Wechseln zu:Navigation, Suche
Wiki

MS/enrollment-android: Unterschied zwischen den Versionen

Aus Securepoint Wiki
(Die Seite wurde neu angelegt: „{{DISPLAYTITLE:Onboarding Android}} == Informationen == Letze Anpassung: '''01.02.2018''' <br> Bemerkung: <br> <br> == Vorbereitungen == Bevor mit dem Onboar…“)
 
Keine Bearbeitungszusammenfassung
 
(203 dazwischenliegende Versionen von 4 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
{{DISPLAYTITLE:Onboarding Android}}
{{Archivhinweis}}
== Informationen ==
{{Set_lang}}
Letze Anpassung: '''01.02.2018'''
<br>
{{#vardefine:headerIcon| fab fa-android }}
Bemerkung:
 
<br>
{{var | display
<br>
| Android Onboarding <small>(Geräte-Registrierung)</small>
| }}
{{var | head
| Einbinden eines Android Gerätes im Mobile Security Portal
|  }}
 
</div>{{TOC2}}
{{Header|1.3.1|
* Korrektur Grund Berechtigung für Speicherzugriff
|}}


----
<!--
== Vorbereitungen ==
== Vorbereitungen ==
Bevor mit dem Onboarding eines Android Gerät begonnen wird, sollten die vertrieblichen und technischen Voraussetzungen geprüft und vorbereitet werden.
Bevor mit dem Onboarding eines Android Gerät begonnen wird, sollten die vertrieblichen und technischen Voraussetzungen geprüft und vorbereitet werden.
Zeile 13: Zeile 24:
*[[MS/Gutscheine| Gutscheine]]
*[[MS/Gutscheine| Gutscheine]]


; technische Voraussetzungen
-->
*[[MS/Device/mobile/supported| Unterstützte Mobile Geräte]]
*[[MS/Device/other/supported| Unterstützte andere Geräte]]


=== Voraussetzung ===
* Es werden Geräte von Android 7 bis einschließlich Android 9 unterstützt.
*Android 6-Geräte können keinen VPN-Tunnel über Mobile Netze aufbauen.
* {{Hinweis|§|1.4.8|r}} {{Hinweis | ! Ab Android 10 (Q) erfolgt ein [[MS/enrollment/emm#Registrierungs-Token_f.C3.BCr_ein_Profil_erstellen|Enrollment mit Enterprise-Profilen]] ! }}
<p>{{ Hinweis | !! Bei einer Vielzahl von Geräten und Benutzern ist die Zuweisung über Rollen (Gruppen) zu empfehlen.| gelb }}</p>
{{Hinweis|§|1.4.8|r}} Es ist möglich sich automatisch Benachrichtigungen zusenden zu lassen, sobald ein Gerät an- oder abgemeldet wird. <br>Weitere Hinweise in unserem [[MS/enrollment/Notifications|Wiki-Artikel]].


Außerdem empfehlen wir vorab Benutzer, Gruppen und Profile zu erstellen.
<div style="clear: both;"></div>
; Konfiguration
<!--
*[[MS/deployment/user | Konfiguration Benutzer]]
== Übersicht der Geräteübersicht ==
*[[MS/deployment/groups | Konfiguration Gruppen]]
[[Datei:msportal_geraete-01.png |300px|thumb|right| Übersicht der Geräte]]
*[[MS/deployment/profile | Konfiguration Profile]]
<br>
In der Geräte Übersicht können neue Geräte hinzugefügt, bestehende bearbeitet und gelöscht werden. Die Ansicht der Geräte kann in der Listen- oder Kachelansicht dargestellt werden. Außerdem können Details zu den bestehenden Geräten angezeigt und die Liste der Geräte aktualisiert werden.
<div style="clear: both;"></div>
-->


