Android Enterprise 功能清單

1.2.1. EMM 會提供 QR code 或啟用碼給 IT 管理員，以支援這個佈建方法 (請參閱「註冊及佈建裝置」)。

1.3.1. EMM 必須使用 NFC 論壇 Type 2 標記，且記憶體至少為 888 個位元組。佈建程序必須使用佈建額外項目，將非敏感的註冊詳細資料 (例如伺服器 ID 和註冊 ID) 傳送至裝置。註冊詳細資料不應包含密碼或證書等機密資訊。

1.3.2. 由於 NFC Beam (也稱為 NFC 爆發) 已淘汰，建議您在 Android 10 以上版本使用 NFC 標記。

1.5.1. IT 管理員可以使用零接觸註冊機制佈建公司擁有的裝置，詳情請參閱「適用於 IT 管理員的零接觸註冊機制」。

1.6.1. IT 管理員可以使用零接觸註冊方法，為公司裝置進行佈建。

1.6.2. 這項要求已淘汰。

1.6.3. 使用登入網址時，EMM 必須確保未經授權的使用者無法繼續啟用程序。至少必須將啟用功能鎖定給特定企業的使用者。

1.6.4. 使用登入網址時，EMM 必須讓 IT 管理員能夠預先填入註冊詳細資料 (例如伺服器 ID、註冊 ID)，以及專屬使用者或裝置資訊 (例如使用者名稱/密碼、啟用權杖)，這樣使用者在啟用裝置時就不必輸入詳細資料。

• EMM 不得在零接觸註冊機制的設定中加入密碼或憑證等機密資訊。

1.10.1. 故意空白。

1.10.2. IT 管理員可以透過 PersonalUsagePolicies 在公司擁有的裝置上，為工作資料夾設定法規遵循動作。

1.10.3. IT 管理員可以透過 PersonalUsagePolicies 在工作資料夾或整個裝置中停用相機。

1.10.4. IT 管理員可以透過 PersonalUsagePolicies 在工作資料夾或整個裝置停用螢幕畫面擷取功能。

1.10.5. IT 管理員可以透過 PersonalApplicationPolicy，設定可在個人資料夾中安裝或禁止安裝的應用程式許可清單或封鎖清單。

2.1.1. 政策必須強制執行設定，以管理裝置安全性驗證 (工作資料夾的 parentProfilePasswordRequirements、完全受管理和專屬裝置的 passwordRequirements)。

2.1.2. 密碼複雜度應對應至下列密碼複雜度：

1. PASSWORD_COMPLEXITY_LOW - 解鎖圖案或 PIN 碼包含重複數列 (4444) 或規則數列 (1234、4321、2468)。
2. PASSWORD_COMPLEXITY_MEDIUM - 不含重複數列 (4444) 或規則數列 (1234、4321、2468) 的 PIN 碼，長度至少為 4 個字元
3. PASSWORD_COMPLEXITY_HIGH - PIN 碼沒有重複 (4444) 或順序 (1234、4321、2468) 順序，且長度至少為 8 個、英數字元或英數字元，且長度至少為 6 個

2.1.3. 您也可以在公司擁有的裝置上，將其他密碼限制設為舊版設定。

2.2.1. 政策必須針對工作資料夾強制執行安全性驗證。

1. 根據預設，IT 管理員應僅在未指定範圍的情況下，才為工作資料夾設定限制
2. IT 管理員可以指定範圍，為整部裝置設定這項設定 (請參閱需求 2.1)

2.2.2. 密碼複雜度應對應至下列預先定義的密碼複雜度：

1. PASSWORD_COMPLEXITY_LOW - 解鎖圖案或 PIN 碼包含重複數列 (4444) 或規則數列 (1234、4321、2468)。
2. PASSWORD_COMPLEXITY_MEDIUM - 不含重複數列 (4444) 或規則數列 (1234、4321、2468) 的 PIN 碼，長度至少為 4 個字元
3. PASSWORD_COMPLEXITY_HIGH - PIN 碼沒有重複 (4444) 或順序 (1234、4321、2468) 序列，且長度至少為 8 個、英數字元或英數字元，且長度至少為 6 個

2.3.1. 故意空白。

2.3.2. 故意空白。

2.3.3. 您可以為裝置上可用的每個螢幕鎖定畫面設定下列密碼生命週期設定：

1. 刻意留空
2. 蓄意空白
3. 密碼輸入錯誤次數上限 (清除裝置資料)：指定使用者輸入錯誤密碼的次數上限，超過次數後，系統就會從裝置中清除公司資料。IT 管理員必須能夠關閉這項功能。

