Android Work Profile: как безопасно поделить свой смартфон между домом и работой
Для тех, кто работает удаленно, провести грань между решаемыми задачами и свободным временем может быть непросто. Но я сейчас буду говорить не про work-life balance, а про Android Work Profile — технологию для управления корпоративными устройствами, которая создает разграничение персонального и рабочего пространства в них.
Установка и настройка рабочего профиля позволяет организациям контролировать работу девайса в рамках рабочего сектора и получать доступ к данным в нем, сохраняя при этом персональную информацию пользователей отдельно и в безопасности.
Сотрудники же имеют возможность включать и выключать рабочий профиль на своих устройствах в любое время. Когда рабочий профиль выключен, все приложения в нем «отключены» — это означает, что они не используют мобильные данные и не показывают уведомления пользователю. Между тем личный профиль можно использовать в обычном режиме, а уведомления, связанные с работой, останутся в silent-режиме. Удобно? Очень, особенно если устройство — ваше личное, а не корпоративное (BYOD). Об этом и поговорим.
Итак, рабочий профиль — это функция в Android, обеспечивающая безопасность и конфиденциальность путем разделения мобильного устройства на два сектора: личный и корпоративный. Эта технология является частью платформы Android Enterprise — инициативы Google, которая помогает компаниям использовать устройства и приложения Android на рабочем месте. Программа предлагает разработчикам API и другие инструменты для интеграции поддержки Android в платформы MDM.
Подготовка устройства к установке рабочего профиля
Подготовить устройство для создания рабочего профиля можно двумя способами:
- С помощью DPC.
Контроллер политики устройств (DPC) — это приложение, созданное решением EMM (Enterprise Mobility Management), которое образует мост между сервером EMM и управляемым устройством Android. Сервер EMM отправляет инструкции DPC-приложению, которые DPC затем реализует на устройстве. По завершении создания рабочего профиля DPC становится владельцем профиля (profile owner).
Чтобы начать создание рабочего профиля с помощью DPC, пользователь должен загрузить приложение, предоставленное решением EMM, на целевое устройство, впоследствии оно само начнет создание рабочего профиля, когда получит команду о необходимости сделать это. - Если организация использует Google Workspace или Cloud Identity, пользователь может ввести свои корпоративные учетные данные, чтобы настроить рабочий профиль или полностью управляемое устройство.
Мы же подробнее рассмотрим первый способ, так как именно им департамент мобильной разработки «Лаборатории Касперского» руководствовался при создании приложения Kaspersky Endpoint Security.
Создание рабочего профиля
Первое, с чем встретится пользователь, — визард создания рабочего профиля. На этом этапе нужно ознакомиться с информацией, отображающейся на экранах, и запустить раскатку профиля нажатием на кнопку «Принять».
Что в этот момент происходит внутри DPC-приложения? Краткий ответ: запускается intent с действием ACTION_PROVISION_MANAGED_PROFILE, в который в качестве дополнительного параметра передается полное имя класса, наследующего DeviceAdminReceiver. Но давайте рассмотрим по шагам, как научиться создавать рабочий профиль из своего DPC-приложения:
-
Чтобы создать рабочий профиль на устройстве, на котором уже есть личный профиль, необходимо сначала проверить, используя флаг FEATURE_MANAGED_USERS и метод DevicePolicyManager.isProvisioningAllowed(), сможем ли мы вообще начать подготовку устройства к раскатке рабочего профиля:
val packageManager: PackageManager = context.getPackageManager() val devicePolicyManager: DevicePolicyManager = context.getSystemService(Context.DEVICE_POLICY_SERVICE) if (packageManager.hasSystemFeature(PackageManager.FEATURE_MANAGED_USERS) && devicePolicyManager.isProvisioningAllowed(ACTION_PROVISION_MANAGED_PROFILE)) < // Можно начинать подготовку устройства к созданию рабочего профиля >val provisioningActivity = getActivity() val myDPCPackageName = "com.example.myDPCApp" // Создаем intent val provisioningIntent = Intent(DevicePolicyManager.ACTION_PROVISION_MANAGED_PROFILE) val adminComponent = ComponentName(provisioningActivity.applicationContext, MyAdminReceiver::class.java) provisioningIntent.putExtra(EXTRA_PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME, adminComponent.flattenToString()) if (provisioningIntent.resolveActivity(provisioningActivity.packageManager) == null) < // Нет обработчика для данного вида intent'ов >else < // REQUEST_PROVISION_MANAGED_PROFILE - уникальный код запроса startActivityForResult(provisioningIntent, REQUEST_PROVISION_MANAGED_PROFILE) >- Проверку, что устройство зашифровано. Если это не так, система предложит пользователю зашифровать устройство, прежде чем продолжить.
