Best Practice EMM-Profil

Beispielhafte Konfiguration eines EMM-Profils

Neu

Bestpractice

Die hier gezeigten Einstellungen sind Beispiele, die einen möglichst Umfassenden Schutz bieten. Eine Anpassung an lokale Anforderungen ist unbedingt vorzunehmen !

Einleitung

In einem Profil werden Berechtigungen, Einschränkungen, Passwort-Voraussetzungen, E-Mail-Einstellungen und Sicherheits-Einstellungen konfiguriert.

Android Enterprise-Profile (EMM) verhalten sich grundlegend anders als herkömmliche Android Profile. Die Geräte-Registrierung wird direkt an ein Profil gebunden.
Es muss zuerst ein Profil angelegt ( und konfiguriert) werden, bevor ein Gerät registriert werden kann.
Es ist nicht mehr möglich ein Profil einer Rolle, einem Benutzer oder einem Tag zuzuordnen.

In Android Enterprise-Profilen könnn zahlreiche sicherheitsrelevante Einstellungen vorgenommen werden, so z.B.

Kamara deaktivieren
Mikrofon deaktivieren
USB-Dateiübertragung deaktivieren
ausgehende Anrufe deaktivieren
Bluetooth deaktivieren
Kontaktfreigabe deaktivieren
Tethering deaktivieren
sms deaktivieren
Netzwerk nur mit VPN ermöglichen
uvm.

Android Enterprise Profile werden unmittelbar angewendet und müssen nicht veröffentlicht werden !

Android Enterprise Profil

Allgemein

Allgemeine Einstellungen

Anzeige der verwendeten Plattform, des Profil-Namens und der zugeordneten Geräte.

Soll ein Android EMM-Profil neu angelegt werden, muss als Plattform Android Enterprise ausgewählt werden.

Grundeinstellungen

Die hier gezeigten Einstellungen sind Beispiele, die einen möglichst Umfassenden Schutz bieten. Eine Anpassung an lokale Anforderungen ist unbedingt vorzunehmen !

Beschriftung	Werte	Beschreibung
Maximale Zeit zum Sperren	120	Das Gerät soll nach 2 Min Inaktivität gesperrt werden.
Verschlüsselung	Mit Passwort aktiviert	Verschlüsselung kann nur mit Kennwort aufgehoben werden. Die Verschlüsselung erfolgt auf Dateisystemebene und verhindert das Auslesen von Daten, bei physischem Zugriff auf ein gesperrtes Gerät. Es verhindert nicht das lesen von Daten eines entsperrten Gerätes.
Automatische App-Updates	Immer	Die auf einem Gerät erzwungene Richtlinie zur automatischen Aktualisierung von Apps in Abhängigkeit der Netzwerkverbindung: Auch bei Geräten, die selten oder nie in ein WLAN zurückkehren, sollen die Apps aktualisiert werden. Das Datenvolumen wirkt sich bei üblichen Volumentarifen in der Regel kaum aus.
Modi in denen das Gerät an bleibt	Ignorieren	Der Akkulade-Modus soll keine Auswirkung darauf haben, ob das Gerät eingeschaltet bleibt.
Device Owner lockscreen info
Aktiviere die Sperrbildschirm-Informationen		Im Sperrbildschirm soll eine Information angezeigt werden.
Device Owner lockscreen info	Eigentum ttt-point GmbH. Support: 04131 - 2401-0	Die Gerätebesitzerinformationen, die auf dem Sperrbildschirm angezeigt werden sollen. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.
Speichern

Compliance

Es können Regeln definiert werden, wann das Telefon bzw das Arbeitsprofil gesperrt und wann es gelöscht (in Werkszustand zurückgesetzt) wird. Der Anwender wird aufgefordert, die ausgewählte Richtlinie auf dem Gerät zu aktivierten. Andernfalls wird das Gerät / Arbeitsprofil geblockt bzw. auf die Werkseinstellungen zurückgesetzt / gelöscht.