=== Onboarding vorbereiten ===
<div style="margin-left: 30px;">
{{ Gallery | MS_PlayStore.png | Play-Store | PlayStore SP-öffnen.png | App installiert | MS_Datenschutzerklärung.png | Datenschutzerklärung| MS Eula.png | Endbenutzervereinbarung | w=150px}}
====Installation der App====
{| style="width: 300px"
|-
| style="vertical-align:top" | <i class="fab fa-google-play"></i> || Damit ein Android Gerät als neues Gerät hinzugefügt werden kann, wird die Anwendung '''Securepoint Mobile Security''' aus dem [https://play.google.com/store/apps/details?id=de.securepoint.ms.agent Google-PlayStore] benötigt.
|-
| style="vertical-align:top; width: 100px" | {{ spc | Installieren | b | bc=#01865e; | bdc=#fff; | bdr=4px}} || &nbsp;{{a|3}}
|-
| style="vertical-align:top" | {{ spc | Öffnen | b | bc=#01865e; | bdc=#fff; | bdr=4px}} ||&nbsp;{{a|3}}
|-
| style="vertical-align:top" | {{ spc | WEITER |b | bc=grey; | bdc=grey; | bdr=4px }} || Datenschutzerklärung lesen {{a|3}}
|-
| style="vertical-align:top" | {{ spc | AKZEPTIEREN |b | bc=grey; | bdc=grey; | bdr=4px }} || Endbenutzervereinbarung (EULA) akzeptieren {{a|3}}
|}
<br clear=all>
=====Berechtigungen=====
{{ pt | MS Android Berechtigungserklärung.png | hochkant=0.8 }}{{ Hinweis_alt | ! Um die App nutzen zu können, müssen folgende Berechtigungen erteilt werden.| gelb }}
{|
| style="vertical-align:top; height: 30px;" |
:* Telefonanrufe&nbsp;tätigen&nbsp;&nbsp;&nbsp;
| {{Gallery | Android_Berechtigung_Telefonanrufe.png | Mögliche Anzeige| c=gelbbd |fs=9px }}{{a|3}} Die Berechtigung wird ausschließlich benötigt, um die Telefonnummer und IMEI des Gerätes auszulesen und im Portal anzuzeigen. <br><u>Die Securepoint Mobile Security App wird '''keine''' Gesprächsverbindung aufbauen!</u>
|-
| style="vertical-align:top;" |
:* Standort
|  {{Gallery | Android Berechtigung Standort.png | Mögliche Anzeige| c=gelbbd |fs=9px }}{{a|3}}Wird benötigt, um den Standort im Lost-Modus anzuzeigen.
|-
|style="vertical-align:top;" |
:* Kontakte
| {{ Gallery | Android_Berechtigung_Kontakte.png | Mögliche Anzeige| c=gelbbd |fs=9px}} Wird benötigt, um zu prüfen, ob ein Google-Konto vorhanden und im Play-Store eingetragen ist. Das wiederum wird verwendet, um Apps zu installieren, deinstallieren und anzuzeigen.<br><u>Die Securepoint Mobile Security App liest '''keine''' Kontaktdaten aus.<u>
|-
|style="vertical-align:top;" |
:* Speicher
| {{ Gallery | Android_Berechtigung_Fotos-Medien-Dateien.png | Mögliche Anzeige| c=gelbbd |fs=9px}} Für VPN Profildownloads ist der Zugriff auf den Gerätespeicher erforderlich.{{a|63}}<span style="display:block; text-align: right; vertical-align:bottom;"><small>{{ c | Die Anzeige der Meldungen kann je Modell und Android-Version variieren! | gelbbd}}</small></span>
|-
| {{Hinweis |{{ r | <b>WEITER</b>}} | bc=white;}} ||
|}
<br clear=all>
=====Geräteverwaltung zulassen=====
{{ pt | MS_Android_Tel-Admin-Erklärung.png | hochkant=0.8 }}{{ Hinweis_alt | ! Damit die Anwendung auch vollen Zugriff hat, muss die '''Securepoint Mobile Security App''' als '''Geräteverwaltungs-App''' aktiviert werden. |  gelb}}<br><br><br>
<p>{{Hinweis | {{ r | <b>WEITER</b>}} | bc=white;}}</p><br>
{{ spc | <b>Geräteverwaltungs-App aktivieren?</b> | o | c=#01865e; | w=x }}
{{ kl | Durch die Aktivierung dieser Verwaltungs-App kann die App '''Securepoint Mobile Security''' die folgenden Vorgänge durchführen:<br>
*Alle Daten löschen
*Displaysperre ändern
*Passwortregeln festlegen
*Versuche zum Entsperren des Displays überwachen
*Bildschirm sperren
*Passwortablauf für Sperre festlegen
*Speicherverschlüsselung
*Kameras deaktivieren
*Einige Funktionen der Displaysperre deaktivieren. | s=0.8em }}
<br><br>
Bestätigen mit {{ spc | '''Diese App zur Geräteüberwachung aktivieren''' | o | c=#01865e; | w=x }}
<br clear=all>
====='Bitte nicht stören' zulassen =====
{{ Gallery | MS_Bitte_nicht_stören.png| Erklärung zu 'Bitte nicht stören' | Android_Nicht-stören.png | Übersicht der möglichen Apps | Android_Berechtigung_Nicht-stören.png | Zugriff {{ c | '''zulassen.''' | green}} <br>Mit der 'Zurück-Taste' des Gerätes zurück kehren. | MSA_v1-3-1_Status_anmelden-vpn0-Internet1.png | Die App ist installiert, es besteht eine Verbindung ins Internet, aber es ist kein VPN-Tunnel aktiv, da das Gerät noch nicht im Portal registriert wurde. | w=150px | mll=20px}}
<p>{{ Hinweis | ! |gelb }} Zugriff auf die 'Bitte nicht stören' Einstellungen wird benötigt.</p>
Die Installation der App ist damit abgeschlossen.<br>
Für die folgende Anmeldung ist zunächst das Bereitstellen einer Enrollment-ID notwendig.
<br clear=all>
=== Onboarding Android ===
Das Onboarding selbst besteht aus mehreren Schritten:
* Erstellen einer Enrollment-ID bzw. eines QR-Codes, für den Zugang zum Portal
* Anmelden auf dem Gerät
*Anmelden im Portal
* Profil zuweisen
<br><br><br>
==== Enrollment-ID bzw. QR-Code für die Anbindung bereitstellen====
<br><br>
=====Benutzer '''ohne''' Zugang zum Securepoint Mobile Security Portal=====
<br>
{{:MS/enrollment-Einladung}}
<br><br>
=====Administrator '''mit''' Zugang zum Securepoint Mobile Security Portal=====
<div style="margin-left: 30px;">
{| class="wikitable"
! style="text-align: left;" | Vorarbeit des Administrators im Securepoint Mobile Security Portal:
|-
| {{ spc | g |m }}  /  {{ spc | + | b | Neues Gerät anmelden}} / {{ spc | android | ka | c=#91c747; | bdc={{Farbe|hgrau}} }}
|}
</div>
<br clear=all>
====Anmelden auf dem Gerät====
<div style="margin-left: 30px;">
Verschiedene Installations- und Verwaltungs-Möglichkeiten für die Securepoint Mobile Security App:
{| class="wikitable"
