Android Enterprise

Hier finden Sie eine Aufschlüsselung der Verwaltungsszenarien, die Android Enterprise unterstützt:

Wie man sehen kann, gibt es eine Menge Flexibilität für die Unterstützung der meisten Geschäftsanforderungen, die direkt integriert sind. Es wird hier das am weitesten verbreiteten Verwaltungsszenario dargestellt, bei dem die Organisation das Gerät besitzt, aber eine gewisse persönliche Nutzung (COPE) erlaubt, verfügbar ab Android 8.0.

Weitere Informationen finden Sie im Android Enterprise Datenblatt von Google.

Mit der Einführung von Android 5.0 machte Google Benutzerprofile zusätzlich zu den Tablets, die diese bereits nutzen, auch für Handys verfügbar. Mit der gleichen Funktionalität ist Android Enterprise in der Lage, ein verwaltetes Nutzerprofil zu erstellen, welches obwohl es vollständig getrennt verschlüsselt auf der Festplatte liegt (und ab Android 7.0 völlig andere Verschlüsselungen für berufliche /private Zwecke verwendet), direkt mit dem aktuellen Nutzer auf dem Gerät integriert wird. So können private wie auch berufliche Apps in dem selben App-Schublade bereitgestellt werden, wobei die beruflichen Apps durch eine Aktentasche angezeigt wird:

Quelle: bayton.org, Foto: Android Enterprise Arbeitsprofil, das ändert sich im Andoid Pie

Die Mischung aus Arbeits- und persönlichen Anwendungen zusammen auf dem oben genannten BYOD-Gerät zeigt den Grad der Integration. Als Endbenutzer fühlt es sich an, als wären nur ein paar weitere Apps installiert, obwohl die darunter liegenden Profilkonfigurationen zur Trennung und Sicherung der Unternehmensdaten funktionieren. DLP-Richtlinien können die Übertragung von Unternehmensinformationen ausserhalb des Arbeitsprofils oder umgekehrt verhindern. Sollte es zu einem Unternehmens-Wipe kommen, wird einfach das Arbeitsprofil entfernt und alle Benutzerdaten bleiben unangetastet.

Zusätzlich hat Google für das Arbeitsprofil die Authentifizierung des Arbeitsprofils hinzugefügt. Dabei handelt es sich im Wesentlichen um eine sekundäre Passwort-Anforderung, um auf die Unternehmensdaten innerhalb des Profils zuzugreifen. BlackBerry Good, MobileIron Apps@Work oder AirWatch Container unterstützen diese Funktion seit vielen Jahren.

Darüber kann das Arbeitsprofil für Abende, Wochenenden oder Feiertage pausiert werden (vorübergehend abschalten), was ein grosser Gewinn für die Mitarbeiter ist. Es kann so dazu beitragen, eine gesunde Work-Life-Balance zu fördern. Dies hat sich mit Android 11 nochmals massiv verbessert, wo das Android Enterprise-Team eng mit Digital Wellbeing zusammenarbeitete, um eine automatische Planung des Arbeitsprofil zu ermöglichen. Dank APIs können die Administratoren sicherstellen, dass das Arbeitsprofil nicht unbegrenzt ausgeschaltet werden kann.

Die grösste Einschränkung des gesamten BYOD-Ansatzes aus der Sicht eines Administrators ist, wie man vermuten könnte, die eingeschränkte Kontrolle und Sichtbarkeit über das Gerät selbst. Organisationen „sehen“ nichts ausserhalb des Arbeitsprofils und können dadurch nur sehr grundlegende geräteweite Richtlinien wie den Passcode durchsetzen.

Bei vollständig verwalteten Geräten wird in der Regel keine Nutzungsbereitstellung für Anwender vorgesehen. Da die beabsichtigte Verwendung für vollständig firmeneigene Geräte vorgesehen ist,  entfallen bei diesen Geräten alle typischen BYOD- oder COPE-Szenarien und das Gerät wird streng auf die vom EMM-Administrator festgelegte Umgebung beschränkt. Ab Android 8.0 wurde das COPE-Szenario jedoch mit Unterstützung für Arbeitsprofile auf vollständig verwalteten Geräten eingeführt.

Bei der Bereitstellung eines vollständig verwalteten Geräts werden standardmässig fast alle nicht-kritischen Systemanwendungen, sofern sie nicht auf der Whitelist stehen, entfernt. Stattdessen nur Zugriff auf autorisierte Anwendungen über das verwaltete Google Play gewährt.

Das heisst, sollte eine App beispielsweise die Funktion der Kamera erfordern, müsste auch eine Kamera-App für die Nutzung durch das Unternehmen autorisiert oder auf der Whitelist geführt werden. Es gibt Unterstützung für die Aktivierung von Systemanwendungen, allerdings umfasst diese Unterstützung alle OEM-/Träger-Anwendungen, die die meisten entfernt sehen möchten. Es erfordert daher, dass bestimmte Anwendungen deaktiviert und nicht wie oben beschrieben aktiviert werden müssen.

Die vollständig verwaltete Bereitstellung wird derzeit beim ersten Systemstart eines neuen Geräts – oder eines Geräts, das frisch vom Werk zurückgesetzt wurde – eingeleitet:

• Eine Provisioning -App auf einem dedizierten Provisioning-Gerät (konfiguriert mit EMM-Server-Details) und einem NFC-Bump oder einem NFC-Tag, mit dem Geräte gebootet werden können
• Eine DPC-Kennung auf dem Bildschirm zur Einrichtung eines Google-Kontos
• Ein QR-Code (ideal für Geräte ohne NFC)
• Zero-Touch-Enrolment

In Android 10 ist die NFC-Bump-Bereitstellung veraltet, und stattdessen werden NFC-Tags für die NFC-Bereitstellung empfohlen.