2.3.4. (Android 8.0 以上版本) 強式驗證要求的逾時期限：必須在IT 管理員設定的逾時期限後輸入強式驗證密碼 (例如 PIN 碼或密碼)。在逾時期限過後，系統會關閉非高強度驗證方法 (例如指紋、人臉解鎖)，直到使用高強度驗證密碼解鎖裝置為止。

2.5.1. 必須使用 Android Management API 鎖定裝置。

2.7.1. 必須禁止從不明來源安裝應用程式，包括在設有工作資料夾的任何 Android 8.0 以上版本裝置的個人資料夾中安裝的應用程式。系統預設支援此子功能。

IT 管理員可以在裝置上開啟「驗證應用程式」。驗證應用程式會在安裝前後掃描 Android 裝置上安裝的應用程式，檢查是否含有有害軟體，有助於確保惡意應用程式無法竊取公司資料。

2.12.1. IT 管理員可使用政策 (前往 mountPhysicalMediaDisabled) 禁止使用者掛接實體外部媒體。

2.12.2. IT 管理員可以使用政策 (前往 outgoingBeamDisabled) 禁止使用者透過 NFC 發送功能分享裝置上的資料。由於 Android 10 以上版本不再支援 NFC 發送功能，因此這項子功能屬於選用功能。

3.1.1. 擁有現有受管理 Google 網域的管理員可以將網域繫結至 EMM。

3.1.2. 故意空白。

3.1.3. 刻意留空。

3.1.4. EMM 主控台會引導管理員在 Android 註冊流程中輸入公司電子郵件地址，並避免他們使用 Gmail 帳戶。

3.1.5. EMM 會在 Android 註冊流程中預先填入管理員的電子郵件地址。

3.2.1. 裝置佈建時，系統會自動建立 Google Play 管理版帳戶 (使用者帳戶)。

Android Management API 預設支援這項功能。不需要額外實作。

3.3.1. 裝置佈建時，系統會自動建立 Google Play 管理版帳戶。

Android Management API 預設支援這項功能。而且無須額外導入。

3.5.1. EMM 控制台必須使用 Android Management API，才能讓 IT 管理員在受管理的裝置上安裝工作應用程式。

3.5.2. EMM 控制台必須使用 Android Management API，才能讓 IT 管理員更新受管理裝置上的公司應用程式。

IT 管理員可以針對支援受管理設定的應用程式，查看及進行代管設定，而且不顯示任何通知訊息。

3.6.1. EMM 控制台必須能夠擷取並顯示任何 Play 應用程式的受管理設定。

3.6.2. EMM 的主控台必須允許 IT 管理員透過 Android Management API，為任何使用 Android Management API 的 Play 應用程式設定任何設定類型 (由 Android Enterprise 架構定義)。

3.9.1. EMM 控制台應可讓 IT 管理員管理應用程式，讓使用者在基本商店版面配置中看到這些應用程式。

3.12.1. IT 管理員可以使用以下方式，上傳已私下發布給企業的新版應用程式：

3.13.1. EMM 控制台必須提供下列兩種選項，協助 IT 管理員代管應用程式 APK：

• 在 EMM 伺服器上代管 APK。伺服器可以是地端部署伺服器，也可以是雲端伺服器。
• 在 EMM 伺服器外部代管 APK，由企業自行斟酌。IT 管理員必須在代管 APK 的 EMM 控制台中指定。

