Wechseln zu:Navigation, Suche
Wiki

MS/deployment/emm BestPractice: Unterschied zwischen den Versionen

Aus Securepoint Wiki
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →
KKeine Bearbeitungszusammenfassung
KKeine Bearbeitungszusammenfassung
Zeile 40: Zeile 40:


{{h4|Grundeinstellungen|{{Reiter|Grundeinstellungen}} }}
{{h4|Grundeinstellungen|{{Reiter|Grundeinstellungen}} }}
{{pt2|MS v1.4.8 Profile Android-emm Grundeinstellungen.png|Grundeinstellungen}}<br clear=all>
{{pt2|MS v1.4.8 Profile Android-emm Grundeinstellungen.png|Grundeinstellungen}}
{{Hinweis|!! Die hier gezeigten Einstellungen sind Beispiele, die einen möglichst Umfassenden Schutz bieten. Eine <u>Anpassung an lokale Anforderungen</u> ist unbedingt vorzunehmen !|grünbd}}
<br clear=all>
{| class="sptable striped einrücken"
{| class="sptable striped einrücken"
! style="min-width: 16em;" | Beschriftung !! Werte !! Beschreibung
! style="min-width: 16em;" | Beschriftung !! Werte !! Beschreibung
|-
|-
| {{b| Maximale Zeit zum Sperren}} || {{ic | 120 | c|w=167px}} || Das Gerät wird nach 2 Min Inaktivität gesperrt.
| {{b| Maximale Zeit zum Sperren}} || {{ic | 120 | c|w=167px}} || Das Gerät soll nach 2 Min Inaktivität gesperrt werden.
|-
|-
| {{b| Verschlüsselung}} || {{ic | Mit Passwort aktiviert |dr}} || Verschlüsselung kann nur mit Kennwort aufgehoben werden. Die Verschlüsselung erfolgt auf Dateisystemebene und verhindert das Auslesen von Daten, bei physischem Zugriff auf ein '''gesperrtes''' Gerät. Es verhindert <u>'''nicht'''</u> das lesen von Daten eines '''entsperrten''' Gerätes.
| {{b| Verschlüsselung}} || {{ic | Mit Passwort aktiviert |dr}} || Verschlüsselung kann nur mit Kennwort aufgehoben werden. Die Verschlüsselung erfolgt auf Dateisystemebene und verhindert das Auslesen von Daten, bei physischem Zugriff auf ein '''gesperrtes''' Gerät. Es verhindert <u>'''nicht'''</u> das lesen von Daten eines '''entsperrten''' Gerätes.
|-
|-
| rowspan="6" | {{b| Automatische App-Updates}} || class="sichtbar_monitor"| || Die auf einem Gerät erzwungene Richtlinie zur automatischen Aktualisierung der App. {{f|Welcher App? in Abhängigkeit der Netzwerkverbindung}}
| {{b| Automatische App-Updates}} || {{ic | Immer|dr}} || Die auf einem Gerät erzwungene Richtlinie zur automatischen Aktualisierung von Apps in Abhängigkeit der Netzwerkverbindung: Auch bei Geräten, die selten oder nie in ein WLAN zurückkehren, sollen die Apps aktualisiert werden. Das Datenvolumen wirkt sich bei üblichen Volumentarifen in der Regel kaum aus.
|-
| {{ic | Nicht spezifiziert|dr}} || {{f| was passiert dann?}}
|-
|-
| {{ic | {{f|felhende Übersetzung§ Users Choice}}|dr}} ||
| {{b| Modi in denen das Gerät an bleibt}} || {{cb|Ignorieren}} || Der Akkulade-Modus soll keine Auswirkung darauf haben, ob das Gerät eingeschaltet bleibt.  
|-
| {{ic | Niemals|dr}} ||
|-
| {{ic | {{f|felhende Übersetzung§ Over Wi-Fi only}}|dr}} ||
|-
| {{ic | Immer|dr}} ||
|-
| {{b| Modi in denen das Gerät an bleibt}} || {{ic | Modi wählen}} || Die Akkulade-Modi, in denen das Gerät eingeschaltet bleibt. Bei Verwendung dieser Einstellung wird empfohlen, maximumTimeToLock zu deaktivieren, damit sich das Gerät nicht selbst sperrt, solange es eingeschaltet bleibt.<br/>Mögliche Werte:<br/>{{cb|Ignorieren}} {{cb|Ladegerät}} {{cb|USB}} {{cb|Kabelloses Ladegerät}}
|-
| {{b| Anhaltende bevorzugte Aktivitäten}} || {{spc | + Aktivität hinzufügen }} || Standard-Intent-Handler-Aktivitäten.
{| class="sptable"
! Option !! Beschreibung
|-
| <p>{{b|Empfänger Aktivität}}</p><p>{{ic|Empfänger Aktivität }}</p> || {{f|Die Aktivität, die der Standard-Intent-Handler sein soll. Dies sollte ein Android-Komponentenname sein, z.B. com.android.enterprise.app/.MainActivity. Alternativ kann der Wert der Paketname einer App sein, wodurch die Android-Geräterichtlinie eine geeignete Aktivität aus der App auswählt, um das Vorhaben zu verarbeiten.§ Hä? WTF passiert hier???}}
|-
| <p>{{b|Aktionen}}</p><p>{{cb|Aktionen hinzufügen }}</p> || Die absichtlichen Aktionen, die im Filter abgeglichen werden sollen. Wenn der Filter Aktionen enthält, muss die Aktion einer Absicht einer dieser Werte sein, damit sie übereinstimmt. Wenn keine Aktionen enthalten sind, wird die Absichtsaktion ignoriert. {{f|Ist das die Aktion, die im nächsten Feld eingegeben wird?}}
|-
| <p>{{b|Kategorien}}</p>{{cb|Kategorien hinzufügen }} || Die Absichtskategorien, die im Filter übereinstimmen sollen. Eine Absicht enthält die erforderlichen Kategorien, die alle im Filter enthalten sein müssen, damit sie übereinstimmen. Mit anderen Worten, das Hinzufügen einer Kategorie zum Filter hat keine Auswirkungen auf die Übereinstimmung, es sei denn, diese Kategorie ist in der Absicht angegeben.
|}
|-
| {{b| Setup-Aktionen}} || {{spc |+ Aktion hinzufügen }} || Aktionen, die während des Installationsvorgangs ausgeführt werden sollen.
{| class="sptable"
! Option !! Beschreibung
|-
| <p>{{b|Titel}}</p>{{ic|Titel }} || Titel der Aktion.
|-
| <p>{{b|Beschreibung}}</p>{{ic|Beschreibung }} || Beschreibung der Aktion.
|-
| <p>{{b|App starten}}</p>{{ic|Paketnamen}} || Paketname der app die gestartet werden soll. {{f|Wo bekommt man die Oaketnamen her? Auswahlliste?}}
|}
|-
|-
| class="Leerzeile" | <br/>Device Owner lockscreen info
| class="Leerzeile" | <br/>Device Owner lockscreen info
|-
|-
| {{b| Aktiviere die Sperrbildschirm-Informationen}} || {{ButtonAus }} || Nachdem Sie dies aktiviert haben, können Sie die Sperrbildschirminformationen einstellen
| {{b| Aktiviere die Sperrbildschirm-Informationen}} || {{ButtonAn }} || Im Sperrbildschirm soll eine Information angezeigt werden.
|-
|-
| {{b| Device Owner lockscreen info}} || {{ic | Device owner lockscreen info}} || Die Gerätebesitzerinformationen, die auf dem Sperrbildschirm angezeigt werden sollen. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
| {{b| Device Owner lockscreen info}} || {{ic | Eigentum Securepoint GmbH.<br>Support:  04131 - 2401-0}} || Die Gerätebesitzerinformationen, die auf dem Sperrbildschirm angezeigt werden sollen. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
|-
|-
| class="Leerzeile" style="border-bottom: 0;"| <br/>{{spc | save}}
| class="Leerzeile" style="border-bottom: 0;"| <br/>{{spc | save}}
Zeile 102: Zeile 72:
!Beschriftung !! style="min-width: 175px;" |Werte !! Beschreibung
!Beschriftung !! style="min-width: 175px;" |Werte !! Beschreibung
|-
|-
| {{b|Einstellungsname}} || {{ic| |dr}} || Die zu erzwingende Richtlinie der obersten Ebene. Zum Beispiel Anwendungen oder Passwortrichtlinien.
| {{b|Einstellungsname}} || {{ic|passwordPolicies |dr}} || Die Kennwortrichtlinien müssen auf dem Telefon angewendet werden.
|-
|-
| class="sichtbar_monitor" | || colspan="2" |{{einblenden|zeig|weg|true}}
| class="Leerzeile" | <br/>Blockieren
{| class="sptable" style="width:auto;"
! Regelname !! Beschreibung
|-
|-
| {{ic|Anwendungen|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Blockieren nach x Tagen}} || {{ic|1 |c}} || Anzahl der Tage, an denen die Richtlinie nicht konform ist, bevor das Gerät oder das Arbeitsprofil blockiert wird. Um den Zugriff sofort zu blockieren, wird der Wert auf 0 gesetzt.
|-
|-
| {{ic|Maximale Zeit zum Sperren|dr|w=220px}} || {{f|Beschreibungen}}
| class="Leerzeile" | <br/>Löschen
|-
|-
| {{ic|keyguardDisabledFeatures|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Werkeinstellungs-Reset-Schutz erhalten}} || {{ButtonAn}} || Wenn aktiviert, wird der Werkeinstellungs-Reset-Schutz im Profil erhalten. Bei Diebstahl oder Verlust muss man sich erst in das Google-Konto einloggen, bevor sich das Gerät auf Werkseinstellungen zurücksetzen lässt. Diese Einstellung {{f|funtktioniert§funktioniert}} nicht mit Arbeitsprofilen.
|-
|-
| {{ic|defaultPermissionPolicy|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Löschen nach x Tagen}} || {{ic|7 |c}} || Anzahl der Tage, bevor das Gerät oder das Arbeitsprofil gelöscht wird. Löschen muss größer als sein als Blockieren.
|}
 
