Benutzerhandbuch

Cerberus Enterprise ist eine umfassende EMM-Lösung, mit der Sie Ihre Android- und Apple-Geräte absichern und verwalten können. Sie bietet alle passenden Funktionen für die effektive Verwaltung von BYOD- und unternehmenseigenen Geräten in einem übersichtlichen und benutzerfreundlichen Dashboard, und Sie können in wenigen Minuten loslegen.

Um Cerberus Enterprise effektiv zu nutzen, sollten Sie einige Schlüsselkonzepte zur Funktionsweise des Systems verstehen.

Das System unterstützt sowohl die Verwaltung von Android- als auch von Apple-Geräten:

Auf Android verwendet Cerberus Enterprise die offizielle Android Management API von Google, um Geräte über die App Android Device Policy (ADP) zu verwalten. Die meisten Einstellungen werden direkt von ADP durchgesetzt. Einige optionale Funktionen erfordern möglicherweise zusätzlich die Cerberus Enterprise Begleit-App, die die Möglichkeiten über ADP hinaus erweitert.

Auf Apple-Geräten (iPhone, iPad und Mac) verwaltet Cerberus Enterprise die Geräte über Apple MDM (Mobile Device Management). Die Apple-Verwaltung erfordert ein APNs-Zertifikat und kann optional mit Apple Business für die automatisierte Registrierung und App-Lizenzierung integriert werden. Auf iPhones und iPads mit iOS oder iPadOS 18.4 oder neuer installiert Cerberus außerdem die Cerberus Enterprise Begleit-App, die den Gerätestandort teilt und Benachrichtigungen empfängt.

Registriert werden kann jedes Gerät mit einem Registrierungstoken oder einem Registrierungsprofil (manuelle Apple-Registrierung) im System. Die Registrierungsmethode ist mit einer Richtlinie verknüpft, die die auf die Geräte anzuwendenden Regeln enthält.

IT-Administratoren können die einem Gerät zugeordnete Richtlinie nach der Registrierung ändern. Ein Gerät kann jedoch jeweils nur einer Richtlinie zugeordnet sein.

Während der Registrierung (Bereitstellung) werden die erforderlichen Verwaltungskomponenten automatisch installiert und konfiguriert. Auf Android umfasst dies in der Regel die App „Android Device Policy“ (und je nach Ihrer Konfiguration die Cerberus Enterprise Begleit-App). Auf Apple-Geräten wird die Verwaltung über MDM angewendet, sobald das Gerät registriert ist, und iPhones und iPads erhalten dann die Cerberus Enterprise Begleit-App (dafür ist die kostenlose App in Ihrer Apple Business-Mediathek und ein Apps and Books-Token erforderlich). Folglich wird die entsprechende Richtlinie automatisch auf das Gerät angewendet, und alle zugehörigen Regeln werden vom Plattformverwaltungssystem durchgesetzt.

Eine Richtlinie kann auf viele Geräte angewendet werden. In diesem Fall erhalten alle zugehörigen Geräte die Änderungen, wenn Sie die Richtlinie ändern.

Einrichtung

Einrichtung von Android Management

Um Android-Geräte mit Cerberus Enterprise zu verwalten, müssen Sie zunächst Ihre Organisation mit Google Android Enterprise verbinden.

Die Einrichtung dauert in der Regel einige Minuten und erfordert eine geschäftliche E-Mail-Adresse (zum Beispiel name@enterprise.com) oder alternativ eine private Google-E-Mail-Adresse.

Was während der Einrichtung geschieht

Sie werden zu Google Android Enterprise weitergeleitet.
Sie melden sich mit Ihrer geschäftlichen E-Mail-Adresse (oder einer privaten Google-E-Mail-Adresse) an.
Google erstellt das Android Management-Konto für Ihre Organisation.
Sie werden zur Vervollständigung der Einrichtung zu Cerberus Enterprise zurückgeleitet.

Wichtige Informationen

Wir empfehlen, sich mit einer geschäftlichen E-Mail-Adresse und nicht mit einem privaten Gmail-Konto anzumelden. Wenn die E-Mail-Adresse bereits mit einem Google Admin-Konto verknüpft ist, wird dieses vorhandene Konto wiederverwendet und an Cerberus Enterprise gebunden; andernfalls wird ein neues kostenloses Google Admin-Konto erstellt. Ein Google Admin-Konto schaltet den vollen Funktionsumfang frei – zum Beispiel die Registrierung von Geräten über die Google-Authentifizierung mit Konten, die von Ihrer Google Admin-Domain verwaltet werden.

Keine geschäftliche E-Mail-Adresse?

Sie können sich weiterhin mit einer privaten Google-E-Mail-Adresse (zum Beispiel einem Gmail-Konto) anmelden. In diesem Fall erstellt Google ein kostenloses verwaltetes Google Play-Konto, das an Cerberus Enterprise gebunden wird.

Nächste Schritte

Erstellen Sie nach Abschluss der Einrichtung ein Registrierungstoken und wählen Sie die geeignete Bereitstellungsmethode für das Gerät.

Einrichtung

Apple Management-Einrichtung (APNs)

Für die Verwaltung von Apple-Geräten benötigt Cerberus Enterprise das Zertifikat des Apple Push Notification service (APNs).

Verwenden Sie die Apple ID, die Ihrer Organisation zugeordnet ist. Das APNs-Zertifikat ist ein Jahr gültig und muss jährlich erneuert werden, um Geräte weiterhin verwalten zu können.

Schritt 1: CSR-Datei herunterladen

Starten Sie im Dashboard die Apple Management-Einrichtung und laden Sie die von Cerberus Enterprise erzeugte Datei „Vendor-Signed Certificate Signing Request“ (CSR) herunter.

Schritt 2: Push-Zertifikat im Apple-Portal erstellen

Melden Sie sich mit Ihrer Apple ID beim Apple Push Certificates Portal an.
Klicken Sie auf „Zertifikat erstellen“.
Laden Sie die CSR-Datei aus Schritt 1 hoch.
Laden Sie das erstellte Push-Zertifikat herunter.

Portal-Link: https://identity.apple.com/

Schritt 3: Push-Zertifikat hochladen

Laden Sie das von Apple heruntergeladene Push-Zertifikat wieder in Cerberus Enterprise hoch, um die Einrichtung abzuschließen.

Wenn das APNs-Zertifikat abläuft, funktioniert die Apple-Geräteverwaltung erst wieder, wenn das Zertifikat erneuert wurde.

Ab 30 Tagen vor dem Ablauf zeigt das Dashboard ein Banner mit der Aktion So erneuern Sie. Erneuern Sie das vorhandene Zertifikat im Apple Push Certificates Portal immer mit derselben Apple ID: Ein neues Zertifikat hat ein anderes Topic, und bereits registrierte Geräte müssten erneut registriert werden.

Nächste Schritte

Nachdem APNs konfiguriert ist, können Sie mit der Registrierung von Apple-Geräten fortfahren. Fahren Sie mit Überblick über die Apple-Bereitstellung fort.

Überblick über die Gerätebereitstellung

Cerberus Enterprise unterstützt die Geräteverwaltung für die Plattformen Android und Apple. Sie können beide Plattformen unabhängig voneinander konfigurieren, je nach den Geräten, die Sie registrieren müssen.

1. Plattformeinrichtung im Dashboard abschließen

Bevor Sie Geräte registrieren, schließen Sie die Plattformeinrichtung im Cerberus Enterprise Dashboard ab. Wenn Ihr Konto noch nicht konfiguriert ist, führt Sie das Dashboard durch die erforderlichen Schritte.

Android-Einrichtung (Google Android Enterprise)

Das vollständige Verfahren für die Android-Einrichtung finden Sie unter Android Management-Einrichtung.

Wechseln Sie zum Anmeldeablauf im Dashboard und wählen Sie Android Management einrichten.
Sie werden zu Google weitergeleitet, um sich mit einem Arbeitskonto anzumelden und Android Enterprise zu autorisieren.
Nach der Autorisierung werden Sie zurück zu Cerberus Enterprise weitergeleitet, um die Einrichtung abzuschließen.

Apple-Einrichtung (APNs-Push-Zertifikat)

Das vollständige Verfahren für die Apple-Einrichtung finden Sie unter Apple Management-Einrichtung (APNs).

Wechseln Sie zum Anmeldeablauf im Dashboard und wählen Sie Apple Management einrichten.
Laden Sie die CSR-Datei von Cerberus Enterprise herunter.
Erstellen Sie das APNs-Zertifikat im Apple Push Certificates Portal und laden Sie das resultierende Zertifikat herunter.
Laden Sie das heruntergeladene Zertifikat wieder in Cerberus Enterprise hoch, um die Apple-Geräteverwaltung zu aktivieren.

2. Geräte registrieren

Wählen Sie nach Abschluss der Plattformeinrichtung die Registrierungsmethode, die zu Ihrem Geräteeigentumsmodell und dem Betriebssystem passt.

Android-Registrierung

Bei Android erfolgt die Registrierung über Registrierungstoken. Wählen Sie die geeignete Methode, je nachdem, ob das Gerät persönlich oder unternehmenseigen ist.

Persönlich (BYOD / Arbeitsprofil): folgen Sie dieser Anleitung.
Unternehmenseigen (berufliche und private Nutzung / Arbeitsprofil): folgen Sie dieser Anleitung.
Unternehmenseigen (nur berufliche Nutzung / vollständig verwaltet oder dediziert): folgen Sie dieser Anleitung.
Zero-touch: folgen Sie dieser Anleitung.

Apple-Registrierung

Beginnen Sie bei Apple mit der oben beschriebenen APNs-Einrichtung und folgen Sie dann den Apple-Bereitstellungsleitfäden: Überblick über die Apple-Bereitstellung.

Gerätebereitstellung - Android

Unterstützte Geräte

Im Allgemeinen ist jedes Gerät mit Android 6+ und Google Play Services mit Cerberus Enterprise kompatibel.

Für eine bessere Benutzererfahrung empfehlen wir Geräte, die die Anforderungen von Android Enterprise Recommended erfüllen.

Einige Funktionen sind auf bestimmte Android-Versionen beschränkt oder können sich je nach Betriebssystemversion unterschiedlich verhalten. Weitere Informationen zu einer bestimmten Funktion finden Sie im Abschnitt Richtlinien der Dokumentation.

Cerberus Enterprise unterstützt sowohl unternehmenseigene als auch persönliche Geräte und zwei Verwaltungsmodi: Device Owner und Profile Owner.

Persönliche Geräte können über ein Arbeitsprofil verwaltet werden. Dies ermöglicht eine BYOD-Lösung, indem die beruflichen Daten und Apps der Mitarbeiter von persönlichen Daten und Apps getrennt bleiben, was sowohl Sicherheit als auch Datenschutz verbessert. Diese Option eignet sich für Geräte, die bereits Mitarbeitern gehören und die Sie für die berufliche Nutzung in Ihrer Organisation registrieren möchten.

Unternehmenseigene Geräte können ebenfalls über ein Arbeitsprofil verwaltet werden, Sie können aber auch die Option vollständig verwaltet wählen, die eine strengere Kontrolle über das Gerät ermöglicht. Unternehmenseigene Geräte mit einem Arbeitsprofil eignen sich, wenn Sie Mitarbeitern Unternehmensgeräte für die Arbeit bereitstellen und gleichzeitig die private Nutzung erlauben möchten. Vollständig verwaltete Geräte eignen sich besser für Geräte, die nur für die Arbeit verwendet werden dürfen, oder für dedizierte Geräte (COSU, Corporate-Owned Single-Use), wie z. B. Kioske.

Weitere Informationen zur Gerätebereitstellung finden Sie auf der Seite Überblick über die Gerätebereitstellung.

Gerätebereitstellung - Android

Registrierungstoken

Cerberus Enterprise verwendet Registrierungstoken, um den Registrierungsprozess (die Bereitstellung) für Android-Geräte zu starten. Das ausgewählte Token definiert die anfängliche Richtlinie, die auf registrierte Geräte angewendet wird, und beeinflusst, welche Bereitstellungsmodi zulässig sind.

Die Registerkarte für Android-Registrierungstoken ist erst nach Abschluss der Android Management-Einrichtung verfügbar.

Wo Sie Registrierungstoken finden

Öffnen Sie im Dashboard Registrierungstoken. Je nach Kontokonfiguration kann die Seite mehrere Registerkarten anzeigen (Android-Token, Google-Anmelderegistrierung, manuelle Apple-Registrierung und Apple Automated Device Enrollment).

Wenn Ihr Android-Unternehmen durch eine verwaltete Google-Domain (Google Workspace) unterstützt wird, kann das Dashboard zusätzlich eine Registerkarte Authenticate Using Google Enrollment anzeigen. Einzelheiten zum Aktivieren und Verwenden finden Sie unter Authenticate Using Google enrollment.

Liste der Registrierungstoken (Android)

Die Registerkarte „Android-Token“ zeigt eine Tabelle aller Token. Ein Klick auf eine Zeile öffnet die Seite mit den Token-Details.

Spalten

Status: Aktiv (Geräte können sich mit dem Token registrieren), Abgelaufen (das Ablaufdatum ist überschritten) oder Aufgebraucht (ein Einmal-Token, das bereits verwendet wurde).
Richtlinie: die dem Token zugewiesene Richtlinie (der Tooltip zeigt die Richtlinien-ID). Richtlinie gelöscht bedeutet, dass die Richtlinie gelöscht wurde, nachdem das Token erstellt wurde.
Benutzer: optionaler Benutzer, der Geräten vorab zugewiesen wird, die sich mit dem Token registrieren. Benutzer gelöscht bedeutet, dass der Benutzer gelöscht wurde, nachdem das Token erstellt wurde.
Registrierungen: wie viele Geräte sich mit dem Token registriert haben, angezeigt als n / 1 für ein Einmal-Token.
Persönliche Nutzung: Zulässig / Nicht zulässig / Dediziertes Gerät.
Erstellt: wann das Token erstellt wurde. Die Tabelle zeigt die neuesten Tokens zuerst.
Ablauf: Ablaufdatum/-uhrzeit oder Nie.
Registrierungscode: der Code des Tokens, den Sie auf dem Gerät eingeben, wenn Sie es ohne QR-Code registrieren.

Aktionen

Jede Zeile hat eine Löschaktion (Registrierungstoken löschen). Das Löschen ist deaktiviert, wenn die Lizenz abgelaufen ist.
Die Tabelle unterstützt die Mehrfachauswahl: Sie können den Auswahlmodus aktivieren, mehrere Token auswählen und sie mit Ausgewählte Token löschen löschen.
Verwenden Sie die Aktualisierungsaktion, um die Liste neu zu laden. Die Tabelle ist paginiert (10/25/50 Einträge pro Seite).

Neues Registrierungstoken erstellen

Klicken Sie auf der Registerkarte „Android-Token“ auf Neues Registrierungstoken, um die Seite zur Token-Erstellung zu öffnen. Wenn Ihre Lizenz abgelaufen ist, ist die Schaltfläche zum Erstellen deaktiviert.

Token-Optionen

1. Richtlinie

Erforderlich. Die Richtlinie, die automatisch auf alle Geräte angewendet wird, die mit diesem Token registriert werden. Wählen Sie eine Ihrer Android-Richtlinien aus. Wenn Sie noch keine Richtlinie haben, erstellen Sie zuerst eine.

2. Benutzer

Optional. Wenn festgelegt, werden neu registrierte Geräte automatisch mit diesem Benutzer verknüpft.

3. Persönliche Nutzung

Legt fest, ob die persönliche Nutzung auf einem Gerät zulässig ist, das mit diesem Registrierungstoken bereitgestellt wird:

Zulässig: geeignet für persönliche Geräte (Arbeitsprofil) und unternehmenseigene Geräte für berufliche und private Nutzung.
Nicht zulässig: geeignet für unternehmenseigene Geräte nur für berufliche Nutzung (vollständig verwaltet).
Dediziertes Gerät: geeignet für Kiosk-/dedizierte Geräte (das Gerät ist keinem einzelnen Benutzer zugeordnet).

4. Zulässige Verwendungen

Wählen Sie aus, ob das Token mehrfach (Mehrfach) oder nur einmal (Nur einmal) verwendet werden kann.

5. Ablauf

Wählen Sie die Ablaufeinheit (Minuten, Stunden, Tage oder Nie). Wenn nicht auf Nie gesetzt, geben Sie den Ablaufwert ein. Der zulässige Bereich hängt von der ausgewählten Einheit ab und kann bis zu 10.000 Tage betragen.

6. Google-Authentifizierung

Legt fest, ob der Benutzer sich während der Geräteregistrierung mit einem Google-Konto authentifizieren muss:

Nicht festgelegt: Die Google-Authentifizierungseinstellung auf Unternehmensebene wird verwendet, um zu bestimmen, ob der Benutzer sich während der Registrierung bei Google authentifizieren muss.
Optional: Der Benutzer kann die Google-Authentifizierung während der Registrierung überspringen.
Erforderlich: Der Benutzer muss sich mit einem Google-Konto authentifizieren, um mit der Registrierung fortzufahren.

Wenn Erforderlich ausgewählt ist, wird ein optionales Feld E-Mail-Adresse des erforderlichen Kontos angezeigt. Wenn festgelegt, muss sich der Benutzer während der Registrierung mit genau diesem Google-Konto authentifizieren.

Bereitstellungsoptionen (nur QR-Code)

Diese zusätzlichen Optionen werden in den QR-Code eingebettet und während der Bereitstellung vollständig verwalteter Geräte angewendet, die durch Scannen des QR-Codes registriert werden. Sie gelten nicht für Arbeitsprofile oder Geräte, die über die Registrierungs-URL oder das Token registriert werden.

Wi‑Fi-Konfiguration

Verwenden Sie diese Option, damit ein Gerät während der Bereitstellung automatisch eine Verbindung zu Wi‑Fi herstellt, sodass es die Verwaltungs-App herunterladen und initialisieren kann. Verfügbare Felder sind SSID, Ausgeblendete SSID, Sicherheit und (bei Bedarf) Passphrase.

Sie können auch einen HTTP-Proxy (Proxy) konfigurieren und je nach Modus Host/Port, PAC-URI und Proxy-Bypass-Host festlegen.

Weitere Optionen

Weitere Optionen sind Gebietsschema, Zeitzone und Verschlüsselung überspringen.

Details zum Registrierungstoken

Wenn Sie ein Token öffnen, zeigt die Detailseite die Token-Konfiguration und Nutzungsinformationen an:

Status, Ablauf, Nutzung, Persönliche Nutzung, Zulässige Verwendungen und (falls festgelegt) Google-Authentifizierung mit der optionalen E-Mail-Adresse des erforderlichen Kontos.
Token: der Rohwert des Registrierungstokens (kopierbar).
Registrierungs-URL: eine Registrierungs-URL für Google Android Enterprise (kopierbar und per E-Mail sendbar).
QR-Code: wird auf der rechten Seite der Seite angezeigt und dient zur Registrierung vollständig verwalteter Geräte.

Schritt-für-Schritt-Anleitungen zur Bereitstellung finden Sie in den Android-Registrierungsleitfäden: Persönliche Geräte, Unternehmenseigene Geräte für berufliche und private Nutzung, Unternehmenseigene Geräte nur für berufliche Nutzung und Zero-touch.

Gerätebereitstellung - Android

Persönliche Geräte

Geräte von Mitarbeitern können mit einem Arbeitsprofil eingerichtet werden. Ein Arbeitsprofil bietet einen eigenständigen Bereich für berufliche Apps und Daten, getrennt von persönlichen Apps und Daten. Die meisten App-, Daten- und anderen Verwaltungsrichtlinien gelten nur für das Arbeitsprofil, während die persönlichen Apps und Daten der Mitarbeiter privat bleiben.

Um ein Arbeitsprofil auf einem persönlichen Gerät einzurichten, verwenden Sie eine der folgenden Bereitstellungsmethoden (stellen Sie sicher, dass beim Registrierungstoken Persönliche Nutzung auf Zulässig gesetzt ist):

Link zum Registrierungstoken

Android-Version

6.0+

Sie können den Endbenutzern die Registrierungs-URL bereitstellen. Wenn ein Endbenutzer den Link von seinem Gerät aus öffnet, wird er durch die Einrichtung des Arbeitsprofils geführt.

Arbeitsprofil aus „Einstellungen“ hinzufügen

Android-Version

6.0+

Um ein Arbeitsprofil auf ihrem Gerät einzurichten, kann ein Benutzer die App Einstellungen öffnen und dann über die Suchleiste die Option Arbeitsprofil einrichten suchen und antippen.

Wenn die Suche erfolglos bleibt, kann der Speicherort dieser Option variieren. Hier sind einige Möglichkeiten:

Einstellungen -> Google-Dienste und -Einstellungen -> Alle Dienste -> Arbeitsprofil einrichten.
Einstellungen -> Google -> Einrichten & Wiederherstellen -> Arbeitsprofil einrichten.

Diese Schritte starten einen Einrichtungsassistenten, der Android Device Policy auf dem Gerät herunterlädt. Anschließend wird der Benutzer aufgefordert, einen QR-Code zu scannen oder manuell ein Registrierungstoken einzugeben, um die Einrichtung des Arbeitsprofils abzuschließen.

Android Device Policy herunterladen

Android-Version

6.0+

Um ein Arbeitsprofil auf ihrem Gerät einzurichten, kann ein Benutzer Android Device Policy aus dem Google Play Store herunterladen. Nach der Installation der App wird der Benutzer aufgefordert, einen QR-Code zu scannen oder manuell ein Registrierungstoken einzugeben, um die Einrichtung des Arbeitsprofils abzuschließen.

Persönliche iPhones und iPads

Private iPhones und iPads (und Macs) registrieren sich mit Apples Benutzerregistrierung: Der Benutzer meldet sich mit seinem Managed Apple Account in den Geräteeinstellungen an, und nur die Arbeits-Apps, Konten und Daten werden verwaltet. Auf iPhones und iPads werden die App Store-Apps der Richtlinie und die Cerberus Enterprise-App mit einer Benutzerlizenz dieses Kontos installiert. Der Standort privater Geräte wird nur erfasst, wenn ihre Richtlinie Standort und Geofences auf privaten Geräten aktiviert und der Benutzer es zulässt. Lesen Sie Apple-kontogesteuerte Registrierung.

Gerätebereitstellung - Android

Unternehmenseigene Geräte für berufliche und private Nutzung

Das Einrichten eines unternehmenseigenen Geräts mit einem Arbeitsprofil ermöglicht die Nutzung des Geräts sowohl beruflich als auch privat. Auf unternehmenseigenen Geräten mit Arbeitsprofilen:

Die meisten App-, Daten- und anderen Verwaltungsrichtlinien gelten nur für das Arbeitsprofil.
Die persönlichen Profile der Mitarbeiter bleiben privat. Unternehmen können jedoch bestimmte geräteweite Richtlinien und Richtlinien zur privaten Nutzung durchsetzen.
Unternehmen können Block scope verwenden, um Compliance-Aktionen für ein gesamtes Gerät oder nur für dessen Arbeitsprofil durchzusetzen.
Das Aufheben der Geräteregistrierung und Gerätebefehle gelten für ein gesamtes Gerät.

Um ein unternehmenseigenes Gerät mit einem Arbeitsprofil einzurichten, verwenden Sie eine der folgenden Bereitstellungsmethoden (stellen Sie sicher, dass beim Registrierungstoken Persönliche Nutzung auf Zulässig gesetzt ist):

QR-Code-Methode

Android-Version

8.0+

Auf einem neuen oder auf die Werkseinstellungen zurückgesetzten Gerät tippt der Benutzer (in der Regel ein IT-Administrator) sechsmal an dieselbe Stelle auf dem Bildschirm. Dadurch fordert das Gerät den Benutzer auf, einen QR-Code zu scannen.

Gerätebereitstellung - Android

Unternehmenseigene Geräte nur für berufliche Nutzung

Vollständige Geräteverwaltung eignet sich für unternehmenseigene Geräte, die ausschließlich für berufliche Zwecke bestimmt sind. Unternehmen können alle Apps auf dem Gerät verwalten und das gesamte Spektrum der Richtlinien und Befehle der Android Management API durchsetzen.

Es ist auch möglich, ein Gerät (über eine Richtlinie) auf eine einzelne App oder eine kleine Gruppe von Apps zu beschränken, um einem bestimmten Zweck oder Anwendungsfall zu dienen. Diese Teilmenge vollständig verwalteter Geräte wird als dedizierte Geräte bezeichnet.

Um die vollständige Verwaltung auf einem unternehmenseigenen Gerät einzurichten, verwenden Sie eine der folgenden Bereitstellungsmethoden (stellen Sie sicher, dass beim Registrierungstoken Persönliche Nutzung auf Nicht zulässig gesetzt ist):

QR-Code-Methode

Android-Version

7.0+

Methode mit DPC-Kennung

Android-Version

5.1+

Wenn Android Device Policy nicht per QR-Code hinzugefügt werden kann, kann ein Benutzer oder IT-Administrator diese Schritte befolgen, um ein vollständig verwaltetes oder dediziertes Gerät bereitzustellen:

1. Folgen Sie dem Einrichtungsassistenten auf einem neuen oder auf die Werkseinstellungen zurückgesetzten Gerät.

2. Geben Sie die Wi-Fi-Anmeldedaten ein, um das Gerät mit dem Internet zu verbinden.

3. Wenn Sie zur Anmeldung aufgefordert werden, geben Sie afw#setup ein, wodurch Android Device Policy heruntergeladen wird.

4. Scannen Sie einen QR-Code oder geben Sie manuell ein Registrierungstoken ein, um das Gerät bereitzustellen.

Gerätebereitstellung - Android

Zero-touch

IT-Administratoren können unternehmenseigene Geräte mit der Zero-touch-Registrierungsmethode bereitstellen, die unter Zero-touch-Registrierung für IT-Administratoren beschrieben wird. Wenn ein Gerät zum ersten Mal eingeschaltet wird, wird es automatisch gezwungen, die vom IT-Administrator definierten Einstellungen zu übernehmen.

IT-Administratoren können Geräte vorkonfigurieren, die bei autorisierten Wiederverkäufern gekauft wurden, und sie über das Cerberus Enterprise Dashboard verwalten. Um Ihr Zero-touch-Konto zu verknüpfen, wechseln Sie im Dashboard zum Bereich Zero-touch und folgen Sie den Anweisungen.

Android-Version	Arbeitsprofil	Vollständig verwaltetes Gerät	Dediziertes Gerät
8.0+ (Pixel 7.1+)	✓	✓	✓

Gerätebereitstellung - Android

Authenticate Using Google enrollment

Authenticate Using Google enrollment (auch als Google Authentication for Enrollment bezeichnet) ermöglicht Benutzern, sich während der Android-Geräteregistrierung mit ihrem Google Workspace-Konto zu authentifizieren.

Diese Funktion ist nur für Android-Unternehmen verfügbar, die durch eine verwaltete Google-Domain (Google Workspace) unterstützt werden.

Wo Sie die Funktion finden

Öffnen Sie im Dashboard Registrierungstoken und wählen Sie die Registerkarte Authenticate Using Google Enrollment aus. Die Registerkarte wird nur angezeigt, wenn Android Management konfiguriert ist und die Google Workspace-Integration für Ihr Unternehmen verfügbar ist.

Google-Authentifizierung aktivieren (oder deaktivieren)

Die Google-Authentifizierung wird in der Google Admin Console aktiviert. Kehren Sie nach dem Ändern der Einstellung zu Cerberus Enterprise zurück und verwenden Sie Status aktualisieren, um die aktuelle Konfiguration neu zu laden.