Beschriftung	Werte	Beschreibung
Einstellungsname	passwordPolicies	Die Kennwortrichtlinien müssen auf dem Telefon angewendet werden.
Blockieren
Blockieren nach x Tagen	1	Anzahl der Tage, an denen die Richtlinie nicht konform ist, bevor das Gerät oder das Arbeitsprofil blockiert wird. Um den Zugriff sofort zu blockieren, wird der Wert auf 0 gesetzt.
Löschen
Werkeinstellungs-Reset-Schutz erhalten		Wenn aktiviert, wird der Werkeinstellungs-Reset-Schutz im Profil erhalten. Bei Diebstahl oder Verlust muss man sich erst in das Google-Konto einloggen, bevor sich das Gerät auf Werkseinstellungen zurücksetzen lässt. Diese Einstellung Nur für interne Prüfzwecke nicht mit Arbeitsprofilen.
Löschen nach x Tagen	7	Anzahl der Tage, bevor das Gerät oder das Arbeitsprofil gelöscht wird. Löschen muss größer als sein als Blockieren.

Anwendungen

Apps auf Geräten, die über EMM verwaltet werden, werden innerhalb der Profile konfiguriert !

Das Menü Apps hat auf diese Profile / Geräte keine Auswirkung!

Die hier gezeigten Einstellungen sind Beispiele. Eine Anpassung an lokale Anforderungen ist unbedingt vorzunehmen !

Beschriftung	Vorgeschlagener Wert	Beschreibung
Standardberechtigungsrichtlinie	Prompt	Neue bzw. nicht konfigurierte Berechtigungen werden durch Abfrage genehmigt oder verweigert.
Deaktivieren Sie die Installation von Apps		Es dürfen keine Apps durch den Benutzer installiert werden
Deaktivieren Sie die Deinstallation von Apps		Es dürfen keine Apps durch den Benutzer deinstalliert werden
App-Überprüfung erzwingen		Aktiviert Google Play Protect. Damit wird überprüft, daß die App sich im ursprünglichen Zustand befindet und im Vergleich zu der Version im App-Store nicht manipuliert wurde.

Speichern

Anwendung hinzufügen

Select app Auswahl der gewünschten Apps Für unser Beispiel: Nextcloud

Übernahme der App mit Auswählen

Beschriftung	Vorgeschlagener Wert	Beschreibung
Paketnamen	com.nextcloud.client	Der Paketname der App, die zuvor ausgewählt wurde
Installationstyp	Vorinstallation	Die App wird automatisch auf dem Gerät installiert
Standardberechtigungsrichtlinie	Prompt	Werden neue, nicht explizit gewährte oder verweigerte Berechtigungen benötigt, fragt das System nach einer Berechtigung.
Berechtigungen	Berechtigung hinzufügen	Einzelne Berechtigungen können anders als die zuvor konfigurierte Standardberechtigungsrichtlinie eingestellt werden und überschreiben deren Werte
Permission	/ Erweitern oder minimieren einer Berechtigung Löschen der Berechtigung
Genehmigung	android.permission.WRITE_EXTERNAL_STORAGE	Die App braucht zugriff auf den Speicher (gemieint ist Interner Speicher und eine zusätzliche SD-Karte)
Regel	Gewähren	Die Richtlinie zum Erteilen der Berechtigung.
Genehmigung	android.permission.INTERNET	Die App soll Zugriff auf vorhandene Internetverbindungen erhalten.
Regel	Gewähren	Die Richtlinie zum Erteilen der Berechtigung.
Genehmigung	com.nextcloud.client. permission.C2D_MASSAGE	Die App soll Push-Nachrichten über Firebase Cloud Messaging (ehemals Goocle Cloud Massage) erhalten können (Cloud to Device → C2D)
Regel	Gewähren	Die Richtlinie zum Erteilen der Berechtigung.
	Hier sind ggf. weitere Berechtigungen zu gewähren oder zu verweigern
Bereiche delegieren		Die Richtlinie zum Erteilen der Berechtigung. Nur für interne Prüfzwecke

