Verwenden der Android-Verwaltungs-API für private Geräte mit Arbeitsprofilen

Microsoft Intune stellt die Verwaltung persönlicher Arbeitsprofile auf die Android-Verwaltungs-API von Google um. Diese Änderung modernisiert die Art und Weise, wie Intune Richtlinien für persönliche Android-Arbeitsprofilgeräte bereitstellt, und führt einen webbasierten Registrierungsflow ein.

In diesem Artikel wird erläutert, was die Android-Verwaltungs-API ist, wie sie sich auf Ihre Intune-Umgebung auswirkt und was Sie zur Vorbereitung tun müssen.

Was ist die Android-Verwaltungs-API?

Die Android Management API ist die von Google empfohlene API für die Android Enterprise-Geräteverwaltung. Die Android-Verwaltungs-API verwendet die Android-Geräterichtlinien-App, um Richtlinien auf Geräten durchzusetzen, wodurch benutzerdefinierte Geräterichtliniencontroller (DPCs) wie die Intune-Unternehmensportal-App überflüssig werden.

Als Intune die Unterstützung für die persönliche Android-Arbeitsprofilverwaltung zum ersten Mal veröffentlichte, wurde eine benutzerdefinierte DPC-Implementierung verwendet, die in die Unternehmensportal-App integriert war. Seitdem hat Google die Android Management API veröffentlicht und empfiehlt sie nun für die gesamte Android Enterprise-Verwaltung. Google stellt sicher, dass benutzerdefinierte DPC-Funktionen aktiv eingestellt werden.

Intune verwendet bereits die Android-Verwaltungs-API für die drei Android Enterprise-Verwaltungsmethoden für Unternehmen:

• Unternehmenseigene Geräte mit einem Arbeitsprofil
• Vollständig verwaltete Geräte
• Dedizierte Geräte

Das persönliche Arbeitsprofil ist die letzte Verwaltungsmethode, die zur Android-Verwaltungs-API wechselt.

Vorteile der Umstellung auf die Android-Verwaltungs-API

Der Übergang zur Android-Verwaltungs-API bietet die folgenden Vorteile für IT-Administratoren:

• Schnellere Bereitstellung von Funktionen: Neue Android Enterprise-Verwaltungsfunktionen werden für alle Android Enterprise-Verwaltungsmethoden gleichzeitig veröffentlicht, anstatt eine separate Entwicklung für die benutzerdefinierte DPC-Implementierung zu erfordern.
• Konsistentes Verhalten: Alle Android Enterprise-Verwaltungsmethoden verwenden dieselbe zugrunde liegende API, was zu vorhersehbarem und einheitlichem Verhalten führt.
• Aktualisierte Benutzer-App: Die Microsoft Intune-App ersetzt die Unternehmensportal-App als primäre benutzerorientierte App für Geräteverwaltung, Diagnose und IT-Kontakt. Dies entspricht der Funktionsweise von Android-Unternehmensgeräten in Unternehmen.

Voraussetzungen

Verwenden der webbasierten Registrierung für neue Geräte

Die Umstellung auf die Android-Verwaltungs-API ermöglicht auch einen neuen webbasierten Registrierungsablauf für persönliche Arbeitsprofilgeräte, ähnlich der webbasierten Geräteregistrierung für iOS.

Aktivieren der webbasierten Registrierung

Wenn Sie die webbasierte Registrierung aktivieren, gilt sie auf Mandantenebene für alle neuen persönlichen Arbeitsprofilregistrierungen. Benutzer können mit der Registrierung über eine Webseite beginnen, ohne dass eine App-Installation erforderlich ist. Sie können über eine von Ihnen angegebene URL oder über Produktivitäts-Apps auf die Registrierungsseite zugreifen, wenn für den bedingten Zugriff vor dem Zugriff auf Unternehmensressourcen eine Registrierung erforderlich ist.

Vor dem Aktivieren der webbasierten Registrierung:

• Testen Sie in einem Testmandanten, bevor Sie ihn in der Produktion aktivieren.
• Gehen Sie den Registrierungsprozess durch, und aktualisieren Sie Ihre interne Helpdesk-Dokumentation.

Die Schritte zum Aktivieren der webbasierten Registrierung finden Sie unter Erstellen eines Registrierungsprofils. Die Aktivierung der webbasierten Registrierung gilt auf Mandantenebene und kann nicht rückgängig gemacht werden.