 
 
----
 
==== {{Reiter|Anwendungen}} ====
 
<p>{{Hinweis | ! Apps auf Geräten, die über EMM verwaltet werden, werden innerhalb der Profile konfiguriert !|gelb}}</p>
<p>Das Menü {{spc|apps|menu}} hat auf diese Profile / Geräte keine Auswirkung!</p>
 
 
{{pt2|MSP_Profile_Anwendungen_BP.png}}
{{Hinweis|! Die hier gezeigten Einstellungen sind Beispiele. Eine <u>Anpassung an lokale Anforderungen</u> ist unbedingt vorzunehmen !|grünbd}}
<br clear=all>
{| class="sptable"
! Beschriftung !! Vorgeschlagener Wert !! Beschreibung
|-
|-
| {{ic|persistentPreferredActivities|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Standardberechtigungsrichtlinie}} || style="min-width: 170px;" |{{ic|Gewähren|dr}} || Es werden ohnehin nur vorher geprüfte Apps erlaubt, die dann auch alles dürfen, was nicht explizit verboten wird
|-
|-
| {{ic|openNetworkConfiguration|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Deaktivieren Sie die Installation von Apps}} || {{ButtonAn}} || Es dürfen keine Apps durch den Benutzer installiert werden
|-
|-
| {{ic|systemUpdate|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Deaktivieren Sie die Deinstallation von Apps }} || {{ButtonAn}} || Es dürfen keine Apps durch den Benutzer deinstalliert werden
|-
|-
| {{ic|accountTypesWithManagementDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b| App-Überprüfung erzwingen}} || {{ButtonAn}} || {{f|Ist bestimmt ganz wichtig}}
|}
<br>
<p>{{spc| save}}</p>
 
<p>{{ spc | + | |Anwendung hinzufügen }}</p>
<p>{{ spc | suche | | Select app}} '''Auswahl der gewünschten Apps''' Für unser Beispiel: Nextcloud </p>
<p>Übernahme der App mit {{spc|Auswählen|buttongr}}
{{pt2|MSA_Profile_Anwendungen_Apps.png}}<br clear=all>
{| class="sptable"
! Beschriftung !! Vorgeschlagener Wert !! Beschreibung
|-
|-
| {{ic|addUserDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Paketnamen}} || style="min-width: 170px;" | {{ic |com.nextcloud.client}} || Der Paketname der App, die zuvor ausgewählt wurde
|-
|-
| {{ic|adjustVolumeDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Installationstyp}} || {{ic |Vorinstallation |dr}} || Die App wird automatisch auf dem Gerät installiert
|-
|-
| {{ic|factoryResetDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Standardberechtigungsrichtlinie}} || {{ic |Prompt |dr}} || Werden neue, nicht explizit gewährte oder verweigerte Berechtigungen benötigt, fragt das System nach einer Berechtigung.
|-
|-
| {{ic|installAppsDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Berechtigungen}} || {{spc |+| |Berechtigung hinzufügen}} || Einzelne Berechtigungen können anders als die zuvor konfigurierte Standardberechtigungsrichtlinie eingestellt werden und überschreiben deren Werte
|-
|-
| {{ic|mountPhysicalMediaDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| class="Leerzeile" | Permission ||class="Leerzeile" colspan="2" | {{spc|max|o|-|c=rots}} /{{spc|--|o|-|c=rots}} Erweitern oder minimieren einer Berechtigung {{mobil|<br>}}{{spc|trash|o|-|c=rots}} Löschen der Berechtigung
|-
|-
| {{ic|modifyAccountsDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Genehmigung}} ||style="min-width: 265px;" |  {{ic |android.permission.GET_ACCOUNTS |dr|w=248px}} || Die App soll sich mit den Zugangsberechtigungen anderer Konten anmelden können.
|-
|-
| {{ic|safeBootDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Regel}} || {{ic | Gewähren |dr|w=248px}} || Die Richtlinie zum Erteilen der Berechtigung.
|-
|-
| {{ic|uninstallAppsDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Genehmigung}} || {{ic |android.permission.INTERNET |dr|w=248px}} || Die App soll Zugriff auf vorhandene Internetverbindungen erhalten.
|-
|-
| {{ic|statusBarDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Regel}} || {{ic | Gewähren |dr|w=248px}} || Die Richtlinie zum Erteilen der Berechtigung.
|-
|-
| {{ic|keyguardDisabled|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Genehmigung}} || {{ic |com.nextcloud.client.<br>permission.C2D_MASSAGE |dr|w=248px}} || Die App soll Push-Nachrichten über Firebase Cloud Messaging (ehemals Goocle Cloud Massage) erhalten können (Cloud to Device → C2D)
|-
|-
| {{ic|minimumApiLevel|dr|w=220px}} || {{f|Beschreibungen}}
| {{b|Regel}} || {{ic | Gewähren |dr|w=248px}} || Die Richtlinie zum Erteilen der Berechtigung.
|-
|-
| {{ic|statusReportingSettings|dr|w=220px}} || {{f|Beschreibungen}}
| || Hier sind ggf. weitere Berechtigungen zu gewähren oder zu verweigern
|-
| {{ic|bluetoothConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|cellBroadcastsConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|credentialsConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|mobileNetworksConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|tetheringConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|vpnConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|wifiConfigDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|createWindowsDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|networkResetDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|outgoingBeamDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|outgoingCallsDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|removeUserDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|shareLocationDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|smsDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|unmuteMicrophoneDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|usbFileTransferDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|ensureVerifyAppsEnabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|permittedInputMethods|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|stayOnPluggedModes|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|recommendedGlobalProxy|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|choosePrivateKeyRules|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|alwaysOnVpnPackage|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|frpAdminEmails|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|dataRoamingDisabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|locationMode|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|networkEscapeHatchEnabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|installUnknownSourcesAllowed|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|debuggingFeaturesAllowed|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|autoTimeRequired|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|appAutoUpdatePolicy|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|kioskCustomLauncherEnabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|privateKeySelectionEnabled|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|encryptionPolicy|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|permissionGrants|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|playStoreMode|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|setupActions|dr|w=220px}} || {{f|Beschreibungen}}
|-
| {{ic|passwordPolicies|dr|w=220px}} || {{f|Beschreibungen}}
|}</div>
|-
| class="Leerzeile" | <br/>Blockieren
|-
|-
| {{b|Blockieren nach x Tagen}} || {{ic|3 |c}} || Anzahl der Tage, an denen die Richtlinie nicht konform ist, bevor das Gerät oder das Arbeitsprofil blockiert wird. Um den Zugriff sofort zu blockieren, setzen Sie den Wert auf 0. Blockieren muss kleiner als Löschen sein.
| {{b|Bereiche delegieren}} || {{ic | |dr}} || Die Richtlinie zum Erteilen der Berechtigung. {{f|brauche ich das?}}
|-
| class="Leerzeile" | <br/>Löschen
|-
| {{b|Werkeinstellungs-Reset-Schutz erhalten}} || {{ButtonAn}} || Wenn aktiviert, wird der Werkeinstellungs-Reset-Schutz im Profil erhalten. {{f|Und was genau bedeutet das?}} Diese Einstellung funtktioniert nicht mit Arbeitsprofilen.
|-
| {{b|Löschen nach x Tagen}} || {{ic|7 |c}} || Anzahl der Tage, bevor das Gerät oder das Arbeitsprofil gelöscht wird. Löschen muss größer als sein als Blockieren.
|}
|}
----
==== {{Reiter|Anwendungen}} ====
Apps die über {{spc | gpst |m| (Apps) Managed Google Play|w=x}} genehmigt wurden erscheinen unter {{spc|profile|m}} → {{Reiter | Anwendungen}} → {{spc | + | Anwendung hinzufügen}} → {{spc | search | Select app}} → »Apps verwalten« als App-Sammlung
{{f|Damit kann ich aber nichts machen / auswählen}}
<br clear=all>
----
----


