Verwenden der Android-Verwaltungs-API für persönliche Geräte mit Arbeitsprofilen

Microsoft Intune stellt die persönliche Arbeitsprofilverwaltung auf die Android-Verwaltungs-API von Google um. Diese Änderung modernisiert, wie Intune Richtlinien für persönliche Android-Arbeitsprofilgeräte bereitstellt, und führt einen webbasierten Registrierungsflow ein.

In diesem Artikel wird beschrieben, was die Android-Verwaltungs-API ist, wie sie sich auf Ihre Intune-Umgebung auswirkt und was Sie zur Vorbereitung tun müssen.

Was ist die Android-Verwaltungs-API?

Die Android Management-API ist die empfohlene API von Google für die Android Enterprise-Geräteverwaltung. Die Android-Verwaltungs-API verwendet die Android-Geräterichtlinien-App, um Richtlinien auf Geräten zu erzwingen und die Notwendigkeit benutzerdefinierter Geräterichtliniencontroller (DPCs) wie die Intune-Unternehmensportal-App zu ersetzen.

Als Intune zum ersten Mal Unterstützung für die persönliche Android-Arbeitsprofilverwaltung veröffentlicht hat, wurde eine benutzerdefinierte DPC-Implementierung verwendet, die in die Unternehmensportal-App integriert ist. Seitdem hat Google die Android-Verwaltungs-API veröffentlicht und empfiehlt sie jetzt für die gesamte Android Enterprise-Verwaltung. Google stellt die benutzerdefinierte DPC-Funktionalität aktiv als veraltet fest.

Intune verwendet bereits die Android-Verwaltungs-API für die drei Android Enterprise-Verwaltungsmethoden des Unternehmens:

  • Unternehmenseigene Geräte mit einem Arbeitsprofil
  • Vollständig verwaltete Geräte
  • Dedizierte Geräte

Das persönliche Arbeitsprofil ist die letzte Verwaltungsmethode, die zur Android-Verwaltungs-API wechselt.

Vorteile der Umstellung auf die Android-Verwaltungs-API

Der Übergang zur Android-Verwaltungs-API bietet die folgenden Vorteile für IT-Administratoren:

  • Schnellere Bereitstellung von Features: Neue Android Enterprise-Verwaltungsfeatures werden für alle Android Enterprise-Verwaltungsmethoden gleichzeitig veröffentlicht, anstatt eine separate Entwicklung für die benutzerdefinierte DPC-Implementierung zu erfordern.
  • Konsistentes Verhalten: Alle Android Enterprise-Verwaltungsmethoden verwenden dieselbe zugrunde liegende API, was zu vorhersagbarem und einheitlichem Verhalten führt.
  • Aktualisierte Benutzer-App: Die Microsoft Intune-App ersetzt die Unternehmensportal-App als primäre benutzerseitige App für die Geräteverwaltung, Diagnose und IT-Kontakte. Dies richtet sich nach der Funktionsweise von Android Enterprise-Unternehmensgeräten.

Voraussetzungen

Geräteplattformanforderungen

Dieses Feature unterstützt die folgende Plattform:

  • Persönliche Android Enterprise-Geräte mit einem in Intune registrierten Arbeitsprofil

Rollenanforderungen

So erstellen Sie die Gerätekonfigurationsrichtlinie:

Verwenden der webbasierten Registrierung für neue Geräte

Die Umstellung auf die Android-Verwaltungs-API ermöglicht auch einen neuen webbasierten Registrierungsflow für persönliche Arbeitsprofilgeräte, ähnlich der webbasierten Geräteregistrierung für iOS.

Aktivieren der webbasierten Registrierung

Wenn Sie die webbasierte Registrierung aktivieren, gilt sie auf Mandantenebene für alle neuen Persönlichen Arbeitsprofilregistrierungen. Benutzer können die Registrierung über eine Webseite starten, ohne dass eine App-Installation erforderlich ist. Sie können über eine von Ihnen bereitgestellte URL oder über Produktivitäts-Apps auf die Registrierungsseite zugreifen, wenn der bedingte Zugriff vor dem Zugriff auf Unternehmensressourcen eine Registrierung erfordert.