|-
| rowspan="3" style="vertical-align:top;"| '''Mit''' [https://support.google.com/work/android/answer/6191949?hl=de Arbeitsprofil] || colspan="2"| Die Konfiguration durch das Mobile Security Portal ''beschränkt sich auf das Arbeitsprofil''. (Einschränkungen etc.) <br>Apps im privaten (Standard-) Bereich haben keinerlei Zugriff auf Apps und Daten im Arbeitsprofil.
|-
| style="vertical-align:top;" | Eigentümer '''COPE''' || style="vertical-align:top;" |
* Geräten kann dadurch auch eine private Nutzung ermöglicht werden.
* Im Arbeitsprofil müssen alle benötigten Apps erneut installiert werden, es erfolgt eine eigene Anmeldung im <small><i class="fab fa-google-play"></i></small> Google Play Store.
* Folgende Funktionen stehen in der Geräteverwaltung im Mobile Security Portal '''zusätzlich''' zur Verfügung:
{|
|-
|
::{{ c | ⦁| grau}}  {{spc | loc | ka}}
| Unter: {{ Reiter | {{spc | wrench |o |-}} Operationen }} => {{ spc |Lost-Modus |ka}}
|-
|
::{{ c | ⦁| grau}}  {{ spc |Daten löschen |ka}}
| Unter: {{ Reiter | {{spc | wrench |o |-}} Operationen }} : Löschen der persönlichen Daten {{a|5}}
|-
|
::{{ c | ⦁| grau}}  {{ Reiter | {{ spc | a | o | Anwendungen}} }}&nbsp;
| Überwachung der installierten Apps, Aufforderung zur Installation, Deinstallation
|}
|-
| style="vertical-align:top;" | Eigentümer '''BYOD''' || Standard Funktionsumfang.
* ohne Lokalisierung
* ohne Löschen persönlicher Daten
* ohne Kontrolle installierter Apps
|-
| rowspan="3" style="vertical-align:top;"| '''Ohne''' Arbeitsprofil || colspan="2" | Die Konfiguration durch das Mobile Security Portal ''betrifft das gesamte Gerät''.
|-
| style="vertical-align:top;" | Eigentümer '''COPE''' ||
* Überwachung der installierten Apps, Aufforderung zur Installation, Deinstallation.<br>
*<p> Folgende Funktionen stehen in der Geräteverwaltung im Mobile Security Portal '''zusätzlich''' zur Verfügung:</p>
{|
|-
|
::{{ c | ⦁| grau}}  {{spc | loc | ka}}
| Unter: {{ Reiter | {{spc | wrench |o |-}} Operationen }} => {{ spc |Lost-Modus |ka}}
|-
|
::{{ c | ⦁| grau}}  {{ spc |Daten löschen |ka}}
| Unter: {{ Reiter | {{spc | wrench |o |-}} Operationen }} : Löschen der persönlichen Daten {{a|5}}
|-
|
::{{ c | ⦁| grau}}  {{ Reiter | {{ spc | a | o | Anwendungen}} }} &nbsp;
| Überwachung der installierten Apps, Aufforderung zur Installation, Deinstallation.
|}
|-
| style="vertical-align:top;" | Eigentümer '''BYOD''' || Standard Funktionsumfang
* ohne Lokalisierung
* ohne Löschen persönlicher Daten
* ohne Kontrolle installierter Apps
|}
<div style="margin-left: 30px;">
{{h5 | Ohne Arbeitsprofil | {{ c | Anzeigen der Installations-Schritte mit <nowiki> [Ausklappen]</nowiki>. | gelbbd | fs=10px}} }}
{| class="mw-collapsible mw-collapsed"
|-
!  '''Ohne''' Arbeitsprofil&nbsp;&nbsp;&nbsp;
|-
| {{gallery | MSA_v1-3-1_Status_anmelden-vpn0-Internet1.png | Das Gerät hat eine Verbindung zum Internet, aber bisher keine VPN-Verbindung {{center | {{ spc | ANMELDEN | b| bc=grey;} | bdc={{Farbe|hgrau}} | bdr=5px }} }}
| MSA_v1-3-1_anmelden_Arbeitsprofil.png | Arbeitsprofil nutzen? {{center |{{ c | Nein | rot}} }}
| MS_Android_EnrollmentID.png | {{center | Enrollment ID eingeben<br>''oder'' <br> {{ Kasten | QR-Code scannen | grau }} }}<br>{{kl | ggf. die Berechtigung "Zulassen, dass die App '''Securepoint Mobile Security''' Bilder und Videos aufnehmen darf." erteilen, damit der QR-Code eingescannt werden kann. Die Enrollment-ID wird jetzt aus dem QR-Code gelesen und eingetragen }}{{ center |Schaltfläche<br> {{ Kasten | Anmelden | grau }} }}
| MSA_v1-3-1_PlayStoreKonto.png | Auf dem Mobilgerät muss die E-Mail-Adresse des Google-Play-Store-Kontos bestätigt werden.<br>Das ist notwendig, damit der Administrator sehen kann, welche Apps installiert sind.
| MSA_v1-3-1_Status-Arbeitsprofil-vpn0-Internet1b.png | Die App ist konfigueriert. Die Anmeldung muss nun im Portal noch abgeschlossen werden.
| w=150px }}
|}
<br clear=all>
{{h5 | Mit Arbeitsprofil | {{ c | Anzeigen der Installations-Schritte mit <nowiki> [Ausklappen]</nowiki>. | gelbbd | fs=10px}} }}
{| class="mw-collapsible mw-collapsed"
|-
!  '''Mit''' Arbeitsprofil&nbsp;&nbsp;&nbsp;
|-
| {{gallery | MSA_v1-3-1_Status_anmelden-vpn0-Internet1.png | Das Gerät hat eine Verbindung zum Internet, aber keine VPN-Verbindung da noch keine Anmeldung durchgeführt wurde. {{ center | {{ spc | ANMELDEN | gr }} }}
| MSA_v1-3-1_anmelden_Arbeitsprofil.jpg | Arbeitsprofil nutzen? Wurde bisher kein Arbeitsprofil eingerichtet fortfahren mit {{center | {{ c |Ja|rot }} }}
| MS_Android_v1-3-0_Unterstützung-Arbeitsprofile.png | Richtlinien Steuerung {{center |{{ spc | Arbeitsprofil einrichten | g }} }}
| Android_Arbeitsprofil_akzeptieren.png | akzeptieren <br>{{ c | Die  Einrichtung eines Arbeitsprofils kann sich je Gerät und Android-Version unterscheiden. | gelbbd | fs=10px }}
| Android_Moto_Arbeitsprofil-einrichten.png | Arbeitsprofil wird eingerichtet
| MSA_v1-3-1_Status-vpn0-Internet1.jpg | Diese Instanz der App wurde ohne Arbeitsprofil gestartet. Da es jetzt aber ein Arbeitsprofil gibt, ist von hier aus keine Anmeldung mehr möglich.
|w=150px}}
<br clear=all>
{{gallery
| MSA_Status_Anmelden-Arbeitsprofil-vpn0-Internet1.jpg | Das blaue Schlüssel-Symbol in der unteren rechten Ecke signalisiert Anwendungen im Arbeitsprofil {{ center | {{ spc | ANMELDEN | gr }} }}
| Android_Google_Anmeldung.png | Anmeldung bei Google (incl. Playstore) mit einem neuen Google-Konto
<!--
| Android_Google_Telefonnummer.png | Angabe der Telefonnummer kann Übersprungen werden
| Android_Google_Willkommen.png | Willkommens-Meldung
-->