Netzwerke

Beschriftung	Default-Einstellung	Beschreibung
VPN immer aktiv
Aktiviere "VPN immer aktiv"		Nur für interne Prüfzwecke
Paketnamen Nur für interne Prüfzwecke	Paketnamen	Der Paketname der VPN-App.
Sperre aktiviert		Es wird jede Netzwerkverbindung verhindert, wenn das VPN nicht verbunden ist. Nur für interne Prüfzwecke
Offene Netzwerkkonfiguration
Netzwerkkonfigurationen	+ Konfiguration hinzufügen	Zugangsprofile für WiFi-Netzwerke konfigurieren
Netzwerk
Name	ttt-point Zentrale	Der Name der Konfiguration
Typ	WiFi	Der Konfigurationstyp ist vorgegeben Wifi
SSID	ttt-point-zentrale-WLAN	Die SSID des Netzwerks
Sicherheit	WPA-PSK	Höchstmögliche Sicherheitsstufe
Passwort	\|\| Sicheres Kennwort
Versteckte SSID		Legt fest ob die SSID versteckt ist.
Automatisch verbinden		Das Gerät soll sich automatisch mit dem Netzwerk verbinden.

Einschränkungen

Nur für interne Prüfzwecke

Beschriftung

Eingabe

Beschreibung

Support-Meldungen

Kurze Supportnachricht

Deaktiviert durch Ihre IT-Abteilung

Eine Meldung, die dem Benutzer auf dem Einstellungsbildschirm angezeigt wird, wenn die Funktionalität vom Administrator deaktiviert wurde. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.

Lange Supportnachricht

Diese Funktion wurde durch den Geräteadminstrator deaktiviert. Bei Rückfragen wenden Sie sich an die IT-Abteilung unter 04131-2401-0

Eine Nachricht, die dem Nur für interne Prüfzwecke angezeigt wird. Die maximale Nachrichtenlänge beträgt 4096 Zeichen.

Zulässige Eingabemethoden

Falls vorhanden, sind nur die Eingabemethoden zulässig, die von Paketen in dieser Liste bereitgestellt werden. Wenn dieses Feld vorhanden ist, die Liste jedoch leer ist, sind nur Systemeingabemethoden zulässig. Nur für interne Prüfzwecke

E-Mail für Werkseinstellung Zurücksetzung

it-intern@anyideas.de

E-Mail-Adressen von Geräteadministratoren zum Schutz vor Zurücksetzen auf die Werkseinstellungen. Wenn das Gerät auf die Werkseinstellungen zurückgesetzt wird, muss sich einer dieser Administratoren mit der E-Mail-Adresse und dem Passwort des Google-Kontos anmelden, um das Gerät zu entsperren. Wenn keine Administratoren angegeben sind, bietet das Gerät keinen Schutz vor Zurücksetzen auf die Werkseinstellungen.

Ortungsmodus

Batterieschonung

Der Grad der Standorterkennung. Der Benutzer kann den Wert ändern, es sei denn, der Benutzer kann nicht auf Geräteeinstellungen zugreifen.

Deaktivieren Sie die Bildschirmaufnahme

Um Datenschutz zu gewährleisten, sollen keine Screenshots angefertigt werden können. Nur für interne Prüfzwecke

Kamera deaktivieren

Per Default soll die Kamera deaktiviert sein

Kontotypen mit deaktivierter Verwaltung

Kontotypen, die vom Benutzer nicht verwaltet werden können. Nur für interne Prüfzwecke

Deaktivieren Sie den Werksreset

Gibt an, ob das Zurücksetzen auf Werkseinstellungen deaktiviert ist. Nur für interne Prüfzwecke

Deaktivieren Sie die Bereitstellung physischer Medien

Gibt an, ob der Benutzer, der physische externe Medien bereitstellt, deaktiviert ist. Nur für interne Prüfzwecke

Deaktivieren Sie das Ändern von Konten

Das Hinzufügen oder Entfernen von Konten soll deaktiviert sein.

Deaktivieren Sie den sicheren Start

Im Modus "Sicherer Start" werden Apps von Drittanbiertern deaktiviert. Dadurch sind ungewollte Einstellungen möglich!

Deaktivieren Sie die Bluetooth-Kontaktfreigabe

Per Bluetooth sollen keine Kontaktdaten das Gerät verlassen.