- Создание рабочего профиля.
- Удаление ненужных приложений из рабочего профиля.
- Копирование приложения DPC в рабочий профиль и назначение его владельцем профиля (profile owner).
Мы можем отследить статус подготовки устройства к началу использования рабочего профиля, переопределив метод onActivityResult():
override fun onActivityResult(requestCode: Int, resultCode: Int, data: Intent) < // Убедимся, что проверяем статус обработки intent’а именно по созданию рабочего профиля if (requestCode == REQUEST_PROVISION_MANAGED_PROFILE) < if (resultCode == Activity.RESULT_OK) < // Рабочий профиль подготовлен >else < // Подготовка рабочего профиля окончилась неуспехом >return > >class DemoComponent : DeviceAdminReceiver() < override fun onProfileProvisioningComplete(context: Context, intent: Intent) < super.onProfileProvisioningComplete(context, intent) val componentName = ComponentName(context, DemoComponent::class.java) val devicePolicyManager = context.getSystemService(Context.DEVICE_POLICY_SERVICE) as DevicePolicyManager with(devicePolicyManager) < setProfileName(componentName, "Demo work profile") setProfileEnabled(componentName) >> >Начиная с версии Android 8.0, после завершения подготовки вместе с вызовом метода onProfileProvisioningComplete() в то же приложение будет отправлен intent DevicePolicyManager#ACTION_PROVISIONING_SUCCESSFUL.
Как рабочий профиль отображается на устройствах
Расположение установленного рабочего профиля зависит от производителя устройства и версии Android. Например, он может отображаться на панели приложений в виде отдельной вкладки «Работа»:
На некоторых устройствах рабочие приложения размещаются в специальной рабочей папке на начальном экране. Эта папка создается автоматически при настройке.
Вы можете приостановить рабочий профиль, чтобы не получать уведомления от рабочих приложений. Приостановка фактически отключает рабочий профиль, деактивируя рабочие приложения и уведомления.
Расположение параметра приостановки зависит от производителя устройства и версии Android (требуется Android 7 или более поздней версии). Обычно его можно найти в быстрых параметрах, в приложении «Настройки» или на панели приложений.
Технические детали
Связь с основным профилем
Важно понимать, что функционал, предоставляемый Android вместе с рабочими профилями, в первую очередь направлен на защиту конфиденциальных данных компании.
Приложения, управляемые рабочим профилем, хранятся в безопасном «контейнере». В целом контейнеризация — это форма разделения приложений, обеспечивающая их запуск в отдельных контейнерах на одном устройстве и с использованием одной и той же ОС. Контейнеризация работает путем виртуализации всех компонентов приложения в один контейнер, где оно работает как изолированный объект в общей ОС. Контейнеризация во многом помогает предприятиям оптимизировать и защитить управление BYOD. Это позволяет ИТ-администраторам отделять рабочие приложения сотрудников от личных приложений на персональных устройствах. Эти контейнерные данные также могут быть отдельно зашифрованы или защищены паролем для дополнительной безопасности. Контейнеризация помогает сотрудникам изменить свой взгляд на управление BYOD, поскольку любая корпоративная политика, распространяемая их предприятием, применяется конкретно к рабочему профилю и не мешает работе их устройств или их личных данных.
Поддержка ограничений
Работа ограничений, поддерживаемых в режиме рабочего профиля, обеспечивается с помощью уже знакомого нам класса DevicePolicyManager, который подробнее обозревала моя коллега Светлана Палицына в статье про Kiosk mode.