Melden Sie sich mit einem Administratorkonto bei der Google Admin Console an.
Öffnen Sie Geräte.
Wechseln Sie zu Mobilgeräte & Endpunkte → Einstellungen → Integrationen von Drittanbietern.
Suchen Sie die Android EMM-Integration für Cerberus Enterprise und öffnen Sie sie.
Klicken Sie auf EMM-Anbieter verwalten.
Schalten Sie Authenticate Using Google um, um die Google-Authentifizierung für die Registrierung zu aktivieren oder zu deaktivieren.
Klicken Sie auf Speichern.
Kehren Sie zum Cerberus Enterprise Dashboard zurück und klicken Sie auf Status aktualisieren auf der Registerkarte Authenticate Using Google Enrollment.

Registrierungstoken für die Google-Authentifizierung

Wenn die Google-Authentifizierung aktiviert ist, zeigt das Dashboard ein eigenes Registrierungstoken für diesen Registrierungsmodus an. Die Seite kann einen QR-Code, einen Wert für das Registrierungstoken und eine Registrierungs-URL anzeigen (kopierbar und per E-Mail sendbar).

Wichtige Optionen

Persönliche Nutzung zulassen: legt fest, ob das Token Geräte für berufliche und private Nutzung (Arbeitsprofilszenarien) oder nur für berufliche Nutzung (vollständig verwaltete/dedizierte Szenarien) registrieren kann.
Fallback-Standardrichtlinie: die Richtlinie, die angewendet wird, wenn dem registrierenden Benutzer keine spezifische Standardrichtlinie für die Google-Authentifizierung zugewiesen ist.

Zusammenspiel mit Richtlinien

Die Richtlinieneinstellung Authentifizierung bei der Einrichtung des Arbeitskontos (workAccountSetupConfig.authenticationType) legt fest, wie sich Benutzer bei der Einrichtung des Arbeitskontos authentifizieren, aber die Einstellung Authenticate Using Google in der Google Admin Console und der Typ des Registrierungstokens können weiterhin eine Authentifizierung erfordern.

Bei bereits registrierten Geräten gilt diese Richtlinie nur, wenn das Gerät von einem verwalteten Google Play-Konto verwaltet wird (d. h. ohne Authenticate Using Google Enrollment registriert wurde).

Einige Aktionen (zum Beispiel das Ändern von Token-Optionen) können deaktiviert sein, wenn die Lizenz abgelaufen ist.

Gerät registrieren

Während der Registrierung wird der Benutzer aufgefordert, sich mit seinem Google Workspace-Konto zu authentifizieren. Nach einer erfolgreichen Registrierung wird das Gerät dem authentifizierten Benutzer zugeordnet.

Arbeitsprofil (persönliche Geräte)

Teilen Sie die Registrierungs-URL mit dem Benutzer. Wenn der Benutzer sie auf seinem Android-Gerät öffnet, wird er durch die Einrichtung des Arbeitsprofils und die Google-Authentifizierung geführt.
Alternativ kann der Benutzer in den Android-Einstellungen beginnen und den Einrichtungsablauf für das Arbeitsprofil wählen und dann den QR-Code scannen oder das Registrierungstoken eingeben, wenn er dazu aufgefordert wird.

Unternehmenseigene Geräte

QR-Code-Methode: Tippen Sie auf einem neuen oder auf die Werkseinstellungen zurückgesetzten Gerät mehrmals an dieselbe Stelle, bis die QR-Code-Aufforderung erscheint, und scannen Sie dann den im Dashboard angezeigten QR-Code.
Methode mit DPC-Kennung (wenn das Scannen von QR-Codes nicht verfügbar ist): Folgen Sie dem Einrichtungsassistenten, stellen Sie eine Verbindung zu Wi‑Fi her, und geben Sie dann, wenn Sie zur Anmeldung aufgefordert werden, afw#setup ein, und fahren Sie fort, indem Sie den QR-Code scannen oder das Registrierungstoken eingeben. Wenn Sie dazu aufgefordert werden, authentifizieren Sie sich mit dem Google Workspace-Konto.

Allgemeine Android-Bereitstellungsverfahren (Arbeitsprofil vs. vollständig verwaltet) finden Sie auf den Standardseiten zur Android-Registrierung in diesem Handbuch.

Gerätebereitstellung - Apple

Überblick über die Apple-Bereitstellung

Cerberus Enterprise unterstützt die Registrierung und Verwaltung von iPhones, iPads und Macs. Die Apple-Bereitstellung erfordert ein APNs-Zertifikat und kann mit verschiedenen Registrierungsmethoden durchgeführt werden.

Voraussetzung: Apple Management konfigurieren (APNs)

Bevor Sie ein Apple-Gerät registrieren, schließen Sie die Apple Management-Einrichtung (APNs) ab.

Registrierungsmethode auswählen

Manuelle Registrierung (Registrierungsprofil)

Diese Methode bietet eine Registrierungs-URL und eine Konfigurationsprofildatei (mobileconfig), die Sie auf dem Gerät installieren. Lesen Sie Manuelle Apple-Registrierung.

Automated Device Enrollment (ADE)

Diese Methode integriert sich in Apple Business, um die Registrierung unternehmenseigener Geräte zu automatisieren. Lesen Sie Apple Automated Device Enrollment (ADE).

Kontogesteuerte Registrierung (mit einem Arbeitskonto anmelden)

Benutzer registrieren ihr iPhone, iPad oder ihren Mac, indem sie sich in den Geräteeinstellungen mit ihrem verwalteten Apple Account anmelden: User Enrollment für persönliche Geräte, Device Enrollment für Unternehmensgeräte, die nicht in Apple Business sind. Lesen Sie Kontogesteuerte Apple-Registrierung.

Auf persönlichen iPhones und iPads, die mit User Enrollment registriert wurden, werden die App-Store-Apps der Richtlinie mit einer Benutzerlizenz des verwalteten Apple Account installiert, die Cerberus selbst zuweist; der Benutzer wird gebeten, jede App zu installieren. Die verwalteten Apple Accounts und das Apps and Books-Token müssen zur selben Apple Business-Organisation gehören. Lesen Sie Apps auf persönlichen Geräten.

Cerberus Enterprise App auf iPhone und iPad

Nach der Registrierung installiert Cerberus seine Cerberus Enterprise-App auf iPhones und iPads mit iOS oder iPadOS 18.4 oder neuer, mit oder ohne Richtlinie. Die App teilt den Gerätestandort und empfängt Benachrichtigungen und Live-Ortungsanforderungen; auf persönlichen Geräten (User Enrollment) empfängt sie Nachrichten und teilt den Standort nur, wenn die Richtlinie Standort und Geofences auf persönlichen Geräten aktiviert und der Benutzer es zulässt. Sie erfordert einen einmaligen Schritt: Fügen Sie die kostenlose App Ihrer Apple Business-Mediathek hinzu (Apps & Books → App Store, suchen Sie nach „Cerberus Enterprise“, Hinzufügen für alle aktuellen und zukünftigen Organisationseinheiten). Überwachte Geräte installieren sie still; auf anderen Geräten wird der Benutzer gebeten, sie zu installieren. Wenn der Benutzer sie bereits aus dem App Store installiert hat, fordert das Gerät dazu auf, Ihrer Organisation die Verwaltung der App zu erlauben, und die App behält ihre Daten und Berechtigungen. Wenn der Benutzer ablehnt, verwenden Sie Erneut versuchen auf der Geräteseite. Der Benutzer kann die App nicht löschen, und sie bleibt installiert, wenn das Apps and Books-Token abläuft. Macs erhalten die App nicht.

Sie können die manuelle Registrierung und ADE parallel verwenden, je nach Ihrem Gerätebestand und Einkaufsprozess.

Gerätebereitstellung - Apple

Apple-Manualregistrierung (Registrierungsprofil)

Cerberus Enterprise unterstützt die manuelle Registrierung von Apple-Geräten über einen QR-Code, eine Registrierungs-URL oder eine Registrierungsprofildatei.

Die manuelle Registrierung ist verfügbar, wenn Apple Management (APNs) konfiguriert ist. Wenn Sie die APNs-Einrichtung noch nicht abgeschlossen haben, lesen Sie Apple Management-Einrichtung (APNs).

Benutzer können ihr iPhone, iPad oder ihren Mac auch ohne Profil registrieren, indem sie sich in den Geräteeinstellungen mit ihrem Arbeitskonto anmelden. Lesen Sie Kontogesteuerte Apple-Registrierung.

Registrierungstoken

Ein Registrierungstoken hat seine eigene Registrierungs-URL und seinen eigenen QR-Code und weist den Geräten, die sich damit registrieren, diese Einstellungen zu:

Richtlinie: wird auf das Gerät angewendet, sobald es sich registriert.
Benutzer: wird dem Gerät zugewiesen. Ohne Benutzer im Token hat das Gerät keinen Benutzer.
Eigentum: unternehmenseigen oder persönlich. Wenn es nicht festgelegt ist, werden überwachte Geräte als unternehmenseigen und die anderen als persönlich eingestuft. Manuell registrierte iPhones und iPads sind nicht überwacht; Macs sind es, daher werden sie als unternehmenseigen eingestuft.
Ablauf: Nach diesem Tag funktioniert die Registrierungs-URL nicht mehr. Ein zuvor heruntergeladenes Profil kann weiterhin installiert werden.
Zulässige Registrierungen: wie viele Geräte sich mit dem Token registrieren können. Lassen Sie das Feld leer, um kein Limit festzulegen.

Um ein Token zu erstellen, öffnen Sie im Dashboard den Abschnitt Registrierung, wählen Sie die Registerkarte Apple-Manualregistrierung (Registrierungsprofil) und klicken Sie auf Neues Registrierungstoken. Legen Sie den Namen und die Einstellungen fest und klicken Sie dann auf Token erstellen: Die Tokenseite zeigt die Registrierungs-URL, den QR-Code und die Schaltfläche Registrierungsprofil herunterladen.

Die Tokentabelle zeigt für jedes Token seinen Status (Aktiv, Abgelaufen oder Aufgebraucht), den Ablauf, die Registrierungen im Verhältnis zu den erlaubten sowie Zuletzt verwendet, wann sich zuletzt ein Gerät damit registriert hat. Danach folgen die Richtlinie, der Benutzer (darauf zeigen, um die E-Mail-Adresse zu sehen), das Eigentum und das Datum Erstellt (darauf zeigen, um zu sehen, wer das Token erstellt hat). Die neuesten Tokens stehen zuerst, und Sie können nach jeder Spalte sortieren. Sortieren Sie nach Zuletzt verwendet, um aktive Tokens zu finden, die niemand mehr verwendet, und löschen Sie sie, damit ihre Registrierungs-URL nicht mehr funktioniert. Eine Richtlinie oder ein Benutzer, der nach dem Speichern des Tokens gelöscht wurde, wird als Richtlinie gelöscht oder Benutzer gelöscht mit einem Warnsymbol angezeigt: Bearbeiten Sie das Token, um ein anderes auszuwählen.

Änderungen an einem Token gelten für die nächsten Registrierungen: Bereits registrierte Geräte behalten ihre Richtlinie und ihren Benutzer. Wenn ein Token gelöscht wird, abläuft oder seine zulässigen Registrierungen erreicht, funktioniert seine Registrierungs-URL nicht mehr.

Registrierung ohne Token

Das Panel Registrierung ohne Token derselben Registerkarte enthält die Registrierungs-URL Ihrer Organisation. Damit registrierte Geräte erhalten keine Richtlinie und keinen Benutzer: Weisen Sie diese auf der Geräteseite zu.

Die Richtlinie und der Benutzer eines Geräts hängen davon ab, wie es sich registriert: die Richtlinie und der Benutzer des Tokens bei einem Registrierungstoken; die Richtlinie des ADE-Profils bei Automated Device Enrollment, wobei der auf der Geräteseite zugewiesene Benutzer erhalten bleibt; keine Richtlinie und kein Benutzer bei der Registrierungs-URL, dem QR-Code oder dem Profil ohne Token (auch wenn das Gerät ein ADE-Profil hat). Ein Gerät, das sich erneut registriert, behält die Richtlinie und den Benutzer seiner vorherigen Registrierung nicht: Die Geräteseite zeigt sie nur an, wenn die neue Registrierung sie zuweist. Nur ein mit Return to Service gelöschtes Gerät registriert sich erneut mit seiner aktuellen Richtlinie und seinem aktuellen Benutzer.

Registrierungs-URL und Profil abrufen

Öffnen Sie das Token auf der Registerkarte Apple-Manualregistrierung (Registrierungsprofil) des Abschnitts Registrierung, oder erweitern Sie Registrierung ohne Token.
Kopieren Sie die Registrierungs-URL, oder verwenden Sie die Aktion zum Senden per E-Mail.
Scannen Sie den neben der Registrierungs-URL angezeigten QR-Code mit der Kamera eines iPhone oder iPad: Er öffnet dieselbe Registrierungs-URL auf dem Gerät. Verwenden Sie auf einem Mac die Registrierungs-URL oder die Profildatei.
Laden Sie das Registrierungsprofil herunter (mobileconfig-Datei).

iPhone oder iPad registrieren

iOS/iPadOS 15.0+

Laden Sie zunächst das Registrierungsprofil auf dem Gerät mit einer der folgenden Methoden herunter:

Methode 1: QR-Code

Öffnen Sie die Kamera-App auf dem Gerät und richten Sie sie auf den QR-Code, der neben der Registrierungs-URL angezeigt wird, und tippen Sie dann auf den angezeigten Link. Safari öffnet die Registrierungs-URL und fragt, ob das Herunterladen eines Konfigurationsprofils erlaubt werden soll: Tippen Sie auf Erlauben.

Methode 2: Registrierungs-URL

Senden Sie die Registrierungs-URL an den Benutzer (zum Beispiel mit der Aktion „Per E-Mail senden“) und öffnen Sie sie in Safari auf dem Gerät, und tippen Sie dann auf Erlauben, um das Konfigurationsprofil herunterzuladen.

Methode 3: Registrierungsprofildatei

Laden Sie die Registrierungsprofildatei (enroll.mobileconfig) herunter und senden Sie sie an das Gerät, zum Beispiel als E-Mail-Anhang oder mit AirDrop, und öffnen Sie sie dann auf dem Gerät.

Schließen Sie dann die Registrierung auf dem Gerät ab:

Öffnen Sie auf dem Gerät Einstellungen → Profil geladen → Installieren und folgen Sie anschließend den Anweisungen.
Nach der Registrierung können Sie den Status unter Einstellungen → Allgemein → VPN & Geräteverwaltung (oder Profile & Geräteverwaltung) prüfen.

Nach der Registrierung erhalten iPhones und iPads mit iOS oder iPadOS 18.4 oder neuer die App Cerberus Enterprise. Auf einem manuell registrierten (nicht überwachten) Gerät wird der Benutzer gebeten, sie zu installieren oder Ihre Organisation verwalten zu lassen, wenn sie bereits aus dem App Store installiert wurde. Wenn der Benutzer ablehnt, verwenden Sie Erneut versuchen auf der Geräteseite. Die App muss einmal in Ihrer Apple Business-Bibliothek vorhanden sein (siehe Kontoeinstellungen).

Auf iPhone und iPad wird ein heruntergeladenes Profil, das nicht innerhalb von 8 Minuten installiert wird, vom Gerät entfernt. Laden Sie es in diesem Fall erneut herunter.

So registrieren Sie einen Mac

macOS 13.0+

Der QR-Code funktioniert nur auf iPhone und iPad. Laden Sie das Registrierungsprofil mit einer der folgenden Methoden auf den Mac herunter:

Methode 1: Registrierungs-URL

Senden Sie die Registrierungs-URL an den Benutzer (zum Beispiel mit der Aktion Per E-Mail senden) und öffnen Sie sie in Safari auf dem Mac und erlauben Sie den Download, wenn Sie gefragt werden. Wenn sich das Profil nicht von selbst öffnet, öffnen Sie die heruntergeladene Datei enroll.mobileconfig.

Methode 2: Registrierungsprofildatei

Laden Sie die Registrierungsprofildatei (enroll.mobileconfig) herunter und senden Sie sie an den Mac, zum Beispiel als E-Mail-Anhang oder mit AirDrop; öffnen Sie sie dann auf dem Mac.

Das Öffnen des Profils fügt es nur den heruntergeladenen Profilen hinzu. Schließen Sie dann die Registrierung auf dem Mac ab, angemeldet als dessen Hauptbenutzer:

Öffnen Sie Systemeinstellungen → Allgemein → Geräteverwaltung (unter macOS 13 und 14: Datenschutz & Sicherheit → Profile). Doppelklicken Sie im Bereich Geladen auf Registrierungsprofil, klicken Sie auf Registrieren (oder Installieren) und folgen Sie den Anweisungen. Geben Sie bei Aufforderung den Namen und das Passwort eines Administrators des Mac ein.
Nach der Registrierung wird Registrierungsprofil an derselben Stelle aufgeführt. Im Terminal zeigt profiles status -type enrollment MDM enrollment: Yes (User Approved) an.

Manuell registrierte Macs sind überwacht, und der Benutzer, der das Profil installiert, wird im Bereich Mac-Benutzer der Geräteseite angezeigt. Macs erhalten die Cerberus Enterprise-App nicht. Wenn das Profil nicht mehr im Bereich Geladen vorhanden ist, laden Sie es erneut herunter.

Installieren Sie nur Registrierungsprofile, die Sie aus Ihrem Cerberus Enterprise Dashboard bezogen haben.

Gerätebereitstellung - Apple

Apple Automated Device Enrollment (ADE)

Automated Device Enrollment (ADE) lässt sich in Apple Business (früher Apple Business Manager) integrieren, um unternehmenseigene iPhones, iPads und Macs automatisch zu registrieren, wenn sie zum ersten Mal eingeschaltet werden (oder nach einem Zurücksetzen auf die Werkseinstellungen).

ADE setzt voraus, dass Apple Management (APNs) zuerst konfiguriert wird. Lesen Sie bei Bedarf Apple Management-Einrichtung (APNs).

Geräte automatisch registrieren

Fügen Sie Ihrem Apple Business-Konto Geräte hinzu und weisen Sie sie dem Geräteverwaltungsdienst Cerberus Enterprise zu: Öffnen Sie in Apple Business Geräte → Inventar, wählen Sie die Geräte aus und klicken Sie auf Geräteverwaltung zuweisen, oder weisen Sie neue Geräte automatisch über Geräte → Verwaltungsdienste → Standardgerätezuweisung zu. Siehe Geräteanbieter verwalten und Geräte mit Apple Configurator hinzufügen.
Nachdem Sie neue Geräte zu Ihrem Apple Business-Konto hinzugefügt haben, synchronisieren Sie sie in Cerberus Enterprise im Abschnitt Geräte mit der Aktion Von Apple Business synchronisieren. Synchronisierte Geräte verbrauchen erst eine Lizenz, wenn sie sich registrieren.
Erstellen Sie im Dashboard ein ADE-Profil über Registrierung → Apple Automated Device Enrollment (ADE) → Neues ADE-Profil.
Weisen Sie einem Gerät auf der Gerätedetailseite über das Feld ADE-Profil ein ADE-Profil zu.

Nach der Registrierung erhalten iPhones und iPads mit iOS oder iPadOS 18.4 oder höher die App Cerberus Enterprise. Mit ADE registrierte Geräte sind überwacht, daher wird die App ohne Nachfrage beim Benutzer installiert; die Einrichtung wartet nicht darauf. Die App muss einmal in Ihrer Apple Business-Mediathek vorhanden sein (siehe Kontoeinstellungen). Macs erhalten die App nicht.

Einstellungen für ADE-Profile (Übersicht)

Ein ADE-Profil steuert, wie das Gerät registriert wird und wie sich der Setup-Assistent verhält. In Cerberus Enterprise umfasst ein ADE-Profil einen Namen, eine optionale anfängliche Richtlinie, Registrierungsoptionen, die zu überspringenden Bereiche des Setup-Assistenten, Supportkontakte und vertrauenswürdige Zertifikate.

Profilname

Ein lesbarer Name für das Profil (zum Beispiel Standard-ADE-Profil).

Richtlinie

Die Richtlinie, die auf die Geräte angewendet wird, wenn sie sich mit Automated Device Enrollment registrieren (Setup-Assistent). Geräte des Profils, die sich über die Registrierungs-URL oder den QR-Code registrieren, erhalten stattdessen die Richtlinie ihres Registrierungstokens oder ohne Token keine Richtlinie. Wenn Sie nur die Richtlinie ändern, bleibt das Profil unverändert.

Registrierungsoptionen

MDM entfernbar: steuert, ob die MDM-Nutzlast vom Gerät entfernt werden kann.
Kopplung zulassen: steuert, ob die Kopplung erlaubt ist (von Apple in iOS 13 veraltet).
Setup automatisch fortsetzen: führt den Setup-Assistenten automatisch durch seine Bildschirme (Mac mit macOS 11 oder neuer und Apple TV).
Auf Gerätekonfiguration warten: Der Setup-Assistent wartet, bis die Richtlinie des ADE-Profils angewendet wurde, damit Benutzer mit den zugehörigen Apps und Einstellungen beginnen. Cerberus Enterprise lässt das Gerät dann spätestens 4 Minuten nach der Registrierung fortfahren.
Erforderlich: verhindert das Überspringen der Profilanwendung während der Einrichtung.
Mehrere Benutzer (Shared iPad): konfiguriert das Gerät für Shared iPad.
Überwacht: fordert die Überwachung für das Gerät an.

Setup-Assistent

Abteilung, Support-Telefon und Support-E-Mail (optional): werden mit dem Profil an Apple gesendet. Das Gerät zeigt sie möglicherweise nicht an.
Zu überspringende Bereiche: Der Setup-Assistent zeigt die ausgewählten Bereiche nicht an (zum Beispiel Apple Account, Siri oder Bildschirmzeit). Jedes Gerät zeigt nur die Bereiche seines Systems (einige, wie FileVault oder iCloud-Dokumente und Schreibtisch, gibt es nur auf Macs); Alle überspringen und Alle anzeigen wählen alle aus bzw. heben die Auswahl auf.
Apple TV: Sprache und Region für Apple TV mit automatischer Setup-Fortsetzung.
Vertrauenswürdige Zertifikate: nur erforderlich, wenn der Server ein Zertifikat verwendet, dem die Geräte nicht vertrauen, zum Beispiel von einer privaten CA. Importieren Sie das Zertifikat zuerst auf der Seite Zertifikate.

Liste der ADE-Profile

Die Liste zeigt den Namen jedes Profils, seine Richtlinie, seine Geräte und seine ID, die Kennung, die Apple dem Profil gibt. Ein Schloss nach dem Namen kennzeichnet ein obligatorisches Profil, dessen Verwaltung Benutzer nicht entfernen können. Keine Richtlinie oder Richtlinie gelöscht weist darauf hin, dass mit dem Profil registrierte Geräte keine anfängliche Richtlinie erhalten.

Die Spalte Geräte zählt die registrierten Geräte des Profils und daneben die wartenden Geräte: in Apple Business dem Profil zugewiesen, aber noch nicht registriert. Entfernte Geräte werden nicht gezählt.

Ändern eines Profils

Apple erlaubt das Ändern eines ADE-Profils nicht. Wenn Sie eines ändern (außer nur die Richtlinie), definiert Cerberus Enterprise ein neues Profil mit demselben Namen und weist es den Geräten des alten Profils zu; das alte Profil wird nicht mehr aufgeführt, sobald es kein Gerät mehr verwendet. Geräte, die den Setup-Assistenten bereits abgeschlossen haben, verwenden das neue Profil beim nächsten Löschen.

Ein Profil, das kein Gerät verwendet – weder ein registriertes noch ein wartendes –, kann aus der Liste der ADE-Profile gelöscht werden. Apple erlaubt das Löschen eines Profils nicht, daher verbleibt es ungenutzt in Apple Business.

Nachdem einem Gerät ein ADE-Profil zugewiesen wurde, kann es automatisch registriert werden.

Gerätebereitstellung - Apple

Kontogesteuerte Apple-Registrierung

Bei der kontogesteuerten Registrierung registrieren Benutzer ihr iPhone, iPad oder ihren Mac, indem sie sich in den Geräteeinstellungen mit ihrem Arbeitskonto (einem Verwalteten Apple Account, zum Beispiel name@company.com) anmelden. Kein Profil zum Herunterladen und kein QR-Code: Cerberus Enterprise findet den Benutzer, wendet die Richtlinie an und legt das Eigentum selbst fest.

Zwei Modi

Benutzerregistrierung (private Geräte): Nur die Arbeits-Apps, Konten und Daten werden in einem separaten Bereich des Geräts verwaltet. Cerberus kann keine privaten Daten einsehen, das Gerät nicht löschen, nicht orten und die Seriennummer nicht lesen. Das Gerät wird als privat genutzt festgelegt. Erfordert iOS und iPadOS 15 oder macOS 14 oder höher.
Geräteregistrierung (Unternehmensgeräte, die nicht in Apple Business sind): Das gesamte Gerät wird verwaltet, wie bei einer manuellen Registrierung. Ein so registrierter Mac ist überwacht; ein iPhone oder iPad nicht. Das Gerät wird als unternehmenseigen festgelegt. Erfordert iOS und iPadOS 17.1 oder macOS 14.1 oder höher.

Sie wählen den Modus für iPhone und iPad und separat für Mac: zum Beispiel Benutzerregistrierung für private iPhones und Geräteregistrierung für Macs. Das Eigentum eines Geräts können Sie später auf der Geräteseite ändern.

Die kontogesteuerte Registrierung ist verfügbar, wenn Apple Management (APNs) konfiguriert ist. Wenn Sie die APNs-Einrichtung noch nicht abgeschlossen haben, lesen Sie Apple Management-Einrichtung (APNs).

Apple Business einrichten

Benutzer melden sich mit Verwalteten Apple Accounts an, die in Apple Business erstellt werden. Bevor Sie beginnen:

Verifizieren Sie Ihre Domain (zum Beispiel company.com) in Apple Business unter den Domains Ihrer Organisation.
Erstellen Sie die Verwalteten Apple Accounts Ihrer Benutzer oder verbinden Sie Apple Business mit Google Workspace oder Microsoft Entra ID: Dann ist das Konto jedes Benutzers seine geschäftliche E-Mail-Adresse, und er meldet sich mit deren Passwort an.
Prüfen Sie für die Benutzerregistrierung in den Zugriffsverwaltungseinstellungen, ob sich Verwaltete Apple Accounts auf privaten Geräten anmelden können: Wenn sie sich nur auf überwachten Geräten anmelden können, schlägt die Benutzerregistrierung fehl.
Nur für die unten beschriebene Option Apple Business: Öffnen Sie Geräte → Verwaltungsdienste → Standardgerätezuweisung (Bearbeiten) und wählen Sie den Geräteverwaltungsdienst Cerberus Enterprise für iPhone, iPad und Mac.

Behalten Sie den Geräteverwaltungsdienst Cerberus Enterprise und sein Token in Apple Business, solange Geräte mit Verwalteten Apple Accounts registriert sind: Wenn Sie sie entfernen, funktionieren die Konten auf den Geräten möglicherweise nicht mehr.

Cerberus Enterprise einrichten

Öffnen Sie den Abschnitt Registrierung des Dashboards und wählen Sie die Registerkarte Apple-Kontoanmeldung. Eine Checkliste oben zeigt an, was noch fehlt. Nur Administratoren können die Einstellungen ändern.

Registrierung durch Anmelden mit einem Arbeitskonto zulassen: schaltet die kontogesteuerte Registrierung für die gesamte Organisation ein oder aus.
Domains: die Domains der Konten Ihrer Benutzer (zum Beispiel company.com), bis zu 20. Nur Konten dieser Domains können sich registrieren, und erst nachdem die Domain verifiziert wurde (siehe unten).
iPhone und iPad und Mac: Aus, Benutzerregistrierung oder Geräteregistrierung für jede Gerätefamilie.
Richtlinie jedes Modus: wird auf die Geräte angewendet, sobald sie sich registrieren. Ohne Richtlinie werden die Geräte ohne Richtlinie registriert. Eine geänderte Richtlinie gilt für die nächsten Registrierungen.
Benutzer: Nur vorhandene Benutzer (die E-Mail-Adresse eines Benutzers in Cerberus Enterprise muss mit dem auf dem Gerät eingegebenen Konto übereinstimmen) oder Benutzer für Konten der Domains erstellen, die noch keinen haben.