3.13.2. EMM 的控制台必須使用提供的 APK 產生適當的 APK 定義檔案，並引導 IT 管理員完成發布程序。

3.13.3. IT 管理員可以更新自架式私人應用程式，而 EMM 主控台則可使用 Google Play Developer Publishing API 悄悄發布更新的 APK 定義檔案。

3.13.4. EMM 伺服器會為自管 APK 提供下載要求，該 APK 在要求的 Cookie 中包含有效的 JWT，並經過私人應用程式的公開金鑰驗證。

• 為簡化這項程序，EMM 伺服器必須引導 IT 管理員從 Play 管理中心下載自管應用程式的授權公開金鑰，並將這組金鑰上傳至 EMM 控制台。

3.15.1. EMM 必須遵守 Android Management API 的用量限制。若未修正超過這些規範的行為，Google 可自行斟酌是否停用 API。

3.15.2. EMM 應在一天內平均分配不同企業的流量，而不是合併特定或類似時間的企業流量。符合這類流量模式的行為 (例如為每部註冊裝置安排批次作業)，可能會導致 Google 暫停使用 API。

3.15.3. EMM 不應提出一再重複、不完整或刻意錯誤的要求，因為這會導致系統無法擷取或管理實際的企業資料。符合這種流量模式的行為可能會導致 Google 暫停 API 使用權限。

3.16.1. EMM 的主控台必須能夠使用下列指令，擷取及顯示任何 Play 應用程式的最多四個巢狀層級受管理設定：

• Google Play 管理版 iframe
• 也可以建立自訂使用者介面

3.16.2. EMM 的主控台必須能在 IT 管理員設定時，擷取及顯示應用程式意見回饋管道傳回的任何意見回饋。

• EMM 控制台必須允許 IT 管理員將特定意見回饋項目與其來源裝置和應用程式建立關聯。
• EMM 的主控台必須允許 IT 管理員訂閱特定訊息類型 (例如錯誤訊息) 的快訊或報告。

3.16.3. EMM 主控台只能傳送具有預設值或由管理員手動設定的值：

• 受管理的設定 iframe，或
• 自訂 UI。

3.17.1. IT 管理員可透過 EMM 控制台使用以下項目，發布捷徑至網頁應用程式：

• Google Play 管理版 iframe
• 或 Android Management API。

這項功能預設為支援。無須額外導入 EMM。

3.20.1. IT 管理員可以允許應用程式在更新可用時使用高優先順序應用程式更新。3.20.2. IT 管理員可以允許應用程式將應用程式更新延後 90 天。

4.1.1. 為所屬機構設定預設的執行階段權限政策時，IT 管理員必須能夠從下列選項中選擇：

• 提示 (允許使用者選擇)
• allow
• deny

4.3.1. 使用政策設定 SSID。

IT 管理員可以在裝置上佈建企業 Wi-Fi 設定，這些裝置必須具備下列進階安全性功能：

4.4.1. 身分識別

4.4.2. 用於用戶端授權的憑證

4.4.3. CA 憑證

4.5.1. IT 管理員可以使用下列任一設定中的政策，鎖定企業 Wi-Fi 設定：

• 使用者無法修改 EMM 提供的任何 Wi-Fi 設定 (請參閱 wifiConfigsLockdownEnabled)，但可以新增及修改自己可設定的網路 (例如個人網路)。
• 使用者無法新增或修改裝置上的任何 Wi-Fi 網路 (前往 wifiConfigDisabled)，只能將 Wi-Fi 連線範圍限制為 EMM 佈建的網路。

4.6.1. IT 管理員可以禁止使用者新增或修改帳戶 (請參閱 modifyAccountsDisabled)。

• 在裝置上強制執行這項政策時，EMM 必須在佈建完成前設定這項限制，確保使用者無法在政策生效前，透過新增帳戶規避這項政策。

4.8.1. IT 管理員可以為每位使用者安裝由 PKI 產生的使用者身分憑證。EMM 主控台必須整合至少一個 PKI，並發布該基礎架構產生的憑證。

4.9.1. 對於發布到裝置的任何應用程式，IT 管理員可以指定憑證，讓應用程式在執行階段靜默授予存取權。(不支援此子功能)