| MS_Android_EnrollmentID.png | <br>- Enrollment ID eingeben.<br>''oder'' <br>- {{ Kasten | QR-Code scannen | grau }} <br>{{kl | ggf. die Berechtigung "Zulassen, <br>dass die App '''Securepoint Mobile <br>Security''' Bilder und Videos aufnehmen <br>darf." erteilen, damit der QR-Code<br> eingescannt werden kann.<br>Die Enrollment-ID wird jetzt aus dem <br>QR-Code gelesen und eingetragen }}<br>Schaltfläche {{ Kasten | Anmelden | grau }}
| MSA_v1-3-1_Status-Arbeitsprofil-vpn0-Internet1.jpg | Das Gerät kann jetzt im Portal angemeldet werden.
| w=150px | mll=15px}}
''Nachdem ein Arbeitsprofil eingerichtet wurde, müssen alle Anwendungen, die im Arbeitsprofil genutzt werden sollen dort erneut installiert werden. ''<br>
''Play-Store, Kontakte und "Eigene Dateien" werden als System Apps automatisch bereitgestellt. ''<br>
''Die Securepoint Mobile Security App wurde ebenfalls automatisch installiert. ''<br>
<br>
* Die Securepoint Mobile Security App muss im '''Arbeitsprofil''' gestartet und erneut mit allen erforderlichen Berechtigungen (s.o.), '''aber ohne ein Arbeitsprofil''' eingerichtet werden. Die App muss erneut vom Arbeitsplatzprofil aus gestartet werden (gekennzeichnet mit einem Koffer-Symbol, bei einigen Herstellern in einem extra-Ordner z.B.:Workspace).
<!--
<br clear=all>
{{ Gallery
|MS_Android_v1-3-0_PlayStoreKonto.png | Auf dem Mobilgerät muss die E-Mail-Adresse des Google-Play-Store-Kontos bestätigt werden.<br>Das ist notwendig, damit der Administrator sehen kann, welche Apps installiert sind.
| w=150px }}
-->
|}
<br clear=all>
====Anmelden im Portal====
<div style="margin-left: 00px;"><br>
{{ pt | MS_Geräte_Gerät-anmelden.png | Lizenzbedingungen und Eigentümer}}
Das Gerät wird nun im Portal angezeigt und das Hinzufügen muss abgeschlossen werden, indem auf die Geräte-Kachel geklickt wird. <p></p>
<p>{{ td | {{ b | Eigentümer }} | Auswahl zwischen<br>{{ic | COPE '' | dr }} (Corperate owned, Personal enabled)'' {{a|5}} {{ ic | BYOD '' | dr }}  (Bring-Your-Own-Device)''  | w=100px }}</p>
<p>{{a|8}}{{kl | bei BYOD zusätzlich:}}{{a|2}}{{ td | {{ b | Benutzer }} | {{ ic | Geräte-Benutzer}} aus der Benutzerverwaltung.{{a|6}}{{ Hinweis | ! |gelb}} Der Benutzer kann für BYOD-Geräte nachträglich nicht mehr geändert werden. | w=100px }}</p>
<p>{{ td | <b>□</b> | Akzeptieren der Lizenz- und Nutzungsbedingungen  | w=100px }}</p>
<p>{{spc  | ch }}</p>
<p>{{spc | sync | b | -}} Zeigt die aktualisierten Eigenschaften an.
<br clear=all>
<div style="margin-left: 00px;"><br>
Zur besseren Zuordnung, sollte dem Gerät ein Alias-Name gegeben werden:<br>
{{ spc | a0a0 (4-stelige ID) | e | bdc=white; | w=x }} {{spc | edit | o | - | c={{Farbe|rots}} }} (im oberen Teil der Geräte-Kachel)
<br clear=all>
</div>
====Profil zuweisen====
<div style="margin-left: 30px;"><br>
Um dem Gerät ein Profil zuzuweisen (in dem dann wiederum alle Berechtigungen definiert sind), gibt es verschiedene Möglichkeiten:
<div style="margin-left: 30px;">
{| {{prettytable}}
|-
|  style="width: 38%;" | Menü {{ spc | g | m}} In der Übersicht der Geräte-Kachel: || style="width:150px" | {{ spc | b | e }} {{spc | edit | o | - | c={{Farbe|rots}} }} || Auswahl eines Benutzers, der entweder direkt oder über eine Rolle mit einem Profil verknüpft ist.
|-
| Menü {{ spc | g | m}} In der Übersicht der Geräte-Kachel: || {{ spc | tag | e }} {{spc | edit | o | - | c={{Farbe|rots}} }} || Auswahl eines Tags, das in einem Profil hinterlegt ist.
|-
| Menü {{ spc | profile | m}} Auswahl eines Profils {{a|5}} Bearbeiten: {{ spc | menu | o | - }} {{ spc | edit | e }} / Reiter {{ Reiter | Allgemein }} || {{ b | Geräte:}} || Auswahl des Gerätes.
|}
</div>
Das Profil muss an das Gerät übertragen werden, damit es wirksam wird:
<div style="margin-left: 30px;">
{{ spc | p | m }} {{ spc | pv }}
<gallery heights=150px mode="packed" perrow=3>
MS v1-4-5 Profile veröffentlichen Profil-Gerät-Zurodnung.png| Übersicht, welche Zuordnungen vorgenommen werden. <br>{{ spc | pv }}
MS v1-4-5 Profile veröffentlichen Profil-Gerät-Zuordnung2.png|Profil ist auf dem Gerät installiert
</gallery>
</div>
=====VPN aktivieren =====
{{ Hinweis | ! | gelb}}  Um das Gerät vollständig zu schützen wird ein VPN-Tunnel aufgebaut, in dem die Verbindung mit dem Contentfilter abgesichert wird.<br>Je nach Einstellung im Profil-Abschnitt Sicherheit / SSL-abfangen wird zusätzlich auf Viren gescannt. <br>Beim ersten Verbindungsaufbau muss dazu dass Zertifikat von Securepoint installiert werden.
{{ Gallery | MSA_v1-3-1_Status-Arbeitsprofil-vpn0-Internet1.jpg | Übersicht auf dem Gerät
| MSA_v1-3-1_CA-installation.png | Um eine VPN-Verbindung aufzubauen und verschlüsseln zu können, wird eine Zertifizierungsstelle benötigt.<br>Aus Sicherheitsgründen fragt Android noch einmal die Geräte-PIN ab.
| MSA_v1-3-1_Zertifikat-bennenen.png | Installation des Zertifizierungsstellen-Zertifikates
| MSA_v1-3-1_VPN-wird-hergestellt.png | Anfrage, nachdem das Gerät im Portal angemeldet und ein Profil für das Gerät veröffentlicht wurde. {{c | Dieser Vorgang kann beim ersten Mal mehrere Minuten dauern|gelbbd | lh=10px |fs=10px}}
| MSA_v1-3-1_Status_cope-vpn0-Internet1.png | Verbindung wird hergestellt <br>{{c | Dieser Vorgang kann beim ersten Mal mehrere Minuten dauern|gelbbd | fs=10px}}
| MSA_v1-3-1_Status_BYOD-Arbeitsprofil-vpn1-Internet1.jpg | Verbindung im Arbeitsprofil zum VPN und Internet besteht
| w=140px | mll=10px}}
<!--
=== Gerät bearbeiten ===
Durch das anklicken der Gerätekachel, kann das Gerät bearbeitet werden.
=== Gerät löschen ===
Das Gerät kann durch die Schaltfläche '''Drei Balken''' gelöscht werden.
----
----