Das auf dem Gerät eingegebene Konto wird mit dem Feld Verwaltetes Apple Account der Benutzer und dann mit ihrer E-Mail-Adresse abgeglichen. Der Code wird immer an die E-Mail-Adresse des Benutzers gesendet. Ein für einen Benutzer festgelegtes Verwaltetes Apple Account kann sich auch dann registrieren, wenn seine Domain in Cerberus nicht verifiziert ist, zum Beispiel ein Konto der reservierten Domain org.appleid.com von Apple Business. Bei der Service Discovery über Apple Business geben Benutzer immer ihr Verwaltetes Apple Account ein.

Domains verifizieren

Nachdem Sie die Einstellungen gespeichert haben, zeigt der Abschnitt Domain-Verifizierung für jede Domain einen TXT-Eintrag an. Fügen Sie ihn dem DNS der Domain hinzu und klicken Sie dann auf Verifizieren. DNS-Änderungen können einige Zeit dauern, bis sie sichtbar sind. Eine verifizierte Domain bleibt verifiziert: Sie können den Eintrag anschließend entfernen. Benutzer einer nicht verifizierten Domain können sich nicht registrieren.

Service Discovery: Wie Geräte Cerberus Enterprise finden

Wenn sich ein Benutzer anmeldet, fragt das Gerät die Domain des Kontos (zum Beispiel https://company.com), welcher Server sie verwaltet. Richten Sie mindestens eine dieser drei Optionen ein. Der Abschnitt Service Discovery der Registerkarte zeigt die Discovery-URL Ihrer Organisation und den genauen Text zum Kopieren für jede Option.

Option 1: Apple Business (empfohlen)

Klicken Sie auf In Apple Business registrieren: Cerberus Enterprise speichert seine Discovery-URL in Ihrer Apple Business-Organisation, und auf Ihren Domains muss nichts veröffentlicht werden. In Apple Business prüfen zeigt die URL, die Apple Business derzeit hat, und Aus Apple Business entfernen entfernt sie.

Erfordert iOS und iPadOS 18.2 oder macOS 15.2 oder höher. Ältere Geräte benötigen Option 2 oder 3.
Erfordert Apple Business, verbunden in Cerberus Enterprise (Service-Token für Automated Device Enrollment), sowie die oben beschriebene Standardgerätezuweisung.
Das Gerät fragt Apple Business nur, wenn Ihre Domain nicht antwortet: Die Adresse https://company.com/.well-known/com.apple.remotemanagement darf nicht existieren (ein Fehler wie „nicht gefunden“). Wenn Ihre Website darauf mit einer Webseite antwortet, bleiben die Geräte dort stehen. Verwenden Sie Konfiguration prüfen, um zu sehen, was sie antwortet.

Apple Business speichert eine Discovery-URL pro Organisation: Wenn Sie sie registrieren, werden alle Verwalteten Apple Accounts der Organisation an diese Cerberus Enterprise-Organisation geleitet. Registrieren Sie sie nicht aus zwei Cerberus Enterprise-Organisationen, die dieselbe Apple Business-Organisation verwenden.

Option 2: Umleitung von Ihrer Website

Leiten Sie auf dem Webserver jeder Domain /.well-known/com.apple.remotemanagement auf die Discovery-URL Ihrer Organisation um und behalten Sie dabei die Abfragezeichenfolge bei (sie enthält das vom Benutzer eingegebene Konto). Dies funktioniert mit jeder Betriebssystemversion, die die kontogesteuerte Registrierung unterstützt, und der Modus kann für iPhone und Mac unterschiedlich sein. Kopieren Sie den Text für Apache oder nginx aus der Registerkarte; er sieht wie folgt aus, mit dem Schlüssel Ihrer Organisation:

Apache (.htaccess oder virtueller Host):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

Erstellen Sie auf anderen Webservern oder Diensten (IIS, Cloudflare, Hosting-Verwaltungsoberflächen) eine Umleitungsregel (302) vom selben Pfad auf die Discovery-URL mit der Option, die die Abfragezeichenfolge beibehält oder weiterleitet.

Option 3: Statische Datei auf Ihrer Website

Wenn Sie keine Umleitung hinzufügen können, veröffentlichen Sie eine Datei unter https://company.com/.well-known/com.apple.remotemanagement (ohne Dateierweiterung), die mit Content-Type: application/json bereitgestellt wird. Kopieren Sie ihren Inhalt aus der Registerkarte. Eine statische Datei kann den Modus nicht pro Gerät wählen: Sie verwendet denselben Modus für iPhone, iPad und Mac. Für die Benutzerregistrierung sieht sie wie folgt aus:

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

und für die Geräteregistrierung:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

Der Modus der Datei muss außerdem dem in der Registerkarte für die Gerätefamilie festgelegten Modus entsprechen, andernfalls wird die Registrierung abgelehnt.

Konfiguration prüfen

Wählen Sie in Konfiguration prüfen eine Domain und ein Gerät (iPhone oder Mac) und klicken Sie auf Prüfen: Cerberus Enterprise fragt die Domain das, was ein Gerät fragen würde, und zeigt die Antwort, jede Umleitung und ein Ergebnis an. Wenn die Domain auf Cerberus Enterprise verweist, funktionieren Option 2 oder 3; eine Fehlerantwort (wie „nicht gefunden“) ist für Option 1 in Ordnung; eine Webseite oder eine Datei, die woandershin verweist, stoppt die Geräte. Die Prüfung warnt außerdem, wenn eine Umleitung die Abfragezeichenfolge verwirft oder die Datei nicht als application/json bereitgestellt wird.

Registrierungsschlüssel

Die Discovery- und Registrierungs-URLs enthalten einen Schlüssel Ihrer Organisation. Wenn die URLs versehentlich veröffentlicht wurden, klicken Sie auf Schlüssel neu generieren: Die alten URLs funktionieren sofort nicht mehr, aktualisieren Sie daher die Umleitungen und statischen Dateien auf Ihren Websites. Cerberus Enterprise registriert die neue URL selbst in Apple Business, wenn Option 1 verwendet wird.

Wie Benutzer sich registrieren

iPhone und iPad: Öffnen Sie Einstellungen → Allgemein → VPN & Geräteverwaltung → Bei Arbeits- oder Schulkonto anmelden. Mac: Systemeinstellungen → Allgemein → Geräteverwaltung → Anmelden (unter macOS 14: Datenschutz & Sicherheit → Profile → Anmelden).
Geben Sie das Verwaltete Apple Account oder die geschäftliche E-Mail-Adresse des Benutzers in Cerberus ein (zum Beispiel name@company.com). Wenn das Verwaltete Apple Account des Benutzers von der eingegebenen Angabe abweicht, fordert das Gerät anschließend zur Anmeldung mit diesem Konto auf.
Eine Cerberus Enterprise-Seite wird geöffnet: Tippen Sie auf Code senden und geben Sie dann den per E-Mail erhaltenen 6-stelligen Code ein. Der Code läuft nach 10 Minuten ab; nach 5 falschen Codes muss der Benutzer die Seite schließen und sich erneut anmelden.
Melden Sie sich mit dem Passwort des Verwalteten Apple Accounts an (oder über die Anmeldeseite des Unternehmens, wenn Apple Business mit Google Workspace oder Microsoft Entra ID verbunden ist) und erlauben Sie dann die Geräteverwaltung.

Konten, die sich nicht registrieren können (Domain nicht verifiziert, kein passender Benutzer, wenn Benutzer nicht automatisch erstellt werden, mehrere Benutzer mit derselben E-Mail-Adresse), sehen die Meldung „Dieses Konto ist nicht für die Registrierung eingerichtet. Wenden Sie sich an Ihren IT-Administrator.“ Die Ereignisse werden in den Systemprotokollen des Dashboards angezeigt.

Nach der Registrierung

Die Geräteseite zeigt das zur Registrierung verwendete Verwaltete Apple Account und den Registrierungstyp (Benutzerregistrierung oder kontogesteuerte Geräteregistrierung). In der Geräteliste zeigen Geräte mit Benutzerregistrierung „Benutzerregistrierung“ an.
Auf Geräten mit Benutzerregistrierung werden die Befehle und Richtlinieneinstellungen, die Apple nicht zulässt (Löschen, Standort, Verloren-Modus, Betriebssystemupdates, viele Einschränkungen), nicht angeboten oder nicht gesendet. App Store-Apps der Richtlinie verwenden eine Benutzerlizenz anstelle einer Gerätelizenz (siehe Apps auf privaten Geräten unten).
Auf Geräten mit Benutzerregistrierung erscheinen Webclips auf dem Home-Bildschirm, werden aber nicht unter Einstellungen → Allgemein → VPN & Geräteverwaltung aufgeführt.
Das MDM-Zertifikat dieser Geräte wird nicht automatisch erneuert, und Return to Service ist nicht verfügbar: Bitten Sie den Benutzer, das Gerät erneut zu registrieren, bevor das MDM-Zertifikat abläuft (ein Jahr nach der Registrierung, siehe Geräteseite).
Um die Verwaltung zu beenden, meldet sich der Benutzer an derselben Stelle in den Einstellungen vom Arbeitskonto ab, oder Sie heben die Geräteregistrierung in Cerberus Enterprise auf. Bei der Benutzerregistrierung werden nur die Arbeits-Apps, Konten und Daten entfernt; private Daten bleiben erhalten. Ein Gerät, das sich erneut registriert, erscheint als neues Gerät.

Direkt nach der Registrierung können einige Profile der Richtlinie (Zertifikate, Wi-Fi-Netzwerke, Webclips) mit einem unbekannten Fehler als fehlgeschlagen gemeldet werden, und das Gerät kann eine Zeit lang als Nicht konform angezeigt werden. Das Gerät versucht sie von selbst erneut, und sie werden nach einer Weile ohne erforderliche Aktion installiert. Speichern Sie die Richtlinie deshalb nicht erneut und registrieren Sie das Gerät nicht erneut.

Apps auf privaten Geräten

Mit der Benutzerregistrierung registrierte iPhones und iPads haben keine Seriennummer, daher können Apps and Books ihnen keine Gerätelizenz zuweisen. Cerberus Enterprise weist den App Store-Apps ihrer Richtlinie stattdessen eine Benutzerlizenz zu: Die Lizenz geht an das auf dem Gerät angemeldete Verwaltete Apple Account. An der Richtlinie ändert sich nichts: Dieselbe Richtlinie dient Unternehmens- und privaten Geräten, und Cerberus wählt den Lizenztyp für jedes Gerät.

Automatisch: Bei der ersten Registrierung registriert Cerberus das Verwaltete Apple Account bei Apps and Books und fordert dann bei Apple eine Lizenz für jede App Store-App der Richtlinie an. Kostenlose Apps benötigen ebenfalls eine Lizenz; Apple stellt dafür unbegrenzte Lizenzen bereit. Eine kostenpflichtige App verwendet eine Lizenz pro Verwaltetem Apple Account, die von allen privaten Geräten dieses Kontos gemeinsam genutzt wird.
Gleiche Organisation: Die Verwalteten Apple Accounts und das Apps and Books-Token von Cerberus Enterprise müssen zur selben Apple Business-Organisation gehören, und die Apps müssen in der Mediathek des Token-Standorts enthalten sein.
Lizenz zuerst: Eine App wird erst an das Gerät gesendet, nachdem Apple ihre Lizenz bestätigt hat, normalerweise innerhalb weniger Minuten. Bis dahin zeigt das Panel Anwendungen des Geräts sie als Warten auf Benutzerlizenz mit der Begründung an.
Installationsaufforderung: private Geräte sind nie überwacht, daher fragt iOS den Benutzer vor der Installation jeder App, einschließlich der Cerberus Enterprise-App, die Cerberus auch auf diesen Geräten installiert (Installieren oder Abbrechen); eine Anmeldung mit einem Apple Account ist nicht erforderlich. Wenn der Benutzer abbricht, zeigt die App Warten auf die Genehmigung der Installation durch den Benutzer: Verwenden Sie Erneut anfordern auf der Geräteseite, um die Aufforderung erneut anzuzeigen. Apps, die als Erforderlich installiert werden, können vom Benutzer nicht gelöscht werden.
Vor der Registrierung installierte Apps: Apple erlaubt der Organisation nicht, eine App zu übernehmen, die der Benutzer persönlich auf einem mit Benutzerregistrierung registrierten Gerät installiert hat. Bitten Sie den Benutzer, seine eigene Kopie vor der Registrierung zu löschen, oder löschen Sie sie und verwenden Sie dann Erneut anfordern auf der Geräteseite: Die Organisation installiert dann die verwaltete Kopie.
Verwaltung beenden: Wenn die Registrierung des Geräts aufgehoben wird, entfernt iOS die verwalteten Apps und ihre Daten. Eine Lizenz wird freigegeben, wenn kein anderes registriertes Gerät desselben Verwalteten Apple Accounts sie benötigt, zum Beispiel wenn die App die Richtlinie verlässt oder das letzte Gerät abgemeldet wird; Lizenzen, die niemand mehr benötigt, werden durch die tägliche Prüfung innerhalb eines Tages freigegeben.

Wenn Apple keine Lizenz zuweisen kann, zum Beispiel weil für eine kostenpflichtige App keine Lizenz mehr verfügbar ist, zeigt die App Benutzerlizenz fehlgeschlagen mit Apples Meldung an. Fügen Sie in Apple Business Lizenzen hinzu und verwenden Sie dann Erneut anfordern auf der Geräteseite; Cerberus versucht es auch bei der täglichen Prüfung erneut. Die Zeile über der App-Liste zeigt das Verwaltete Apple Account und den Status seines Apps and Books-Benutzers; derselbe Status ist auf der Seite des Benutzers zu sehen.

Benutzerlizenzen werden nur auf iPhones und iPads verwendet: Auf Macs, die mit User Enrollment registriert sind, werden die App-Store-Apps der Richtlinie nicht installiert. Bücher und persönliche Apple Accounts werden nicht unterstützt.

Richtlinienübersicht

Der Bereich Richtlinien des Dashboards (Dashboard → Richtlinien) listet alle Richtlinien in Ihrem Konto auf und ermöglicht Ihnen, sie zu erstellen, zu kopieren, zu bearbeiten und zu löschen.

Richtlinienliste

Richtlinien werden in einer Tabelle angezeigt. Ein Klick auf eine Zeile öffnet den entsprechenden Richtlinieneditor.

Spalten

Name: Name der Richtlinie.
Plattform: die Plattform für die Richtlinie (Android oder Apple). Wird nur angezeigt, wenn sowohl Android Management als auch Apple Management konfiguriert sind.
Geräte: Anzahl der der Richtlinie derzeit zugewiesenen registrierten Geräte. Geräte, deren Registrierung aufgehoben wurde, werden nicht gezählt.
Beschreibung: Beschreibung der Richtlinie. Eine lange Beschreibung wird nach zwei Zeilen abgeschnitten; zeigen Sie darauf, um den vollständigen Text zu lesen.
Zuletzt geändert: wann ein Administrator die Richtlinie zuletzt erstellt, gespeichert oder kopiert hat. Leer für Richtlinien, die seit Einführung dieser Spalte nicht gespeichert wurden.
Id: interne Richtlinienkennung.

Standardmäßig werden die zuletzt geänderten Richtlinien zuerst angezeigt; Richtlinien, die seit Einführung der Spalte Zuletzt geändert nie gespeichert wurden, folgen nach Namen. Klicken Sie auf eine Spaltenüberschrift, um nach dieser Spalte zu sortieren.

Filter und Suche

Wenn sowohl Android Management als auch Apple Management konfiguriert sind, können Sie die Liste nach Alle, Android oder Apple filtern.
Sie können Suche aktivieren und nach Richtlinienname oder -beschreibung suchen.

Aktualisierung und Seitennummerierung

Verwenden Sie die Aktualisierungsaktion, um die Liste neu zu laden.
Die Tabelle ist paginiert (10/25/50 Einträge pro Seite).

Neue Richtlinie erstellen

Am unteren Ende der Seite „Richtlinien“ können Sie eine neue Richtlinie erstellen. Je nachdem, welche Plattform in Ihrem Konto konfiguriert ist, sehen Sie möglicherweise eine oder beide der folgenden Aktionen:

Neue Android-Richtlinie erstellen
Neue Apple-Richtlinie erstellen

Wenn Ihre Lizenz abgelaufen ist, sind das Erstellen von Richtlinien (und andere Schreibaktionen) deaktiviert.

Richtlinien kopieren und löschen

Jede Richtlinienzeile verfügt über ein Aktionsmenü mit Richtlinie kopieren und Richtlinie löschen.

Warnungen beim Löschen von Richtlinien

Beim Löschen einer Richtlinie zeigt das Dashboard möglicherweise zusätzliche Warnungen an, je nachdem, wie die Richtlinie verwendet wird.

Wenn die Richtlinie registrierten Geräten zugewiesen ist, hebt das Löschen die Registrierung der zugehörigen Geräte auf und löscht ihre Apps und Daten.
Wenn die Richtlinie Registrierungs-Tokens zugewiesen ist, können diese Tokens die Registrierung möglicherweise nicht mehr abschließen.
Wenn die Richtlinie als Standard für die Google-Authentifizierungsregistrierung festgelegt ist (global oder für einige Benutzer), kann das Löschen dazu führen, dass Registrierungen fehlschlagen.

Mehrere Richtlinien löschen

Die Richtlinienliste unterstützt die Mehrfachauswahl für das Massenlöschen. Im Mehrfachauswahlmodus können Sie mehrere Richtlinien auswählen und sie mit einer Aktion löschen.

Massenlöschen ist nur aktiviert, wenn alle ausgewählten Richtlinien zur selben Plattform gehören (alle Android oder alle Apple).

Weiter: Richtlinieneinstellungen bearbeiten

Die Richtlinienliste ist der Einstiegspunkt. Um Richtlinieneinstellungen zu konfigurieren, verwenden Sie die entsprechende Editor-Dokumentation: Richtlinien → Android und Richtlinien → Apple.

Richtlinien, auf die Registrierungs-Tokens verweisen, werden während der Geräteregistrierung automatisch angewendet.

Richtlinien - Android

Zusammenfassung

Android-Richtlinien sind die zentralen Entitäten des Systems: Sie definieren die Regeln, die auf verwalteten Geräten angewendet und durchgesetzt werden.

Sie können Ihre Richtlinien im Bereich Richtlinien des Dashboards durchsuchen und neue erstellen. Um eine Android-Richtlinie zu öffnen, klicken Sie auf die Richtlinienzeile in der Tabelle: Das System öffnet die Seite Richtlinieneditor.

Eine Richtlinie kann mit einem Registrierungstoken verknüpft werden, sodass sie während des Bereitstellungsprozesses automatisch auf Geräte angewendet wird. Sie können die einem Gerät zugewiesene Richtlinie auch nach der Bereitstellung ändern.

Jedes Gerät kann jeweils nur einer Richtlinie zugeordnet werden.

Viele Richtlinienoptionen gelten nur für bestimmte Gerätetypen (vollständig verwaltet, dediziert, Arbeitsprofil) und Android-Versionen. Nicht unterstützte Einstellungen werden vom Gerät möglicherweise ignoriert oder als nicht compliant gemeldet.

Aufbau des Richtlinieneditors

Der Richtlinieneditor ist als Reihe aufklappbarer Abschnitte organisiert. Am oberen Rand der Seite können Sie jederzeit Folgendes bearbeiten:

Name (erforderlich)
Id (schreibgeschützt)
Beschreibung (optional)

Die folgenden Abschnitte entsprechen den Bereichen des Richtlinieneditors (zum Beispiel: App-Verwaltung, Sicherheit, Netzwerk, System, Private Nutzung, Profilübergreifende Richtlinien und mehr). Wenn Sie eine gespeicherte Richtlinie öffnen, sind die Abschnitte mit geänderten Einstellungen bereits geöffnet, die übrigen bleiben geschlossen. Verwenden Sie die Kapitelseiten dieses Handbuchs, um jeden Bereich im Detail zu verstehen.

Speichern, Löschen und zugeordnete Geräte

Verwenden Sie Richtlinie speichern, um Ihre Änderungen anzuwenden. Die Schaltfläche ist deaktiviert, wenn keine ausstehenden Änderungen vorhanden sind oder wenn die Lizenz abgelaufen ist.

Wenn Sie eine vorhandene Richtlinie geöffnet haben (sie hat eine Id), zeigt die Seite unten eine Aktion Richtlinie löschen und eine Liste Zugeordnete Geräte an, sodass Sie sehen können, wie viele Geräte die Richtlinie derzeit verwenden.

Richtlinien - Android

App-Verwaltung

In diesem Bereich können Sie Richtlinien zu App-Verfügbarkeit, Installation, Updates und Berechtigungsverwaltung festlegen.

Managed Google Play-Konten werden automatisch erstellt, wenn Geräte bereitgestellt werden.

1. Play Store-Modus

Dieser Modus steuert, welche Apps dem Benutzer im Play Store zur Verfügung stehen, und das Verhalten auf dem Gerät, wenn Apps aus der Richtlinie entfernt werden.

Whitelist (Standard): Nur Apps, die in der Richtlinie enthalten sind, stehen zur Verfügung, und jede App, die nicht in der Richtlinie enthalten ist, wird automatisch vom Gerät deinstalliert. Der Play Store zeigt nur verfügbare Apps an.

Blacklist: Alle Apps sind verfügbar, und jede App, die nicht auf dem Gerät sein sollte, muss in der Anwendungsrichtlinie explizit als blockiert markiert werden. Der Play Store zeigt alle Apps außer blockierten an.

2. Richtlinie für nicht vertrauenswürdige Apps

Die Richtlinie für nicht vertrauenswürdige Apps (Apps aus unbekannten Quellen), die auf dem Gerät erzwungen wird. Diese Option steuert die Android-Systemeinstellung, die festlegt, ob ein Benutzer Apps von außerhalb des Play Store installieren kann (Sideloading).

Nicht zulassen (Standard): Nicht vertrauenswürdige App-Installationen auf dem gesamten Gerät nicht zulassen.

Nur persönliches Profil: Bei Geräten mit Arbeitsprofilen nicht vertrauenswürdige App-Installationen nur im persönlichen Profil des Geräts zulassen.

Zulassen: Nicht vertrauenswürdige App-Installationen auf dem gesamten Gerät zulassen.

3. Google Play Protect

Ob die App-Überprüfung durch Google Play Protect erzwungen wird.

Erzwungen (Standard): Erzwingt die App-Überprüfung.

Benutzerauswahl: Ermöglicht dem Benutzer zu wählen, ob die App-Überprüfung aktiviert wird.

4. Standard-Berechtigungsrichtlinie

Die Richtlinie zum Erteilen von Laufzeitberechtigungsanfragen für Apps.

Abfragen (Standard): Den Benutzer auffordern, eine Berechtigung zu erteilen.

Erteilen: Eine Berechtigung automatisch erteilen.

Verweigern: Eine Berechtigung automatisch verweigern.

5. App-Funktionen

Steuert, ob Apps auf vollständig verwalteten Geräten oder in Arbeitsprofilen App-Funktionen bereitstellen dürfen. Erfordert Android 16 oder höher.

Zugelassen (Standard): Apps auf vollständig verwalteten Geräten oder in Arbeitsprofilen können App-Funktionen bereitstellen.

Nicht zugelassen: Apps auf vollständig verwalteten Geräten oder in Arbeitsprofilen können keine App-Funktionen bereitstellen.

6. Installation von Apps deaktiviert

Ob die Installation von Apps durch den Benutzer deaktiviert ist.

7. Deinstallation von Apps deaktiviert

Ob die Deinstallation von Anwendungen durch den Benutzer deaktiviert ist.

8. Berechtigungsrichtlinien

Explizite Erteilungen oder Verweigerungen von Berechtigungen oder Gruppen für alle Apps. Diese Werte überschreiben die Einstellung Standard-Berechtigungsrichtlinie.

Verwenden Sie Berechtigungsrichtlinie hinzufügen, um Einträge zu erstellen, und entfernen Sie sie mit der Löschaktion.

Jeder Eintrag enthält:

Android-Berechtigung/-gruppe: Die Android-Berechtigung oder -gruppe (erforderlich), zum Beispiel android.permission.READ_CALENDAR oder android.permission_group.CALENDAR.

Richtlinie: Erteilen / Verweigern / Abfragen (verwendet dieselben Richtlinienoptionen wie Standard-Berechtigungsrichtlinie).

9. Anwendungen

Liste der Anwendungen, die in der Richtlinie enthalten sein müssen. Das Verhalten des Listeninhalts hängt vom Wert ab, der für Play Store-Modus festgelegt ist.

Wenn Play Store-Modus auf Whitelist festgelegt ist, stehen nur Apps zur Verfügung, die in der Richtlinie enthalten sind, und jede App, die nicht in der Richtlinie enthalten ist, wird automatisch vom Gerät deinstalliert.

Wenn Play Store-Modus auf Blacklist festgelegt ist, sind alle Apps verfügbar, und jede App, die nicht auf dem Gerät sein sollte, muss in der Anwendungsrichtlinie explizit als blockiert markiert werden.

Um eine neue App hinzuzufügen, klicken Sie auf die Schaltfläche Apps hinzufügen (oder das Symbol Apps hinzufügen), wählen Sie Aus Managed Google Play und wählen Sie dann die App aus dem Play Store aus und klicken Sie auf die Schaltfläche Auswählen in der App-Karte.

Um eine App hinzuzufügen, die nicht bei Google Play veröffentlicht, aber bereits auf dem Gerät vorhanden ist (zum Beispiel eine System- oder Hersteller-App), klicken Sie auf Apps hinzufügen, wählen Sie Nach Paketnamen (vorinstallierte Apps), geben Sie den Paketnamen der App ein (z. B. com.example.app) und klicken Sie auf Hinzufügen.Die App wird mit dem Installationstyp Erzwungen installiert hinzugefügt. Damit die App im benutzerdefinierten Kiosk-Launcher angezeigt wird, muss der Installationstyp auf Vorinstalliert oder Erzwungen installiert gesetzt sein: Bei Verfügbar wird die App nicht angezeigt.

Apps, die auf Managed Google Play nicht verfügbar sind, werden in der Anwendungsliste mit einem Android-Symbol markiert. Sie können nicht über Google Play installiert werden und müssen daher bereits auf dem Gerät vorhanden sein: Geräte, auf denen die App nicht vorhanden ist, können sie nicht installieren.

Alle Apps, die im Play Store in Ihrem Land veröffentlicht sind, stehen standardmäßig zur Auswahl. Um Ihre eigenen privaten oder Web-Apps auszuwählen, müssen Sie sie zuerst im System hochladen. Weitere Informationen finden Sie auf der Seite Private Apps.

Jede App kann mit ihren eigenen Einstellungen konfiguriert werden, die optisch in einer Karte zusammengefasst sind:

9.1. Installationstyp

Der für eine App auszuführende Installationstyp.

Verfügbar: Die App steht zur Installation zur Verfügung.

Vorinstalliert: Die App wird automatisch installiert und kann vom Benutzer entfernt werden.

Erzwungen installiert: Die App wird automatisch installiert und kann vom Benutzer nicht entfernt werden.

Blockiert: Die App ist blockiert und kann nicht installiert werden. Wenn die App unter einer früheren Richtlinie installiert wurde, wird sie deinstalliert.

Für die Einrichtung erforderlich: Die App wird automatisch installiert und kann vom Benutzer nicht entfernt werden; sie verhindert den Abschluss der Einrichtung, bis die Installation abgeschlossen ist.