Для выставления ограничений будем использовать метод DevicePolicyManager.addUserRestriction(ComponentName admin, String key). В метод мы передаем все то же полное имя наследника DeviceAdminReceiver, а также ограничение, которое хотим применить. В случае если переданное имя не будет принадлежать владельцу профиля, будет выброшено исключение безопасности (SecurityException).
Давайте подробнее рассмотрим, какие ограничения мы можем применить:
| Название | Описание | Версия Android |
|---|---|---|
| DISALLOW_MODIFY_ACCOUNTS | Определяет, доступно ли пользователю самостоятельное добавление и удаление аккаунтов в системном хранилище в рабочем профиле. | 5.0+ |
| DISALLOW_SHARE_INTO_MANAGED_PROFILE | Определяет, может ли пользователь делиться файлом/изображением/данными основного пользователя с управляемым профилем. | 9.0+ |
| DISALLOW_CONTENT_CAPTURE | Определяет, разрешен ли захват содержимого экрана пользователя. | 10.0+ |
| DISALLOW_CROSS_PROFILE_COPY_PASTE | Определяет, можно ли экспортировать содержимое буфера обмена путем вставки данных. Это ограничение не препятствует импорту данных. | 5.0+ |
| DISALLOW_DEBUGGING_FEATURES | Определяет, запрещено ли пользователю включать функции отладки или получать доступ к ним. | 5.0+ |
| DISALLOW_INSTALL_APPS | Определяет, запрещено ли пользователю устанавливать приложения в рабочий профиль. | 4.3+ |
| DISALLOW_INSTALL_UNKNOWN_SOURCES | Определяет, запрещено ли пользователю включать параметр «Неизвестные источники», который разрешает установку приложений в рабочий профиль из неизвестных источников. Неизвестные источники исключают adb и доверенные магазины приложений. | 4.3+ |
| DISALLOW_UNINSTALL_APPS | Определяет, запрещено ли пользователю удалять приложения из рабочего профиля. | 4.3+ |
| DISALLOW_CONFIG_VPN | Определяет, запрещено ли пользователю настраивать VPN. | 5.0+ |
Полный список ограничений доступен в официальной документации.
Некоторые публичные методы класса DevicePolicyManager менее универсальны и направлены на установку конкретных режимов работы устройства в режиме profile owner:
| Название | Описание | Версия API |
|---|---|---|
| setCrossProfileCallerIdDisabled | Определяет, разрешена ли передача информации об идентификаторе контакта из рабочего профиля в личный для входящих вызовов. | 5.0+ |
| setScreenCaptureDisabled | Система должна запрещать: запись экрана с приложениями рабочего профиля, создание скриншотов экранов приложений рабочего профиля, отображение экранов приложений рабочего профиля на незащищенных дисплеях. | 5.0+ |
| addCrossProfileIntentFilter | Настройка доступа к файлам из личного профиля приложениям из рабочего профиля. | 5.0+ |
| setKeyguardDisabledFeatures | Определяет, отображается ли содержимое нотификаций от приложений рабочего профиля, когда устройство или профиль заблокированы. | 6.0+ |
| setPermissionPolicy | Определяет политику выдачи разрешений для всех приложений в рабочем профиле. | 6.0+ |
| setCameraDisabled | Определяет, могут ли приложения из рабочего профиля иметь доступ к камере устройства. | 5.0+ |
| addCrossProfileWidgetProvider | Определяет, разрешено ли пользователю добавлять на рабочий стол устройства виджеты от приложений из рабочего профиля. | 5.0+ |
Настройки пароля для рабочего профиля
Еще одной функцией, предоставляющей возможность управления безопасностью данных на корпоративном устройстве, является создание пароля для приложений, установленных в рабочем профиле. При этом, если текущая блокировка экрана в личном профиле соответствует требованиям к блокировке рабочего профиля, можно использовать один и тот же пароль для обоих. Таким образом, вы сможете открывать свои рабочие приложения без необходимости вводить другой пароль.
