Android v enterprise prostředí

Pro ovládání zařízení v enterprise prostředí slouží technologie EMM - součást Android a Google Play Services a také dnes již bežná součást enterprise bezpečnostních řešení ve velkých organizacích.

Enterprise Mobility Management (EMM)

Jedná se o technologii centrální správy profilů a nastavení uživatele, instalace aplikací na zařízeních Android. Tato technologie umožňuje vnutit zařízení nastavení a programy tak, aby zařízení splňovalo standardy.

Technologie umožňuje správu zařízení v různých scénářích podle použití zařízení:

• Zařízení je majetkem uživatele, ale používá jej pro práci (tzv. BYOD)
  Zařízení obsahuje 2 profily. Jeden osobní, který nemá přístup k firemním datům a aplikacím (firemní aplikace a data vůbec nejsou viditelné a přístupné), druhý firemní s potřebnými aplikacemi. Fyzicky jsou aplikace a data uložena v šifrovaném prostoru, který se odemkne až po přihlášení k firemnímu profilu. Prostřednictvím správy EMM má organizace plný přístup ke kontrole dat a bezpečnosti v tomto profilu. Tato funkcionalita je přístupná až od verze Android 5.1.
• Zařízení je majetkem firmy – uživatelé jej mohou používat pro osobní použití
  Primární profil uživatele je plně vzdáleně řízen organizací přes EMM – instalace aplikací a nastavení. Uživatel může mít nastavený svůj osobní profil (až od Android 8.0), který obsahuje osobní data, ke kterým organizace nemůže (může je ale smazat – odstranit profil). Uživatel ale nemůže sám instalovat aplikace a měnit jejich nastavení, pokud to neumožní bezpečnostní politika EMM.
• Dedikovaná zařízení
  Slouží pouze pro pracovní účely – typicky mobilní terminály, často s jednou defaultně spuštěnou aplikací a restriktivním nastavením (uzamčené nastavení). Od Android 6.0 je možné definovat oprávnění různým uživatelům k různým částem nastavení a systému. Zařízení je kompletně spravováno přes EMM.

Jak technologie EMM funguje:

Google poskytuje služby EMM přes EMM API, které je součástí Google Play Services (Managed Google Play). Pro provoz je nutná EMM Console – ta je součástí různých existujících bezpečnostních řešení a Google ji sám neposkytuje resp. poskytuje jako své řešení coby součást G Suite pro firmy. Seznam výrobců a jejich řešení poskytující služby EMM Console je zde: https://androidenterprisepartners.withgoogle.com/emm/

Zařízení musí mít nainstalované Google Play Services. Pro instalaci aplikací pak firma musí mít aktivované Managed Google Play.

Na zařízení musí být nainstalován DPC (Device Policy Controller) – agent/služba umožňující aplikace politiky EMM (standardní služba je už součástí systému Android),  ale Android SDK umožňuje i vývoj vlastního zákaznického řešení. Jak to funguje je tady: https://developers.google.com/android/work/dev-options a  https://developers.google.com/android/management/provision-device.

Služba DPC se v zařízení inicializuje pro potřeby organizace buď nahráním souboru s konfigurací do filesystému Androidu přímo od výrobce nebo naskenováním konfiguračního QR kódu, přes NFC, nainstalováním upraveného DPC agenta a nebo přihlášením uživatele přes jeho firemní Google Play účet.

Administrátor EMM Console pak má k dispozici přes 80 bezpečnostních nastavení a dalších nástrojů pro správu a nastavení aplikací viz: https://developers.google.com/android/work/requirements

Certifikace Android Enterprise Recommended:

Smartphone, nebo jiné mobilní zařízení s Androidem, který projde certifikačním programem Android Enterprise Recommended, zaručuje firmám, že splňuje nastavené podmínky a tím pádem je vhodný pro použití v pracovním prostředí. Získání certifikace Google AER vyžaduje určitou úroveň odolnosti, například pětiletý životní cyklus produktu a pravidelné bezpečnostní aktualizace.

Klíčové výhody certifikace Android Enterprise Recommended:

• Automatické bezpečnostní updaty nejpozději do 90 dní od vydání na Googlu po dobu 5 let od zakoupení
• Možnost upgrade na všechny budoucí verze Android po dobu 5 let, plus další dva roky garantovaných oprav systému Android
• Snadná instalace software na mnoho přístrojů zároveň metodou zero-touch enrollment