Bevor Sie die webbasierte Registrierung aktivieren:

  • Testen Sie in einem Testmandanten, bevor Sie ihn in der Produktion aktivieren.
  • Führen Sie die Registrierung durch, und aktualisieren Sie Ihre interne Helpdeskdokumentation.

Die Schritte zum Aktivieren der webbasierten Registrierung finden Sie unter Erstellen eines Registrierungsprofils. Die Aktivierung der webbasierten Registrierung gilt auf Mandantenebene und kann nicht rückgängig gemacht werden.

Erstellen eines Gerätekonfigurationsprofils für vorhandene Geräte

Verwenden Sie für Geräte, die bereits in Intune registriert sind, die Android Management API-Gerätekonfigurationsrichtlinie, um diese Geräte zur Android-Verwaltungs-API zu migrieren. Nach der Migration zur Android-Verwaltungs-API können sie kein Rollback zur vorherigen Verwaltungsmethode ausführen.

Vor der Migration

  • Bereiten Sie Ihre Umgebung vor. Es gibt einige Features, die nicht mit der Android-Verwaltungs-API funktionieren, und andere Features, die das Verhalten möglicherweise geändert haben.

  • Beginnen Sie klein. Migrieren Sie eine kleinere Gruppe von Geräten, um die Erfahrung zu überprüfen, bevor Sie Ihre gesamte Flotte migrieren.

  • Benutzer benachrichtigen. Bevor Sie Geräte migrieren, senden Sie Benutzer per E-Mail oder konfigurieren Sie benutzerdefinierte Benachrichtigungen, um die bevorstehenden Änderungen zu erläutern.

  • Überwachen des Fortschritts. Verwenden Sie den Bericht Persönliche Geräte in Android Management API , um Geräte in diesen Zuständen nachzuverfolgen:

    • AMAPI: Geräte in der Android-Verwaltungs-API.
    • Nicht für die Verschiebung vorgesehen: Geräte, die nicht zur Android-Verwaltungs-API verschoben werden sollen.
    • Verschieben ausstehend: Geräte, die verschoben und abgeschlossen werden sollen.
    • Fehler: Geräte, bei denen versucht wurde, zu verschieben, und bei denen ein Fehler aufgetreten ist.

Erstellen des Gerätekonfigurationsprofils

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Wählen Sie Geräte>Geräte verwalten>Konfiguration>Erstellen>Neue Richtlinie aus.

  3. Geben Sie die folgenden Eigenschaften ein:

    • Plattform: Wählen Sie Android Enterprise aus.
    • Profiltyp: Wählen Sie Vorlagen>Zur Android-Verwaltungs-API verschieben aus.

  4. Wählen Sie Erstellen aus.

  5. Geben Sie in Grundlagen die folgenden Eigenschaften ein:

    • Name: Geben Sie einen aussagekräftigen Namen für die Richtlinie ein. Benennen Sie Ihre Richtlinien so, dass Sie diese später leicht wiedererkennen. Ein guter Richtlinienname ist z. B. Android: Move to Android Management API.
    • Beschreibung: Geben Sie eine Beschreibung der Richtlinie ein. Diese Einstellung ist optional, wird jedoch empfohlen.

  6. Wählen Sie Weiter aus.

  7. Wählen Sie unter Konfigurationseinstellungen die Option Weiter aus.

    Diese Vorlage enthält keine Einstellungen, die Sie konfigurieren können. Die Konfiguration erfolgt durch Intune, wenn das Gerät die Richtlinie empfängt.

  8. Wählen Sie unter Zuweisungen die Gerätegruppen aus, die Ihr Profil erhalten sollen. Informationen zum Zuweisen von Profilen findest du unter Zuweisen von Benutzer- und Geräteprofilen.

    Wählen Sie Weiter aus.

  9. Überprüfen Sie die Einstellungen unter Überprüfen + erstellen. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Profilliste angezeigt.

Wenn Sie die Richtlinie zuweisen, beginnen Geräte mit der Umstellung auf die Android-Verwaltungs-API. Wenn Sie die Zuweisung dieser Richtlinie aufheben oder löschen, verwenden Geräte, die bereits verschoben wurden, weiterhin die Android-Verwaltungs-API. Zielgeräte, die die Richtlinie nicht erhalten haben, werden nicht in die Android-Verwaltungs-API verschoben.