Kiosk: Die App wird automatisch im Kioskmodus installiert: Sie wird als bevorzugter Home-Intent festgelegt und für den Lock-Task-Modus auf die Whitelist gesetzt. Die Geräteeinrichtung wird erst abgeschlossen, wenn die App installiert ist. Nach der Installation können Benutzer die App nicht entfernen. Sie können diesen Installationstyp nur für eine App pro Richtlinie festlegen. Wenn dies in der Richtlinie vorhanden ist, wird die Statusleiste automatisch deaktiviert. Weitere Informationen finden Sie auf der speziellen Seite Kioskmodus.

9.2. Installationsbeschränkungen

Definiert eine Reihe von Einschränkungen für die App-Installation. Wenn mehrere Beschränkungen ausgewählt sind, müssen alle erfüllt sein, damit die App installiert wird.

Diese Option wird nur angezeigt, wenn der Installationstyp auf Vorinstalliert oder Erzwungen installiert gesetzt ist.

Unbegrenztes Netzwerk: Installieren Sie die App nur, wenn das Gerät mit einem unbegrenzten Netzwerk verbunden ist (z. B. Wi‑Fi).

Aufladen: Installieren Sie die App nur, wenn das Gerät lädt.

Leerlauf: Installieren Sie die App nur, wenn das Gerät im Leerlauf ist.

9.3. Auto-Update-Modus

Steuert den Auto-Update-Modus für die App.

Standard: Die App wird automatisch mit niedriger Priorität aktualisiert, um die Auswirkungen auf den Benutzer zu minimieren. Die App wird aktualisiert, wenn alle folgenden Bedingungen erfüllt sind: (1) Das Gerät wird nicht aktiv verwendet, (2) das Gerät ist mit einem unbegrenzten Netzwerk verbunden, (3) das Gerät lädt. Das Gerät wird innerhalb von 24 Stunden, nachdem der Entwickler ein neues Update veröffentlicht hat, darüber benachrichtigt; danach wird die App beim nächsten Erfüllen der obigen Bedingungen aktualisiert.

Zurückgestellt: Die App wird nach dem Veralten maximal 90 Tage lang nicht automatisch aktualisiert. 90 Tage nachdem die App veraltet ist, wird die neueste verfügbare Version automatisch mit niedriger Priorität installiert (siehe Standard Auto-Update-Modus). Nach der Aktualisierung wird die App erst wieder automatisch aktualisiert, wenn erneut 90 Tage nach dem Veralten vergangen sind. Der Benutzer kann die App jederzeit weiterhin manuell im Play Store aktualisieren.

Hohe Priorität: Die App wird so bald wie möglich aktualisiert. Es werden keine Bedingungen angewendet. Das Gerät wird sofort über ein neues Update benachrichtigt, sobald es verfügbar ist.

9.4. Mindestversionscode

Die Mindestversion der App, die auf dem Gerät ausgeführt wird. Wenn festgelegt, versucht das Gerät, die App auf mindestens diesen Versionscode zu aktualisieren. Wenn die App nicht aktuell ist, enthält das Gerät ein Detail zur Nichtkonformität mit Grund der Nichtkonformität auf APP_NOT_UPDATED. Die App muss bereits bei Google Play mit einem Versionscode größer oder gleich diesem Wert veröffentlicht sein. Höchstens 20 Apps können pro Richtlinie einen Mindestversionscode angeben.

9.5. Delegierte Scopes

Die von Android Device Policy an die App delegierten Scopes. Sie können anderen Apps eine Auswahl spezieller Android-Berechtigungen erteilen:

Zertifikatinstallation: Gewährt Zugriff auf die Installation und Verwaltung von Zertifikaten.

Verwaltete Konfigurationen: Gewährt Zugriff auf die Verwaltung verwalteter Konfigurationen.

Deinstallation blockieren: Gewährt Zugriff auf das Blockieren der Deinstallation.

Berechtigungen: Gewährt Zugriff auf die Berechtigungsrichtlinie und den Status der Berechtigungserteilung.

Paketzugriff: Gewährt Zugriff auf den Paketzugriffsstatus.

System-App: Gewährt Zugriff zum Aktivieren von System-Apps.

9.6. Bevorzugtes Netzwerk

Der bevorzugte Netzwerkdienst, der für diese App verwendet werden soll. Wenn festgelegt, verwendet die App den angegebenen Enterprise-Netzwerk-Slice für ihre Verbindungen, sofern verfügbar. Dieser muss mit einem Netzwerk-Slice übereinstimmen, der im Bereich 5G-Netzwerk-Slicing-Konfiguration des Panels Mobilfunk konfiguriert ist.

9.7. Standard-Berechtigungsrichtlinie

Die Standardrichtlinie für alle von der App angeforderten Berechtigungen. Wenn angegeben, überschreibt sie die richtlinienweite Standard-Berechtigungsrichtlinie, die für alle Apps gilt. Sie überschreibt nicht die Berechtigungsrichtlinien, die für alle Apps gelten.

Abfragen (Standard): Den Benutzer auffordern, eine Berechtigung zu erteilen.

Erteilen: Eine Berechtigung automatisch erteilen.

Verweigern: Eine Berechtigung automatisch verweigern.

9.8. Verbundene Arbeits- und private App

Steuert, ob die App über die Arbeits- und privaten Profile eines Geräts hinweg mit sich selbst kommunizieren kann, vorbehaltlich der Zustimmung des Benutzers (Android 11+).

Nicht zugelassen (Standard): Verhindert, dass die App profilübergreifend kommuniziert.

Zugelassen: Ermöglicht der App, nach Erhalt der Benutzerzustimmung profilübergreifend zu kommunizieren.

9.9. Ausnahme vom Always-On-VPN-Sperrmodus

Gibt an, ob der App Netzwerkzugriff erlaubt ist, wenn das VPN nicht verbunden ist und Sperrmodus aktiviert aktiv ist. Wird nur auf Geräten mit Android 10 oder höher unterstützt.

Erzwungen (Standard): Die App beachtet die Always-On-VPN-Sperrmoduseinstellung.

Ausgenommen: Die App ist von der Always-On-VPN-Sperrmoduseinstellung ausgenommen.

9.10. Arbeitsprofil-Widgets

Gibt an, ob die im Arbeitsprofil installierte App Widgets zum Home-Bildschirm hinzufügen darf.

Zugelassen: Die Anwendung kann Widgets zum Home-Bildschirm hinzufügen.

Nicht zugelassen: Die Anwendung kann keine Widgets zum Home-Bildschirm hinzufügen.

9.11. Benutzersteuerungseinstellungen

Gibt an, ob die Benutzersteuerung für eine bestimmte App zulässig ist. Die Benutzersteuerung umfasst Benutzeraktionen wie das Erzwingen des Beendens und das Löschen von App-Daten (Android 11+). Wenn extensionConfig für eine App aktiviert ist, ist die Benutzersteuerung unabhängig von dieser Einstellung nicht zulässig. Für Kiosk-Apps können Sie Zugelassen verwenden, um die Benutzersteuerung zu erlauben.

Nicht angegeben: Verwendet das Standardverhalten der App, um zu bestimmen, ob die Benutzersteuerung zulässig ist oder nicht.

Zugelassen: Die Benutzersteuerung ist für die App zulässig.

Nicht zugelassen: Die Benutzersteuerung ist für die App nicht zulässig.

9.12. Deaktiviert

Ob die App deaktiviert ist. Wenn sie deaktiviert ist, bleiben die App-Daten weiterhin erhalten.

9.13. Anmeldedatenanbieter zulassen

Ob die App unter Android 14 und höher als Anmeldedatenanbieter fungieren darf.

9.14. Verwaltete Konfiguration

Um die verwalteten Einstellungen der App zu konfigurieren, klicken Sie auf die Schaltfläche Verwaltete Konfiguration aktivieren. Wenn für die App bereits eine verwaltete Konfiguration festgelegt ist, können Sie die Konfiguration mit der Schaltfläche Verwaltete Konfiguration ändern oder sie mit der Schaltfläche Konfiguration entfernen löschen.

Die Option Verwaltete Konfiguration ist nur für Apps verfügbar, die diese Funktion unterstützen.

9.15. Berechtigungsrichtlinien

Explizite Erteilungen oder Verweigerungen von Berechtigungen für die App. Diese Werte überschreiben die Standard-Berechtigungsrichtlinie und die Berechtigungsrichtlinien, die für alle Apps gelten.

Verwenden Sie Berechtigungsrichtlinie hinzufügen, um eine oder mehrere Berechtigungsregeln für die App-Karte hinzuzufügen, und entfernen Sie sie mit der Löschaktion.

9.16. Track-IDs

Liste der IDs der geschlossenen Test-Tracks der App, auf die ein Gerät zugreifen kann. Wenn mehrere Track-IDs ausgewählt sind, erhalten Geräte die neueste Version aller zugänglichen Tracks. Wenn keine Track-ID ausgewählt ist, haben Geräte nur Zugriff auf den Produktions-Track der App.

Die Option Track-IDs ist nur für Apps verfügbar, die mindestens eine Track-ID für Ihre Organisation haben. Weitere Informationen zum Hinzufügen Ihrer Organisation zu einem geschlossenen Test-Track für eine bestimmte App finden Sie hier.

10. Standardanwendungseinstellungen

Legen Sie Standard-Apps für unterstützte Typen fest. Wenn für mindestens einen Typ eine Standard-App festgelegt ist, können Benutzer die Standard-Apps in diesem Profil nicht ändern.

Pro Standardanwendungstyp ist nur eine Standardanwendungseinstellung zulässig. Die Liste der Standardanwendungen darf keine Duplikate enthalten.

10.1. Standardanwendungstyp

Wählen Sie die zu konfigurierende App-Kategorie aus (zum Beispiel Browser, Telefon, SMS, Wallet oder Assistant). Die Verfügbarkeit hängt von der Android-Version und dem Verwaltungsmodus ab.

10.2. Standardanwendungsbereiche

Wählen Sie aus, wo die Standard-App gelten soll (Vollständig verwaltet, Arbeitsprofil oder Persönliches Profil). Es können nur Bereiche ausgewählt werden, die vom gewählten Typ unterstützt werden.

Wenn keiner der ausgewählten Bereiche auf den Verwaltungsmodus des Geräts anwendbar ist, meldet das Gerät ein Detail zur Nichteinhaltung.

10.3. Standardanwendungen

Liste der Apps, die für den ausgewählten Typ als Standard festgelegt werden können. Die erste installierte und geeignete App wird als Standard festgelegt.

Wenn die Bereiche Vollständig verwaltet oder Arbeitsprofil umfassen, muss jede App auch in der Liste Anwendungen mit einem Installationstyp vorhanden sein, der nicht auf Blockiert gesetzt ist.

11. Auswahl des privaten Schlüssels

Ermöglicht die Anzeige einer Benutzeroberfläche auf einem Gerät, damit der Benutzer einen privaten Schlüsselalias auswählen kann, wenn keine passenden Regeln in Regeln für die Auswahl privater Schlüssel vorhanden sind.

Bei Geräten unter Android P kann diese Einstellung Unternehmensschlüssel anfällig machen.

12. Regeln für die Auswahl privater Schlüssel

Steuert den Zugriff von Apps auf private Schlüssel. Die Regel bestimmt, welchen privaten Schlüssel Android Device Policy der angegebenen App gegebenenfalls gewährt. Der Zugriff wird entweder gewährt, wenn die App KeyChain.choosePrivateKeyAlias (oder Überladungen davon) aufruft, um einen privaten Schlüsselalias für eine bestimmte URL anzufordern, oder bei Regeln, die nicht URL-spezifisch sind (d. h., wenn urlPattern nicht festgelegt oder auf die leere Zeichenfolge oder .* gesetzt ist), unter Android 11 und höher direkt, sodass die App KeyChain.getPrivateKey aufrufen kann, ohne zuerst KeyChain.choosePrivateKeyAlias aufrufen zu müssen. Wenn eine App KeyChain.choosePrivateKeyAlias aufruft und mehr als eine choosePrivateKeyRules-Regel übereinstimmt, legt die letzte übereinstimmende Regel fest, welcher Schlüsselalias zurückgegeben wird.

Verwenden Sie Private-Schlüssel-Regel hinzufügen, um Einträge zu erstellen, und entfernen Sie sie mit der Löschaktion.

12.1. Alias des privaten Schlüssels

Der Alias des zu verwendenden privaten Schlüssels.

12.2. URL-Muster

Das URL-Muster, das mit der URL der Anfrage abgeglichen wird. Wenn nicht festgelegt oder leer, stimmt es mit allen URLs überein. Es verwendet die Syntax regulärer Ausdrücke von java.util.regex.Pattern.

12.3. Paketnamen

Die Paketnamen, für die diese Regel gilt. Der Hash des Signaturzertifikats jeder App wird mit dem von Play bereitgestellten Hash abgeglichen. Wenn keine Paketnamen angegeben sind, wird der Alias allen Apps bereitgestellt, die KeyChain.choosePrivateKeyAlias oder Überladungen davon aufrufen (jedoch nicht ohne Aufruf von KeyChain.choosePrivateKeyAlias, auch nicht unter Android 11 und höher). Jede App mit derselben Android-UID wie ein hier angegebenes Paket hat Zugriff, wenn sie KeyChain.choosePrivateKeyAlias aufruft.

Verwenden Sie Paketnamen hinzufügen, um Einträge hinzuzufügen, und entfernen Sie sie mit der Löschaktion.

Um eine App zu löschen, klicken Sie auf das Symbol Papierkorb unten auf der Karte der App.

Richtlinien - Android

Kioskmodus

Mit dem Kioskmodus können Sie die Funktionalität eines Geräts auf eine einzelne App oder mehrere Apps beschränken. Die Wahl zwischen Einzel-App- und Multi-App-Kioskmodus hängt von Ihren Geschäftszielen ab.

Im Einzel-App-Kioskmodus wird ein Gerät für eine einzelne Anwendung konfiguriert, und Endbenutzern ist der Zugriff auf andere Apps auf dem Gerät nicht gestattet. Sie können die App auch nicht beenden, wodurch das Gerät zu einem dedizierten Gerät für diese bestimmte App wird. Um diesen Modus zu aktivieren, geben Sie eine App im Abschnitt App-Verwaltung an, wobei Installationstyp auf Kiosk gesetzt ist.

Im Multi-App-Kioskmodus dürfen Geräte auf mehrere Anwendungen zugreifen. Endbenutzer können über einen benutzerdefinierten Launcher zwischen mehreren Apps wechseln. Um diesen Modus zu aktivieren, aktivieren Sie die Option Benutzerdefinierter Kiosk-Launcher.

Wenn der Kioskmodus aktiviert ist, können Sie außerdem konfigurieren, ob Endbenutzer auf bestimmte Systemfunktionen wie Systemeinstellungen und die Statusleiste zugreifen können.

Benutzerdefinierter Kiosk-Launcher

Ob der benutzerdefinierte Kiosk-Launcher aktiviert ist. Dieser ersetzt den Startbildschirm durch einen Launcher, der das Gerät auf die über die Einstellung App-Verwaltung installierten Apps beschränkt. Die Apps werden auf einer einzigen Seite in alphabetischer Reihenfolge angezeigt.

Aktionen der Power-Taste

Legt das Verhalten eines Geräts im Kioskmodus fest, wenn ein Benutzer die Power-Taste gedrückt hält (lange drückt).

Verfügbar (Standard): Das Power-Menü (z. B. Ausschalten, Neustart) wird angezeigt, wenn ein Benutzer die Power-Taste eines Geräts im Kioskmodus lange drückt.

Blockiert: Das Power-Menü (z. B. Ausschalten, Neustart) wird nicht angezeigt, wenn ein Benutzer die Power-Taste eines Geräts im Kioskmodus lange drückt. Hinweis: Dies kann Benutzer daran hindern, das Gerät auszuschalten.

Warnungen bei Systemfehlern

Legt fest, ob Systemfehlerdialoge für abgestürzte oder nicht reagierende Apps im Kioskmodus blockiert werden. Wenn sie blockiert werden, beendet das System die App zwangsweise, als ob der Benutzer in der Benutzeroberfläche die Option "App schließen" wählt.

Blockiert (Standard): Alle Systemfehlerdialoge wie Absturz und App reagiert nicht (ANR) werden blockiert. Wenn sie blockiert werden, beendet das System die App zwangsweise, als ob der Benutzer die App über die Benutzeroberfläche schließt.

Aktiviert: Alle Systemfehlerdialoge wie Absturz und App reagiert nicht (ANR) werden angezeigt.

Legt fest, welche Navigationsfunktionen (z. B. Start- und Übersicht-Schaltflächen) im Kioskmodus aktiviert sind.

Deaktiviert (Standard): Die Start- und Übersicht-Schaltflächen sind nicht zugänglich.

Nur Start: Nur die Start-Schaltfläche ist aktiviert.

Aktiviert: Die Start- und Übersicht-Schaltflächen sind aktiviert.

Statusleiste

Legt fest, ob Systeminformationen und Benachrichtigungen im Kioskmodus deaktiviert sind.

Deaktiviert (Standard): Systeminformationen und Benachrichtigungen sind im Kioskmodus deaktiviert.

Nur System: In der Statusleiste werden nur Systeminformationen angezeigt.

Aktiviert: Systeminformationen und Benachrichtigungen werden im Kioskmodus in der Statusleiste angezeigt. Hinweis: Damit diese Richtlinie wirksam wird, muss die Start-Schaltfläche des Geräts über kioskCustomization.systemNavigation aktiviert sein.

Geräteeinstellungen

Legt fest, ob die App „Einstellungen“ im Kioskmodus zulässig ist.

Zulässig (Standard): Der Zugriff auf die App „Einstellungen“ ist im Kioskmodus zulässig.

Blockiert: Der Zugriff auf die App „Einstellungen“ ist im Kioskmodus nicht zulässig.

Richtlinien - Android

Sicherheit

In diesem Abschnitt können Sie sicherheitsbezogene Richtlinien konfigurieren.

Aktionen bei Sicherheitsrisiken

Wählen Sie, was geschehen soll, wenn ein Gerät ein SecurityRisk in Statusberichten meldet.

Unterstützte SecurityRisk-Typen:

Unbekanntes Betriebssystem: Die Play Integrity API stellt fest, dass das Gerät ein unbekanntes Betriebssystem ausführt (die basicIntegrity-Prüfung ist erfolgreich, aber ctsProfileMatch schlägt fehl).

Kompromittiertes Betriebssystem: Die Play Integrity API stellt fest, dass das Gerät ein kompromittiertes Betriebssystem ausführt (die basicIntegrity-Prüfung schlägt fehl).

Hardwaregestützte Bewertung fehlgeschlagen: Die Play Integrity API stellt fest, dass das Gerät keine starke Garantie für die Systemintegrität bietet, wenn die Bezeichnung MEETS_STRONG_INTEGRITY nicht im Feld für die Geräteintegrität angezeigt wird.

Verfügbare Aktionen:

Unternehmensdaten löschen (Standard): Registrierung aufheben und Arbeitsdaten löschen (gesamtes Gerät bei vollständig verwalteten Geräten oder nur das Arbeitsprofil bei profilverwalteten Geräten).

Keine Aktion: Das Gerät bleibt registriert, und es wird nichts automatisch ausgeführt.

Wenn Sie Unternehmensdaten löschen auswählen, können Sie auch Löschoptionen konfigurieren:

Werksreset-Schutz beibehalten: Die Daten zum Werksreset-Schutz (FRP) beim Löschen des Geräts beibehalten.

Externen Speicher löschen: Beim Löschen zusätzlich den externen Speicher des Geräts (z. B. SD-Karten) löschen.

eSIMs löschen: Bei unternehmenseigenen Geräten werden beim Löschen des Geräts alle eSIMs entfernt. Bei privaten Geräten werden verwaltete eSIMs (eSIMs, die über den Befehl ADD_ESIM hinzugefügt wurden) auf den Geräten entfernt; private eSIMs werden nicht entfernt.

1. Max. Zeit bis zur Sperre

Maximale Zeit (in Sekunden) der Benutzeraktivität, bis das Gerät gesperrt wird. Ein Wert von 0 bedeutet, dass keine Einschränkung gilt.

2. Beim Laden eingeschaltet bleiben

Die Lademodi, bei denen das Gerät eingeschaltet bleibt. Wenn Sie diese Einstellung verwenden, wird empfohlen, Max. Zeit bis zur Sperre zu löschen, damit sich das Gerät nicht selbst sperrt, während es eingeschaltet bleibt.

AC-Ladegerät: Die Stromquelle ist ein AC-Ladegerät.

USB-Anschluss: Die Stromquelle ist ein USB-Anschluss.

Drahtloses Ladegerät: Die Stromquelle ist drahtlos.

3. Tastensperre deaktiviert

Wenn true, wird die Sperrbildschirm-Funktion für primäre und/oder sekundäre Displays deaktiviert. Diese Richtlinie wird nur im Modus für dedizierte Geräteverwaltung unterstützt.

4. Passwortanforderungen

Richtlinien für Passwortanforderungen.

Verwenden Sie Passwortanforderungen konfigurieren, um einen oder mehrere Blöcke für Passwortanforderungen hinzuzufügen. Verwenden Sie Alle löschen, um alle konfigurierten Passwortanforderungen zu entfernen.

Passwortanforderungen können den Bereich Auto (eine einzelne Anforderung) oder separate Bereiche Gerät/Arbeitsprofil verwenden. Komplexitätsbasierte Anforderungen müssen mit qualitätsbasierten Anforderungen für denselben Bereich gekoppelt werden.

4.1. Bereich

Der Bereich, für den die Passwortanforderung gilt.

Auto: Der Bereich ist nicht angegeben. Die Passwortanforderungen werden bei Arbeitsprofilgeräten auf das Arbeitsprofil und bei vollständig verwalteten oder dedizierten Geräten auf das gesamte Gerät angewendet.

Gerät: Die Passwortanforderungen werden nur auf das Gerät angewendet.

Arbeitsprofil: Die Passwortanforderungen werden nur auf das Arbeitsprofil angewendet.

4.2. Länge des Passwortverlaufs

Die Länge des Passwortverlaufs. Nach dem Festlegen dieses Felds kann der Benutzer kein neues Passwort eingeben, das mit einem der Passwörter im Verlauf übereinstimmt. Ein Wert von 0 bedeutet, dass keine Einschränkung gilt.

4.3. Max. fehlgeschlagene Passwörter bis zum Löschen

Anzahl der falschen Geräteentsperrungspasswörter, die eingegeben werden können, bevor das Gerät gelöscht wird. Ein Wert von 0 bedeutet, dass keine Einschränkung gilt.

4.4. Ablaufzeit für Passwörter (Tage)

Diese Einstellung zwingt den Benutzer, sein Passwort nach der angegebenen Anzahl von Tagen regelmäßig zu aktualisieren.

4.5. Passwortentsperrung erforderlich

Die Zeitspanne, nachdem ein Gerät oder Arbeitsprofil mit einer starken Authentifizierungsform (Passwort, PIN, Muster) entsperrt wurde, in der es mit jeder anderen Authentifizierungsmethode (z. B. Fingerabdruck, Vertrauensagenten, Gesicht) entsperrt werden kann. Nach Ablauf der angegebenen Zeitspanne können nur starke Authentifizierungsformen zum Entsperren des Geräts oder Arbeitsprofils verwendet werden.

Gerätestandard: Die Zeitüberschreitung ist auf den Gerätestandard festgelegt.

Jeden Tag: Die Zeitüberschreitung ist auf 24 Stunden festgelegt.

4.6. Passwortqualität

Die erforderliche Passwortqualität.

Komplexität hoch: Definieren Sie die hohe Passwortkomplexitätsstufe wie folgt: Unter Android 12 und höher: PIN ohne wiederholte (4444) oder geordnete (1234, 4321, 2468) Sequenzen, Länge mindestens 8; alphabetisch, Länge mindestens 6; alphanumerisch, Länge mindestens 6.

Komplexität mittel: Definieren Sie die mittlere Passwortkomplexitätsstufe wie folgt: PIN ohne wiederholte (4444) oder geordnete (1234, 4321, 2468) Sequenzen, Länge mindestens 4; alphabetisch, Länge mindestens 4; alphanumerisch, Länge mindestens 4.

Komplexität niedrig: Definieren Sie die niedrige Passwortkomplexitätsstufe wie folgt: Muster; PIN mit wiederholten (4444) oder geordneten (1234, 4321, 2468) Sequenzen.

Keine: Es gelten keine Passwortanforderungen.

Schwach: Das Gerät muss mindestens mit einer biometrischen Erkennungstechnologie mit geringer Sicherheit gesichert sein. Dies umfasst Technologien, die die Identität einer Person erkennen können und in etwa einer 3-stelligen PIN entsprechen (Falscherkennung weniger als 1 zu 1.000).

Beliebig: Ein Passwort ist erforderlich, aber es gibt keine Einschränkungen hinsichtlich des Inhalts.

Numerisch: Das Passwort muss numerische Zeichen enthalten.

Numerisch komplex: Das Passwort muss numerische Zeichen ohne wiederholte (4444) oder geordnete (1234, 4321, 2468) Sequenzen enthalten.

Alphabetisch: Das Passwort muss alphabetische (oder Symbol-)Zeichen enthalten.

Alphanumerisch: Das Passwort muss sowohl numerische als auch alphabetische (oder Symbol-)Zeichen enthalten.

Komplex: Das Passwort muss die Mindestanforderungen erfüllen, die in passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols usw. angegeben sind. Wenn passwordMinimumSymbols beispielsweise 2 ist, muss das Passwort mindestens zwei Symbole enthalten.

4.7. Mindestlänge

Die zulässige Mindestlänge des Passworts. Ein Wert von 0 bedeutet, dass keine Einschränkung gilt.

4.8. Mindestanzahl Buchstaben

Mindestanzahl der im Passwort erforderlichen Buchstaben.

4.9. Mindestanzahl Kleinbuchstaben

Mindestanzahl der im Passwort erforderlichen Kleinbuchstaben.

4.10. Mindestanzahl Großbuchstaben

Mindestanzahl der im Passwort erforderlichen Großbuchstaben.

4.11. Mindestanzahl Nicht-Buchstaben-Zeichen

Mindestanzahl der im Passwort erforderlichen Nicht-Buchstaben-Zeichen (Ziffern oder Symbole).

4.12. Mindestanzahl Ziffern

Mindestanzahl der im Passwort erforderlichen Ziffern.

4.13. Mindestanzahl Symbole

Mindestanzahl der im Passwort erforderlichen Symbole.

4.14. Einheitliche Sperre

Steuert, ob eine einheitliche Sperre für das Gerät und das Arbeitsprofil auf Geräten mit Android 9 und höher mit Arbeitsprofil zulässig ist. Dies hat keine Auswirkung auf andere Geräte.

Einheitliche Sperre zulassen: Eine gemeinsame Sperre für das Gerät und das Arbeitsprofil ist zulässig.

Separate Arbeitssperre erforderlich: Eine separate Sperre für das Arbeitsprofil ist erforderlich.

5. Werksreset deaktiviert

Ob das Zurücksetzen auf die Werkseinstellungen über die Einstellungen deaktiviert ist. Gilt nur für vollständig verwaltete Geräte.

6. Werksreset-Schutz

E-Mail-Adressen der Geräteadministratoren für den Werksreset-Schutz. Wenn das Gerät einen nicht autorisierten Werksreset erfährt, muss sich einer dieser Administratoren mit der E-Mail-Adresse und dem Passwort des Google-Kontos anmelden, um das Gerät zu entsperren. Wenn keine Administratoren angegeben sind, bietet das Gerät keinen Werksreset-Schutz. Gilt nur für vollständig verwaltete Geräte.

Administrator-E-Mail-Adressen: Verwenden Sie Werksreset-Schutz aktivieren, um mit der Konfiguration von Administratoren zu beginnen. Verwenden Sie dann Administrator-E-Mail hinzufügen, um Adressen hinzuzufügen, und entfernen Sie sie über die Löschaktion.