== Einleitung ==
== Konfiguration für den Demokunden ==
In diesem Wiki-Artikel wird das einbinden eines Android Gerät im Mobile Security Portal erklärt. Die genutzten Geräte beziehen sich auf die Unternehmensstruktur des Demokunden [[TTT-Point_AG | TTT-Point AG]].




=== QR-Code scannen ===
[[Datei:msportal_android-02.png |300px|thumb|right| Gerät hinzufügen]]
<br>
<br>
<div>
Das Gerät wird über den QR-Code aus dem Portal hinzugefügt.
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Bei einer Vielzahl von Geräten und Benutzern ist es zu empfehlen die Zuweisung über Gruppen abzubilden.</span></div>
</div>
<div style="clear: both;"></div>
<div style="clear: both;"></div>


== Übersicht der Geräteübersicht ==
[[Datei:msportal_android-03.png |150px|thumb|right| Verbunden mit dem Mobile Security Server]]
[[Datei:msportal_geraete-01.png |300px|thumb|right| Übersicht der Geräte]]
<br>
<br>
In der Profil Übersicht können neue Profile erstellt, bestehende bearbeitet und gelöscht werden. Die Ansicht der Profile kann in der Listen- oder Kachelansicht dargestellt werden. Außerdem können Details zu den bestehenden Profilen angezeigt, die Liste der Profile aktualisiert und die Profile veröffentlicht werden.
Nachdem der QR-Code gescannt wurde, verbindet sich die Anwendung mit dem Securepoint Mobile Security Server.
<div style="clear: both;"></div>
<div style="clear: both;"></div>


=== Gerät hinzufügen ===
=== Konfiguration im Portal ===
Ein Gerät kann durch die Schaltfläche '''+ Neues Gerät ausrollen''' hinzugefügt werden.
[[Datei:msportal_android-05.png |300px|thumb|right| Gerät bearbeiten]]
<br>
Das Gerät wird anschließen im Portal angezeigt und das Onboarding kann mit der Auswahl des Eigentumtyps zwischen Cope und BYOD und dem Akzeptieren der Lizenz- und Nutzungsbedingungen abgeschlossen werden.
 