Was geschieht mit Geräten während der Migration?

Wenn ein Gerät zur Android-Verwaltungs-API migriert wird:

  • Es erfolgt keine Aufhebung der Registrierung. Benutzer behalten während der gesamten Migration zugriff auf Unternehmensressourcen.
  • Die Microsoft Intune-App wird automatisch installiert und zur primären Benutzer-App. Er ersetzt Unternehmensportal für Geräteverwaltungsaufgaben.
  • Die Android-Geräterichtlinien-App wird in einem ausgeblendeten Zustand installiert, um Android Management-API-Richtlinien zu erzwingen.
  • Wi-Fi Zugriff kann beeinträchtigt werden. Geräte, die mit unternehmenseigenen Wi-Fi mit Benutzername/Kennwort-Authentifizierung verbunden sind, verlieren Wi-Fi Zugriff, bis sich der Benutzer erneut anmeldet. Geräte, die zertifikatbasierte Wi-Fi Authentifizierung verwenden, sind davon nicht betroffen.

Tipp

Wechseln Sie vor der Migration von Geräten zur zertifikatbasierten Wi-Fi Authentifizierung, um Wi-Fi Unterbrechungen zu vermeiden. Die Zertifikatauthentifizierung ist auch sicherer.

Apps, die nach der Registrierung oder Migration installiert werden

Intune installiert automatisch die folgenden Apps auf Geräten, die von der Android-Verwaltungs-API verwaltet werden:

App Zweck
Microsoft Intune Benutzerorientierte App für geräteverwaltung, IT-Kontakt und Diagnoseprotokollsammlung.
Unternehmensportal Erforderlich für die Verwaltung mobiler Apps.
Android-Geräterichtlinie Erzwingt Android Management-API-Richtlinien. Wird im ausgeblendeten Zustand installiert. Benutzern wird sie nicht angezeigt.
Microsoft Authenticator Stellt einmaliges Anmelden (Single Sign-On, SSO) für das Geschäftskonto des Benutzers bereit.

Vorbereiten der Umgebung

Führen Sie diese Aktionen vor der Migration zur Android-Verwaltungs-API aus, um einen reibungslosen Übergang sicherzustellen.

Ersetzen von benutzerdefinierten Konfigurationsrichtlinien

Intune unterstützung für benutzerdefinierte Konfigurationsrichtlinien für persönliche Arbeitsprofilgeräte eingestellt. Benutzerdefinierte Richtlinien funktionieren nicht mit der Android-Verwaltungs-API. Ersetzen Sie alle benutzerdefinierten Richtlinien durch entsprechende integrierte Richtlinien.

Hilfe zu den Ersetzungseinstellungen finden Sie unter Ersetzen von benutzerdefinierten Richtlinien durch integrierte Einstellungen. Wenn die Einstellung im Einstellungskatalog verfügbar ist, erstellen Sie eine Einstellungskatalogrichtlinie. Wenn die Einstellung im Einstellungskatalog nicht verfügbar ist, verwenden Sie die Vorlage für Geräteeinschränkungen.

Wechseln zur zertifikatbasierten Wi-Fi-Authentifizierung

Wenn Ihre Wi-Fi Richtlinien die Authentifizierung mit Benutzername und Kennwort verwenden, wechseln Sie zur zertifikatbasierten Authentifizierung. Geräte in der Android-Verwaltungs-API verlieren während der Migration Wi-Fi Zugriff, bis sich der Benutzer manuell wieder anmeldet.

Auswerten der biometrischen Konfiguration

Die Android-Verwaltungs-API unterstützt keine Richtlinien, die verhindern, dass Benutzer biometrische Daten (Gesicht, Fingerabdruck, Iris) oder Vertrauens-Agents verwenden, um ihr Gerät auf Geräteebene zu entsperren. Richtlinien, die biometrische Daten auf Arbeitsprofilebene blockieren, werden weiterhin unterstützt.