Deaktivieren Sie die Bluetooth-Konfiguration

Die Bluetooth-Konfiguration soll deaktiviert sein.

Deaktivieren Sie die Cell Broadcast-Konfiguration

Die Konfiguration von Cell Broadcast soll deaktiviert sein.

Deaktivieren Sie die Konfiguration der Anmeldeinformationen

Nur für interne Prüfzwecke Gibt an, ob die Konfiguration von Benutzeranmeldeinformationen deaktiviert ist.

Deaktivieren Sie die Mobilfunknetzkonfiguration

Die Konfiguration von Mobilfunknetzen soll deaktiviert sein.

Deaktivieren Sie die Tethering-Konfiguration

Die Konfiguration von Tethering und portablen Hotspots soll deaktiviert sein.

Deaktivieren Sie die VPN-Konfiguration

Die Konfiguration von VPN soll deaktiviert sein.

Deaktivieren Sie die Wi-Fi-Konfiguration

Die Konfiguration von Wi-Fi-Zugangspunkten soll deaktiviert sein.

Deaktivieren Sie das Erstellen von Fenstern

Gibt an, ob das Erstellen von Fenstern neben App-Fenstern deaktiviert ist.

Deaktivieren Sie das Zurücksetzen der Netzwerkeinstellungen

Gibt an, ob das Zurücksetzen der Netzwerkeinstellungen deaktiviert ist.

Datei per NFC versenden deaktivieren Nur für interne Prüfzwecke

Die Verwendung von NFC zum Übertragen von Daten aus Apps soll deaktiviert sein.

Deaktivieren Sie die USB-Datenübertragung

Die Übertragung von Dateien über USB soll deaktiviert sein.

App-Überprüfung erzwingen

Die App-Überprüfung soll erzwungen werden. Nur für interne Prüfzwecke

Aktivieren Sie die Blockierung anderer Apps

Gibt an, ob andere als die in Anwendungen konfigurierten Anwendungen für die Installation gesperrt sind. Wenn diese Option aktiviert ist, werden Anwendungen, die unter einer früheren Richtlinie installiert wurden, jedoch nicht mehr in der Richtlinie angezeigt werden, automatisch deinstalliert. Nur für interne Prüfzwecke

Debugging-Funktionen zulassen

Der Benutzer darf Debugging-Funktionen aktivieren.

Aktivieren Sie den benutzerdefinierten Kiosk-Starter

Der Startbildschirm wird durch einen Starter ersetzt, der das Gerät für die über die Anwendungseinstellung installierten Apps sperrt. Die Apps werden auf einer einzelnen Seite in alphabetischer Reihenfolge angezeigt. Es wird empfohlen, status_bar_disabled auch zu verwenden, um den Zugriff auf Geräteeinstellungen zu blockieren.

Hinweise zum ersten Benutzer überspringen

Flag, um Hinweise zur ersten Verwendung zu überspringen. Der Unternehmensadministrator kann die Systemempfehlung für Apps aktivieren, um das Benutzer-Tutorial und andere einführende Hinweise beim ersten Start zu überspringen.Nur für interne Prüfzwecke

Flag, um Hinweise zur ersten Verwendung zu überspringen. Der Unternehmensadministrator kann die Systemempfehlung für Apps aktivieren, um das Benutzer-Tutorial und andere einführende Hinweise beim ersten Start zu überspringen. Nur für interne Prüfzwecke

Ermöglicht die Anzeige der Benutzeroberfläche auf einem Gerät, damit ein Benutzer einen privaten Schlüsselalias auswählen kann, wenn in ChoosePrivateKeyRules keine übereinstimmenden Regeln vorhanden sind. Bei Geräten unter Android P können durch diese Einstellung Unternehmensschlüssel angegriffen werden.

Play-Store-Modus Nur für interne Prüfzwecke

Whitelist

Nur für interne Prüfzwecke In diesem Modus wird gesteuert, welche Apps dem Benutzer im Play Store zur Verfügung stehen und wie sich das Gerät verhält, wenn Apps aus der Richtlinie entfernt werden.
Mögliche Werte: Default:

Deaktivieren Sie die Keyguard-Funktionen

Deaktivierte Keyguard-Anpassungen, z. B. Widgets.