Das Gerät wird dem Besitzer '''mmueller''' zugewiesen und der Gerätename wird, entsprechend der Namenskonvention des Unternehmens, im Portal angepasst. Anschließend müssen unter Profile und der Schaltfläche '''Profile veröffentlichen''' die Profileinstellungen an das Gerät geschickt werden.
<div style="clear: both;"></div>


----
=== Konfiguration abschließen ===
[[Datei:msportal_android-04.png |150px|thumb|right| Hinweis zu OpenVPN]]
<br>
Nachdem die Profileinstellungen an das Gerät übermittelt wurden, zeigt die Anwendung den Hinweis "Zur Nutzung der WebSecurity Funktionen wird die App OpenVPN for Android benötigt." Die Anwendung kann anschließend aus dem PlayStore heruntergeladen werden.
<div style="clear: both;"></div>


== Konfiguration für den Demokunden ==
=== Android Gerät hinzufügen ===
[[Datei:msportal_profile-02.png |300px|thumb|right| Profil erstellen]]
<br>
<br>
Text
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Die OpenVPN App wird zwingend benötigt.</span></div>
</div>
<div style="clear: both;"></div>
<div style="clear: both;"></div>


=== Weiterführende Konfiguration ===
 
Im nächsten Schritt geht es um
Anschließend ist das Onboarding eines Android Gerät abgeschlossen.

Aktuelle Version vom 13. März 2023, 09:55 Uhr





notempty
Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty
Die beschriebene Funktion steht in der aktuellen Version nicht mehr zur Verfügung.
notempty
Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine [[{{{1}}} | Reseller-Preview]] bezieht



































Einbinden eines Android Gerätes im Mobile Security Portal
Letzte Anpassung zur Version: 1.3.1
Neu:
  • Korrektur Grund Berechtigung für Speicherzugriff
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

Voraussetzung

  • Es werden Geräte von Android 7 bis einschließlich Android 9 unterstützt.
  • Android 6-Geräte können keinen VPN-Tunnel über Mobile Netze aufbauen.
  • Ab Android 10 (Q) erfolgt ein Enrollment mit Enterprise-Profilen !

Bei einer Vielzahl von Geräten und Benutzern ist die Zuweisung über Rollen (Gruppen) zu empfehlen.

Es ist möglich sich automatisch Benachrichtigungen zusenden zu lassen, sobald ein Gerät an- oder abgemeldet wird.
Weitere Hinweise in unserem Wiki-Artikel.

Onboarding vorbereiten


⁣⁣⁣⁣⁣⁣
MS PlayStore.png
Play-Store		PlayStore SP-öffnen.png
App installiert		MS Datenschutzerklärung.png
Datenschutzerklärung		MS Eula.png
Endbenutzervereinbarung

Installation der App

Damit ein Android Gerät als neues Gerät hinzugefügt werden kann, wird die Anwendung Securepoint Mobile Security aus dem Google-PlayStore benötigt.
Installieren  

Öffnen  

WEITER Datenschutzerklärung lesen

AKZEPTIEREN Endbenutzervereinbarung (EULA) akzeptieren


Berechtigungen
MS Android Berechtigungserklärung.png
  Um die App nutzen zu können, müssen folgende Berechtigungen erteilt werden.  
  • Telefonanrufe tätigen   
 ⁣⁣⁣⁣⁣⁣⁣⁣⁣
Android Berechtigung Telefonanrufe.png
Mögliche Anzeige

Die Berechtigung wird ausschließlich benötigt, um die Telefonnummer und IMEI des Gerätes auszulesen und im Portal anzuzeigen.
Die Securepoint Mobile Security App wird keine Gesprächsverbindung aufbauen!
  • Standort
 ⁣⁣⁣⁣⁣⁣⁣⁣⁣
Android Berechtigung Standort.png
Mögliche Anzeige

Wird benötigt, um den Standort im Lost-Modus anzuzeigen.
  • Kontakte
 ⁣⁣⁣⁣⁣⁣⁣⁣⁣
Android Berechtigung Kontakte.png
Mögliche Anzeige
Wird benötigt, um zu prüfen, ob ein Google-Konto vorhanden und im Play-Store eingetragen ist. Das wiederum wird verwendet, um Apps zu installieren, deinstallieren und anzuzeigen.
Die Securepoint Mobile Security App liest keine Kontaktdaten aus.
  • Speicher
 ⁣⁣⁣⁣⁣⁣⁣⁣⁣
Android Berechtigung Fotos-Medien-Dateien.png
Mögliche Anzeige
Für VPN Profildownloads ist der Zugriff auf den Gerätespeicher erforderlich.

Die Anzeige der Meldungen kann je Modell und Android-Version variieren!
WEITER


Geräteverwaltung zulassen
MS Android Tel-Admin-Erklärung.png
  Damit die Anwendung auch vollen Zugriff hat, muss die Securepoint Mobile Security App als Geräteverwaltungs-App aktiviert werden.  


WEITER


Geräteverwaltungs-App aktivieren?

Durch die Aktivierung dieser Verwaltungs-App kann die App Securepoint Mobile Security die folgenden Vorgänge durchführen:
  • Alle Daten löschen
  • Displaysperre ändern
  • Passwortregeln festlegen
  • Versuche zum Entsperren des Displays überwachen
  • Bildschirm sperren
  • Passwortablauf für Sperre festlegen
  • Speicherverschlüsselung
  • Kameras deaktivieren
  • Einige Funktionen der Displaysperre deaktivieren.




Bestätigen mit Diese App zur Geräteüberwachung aktivieren

'Bitte nicht stören' zulassen
⁣⁣⁣⁣⁣⁣
MS Bitte nicht stören.png
Erklärung zu 'Bitte nicht stören'		Android Nicht-stören.png
Übersicht der möglichen Apps		Android Berechtigung Nicht-stören.png
Zugriff zulassen.
Mit der 'Zurück-Taste' des Gerätes zurück kehren.		MSA v1-3-1 Status anmelden-vpn0-Internet1.png
Die App ist installiert, es besteht eine Verbindung ins Internet, aber es ist kein VPN-Tunnel aktiv, da das Gerät noch nicht im Portal registriert wurde.