Чтобы направить пользователя в настройки для задания пароля рабочего профиля, необходимо запустить activity с intent’ом ACTION_SET_NEW_PASSWORD:
var intent = Intent(DevicePolicyManager.ACTION_SET_NEW_PASSWORD) startActivity(intent)На устройствах с Android 9.0+ также есть возможность задать требование на использование двух разных паролей: один — для экрана блокировки, другой — для рабочего профиля.
Начиная с Android 3.0, класс DevicePolicyManager включает методы, позволяющие настроить содержимое пароля. Например, вы можете установить политику, согласно которой пароли должны содержать как минимум N заглавных букв. Список методов, регулирующих требуемое содержание пароля:
- setPasswordMinimumLetters()
- setPasswordMinimumLowerCase()
- setPasswordMinimumUpperCase()
- setPasswordMinimumNonLetter()
- setPasswordMinimumNumeric()
- setPasswordMinimumSymbols()
Для более новых версий Android (12.0+) можно использовать метод setRequiredPasswordComplexity(), определяющий требования к минимальной сложности пароля. Уровень сложности является одним из предопределенных.
Существует еще несколько способов задать ограничения к паролю для рабочего профиля:
| Название | Описание | Версия API |
|---|---|---|
| setMaximumFailedPasswordsForWipe | Максимальное количество неудачных попыток до полной очистки профиля. | 2.2+ |
| setPasswordExpirationTimeout | Установка максимального срока действия пароля (в днях). | 3.0+ |
| setPasswordHistoryLength | Установка длины истории паролей. После установки этого параметра пользователь не сможет ввести новый пароль, совпадающий с любым паролем в истории. | 5.0+ |
Блокировка рабочего профиля
Иногда происходят ситуации, когда просто запросить установку пароля у пользователя недостаточно или безопасность корпоративных данных ставится под угрозу, в таких случаях мы можем воспользоваться методом [DevicePolicyManager.lockNow()](https://developer.android.com/reference/android/app/admin/DevicePolicyManager#lockNow()) и немедленно заблокировать рабочий профиль. Позднее выполнить разблокировку можно с помощью PIN-кода, графического ключа или пароля, назначенного администратором.
Мы также можем установить максимальный период бездействия пользователя, допустимый до блокировки. Например:
val devicePolicyManager = context.getSystemService(Context.DEVICE_POLICY_SERVICE) as DevicePolicyManager val componentName = ComponentName(context, DemoComponent::class.java) . val timeMs = 1000L*timeout devicePolicyManager.setMaximumTimeToLock(mDeviceAdminSample, timeMs)Заключение
Мы смогли поближе познакомиться с одним из важных механизмов для управления девайсами в режимах BYOD и COPE — Android Work Profile. Надеюсь, эта статья станет полезна тем, кто не так давно знаком с MDM-решениями, а также ответственно относится к безопасности корпоративных и пользовательских данных. Я буду рада ответить на любые ваши вопросы, оставленные в комментариях.
Также, если вам в целом интересна тема Mobile Device Management, рекомендую ознакомиться со статьей моей коллеги по мобильной команде «Лаборатории Касперского» Марии Глущенко, где Маша подробно описала разные режимы управления мобильными устройствами, в том числе упомянутые ранее BYOD и COPE.
- смартфоны
- гаджеты
- смартфон
- samsung
- android development
- аналитика мобильных приложений
- google play
- android
- мобильная разработка
- мобильные приложения
- kotlin
- разработка мобильных приложений
- здоровье
- медицина
- психология
- выгорание
- Блог компании «Лаборатория Касперского»
- Разработка мобильных приложений
- Разработка под Android
- Смартфоны
Настроить рабочий профиль на телефоне
Рабочий профиль на телефоне позволяет хранить корпоративные приложения и данные отдельно от ваших личных данных. Его контролирует ваша организация/начальник. Приложения в рабочем профиле обозначены специальным значком, их легко отличить от личных программ.
Для настройки профиля нужен пароль, который должен предоставить IT-администратор (руководитель) в вашей организации. При этом он сможет управлять вашим рабочим профилем удаленно. И так со всеми сотрудниками внутри компании. Работа происходит через сервера Google.
Перейдите в Настройки > Google > Настроить рабочий профиль.