Kamera Benachrichtigungen Nicht umgesetzte Benachrichtigungen Vertrauensagenten ignorieren Fingerabdruck Remote-Eingang Alles

Statusmeldung

Aktivieren Sie die Statusmeldung

Nachdem Sie dies aktiviert haben, können Sie die Konfiguration der Statusberichte festlegen Nur für interne Prüfzwecke

Hardware Status

Gibt an, ob die Hardware-Statusmeldung aktiviert ist.

Anwendungsberichte

Gibt an, ob App-Berichte aktiviert sind.

Softwareinfo

Gibt an, ob die Software-Info-Berichterstattung aktiviert ist.

Speicherinfo

Gibt an, ob die Speicherberichterstattung aktiviert ist.

Anzeigen Informationen

Gibt an, ob die Anzeige von Berichten aktiviert ist.

Netzwerk information

Gibt an, ob die Netzwerkinfomeldung aktiviert ist.

Geräteeinstellungen

Gibt an, ob die Berichterstellung für Geräteeinstellungen aktiviert ist.

Energieverwaltungsereignisse

Gibt an, ob die Energieverwaltungsereignisberichterstattung aktiviert ist.

Systemaktualisierung

Aktivieren Sie die Statusmeldung

Nachdem Sie dies aktiviert haben, können Sie die Systemaktualisierungskonfiguration einstellen

Energieverwaltungsereignisse

Die Art der zu konfigurierenden Systemaktualisierung.

Nicht spezifiziert

AutNur für interne Prüfzweckeomatisch

Nur für interne Prüfzwecke

Im Fenster

Start minutes	0	If the type is windowed, the start of the maintenance window, measured as the number of minutes after midnight in the device's local time. This value must be between 0 and 1439, inclusive.
End minutes	0	If the type is WINDOWED, the end of the maintenance window, measured as the number of minutes after midnight in device's local time. This value must be between 0 and 1439, inclusive. If this value is less than start_minutes, then the maintenance window spans midnight. If the maintenance window specified is smaller than 30 minutes, the actual window is extended to 30 minutes beyond the start time.

Verschieben

Nur für interne Prüfzwecke

Regeln für private Schlüssel

Regel hinzufügen

Regeln für die automatische Auswahl eines privaten Schlüssels und Zertifikats zur Authentifizierung des Geräts bei einem Server. Die Regeln sind nach Priorität geordnet. Wenn also eine ausgehende Anforderung mehr als einer Regel entspricht, definiert die letzte Regel, welcher private Schlüssel verwendet werden soll.

URL-Muster URL-Muster	Das URL-Muster, das mit der URL der ausgehenden Anforderung abgeglichen werden soll. Das Muster kann Platzhalter mit Sternchen (*) enthalten. Jede URL stimmt überein, wenn sie nicht angegeben ist.
Paketnamen Paketnamen hinzufügen	Die Paketnamen, für die ausgehende Anforderungen dieser Regel unterliegen. Wenn keine Paketnamen angegeben sind, gilt die Regel für alle Pakete. Für jeden aufgelisteten Paketnamen gilt die Regel für dieses Paket und alle anderen Pakete, die dieselbe Android-UID verwendet haben. Der SHA256-Hash der Signaturschlüsselsignaturen jedes Paketnamens wird mit den von Play bereitgestellten verglichen
Alias für privaten Schlüssel Alias	Der Alias des zu verwendenden privaten Schlüssels.

Globale Erlaubnisgewährung

Berechtigung hinzufügen

Explizite Erlaubnis oder Gruppengewährung oder -verweigerung für alle Apps. Diese Werte überschreiben die defaultPermissionPolicy.

Genehmigung	Die Android-Berechtigung oder -Gruppe, z. android.permission.READ_CALENDAR oder android.permission_group.CALENDAR.
Regel Nicht spezifiziert	Die Richtlinie zum Erteilen der Berechtigung. Nur für interne Prüfzwecke

Passwort

Passwortrichtlinien

Passwortrichtlinien können für Arbeitsprofile und komplett verwaltete Geräte verwendet werden.