• 憑證選取必須夠通用，才能允許套用至所有使用者的單一設定，且每個設定都可能有使用者專屬的身分憑證。

4.9.2. IT 管理員可以從受管理的鍵值儲存庫中移除憑證。

4.9.3. IT 管理員可以在無訊息的情況下解除安裝 CA 憑證。(不支援此子功能)

4.9.4. IT 管理員可以禁止使用者在受管理的 KeyStore 中設定憑證 (請參閱 credentialsConfigDisabled)。

4.10.1. IT 管理員可以指定憑證管理套件 (請參閱 delegatedCertInstallerPackage)，將其設為委派的憑證管理應用程式。

• EMM 可視需要建議已知的憑證管理套件，但必須讓 IT 管理員為適用的使用者，從可供安裝的應用程式清單中選擇。

4.11.1. IT 管理員可以指定任意 VPN 套件，設為永久連線的 VPN。

• EMM 控制台可能會視需要建議支援永久連線 VPN 的已知 VPN 套件，但無法將永久連線設定可用的 VPN 限制在任意清單。

4.12.1. IT 管理員可以設定任意長度的「IME 許可清單」(前往 permitted_input_methods)，包括可封鎖非系統 IME 的空白清單，其中可能包含任意輸入法編輯器套件。

• EMM 控制台可視需要建議已知或建議的 IME，以便納入許可清單，但必須允許 IT 管理員為適用的使用者，從可安裝應用程式清單中選擇。

4.13.1. IT 管理員可以設定任意長度的輸入法編輯器許可清單 (請參閱 permitted_input_methods)，但空白清單除外，因為空白清單會封鎖所有輸入法編輯器，包括系統輸入法編輯器)，且可包含任意輸入法編輯器套件。

• EMM 的主控台可能會選擇性建議要加入許可清單的已知或建議的 IME，但必須允許 IT 管理員從可安裝的應用程式清單中，針對適用使用者選擇安裝。

4.13.2. EMM 必須防止 IT 管理員設定空白的許可清單，因為這項設定會阻止所有 IME (包括系統 IME) 在裝置上設定。

4.14.1. IT 管理員可以設定任意長度的無障礙服務許可清單 (包括空白清單，封鎖非系統無障礙服務)，其中可能包含任何任意類型的無障礙服務套件。permittedAccessibilityServices套用至工作資料夾時，這會影響個人資料夾和工作資料夾。

• 管理控制台可視需要建議可納入許可清單的已知或建議無障礙服務，但必須讓 IT 管理員為適用的使用者，從可安裝的應用程式清單中選擇。

4.15.1. IT 管理員可以在工作資料夾中停用位置服務 (請前往 shareLocationDisabled)。

4.16.1. IT 管理員可以將裝置位置資訊服務設定為下列任一模式：

• 。
• 僅限感應器，例如 GPS，但不包括網路提供的位置資訊。
• 省電模式，可限制更新頻率。
• 關閉。

4.17.1. IT 管理員可以禁止使用者透過「設定」應用程式將裝置恢復原廠設定 (請參閱 factoryResetDisabled)。

4.17.2. IT 管理員可以在恢復原廠設定後，指定有權設定裝置的企業解鎖帳戶 (請參閱 frpAdminEmails)。

• 這個帳戶可以連結至個人，也可以由整個企業用來解鎖裝置。

4.17.3. IT 管理員可以為指定裝置停用恢復原廠設定保護機制 (請參閱 factoryResetDisabled)。

IT 管理員可以禁止使用者透過「設定」解除安裝或修改受管理的應用程式。例如，防止強制關閉應用程式或清除應用程式的資料快取。

4.18.1. IT 管理員可以禁止解除安裝任何受管理的應用程式或所有受管理應用程式 (請前往 uninstallAppsDisabled)。

4.18.2. IT 管理員可以禁止使用者在「設定」中修改應用程式資料。(Android Management API 不支援這項子功能)。

4.19.1. IT 管理員可以禁止使用者擷取螢幕截圖 (請前往 screenCaptureDisabled)。

IT 管理員可以從遠端重新啟動受管理的裝置。

4.23.1. IT 管理員可以從遠端重新啟動受管理的裝置。

4.24.1. IT 管理員可以關閉服務供應商傳送的行動廣播訊息 (請前往 cellBroadcastsConfigDisabled)。

4.24.2. IT 管理員可禁止使用者在「設定」(前往 mobileNetworksConfigDisabled) 中修改行動網路設定。

4.24.3. IT 管理員可以防止使用者在「設定」中重設所有網路設定。(前往 networkResetDisabled)。

4.24.4. IT 管理員可以設定裝置是否允許在漫遊時使用行動數據 (請參閱 dataRoamingDisabled)。

4.24.5. IT 管理員可以設定裝置能否撥打電話，但無法撥打緊急電話 (請前往 outGoingCallsDisabled)。

4.24.6. IT 管理員可以設定裝置是否能收發簡訊 (請前往 smsDisabled)。

4.24.7. IT 管理員可以透過網路共用功能，禁止使用者將裝置做為可攜式無線基地台使用 (請前往 tetheringConfigDisabled)。

4.24.8. IT 管理員可以將 Wi-Fi 逾時時間設為預設值、插電時或永不逾時。(Android Management API 不支援此子功能)

4.24.9. IT 管理員可以禁止使用者設定或修改現有的藍牙連線 (請參閱 bluetoothConfigDisabled)。

IT 管理員可以無聲控制裝置的音訊功能，包括將裝置設為靜音、禁止使用者修改音量設定，以及禁止使用者取消裝置的麥克風靜音。

4.25.1. IT 管理員可以將受管理的裝置設為靜音。(Android Management API 不支援此子功能)

4.25.2. IT 管理員可以禁止使用者修改裝置音量設定 (請參閱 adjustVolumeDisabled)。這麼做也會將裝置靜音。

針對專用裝置，IT 管理員可以使用政策管理下列功能，以支援各種資訊亭用途。

4.27.1. IT 管理員可以關閉裝置防護鎖 (請參閱 keyguardDisabled)。

4.27.2. IT 管理員可以關閉裝置狀態列、封鎖通知和快速設定 (請前往 statusBarDisabled)。

4.27.3. IT 管理員可以強制裝置在充電時保持螢幕開啟 (請參閱 stayOnPluggedModes)。

4.27.4. IT 管理員可以禁止系統顯示下列系統 UI (前往 createWindowsDisabled)：

• 浮動式訊息
• 應用程式重疊。

4.27.5. IT 管理員可讓系統推薦應用程式，在首次啟動時略過使用者教學課程和其他入門提示 (前往 skip_first_use_hints)。

IT 管理員可以將額外權限委派給個別套件。

4.28.1. IT 管理員可以管理下列範圍：

• 憑證安裝和管理
• 蓄意空白
• 網路記錄
• 安全性記錄 (不適用於個人裝置上的工作資料夾)