Нажмите “Далее”, начнется скачивание рабочего инструмента. Далее нужно зарегистрировать ваше устройство: введите или отсканируйте QR-код, предоставленный руководителем вашей организации. Код состоит из букв (8 или 20).
Код проверяется. У меня рабочего кода нет, т.к. я не работаю в фирме, использующей такой метод контроля за сотрудниками. Мой код недействительный.
После включения рабочего профиля начальник сможет контролировать ТОЛЬКО рабочие приложения на вашем телефоне, до личных данных он доступа не получит. Рабочие программы и личные работают одновременно. На выходные можно временно отключать рабочий профиль, тогда рабочие приложения выключаются, не расходуют память, и вы не получаете от них уведомления.
- Как добавить больше иконок на рабочий стол Андроид?
- Как настроить VPN?
- Как добавить виджеты на рабочий стол, экран телефона?
- Play игры на телефоне
- Сброс настроек в телефоне
Как удалить рабочий профиль из Xiaomi: пошаговое руководство
Как удалить рабочий профиль из Xiaomi: пошаговое руководство
Вы устали каждый раз видеть свой рабочий профиль на смартфоне Xiaomi? Вы хотите удалить его навсегда с вашего устройства? Что ж, вы попали в нужное место. В этой статье мы покажем вам, как легко удалить рабочий профиль с телефона Xiaomi.
Что такое рабочий профиль?
Рабочий профиль — это функция смартфонов Xiaomi, которая позволяет разделять личные и рабочие приложения и данные на одном устройстве. Это позволяет защитить вашу рабочую информацию при использовании телефона в личных целях. Эта функция особенно полезна для людей, которые используют свои смартфоны как для работы, так и для личных целей.
Зачем удалять рабочий профиль?
Удаление рабочего профиля с вашего устройства Xiaomi может быть полезно по нескольким причинам, в том числе:
- Когда вам больше не нужен рабочий профиль
- Когда вы меняете работу
- Когда вы хотите освободить место на вашем устройстве
- Если вы хотите избежать угроз безопасности, связанных с рабочим профилем
Как удалить рабочий профиль из Xiaomi?
Выполните следующие простые шаги, чтобы удалить свой рабочий профиль со смартфона Xiaomi:
- Откройте приложение настроек на устройстве Xiaomi.
- Прокрутите вниз до раздела «Система и устройство» и нажмите на него.
- Выберите из списка опцию «Несколько пользователей».
- Вы увидите опцию «Удалить рабочий профиль». Нажмите на нее.
- Подтвердите, что хотите удалить свой рабочий профиль, нажав «Удалить».
Основные выводы
Удаление рабочего профиля со смартфона Xiaomi — простой процесс. Вот некоторые ключевые выводы:
- Вы можете разделить свои личные и рабочие приложения и данные, используя рабочий профиль на телефоне Xiaomi.
- Удаление рабочего профиля полезно, когда вы меняете работу, он больше не нужен или вы хотите освободить место на своем устройстве.
- Вы можете удалить свой рабочий профиль, перейдя в раздел «Несколько пользователей» в приложении настроек и нажав «Удалить рабочий профиль».
Последние мысли
Удаление рабочего профиля со смартфона Xiaomi может быть полезно в нескольких ситуациях, в том числе, когда вы хотите разделить личную и рабочую жизнь. С помощью нашего пошагового руководства вы сможете легко удалить свой рабочий профиль и вернуться к обычному использованию устройства.
Related:
- С телефона на рабочий стол: как поместить видео на рабочий стол Android
- Как навсегда удалить рабочий стол на Samsung Galaxy
- Избавьтесь от этого беспорядка: как удалить рабочий стол на планшете Samsung
- До свидания, рабочий стол Android — пошаговое руководство по его удалению
- Удаление системных приложений на Android: пошаговое руководство
Регистрация устройства с помощью рабочего профиля Android
Зарегистрируйте свое личное устройство Android, чтобы получить доступ к рабочим сообщениям электронной почты, приложениям, Wi-Fi и другим ресурсам. Во время регистрации вы:
- Создайте рабочий профиль.
- Активируйте рабочий профиль.
- Обновление параметров устройства.