Erstellen eines Gerätekonfigurationsprofils für vorhandene Geräte

Verwenden Sie für Geräte, die bereits in Intune registriert sind, die Gerätekonfigurationsrichtlinie für die Android-Verwaltungs-API, um diese Geräte zur Android-Verwaltungs-API zu migrieren. Nachdem sie zur Android-Verwaltungs-API migriert wurden, können sie nicht zur vorherigen Verwaltungsmethode zurückkehren.

Vor der Migration

• Bereiten Sie Ihre Umgebung vor. Es gibt einige Features, die mit der Android-Verwaltungs-API nicht funktionieren, und andere Features, die möglicherweise das Verhalten geändert haben.

• Fangen Sie klein an. Migrieren Sie eine kleinere Gruppe von Geräten, um die Erfahrung zu überprüfen, bevor Sie Ihre vollständige Flotte migrieren.

• Benachrichtigen von Benutzern. Bevor Sie Geräte migrieren, senden Sie Benutzern eine E-Mail oder konfigurieren Sie benutzerdefinierte Benachrichtigungen, um die anstehenden Änderungen zu erläutern.

• Überwachen Sie den Fortschritt. Verwenden Sie den Bericht "Persönliche Geräte auf Android-Verwaltungs-API ", um Geräte in diesen Bundesstaaten nachzuverfolgen:

  • AMAPI: Geräte auf Android-Verwaltungs-API.
  • Nicht zum Verschieben vorgesehen: Geräte, die nicht für den Wechsel zur Android-Verwaltungs-API vorgesehen sind.
  • Verschieben ausstehend: Geräte, die verschoben werden sollen und deren Fertigstellung aussteht.
  • Fehler: Geräte, die versucht wurden, sich zu bewegen, und bei denen ein Fehler aufgetreten ist.

Erstellen des Gerätekonfigurationsprofils

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wählen Sie Geräte>Geräte verwalten>Konfiguration>Erstellen>Neue Richtlinie aus.

3. Geben Sie die folgenden Eigenschaften ein:

   • Plattform: Wählen Sie Android Enterprise aus.
   • Profiltyp: Vorlagen> auswählenZur Android-Verwaltungs-API verschieben.

4. Wählen Sie Erstellen aus.

5. Geben Sie in Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für die Richtlinie ein. Benennen Sie Ihre Richtlinien so, dass Sie diese später leicht wiedererkennen. Ein guter Richtlinienname ist beispielsweise Android: Move to Android Management API.
   • Beschreibung: Geben Sie eine Beschreibung der Richtlinie ein. Diese Einstellung ist optional, wird jedoch empfohlen.

6. Wählen Sie Weiter aus.

7. Wählen Sie unter "Konfigurationseinstellungen" die Option "Weiter" aus.

   Diese Vorlage enthält keine Einstellungen, die Sie konfigurieren können. Die Konfiguration erfolgt durch Intune, wenn das Gerät die Richtlinie empfängt.

8. Wählen Sie unter "Aufgaben" die Gerätegruppen aus, die Ihr Profil erhalten sollen. Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

   Wählen Sie Weiter aus.

9. Überprüfen Sie die Einstellungen unter Überprüfen + erstellen. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Profilliste angezeigt.

Wenn Sie die Richtlinie zuweisen, werden die Geräte zur Android-Verwaltungs-API verschoben. Wenn Sie die Zuweisung dieser Richtlinie aufheben oder löschen, verwenden Geräte, die bereits verschoben wurden, weiterhin die Android Management API. Zielgeräte, die die Richtlinie nicht erhalten haben, werden nicht zur Android-Verwaltungs-API verschoben.

Was geschieht mit Geräten während der Migration?

Wenn ein Gerät zur Android-Verwaltungs-API migriert wird:

• Es findet keine Abmeldung statt. Die Benutzer behalten während der gesamten Migration Zugriff auf Unternehmensressourcen.
• Die Microsoft Intune-App wird im Hintergrund installiert und wird zur primären Benutzer-App. Es ersetzt das Unternehmensportal für Geräteverwaltungsaufgaben.
• Die Android-Geräterichtlinien-App wird im verborgenen Zustand installiert, um Richtlinien für die Android-Verwaltungs-API zu erzwingen.
• Wi-Fi Zugriff kann beeinträchtigt sein. Geräte, die mit Unternehmens-Wi-Fi mit Benutzername/Kennwort-Authentifizierung verbunden sind, verlieren Wi-Fi Zugriff, bis sich der Benutzer erneut anmeldet. Geräte mit zertifikatbasierter Wi-Fi Authentifizierung sind nicht betroffen.