Zeile 254: Zeile 155:
| class="Leerzeile" | <br/>VPN immer aktiv
| class="Leerzeile" | <br/>VPN immer aktiv
|-
|-
| {{b|Aktiviere "VPN immer aktiv" }} || {{ButtonAn}} || {{f| Unverständlich:Nachdem Sie dies aktiviert haben, können Sie die immer auf VPN-Einstellungen einstellen}}<br/>Bei {{ButtonAn}} Aktivierung lassen sich die Einstellungen für "VPN immer aktiv" bearbeiten
| {{b|Aktiviere "VPN immer aktiv" }} || {{ButtonAn}} || {{f| Unverständlich:ISt bestimmt klasse}}
|-
|-
| {{b|Paketnamen }}<br/>{{f|Warum Plural?}} || {{ic | Paketnamen}} || Der Paketname der VPN-App.
| {{b|Paketnamen }}<br/>{{f|Warum Plural?}} || {{ic | Paketnamen}} || Der Paketname der VPN-App.
|-
|-
| {{b|Sperre aktiviert }} || {{ButtonAus}} || Bei {{ButtonAn}} Aktivierung wird jede Netzwerkverbindung verhindert, wenn das VPN nicht verbunden ist. {{f|? Ist der Button nicht doppelt gemoppelt?}}
| {{b|Sperre aktiviert }} || {{ButtonAn}} || Es wird jede Netzwerkverbindung verhindert, wenn das VPN nicht verbunden ist. {{f|? Ist der Button nicht doppelt gemoppelt?}}
|-
| class="Leerzeile" | <br/>Empfohlener globaler Proxy
|-
| {{b|Aktivieren Sie den globalen Proxy }} || {{ButtonAus}} || Bei {{ButtonAn}} Aktivierung, kann ein globaler Proxy konfiguriert werden
|-
| {{b|Host }} || {{ic | Hostname}} || Der Host des direkten Proxys. {{f|Was ist ''direkt''?}}
|-
| {{b|Port }} || {{ic | Port Nummer |c}} || Der Port des direkten Proxys.
|-
| {{b|Ausgeschlossener Host }} || {{ic | Exclude Hosts }} || Bei einem direkten Proxy die Hosts, für die der Proxy umgangen wird. Die Hostnamen können Platzhalter wie * .example.com enthalten. {{f|Wo kommen die Hosts her (Liste)?}}
|-
| {{b|PAC URI }} || {{ic |URL }} || Der URI des PAC-Skripts, mit dem der Proxy konfiguriert wurde.{{Was ist ein PAC-Skript?}}
|-
|-
| class="Leerzeile"|<br/>Offene Netzwerkkonfiguration {{f|Schon in einem Ticket gefragt: Was ist hier ''offen''?}}
| class="Leerzeile"|<br/>Offene Netzwerkkonfiguration  
|-
|-
| {{b|Netzwerkkonfigurationen }} || {{spc | + Konfiguration hinzufügen}} || Zugangsprofile für WiFi-Netzwerke konfigurieren
| {{b|Netzwerkkonfigurationen }} || {{spc | + Konfiguration hinzufügen}} || Zugangsprofile für WiFi-Netzwerke konfigurieren
Zeile 278: Zeile 167:
| class="Leerzeile" | Netzwerk
| class="Leerzeile" | Netzwerk
|-
|-
| {{b|Name}} || {{ic | }} || Der Name der Konfiguration
| {{b|Name}} || {{ic |Firmen-WLAN Niederlassung }} || Der Name der Konfiguration
|-
|-
| {{b|Typ}} || {{ic | }} || Der Konfigurationstyp
| {{b|Typ}} || {{ic | WiFi }} || Der Konfigurationstyp ist vorgegeben
Wifi
Wifi
|-
|-
| {{b|SSID}} || {{ic | }} || Die SSID des Netzwerks
| {{b|SSID}} || {{ic |WiFi-SSID-vor-Ort }} || Die SSID des Netzwerks
|-
|-
| {{b|Sicherheit}} || {{ic | Keine | dr}} || Wählen Sie die Sicherheitsstufe
| {{b|Sicherheit}} || {{ic | WPA-PSK | dr}} || Höchstmögliche Sicherheitsstufe
|-
|-
| {{b|Versteckte SSID}} || {{ButtonAus }} || Legt fest ob die SSID versteckt ist.
| {{b|Versteckte SSID}} || {{ButtonAus }} || Legt fest ob die SSID versteckt ist.
|-
|-
| {{b|Automatisch verbinden}} || {{ButtonAus }} ||
| {{b|Automatisch verbinden}} || {{ButtonAn }} || Das Gerät soll sich automatisch mit dem Netzwerk verbinden.
|}
|}


