Einschreibungsarten

Für Android Enterprise stehen drei unterschiedliche Arten der Einschreibung zur Verfügung. Jede verfügt über spezielle Funktionalitäten, die für spezifische Anwendungsfälle geeignet sind.

Verwaltetes Gerät (Managed Device) #

Die Einschreibungsart Verwaltetes Gerät eignet sich beispielsweise für Organisationen oder Schulen, um Geräte an Benutzer auszuhändigen, die ausschließlich für dienstliche oder schulische Tätigkeiten genutzt werden.

• Zugriff der Administratoren: voller Zugriff auf das Gerät, u. a. Einsicht in die Liste installierter Apps sowie Zurücksetzen auf Werkseinstellungen.
• Voraussetzung: Zurücksetzen des Geräts auf Werkseinstellungen vor der Inbetriebnahme.
• Einschränkung: kein privates Profil, das Gerät ist ausschließlich für die dienstliche Nutzung vorgesehen. Das Hinzufügen weiterer Konten, etwa einer privaten Google-ID, unterbindet Relution nicht automatisch. Dafür steht in der Konfiguration Restriktionen → die Option Verbieten, Konten hinzuzufügen und zu entfernen zur Verfügung.

Details zur Einrichtung: Verwaltetes Gerät →

Verwaltetes Gerät mit persönlichem Profil (Company Owned, Personally Enabled COPE) #

Die Einschreibungsart bildet das Gegenstück zum Arbeitsprofil und ermöglicht es, Geräte einer Organisation an Benutzer auszuhändigen, die diese auch privat nutzen dürfen.

• Privates Profil: Benutzer melden dort ihre private GoogleID an und installieren eigene Apps; private und dienstliche Daten sind strikt voneinander getrennt.
• Zugriff der Administratoren: voller Zugriff auf das Gerät, jedoch kein Einblick ins private Profil (z. B. keine Sicht auf installierte Apps oder aktivierte Einstellungen).
• Zurücksetzen auf Werkseinstellungen: vor der Inbetriebnahme erforderlich; ein späterer Werksreset durch Administratoren löscht sowohl private als auch dienstliche Daten vollständig.

Details zur Einrichtung: Persönliches Profil →

Arbeitsprofil / BYOD #

Die Einschreibungsart Arbeitsprofil ist die richtige Wahl für den Bring Your Own Device-Ansatz (BYOD): Benutzer stellen ihr privates Gerät zur Verfügung, auf dem die Organisation ein Arbeitsprofil einrichtet.

• Voraussetzung: kein Zurücksetzen des Geräts notwendig.
• Nutzung: Innerhalb des Arbeitsprofils werden beispielsweise die Mail-App oder weitere Apps der Organisation bereitgestellt; private und organisationsbezogene Daten sind strikt getrennt.
• Zugriff der Administratoren: kein Einblick auf installierte private Apps, keine Zugriffsrechte auf Funktionen oder Einstellungen des privaten Geräts.
• Löschung: Wird das Arbeitsprofil entfernt, werden nur die organisationsbezogenen Daten gelöscht – private Daten bleiben erhalten.

Details zur Einrichtung: Arbeitsprofil / BYOD →

Optionen der Einschreibung #

Beim Anlegen einer Einschreibung unter Geräte → Einschreibungen zeigt das Formular für die Plattform Android Enterprise neben Typ und Eigentümerschaft weitere Optionen an. Sie stehen für alle drei Einschreibungsarten zur Auswahl; Einschränkungen sind jeweils genannt.

Authentifizierung, Mehrfach-Einschreibung und Mobilfunkregistrierung zulassen lassen sich nach dem Speichern nicht mehr ändern. Laut Hinweis im Formular erzeugt jede Änderung einer bestehenden Android-Enterprise-Einschreibung die Registrierung bei Google neu; der bisherige QR-Code und der DPC-Identifier werden dadurch ungültig.