7. Tastensperrfunktionen

Tastensperrfunktionen (Sperrbildschirm), die deaktiviert werden können.

7.1. Alle deaktivieren

Alle aktuellen und zukünftigen Anpassungen der Tastensperre deaktivieren.

7.2. Kamera deaktivieren

Die Kamera auf sicheren Sperrbildschirmen (z. B. PIN) deaktivieren.

7.3. Benachrichtigungen deaktivieren

Das Anzeigen aller Benachrichtigungen auf sicheren Sperrbildschirmen deaktivieren.

7.4. Unredigierte Benachrichtigungen deaktivieren

Unredigierte Benachrichtigungen auf sicheren Sperrbildschirmen deaktivieren.

7.5. Status des Vertrauensagenten ignorieren

Den Status des Vertrauensagenten auf sicheren Sperrbildschirmen ignorieren.

7.6. Fingerabdruck deaktivieren

Den Fingerabdrucksensor auf sicheren Sperrbildschirmen deaktivieren.

7.7. Texteingabe in Benachrichtigungen deaktivieren

Die Texteingabe in Benachrichtigungen auf sicheren Sperrbildschirmen deaktivieren.

7.8. Gesichtserkennung deaktivieren

Die Gesichtserkennung auf sicheren Sperrbildschirmen deaktivieren.

7.9. Iriserkennung deaktivieren

Die Iriserkennung auf sicheren Sperrbildschirmen deaktivieren.

7.10. Alle biometrischen Authentifizierungen deaktivieren

Alle biometrischen Authentifizierungen auf sicheren Sperrbildschirmen deaktivieren.

7.11. Alle Verknüpfungen deaktivieren

Alle Verknüpfungen auf sicheren Sperrbildschirmen unter Android 14 und höher deaktivieren.

Richtlinien - Android

Multimedia

In diesem Abschnitt können Sie das Verhalten von Kamera/Mikrofon, den USB-Datenzugriff, das Drucken und anzeigebezogene Einschränkungen konfigurieren.

1. Kamerazugriff

Steuert die Nutzung der Kamera und ob der Benutzer auf den Umschalter für den Kamerazugriff zugreifen kann (Android 12+). Im Allgemeinen gilt das Deaktivieren der Kamera auf vollständig verwalteten Geräten geräteweit und auf Arbeitsprofilgeräten nur innerhalb des Arbeitsprofils.

Benutzerauswahl (Standard): Standardverhalten des Geräts. Kameras sind verfügbar und (Android 12+) kann der Benutzer den Kamerazugriff umschalten.

Deaktiviert: Alle Kameras sind deaktiviert (vollständig verwaltet: geräteweit; Arbeitsprofil: nur für Apps im Arbeitsprofil). Der Umschalter für den Kamerazugriff hat im verwalteten Bereich keine Wirkung.

Erzwungen: Kameras sind verfügbar. Auf vollständig verwalteten Geräten mit Android 12+ kann der Benutzer den Kamerazugriff nicht umschalten. Auf anderen Geräten/Versionen verhält sich dies wie Benutzerauswahl.

2. Mikrofonzugriff

Steuert auf vollständig verwalteten Geräten die Nutzung des Mikrofons und ob der Benutzer auf den Umschalter für den Mikrofonzugriff zugreifen kann (Android 12+). Diese Einstellung hat keine Wirkung auf Geräten, die nicht vollständig verwaltet sind.

Benutzerauswahl (Standard): Standardverhalten. Das Mikrofon ist verfügbar und (Android 12+) kann der Benutzer den Mikrofonzugriff umschalten.

Deaktiviert: Das Mikrofon ist deaktiviert (geräteweit). Der Umschalter für den Mikrofonzugriff hat keine Wirkung.

Erzwungen: Das Mikrofon ist verfügbar. Unter Android 12+ kann der Benutzer den Mikrofonzugriff nicht umschalten. Unter Android 11 oder älter verhält sich dies wie Benutzerauswahl.

3. USB-Datenzugriff

Steuert, welche Dateien und/oder Daten über USB übertragen werden können. Wird nur auf unternehmenseigenen Geräten unterstützt.

Dateiübertragung nicht zulassen (Standard): Dateiübertragungen sind nicht zulässig, andere USB-Datenverbindungen (z. B. Maus/Tastatur) sind jedoch zulässig.

Datenübertragung nicht zulassen: Alle Arten von USB-Datenübertragungen sind untersagt (Android 12+ mit USB HAL 1.3+). Wenn dies nicht unterstützt wird, fällt das Gerät auf „Dateiübertragung nicht zulassen“ zurück.

Datenübertragung zulassen: Alle Arten von USB-Datenübertragungen sind zulässig.

4. Drucken

Steuert, ob Drucken zulässig ist (Android 9+).

Zulässig (Standard): Drucken ist zulässig.

Nicht zulässig: Drucken ist nicht zulässig (Android 9+).

5. Bildschirmhelligkeitseinstellungen

Steuert den Bildschirmhelligkeitsmodus und (optional) den Helligkeitswert.

Bildschirmhelligkeitsmodus:

Benutzerauswahl (Standard): Der Benutzer darf die Bildschirmhelligkeit konfigurieren.

Automatisch: Die Helligkeit ist automatisch und der Benutzer kann sie nicht ändern. Sie können dennoch einen Helligkeitswert festlegen, der als Teil der automatischen Anpassung verwendet wird (vollständig verwaltet Android 9+; Arbeitsprofile auf unternehmenseigenen Geräten mit Android 15+).

Fest: Die Helligkeit wird auf den konfigurierten Wert gesetzt und der Benutzer kann sie nicht ändern. Der Helligkeitswert ist erforderlich (vollständig verwaltet Android 9+; Arbeitsprofile auf unternehmenseigenen Geräten mit Android 15+).

Bildschirmhelligkeit:

Wert von 1 bis 255 (1 = niedrigste, 255 = höchste). Der Wert 0 bedeutet, dass kein Helligkeitswert festgelegt ist.

6. Bildschirm-Timeout-Einstellungen

Steuert, ob der Benutzer das Bildschirm-Timeout konfigurieren kann und, wenn es erzwungen wird, den Timeout-Wert.

Das Feld Bildschirm-Timeout-Modus wählt zwischen benutzergesteuertem und erzwungenem Verhalten.

Benutzerauswahl (Standard): Der Benutzer darf das Bildschirm-Timeout konfigurieren.

Erzwungen: Das Bildschirm-Timeout wird auf den konfigurierten Wert gesetzt und der Benutzer kann es nicht ändern (vollständig verwaltet Android 9+; Arbeitsprofile auf unternehmenseigenen Geräten mit Android 15+).

Bildschirm-Timeout:

Timeout-Dauer in Sekunden. Der Wert muss größer als 0 sein. Wenn er größer als Maximale Zeit bis zur Sperre ist, kann das System ihn begrenzen und eine Nichteinhaltung melden.

7. Bildschirmaufnahme deaktiviert

Ob die Bildschirmaufnahme deaktiviert ist.

8. Lautstärkeanpassung deaktiviert

Ob die Anpassung der Hauptlautstärke deaktiviert ist.

9. Einhängen physischer Datenträger deaktiviert

Ob das Einhängen physischer externer Datenträger deaktiviert ist.

Richtlinien - Android

Mobilfunk

In diesem Bereich können Sie mobilfunkbezogene Richtlinien konfigurieren.

1. Flugmodus

Steuert, ob der Benutzer den Flugmodus umschalten kann.

Benutzerauswahl (Standard): Der Benutzer darf den Flugmodus ein- oder ausschalten.

Deaktiviert: Der Flugmodus ist deaktiviert. Der Benutzer darf den Flugmodus nicht einschalten. Unterstützt ab Android 9.

2. Mobilfunk 2G

Steuert, ob der Benutzer die Mobilfunk-2G-Einstellung umschalten kann.

Benutzerauswahl (Standard): Der Benutzer darf Mobilfunk 2G ein- oder ausschalten.

Deaktiviert: Mobilfunk 2G ist deaktiviert. Der Benutzer darf Mobilfunk 2G nicht über die Einstellungen einschalten. Unterstützt ab Android 14.

3. APNs überschreiben

Steuert, ob Override-APNs aktiviert oder deaktiviert sind. Wenn aktiviert, werden nur die konfigurierten Override-APNs verwendet und alle anderen APNs auf dem Gerät ignoriert.

Deaktiviert (Standard): Alle konfigurierten APN-Einstellungen werden auf dem Gerät gespeichert, sind jedoch deaktiviert und haben keine Wirkung. Alle anderen APNs auf dem Gerät bleiben in Verwendung.

Aktiviert: Es werden nur die Override-APNs verwendet, alle anderen APNs werden ignoriert. Diese Einstellung kann nur auf vollständig verwalteten Geräten mit Android 10 und höher konfiguriert werden.

4. APN-Einstellungen

Konfigurieren Sie einen oder mehrere APN-Einträge. Verwenden Sie APN hinzufügen, um einen Eintrag zu erstellen, und APN entfernen, um ihn zu löschen.

Jeder APN hat Pflichtfelder:

APN-Typen: Wählen Sie einen oder mehrere Verkehrstypen für diesen APN aus (Verfügbarkeit hängt vom Verwaltungsmodus und der Android-Version ab).

APN-Name: Die von Ihrem Mobilfunkanbieter bereitgestellte APN-Kennung.

Anzeigename: Benutzerfreundlicher Name, der in der Benutzeroberfläche angezeigt wird.

Optionale APN-Felder:

Authentifizierungstyp, Benutzername, Passwort: Konfigurieren Sie die Anbieterauthentifizierung (falls erforderlich).

Protokoll und Roaming-Protokoll: IP-Protokollkonfiguration.

Netzwerktypen: Schränken Sie die Mobilfunktechnologien ein, die der APN verwenden darf (z. B. LTE/5G NR).

Proxyadresse und Proxyport: HTTP-Proxy für den Datenverkehr (falls zutreffend).

MMS-Proxyadresse, MMS-Proxyport, MMSC (MMS-Center-URI): MMS-bezogene Einstellungen.

Numerische Betreiber-ID (MCC+MNC) und Anbieter-ID: Felder zur Anbieteridentifikation.

Always-On-Einstellung: Ob die durch diesen APN aktivierte PDU-Sitzung immer aktiv sein soll. Unterstützt ab Android 15.

MVNO-Typ: Typ der Kennung des mobilen virtuellen Netzbetreibers.

MTU IPv4 und MTU IPv6: Maximale Übertragungseinheit für IPv4/IPv6-Routen. Unterstützt ab Android 13.

5. Cell-Broadcast-Konfiguration deaktiviert

Ob die Konfiguration von Cell Broadcast deaktiviert ist.

6. Konfiguration mobiler Netzwerke deaktiviert

Ob die Konfiguration mobiler Netzwerke deaktiviert ist.

7. Roaming-Daten deaktiviert

Ob Roaming-Datendienste deaktiviert sind.

8. Ausgehende Anrufe deaktiviert

Ob ausgehende Anrufe deaktiviert sind.

9. SMS deaktiviert

Ob das Senden und Empfangen von SMS-Nachrichten deaktiviert ist.

10. 5G-Network-Slicing-Konfiguration

Konfigurieren Sie die Einstellungen für bevorzugte Netzwerkdienste, um Enterprise-5G-Network-Slicing zu aktivieren. Sie können bis zu 5 Unternehmens-Slices einrichten und Anwendungen bestimmten Netzwerken zuweisen, um das Routing des Datenverkehrs zu optimieren.

10.1. Standardmäßiges bevorzugtes Netzwerk

Standardmäßige ID des bevorzugten Netzwerks für Anwendungen, die nicht in der Anwendungsliste enthalten sind, oder wenn bei einer App Bevorzugtes Netzwerk nicht festgelegt ist. Für die angegebene Netzwerk-ID muss eine Konfiguration vorhanden sein (sofern nicht Kein bevorzugtes Netzwerk festgelegt ist).

Hinweis: Kritische Apps wie com.google.android.apps.work.clouddpc und com.google.android.gms sind von dieser Standardeinstellung ausgeschlossen.

10.2. Netzwerkdienstkonfigurationen

Verwenden Sie Netzwerkkonfiguration hinzufügen, um eine Slice-Konfiguration zu erstellen. Sie können bis zu 5 Konfigurationen hinzufügen. Jede Konfiguration umfasst:

ID des bevorzugten Netzwerks (automatisch zugewiesen): Die Netzwerk-ID wird automatisch zugewiesen und kann nicht geändert werden.

Fallback auf Standardverbindung: Ob der Fallback auf das geräteweite Standardnetzwerk zulässig ist. Wenn dies nicht zulässig ist, können Apps nicht auf das Internet zugreifen, wenn der 5G-Slice nicht verfügbar ist.

Nicht übereinstimmende Netzwerke: Ob Apps, für die diese Konfiguration gilt, andere Netzwerke als den bevorzugten Dienst verwenden dürfen. Wenn Nicht zulässig festgelegt ist, muss auch Fallback auf Standardverbindung auf Nicht zulässig gesetzt sein. Erfordert Android 14 oder höher.

Richtlinien - Android

Netzwerk

In diesem Abschnitt können Sie netzwerkbezogene Richtlinien konfigurieren.

Wi‑Fi-Konfigurationen können vom System über WiFi-Konfigurationen bereitgestellt und verwaltet werden. Je nach Wert, der für Wi‑Fi konfigurieren festgelegt ist, haben Benutzer möglicherweise eingeschränkte oder keine Kontrolle über das Hinzufügen/Ändern von Netzwerken.

Funkstatus des Geräts

1. Wi‑Fi-Status

Steuert den aktuellen Wi‑Fi-Status und ob der Benutzer ihn ändern kann.

Benutzerauswahl (Standard): Der Benutzer darf Wi‑Fi aktivieren/deaktivieren.

Aktiviert: Wi‑Fi ist eingeschaltet und der Benutzer darf es nicht ausschalten (Android 13+).

Deaktiviert: Wi‑Fi ist ausgeschaltet und der Benutzer darf es nicht einschalten (Android 13+).

2. Mindestsicherheitsstufe für Wi‑Fi

Die erforderliche Mindestsicherheitsstufe von Wi‑Fi-Netzwerken, mit denen das Gerät eine Verbindung herstellen kann. Unterstützt unter Android 13 und höher, für vollständig verwaltete Geräte und Arbeitsprofile auf unternehmenseigenen Geräten.

Offenes Netzwerk (Standard): Das Gerät kann eine Verbindung zu allen Arten von Wi‑Fi-Netzwerken herstellen.

Persönliches Netzwerk: Verbietet offene Wi‑Fi-Netzwerke; erfordert mindestens persönliche Sicherheit (z. B. WPA2‑PSK).

Unternehmensnetzwerk: Erfordert Unternehmens-EAP-Netzwerke; verbietet Wi‑Fi-Netzwerke unterhalb dieser Sicherheitsstufe.

192‑Bit-Unternehmensnetzwerk: Erfordert 192‑Bit-Unternehmensnetzwerke; strengste Option.

3. Ultrabreitband-Status (UWB)

Steuert den Status der Ultrabreitband-Einstellung und ob der Benutzer sie ein- oder ausschalten kann.

Benutzerauswahl (Standard): Der Benutzer darf UWB ein- oder ausschalten.

Deaktiviert: UWB ist deaktiviert und der Benutzer darf es nicht über die Einstellungen umschalten (Android 14+).

Gerätekonnektivitätsverwaltung

5. Wi‑Fi konfigurieren

Steuert die Berechtigungen zum Konfigurieren von Wi‑Fi. Je nach ausgewählter Option hat der Benutzer volle, eingeschränkte oder keine Kontrolle beim Konfigurieren von Wi‑Fi-Netzwerken.

Konfigurieren von Wi‑Fi zulassen (Standard): Der Benutzer darf Wi‑Fi konfigurieren.

Hinzufügen von Wi‑Fi-Konfigurationen nicht zulassen: Das Hinzufügen neuer Wi‑Fi-Konfigurationen ist nicht zulässig. Der Benutzer kann zwischen bereits konfigurierten Netzwerken wechseln (Android 13+; vollständig verwaltete und unternehmenseigene Arbeitsprofile).

Konfigurieren von Wi‑Fi nicht zulassen: Verbietet das Konfigurieren von Wi‑Fi-Netzwerken. Auf vollständig verwalteten Geräten werden benutzerkonfigurierte Netzwerke entfernt und nur über WiFi-Konfigurationen konfigurierte Netzwerke beibehalten. Bei unternehmenseigenen Arbeitsprofilen sind vorhandene Netzwerke nicht betroffen, aber Benutzer können keine Wi‑Fi-Netzwerke hinzufügen/entfernen/ändern.

Wenn das Konfigurieren von Wi‑Fi deaktiviert ist und das Gerät beim Start keine Verbindung herstellen kann, kann das System den Netzwerk-Notzugang anzeigen, damit der Benutzer vorübergehend eine Verbindung herstellen und die Richtlinie aktualisieren kann.

6. Wi‑Fi-Direct-Einstellungen

Steuert das Konfigurieren und Verwenden von Wi‑Fi-Direct-Einstellungen. Unterstützt auf unternehmenseigenen Geräten mit Android 13 und höher.

Zulassen (Standard): Der Benutzer darf Wi‑Fi Direct verwenden.

Nicht zulassen: Der Benutzer darf Wi‑Fi Direct nicht verwenden.

7. Tethering-Einstellungen

Steuert die Tethering-Einstellungen. Je nach festgelegtem Wert ist dem Benutzer die Nutzung verschiedener Tethering-Formen teilweise oder vollständig untersagt.

Gesamtes Tethering zulassen (Standard): Ermöglicht die Konfiguration und Nutzung aller Tethering-Formen.

Wi‑Fi-Tethering nicht zulassen: Untersagt dem Benutzer die Nutzung von Wi‑Fi-Tethering (unternehmenseigen, Android 13+).

Gesamtes Tethering nicht zulassen: Untersagt alle Tethering-Formen (vollständig verwaltete und unternehmenseigene Arbeitsprofile).

8. Wi‑Fi-SSID-Richtlinie

Einschränkungen, mit welchen Wi‑Fi-SSIDs das Gerät eine Verbindung herstellen kann (dies wirkt sich nicht darauf aus, welche Netzwerke auf dem Gerät konfiguriert werden können). Unterstützt auf unternehmenseigenen Geräten mit Android 13 und höher.

SSID-Sperrliste (Standard): Das Gerät kann keine Verbindung zu Wi‑Fi-Netzwerken herstellen, deren SSID aufgeführt ist, aber zu anderen Netzwerken.

SSID-Zulassungsliste: Das Gerät kann nur eine Verbindung zu den aufgeführten SSIDs herstellen. Die SSID-Liste darf nicht leer sein.

Verwenden Sie SSID hinzufügen, um Einträge hinzuzufügen. Je nach ausgewähltem Richtlinientyp wird die Liste als zulässige oder abgelehnte SSIDs interpretiert.

In der Benutzeroberfläche des Richtlinieneditors wird die SSID-Liste bei Zulassungslisten als Zulässige Wi‑Fi-SSIDs und bei Sperrlisten als Abgelehnte Wi‑Fi-SSIDs bezeichnet.

9. Wi‑Fi-Roaming-Einstellungen

Konfigurieren Sie den Wi‑Fi-Roaming-Modus pro SSID. Verwenden Sie Wi‑Fi-Roaming-Einstellung hinzufügen, um Einträge zu erstellen.

Jeder Eintrag enthält:

SSID: Die SSID, für die die Roaming-Einstellung gilt (erforderlich).

Wi‑Fi-Roaming-Modus: Standard / Deaktiviert / Aggressiv. Deaktiviert und Aggressiv erfordern Android 15+ und werden nur auf vollständig verwalteten Geräten und Arbeitsprofilen auf unternehmenseigenen Geräten unterstützt.

Netzwerkeinschränkungen

10. Bluetooth deaktiviert

Ob Bluetooth deaktiviert ist. Bevorzugen Sie diese Einstellung gegenüber „Bluetooth-Konfiguration deaktiviert“, da die Option „Bluetooth-Konfiguration deaktiviert“ vom Benutzer umgangen werden kann.

11. Bluetooth-Kontaktfreigabe deaktiviert

Ob die Bluetooth-Kontaktfreigabe deaktiviert ist.

12. Bluetooth-Konfiguration deaktiviert

Ob das Konfigurieren von Bluetooth deaktiviert ist.

13. Netzwerk-Reset deaktiviert

Ob das Zurücksetzen der Netzwerkeinstellungen deaktiviert ist.

14. Ausgehender Beam deaktiviert

Ob die Verwendung von NFC zum Übertragen von Daten aus Apps deaktiviert ist.

VPN

15. Always-On-VPN-App

Geben Sie einen Paketnamen für Always-On-VPN an, um sicherzustellen, dass Daten bestimmter verwalteter Apps immer über ein konfiguriertes VPN geleitet werden.

Hinweis: Diese Funktion erfordert die Bereitstellung eines VPN-Clients, der sowohl Always-On- als auch App-spezifische VPN-Funktionen unterstützt.

16. VPN-Lockdown

Untersagt die Netzwerknutzung, wenn das VPN nicht verbunden ist.

17. VPN-Konfiguration deaktiviert

Ob das Konfigurieren von VPN deaktiviert ist.

Proxy- und Netzwerkdienste

18. Bevorzugter Netzwerkdienst

Steuert, ob der bevorzugte Netzwerkdienst im Arbeitsprofil aktiviert ist. Beispielsweise kann eine Organisation eine Vereinbarung mit einem Mobilfunkanbieter haben, dass Arbeitsdaten über einen für die Unternehmensnutzung reservierten Netzwerkdienst des Anbieters gesendet werden (z. B. ein Unternehmens-Slice in 5G-Netzwerken). Dies hat keine Auswirkung auf vollständig verwaltete Geräte.

Deaktiviert: Der bevorzugte Netzwerkdienst ist im Arbeitsprofil deaktiviert.

Aktiviert: Der bevorzugte Netzwerkdienst ist im Arbeitsprofil aktiviert.

Wenn Sie Enterprise-Network-Slicing verwenden, konfigurieren Sie außerdem 5G-Network-Slicing-Konfiguration im Richtlinien-Panel Mobilfunk und weisen Sie Apps über ihre Einstellung Bevorzugtes Netzwerk einem Slice zu.

19. Empfohlener globaler Proxy

Der netzwerkunabhängige globale HTTP-Proxy. In der Regel sollten Proxys pro Netzwerk in WiFi-Konfigurationen konfiguriert werden. Ein globaler Proxy kann für ungewöhnliche Konfigurationen wie eine allgemeine interne Filterung nützlich sein. Der globale Proxy ist lediglich eine Empfehlung und einige Apps ignorieren ihn möglicherweise.

Deaktiviert

Direkter Proxy

Proxy-Autokonfiguration (PAC)

19.1. Host

Der Host des direkten Proxys.

19.2. Port

Der Port des direkten Proxys.

19.3. PAC-URI

Die URI des PAC-Skripts, mit dem der Proxy konfiguriert wird.

19.4. Ausgeschlossene Hosts

Bei einem direkten Proxy die Hosts, für die der Proxy umgangen wird. Hostnamen können Platzhalter wie *.example.com enthalten.

Verwenden Sie Ausgeschlossenen Host hinzufügen, um Einträge hinzuzufügen (nur für direkten Proxy verfügbar).

Wi‑Fi-Konfigurationen

Definieren Sie Wi‑Fi-Netzwerkkonfigurationen, die das System auf Geräten anwendet. Verwenden Sie Wi‑Fi-Konfiguration hinzufügen, um einen Eintrag zu erstellen, und entfernen Sie ihn über die Löschaktion.

20. Felder der Wi‑Fi-Konfiguration

Jede Konfiguration umfasst:

Konfigurationsname: Erforderlich.

SSID: Erforderlich.

Automatisch verbinden: Ob automatisch eine Verbindung zum Netzwerk hergestellt werden soll, wenn es in Reichweite ist.

Fast Transition: Ob der Client versuchen soll, Fast Transition (IEEE 802.11r-2008) mit dem Netzwerk zu verwenden.

Versteckte SSID: Ob die SSID gesendet wird.

MAC-Randomisierungsmodus: Hardware oder Automatisch (Android 13+).

20.1. Sicherheit

Wi‑Fi-Sicherheitsoptionen:

WEP‑PSK: WEP (Pre-Shared Key).

WPA‑PSK: WPA/WPA2/WPA3-Personal (Pre-Shared Key).

WPA‑EAP: WPA/WPA2/WPA3-Enterprise (Extensible Authentication Protocol).

WPA3-192-Bit-Modus: WPA‑EAP-Netzwerk, das nur den WPA3-192-Bit-Modus zulässt.

20.2. Passphrase (Pre‑Shared Key)

Wird angezeigt, wenn Sicherheit auf WEP‑PSK oder WPA‑PSK gesetzt ist. Die Passphrase ist erforderlich.

20.3. EAP-Methode (Enterprise)

Wird angezeigt, wenn Sicherheit auf WPA‑EAP oder WPA3-192-Bit-Modus gesetzt ist. Wählen Sie eine äußere EAP-Methode:

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. Phase-2-Authentifizierung

Wird für tunnelnde äußere Methoden (EAP‑TTLS und PEAP) angezeigt.

MSCHAPv2

PAP

20.5. EAP-Anmeldeinformationen von Benutzern

Wenn aktiviert, wendet das System EAP-Anmeldeinformationen automatisch pro Benutzer auf Geräten an. Sie können Benutzeranmeldeinformationen im Bereich Benutzer konfigurieren.

20.6. Clientzertifikat

Für EAP‑TLS können Sie ein Clientzertifikat für die Wi‑Fi-Authentifizierung zuweisen. Weitere Informationen finden Sie auf der Seite Zertifikatsverwaltung.

Wenn bereits ein Zertifikat zugewiesen ist, können Sie über Zertifikat öffnen es anzeigen oder über Zertifikat ändern ein anderes auswählen.

Alternativ können Sie einen Alias für das Clientzertifikat-Schlüsselpaar angeben, der auf ein im Android-Schlüsselspeicher gespeichertes Clientzertifikat verweist, das für die Wi‑Fi-Authentifizierung zugelassen ist.

Wenn sowohl Clientzertifikat als auch Alias für das Clientzertifikat-Schlüsselpaar festgelegt sind, wird der Schlüsselpaar-Alias ignoriert.

20.7. Identität

Identität des Benutzers. Bei tunnelnden äußeren Protokollen (PEAP, EAP‑TTLS) wird sie zur Authentifizierung innerhalb des Tunnels verwendet, und die anonyme Identität wird für die EAP-Identität außerhalb des Tunnels verwendet. Bei nicht tunnelnden äußeren Protokollen wird sie für die EAP-Identität verwendet.

20.8. Anonyme Identität

Nur für tunnelnde Protokolle: Gibt die Identität des Benutzers an, die dem äußeren Protokoll präsentiert wird.

20.9. Passwort

Passwort des Benutzers. Wenn nicht angegeben, wird standardmäßig der Benutzer zur Eingabe aufgefordert.

20.10. Server-CA-Zertifikate

Liste der CA-Zertifikate, die zum Überprüfen der Zertifikatskette des Hosts verwendet werden. Mindestens ein CA-Zertifikat muss übereinstimmen. Weitere Informationen finden Sie auf der Seite Zertifikatsverwaltung.

Verwenden Sie Server-CA-Zertifikat hinzufügen, um Einträge hinzuzufügen, und entfernen Sie sie über die Löschaktion.

20.11. Übereinstimmungen von Domänensuffixen

Eine Liste von Einschränkungen für den Serverdomänennamen. Die Einträge werden als Suffix-Übereinstimmungsanforderungen gegen die DNS-Namen des alternativen Antragstellernamens eines Authentifizierungsserverzertifikats verwendet.