Zeile 302: Zeile 191:
| class="Leerzeile" | <br/>Support-Meldungen
| class="Leerzeile" | <br/>Support-Meldungen
|-
|-
| {{b|Kurze Supportnachricht}} || {{ic | }} || Eine Meldung, die dem Benutzer auf dem Einstellungsbildschirm angezeigt wird, wenn die Funktionalität vom Administrator deaktiviert wurde. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
| {{b|Kurze Supportnachricht}} || {{ic |Deaktiviert durch Ihre IT-Abteilung }} || Eine Meldung, die dem Benutzer auf dem Einstellungsbildschirm angezeigt wird, wenn die Funktionalität vom Administrator deaktiviert wurde. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
|-
|-
| {{b|Lange Supportnachricht}} || {{ic | }} || Eine Nachricht, die dem {{f|Benutzer auf dem Einstellungsbildschirm des Geräteadministrators ?Wo ist das?}} angezeigt wird. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
| {{b|Lange Supportnachricht}} || {{ic | }} || Eine Nachricht, die dem {{f|Benutzer auf dem Einstellungsbildschirm des Geräteadministrators ?Wo ist das?}} angezeigt wird. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
Zeile 308: Zeile 197:
| {{b|Zulässige Eingabemethoden}} || {{ic | }} || Falls vorhanden, sind nur die Eingabemethoden zulässig, die von Paketen in dieser Liste bereitgestellt werden. Wenn dieses Feld vorhanden ist, die Liste jedoch leer ist, sind nur Systemeingabemethoden zulässig.
| {{b|Zulässige Eingabemethoden}} || {{ic | }} || Falls vorhanden, sind nur die Eingabemethoden zulässig, die von Paketen in dieser Liste bereitgestellt werden. Wenn dieses Feld vorhanden ist, die Liste jedoch leer ist, sind nur Systemeingabemethoden zulässig.
|-
|-
| {{b|E-Mail für Werkseinstellung Zurücksetzung}} || {{ic | }} || E-Mail-Adressen von Geräteadministratoren zum Schutz vor Zurücksetzen auf die Werkseinstellungen. Wenn das Gerät auf die Werkseinstellungen zurückgesetzt wird, muss sich einer dieser Administratoren mit der E-Mail-Adresse und dem Passwort des Google-Kontos anmelden, um das Gerät zu entsperren. {{Hinweis|!}}Wenn keine Administratoren angegeben sind, bietet das Gerät <u>keinen Schutz</u> vor Zurücksetzen auf die Werkseinstellungen.
| {{b|E-Mail für Werkseinstellung Zurücksetzung}} || {{ic | it-intern@anyideas.de}} || E-Mail-Adressen von Geräteadministratoren zum Schutz vor Zurücksetzen auf die Werkseinstellungen. Wenn das Gerät auf die Werkseinstellungen zurückgesetzt wird, muss sich einer dieser Administratoren mit der E-Mail-Adresse und dem Passwort des Google-Kontos anmelden, um das Gerät zu entsperren. {{Hinweis|!}}Wenn keine Administratoren angegeben sind, bietet das Gerät <u>keinen Schutz</u> vor Zurücksetzen auf die Werkseinstellungen.
|-
| {{b|Standardberechtigungsrichtlinie}} || {{ic | Unspecified (Prompt)|dr}} || Die Standardberechtigungsrichtlinie, wenn Apps neue Berechtigungen bei der Ausführung fordern{{f| für Laufzeitberechtigungsanforderungen. Nicht intuitiv?}}<br>{{ic | Unspecified (Prompt)|dr}} Nachfrage<br>{{ic | Gewähren|dr}}<br>{{ic | Verweigern|dr}}
|-
| {{b|Deaktivieren Sie die Installation von Apps}} || {{ButtonAus}} || Gibt an, ob die Benutzerinstallation von Apps deaktiviert ist. Bei {{ButtonAn}} Aktivierung kann der Benutzer keine Apps installieren.
|-
| {{b|Deaktivieren Sie die Deinstallation von Apps}} || {{ButtonAus}} || Gibt an, ob die Deinstallation von Anwendungen durch den Benutzer deaktiviert ist. Bei {{ButtonAn}} Aktivierung kann der Benutzer keine Apps deinstallieren.
|-
|-
| {{b|Ortungsmodus}} || {{ic | Nicht spezifiziert | dr}} || Der Grad der Standorterkennung {{f| ist aktiviert.§ Satzbau?}} Der Benutzer kann den Wert ändern, es sei denn, der Benutzer kann nicht auf Geräteeinstellungen zugreifen. Weitere Werte: <br/>{{ic | Hohe Genauigkeit | dr}} {{f|heißt was?}} <br/>{{ic | Nur Sensoren | dr}} <br/>{{ic | Batterieschonung | dr}} {{f|heißt was?}} <br/>{{ic | Off | dr}}
| {{b|Ortungsmodus}} || {{ic | Nicht spezifiziert | dr}} || Der Grad der Standorterkennung {{f| ist aktiviert.§ Satzbau?}} Der Benutzer kann den Wert ändern, es sei denn, der Benutzer kann nicht auf Geräteeinstellungen zugreifen. Weitere Werte: <br/>{{ic | Hohe Genauigkeit | dr}} {{f|heißt was?}} <br/>{{ic | Nur Sensoren | dr}} <br/>{{ic | Batterieschonung | dr}} {{f|heißt was?}} <br/>{{ic | Off | dr}}
|-
|-
| {{b|Deaktivieren Sie die Bildschirmaufnahme}} || {{ButtonAus}} || Bei {{ButtonAn}} Aktivierung, ist keine Bildschirmaufnahme möglich.{{f| MS weiß noch zu berichten; § Zudem wird verhindert, dass der Inhalt auf Anzeigegeräten angezeigt wird, die über keine sichere Videoausgabe verfügen. }}
| {{b|Deaktivieren Sie die Bildschirmaufnahme}} || {{ButtonAn}} || Um Datenschutz zu gewährleisten, sollen keine Screenshots angefertigt werden können. {{f| MS weiß noch zu berichten; § Zudem wird verhindert, dass der Inhalt auf Anzeigegeräten angezeigt wird, die über keine sichere Videoausgabe verfügen. }}
|-
|-
| {{b|Kamera deaktivieren}} || {{ButtonAus}} || Bei {{ButtonAn}} Aktivierung, ist die Kamera deaktiviert.
| {{b|Kamera deaktivieren}} || {{ButtonAn}} || Per Default soll die Kamera deaktiviert sein
|-
|-
| {{b|Kontotypen mit deaktivierter Verwaltung}} || {{ic | }} || Kontotypen, die vom Benutzer nicht verwaltet werden können. {{f| Wo kommen die Typen her? § No Results found}}
| {{b|Kontotypen mit deaktivierter Verwaltung}} || {{ic | }} || Kontotypen, die vom Benutzer nicht verwaltet werden können. {{f| Wo kommen die Typen her? § No Results found}}
|-
|-
| {{b|Deaktivieren Sie das Hinzufügen von Benutzern}} || {{ButtonAus}} || Bei {{ButtonAn}} Aktivierung, ist das Hinzufügen neuer Benutzer und Profile deaktiviert.
| {{b|Deaktivieren Sie den Werksreset}} || {{ButtonAn}} || Gibt an, ob das Zurücksetzen auf Werkseinstellungen deaktiviert ist. {{f|Wie verträgt sich das mit »E-Mail für Werkseinstellung Zurücksetzung« und [...]Wenn keine Administratoren angegeben sind, bietet das Gerät keinen Schutz vor Zurücksetzen auf die Werkseinstellungen. ? }}
|-
| {{b|Deaktivieren Sie die Einstellung der Lautstärke}} || {{ButtonAus}} || {{f|Gibt an, o}}b das Anpassen der Hauptlautstärke deaktiviert ist.
|-
| {{b|Deaktivieren Sie den Werksreset}} || {{ButtonAus}} || Gibt an, ob das Zurücksetzen auf Werkseinstellungen deaktiviert ist. {{f|Wie verträgt sich das mit »E-Mail für Werkseinstellung Zurücksetzung« und [...]Wenn keine Administratoren angegeben sind, bietet das Gerät keinen Schutz vor Zurücksetzen auf die Werkseinstellungen. ? }}
|-
|-
| {{b|Deaktivieren Sie die Bereitstellung physischer Medien}} || {{ButtonAus}} || Gibt an, ob der Benutzer, der physische externe Medien bereitstellt, deaktiviert ist. {{f| Tatsächlich? Es wird gleich der komplette Benutzer deaktiviert und nicht das Medium?}}
| {{b|Deaktivieren Sie die Bereitstellung physischer Medien}} || {{ButtonAn}} || Gibt an, ob der Benutzer, der physische externe Medien bereitstellt, deaktiviert ist. {{f| Tatsächlich? Es wird gleich der komplette Benutzer deaktiviert und nicht das Medium?}}
|-
|-
| {{b|Deaktivieren Sie das Ändern von Konten}} || {{ButtonAus}} || Gibt an, ob das Hinzufügen oder Entfernen von Konten deaktiviert ist.
| {{b|Deaktivieren Sie das Ändern von Konten}} || {{ButtonAus}} || Gibt an, ob das Hinzufügen oder Entfernen von Konten deaktiviert ist. {{f|braucht man das?}}
|-
|-
| {{b|Deaktivieren Sie den sicheren Start}} || {{ButtonAus}} || Gibt an, ob der Neustart des Geräts im sicheren Startmodus deaktiviert ist.
| {{b|Deaktivieren Sie den sicheren Start}} || {{ButtonAus}} || Gibt an, ob der Neustart des Geräts im sicheren Startmodus deaktiviert ist. {{f|braucht man das?}}
|-
| {{b|Statusleiste deaktivieren}} || {{ButtonAus}} || Gibt an, ob die Statusleiste deaktiviert ist. Dadurch werden Benachrichtigungen, Schnelleinstellungen und andere Bildschirmüberlagerungen deaktiviert, die das Verlassen des Vollbildmodus ermöglichen.
|-
|-
| {{b|Tastensperre deaktivieren}} || {{ButtonAus}} || Gibt an, ob die Tastensperre deaktiviert ist.
| {{b|Tastensperre deaktivieren}} || {{ButtonAus}} || Gibt an, ob die Tastensperre deaktiviert ist.
Zeile 527: Zeile 404:
Dies ist erforderlich, um die Sicherheitseinstellungen zu konfigurieren.
Dies ist erforderlich, um die Sicherheitseinstellungen zu konfigurieren.
{{:MS/deployment/Profile-Sicherheit}}
{{:MS/deployment/Profile-Sicherheit}}
{{Hinweis | ! Apps auf Geräten, die über EMM verwaltet werden, werden innerhalb der Profile konfiguriert !|gelb}}
{{pt2|MSP_Profile_Anwendungen_BP.png}}
Konfiguration unter {{spc | Profile | menü }} / '''Profil auswählen''' / {{Reiter|Anwendungen}}
{{Hinweis|!! Die hier gezeigten Einstellungen sind Beispiele, die einen möglichst Umfassenden Schutz bieten. Eine <u>Anpassung an lokale Anforderungen</u> ist unbedingt vorzunehmen !|grünbd}}
<br clear=all>
{| class="sptable"
! Beschriftung !! Vorgeschlagener Wert !! Beschreibung
|-
| {{b|Automatische App-Updates}} || style="min-width: 170px;" | {{ic|Immer|dr}} || Auch bei Geräten, die selten oder nie in ein WLAN zurückkehren, sollen die Apps aktualisiert werden. Das Datenvolumen wirkt sich bei üblichen Volumentarifen in der Regel kaum aus.
|-
|  {{b|Standardberechtigungsrichtlinie}} || {{ic|Gewähren|dr}} || Es werden ohnehin nur vorher geprüfte Apps erlaubt, die dann auch alles dürfen, was nicht explizit verboten wird
|-
| {{b|Deaktivieren Sie die Installation von Apps}} || {{ButtonAn}} || Es dürfen keine Apps durch den Benutzer installiert werden
|-
| {{b|Deaktivieren Sie die Deinstallation von Apps }} || {{ButtonAn}} || Es dürfen keine Apps durch den Benutzer deinstalliert werden
|-
| {{b| App-Überprüfung erzwingen}} || {{ButtonAn}} || {{f|Ist bestimmt ganz wichtig}}
|}
<br>
<p>{{spc| save}}</p>
<p>{{ spc | + | |Anwendung hinzufügen }}</p>
<p>{{ spc | suche | | Select app}} '''Auswahl der gewünschten Apps''' Für unser Beispiel: Nextcloud </p>
<p>Übernahme der App mit {{spc|Auswählen|buttongr}}
{{pt2|MSA_Profile_Anwendungen_Apps.png}}<br clear=all>
{| class="sptable"
! Beschriftung !! Vorgeschlagener Wert !! Beschreibung
|-
| {{b|Paketnamen}} || style="min-width: 170px;" |  {{ic |com.nextcloud.client}} || Der Paketname der App, die zuvor ausgewählt wurde
|-
| {{b|Installationstyp}} || {{ic |Vorinstallation |dr}} || Die App wird automatisch auf dem Gerät installiert
|-
| {{b|Standardberechtigungsrichtlinie}} || {{ic |Prompt |dr}} || Werden neue, nicht explizit gewährte oder verweigerte Berechtigungen benötigt, fragt das System nach einer Berechtigung.
|-
| {{b|Berechtigungen}} || {{spc |+| |Berechtigung hinzufügen}} || Einzelne Berechtigungen können anders als die zuvor konfigurierte Standardberechtigungsrichtlinie eingestellt werden und überschreiben deren Werte
|-
| class="Leerzeile" | Permission ||class="Leerzeile" colspan="2" | {{spc|max|o|-|c=rots}} /{{spc|--|o|-|c=rots}} Erweitern oder minimieren einer Berechtigung {{mobil|<br>}}{{spc|trash|o|-|c=rots}} Löschen der Berechtigung
|-
| {{b|Genehmigung}} ||style="min-width: 265px;" |  {{ic |android.permission.GET_ACCOUNTS |dr|w=248px}} || Die App soll sich mit den Zugangsberechtigungen anderer Konten anmelden können.
|-
| {{b|Regel}} || {{ic | Gewähren |dr|w=248px}} || Die Richtlinie zum Erteilen der Berechtigung.
|-
| {{b|Genehmigung}} || {{ic |android.permission.INTERNET |dr|w=248px}} || Die App soll Zugriff auf vorhandene Internetverbindungen erhalten.
|-
| {{b|Regel}} || {{ic | Gewähren |dr|w=248px}} || Die Richtlinie zum Erteilen der Berechtigung.
|-
| {{b|Genehmigung}} || {{ic |com.nextcloud.client.<br>permission.C2D_MASSAGE |dr|w=248px}} || Die App soll Push-Nachrichten über Firebase Cloud Messaging (ehemals Goocle Cloud Massage) erhalten können (Cloud to Device → C2D)
|-
| {{b|Regel}} || {{ic | Gewähren |dr|w=248px}} || Die Richtlinie zum Erteilen der Berechtigung.
|-
| || Hier sind ggf. weitere Berechtigungen zu gewähren oder zu verweigern
|-
| {{b|Verwaltete Konfiguration}} || {{ic | |dr}} || Managed configuration applied to the app. The format for the configuration is dictated by the ManagedProperty values supported by the app. Each field name in the managed configuration must match the key field of the ManagedProperty. The field value must be compatible with the type of the ManagedProperty
|-
| {{b|Verwaltete Konfigurationsvorlage}} || {{ic | |dr}} || This field is ignored if managedConfiguration is set.
|-
| {{b|Deaktiviert}} || {{ic | |dr}} || Whether the app is disabled. When disabled, the app data is still preserved.
|-
| {{b|Minimaler Versionscode}} || {{ic | |dr}} || The minimum version of the app that runs on the device. If set, the device attempts to update the app to at least this version code. If the app is not up-to-date, the device will contain a NonComplianceDetail with nonComplianceReason set to APP_NOT_UPDATED. The app must already be published to Google Play with a version code greater than or equal to this value. At most 20 apps may specify a minimum version code per policy.
|-
| {{b|Bereiche delegieren}} || {{ic | |dr}} || Die Richtlinie zum Erteilen der Berechtigung.
|}