Zugriff auf die 'Bitte nicht stören' Einstellungen wird benötigt.

Die Installation der App ist damit abgeschlossen.
Für die folgende Anmeldung ist zunächst das Bereitstellen einer Enrollment-ID notwendig.


Onboarding Android

Das Onboarding selbst besteht aus mehreren Schritten:

  • Erstellen einer Enrollment-ID bzw. eines QR-Codes, für den Zugang zum Portal
  • Anmelden auf dem Gerät
  • Anmelden im Portal
  • Profil zuweisen




Enrollment-ID bzw. QR-Code für die Anbindung bereitstellen



Benutzer ohne Zugang zum Securepoint Mobile Security Portal



































Einladungs-Mail
Vorarbeit des Administrators im Securepoint Mobile Security Portal:
 Geräte /   Einladung senden
  • Auswahl eines Benutzers
    oder
  • Angabe einer E-Mailadresse

  Einladung senden
Einladung senden

Die E-Mail an den Benutzer enthält:

  • einen Link auf die Securepoint Mobile Security App im Play-Store:
  • den Enrollment-Code
  • alternativ einen QR-Code
  • eine Anleitung, wie vorgegangen werden muss.




Administrator mit Zugang zum Securepoint Mobile Security Portal
Vorarbeit des Administrators im Securepoint Mobile Security Portal:
 Geräte /   Neues Gerät anmelden /   Android



Anmelden auf dem Gerät

Verschiedene Installations- und Verwaltungs-Möglichkeiten für die Securepoint Mobile Security App:

Mit Arbeitsprofil Die Konfiguration durch das Mobile Security Portal beschränkt sich auf das Arbeitsprofil. (Einschränkungen etc.)
Apps im privaten (Standard-) Bereich haben keinerlei Zugriff auf Apps und Daten im Arbeitsprofil.
Eigentümer COPE
  • Geräten kann dadurch auch eine private Nutzung ermöglicht werden.
  • Im Arbeitsprofil müssen alle benötigten Apps erneut installiert werden, es erfolgt eine eigene Anmeldung im Google Play Store.
  • Folgende Funktionen stehen in der Geräteverwaltung im Mobile Security Portal zusätzlich zur Verfügung:
⦁   Lokalisieren
 Unter: Operationen => Lost-Modus
⦁ Daten löschen
 Unter: Operationen  : Löschen der persönlichen Daten

⦁   Anwendungen  
 Überwachung der installierten Apps, Aufforderung zur Installation, Deinstallation
Eigentümer BYOD Standard Funktionsumfang.
  • ohne Lokalisierung
  • ohne Löschen persönlicher Daten
  • ohne Kontrolle installierter Apps
Ohne Arbeitsprofil Die Konfiguration durch das Mobile Security Portal betrifft das gesamte Gerät.
Eigentümer COPE
  • Überwachung der installierten Apps, Aufforderung zur Installation, Deinstallation.

  • Folgende Funktionen stehen in der Geräteverwaltung im Mobile Security Portal zusätzlich zur Verfügung:

⦁   Lokalisieren
 Unter: Operationen => Lost-Modus
⦁ Daten löschen
 Unter: Operationen  : Löschen der persönlichen Daten

⦁   Anwendungen  
 Überwachung der installierten Apps, Aufforderung zur Installation, Deinstallation.
Eigentümer BYOD Standard Funktionsumfang
  • ohne Lokalisierung
  • ohne Löschen persönlicher Daten
  • ohne Kontrolle installierter Apps


Ohne Arbeitsprofil
Anzeigen der Installations-Schritte mit [Ausklappen].
Ohne Arbeitsprofil   
⁣⁣⁣⁣⁣
MSA v1-3-1 Status anmelden-vpn0-Internet1.png
Das Gerät hat eine Verbindung zum Internet, aber bisher keine VPN-Verbindung
ANMELDEN
MSA v1-3-1 anmelden Arbeitsprofil.png
Arbeitsprofil nutzen?
Nein
MS Android EnrollmentID.png
Enrollment ID eingeben
oder
QR-Code scannen

ggf. die Berechtigung "Zulassen, dass die App Securepoint Mobile Security Bilder und Videos aufnehmen darf." erteilen, damit der QR-Code eingescannt werden kann. Die Enrollment-ID wird jetzt aus dem QR-Code gelesen und eingetragen
Schaltfläche
Anmelden
MSA v1-3-1 PlayStoreKonto.png
Auf dem Mobilgerät muss die E-Mail-Adresse des Google-Play-Store-Kontos bestätigt werden.
Das ist notwendig, damit der Administrator sehen kann, welche Apps installiert sind.		MSA v1-3-1 Status-Arbeitsprofil-vpn0-Internet1b.png
Die App ist konfigueriert. Die Anmeldung muss nun im Portal noch abgeschlossen werden.



Mit Arbeitsprofil
Anzeigen der Installations-Schritte mit [Ausklappen].
Mit Arbeitsprofil   
⁣⁣⁣⁣
MSA v1-3-1 Status anmelden-vpn0-Internet1.png
Das Gerät hat eine Verbindung zum Internet, aber keine VPN-Verbindung da noch keine Anmeldung durchgeführt wurde.
ANMELDEN
MSA v1-3-1 anmelden Arbeitsprofil.jpg
Arbeitsprofil nutzen? Wurde bisher kein Arbeitsprofil eingerichtet fortfahren mit
Ja
MS Android v1-3-0 Unterstützung-Arbeitsprofile.png
Richtlinien Steuerung
Arbeitsprofil einrichten
Android Arbeitsprofil akzeptieren.png
akzeptieren
Die Einrichtung eines Arbeitsprofils kann sich je Gerät und Android-Version unterscheiden.		Android Moto Arbeitsprofil-einrichten.png
Arbeitsprofil wird eingerichtet		MSA v1-3-1 Status-vpn0-Internet1.jpg
Diese Instanz der App wurde ohne Arbeitsprofil gestartet. Da es jetzt aber ein Arbeitsprofil gibt, ist von hier aus keine Anmeldung mehr möglich.