Wenn Sie biometrische Daten derzeit auf Geräteebene blockieren, sollten Sie diese Einschränkung auf die Arbeitsprofilebene verschieben, um weiterhin Arbeitsressourcen zu schützen.

Hinweis

Für Benutzer, die ein einheitliches Kennwort (eine Sperre für das Gerät und das Arbeitsprofil) verwenden, gelten die für das Arbeitsprofil konfigurierten biometrischen Einstellungen auch für das Gerät.

Überprüfen der Registrierungseinschränkungen

Die Einstellung persönliches Gerät in den Registrierungseinschränkungen (unter Android Enterprise (Arbeitsprofil)) gilt nicht für Geräte, die von der Android-Verwaltungs-API verwaltet werden. Diese Einstellung wird aus dem Intune Admin Center entfernt, wenn sich alle Geräte in der Android-Verwaltungs-API befinden.

Wenn Sie zurzeit Personally owned auf Block festlegen, sollten Sie einen alternativen Ansatz planen:

  • Verwenden Sie stattdessen eine Unternehmensverwaltungsmethode, z. B. unternehmenseigenes Arbeitsprofil.
  • Konfigurieren Sie Registrierungseinschränkungen, um nur eine bestimmte Gruppe von Benutzern zuzulassen.

Aktualisieren von Geräten auf eine unterstützte Android-Version

Stellen Sie sicher, dass auf Geräten eine unterstützte Android-Version ausgeführt wird. Nachdem Sie die Registrierung mit der Android-Verwaltungs-API aktiviert haben, können Geräte, auf denen eine beliebige Android-Betriebssystemversion ausgeführt wird, registriert werden. Eine Liste aller unterstützten Versionen finden Sie unter Unterstützte Plattformen.

Auf Geräten muss Android 9 oder höher ausgeführt werden, um zur Android-Verwaltungs-API migrieren zu können.

Ermutigen Sie Benutzer, auf die neueste verfügbare Android-Version ihres Geräts zu aktualisieren, um die beste Erfahrung zu erzielen.

Zu beachtende Änderungen

Einige Verhaltensweisen ändern sich auf Geräten, die von der Android-Verwaltungs-API verwaltet werden, im Vergleich zur benutzerdefinierten DPC-Implementierung:

Bereich Benutzerdefiniertes DPC-Verhalten Verhalten der Android Management-API
Erforderliche Apps Benutzer können erforderliche Apps deinstallieren. sie werden innerhalb weniger Stunden automatisch neu installiert. Benutzer können erforderliche Apps nicht deinstallieren.
Anrufer-ID und Kontaktsuche Separate Einstellungen für die Anzeige der Anrufer-ID für Arbeitskontakte und die Suche nach Arbeitskontakten aus dem persönlichen Profil. Einzelne kombinierte Einstellung. Wenn eines der beiden blockiert ist, blockiert Intune beides.
Bildschirmtimeout Konfigurierbar auf Geräte- oder Arbeitsprofilebene. Nur auf Arbeitsprofilebene konfigurierbar. Intune verwendet während der Migration den geringeren der beiden Werte.
Compliance von Sicherheitsanbietern und Google Play Services Aktuelle Sicherheitsanbieter und konfigurierte Google Play Services-Konformitätseinstellungen sind verfügbar. Nicht unterstützt Sicherheitsanbieter werden automatisch aktualisiert, und Google Play-Dienste sind für die Registrierung erforderlich. Einstellungen werden aus Konformitätsrichtlinien entfernt.
Registrierungsberichte Die Berichte zu Registrierungsfehlern und unvollständigen Benutzerregistrierungen umfassen alle Geräte. Diese Berichte enthalten keine Geräte, die über die Android-Verwaltungs-API registriert wurden.
Google Domain Allow Listing Konfiguriert über Intune Geräteeinschränkungsrichtlinien. Verwaltet über die Google Admin-Konsole unter Integrationen von Drittanbietern. Die Einstellung wird aus Intune Geräteeinschränkungsrichtlinien entfernt.

Verwandte Inhalte

Die neuesten Updates zum Rollout Zeitleiste und Erzwingungsänderungen finden Sie unter Neue Richtlinienimplementierung und Webregistrierung für persönliche Android-Arbeitsprofile.

  • Last updated on