Version vom 9. September 2019, 11:50 Uhr



























Beispielhafte Konfiguration eines EMM-Profils

Neu

  • Bestpractice


Einleitung

In einem Profil werden Berechtigungen, Einschränkungen, Passwort-Voraussetzungen, E-Mail-Einstellungen und Sicherheits-Einstellungen konfiguriert.

Android Enterprise-Profile (EMM) verhalten sich grundlegend anders als herkömmliche Android Profile. Die Geräte-Registrierung wird direkt an ein Profil gebunden.
Es muss zuerst ein Profil angelegt ( und konfiguriert) werden, bevor ein Gerät registriert werden kann.
Es ist nicht mehr möglich ein Profil einer Rolle, einem Benutzer oder einem Tag zuzuordnen.

In Android Enterprise-Profilen könnn zahlreiche sicherheitsrelevante Einstellungen vorgenommen werden, so z.B.

  • Kamara deaktivieren
  • Mikrofon deaktivieren
  • USB-Dateiübertragung deaktivieren
  • ausgehende Anrufe deaktivieren
  • Bluetooth deaktivieren
  • Kontaktfreigabe deaktivieren
  • Tethering deaktivieren
  • sms deaktivieren
  • Netzwerk nur mit VPN ermöglichen
  • uvm.

Android Enterprise Profile werden unmittelbar angewendet und müssen nicht veröffentlicht werden !


Android Enterprise Profil

Allgemein

Allgemein

Allgemeine Einstellungen

Anzeige der verwendeten Plattform, des Profil-Namens und der zugeordneten Geräte.

Soll ein Android EMM-Profil neu angelegt werden, muss als Plattform Android Enterprise ausgewählt werden.


Grundeinstellungen

Grundeinstellungen

Grundeinstellungen

Die hier gezeigten Einstellungen sind Beispiele, die einen möglichst Umfassenden Schutz bieten. Eine Anpassung an lokale Anforderungen ist unbedingt vorzunehmen !