⁣⁣⁣⁣⁣⁣
MSA Status Anmelden-Arbeitsprofil-vpn0-Internet1.jpg
Das blaue Schlüssel-Symbol in der unteren rechten Ecke signalisiert Anwendungen im Arbeitsprofil
ANMELDEN
Android Google Anmeldung.png
Anmeldung bei Google (incl. Playstore) mit einem neuen Google-Konto		MS Android EnrollmentID.png

- Enrollment ID eingeben.
oder
- QR-Code scannen
ggf. die Berechtigung "Zulassen,
dass die App Securepoint Mobile
Security Bilder und Videos aufnehmen
darf." erteilen, damit der QR-Code
eingescannt werden kann.
Die Enrollment-ID wird jetzt aus dem
QR-Code gelesen und eingetragen

Schaltfläche Anmelden		MSA v1-3-1 Status-Arbeitsprofil-vpn0-Internet1.jpg
Das Gerät kann jetzt im Portal angemeldet werden.

Nachdem ein Arbeitsprofil eingerichtet wurde, müssen alle Anwendungen, die im Arbeitsprofil genutzt werden sollen dort erneut installiert werden.
Play-Store, Kontakte und "Eigene Dateien" werden als System Apps automatisch bereitgestellt.
Die Securepoint Mobile Security App wurde ebenfalls automatisch installiert.

  • Die Securepoint Mobile Security App muss im Arbeitsprofil gestartet und erneut mit allen erforderlichen Berechtigungen (s.o.), aber ohne ein Arbeitsprofil eingerichtet werden. Die App muss erneut vom Arbeitsplatzprofil aus gestartet werden (gekennzeichnet mit einem Koffer-Symbol, bei einigen Herstellern in einem extra-Ordner z.B.:Workspace).


Anmelden im Portal


Lizenzbedingungen und Eigentümer
 Das Gerät wird nun im Portal angezeigt und das Hinzufügen muss abgeschlossen werden, indem auf die Geräte-Kachel geklickt wird.

Eigentümer
Auswahl zwischen
COPE (Corperate owned, Personal enabled)

BYOD (Bring-Your-Own-Device)


bei BYOD zusätzlich:

Benutzer
Geräte-Benutzer aus der Benutzerverwaltung.

Der Benutzer kann für BYOD-Geräte nachträglich nicht mehr geändert werden.

□
Akzeptieren der Lizenz- und Nutzungsbedingungen

  Zustimmen

Zeigt die aktualisierten Eigenschaften an.


Zur besseren Zuordnung, sollte dem Gerät ein Alias-Name gegeben werden:
a0a0 (4-stelige ID) (im oberen Teil der Geräte-Kachel)


Profil zuweisen


Um dem Gerät ein Profil zuzuweisen (in dem dann wiederum alle Berechtigungen definiert sind), gibt es verschiedene Möglichkeiten:

Menü  Geräte In der Übersicht der Geräte-Kachel:   Benutzer Auswahl eines Benutzers, der entweder direkt oder über eine Rolle mit einem Profil verknüpft ist.
Menü  Geräte In der Übersicht der Geräte-Kachel:   tags Auswahl eines Tags, das in einem Profil hinterlegt ist.
Menü   Profile Auswahl eines Profils

Bearbeiten:  Bearbeiten / Reiter Allgemein 		Geräte: Auswahl des Gerätes.

Das Profil muss an das Gerät übertragen werden, damit es wirksam wird:

  Profile   Profile veröffentlichen

  • Übersicht, welche Zuordnungen vorgenommen werden.   Profile veröffentlichen

    Übersicht, welche Zuordnungen vorgenommen werden.
      Profile veröffentlichen

  • Profil ist auf dem Gerät installiert

    Profil ist auf dem Gerät installiert

VPN aktivieren

Um das Gerät vollständig zu schützen wird ein VPN-Tunnel aufgebaut, in dem die Verbindung mit dem Contentfilter abgesichert wird.
Je nach Einstellung im Profil-Abschnitt Sicherheit / SSL-abfangen wird zusätzlich auf Viren gescannt.
Beim ersten Verbindungsaufbau muss dazu dass Zertifikat von Securepoint installiert werden.

⁣⁣⁣⁣
MSA v1-3-1 Status-Arbeitsprofil-vpn0-Internet1.jpg
Übersicht auf dem Gerät		MSA v1-3-1 CA-installation.png
Um eine VPN-Verbindung aufzubauen und verschlüsseln zu können, wird eine Zertifizierungsstelle benötigt.
Aus Sicherheitsgründen fragt Android noch einmal die Geräte-PIN ab.		MSA v1-3-1 Zertifikat-bennenen.png
Installation des Zertifizierungsstellen-Zertifikates		MSA v1-3-1 VPN-wird-hergestellt.png
Anfrage, nachdem das Gerät im Portal angemeldet und ein Profil für das Gerät veröffentlicht wurde. Dieser Vorgang kann beim ersten Mal mehrere Minuten dauern		MSA v1-3-1 Status cope-vpn0-Internet1.png
Verbindung wird hergestellt
Dieser Vorgang kann beim ersten Mal mehrere Minuten dauern		MSA v1-3-1 Status BYOD-Arbeitsprofil-vpn1-Internet1.jpg
Verbindung im Arbeitsprofil zum VPN und Internet besteht


Abgerufen von „https://wiki.securepoint.de/index.php?title=MS/enrollment-android&oldid=85191“