Richtlinien - Android

System

In diesem Abschnitt können Sie systembezogene Richtlinien konfigurieren.

1. Mindest-API-Level

Das zulässige Mindest-API-Level für Android.

2. Verschlüsselungsrichtlinie

Ob die Verschlüsselung aktiviert ist.

Standard: Dieser Wert wird ignoriert, d. h. keine Verschlüsselung erforderlich.

Aktiviert ohne Passwort: Verschlüsselung erforderlich, aber kein Passwort zum Starten erforderlich.

Aktiviert mit Passwort: Verschlüsselung erforderlich und Passwort zum Starten erforderlich.

3. Automatisches Datum und Uhrzeit

Ob automatisches Datum, Uhrzeit und Zeitzone auf einem unternehmenseigenen Gerät aktiviert sind.

Benutzerauswahl (Standard): Automatisches Datum, Uhrzeit und Zeitzone bleiben der Wahl des Benutzers überlassen.

Erzwungen: Automatisches Datum, Uhrzeit und Zeitzone auf dem Gerät erzwingen.

4. Entwicklereinstellungen

Steuert den Zugriff auf Entwicklereinstellungen: Entwickleroptionen und abgesicherter Modus.

Deaktiviert (Standard): Deaktiviert alle Entwicklereinstellungen und verhindert, dass der Benutzer darauf zugreifen kann.

Erlaubt: Erlaubt alle Entwicklereinstellungen. Der Benutzer kann auf die Einstellungen zugreifen und sie optional konfigurieren.

5. Common-Criteria-Modus

Steuert den Common-Criteria-Modus – Sicherheitsstandards, die in den Common Criteria for Information Technology Security Evaluation (CC) definiert sind. Das Aktivieren des Common-Criteria-Modus erhöht bestimmte Sicherheitskomponenten auf einem Gerät (zum Beispiel: AES-GCM-Verschlüsselung von Bluetooth-Langzeitschlüsseln, zusätzliche Validierung für einige Netzwerkzertifikate und kryptografische Integritätsprüfungen von Richtlinien). Der Common-Criteria-Modus wird nur auf unternehmenseigenen Geräten mit Android 11 oder höher unterstützt. Warnung: Der Common-Criteria-Modus erzwingt ein strenges Sicherheitsmodell, das normalerweise nur für hochsensible Organisationen erforderlich ist. Die normale Gerätenutzung kann beeinträchtigt werden; aktivieren Sie ihn nur, wenn er erforderlich ist.

Deaktiviert (Standard): Deaktiviert den Common-Criteria-Modus.

Aktiviert: Aktiviert den Common-Criteria-Modus.

6. Memory Tagging Extension (MTE)

Steuert die Memory Tagging Extension (MTE) auf dem Gerät.

Benutzerauswahl (Standard): Der Benutzer kann wählen, ob MTE auf dem Gerät aktiviert oder deaktiviert wird (falls das Gerät dies unterstützt).

Erzwungen: MTE ist aktiviert und der Benutzer darf dies nicht ändern (Android 14+; unterstützt auf vollständig verwalteten Geräten und Arbeitsprofilen auf unternehmenseigenen Geräten).

Deaktiviert: MTE ist deaktiviert und der Benutzer darf dies nicht ändern (Android 14+; nur auf vollständig verwalteten Geräten unterstützt).

7. Inhaltsschutz

Steuert, ob der Inhaltsschutz (der nach irreführenden Apps sucht) aktiviert ist. Dies wird ab Android 15 unterstützt.

Deaktiviert (Standard): Der Inhaltsschutz ist deaktiviert und der Benutzer kann dies nicht ändern.

Erzwungen: Der Inhaltsschutz ist aktiviert und der Benutzer kann dies nicht ändern (Android 15+).

Benutzerauswahl: Der Inhaltsschutz wird nicht durch die Richtlinie gesteuert; der Benutzer kann wählen (Android 15+).

8. Assist-Inhalte

Steuert, ob AssistContent an eine privilegierte App wie eine Assistenten-App gesendet werden darf (zum Beispiel Circle to Search). AssistContent umfasst Screenshots und Informationen zu einer App, etwa den Paketnamen. Dies wird ab Android 15 unterstützt.

Erlaubt (Standard): Assist-Inhalte dürfen an eine privilegierte App gesendet werden (Android 15+).

Nicht erlaubt: Das Senden von Assist-Inhalten an eine privilegierte App wird blockiert (Android 15+).

9. Erstellen von Fenstern deaktiviert

Ob das Erstellen von Fenstern neben App-Fenstern deaktiviert ist. Diese Option verhindert die Anzeige der folgenden Systemoberflächen: Toasts und Snackbars, Telefonaktivitäten (z. B. eingehende Anrufe) und priorisierte Telefonaktivitäten (z. B. laufende Anrufe), Systemwarnungen, Systemfehler und Systemoverlays.

10. Netzwerk-Notausgang

Ob der Netzwerk-Notausgang aktiviert ist. Wenn beim Start keine Netzwerkverbindung hergestellt werden kann, fordert der Notausgang den Benutzer auf, vorübergehend eine Verbindung zu einem Netzwerk herzustellen, um die Geräterichtlinie zu aktualisieren. Nach dem Anwenden der Richtlinie wird das temporäre Netzwerk vergessen und das Gerät setzt den Startvorgang fort. Dies verhindert, dass keine Verbindung zu einem Netzwerk hergestellt werden kann, wenn die letzte Richtlinie kein geeignetes Netzwerk enthält und das Gerät im Lock-Task-Modus in eine App startet oder der Benutzer anderweitig nicht auf die Geräteeinstellungen zugreifen kann.

11. Standardaktivitäten

Eine Liste von Standardaktivitäten zur Verarbeitung von Intents, die einem bestimmten Intent-Filter entsprechen. Beispielsweise können IT-Administratoren mit dieser Funktion auswählen, welche Browser-App Weblinks automatisch öffnet oder welche Launcher-App beim Tippen auf die Home-Taste verwendet wird.

Verwenden Sie Standardaktivität hinzufügen, um Einträge zu erstellen. Verwenden Sie innerhalb eines Eintrags Aktion hinzufügen und Kategorie hinzufügen, um den Intent-Filter zu erstellen.

11.1. Empfängeraktivität

Die Aktivität, die als standardmäßiger Intent-Handler dienen soll. Dies sollte ein Android-Komponentenname sein, z. B. com.android.enterprise.app/.MainActivity. Alternativ kann der Wert der Paketname einer App sein; in diesem Fall wählt Android Device Policy eine geeignete Aktivität aus der App aus, um den Intent zu verarbeiten.

11.2. Aktion

Die Intent-Aktionen, die im Filter abgeglichen werden sollen. Wenn Aktionen im Filter enthalten sind, muss die Aktion eines Intents einer dieser Werte sein, damit er übereinstimmt. Wenn keine Aktionen enthalten sind, wird die Intent-Aktion ignoriert.

11.3. Kategorie

Die Intent-Kategorien, die im Filter abgeglichen werden sollen. Ein Intent enthält die Kategorien, die er benötigt; alle diese Kategorien müssen im Filter enthalten sein, damit eine Übereinstimmung erzielt wird. Mit anderen Worten: Das Hinzufügen einer Kategorie zum Filter hat keine Auswirkungen auf den Abgleich, es sei denn, diese Kategorie ist im Intent angegeben.

12. Zulässige Eingabemethoden

Gibt die zulässigen Eingabemethoden an.

Alle erlaubt: Keine Einschränkung angewendet. Alle Eingabemethoden sind erlaubt.

Nur Systemeigene: Nur die integrierten Eingabemethoden des Systems sind erlaubt.

Nur Systemeigene und bereitgestellte: Nur die bereitgestellten und die integrierten Eingabemethoden des Systems sind erlaubt.

12.1. Erlaubte Eingabemethoden

Paketnamen von Eingabemethoden, die erlaubt sind. Gilt nur, wenn Zulässige Eingabemethoden auf Nur Systemeigene und bereitgestellte festgelegt ist.

Verwenden Sie Eingabemethode hinzufügen, um Einträge hinzuzufügen, und entfernen Sie sie mit der Löschaktion.

13. Zulässige Bedienungshilfen

Gibt die zulässigen Bedienungshilfen an.

Alle erlaubt: Jede Bedienungshilfe kann verwendet werden.

Nur Systemeigene: Nur die integrierten Bedienungshilfen des Systems können verwendet werden.

Nur Systemeigene und bereitgestellte: Nur die bereitgestellten und die integrierten Bedienungshilfen des Systems können verwendet werden.

13.1. Erlaubte Bedienungshilfen

Erlaubte Bedienungshilfen. Gilt nur, wenn Zulässige Bedienungshilfen auf Nur Systemeigene und bereitgestellte festgelegt ist.

Verwenden Sie Bedienungshilfe hinzufügen, um Einträge hinzuzufügen, und entfernen Sie sie mit der Löschaktion.

14. Systemupdate-Richtlinie

Konfiguration für die Verwaltung von Systemupdates.

Standard: Folgt dem Standard-Updateverhalten für das Gerät, bei dem der Benutzer Systemupdates in der Regel akzeptieren muss.

Automatisch: Automatisch installieren, sobald ein Update verfügbar ist.

Zeitfenster: Automatisch innerhalb eines täglichen Wartungsfensters installieren. Dadurch werden auch Play-Apps so konfiguriert, dass sie innerhalb des Zeitfensters aktualisiert werden. Dies wird für Kiosk-Geräte dringend empfohlen, da dies die einzige Möglichkeit ist, Apps, die dauerhaft im Vordergrund angeheftet sind, über Play zu aktualisieren.

Aufschieben: Automatische Installation um bis zu maximal 30 Tage aufschieben.

14.1. Wartungsfenster (nur Zeitfenster)

Wenn Systemupdate-Richtlinie auf Zeitfenster festgelegt ist, können Sie das tägliche Wartungsfenster über die Felder von und bis definieren.

14.2. Sperrzeiträume für Systemupdates

Ein jährlich wiederkehrender Zeitraum, in dem Over-the-Air-(OTA-)Systemupdates verschoben werden, um die auf einem Gerät ausgeführte Betriebssystemversion einzufrieren. Um ein unbegrenztes Einfrieren des Geräts zu verhindern, müssen die einzelnen Sperrzeiträume durch mindestens 60 Tage getrennt sein. Ein Sperrzeitraum darf 90 Tage nicht überschreiten.

Verwenden Sie Sperrzeitraum für Systemupdate hinzufügen, um Einträge zu erstellen.

15. Standard-Anmeldeinformationsanbieter

Steuert, welche Apps unter Android 14 und höher als Anmeldeinformationsanbieter fungieren dürfen.

Nicht erlaubt (Standard): Apps mit nicht angegebener credentialProviderPolicy dürfen nicht als Anmeldeinformationsanbieter fungieren.

Nicht erlaubt außer System: Apps mit nicht angegebener credentialProviderPolicy dürfen nicht als Anmeldeinformationsanbieter fungieren, mit Ausnahme der Standard-Anmeldeinformationsanbieter des OEM.

Richtlinien - Android

Standort und Geofences

Dieses Panel fasst die Android-Richtlinieneinstellungen zusammen, die die Standortmeldung, die Standortdurchsetzung und Geofence-Definitionen für Geräte steuern. Verwenden Sie es, wenn Cerberus Enterprise Gerätestandorte erfassen oder erkennen soll, wenn Geräte in konfigurierte Bereiche eintreten oder sie verlassen.

Standortmeldung

Standort melden

Aktiviert die Geolokalisierungsmeldung für Geräte. Die über diese Einstellung erfassten Standortdaten werden von der Standortkarte im Dashboard, dem Standortverlauf der Geräteübersicht und der Geofence-Verarbeitung verwendet.

Standortverlauf und Geofence-Ereignisse werden 90 Tage lang aufbewahrt, ältere Daten werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auf den Karten bleibt.

Bei Geräten, die nicht vollständig verwaltet werden, können Standortdaten weiterhin davon abhängen, dass die Cerberus Enterprise App über die erforderlichen Standortberechtigungen verfügt und die Standortdienste auf dem Gerät aktiviert sind.

Auf persönlichen Apple-Geräten (User Enrollment) sind Standort und Geofences standardmäßig deaktiviert: Sie sind nur verfügbar, wenn in der Apple-Richtlinie Standort und Geofences auf persönlichen Geräten aktiviert ist, und nur, wenn der Benutzer den Standort für die App Cerberus Enterprise zulässt.

Standortmodus

Steuert die Gerätestandort-Einstellung auf unternehmenseigenen Geräten.

Benutzerauswahl: Standortdienste werden durch die Richtlinie nicht eingeschränkt.
Erzwungen: Standortdienste sind auf dem Gerät aktiviert.
Deaktiviert: Standortdienste sind auf dem Gerät deaktiviert.

Standortfreigabe deaktiviert

Deaktiviert die Standortfreigabe für Arbeits-Apps. Auf Geräten mit Profilinhaber betrifft dies das Arbeitsprofil. Auf vollständig verwalteten Geräten wird der Standort für das gesamte Gerät deaktiviert und der Gerätestandortmodus überschrieben.

Automatisches Verhalten bei aktiven Geofences

Aktive Geofences erfordern eine funktionierende Standortmeldung. Wenn mindestens ein Geofence aktiv ist, hält Cerberus Enterprise die zugehörigen Standorteinstellungen automatisch konsistent.

Standort melden wird zwangsweise aktiviert, solange aktive Geofences vorhanden sind.
Standortmodus wird zwangsweise auf Erzwungen gesetzt.
Standortfreigabe deaktiviert wird zwangsweise deaktiviert.

Wenn Sie versuchen, Standort melden zu deaktivieren, während ein oder mehrere Geofences aktiv sind, zeigt Cerberus Enterprise einen Bestätigungsdialog an. Wenn Sie fortfahren, werden alle aktiven Geofences in der Richtlinie deaktiviert.

Geofence-Liste

Eine Richtlinie kann bis zu 10 Geofences enthalten. Geofence-Namen müssen innerhalb der Richtlinie eindeutig sein.

Verwenden Sie Geofence hinzufügen, um einen neuen Eintrag zu erstellen. Jeder Geofence enthält diese Hauptfelder:

Name: erforderlich und eindeutig.
Breitengrad und Längengrad: der Mittelpunkt des Bereichs.
Radius (m): erforderlich, von 200 bis 10000 Metern.
Beschreibung: optionale Notizen für Administratoren.
Eintritt melden und Austritt melden: Wählen Sie aus, welche Übergangsereignisse generiert werden sollen.
Aktiv: aktiviert oder deaktiviert den Geofence, ohne ihn zu löschen.

Mindestens eines von Eintritt melden oder Austritt melden muss für jeden Geofence aktiviert bleiben.

Der Mindestradius betrug zuvor 100 Meter. Bestehende Geofences mit weniger als 200 Metern funktionieren weiterhin und bleiben beim Speichern der Richtlinie unverändert, auch wenn Sie sie verschieben oder umbenennen. Wenn Sie ihren Radius ändern, muss er mindestens 200 Meter betragen.

Kartenbearbeitungswerkzeuge

Jede Geofence-Karte enthält eine Kartenvorschau des Bereichs. Sie können die Geometrie über die Karte oder über die numerischen Felder bearbeiten.

Klicken Sie auf die Karte, um den Geofence-Mittelpunkt zu verschieben, wenn die Bereichsbearbeitung entsperrt ist.
Verwenden Sie die Schaltfläche Aktueller Standort, um die Karte auf Ihre aktuelle Browserposition zu zentrieren.
Verwenden Sie die Schaltfläche Karte neu zentrieren, um den bevorzugten Ansichtsbereich für diesen Geofence wiederherzustellen.
Verwenden Sie die Sperrschaltfläche, um versehentliche Änderungen an der Geofence-Geometrie zu verhindern.

Wo Geofence-Daten angezeigt werden

Geofence-Übergänge können auf der Seite Geräteübersicht unter Android im Tab Geofence des Standort-Panels überprüft werden. Dieser Tab zeigt Übergänge auf einer eigenen Karte zusammen mit Filterwerkzeugen und der Übergangsliste.

Richtlinien - Android

Benutzerverwaltung

Hinzufügen von Benutzern deaktiviert

Ob das Hinzufügen neuer Benutzer und Profile deaktiviert ist. Bei Geräten, deren managementMode DEVICE_OWNER ist, wird dieses Feld ignoriert und der Benutzer darf niemals Benutzer hinzufügen oder entfernen.

Ändern von Konten deaktiviert

Ob das Hinzufügen oder Entfernen von Konten deaktiviert ist.

Konfiguration von Benutzeranmeldeinformationen deaktiviert

Ob die Konfiguration von Benutzeranmeldeinformationen deaktiviert ist.

Entfernen von Benutzern deaktiviert

Ob das Entfernen anderer Benutzer deaktiviert ist.

Festlegen des Benutzersymbols deaktiviert

Ob das Ändern des Benutzersymbols deaktiviert ist.

Festlegen des Hintergrundbilds deaktiviert

Ob das Ändern des Hintergrundbilds deaktiviert ist.

Authentifizierung bei der Einrichtung des Arbeitskontos

Steuert, wie sich Benutzer bei der Einrichtung des Arbeitskontos authentifizieren. Diese Option ist nur für Android-Unternehmen verfügbar, die von einer verwalteten Google-Domain (Google Workspace) unterstützt werden.

Während der Geräteeinrichtung/Registrierung beeinflusst diese Richtlinie, ob eine Anmeldung mit einem Arbeitskonto erforderlich ist, aber die Einstellung Authenticate Using Google in der Google Admin Console und der Typ des Registrierungstokens können weiterhin eine Authentifizierung erfordern.

Für bereits registrierte Geräte gilt diese Richtlinie nur, wenn das Gerät von einem verwalteten Google Play-Konto verwaltet wird (d. h. registriert ohne Authenticate Using Google Enrollment).

Weitere Informationen und Hilfe zur Fehlerbehebung finden Sie unter Authenticate Using Google enrollment.

Blockierte Kontotypen

Kontotypen, die vom Benutzer nicht verwaltet werden können. Diese Option verhindert, dass Gerätebenutzer nicht genehmigte Konten hinzufügen.

Verwenden Sie Blockierten Kontotyp hinzufügen, um einen oder mehrere Kontotypen hinzuzufügen.

Jeder Eintrag hat ein Feld Kontotyp (erforderlich). Geben Sie eine Zeichenfolge wie com.google ein. Entfernen Sie einen Eintrag mit der Löschaktion.

Richtlinien - Android

Private Nutzung

Wenn Sie ein unternehmenseigenes Gerät für Arbeit und private Nutzung bereitstellen, können Sie Regeln festlegen, um einzuschränken, wie der Benutzer das Gerät außerhalb des Arbeitsprofils privat nutzen kann.

Dieser Abschnitt gilt nur für unternehmenseigene Geräte mit Arbeitsprofil. Er hat keine Auswirkungen auf vollständig verwaltete oder private Geräte.

1. Kamera deaktiviert

Ob die Kamera deaktiviert ist.

2. Bildschirmaufnahme deaktiviert

Ob die Bildschirmaufnahme deaktiviert ist.

3. Max. Tage mit ausgeschalteter Arbeit

Legt fest, wie lange das Arbeitsprofil deaktiviert bleiben kann.

5. Privater Bereich

Legt fest, ob ein privater Bereich auf dem Gerät zulässig ist.

6. Play-Store-Modus

Dieser Modus steuert, welche Apps dem Benutzer im Play Store des persönlichen Profils erlaubt oder blockiert werden.

Blocklist (Standard): Alle Apps sind verfügbar, und jede App, die nicht auf dem Gerät sein sollte, muss im Bereich Anwendungen ausdrücklich als Blockiert markiert werden.

Allowlist: Nur Apps, die im Bereich Anwendungen ausdrücklich mit dem auf Verfügbar gesetzten Installationstyp angegeben sind, dürfen im persönlichen Profil installiert werden.

7. Anwendungen

Liste der Anwendungen, die im persönlichen Profil erlaubt oder blockiert werden müssen. Das Verhalten des Listeninhalts hängt vom Wert ab, der für Play-Store-Modus festgelegt ist.

Um eine neue App aus dem Play Store hinzuzufügen, klicken Sie auf das +-Symbol.

7.1. Installationstyp

Mögliche Installationsverhalten einer Anwendung im persönlichen Profil.

Blockiert: Die App ist blockiert und kann im persönlichen Profil nicht installiert werden.

Verfügbar: Die App kann im persönlichen Profil installiert werden.

8. Blockierte Kontotypen

Kontotypen, die vom Benutzer nicht verwaltet werden können. Diese Option verhindert, dass Gerätebenutzer nicht genehmigte Konten in ihrem persönlichen Profil hinzufügen.

Richtlinien - Android

Profilübergreifende Richtlinien

Gilt nur für Geräte mit privaten und Arbeitsprofilen.

Profilübergreifendes Kopieren/Einfügen

Ob aus einem Profil (privat oder Arbeit) kopierter Text in das andere Profil eingefügt werden kann.

Nicht zulässig (Standard): Verhindert, dass Benutzer in das private Profil Text einfügen, der aus dem Arbeitsprofil kopiert wurde. Aus dem privaten Profil kopierter Text kann in das Arbeitsprofil eingefügt werden.

Zulässig: In einem der beiden Profile kopierter Text kann in das jeweils andere Profil eingefügt werden.

Profilübergreifende Datenfreigabe

Ob Daten aus einem Profil (privat oder Arbeit) für Apps im anderen Profil freigegeben werden können. Steuert insbesondere die einfache Datenfreigabe über Intents. Die Verwaltung anderer profilübergreifender Kommunikationskanäle wie Kontaktsuche, Kopieren/Einfügen,
oder verbundene Arbeits- & private Apps wird separat konfiguriert.

Nicht zulässig: Verhindert, dass Daten sowohl vom privaten Profil an das Arbeitsprofil als auch vom Arbeitsprofil an das private Profil freigegeben werden.

Arbeit an privat nicht zulässig (Standard): Verhindert, dass Benutzer Daten aus dem Arbeitsprofil für Apps im privaten Profil freigeben. Private Daten können für Arbeits-Apps freigegeben werden.

Zulässig: Daten aus einem der beiden Profile können für das jeweils andere Profil freigegeben werden.

Standard für Widgets im Arbeitsprofil

Standardverhalten für Widgets im Arbeitsprofil. Wenn für eine bestimmte App keine Widget-Richtlinie definiert ist, gilt der hier festgelegte Standard.

Profilübergreifende App-Funktionen

Steuert, ob Apps im privaten Profil App-Funktionen von Apps im Arbeitsprofil aufrufen können. Dies erfordert Android 16 oder höher.

Diese Einstellung hängt von der Option App-Funktionen auf Richtlinienebene ab (im Abschnitt App-Verwaltung). Wenn App-Funktionen auf Nicht zulässig gesetzt sind, lehnt die API profilübergreifende App-Funktionen mit der Einstellung Zulässig ab.

Arbeitskontakte im privaten Profil

Ob im Arbeitsprofil gespeicherte Kontakte in Kontaktsuchen und bei eingehenden Anrufen im privaten Profil angezeigt werden können.

Zulässig (Standard): Ermöglicht, dass Arbeitsprofilkontakte im privaten Profil angezeigt werden.

Nicht zulässig: Verhindert, dass private Apps auf Arbeitsprofilkontakte zugreifen und Arbeitskontakte nachschlagen.

Nicht zulässig außer System: Verhindert, dass die meisten privaten Apps auf Arbeitsprofilkontakte zugreifen, mit Ausnahme der Standard-Apps des OEM für Telefon, Nachrichten und Kontakte (Android 14+).

Wenn Arbeitskontakte im privaten Profil konfiguriert ist, können Sie optional eine Liste mit Einträgen für Ausgenommene Paketnamen definieren. Je nach ausgewähltem Modus wirken diese Ausnahmen als Zulassungs- oder Sperrliste für private Apps.

Richtlinien - Android

Statusberichte

In diesem Abschnitt können Sie konfigurieren, welche Daten vom Gerät abgerufen werden sollen. Die Statusdaten können auf der Dashboard-Seite Gerätestatus angezeigt werden.

Anwendungsberichte

Ob App-Berichte aktiviert sind. (Informationen, die über eine installierte App gemeldet werden.)

Diese Option ist vom System erforderlich (für die Integration mit Companion-Apps) und immer aktiviert; sie kann nicht deaktiviert werden.

Entfernte Apps einschließen

Ob entfernte Apps in Anwendungsberichte einbezogen werden.

Geräteeinstellungen

Ob die Berichterstellung für Geräteeinstellungen aktiviert ist. (Informationen zu sicherheitsrelevanten Geräteeinstellungen auf dem Gerät.)

Softwareinformationen

Ob die Berichterstellung für Softwareinformationen aktiviert ist. (Informationen zur Gerätesoftware.)

Speicherinformationen

Ob die Speicherberichterstellung aktiviert ist. (Ein Ereignis zu Speicher- und Speicherplatzmessungen.)

Netzwerkinformationen

Ob die Berichterstellung für Netzwerkinformationen aktiviert ist. (Netzwerkinformationen des Geräts.)

Displayinformationen

Ob die Displayberichterstellung aktiviert ist. Berichtsdaten sind für private Geräte mit Arbeitsprofil nicht verfügbar. (Displayinformationen des Geräts.)

Ereignisse zur Energieverwaltung

Ob die Berichterstellung für Ereignisse zur Energieverwaltung aktiviert ist. Berichtsdaten sind für private Geräte mit Arbeitsprofil nicht verfügbar.

Hardwarestatus

Ob die Berichterstellung für den Hardwarestatus aktiviert ist. Berichtsdaten sind für private Geräte mit Arbeitsprofil nicht verfügbar.

Systemeigenschaften

Ob die Berichterstellung für Systemeigenschaften aktiviert ist.

Common-Criteria-Modus

Ob die Berichterstellung für den Common-Criteria-Modus aktiviert ist.

Richtlinien - Android

Sonstiges

1. Easter-Egg-Spiel deaktiviert

Ob das Easter-Egg-Spiel in den Einstellungen deaktiviert ist.

2. Hinweise zur ersten Verwendung überspringen

Flag zum Überspringen von Hinweisen bei der ersten Verwendung. Der Unternehmensadministrator kann die Systemempfehlung aktivieren, dass Apps ihre Benutzereinführung und andere einführende Hinweise beim ersten Start überspringen.

3. Kurze Supportnachricht

Eine Nachricht, die dem Benutzer im Einstellungsbildschirm angezeigt wird, wo immer Funktionalität durch den Administrator deaktiviert wurde. Wenn die Nachricht länger als 200 Zeichen ist, wird sie möglicherweise abgeschnitten.

4. Lange Supportnachricht

Eine Nachricht, die dem Benutzer im Einstellungsbildschirm für Geräteadministratoren angezeigt wird.

5. Info des Eigentümers auf dem Sperrbildschirm

Die Informationen zum Geräteeigentümer, die auf dem Sperrbildschirm angezeigt werden sollen.

6. Einrichtungsaktionen

Aktionen, die während des Einrichtungsprozesses ausgeführt werden. Während der Registrierung können Sie vom Benutzer verlangen, eine oder mehrere Apps zu öffnen, die für die Geräteeinrichtung erforderlich sind.

Verwenden Sie Einrichtungsaktion hinzufügen, um Einträge zu erstellen, und entfernen Sie sie mit der Löschaktion.

6.1. App starten

Paketname der zu startenden App

6.2. Titel

Stellt eine benutzergerichtete Nachricht bereit, um dem Benutzer zu erklären, warum die App gestartet werden muss.

6.3. Beschreibung

Stellt eine benutzergerichtete Nachricht bereit, um dem Benutzer zu erklären, warum die App gestartet werden muss.