Beschriftung Werte Beschreibung
Maximale Zeit zum Sperren 120 Das Gerät soll nach 2 Min Inaktivität gesperrt werden.
Verschlüsselung Mit Passwort aktiviert Verschlüsselung kann nur mit Kennwort aufgehoben werden. Die Verschlüsselung erfolgt auf Dateisystemebene und verhindert das Auslesen von Daten, bei physischem Zugriff auf ein gesperrtes Gerät. Es verhindert nicht das lesen von Daten eines entsperrten Gerätes.
Automatische App-Updates Immer Die auf einem Gerät erzwungene Richtlinie zur automatischen Aktualisierung von Apps in Abhängigkeit der Netzwerkverbindung: Auch bei Geräten, die selten oder nie in ein WLAN zurückkehren, sollen die Apps aktualisiert werden. Das Datenvolumen wirkt sich bei üblichen Volumentarifen in der Regel kaum aus.
Modi in denen das Gerät an bleibt Ignorieren Der Akkulade-Modus soll keine Auswirkung darauf haben, ob das Gerät eingeschaltet bleibt.

Device Owner lockscreen info
Aktiviere die Sperrbildschirm-Informationen    Im Sperrbildschirm soll eine Information angezeigt werden.
Device Owner lockscreen info Eigentum Securepoint GmbH.
Support: 04131 - 2401-0		 Die Gerätebesitzerinformationen, die auf dem Sperrbildschirm angezeigt werden sollen. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.

  Speichern

Compliance

Compliance

Es können Regeln definiert werden, wann das Telefon bzw das Arbeitsprofil gesperrt und wann es gelöscht (in Werkszustand zurückgesetzt) wird. Der Anwender wird aufgefordert, die ausgewählte Richtlinie auf dem Gerät zu aktivierten. Andernfalls wird das Gerät / Arbeitsprofil geblockt bzw. auf die Werkseinstellungen zurückgesetzt / gelöscht.

Beschriftung Werte Beschreibung
Einstellungsname passwordPolicies Die Kennwortrichtlinien müssen auf dem Telefon angewendet werden.

Blockieren
Blockieren nach x Tagen 1 Anzahl der Tage, an denen die Richtlinie nicht konform ist, bevor das Gerät oder das Arbeitsprofil blockiert wird. Um den Zugriff sofort zu blockieren, wird der Wert auf 0 gesetzt.

Löschen
Werkeinstellungs-Reset-Schutz erhalten    Wenn aktiviert, wird der Werkeinstellungs-Reset-Schutz im Profil erhalten. Bei Diebstahl oder Verlust muss man sich erst in das Google-Konto einloggen, bevor sich das Gerät auf Werkseinstellungen zurücksetzen lässt. Diese Einstellung nicht mit Arbeitsprofilen.
Löschen nach x Tagen 7 Anzahl der Tage, bevor das Gerät oder das Arbeitsprofil gelöscht wird. Löschen muss größer als sein als Blockieren.


Anwendungen

Apps auf Geräten, die über EMM verwaltet werden, werden innerhalb der Profile konfiguriert !

Das Menü   Apps hat auf diese Profile / Geräte keine Auswirkung!

Die hier gezeigten Einstellungen sind Beispiele. Eine Anpassung an lokale Anforderungen ist unbedingt vorzunehmen !

Beschriftung Vorgeschlagener Wert Beschreibung
Standardberechtigungsrichtlinie Gewähren Es werden ohnehin nur vorher geprüfte Apps erlaubt, die dann auch alles dürfen, was nicht explizit verboten wird
Deaktivieren Sie die Installation von Apps    Es dürfen keine Apps durch den Benutzer installiert werden
Deaktivieren Sie die Deinstallation von Apps    Es dürfen keine Apps durch den Benutzer deinstalliert werden
App-Überprüfung erzwingen   


  Speichern

 Anwendung hinzufügen

  Select app Auswahl der gewünschten Apps Für unser Beispiel: Nextcloud

Übernahme der App mit Auswählen


Beschriftung Vorgeschlagener Wert Beschreibung
Paketnamen com.nextcloud.client Der Paketname der App, die zuvor ausgewählt wurde
Installationstyp Vorinstallation Die App wird automatisch auf dem Gerät installiert
Standardberechtigungsrichtlinie Prompt Werden neue, nicht explizit gewährte oder verweigerte Berechtigungen benötigt, fragt das System nach einer Berechtigung.
Berechtigungen  Berechtigung hinzufügen Einzelne Berechtigungen können anders als die zuvor konfigurierte Standardberechtigungsrichtlinie eingestellt werden und überschreiben deren Werte
Permission / Erweitern oder minimieren einer Berechtigung
Löschen der Berechtigung
Genehmigung android.permission.GET_ACCOUNTS Die App soll sich mit den Zugangsberechtigungen anderer Konten anmelden können.
Regel Gewähren Die Richtlinie zum Erteilen der Berechtigung.
Genehmigung android.permission.INTERNET Die App soll Zugriff auf vorhandene Internetverbindungen erhalten.
Regel Gewähren Die Richtlinie zum Erteilen der Berechtigung.
Genehmigung com.nextcloud.client.
permission.C2D_MASSAGE		 Die App soll Push-Nachrichten über Firebase Cloud Messaging (ehemals Goocle Cloud Massage) erhalten können (Cloud to Device → C2D)
Regel Gewähren Die Richtlinie zum Erteilen der Berechtigung.
Hier sind ggf. weitere Berechtigungen zu gewähren oder zu verweigern
Bereiche delegieren     Die Richtlinie zum Erteilen der Berechtigung.

Netzwerke

Netzwerke
Beschriftung Default-Einstellung Beschreibung

VPN immer aktiv
Aktiviere "VPN immer aktiv"   
Paketnamen
 Paketnamen Der Paketname der VPN-App.
Sperre aktiviert    Es wird jede Netzwerkverbindung verhindert, wenn das VPN nicht verbunden ist.

Offene Netzwerkkonfiguration
Netzwerkkonfigurationen + Konfiguration hinzufügen Zugangsprofile für WiFi-Netzwerke konfigurieren
Netzwerk
Name Firmen-WLAN Niederlassung Der Name der Konfiguration
Typ WiFi Der Konfigurationstyp ist vorgegeben

Wifi

SSID WiFi-SSID-vor-Ort Die SSID des Netzwerks
Sicherheit WPA-PSK Höchstmögliche Sicherheitsstufe
Versteckte SSID    Legt fest ob die SSID versteckt ist.
Automatisch verbinden    Das Gerät soll sich automatisch mit dem Netzwerk verbinden.