Beschrifung	Werte	Beschreibung
Umfang		Der Bereich, für den die Kennwortanforderung gilt.
	Gerät	Die Richtlinie gilt nur für vollständig verwaltete Geräte
	Workprofile	Die Richtlinie gilt nur für Arbeitsprofile
	Beide	Die Richtlinie gilt sowohl für vollständig verwaltet Geräte, als auch für Geräte mit Arbeitsprofil
Passcode-Qualität	Komplex	Die erforderliche Passwortqualität.Nur für interne Prüfzwecke
Länge des Passwortverlaufs	0	Die Länge des Kennwortverlaufs. Nach dem Einstellen dieses Felds kann der Benutzer kein neues Kennwort eingeben, das mit dem Kennwort im Verlauf identisch ist. Ein Wert von 0 bedeutet, dass keine Einschränkung vorliegt.
Maximale Anzahl fehlgeschlagener Versuche	10	Anzahl der zulässigen Eingabeversuche, bevor alle Daten auf dem Gerät gelöscht werden
Ablaufzeitlimit	0s	Zeitraum für die Eingabe eines Kennwortes in Sekunden mit bis zu neun Nachkommastellen (sic!), die mit "s" abgeschlossen wird. Beispiel: `3.5s`

Sicherheit

Bei Aktivierung wird die Nur für interne Prüfzwecke Securepoint Mobile Security-App hinzu gefügt bzw. entfernt.
Dies ist erforderlich, um die Sicherheitseinstellungen zu konfigurieren.

Es werden zahlreiche Einstellungen konfiguriert, die die Sicherheit bei Web-Anwendungen steuern.

Konfiguration mit Klick auf Sicherheit aktivieren

Aktion

Default

Beschreibung

Region

Deutschland/EU

Geographische Zuordnung des VPN-Endpunktes

Protokoll

TCP

Das Protokoll, das für den VPN Tunnel verwendet wird.

Portfilter-Typ

Auswahl

Netzwerkverkehr filtern aufgrund von Netzwerkports:
Communication VPN

Port-Collection	Port	Protokoll	Anwendung
Administrative Tools	21	TCP	ftp
	3389	TCP	ms-rdp
	23	TCP	telnet
	5900	TCP	vnc
	22	TCP	ssh
	5938	TCP/UDP	teamviewer
Communication	3478-3481	UDP	Skype
	49152-65535	UDP
	49152-65535	TCP
	5222	TCP	Google Push-Notifications
	5223	UDP
	5228	TCP
VOIP	5060	UDP	SIP/RTP
VOIP	7070-7089	UDP	SIP/RTP
VPN	1194	TCP	OpenVPN
	1194	UDP	OpenVPN
	500	UDP	IPSec
	4500	UDP & ESP	IPSec
	1701	UDP	L2TP
Mail	25	TCP	smtp
	587	TCP	smtp
	465	TCP	smtps
	110	TCP	pop3
	995	TCP	pop3
	143	TCP	imap
	993	TCP	imap

SSL interception

Standard

SSL-Datenverkehr von Webseiten, die in der Content-Filter-Whitelist aufgeführt sind, werden nicht abgefangen, andere Seiten werden mittels SSL-Interception überprüft.

Content-Filter-Whitelist

Fernwartung

Klick-Box: Webseiten, die auf einer Whitelist eingetragen werden sollen. Mögliche Einträge: Contentfilter

Content-Filter-Blacklist

Default-Werte

Hacking Proxy

Threat Intelligence Feed

Klick-Box: Webseiten, die auf einer Blacklist eingetragen werden sollen.

Deaktivieren für SSIDs

ttt-point-zentrale-WLAN

Eingabe von WLAN-SSIDs, für die die Sicherheitsfunktionen deaktiviert werden sollen.

Erlaube das unterbrechen von Always-On-VPN

Dem Benutzer soll es nicht erlaubt sein, das VPN vorübergehend zu deaktivieren.

Appkonfiguration

Andere VPN Profile erlauben

Das Hinzufügen von anderen VPN Profilen, zusätzlich zu dem Securepoint Security-Profil soll nicht erlaubt sein.

Speichern