7. Sichtbarkeit des Anzeigenamens des Unternehmens

Steuert, ob der Anzeigename des Unternehmens auf dem Gerät sichtbar ist (z. B. als Sperrbildschirmnachricht auf unternehmenseigenen Geräten).

Sichtbar (Standard): Der Anzeigename des Unternehmens ist auf dem Gerät sichtbar (unterstützt in Arbeitsprofilen unter Android 7+ und auf vollständig verwalteten Geräten unter Android 8+).

Ausgeblendet: Der Anzeigename des Unternehmens ist auf dem Gerät ausgeblendet.

Richtlinien - Android

Compliance-Regeln

Wenn ein Gerät oder Arbeitsprofil die unten aufgeführten Richtlinieneinstellungen nicht erfüllt, blockiert Android Device Policy standardmäßig sofort die Nutzung des Geräts oder Arbeitsprofils:

Passwortanforderungen
Verschlüsselungsrichtlinie
Tastensperre deaktiviert
Zulässige Eingabemethoden
Zulässige Bedienungshilfen

Wenn das Gerät oder Arbeitsprofil nach 10 Tagen weiterhin nicht konform ist, setzt Android Device Policy das Gerät auf die Werkseinstellungen zurück oder löscht das Arbeitsprofil.

In diesem Abschnitt können Sie die standardmäßigen Regeln zur Compliance-Durchsetzung überschreiben oder neue hinzufügen.

Regeln

Liste der Regeln, die das Verhalten definieren, wenn eine bestimmte Richtlinie nicht auf ein Gerät angewendet werden kann.

Verwenden Sie Regel hinzufügen, um eine neue Regel zu erstellen. Jede Regelkarte kann über die Löschaktion entfernt werden.

Name der Einstellung

Die auf oberster Ebene durchzusetzende Richtlinie. Zum Beispiel Anwendungen oder Passwortanforderungen.

Erforderlich. Der Wert muss mit einem unterstützten Richtliniennamen auf oberster Ebene übereinstimmen; andernfalls wird das Feld als ungültig markiert.

Blockieren nach Tagen

Anzahl der Tage, in denen die Richtlinie nicht compliant ist, bevor das Gerät oder Arbeitsprofil blockiert wird. Um den Zugriff sofort zu blockieren, legen Sie 0 fest. Blockieren nach Tagen muss kleiner als Löschen nach Tagen sein. Gilt nur für Geräte im Unternehmenseigentum.

Zulässiger Bereich: 0–300.

Blockierungsbereich

Gibt den Bereich der Blockierungsaktion an. Gilt nur für Geräte im Unternehmenseigentum.

Standard (neue Regel): Arbeitsprofil.

Arbeitsprofil: Die Blockierungsaktion wird nur auf Apps im Arbeitsprofil angewendet. Apps im persönlichen Profil sind nicht betroffen.

Gesamtes Gerät: Die Blockierungsaktion wird auf das gesamte Gerät angewendet, einschließlich der Apps im persönlichen Profil.

Löschen nach Tagen

Anzahl der Tage, in denen die Richtlinie nicht compliant ist, bevor das Gerät oder Arbeitsprofil gelöscht wird.
Löschen nach Tagen muss größer als Blockieren nach Tagen sein. Gilt nur für Geräte im Unternehmenseigentum.

Erforderlich. Standard (neue Regel): 1.

Zulässiger Bereich: 1–300.

Werksreset-Schutz beibehalten

Ob die Daten zum Werksreset-Schutz auf dem Gerät beibehalten werden. Diese Einstellung gilt nicht für Arbeitsprofile.

Standard (neue Regel): aktiviert.

Richtlinien - Apple

Apple-Richtlinien

Apple-Richtlinien definieren Verwaltungseinstellungen, die Cerberus Enterprise über MDM auf Apple-Geräte anwendet. Diese Einstellungen werden im Dashboard im Apple-Richtlinieneditor konfiguriert.

Bevor Sie beginnen

Die Apple-Geräteverwaltung erfordert, dass Apple Management (APNs) konfiguriert ist. Bei Bedarf lesen Sie die Seite Apple Management setup (APNs).

Apple-Richtlinieneditor öffnen

Öffnen Sie im Dashboard Richtlinien und klicken Sie auf Neue Apple-Richtlinie erstellen. Um eine vorhandene Apple-Richtlinie zu bearbeiten, klicken Sie auf ihre Zeile in der Richtlinientabelle.

Layout des Editors

Der Apple-Richtlinieneditor ist als eine Reihe ausklappbarer Bereiche organisiert. Oben auf der Seite können Sie immer Folgendes bearbeiten:

Name (erforderlich)
Id (schreibgeschützt)
Beschreibung (optional)

Richtlinienbereiche

Die folgenden Abschnitte entsprechen den aktuell im Apple-Richtlinieneditor verfügbaren Bereichen. Wenn Sie eine gespeicherte Richtlinie öffnen, sind die Abschnitte mit geänderten Einstellungen bereits geöffnet, die übrigen bleiben geschlossen:

App-Verwaltung: Konfigurieren Sie appbezogene Einschränkungen, verwaltete Apps und die Einstellungen der Cerberus Enterprise App.
Kiosk und Home-Bildschirm: Einzel-App-Modus, erlaubte und blockierte Apps, Layout des Home-Bildschirms, Webclips, Benachrichtigungseinstellungen und Sperrbildschirmmeldung.
Sicherheit: Steuern Sie Funktionen wie automatische Entsperrung und biometrische Entsperrung.
Passcode-Einstellungen: Konfigurieren Sie Passcode-Anforderungen und zugehörige Regeln.
Multimedia: Kamera und zugehörige Funktionen erlauben/verhindern.
Mobilfunk: Steuerung der Mobilfunk-Einstellungen (mobile Dateneinstellungen von Apps, eSIM, Tarifänderungen) und des Mobilfunk-APN.
Netzwerk: Wi-Fi-Netzwerke (auch Enterprise 802.1X), VPNs, Zertifikate, globaler Proxy, verschlüsseltes DNS und Webinhaltsfilter sowie Konnektivitätseinschränkungen wie AirDrop und Bluetooth.
System und Benutzeroberfläche: Systemfunktionen wie Handoff, Gerätename und Bildschirmschoner einschränken.
Softwareupdates: Verlangen Sie eine OS-Version bis zu einer Frist und steuern Sie, wie Updates heruntergeladen und installiert werden.
macOS: Firewall, Gatekeeper, Bildschirmschoner und Sperre, externe und Netzwerkspeicher, Bildschirmfreigabe, Datenschutzberechtigungen und Anmeldeobjekte der Macs.
Apple-Apps und -Dienste: Apple-Apps und -Dienste wie iMessage, Game Center und Find My einschränken.
Siri und Apple Intelligence: Siri, Diktat und die Apple Intelligence-Funktionen einschränken.
iCloud: Erlauben oder verhindern Sie bestimmte iCloud-Dienste (Backup, Schlüsselbund-Synchronisierung, Private Relay usw.).
Standort und Geofences: Bereiche, in denen iPhones und iPads mit der Cerberus Enterprise-App melden, wenn sie sie betreten oder verlassen, für Ereignisregeln.
Konten: Schränken Sie die Kontenänderung ein und konfigurieren Sie Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten.
Compliance-Regeln: Anforderungen (Passcode, minimale OS-Version, Überwachung, FileVault), die Geräte nicht compliant machen, mit optionaler Blockierung.

Viele Optionen im Apple-Richtlinieneditor enthalten einen Tooltip, der Anforderungen und unterstützte OS-Versionen dokumentiert.

Speichern, löschen und zugeordnete Geräte

Verwenden Sie Richtlinie speichern, um Ihre Änderungen anzuwenden. Die Schaltfläche ist deaktiviert, wenn keine ausstehenden Änderungen vorhanden sind oder wenn die Lizenz abgelaufen ist.

Wenn Sie eine vorhandene Richtlinie bearbeiten, zeigt die Seite außerdem die Aktion Richtlinie löschen an. Der Editor kann unten eine Liste Zugeordnete Geräte anzeigen, damit Sie sehen, wie viele Geräte derzeit die Richtlinie verwenden.

Nächste Seiten

Apps & Profile: Konfigurieren Sie installierte Apps und Konfigurationsprofile.
Kiosk und Home-Bildschirm: Einzel-App-Modus, erlaubte Apps, Layout des Home-Bildschirms und Webclips.
Passcode: Konfigurieren Sie Passcode-Anforderungen und zugehörige Sicherheitsoptionen.
Einschränkungen: Definieren Sie erlaubte Funktionen und Einschränkungen auf OS-Ebene.
Netzwerk: Wi-Fi-Netzwerke, VPNs, Zertifikate und Konnektivitätseinschränkungen.
Softwareupdates: erforderliche OS-Updates und Softwareupdate-Einstellungen.
macOS: Firewall, Gatekeeper, Bildschirmsperre, Speicher, Datenschutzberechtigungen und Anmeldeobjekte der Macs.
Standort und Geofences: Bereiche, die iPhones und iPads beim Betreten und Verlassen melden, und was sie zum Funktionieren benötigen.
Konten: Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten.
Compliance-Regeln: Anforderungen für die Geräte und Blockierung nicht complianter Geräte.

Richtlinien - Apple

Apps & Profile

Dieser Abschnitt dokumentiert, wie verwaltete Anwendungen und Kontonutzlasten für Apple-Geräte konfiguriert werden.

App-Verwaltung

Das Panel App-Verwaltung enthält sowohl allgemeine appbezogene Einschränkungen als auch eine Liste verwalteter Apps.

Allgemeine App-Einschränkungen

App-Clips erlauben
App-Installation erlauben
Entfernen von Apps erlauben
Automatische App-Downloads erlauben
Ausblenden von Apps erlauben
Sperren von Apps erlauben
In-App-Käufe erlauben
Änderung des Standardbrowsers erlauben
Vertrauen für Unternehmens-Apps erlauben

Verwaltete Apps

Verwenden Sie Anwendung hinzufügen, um der Richtlinie eine App hinzuzufügen. Jede verwaltete App wird als Karte angezeigt. Sie können die Karte aufklappen, um ihre Einstellungen zu bearbeiten, und die App über die Löschaktion entfernen.

App Store-ID: die App Store-Kennung der verwalteten App.
Bundle-ID: die Bundle-Kennung der App.
Installationsverhalten: steuert, ob die App installiert bleiben muss oder vom Benutzer installiert/entfernt werden kann.
Zuweisung: der Lizenztyp, den Cerberus für jedes Gerät wählt: eine Gerätelizenz auf Unternehmensgeräten, eine Benutzerlizenz des Managed Apple Account auf privaten iPhones und iPads (Benutzerregistrierung). Das Feld kann nicht geändert werden.
VPP-Lizenz: VPP-Lizenztyp, der für die Installation über den App Store verwendet wird.

Die App-Auswahlliste zeigt die verfügbaren und die gesamten Lizenzen jeder App an. Kostenlose Apps zeigen Unbegrenzt: Apple stellt ihnen unbegrenzte Lizenzen bereit. Eine App kann einer Richtlinie nur einmal hinzugefügt werden: Eine App mit derselben App Store-ID oder Bundle-ID wie eine bereits in der Richtlinie enthaltene App wird abgelehnt, ebenso eine Richtlinie, die dieselbe App zweimal auflistet, wenn Sie sie speichern.

Die App-Auswahlliste zeigt die Apps Ihrer Apple Business-Mediathek. Um eine App hinzuzufügen, öffnen Sie in Apple Business Apps & Services → Apps & Books → App Store, suchen Sie nach der App und klicken Sie auf View. Klicken Sie bei einer kostenlosen App auf Add, wählen Sie All current and future (oder die Organisationseinheit Ihres Apps and Books-Tokens) in Organizational Units, klicken Sie auf Add und dann auf Review und bestätigen Sie. Klicken Sie bei einer kostenpflichtigen App auf ihren Preis, wählen Sie Managed Licenses als License Type (Einlösecodes können von Cerberus Enterprise nicht verwendet werden), wählen Sie die Organizational Unit Ihres Apps and Books-Tokens, geben Sie die Anzahl der Licenses ein (bis zu 1.000 pro Bestellung) und klicken Sie dann auf Review und kaufen Sie. Eine Zahlungsmethode muss zuvor unter Settings → Payments & Billing → Apps & Services → Payment Methods eingerichtet werden. Die Apps erscheinen dann in der App-Auswahlliste.

Apps auf privaten Geräten (Benutzerregistrierung)

Private iPhones und iPads, die mit Benutzerregistrierung registriert wurden, haben keine Seriennummer. Daher erhalten sie die App Store-Apps der Richtlinie mit einer Benutzerlizenz des auf dem Gerät angemeldeten Managed Apple Account. Cerberus registriert das Konto bei Apps and Books und weist die Lizenzen selbst zu, auch für kostenlose Apps. Die Managed Apple Accounts und das Apps and Books-Token müssen zur selben Apple Business-Organisation gehören. Eine kostenpflichtige App verwendet eine Lizenz pro Konto, die von allen privaten Geräten dieses Kontos gemeinsam genutzt wird.

Warten auf eine Benutzerlizenz: Die App wird erst an das Gerät gesendet, nachdem Apple die Lizenz bestätigt hat, in der Regel innerhalb weniger Minuten. Das Panel Anwendungen des Geräts zeigt den Grund an.
Benutzerlizenz fehlgeschlagen: Apple konnte die Lizenz nicht zuweisen, zum Beispiel weil für eine kostenpflichtige App keine Lizenz mehr verfügbar ist. Fügen Sie in Apple Business Lizenzen hinzu und verwenden Sie dann Erneut anfordern; Cerberus versucht es außerdem jeden Tag selbst erneut.
Installationsaufforderung: iOS fragt den Benutzer vor der Installation jeder App. Wenn der Benutzer abbricht, zeigt die App Warten auf die Zustimmung des Benutzers zur Installation; Erneut anfordern zeigt die Aufforderung erneut an.
Freigabe: Wenn Sie die App aus der Richtlinie entfernen oder das letzte private Gerät des Kontos abmelden, wird die App entfernt und ihre Lizenz freigegeben, es sei denn, ein anderes registriertes Gerät desselben Kontos benötigt sie noch.

Einzelheiten finden Sie unter Kontobasierte Apple-Registrierung.

Verwaltete Konfiguration

Eine verwaltete Konfiguration gibt einer App ihre Einstellungen (zum Beispiel eine Serveradresse oder einen Kontonamen), so wie der Hersteller der App sie dokumentiert. Öffnen Sie die App in der Richtlinie und klicken Sie auf Verwaltete Konfiguration hinzufügen. Sie wird an iPhones und iPads mit iOS oder iPadOS 18.4 oder höher und an Macs mit macOS 27 oder höher gesendet; an Apple Vision Pro wird sie noch nicht gesendet. Die App muss verwaltete Konfigurationen unterstützen: Eine App, die sie nicht liest, ignoriert sie. Das App-Panel zeigt die Anzahl der Schlüssel neben dem App-Namen an.

Schlüssel: Jede Zeile enthält einen Schlüssel, einen Typ und einen Wert. Die Typen sind Text, Ganzzahl, Dezimalzahl, Boolescher Wert, Datum, Textliste und Ganzzahlliste. Schlüssel unterscheiden zwischen Groß- und Kleinschreibung und müssen eindeutig sein. Schlüssel hinzufügen fügt eine Zeile hinzu; Konfiguration entfernen entfernt alle Schlüssel.
Variablen: Werte vom Typ Text und Textliste können $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten, die durch die Werte des jeweiligen Geräts und seines Benutzers ersetzt werden. Eine Variable ohne Wert (zum Beispiel $EMAIL$ auf einem Gerät ohne Benutzer) bleibt leer, und die Systemprotokolle geben dies an. Wenn sich die Daten eines Benutzers ändern, erhalten die Geräte die neuen Werte; bei Benutzern, die aus Google Directory synchronisiert werden, werden die Werte bei der nächsten Änderung der Richtlinie oder des Geräts aktualisiert.
Konfiguration importieren: Öffnen oder fügen Sie die Datei ein, die der Hersteller der App für MDM veröffentlicht, und klicken Sie dann auf Lesen. Eine AppConfig-Spezifikationsdatei (specfile.xml) listet jeden von der App unterstützten Schlüssel mit Beschreibung, Typ, Standardwert und zulässigen Werten auf: Wählen Sie die zu importierenden Schlüssel aus (diejenigen mit Standardwert sind bereits ausgewählt) und füllen Sie die übrigen nach dem Import aus. Ein Warnhinweis erscheint, wenn die Spezifikationsdatei für eine andere App gilt. Eine Property List (eine vollständige Property List oder nur ihr <dict>) wird unverändert importiert. Wählen Sie anschließend, ob die aktuellen Schlüssel ersetzt oder ergänzt werden sollen. Verschachtelte Wörterbücher, Datenwerte und Listen mit gemischten oder unbekannten Typen werden nicht unterstützt und als übersprungen aufgeführt. Apple veröffentlicht die Konfigurationsschlüssel von Apps nicht; fragen Sie daher beim Hersteller nach der Datei, wenn sie nicht in dessen Dokumentation enthalten ist. Als plist kopieren kopiert die Konfiguration so, wie das Gerät sie erhält, bevor die Variablen ersetzt werden.
Grenzwerte: bis zu 200 Schlüssel pro App; Schlüssel bis zu 255 Zeichen; Textwerte bis zu 4.096 Zeichen; Listen bis zu 200 Einträge mit jeweils bis zu 1.024 Zeichen; Datumsangaben zwischen 1970 und 9999; insgesamt 64 KB pro App.
Nicht für Passwörter: Die Konfiguration wird nur an das Gerät gesendet, für das sie erstellt wurde, und die Protokolle zeigen nur Schlüsselnamen und -typen. Dashboard-Administratoren können die Werte jedoch lesen, und die Adresse, von der das Gerät sie herunterlädt, ändert sich mit den Werten, sodass ein leicht zu erratender Wert (ein boolescher Wert oder eine kleine Zahl) daraus abgeleitet werden könnte. Legen Sie keine Passwörter oder andere Geheimnisse in einer verwalteten Konfiguration ab.
Status: Wenn das Gerät meldet, dass die App seine Konfiguration nicht akzeptiert hat, zeigt das Panel Anwendungen des Geräts neben der App Konfiguration nicht akzeptiert an. Dadurch verliert das Gerät nicht seine Compliance. Eine Konfiguration, die das Gerät nicht herunterladen kann, führt jedoch dazu, dass es die Compliance verliert.

App-Optionen

Jede App der Richtlinie (App Store- und benutzerdefinierte Apps) hat diese Optionen. Gerätestandard überlässt die Wahl dem Gerät. Geräte, die eine Option nicht unterstützen, erhalten sie nicht; die App wird dennoch installiert.

Automatische Updates: App Store-Einstellung, Immer oder Nie. iOS, iPadOS, macOS und visionOS 26 oder höher. Bei benutzerdefinierten Apps verhält sich die App Store-Einstellung wie Nie.
Downloads über Mobilfunk: App Store-Einstellung, Immer oder Nie, für automatische Installationen und Updates. Nur überwachte iPhones und iPads mit iOS oder iPadOS 26 oder höher.
App-Daten sichern: ob die App-Daten in die Gerätesicherungen einbezogen werden. Nicht auf dem Mac.
Benutzer kann die App ausblenden und Benutzer kann die App sperren: iOS und iPadOS 18.1 oder höher, erzwungen auf überwachten Geräten. Wenn das Sperren nicht erlaubt ist, wird auch das Ausblenden verhindert. Die Einschränkungen Ausblenden von Apps erlauben und Sperren von Apps erlauben gelten für alle Apps.
Gerät nach Tap to Pay-Transaktionen sperren, die die PIN des Kunden erfordern: nur iPhone.
Zugeordnete Domains: die Domains, mit denen die App verknüpft ist (zum Beispiel für universelle Links oder die Passwort-Autofüllung), bis zu 50. Geben Sie einfache Hostnamen wie www.example.com ein, ohne applinks:, Platzhalter oder ?mode=. Nicht auf dem Mac.
Domains direkt überprüfen: Das Gerät prüft die Site-Association-Datei der Domains direkt und nicht über die Server von Apple. Aktivieren Sie dies nur für interne Domains, die nicht über das Internet erreichbar sind.
Entfernung: Apps, die als Erforderlich installiert wurden, können vom Benutzer nicht entfernt werden.

Mac App Store-Apps

Die App-Auswahlliste zeigt die Plattformen jeder App (iPhone/iPad, Mac, Apple TV, Vision); eine App, die nur für Mac existiert, zeigt ihr Mac-Symbol. Eine App, die nur für Mac existiert, gilt beim Hinzufügen für Macs. Eine App Store-App ohne Mac-Version wird nicht an Macs gesendet: Die Richtlinie zeigt unter Gilt für „Diese App hat keine Mac-Version: Sie wird nicht an Macs gesendet“. Macs erhalten App Store-Apps anhand ihrer App Store-ID, sodass Apps mit einer anderen Bundle-ID auf dem Mac korrekt installiert werden.

Cerberus Enterprise App

Cerberus installiert seine Cerberus Enterprise-App auf jedem iPhone und iPad mit iOS oder iPadOS 18.4 oder neuer, mit oder ohne Richtlinie. Die App teilt den Gerätestandort und empfängt Benachrichtigungen und Live-Ortungsanforderungen. Sie wird als Erforderlich mit einer Gerätelizenz aus Apps and Books (einer Benutzerlizenz auf privaten Geräten) installiert, sodass der Benutzer sie nicht löschen kann.

Einmalige Einrichtung: Fügen Sie die kostenlose App einmal zu Ihrer Mediathek hinzu. Öffnen Sie in Apple Business Apps & Services → Apps & Books → App Store, suchen Sie nach „Cerberus Enterprise“, klicken Sie auf View und dann auf Add, wählen Sie All current and future in Organizational Units, klicken Sie auf Add und dann auf Review und bestätigen Sie. Wenn die App Manage anzeigt, ist sie bereits in Ihrer Mediathek: Öffnen Sie sie und prüfen Sie, ob ihre Organisationseinheiten All current and future units sind. Bis dahin zeigt das Dashboard ein Banner an und die Geräte zeigen die App als nicht installiert. Siehe Kontoeinstellungen.
Nicht in Richtlinien: Die App kann einer Richtlinie nicht hinzugefügt werden. Sie ist in der App-Auswahlliste deaktiviert und wird als benutzerdefinierte App abgelehnt (gleiche Bundle-ID). Bei einer Richtlinie, die sie bereits auflistet, wird der Eintrag beim Öffnen entfernt: Speichern Sie die Richtlinie, um dies zu bestätigen.
Nicht installiert auf: Geräten mit iOS oder iPadOS älter als 18.4. Shared iPad wird für die Installation unterstützt, aber die App-Funktionen sind dort nicht verifiziert.
Private Geräte: Auf iPhones und iPads, die mit der Benutzerregistrierung registriert sind, wird die App ebenfalls installiert, mit einer Installationsaufforderung und einer Benutzerlizenz des Managed Apple Account. Sie empfängt Nachrichten von Ihrer Organisation und greift nicht auf den Standort zu, es sei denn, die Richtlinie aktiviert Standort und Geofences auf privaten Geräten und der Benutzer lässt es zu.
Installiert beibehalten: Wenn das Apps and Books-Token abläuft oder die App Ihre Mediathek verlässt, bleibt die App auf den Geräten und die Geräteseite meldet, dass Apps and Books Aufmerksamkeit erfordert. Sie wird nur entfernt, wenn die App 24 Stunden später noch immer in Ihrer Mediathek fehlt.

Benutzerdefinierte Apps

Benutzerdefinierte Apps sind Ihre eigenen iPhone- und iPad-Apps (.ipa-Dateien), die ohne den App Store verteilt werden. Exportieren Sie die App in Xcode für die Enterprise-Verteilung (Apple Developer Enterprise Program: Sie installiert sich auf jedem Gerät) oder die Ad Hoc-Verteilung (Sie installiert sich nur auf den Geräten, die in ihrem Bereitstellungsprofil registriert sind). App Store-Builds können nicht hochgeladen werden.

Klicken Sie auf Benutzerdefinierte App hinzufügen, um die benutzerdefinierten Apps Ihrer Organisation zu öffnen. App hochladen fügt eine .ipa-Datei hinzu (bis zu 2 GB). Wählen Sie eine App aus und klicken Sie auf Zur Richtlinie hinzufügen. Die Liste zeigt die Version, die Art der Signierung, die Anzahl der Geräte im Profil von Ad-hoc-Apps und das Ablaufdatum des Bereitstellungsprofils.

Neue Version: Laden Sie eine App mit derselben Bundle-ID hoch. Sie ersetzt die vorherige Version, und die Geräte der Richtlinien, die sie verwenden, aktualisieren die App.
Voraussetzungen: iPhone und iPad mit iOS 17.2 oder höher. Geräte, die die App nicht installieren können, erhalten sie nicht: eine reine iPad-App auf einem iPhone, ein älteres iOS als von der App benötigt, ein Gerät, das nicht im Profil einer Ad-hoc-App enthalten ist, oder ein abgelaufenes Bereitstellungsprofil.
Ablauf: Wenn das Bereitstellungsprofil abläuft, öffnet sich die App nicht mehr. Laden Sie vor dem Ablaufdatum eine mit einem neuen Profil signierte Version hoch.
Reservierte Bundle-ID: Eine benutzerdefinierte App mit der Bundle-ID der Cerberus Enterprise App (com.lsdroid.Cerberus.Enterprise) kann einer Richtlinie nicht hinzugefügt werden, da Cerberus diese App selbst installiert.
Löschen: Entfernen Sie die App zuerst aus ihren Richtlinien; die Geräte entfernen sie dann.

Mac-Pakete

Die benutzerdefinierten Apps akzeptieren auch Mac-Installer-Pakete (.pkg-Dateien). Das Paket muss ein Distributionspaket sein, das mit productbuild erstellt wurde (ein Komponentenpaket, das nur mit pkgbuild erstellt wurde, wird abgelehnt), und mit einem Developer ID Installer-Zertifikat signiert sein. Es wird empfohlen, es zu notarisieren und das Ticket anzuheften (notarytool und stapler). Nicht signierte Pakete, nach der Signierung geänderte Pakete und mit anderen Zertifikaten signierte Pakete werden abgelehnt.

Laden Sie die .pkg-Datei mit App hochladen hoch und fügen Sie sie der Richtlinie hinzu: Sie erscheint unter Mac-Pakete. iPhones und iPads ignorieren sie.

Macs mit macOS 26 oder neuer (überwacht, was auch manuell registrierte Macs einschließt, aber nicht User Enrollment) erhalten das Paket als Deklaration: Der Mac lädt es herunter, installiert es, wiederholt den Vorgang bei Bedarf und aktualisiert es selbstständig und meldet seinen Status. Ältere Macs und als verwaltete Apps installierte Pakete erhalten es mit einem MDM-Befehl, in jeder macOS-Version. Ein Mac, der auf macOS 26 aktualisiert wird, wechselt selbstständig zur Deklaration; er installiert jedes Paket möglicherweise noch einmal. Dasselbe kann passieren, wenn ein Mac zu einer anderen Richtlinie wechselt, die dasselbe Paket enthält.