Einschränkungen
Beschriftung Eingabe Beschreibung

Support-Meldungen
Kurze Supportnachricht Deaktiviert durch Ihre IT-Abteilung Eine Meldung, die dem Benutzer auf dem Einstellungsbildschirm angezeigt wird, wenn die Funktionalität vom Administrator deaktiviert wurde. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
Lange Supportnachricht     Eine Nachricht, die dem angezeigt wird. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
Zulässige Eingabemethoden     Falls vorhanden, sind nur die Eingabemethoden zulässig, die von Paketen in dieser Liste bereitgestellt werden. Wenn dieses Feld vorhanden ist, die Liste jedoch leer ist, sind nur Systemeingabemethoden zulässig.
E-Mail für Werkseinstellung Zurücksetzung it-intern@anyideas.de E-Mail-Adressen von Geräteadministratoren zum Schutz vor Zurücksetzen auf die Werkseinstellungen. Wenn das Gerät auf die Werkseinstellungen zurückgesetzt wird, muss sich einer dieser Administratoren mit der E-Mail-Adresse und dem Passwort des Google-Kontos anmelden, um das Gerät zu entsperren. Wenn keine Administratoren angegeben sind, bietet das Gerät keinen Schutz vor Zurücksetzen auf die Werkseinstellungen.
Ortungsmodus Nicht spezifiziert Der Grad der Standorterkennung Der Benutzer kann den Wert ändern, es sei denn, der Benutzer kann nicht auf Geräteeinstellungen zugreifen. Weitere Werte:
Hohe Genauigkeit
Nur Sensoren
Batterieschonung
Off
Deaktivieren Sie die Bildschirmaufnahme    Um Datenschutz zu gewährleisten, sollen keine Screenshots angefertigt werden können.
Kamera deaktivieren    Per Default soll die Kamera deaktiviert sein
Kontotypen mit deaktivierter Verwaltung     Kontotypen, die vom Benutzer nicht verwaltet werden können.
Deaktivieren Sie den Werksreset    Gibt an, ob das Zurücksetzen auf Werkseinstellungen deaktiviert ist.
Deaktivieren Sie die Bereitstellung physischer Medien    Gibt an, ob der Benutzer, der physische externe Medien bereitstellt, deaktiviert ist.
Deaktivieren Sie das Ändern von Konten    Gibt an, ob das Hinzufügen oder Entfernen von Konten deaktiviert ist.
Deaktivieren Sie den sicheren Start    Gibt an, ob der Neustart des Geräts im sicheren Startmodus deaktiviert ist.
Tastensperre deaktivieren    Gibt an, ob die Tastensperre deaktiviert ist.
Deaktivieren Sie die Bluetooth-Kontaktfreigabe    Gibt an, ob die Bluetooth-Kontaktfreigabe deaktiviert ist.
Deaktivieren Sie die Bluetooth-Konfiguration    Gibt an, ob die Bluetooth-Konfiguration deaktiviert ist.
Deaktivieren Sie die Cell Broadcast-Konfiguration    Gibt an, ob die Konfiguration von Cell Broadcast deaktiviert ist.
Deaktivieren Sie die Konfiguration der Anmeldeinformationen    Gibt an, ob die Konfiguration von Benutzeranmeldeinformationen deaktiviert ist.
Deaktivieren Sie die Mobilfunknetzkonfiguration    Gibt an, ob die Konfiguration von Mobilfunknetzen deaktiviert ist.
Deaktivieren Sie die Tethering-Konfiguration    Gibt an, ob die Konfiguration von Tethering und portablen Hotspots deaktiviert ist.
Deaktivieren Sie die VPN-Konfiguration    Gibt an, ob die Konfiguration von VPN deaktiviert ist.
Deaktivieren Sie die Wi-Fi-Konfiguration    Gibt an, ob die Konfiguration von Wi-Fi-Zugangspunkten deaktiviert ist.
Deaktivieren Sie das Erstellen von Fenstern    Gibt an, ob das Erstellen von Fenstern neben App-Fenstern deaktiviert ist.
Deaktivieren Sie das Zurücksetzen der Netzwerkeinstellungen    Gibt an, ob das Zurücksetzen der Netzwerkeinstellungen deaktiviert ist.
Datei per NFC versenden deaktivieren    Gibt an, ob die Verwendung von NFC zum Übertragen von Daten aus Apps deaktiviert ist.
Ausgehende Anrufe deaktivieren    Gibt an, ob ausgehende Anrufe deaktiviert sind.
Deaktivieren Sie das Entfernen von Benutzern    Ob das Entfernen anderer Benutzer deaktiviert ist.
Deaktivieren Sie die Standortfreigabe    Gibt an, ob die Standortfreigabe deaktiviert ist.
SMS deaktivieren    Gibt an, ob das Senden und Empfangen von SMS-Nachrichten deaktiviert ist.
Mikrofon einschalten verhindern    Gibt an, ob das Mikrofon stummgeschaltet ist und die Mikrofonlautstärke nicht eingestellt werden kann.
Deaktivieren Sie die USB-Datenübertragung    Gibt an, ob die Übertragung von Dateien über USB deaktiviert ist.
App-Überprüfung erzwingen    Gibt an, ob die App-Überprüfung erzwungen wird.
Einstellungsbenutzersymbol deaktivieren    Gibt an, ob das Ändern des Benutzersymbols deaktiviert ist.
Deaktivieren Sie die Hintergrundeinstellungen    Gibt an, ob das Ändern des Hintergrundbilds deaktiviert ist.
Roaming deaktivieren    Gibt an, ob Roaming-Datendienste deaktiviert sind.
Deaktivieren Sie den Netzwerk Escape Hatch    Gibt an, ob der Netzwerk Escape Hatch aktiviert ist. Wenn beim Booten keine Netzwerkverbindung hergestellt werden kann, fordert der Escape Hatch den Benutzer auf, vorübergehend eine Verbindung zu einem Netzwerk herzustellen, um die Geräterichtlinie zu aktualisieren. Nach dem Anwenden der Richtlinie wird das temporäre Netzwerk vergessen und das Gerät fährt mit dem Booten fort. Auf diese Weise wird verhindert, dass keine Verbindung zu einem Netzwerk hergestellt werden kann, wenn in der letzten Richtlinie kein geeignetes Netzwerk vorhanden ist und das Gerät im Task-Sperrmodus eine App startet oder der Benutzer ansonsten die Geräteeinstellungen nicht erreichen kann.
Bluetooth deaktivieren    Gibt an, ob Bluetooth deaktiviert ist. Ziehen Sie diese Einstellung bluetooth_config_disabled vor, da bluetooth_config_disabled vom Benutzer umgangen werden kann.
Aktivieren Sie die Blockierung anderer Apps    Gibt an, ob andere als die in Anwendungen konfigurierten Anwendungen für die Installation gesperrt sind. Wenn diese Option aktiviert ist, werden Anwendungen, die unter einer früheren Richtlinie installiert wurden, jedoch nicht mehr in der Richtlinie angezeigt werden, automatisch deinstalliert.
Erlaube unbekannte Quellen    Gibt an, ob der Benutzer die Einstellung "Unbekannte Quellen" aktivieren darf, mit der Apps aus unbekannten Quellen installiert werden können.
Debugging-Funktionen zulassen    Gibt an, ob der Benutzer Debugging-Funktionen aktivieren darf.
"Spaß" deaktivieren    Gibt an, ob das Easteregg-Spiel in den Einstellungen deaktiviert ist.
Benötige automatische Zeit    Gibt an, ob die Zeit automatisch ermittelt (aus den Datenpaketen des Netzbetreibers) wird, sodass der Benutzer Datum und Uhrzeit nicht manuell einstellen kann.
Aktivieren Sie den benutzerdefinierten Kiosk-Starter    Gibt an, ob der benutzerdefinierte Kiosk-Starter aktiviert ist. Dadurch wird der Startbildschirm durch einen Starter ersetzt, der das Gerät für die über die Anwendungseinstellung installierten Apps sperrt. Die Apps werden auf einer einzelnen Seite in alphabetischer Reihenfolge angezeigt. Es wird empfohlen, status_bar_disabled auch zu verwenden, um den Zugriff auf Geräteeinstellungen zu blockieren.
Hinweise zum ersten Benutzer überspringen    Flag, um Hinweise zur ersten Verwendung zu überspringen. Der Unternehmensadministrator kann die Systemempfehlung für Apps aktivieren, um das Benutzer-Tutorial und andere einführende Hinweise beim ersten Start zu überspringen.
Flag, um Hinweise zur ersten Verwendung zu überspringen. Der Unternehmensadministrator kann die Systemempfehlung für Apps aktivieren, um das Benutzer-Tutorial und andere einführende Hinweise beim ersten Start zu überspringen.    Ermöglicht die Anzeige der Benutzeroberfläche auf einem Gerät, damit ein Benutzer einen privaten Schlüsselalias auswählen kann, wenn in ChoosePrivateKeyRules keine übereinstimmenden Regeln vorhanden sind. Bei Geräten unter Android P können durch diese Einstellung Unternehmensschlüssel angegriffen werden.
Play-Store-Modus In diesem Modus wird gesteuert, welche Apps dem Benutzer im Play Store zur Verfügung stehen und wie sich das Gerät verhält, wenn Apps aus der Richtlinie entfernt werden.
Mögliche Werte: Default:
Nicht spezifiziert
Whitelist
Blacklist
Deaktivieren Sie die Keyguard-Funktionen     Deaktivierte Keyguard-Anpassungen, z. B. Widgets.
Option Beschreibung
Kamera ?
Benachrichtigungen ?
Nicht umgesetzte Benachrichtigungen Vertrauensagenten ignorieren Fingerabdruck Remote-Eingang Alles

Statusmeldung
Aktivieren Sie die Statusmeldung    Nachdem Sie dies aktiviert haben, können Sie die Konfiguration der Statusberichte festlegen
Hardware Status    Gibt an, ob die Hardware-Statusmeldung aktiviert ist.
Anwendungsberichte    Gibt an, ob App-Berichte aktiviert sind.
Softwareinfo    Gibt an, ob die Software-Info-Berichterstattung aktiviert ist.
Speicherinfo    Gibt an, ob die Speicherberichterstattung aktiviert ist.
Anzeigen Informationen    Gibt an, ob die Anzeige von Berichten aktiviert ist.
Netzwerk information    Gibt an, ob die Netzwerkinfomeldung aktiviert ist.
Geräteeinstellungen    Gibt an, ob die Berichterstellung für Geräteeinstellungen aktiviert ist.
Energieverwaltungsereignisse    Gibt an, ob die Energieverwaltungsereignisberichterstattung aktiviert ist.