В этой статье описывается, как зарегистрировать устройство с помощью приложения Корпоративный портал Intune. Дополнительные сведения о рабочем профиле и его функциях см. в статье Введение в рабочий профиль Android.
Перед началом работы
Установите приложение Корпоративный портал Intune из Google Play. Приложение Корпоративный портал используется для регистрации устройства и управления ими, установки рабочих приложений и получения ИТ-поддержки.
Регистрация устройства
Убедитесь, что вы вошли в основную учетную запись пользователя на устройстве. Регистрация рабочего профиля не поддерживается в учетных записях дополнительных пользователей.
- Откройте приложение Корпоративный портал Intune и войдите с помощью рабочей или учебной учетной записи.
- На экране Настройка корпоративного доступа просмотрите задачи, необходимые для регистрации устройства. Затем нажмите кнопку BEGIN.
- На экране сведений о конфиденциальности просмотрите список элементов, которые ваша организация может и не может видеть на своем устройстве. Затем нажмите КНОПКУ ПРОДОЛЖИТЬ.
- Ознакомьтесь с условиями Google для создания рабочего профиля. Примите условия для продолжения. Внешний вид этого экрана зависит от версии ОС.
- Ознакомьтесь с политикой конфиденциальности Samsung Knox. Нажмите кнопку Принять , чтобы продолжить. Этот экран отображается только в том случае, если вы используете устройство Samsung.
- Подождите несколько минут, пока рабочий профиль будет настроен. Нажмите кнопку Далее.
- На экране Настройка доступа к компании убедитесь, что профиль создан. Затем нажмите кнопку ПРОДОЛЖИТЬ , чтобы перейти к следующей задаче регистрации.
- Подождите, пока приложение зарегистрирует устройство. При появлении запроса войдите с помощью рабочей учетной записи.
- На экране Настройка доступа к компании убедитесь, что рабочий профиль активен. Затем нажмите кнопку ПРОДОЛЖИТЬ , чтобы перейти к следующей задаче регистрации.
- В приложении Корпоративный портал просмотрите список параметров, необходимых вашей организации. При необходимости обновите параметры на устройстве. Коснитесь разрешения, чтобы открыть параметр на устройстве. Завершив обновление параметров, выберите ПОДТВЕРДИТЬ ПАРАМЕТРЫ УСТРОЙСТВА.
- После завершения настройки и регистрации вы будете отправлены обратно в список установки, где рядом с каждой задачей регистрации должна отображаться зеленая галочка. Нажмите готово.
- При необходимости при появлении запроса на просмотр предлагаемых рабочих приложений в Google Play нажмите кнопку ОТКРЫТЬ. Если вы не готовы установить приложения, вы можете сделать это позже, перейдя в приложение Google Play в своем рабочем профиле.
Вы также можете получить доступ к доступным приложениям в меню > Корпоративный портал Получить приложения. 
Доступность Android Enterprise
Рабочие профили поддерживаются в странах и регионах, где доступна платформа Android Enterprise (открывается веб-сайт службы поддержки Google). Корпоративный портал не удается настроить рабочий профиль на устройстве, если вы находитесь за пределами этих областей. Если Android Enterprise недоступен в вашей стране или регионе, обратитесь в службу поддержки за другими способами доступа к рабочим ресурсам.
Обновление служб Google Play
Если версия служб Google Play на вашем устройстве устарела, возможно, вам не удастся зарегистрировать устройство. Откройте службы Google Play на устройстве, чтобы проверка доступных обновлений. Дополнительные сведения об обновлении приложений Android см. в статье Обновление приложений Android (откроется веб-сайт службы поддержки Google).
Дальнейшие действия
Установите приложения, необходимые для работы или учебы. Перейдите в рабочий профиль, чтобы просмотреть все доступные приложения, и найдите другие приложения в рабочей версии магазина Google Play.
Нужна дополнительная помощь? Перейдите в службу поддержки в приложении Корпоративный портал, чтобы найти контактные данные ит-отдела вашей организации. Вы также можете войти на веб-сайт Корпоративный портал с помощью рабочей или учебной учетной записи и перейти в службу технической поддержки.