver le blocage des fenêtres contextuelles et à ajouter l’adresse du site XenMobile à la liste d’autorisation du blocage des fenêtres contextuelles.

Pour désinscrire une entreprise Android Enterprise :

1. Dans la console XenMobile, cliquez sur l’icône d’engrenage dans le coin supérieur droit. La page Paramètres apparaît.

2. Sur la page Paramètres, cliquez sur Android Enterprise.

3. Cliquez sur Désinscrire.