Systemaktualisierung
Aktivieren Sie die Statusmeldung    Nachdem Sie dies aktiviert haben, können Sie die Systemaktualisierungskonfiguration einstellen
Energieverwaltungsereignisse Die Art der zu konfigurierenden Systemaktualisierung.
Nicht spezifiziert
Automatisch
Im Fenster
Start minutes 0 If the type is windowed, the start of the maintenance window, measured as the number of minutes after midnight in the device's local time. This value must be between 0 and 1439, inclusive.
End minutes 0 If the type is WINDOWED, the end of the maintenance window, measured as the number of minutes after midnight in device's local time. This value must be between 0 and 1439, inclusive. If this value is less than start_minutes, then the maintenance window spans midnight. If the maintenance window specified is smaller than 30 minutes, the actual window is extended to 30 minutes beyond the start time.
Verschieben
Regeln für private Schlüssel  Regel hinzufügen Regeln für die automatische Auswahl eines privaten Schlüssels und Zertifikats zur Authentifizierung des Geräts bei einem Server. Die Regeln sind nach Priorität geordnet. Wenn also eine ausgehende Anforderung mehr als einer Regel entspricht, definiert die letzte Regel, welcher private Schlüssel verwendet werden soll.
URL-Muster
URL-Muster		 Das URL-Muster, das mit der URL der ausgehenden Anforderung abgeglichen werden soll. Das Muster kann Platzhalter mit Sternchen (*) enthalten. Jede URL stimmt überein, wenn sie nicht angegeben ist.
Paketnamen
Paketnamen hinzufügen		 Die Paketnamen, für die ausgehende Anforderungen dieser Regel unterliegen. Wenn keine Paketnamen angegeben sind, gilt die Regel für alle Pakete. Für jeden aufgelisteten Paketnamen gilt die Regel für dieses Paket und alle anderen Pakete, die dieselbe Android-UID verwendet haben. Der SHA256-Hash der Signaturschlüsselsignaturen jedes Paketnamens wird mit den von Play bereitgestellten verglichen
Alias für privaten Schlüssel
Alias		 Der Alias des zu verwendenden privaten Schlüssels.
Globale Erlaubnisgewährung  Berechtigung hinzufügen Explizite Erlaubnis oder Gruppengewährung oder -verweigerung für alle Apps. Diese Werte überschreiben die defaultPermissionPolicy.
Genehmigung
   		 Die Android-Berechtigung oder -Gruppe, z. android.permission.READ_CALENDAR oder android.permission_group.CALENDAR.
Regel
Nicht spezifiziert		 Die Richtlinie zum Erteilen der Berechtigung.

Passwort

Passwortrichtlinien

Passwortrichtlinien können für Arbeitsprofile und komplett verwaltete Geräte verwendet werden.

Beschrifung Werte Beschreibung
Umfang Der Bereich, für den die Kennwortanforderung gilt.
Gerät Die Richtlinie gilt nur für komplett verwaltete Geräte
Workprofile Die Richtlinie gilt nur für Arbeitsprofile auf BYOD-Geräten
Beide Die Richtlinie gilt für komplett verwaltete Geräte und Arbeitsprofile auf BYOD-Geräten
Passcode-Qualität Die erforderliche Passwortqualität.
Nicht spezifiziert
Biometric
Irgendetwas
Numerisch
Numberic (complex)
Alphabetisch
Alphanumerisch
Komplex
Länge des Passwortverlaufs 0 Die Länge des Kennwortverlaufs. Nach dem Einstellen dieses Felds kann der Benutzer kein neues Kennwort eingeben, das mit dem Kennwort im Verlauf identisch ist. Ein Wert von 0 bedeutet, dass keine Einschränkung vorliegt.
Maximale Anzahl fehlgeschlagener Versuche 0 Anzahl der zulässigen Eingabeversuche, bevor alle Daten auf dem Gerät gelöscht werden
Ablaufzeitlimit 0s Eine Dauer in Sekunden mit bis zu neun Nachkommastellen, die mit "s" abgeschlossen wird. Beispiel: 3.5s

Sicherheit

Sicherheit

Bei    Aktivierung wird die Securepoint Mobile Security-App hinzu gefügt bzw. entfernt.
Dies ist erforderlich, um die Sicherheitseinstellungen zu konfigurieren.


In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden



























Beschriftung Wert Beschreibung
Erlaube das Unterbrechen von Always-On-VPN    Erlaubt es dem Benutzer das VPN vorübergehend zu deaktivieren. Wenn der Benutzer es nicht selbst wieder aktiviert, geschieht dies um die vom Benutzer gewählte Uhrzeit.
Andere VPN Profile erlauben    Erlaubt das Hinzufügen von anderen VPN Profilen, zusätzlich zu dem Security-Profil
Authentifizierung nach App-Start erforderlich notempty
Neu ab 2.1
  • Voraussetzung für dieses Feature: App-Version 3.1
    		•     Wenn aktiviert, ist eine Authentifizierung (PIN oder biometrisch) beim App-Start erforderlich. Diese muss der User festlegen.
    Sicherheit aktivieren
    		   Um Mobile Security nutzen zu können, wird zunächst die App "Securepoint VPN Client" automatisch installiert. Dazu wird entweder eine VPP-Lizenz aus dem Apple Business Manager oder auf dem Gerät eine Apple ID benötigt.
    notempty
    Neu ab: 2.3
    Protokoll TCP Das Protokoll, das für den VPN Tunnel verwendet wird: TCP oder UDP
    Portfilter-Typ Offen Netzwerkverkehr filtern aufgrund von Netzwerk Ports:alle Ports sind freigegeben
    Geschlossen Lediglich Port 80 (http) und 443 (https) sind freigegeben
    Auswahl Portfilter-Regelauswahl: Festlegen, welche Port-Collections für den Netzwerkverkehr geöffnet sind:





    Port-Collection Port Protokoll Anwendung
    Administrative Tools 21 TCP ftp
    3389 TCP ms-rdp
    23 TCP telnet
    5900 TCP vnc
    22 TCP ssh
    5938 TCP/UDP teamviewer
    Communication 3478-3481 UDP Skype
    49152-65535 UDP
    49152-65535 TCP
    5222 TCP Google Push-Notifications
    5223 UDP
    5228 TCP
    VOIP 5060 UDP SIP/RTP
    7070-7089 UDP
    VPN 1194 TCP OpenVPN
    1194 UDP
    500 UDP IPSec
    4500 UDP & ESP
    1701 UDP L2TP
    Mail 25 TCP smtp
    587 TCP
    465 TCP smtps
    110 TCP pop3
    995 TCP
    143 TCP imap
    993 TCP
    SSL-Interception Standard Definiert, ob SSL-Datenverkehr abgefangen wird oder nicht. Der Standardwert ist das Abfangen von Datenverkehr basierend auf der Antwort des Content-Filters.
    Content-Filter Allowlist Einträge hinzufügen Klick-Box: Webseiten, die auf einer Allowlist eingetragen werden sollen. Mögliche Einträge: Contentfilter
    Content-Filter Blocklist Einträge hinzufügen Klick-Box: Webseiten, die auf einer Blocklist eingetragen werden sollen.
    VPN für SSIDs deaktivieren SSIDs hinzufügen Eingabe von WLAN-SSIDs, für die die Sicherheitsfunktionen deaktiviert werden sollen.
    IP-Adressen von VPN ausschließen IPs hinzufügen Es können IP-Adressen oder Netzwerke eingegeben werden, für die die Sicherheitsfunktionen deaktiviert werden sollen, d.h. Der einzelne Host 192.0.2.192/32 oder das gesamte Subnetz 192.0.2.0/24. Bei Adressblöcken mit weniger als drei Stellen muss ein Punkt eingegeben oder mit den Cursortasten innerhalb der Maske navigiert werden.
    Lokales WLAN vom VPN ausnehmen    Wenn aktiviert, wird eine Route hinzugefügt, die den lokalen WLAN-IP-Bereich vom Tunnel ausschließt.
    Abgerufen von „https://wiki.securepoint.de/index.php?title=MS/deployment/emm_BestPractice&oldid=62655“