Nach der Registrierung oder Migration installierte Apps

Intune installiert automatisch die folgenden Apps auf Geräten, die von der Android-Verwaltungs-API verwaltet werden:

Vorbereiten der Umgebung

Führen Sie diese Aktionen vor der Migration zur Android-Verwaltungs-API durch, um einen reibungslosen Übergang sicherzustellen.

Benutzerdefinierte Konfigurationsrichtlinien ersetzen

Intune beendet die Unterstützung für benutzerdefinierte Konfigurationsrichtlinien für persönliche Arbeitsprofilgeräte. Benutzerdefinierte Richtlinien funktionieren nicht mit der Android Management API. Ersetzen Sie alle benutzerdefinierten Richtlinien durch entsprechende integrierte Richtlinien.

Hilfe zu den Ersatzeinstellungen finden Sie unter Ersetzen benutzerdefinierter Richtlinien durch integrierte Einstellungen. Wenn die Einstellung im Einstellungskatalog verfügbar ist, erstellen Sie eine Richtlinie für den Einstellungskatalog. Wenn die Einstellung im Einstellungskatalog nicht verfügbar ist, verwenden Sie die Vorlage für Geräteeinschränkungen.

Umstellung auf zertifikatbasierte Wi-Fi Authentifizierung

Wenn Ihre Wi-Fi-Richtlinien die Authentifizierung mit Benutzername/Kennwort verwenden, wechseln Sie zur zertifikatbasierten Authentifizierung. Geräte mit Android-Verwaltungs-API verlieren während der Migration Wi-Fi Zugriff, bis sich der Benutzer manuell wieder anmeldet.

Auswerten der biometrischen Konfiguration

Die Android-Verwaltungs-API unterstützt keine Richtlinien, die Benutzer daran hindern, biometrische Daten (Gesicht, Fingerabdruck, Iris) zu verwenden oder Trust-Agents zu vertrauen, um ihr Gerät auf Geräteebene zu entsperren. Richtlinien, die Biometrie auf Arbeitsprofilebene blockieren, werden weiterhin unterstützt.

Wenn Sie Biometrie derzeit auf Geräteebene blockieren, sollten Sie erwägen, diese Einschränkung auf die Arbeitsprofilebene zu verschieben, um Arbeitsressourcen weiterhin zu schützen.

Überprüfen von Registrierungsbeschränkungen

Die Einstellung " Persönliches Gerät" in den Registrierungseinschränkungen (unter Android Enterprise (Arbeitsprofil)) gilt nicht für Geräte, die über die Android Management API verwaltet werden. Diese Einstellung wird aus dem Intune Admin Center entfernt, wenn alle Geräte die Android-Verwaltungs-API verwenden.

Wenn Sie "Persönlicher Besitz" derzeit auf "Blockieren" festlegen, planen Sie einen alternativen Ansatz:

• Verwenden Sie stattdessen eine Verwaltungsmethode, z. B. ein unternehmenseigenes Arbeitsprofil.
• Konfigurieren Sie Registrierungsbeschränkungen, um nur eine bestimmte Gruppe von Benutzern zuzulassen.

Aktualisieren von Geräten auf eine unterstützte Android-Version

Stellen Sie sicher, dass auf den Geräten eine unterstützte Android-Version ausgeführt wird. Nachdem Sie die Registrierung mit der Android-Verwaltungs-API aktiviert haben, können Geräte mit einer beliebigen Android-Betriebssystemversion registriert werden. Eine Liste aller unterstützten Versionen finden Sie unter Unterstützte Plattformen.

Auf den Geräten muss Android 9 oder höher ausgeführt werden, um zur Android Management API migrieren zu können.

Ermutigen Sie Benutzer, auf die neueste verfügbare Android-Version ihres Geräts zu aktualisieren, um die beste Erfahrung zu erzielen.

Änderungen, die Sie beachten sollten

Einige Verhaltensweisen ändern sich auf Geräten, die mit der Android-Verwaltungs-API verwaltet werden, im Vergleich zur benutzerdefinierten DPC-Implementierung:

Verwandte Inhalte

Die neuesten Updates zur Rollout-Zeitleiste und zu Durchsetzungsänderungen finden Sie unter Neue Richtlinienimplementierung und Webregistrierung für persönliches Android-Arbeitsprofil.

• Übersicht über die Verwaltung des Arbeitsprofils von Android Enterprise
• Einrichten der Registrierung von Geräten mit persönlichem Android Enterprise-Arbeitsprofil
• Wiederholen der Arbeitsplatzverknüpfung für Android Enterprise-Geräte