Authentifizierung #

Das Auswahlfeld Authentifizierung im Abschnitt Zuweisung legt fest, ob sich ein Benutzer während der Einschreibung anmelden muss:

• Nicht erforderlich (Standard): Die Einschreibung erfolgt ohne Anmeldung.
• Mit Relution Companion-App (unterstützt Einmalnutzung & Ablaufdatum): Die Relution Companion-App verlangt während der Einschreibung die Anmeldung des Benutzers. Mehrfach-Einschreibung und Gültig bis bleiben verfügbar.
• Mit integrierter Android-App (erzwingt Mehrfachnutzung): Die Anmeldung erfolgt ohne Companion-App während der Geräteeinrichtung über die Anmeldeseite von Relution. Gibt es genau einen Relution-Benutzer mit der E-Mail-Adresse des bei Google angemeldeten Kontos, wird dieser automatisch angemeldet; andernfalls erscheint die Anmeldeseite. Ist der Einschreibung ein Benutzer mit E-Mail-Adresse zugewiesen, ist sie mit dessen E-Mail-Adresse vorbelegt, sonst mit der des Google-Kontos. Die Einschreibung wird dem angemeldeten Benutzer zugeordnet, wobei Relution für jedes Gerät eine eigene, einmalig nutzbare Kopie der Einschreibung anlegt. Das Formular blendet Mehrfach-Einschreibung und Gültig bis aus.

Der Anmeldeablauf über die integrierte Android-App wird nur genutzt, wenn zusätzlich die Option Google Arbeitskonto-Anmeldung anzeigen aktiviert ist. Diese wird ausschließlich beim Typ Verwaltetes Gerät angeboten und setzt eine verwaltete Google-Domain voraus, siehe Google Work-Account-Einrichtung →. Einschreibungen mit dieser Option sind immer für mehrere Geräte nutzbar und laufen nicht ab.

Ablauf #

Im Abschnitt Ablauf legt Mehrfach-Einschreibung fest, ob die Einschreibung für mehrere Geräte verwendet werden kann. Nach dem Datum unter Gültig bis lässt sich die Einschreibung nicht mehr verwenden; vorbelegt ist ein Datum sieben Tage nach dem Anlegen. Bei der Authentifizierung Mit integrierter Android-App (erzwingt Mehrfachnutzung) wird der Abschnitt nicht angezeigt.

Compliance #

Der Abschnitt Compliance enthält folgende Optionen:

• Immer ein Gerätekennwort erfordern (standardmäßig aktiv): Auch ohne explizite Kennwort-Richtlinie ist ein Gerätekennwort erforderlich. Relution hinterlegt dazu in der Standardrichtlinie der Einschreibung eine Kennwortanforderung für das Gerät sowie eine Compliance-Regel, die Apps deaktiviert, solange kein Kennwort gesetzt ist.
• Mobilfunkregistrierung zulassen: Die Einrichtung darf über mobile Daten erfolgen. Relution ergänzt dazu eine entsprechende Angabe im QR-Code.
• Sprache: Die gewählte Sprache wird als Sprache für die Geräteeinrichtung in den QR-Code übernommen. Ohne Auswahl entfällt die Angabe.
• System-Apps aktiviert lassen: Nicht wesentliche System-Apps bleiben nach der Einschreibung aktiviert, siehe Verwaltetes Gerät →.

WLAN #

Im Bereich WLAN lässt sich ein Netzwerk für die Geräteeinrichtung hinterlegen:

• Abschnitt Verbindung: Netzwerk SSID, Verstecktes Netzwerk, Sicherheitstyp (Keiner / Offen für alle, WEP oder WPA/WPA2 PSK) sowie bei WEP und WPA das Passwort.
• Abschnitt Proxy Typ: Keine, Manuell mit Host, Portnummer und Proxy umgehen für (Liste von Adressen, die nicht über den Proxy geleitet werden) oder Automatisch konfigurieren mit PAC URL (Adresse der PAC-Datei).

Relution übernimmt WLAN und Proxy nur in den QR-Code, wenn Netzwerk SSID ausgefüllt ist. Für die Einschreibung per NFC gilt eine Einschränkung, siehe Geräte mit NFC einschreiben →.

Vereinbarungen #

Im Abschnitt Konfiguration lassen sich unter Vereinbarungen Vereinbarungen auswählen, die unter Einstellungen → Allgemein → Vereinbarungen angelegt wurden. Relution stellt deren Texte dem Gerät während der Einschreibung bereit. Die Auswahl erscheint nur für Benutzer mit Leserecht auf Vereinbarungen.