自 Android 12 起，工作資料夾將不再能存取硬體專屬 ID。IT 管理員可以透過註冊專屬 ID，追蹤設有工作資料夾的裝置生命週期，這些 ID 會在恢復原廠設定後保留下來。

4.29.1. IT 管理員可以取得註冊專屬 ID

4.29.2. 這個註冊專屬 ID 必須在恢復原廠設定後仍保留

5.1.1. IT 管理員可以指定企業專屬的服務條款和其他免責事項，自訂佈建程序 (請參閱 termsAndConditions)。

5.1.2. IT 管理員可以部署不可設定的 EMM 專屬服務條款和其他免責事項 (請參閱 termsAndConditions)。

• EMM 可以將無法設定的 EMM 專屬自訂項目設為部署作業的預設值，但必須允許 IT 管理員設定自己的自訂項目。

5.1.3. primaryColor 已淘汰，不適用於 Android 10 以上版本的企業資源。

5.5.1. IT 管理員可以自訂向使用者顯示的支援訊息 (短版和長版)。

5.5.2. IT 管理員可以部署無法設定、EMM 專用、簡短和長版的支援訊息 (請前往 policies 中的 shortSupportMessage 和 longSupportMessage)。

• EMM 可能會將其 EMM 專屬支援訊息設為部署項目的預設選項，且該訊息無法設定，不過必須允許 IT 管理員自行設定訊息。

5.7.1. IT 管理員可以設定跨資料夾資料分享政策，讓個人應用程式能夠解析工作資料夾的意圖，例如分享意圖或網頁連結。

5.7.2. IT 管理員可允許工作資料夾中的應用程式，在個人資料夾的主畫面建立及顯示小工具。這項功能預設為關閉，但可以使用 workProfileWidgets 和 workProfileWidgetsDefault 欄位設定為允許。

5.8.1. 透過 EMM 控制台，IT 管理員可以設定下列 OTA 設定：

• 自動：裝置會在無線更新 (OTA) 推出時安裝。
• 延後：IT 管理員必須能將 OTA 更新時間延後最多 30 天。這項政策不會影響安全性更新 (例如每月安全性修補程式)。
• 有時間限制：IT 管理員必須能夠在每日維護期間內安排 OTA 更新。

5.9.1. EMM 控制台可讓 IT 管理員靜默允許任意應用程式組合安裝至裝置並鎖定。政策：可設定專屬裝置。

5.10.1. IT 管理員可以將任何套件設為預設意圖處理程序，用於任何意圖篩選器。

• EMM 控制台可視需要建議已知或建議的意圖設定，但無法將意圖限制為任何任意清單。
• EMM 控制台必須允許 IT 管理員從應用程式清單中選擇可供適用使用者安裝的應用程式。

5.11.1.政策可關閉下列裝置鎖定畫面功能：

• 信任的代理程式
• 指紋解鎖
• 未遮蓋的通知

5.11.2. 您可以使用政策關閉工作資料夾的下列防護密碼功能：

• 信任的代理程式
• 指紋解鎖

• 確保攝影機安全
• 所有通知
• 未遮蓋
• 信任的代理程式
• 指紋解鎖
• 所有鎖定畫面功能

Android Management API 不支援這項功能。

5.15.1. 允許單一應用程式安裝並鎖定裝置。

5.15.2. 啟用或停用下列系統 UI 功能：

• 主畫面按鈕
• 總覽
• 全域動作
• 通知
• 系統資訊 / 狀態列
• 鍵盤鎖 (螢幕鎖定)。實作 5.15.1 時，這項子功能預設為開啟。

5.15.3. 關閉「系統錯誤對話方塊」。

5.17.1. IT 管理員可以提供要顯示的自訂文字 (請參閱 wipeReasonMessage)，以便在抹除工作資料夾時顯示。

IT 管理員可以設定可跨工作資料夾邊界進行通訊的套件清單，方法是設定 ConnectedWorkAndPersonalApp。