Neue Version: Laden Sie ein Paket mit derselben Paketkennung hoch. Es ersetzt die vorherige Version, und die Macs der Richtlinien, die es verwenden, installieren die neue Version.
Übersprungene Macs: Macs mit einem älteren macOS als vom Paket erlaubt und Intel-Macs bei Paketen, die nur für Apple silicon erstellt wurden. Die Geräteseite zeigt das Paket als Übersprungen mit der Begründung an; die zuvor installierte Version bleibt auf dem Mac.
Installieren: Erforderlich (Standard) installiert das Paket auf dem Mac; Optional stellt das Paket auf dem Mac bereit, ohne es zu installieren. macOS 26 zeigt optionale Pakete dem Benutzer nicht in den Systemeinstellungen oder im App Store an (getestet unter macOS 26.3), daher muss eine App oder ein Skript auf dem Mac sie installieren; wählen Sie Optional nur, wenn Sie eine solche haben. Dies gilt für Macs mit macOS 26 oder neuer; ältere Macs installieren das Paket immer. Die Auswahl ist für als verwaltete Apps installierte Pakete nicht verfügbar.
Paketdateien entfernen, wenn es die Richtlinie verlässt (macOS 27 oder neuer): Wenn das Paket aus der Richtlinie entfernt wird, löschen Macs mit macOS 27 oder neuer die von ihm installierten Dateien. Die Option ist standardmäßig deaktiviert. Auf älteren Macs bleiben die Dateien erhalten. Für als verwaltete Apps installierte Pakete nicht verfügbar.
Als verwaltete App installieren: Aktivieren Sie dies für ein Paket der Richtlinie, um seine App als verwaltete App zu installieren (macOS 11 oder neuer, nicht mit User Enrollment). macOS meldet dann, wenn die Installation fehlschlägt, und MDM kann die App entfernen. Die App muss direkt im Ordner „Programme“ installiert, mit einem Developer ID Application-Zertifikat signiert und notarisiert sein; unter macOS 11 bis 13 darf das Paket nur diese App enthalten (keine anderen Dateien oder Skripte). Die benutzerdefinierten Apps zeigen, welche Pakete geeignet sind. Wenn die Option auf einem Mac nicht angewendet werden kann, wird das Paket dort wie üblich installiert und die Geräteseite nennt den Grund.
Entfernungsoptionen einer verwalteten App: Die App entfernen, wenn das Paket aus der Richtlinie entfernt wird (standardmäßig aktiviert) und Die App entfernen, wenn der Mac die Verwaltung verlässt. Das Entfernen einer App löscht auch ihre Daten. Wenn der Benutzer dieselbe App bereits installiert hatte, wird diese Kopie verwaltet und ebenfalls entfernt.
Entfernung: Der MDM-Befehl kann ein Paket nicht deinstallieren. Bei einem als verwaltete App installierten Paket wird durch Entfernen aus der Richtlinie die App entfernt (wenn die Option aktiviert ist); ihre anderen Dateien und der Paketbeleg bleiben erhalten. Pakete mit aktivierter Option Paketdateien entfernen werden von Macs mit macOS 27 oder neuer entfernt. Bei anderen Paketen: Das Entfernen aus der Richtlinie stoppt nur neue Installationen, die Dateien bleiben auf den Macs. Ein übersprungener Mac (zum Beispiel nach einer neuen Version, die ein neueres macOS erfordert) behält die App, solange das Paket in der Richtlinie ist; wird das Paket dann aus der Richtlinie entfernt, wird auch die App entfernt. Entfernen Sie verbleibende Dateien auf dem Mac (zum Beispiel mit dem eigenen Deinstallationsprogramm des Pakets), und führen Sie sudo pkgutil --forget <identifier> aus, um den Paketbeleg zu vergessen.
Status auf dem Gerät: Das Bedienfeld „Anwendungen“ des Macs zeigt jedes Paket der Richtlinie als In der Warteschlange, Akzeptiert (der Mac hat den Befehl akzeptiert), Heruntergeladen, Installiert (nur für Pakete, die Apps enthalten, wenn die Apps auf dem Mac gefunden werden) oder Fehlgeschlagen (mit dem Fehler) an. macOS meldet die Installation eines mit dem Befehl gesendeten Pakets nicht, daher ist Heruntergeladen der letzte Status für Pakete ohne Apps. Ein als verwaltete App installiertes Paket wird ebenfalls Fehlgeschlagen, wenn macOS meldet, dass die App nicht installiert werden konnte oder vom Mac entfernt wurde. Erneut installieren sendet das Paket erneut an den Mac.
Status mit der Deklaration: Als Deklaration bereitgestellte Pakete zeigen den Deklaration-Chip und den Status, den der Mac meldet: In der Warteschlange, Verfügbar (ein optionales Paket, das der Benutzer nicht installiert hat), Warten auf den Benutzer, Wird heruntergeladen, Wird installiert, Installiert oder Fehlgeschlagen (mit der Begründung, zum Beispiel ein fehlgeschlagener Download oder eine fehlgeschlagene Installation oder eine vom Mac abgelehnte Deklaration). Der Chip Dateien mit der Richtlinie entfernt kennzeichnet Pakete, deren Dateien ein Mac mit macOS 27 entfernt, wenn sie die Richtlinie verlassen. Erneut installieren wird nur nach einem Fehler angezeigt und fordert den Mac auf, es erneut zu versuchen; es wird nicht angeboten, wenn der Mac die Deklaration abgelehnt hat.

Konten

Das Fenster Konten ermöglicht Ihnen die Konfiguration von Konten, die auf verwaltete Geräte angewendet werden. Es enthält außerdem einen Schalter für die Einschränkung der Kontomodifikation.

Einschränkung

Kontomodifikation erlauben: Wenn deaktiviert, können Benutzer keine Konten wie Apple Accounts und Internetkonten ändern.

Konten hinzufügen

Verwenden Sie Google-Konto hinzufügen oder Mail-Konto hinzufügen, um Konto-Payloads zur Richtlinie hinzuzufügen. Jedes Konto erscheint als Karte mit seinen Konfigurationsfeldern.

Kontozugangsdaten von Benutzern

Sowohl Google- als auch Mail-Konto-Karten bieten einen Schalter Kontozugangsdaten von Benutzern. Wenn aktiviert, wendet das System die Kontozugangsdaten pro Benutzer an. Wenn deaktiviert, geben Sie die Kontoidentität in der Richtlinie ein.

Felder für Google-Konten

Sichtbarer Name: der dem Benutzer für das Konto angezeigte Name.
Google-E-Mail-Adresse: die E-Mail-Adresse des Benutzers.
Vollständiger Name: der vollständige Name des Benutzers.

Felder für Mail-Konten

Mail-Konten umfassen Identitätsfelder sowie die Konfiguration des Posteingangs- und Postausgangsservers. Hostnamen sind erforderlich.

Sichtbarer Name: der dem Benutzer für das Mail-Konto angezeigte Name.
E-Mail-Adresse: die E-Mail-Adresse des Benutzers.
Vollständiger Name: der vollständige Name des Benutzers.

Posteingangsserver

Servertyp: Mailprotokoll (zum Beispiel IMAP oder POP).
Authentifizierungsmethode: Authentifizierungsmethode für den Server.
IMAP-Pfadpräfix: wird nur angezeigt, wenn der Servertyp IMAP ist.
Hostname: erforderlich.
Port: Serverport (1–65535).

Postausgangsserver

Authentifizierungsmethode
Hostname: erforderlich.
Port: Serverport (1–65535).

S/MIME-Optionen

Für Mail-Konten können Sie auch das S/MIME-Verschlüsselungs- und Signierungsverhalten konfigurieren.

Verschlüsselung

S/MIME-Verschlüsselung
Identität durch Benutzer überschreibbar
Schalter pro Nachricht aktiviert
Durch Benutzer überschreibbar

Signierung

S/MIME-Signierung
Identität durch Benutzer überschreibbar
Durch Benutzer überschreibbar

Konto- und Einschränkungsoptionen enthalten Tooltips im Dashboard, die Voraussetzungen und unterstützte Betriebssystemversionen dokumentieren.

Richtlinien - Apple

Kiosk und Home-Bildschirm

Der Abschnitt Kiosk und Home-Bildschirm des Apple-Richtlinieneditors sperrt Geräte in eine App, wählt aus, welche Apps geöffnet werden dürfen, ordnet den Home-Bildschirm an und fügt Websitesymbole hinzu. Jede Einstellung wird auf den Geräten als Konfigurationsprofil installiert.

Apple wendet die meisten dieser Einstellungen nur auf überwachte iPhones und iPads an (Geräte, die mit Automated Device Enrollment registriert oder mit Apple Configurator vorbereitet wurden). Andere Geräte erhalten sie nicht. Webclips funktionieren auch auf nicht überwachten iPhones und iPads. Macs erhalten keine dieser Einstellungen.

Apps auswählen

Apps werden anhand ihrer Bundle-ID identifiziert. Geben Sie den Namen einer App ein, um sie aus den integrierten Apple Apps und den Apps der Richtlinie auszuwählen, oder geben Sie eine beliebige Bundle-ID ein, zum Beispiel com.example.app.

Einzelapp-Modus

Das Gerät führt nur die ausgewählte App aus: Benutzer können nicht zum Home-Bildschirm zurückkehren oder andere Apps öffnen. Installieren Sie die App zuerst mit der Richtlinie. Das Gerät verlässt den Einzelapp-Modus, wenn Sie die Einstellung deaktivieren oder die App entfernen.

Optionen: Deaktivieren Sie den Touchscreen, die Rotation, die Lautstärketasten, den Klingel-/Stumm-Schalter, die Seitentaste oder die automatische Sperre, und aktivieren Sie Bedienungshilfen wie VoiceOver oder Zoom.
Bedienungshilfen, die der Benutzer aktivieren kann: Funktionen, die der Benutzer durch dreifaches Drücken der Seitentaste aktivieren kann.

Erlaubte und blockierte Apps

Blockierte Apps: die Geräte blenden diese Apps aus und öffnen sie nicht. com.apple.webapp blockiert alle Webclips. Einstellungen und auf dem iPhone Telefon können nicht blockiert werden.
Nur einige Apps erlauben: Die Geräte zeigen nur diese Apps an. Lassen Sie die Liste leer, um alle Apps zu erlauben. Richtlinien-Apps fügt die von der Richtlinie installierten Apps hinzu; com.apple.webapp erlaubt alle Webclips.
Apps, die den Einzelapp-Modus starten können: Apps, die das Gerät während ihrer Nutzung in sich selbst sperren können, zum Beispiel während einer Prüfung.

Mit Nur einige Apps erlauben verschwindet jede App, die nicht in der Liste steht, von den Geräten, einschließlich der Apps der Richtlinie. Einstellungen und auf dem iPhone Telefon bleiben immer erhalten.

Layout des Home-Bildschirms

Ordnen Sie das Dock und die Seiten des Home-Bildschirms an. Fügen Sie Apps, App-Ordner und die Webclips der Richtlinie hinzu, indem Sie mit Hinzufügen zu den Ort auswählen, und ziehen Sie die Symbole, um sie zwischen dem Dock und den Seiten zu verschieben. Klicken Sie auf einen Ordner, um seinen Namen und seine Apps zu ändern.

Benutzer können die Symbole nicht verschieben oder Apps vom Home-Bildschirm entfernen. Apps, die nicht im Layout enthalten sind, werden auf den Seiten nach den von Ihnen definierten angezeigt. Ein iPhone zeigt vier Symbole im Dock. Benutzer können Apps, die nicht Erforderlich sind, weiterhin im Speicherbildschirm der Einstellungen löschen. Um dies zu verhindern, deaktivieren Sie Entfernen von Apps erlauben in der App-Verwaltung.

Webclips

Ein Webclip ist ein Symbol auf dem Home-Bildschirm, das eine Website öffnet. Legen Sie die Bezeichnung und die URL und optional ein Bild fest (PNG oder JPEG, auf ein Quadrat zugeschnitten).

Benutzer können ihn entfernen: Deaktivieren Sie die Option, damit das Symbol auf den Geräten bleibt.
Vollbild: Die Website wird als Web-App ohne die Adressleiste von Safari geöffnet. Bei anderen Websites im Vollbild bleiben öffnet auch die Links zu anderen Websites in der Web-App.
Mit dieser App öffnen: eine App, die die URL anstelle von Safari öffnet.

Mitteilungseinstellungen

Wählen Sie aus, wie die Geräte die Mitteilungen einiger Apps anzeigen: ob sie erlaubt sind, wo sie erscheinen (Sperrbildschirm, Mitteilungszentrale, CarPlay), Badges, Töne, kritische Warnungen, Bannerstil, Gruppierung und Vorschauen. Benutzer können diese Einstellungen nicht ändern.

Sperrbildschirmnachricht

Eine Nachricht, die unten auf dem Sperrbildschirm angezeigt wird, zum Beispiel wen man anrufen soll, wenn das Gerät gefunden wird, und eine Inventarnummer. Beide können die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten: Eine Variable ohne Wert für das Gerät bleibt leer.

Richtlinien - Apple

Code

Der Abschnitt Codeeinstellungen steuert die Anforderungen an den Gerätecode und die damit verbundenen Sicherheitsregeln (zum Beispiel Mindestlänge und Komplexität). Auf einem Mac (macOS 13 oder neuer, nicht mit User Enrollment) gelten die Regeln für das Anmeldepasswort der Benutzer.

Optionen

Im Apple-Richtlinieneditor werden Codeoptionen mit einer Mischung aus Schaltern und Zahlenfeldern konfiguriert. Viele Felder enthalten Tooltips, die unterstützte Betriebssystemversionen und Überwachungsanforderungen angeben.

Code-Schalter

Bei nächster Authentifizierung ändern: erzwingt das Zurücksetzen des Codes bei der nächsten Authentifizierung des Benutzers.
Alphanumerischen Code verlangen: verlangt mindestens ein alphabetisches Zeichen und eine Zahl.
Komplexen Code verlangen: verlangt einen „komplexen“ Code (keine wiederholten oder fortlaufenden Muster und mindestens ein nicht alphanumerisches Zeichen).
Code verlangen: verlangt einen Code ohne zusätzliche Anforderungen an Länge/Qualität. Hinweis: Das Festlegen anderer Code-Schlüssel setzt implizit einen Code voraus.

Zahlenfelder

Zurücksetzen fehlgeschlagener Versuche (Minuten): Minuten, bevor der Zähler für fehlgeschlagene Versuche zurückgesetzt wird (erfordert Maximale fehlgeschlagene Versuche).
Maximale fehlgeschlagene Versuche: erlaubte fehlgeschlagene Versuche, bevor ein iPhone oder iPad gelöscht oder ein Mac gesperrt wird (Bereich: 2–11).
Maximale Kulanzfrist (Minuten): wie lange das Gerät entsperrt bleiben kann, ohne den Code zu verlangen (0 = keine).
Maximale Inaktivität (Minuten): Leerlaufzeit, bevor das Gerät sperrt (Bereich: 0–15).
Maximales Alter des Codes (Tage): maximales Alter des Codes vor einer erzwungenen Änderung (Bereich: 0–730).
Minimale komplexe Zeichen: Mindestanzahl „komplexer“ Zeichen (Bereich: 0–4).
Minimale Länge: Mindestlänge des Codes (Bereich: 0–16).
Wiederverwendungslimit für Codes: Länge des Code-Verlaufs, um die Wiederverwendung alter Codes zu verhindern (Bereich: 1–50).

Richtlinien - Apple

Einschränkungen

Die Abschnitte „Einschränkungen“ steuern, welche Betriebssystemfunktionen auf verwalteten Apple-Geräten erlaubt sind. Im Apple-Richtlinieneditor werden diese Optionen als gruppierte Bedienfelder mit mehreren Schaltern dargestellt.

Die Schalter der Bereiche App-Verwaltung und Netzwerk werden auf den Seiten Apps & Profile und Netzwerk der Apple-Richtlinien beschrieben.

Viele Einschränkungen werden nur in bestimmten Betriebssystemversionen unterstützt und erfordern möglicherweise überwachte Geräte. Verwenden Sie die Tooltips im Dashboard für verbindliche Anforderungen.

Auf Geräten mit User Enrollment (persönliche Geräte, die durch Anmelden mit einem Arbeitskonto registriert wurden) werden die Einschränkungen, die Apple dort nicht zulässt, nicht gesendet. Wenn keine der Einschränkungen der Richtlinie gilt, erhalten diese Geräte kein Einschränkungsprofil. Der Richtlinieneditor zeigt an, wie viele Einschränkungen nicht für Geräte mit User Enrollment gelten.

Sicherheit

Automatisches Entsperren erlauben
Fingerabdruck zum Entsperren erlauben
Fingerabdruckänderung erlauben
Löschen von Inhalt und Einstellungen erlauben
Aktivieren von Einschränkungen erlauben
Profilinstallation durch Benutzer erlauben
Host-Kopplung erlauben
Übermittlung von Diagnosedaten erlauben
Änderung der Übermittlung von Diagnosedaten erlauben
Personalisierte Werbung von Apple erlauben
Änderung der Remote-Verwaltung erlauben

Multimedia

Kamera erlauben
Änderungen an der Dateifreigabe erlauben
Zugriff von Dateien auf USB-Laufwerke erlauben
Anrufaufzeichnung erlauben
AirPrint erlauben
Speichern von AirPrint-Anmeldedaten erlauben
iBeacon-Erkennung für AirPrint erlauben

Mobilfunk

Änderung der App-Mobilfunkdaten erlauben
Änderung des Mobilfunkplans erlauben
eSIM-Änderung erlauben
Ausgehende eSIM-Übertragungen erlauben
eSIM beim Löschen des Geräts behalten
Hintergrundabruf beim Roaming erlauben

Mobilfunk-APN

Mobilfunk-APN legt den Zugangspunktnamen (APN) fest, den Ihnen Ihr Mobilfunkanbieter gegeben hat, zum Beispiel für ein privates oder geschäftliches Mobilfunknetz. Legen Sie den Zugangspunktnamen sowie, falls der Anbieter sie verlangt, die Authentifizierung (PAP oder CHAP), den Benutzernamen (Variablen wie $EMAIL$ sind erlaubt), das Passwort, die IP-Versionen (auch beim Roaming), einen Proxy-Server mit seinem Port und XLAT464 fest. Aktivieren Sie APN anhängen nur, wenn der Anbieter Ihnen einen separaten APN für die Verbindung zum Netzwerk gibt.

Nur iPhone und iPad mit Mobilfunk erhalten sie, auch ohne Überwachung. Geräte, die mit User Enrollment registriert wurden (persönliche Geräte), erhalten sie nicht.
Sie gilt nur für die für mobile Daten verwendete SIM. Ein Gerät, auf dem bereits auf andere Weise ein APN-Profil installiert ist, installiert sie nicht.
Das Passwort ist wie die anderen Netzwerkpasswörter geschützt: Das Profil wird nur an das Gerät gesendet, für das es erstellt wurde, und das Passwort wird nicht in den Protokollen geschrieben.

Ein falscher APN lässt die Geräte ohne mobile Daten zurück: Testen Sie die Einstellungen zuerst auf einem Testgerät mit einer SIM des Anbieters.

System und Benutzeroberfläche

Handoff erlauben
Autokorrektur erlauben
Automatisches Dimmen erlauben
Automatischen Bildschirmschoner erlauben
QuickPath-Tastatur erlauben
Nachschlagen von Definitionen erlauben
Änderung des Gerätenamens erlauben
Ruhezustand des Geräts erlauben
iPhone-Spiegelung erlauben
iPhone-Widgets auf dem Mac erlauben
Tastaturkürzel erlauben

Apple-Apps und -Dienste

iMessage erlauben
Game Center erlauben
Hinzufügen von Game Center-Freunden erlauben
Find My-Gerät erlauben
Find My-Freunde erlauben
Änderung von Find My-Freunde erlauben
Book Store erlauben
Erotik im Book Store erlauben
Sicherung von Unternehmensbüchern erlauben
Synchronisierung von Metadaten von Unternehmensbüchern erlauben
iTunes Store erlauben
Explizite Inhalte erlauben

Siri und Apple Intelligence

Siri erlauben
Benutzergenerierte Siri-Inhalte erlauben
Siri bei gesperrtem Gerät erlauben
Diktat erlauben
Integrationen externer Intelligenz erlauben
Anmeldung bei externer Intelligenz erlauben
Genmoji erlauben
Image Playground erlauben
Image Wand erlauben

iCloud

iCloud-Adressbuch erlauben
iCloud-Backup erlauben
iCloud-Lesezeichen erlauben
iCloud-Kalender erlauben
iCloud-Schreibtisch und -Dokumente erlauben
iCloud-Dokumentsynchronisierung erlauben
iCloud Freeform erlauben
iCloud-Schlüsselbund-Synchronisierung erlauben
iCloud Mail erlauben
iCloud Notizen erlauben
iCloud-Fotomediathek erlauben
iCloud Private Relay erlauben
iCloud Erinnerungen erlauben

Konten (Einschränkung)

Das Konten-Panel enthält sowohl eine Einschränkung als auch (optional) eine Kontokonfiguration. Mit dem Schalter für die Einschränkung legen Sie fest, ob der Benutzer Systemkonten ändern darf.

Kontenänderung erlauben

Richtlinien - Apple

Netzwerk

Der Abschnitt Netzwerk des Apple-Richtlinieneditors konfiguriert Wi-Fi-Netzwerke und VPNs auf den Geräten, installiert Zertifikate und schränkt Konnektivitätsfunktionen wie AirDrop und Bluetooth ein. Jedes Wi-Fi-Netzwerk, VPN und Zertifikat wird als eigenes Konfigurationsprofil installiert, das Sie auf dem Gerät unter Einstellungen > Allgemein > VPN & Geräteverwaltung (Mac: Systemeinstellungen > Allgemein > Geräteverwaltung oder Datenschutz & Sicherheit > Profile unter macOS 13 und 14) und im Bereich Profile, Zertifikate und Sicherheit der Geräteseite sehen können.

Zertifikate stammen von der Seite Zertifikate: Importieren Sie sie zuerst dort. Die Richtlinie verweist nur auf sie, daher wird ein Zertifikat nie in die Richtlinie kopiert.

Einschränkungen

AirDrop erlauben
Eingehende AirPlay-Anfragen erlauben
Bluetooth-Änderung erlauben
Änderung der Bluetooth-Freigabe erlauben
Zugriff von Dateien auf Netzwerklaufwerke erlauben
Änderung der Internetfreigabe erlauben
Inhalts-Caching erlauben
iTunes-Dateifreigabe erlauben

Wi-Fi-Netzwerke

Klicken Sie auf Wi-Fi-Netzwerk hinzufügen und füllen Sie aus:

Netzwerkname (SSID): der Name des Netzwerks, bis zu 32 Zeichen.
Sicherheit: keine (offenes Netzwerk), WEP, WPA oder WPA2, WPA2 oder WPA3, nur WPA3 oder beliebig.
Passwort: das Passwort eines persönlichen Netzwerks.
Automatisch beitreten und Verborgenes Netzwerk (für Netzwerke, die ihren Namen nicht senden).
Proxy: keiner, manuell (Server und Port) oder automatisch (eine PAC-Datei-URL oder leer, um die Einstellungen mit WPAD im Netzwerk zu finden).
Profilname (optional) und Gilt für, um das Netzwerk auf bestimmte Gerätetypen zu beschränken.

Unternehmensnetzwerke (802.1X)

Aktivieren Sie Unternehmen (802.1X), wenn Benutzer sich mit ihren eigenen Zugangsdaten oder einem Zertifikat anstelle eines gemeinsam genutzten Passworts authentifizieren.

Authentifizierung: PEAP, TTLS (mit ihrer inneren Authentifizierung, zum Beispiel MSCHAPv2) oder TLS (nur Zertifikat).
Zugangsdaten des Gerätebenutzers: Jedes Gerät verwendet die EAP-Identität, die anonyme Identität und das Passwort seines Benutzers, die auf der Seite „Benutzer“ festgelegt sind. Geräte ohne Benutzer erhalten das Netzwerk nicht.
Identität, Anonyme Identität und Passwort: für jedes Gerät gleich. Die Identität kann die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten. Lassen Sie das Passwort leer, damit der Benutzer es auf dem Gerät eingeben kann.
Identitätszertifikat: das Client-Zertifikat, das das Gerät vorlegt (für TLS erforderlich). Siehe die Zertifikatoptionen unten.
Vertrauenswürdige Zertifikate: die CA-Zertifikate, die das Zertifikat Ihres RADIUS-Servers ausgestellt haben. Sie werden mit dem Netzwerk installiert.
Vertrauenswürdige Servernamen: die Namen der RADIUS-Serverzertifikate, die die Geräte akzeptieren, zum Beispiel radius.example.com oder *.example.com.

VPN

Klicken Sie auf VPN hinzufügen, um ein IKEv2- oder Cisco-IPSec-VPN zu konfigurieren, das in iOS, iPadOS und macOS integriert ist (keine VPN-App erforderlich).

Typ und Server. Für IKEv2 außerdem die Remote-Identität (die Serveridentität, leer bedeutet die Serveradresse) und die Lokale Identität, die die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten kann.
Authentifizierung des Geräts: ein Zertifikat (von der Seite „Zertifikate“, das Zertifikat des Gerätebenutzers oder von einem SCEP-Server angefordert), ein gemeinsames Geheimnis (mit dem optionalen Gruppennamen für IPSec) oder keine für IKEv2-Server, die nur Benutzername und Passwort prüfen.
Vertrauenswürdige Zertifikate: die CA-Zertifikate Ihres VPN-Servers, die mit dem VPN installiert werden. Für IKEv2 können Sie auch den erwarteten Aussteller und Namen des Serverzertifikats festlegen.
Benutzername und Passwort: Der Benutzer authentifiziert sich zusätzlich mit einem Benutzernamen (Variablen erlaubt) und einem Passwort (EAP für IKEv2, XAuth für IPSec). Lassen Sie das Passwort leer, damit der Benutzer es auf dem Gerät eingeben kann.
VPN-Name (in den Einstellungen angezeigt) und Gilt für.

Verbindung

Der Benutzer verbindet sich in den Einstellungen: Das VPN wird installiert und der Benutzer aktiviert es bei Bedarf.
Bei Bedarf: Das Gerät verbindet das VPN automatisch. Mit außer in vertrauenswürdigem Wi-Fi wird das VPN nicht in den von Ihnen aufgeführten Wi-Fi-Netzwerken verwendet, zum Beispiel im Büronetzwerk.
Immer an (nur IKEv2, überwachte iPhones und iPads): Der gesamte Datenverkehr läuft über Mobilfunk und Wi-Fi durch das VPN, und der Benutzer kann es nicht deaktivieren. Andere Geräte erhalten dieses VPN nicht. Wenn das VPN einen Benutzernamen verwendet, muss das Passwort in der Richtlinie festgelegt werden.
VPN pro App: Nur einige Apps verwenden das VPN. Wählen Sie das VPN für jede App im Abschnitt App-Verwaltung (Feld VPN der App, auf dem Mac nicht verfügbar), und führen Sie optional Safari-Domains auf, die es verwenden.

Testen Sie ein Immer-an- oder Bei-Bedarf-VPN zuerst auf einem Testgerät: Wenn der Server nicht erreichbar ist, hat das Gerät möglicherweise keine Verbindung.

Globaler Proxy, verschlüsseltes DNS und Webinhaltsfilter

Diese Einstellungen gelten für den gesamten Datenverkehr des Geräts. Aktivieren Sie sie mit ihrem Schalter.

Globaler HTTP-Proxy (überwachte iPhones und iPads, Mac): Der gesamte HTTP-Datenverkehr läuft in jedem Netzwerk über den Proxy. Legen Sie Server und Port (mit optionalem Benutzernamen und Passwort) oder eine automatische Konfiguration fest (PAC-Datei-URL oder leer, um sie im Netzwerk zu finden). Wi-Fi-Anmeldeseiten erlauben ermöglicht dem Benutzer, sich ohne den Proxy bei öffentlichen Wi-Fi-Netzwerken anzumelden.
Verschlüsseltes DNS: Das Gerät löst Namen mit Ihrem DNS-Server über DNS over HTTPS (Server-URL) oder DNS over TLS (Servername) auf, optional nur für bestimmte Domains. Auf überwachten Geräten können Sie verhindern, dass der Benutzer es deaktiviert.
Webinhaltsfilter (überwachte iPhones und iPads): Der in iOS integrierte Filter beschränkt Websites für Erwachsene, mit Listen von Websites, die immer erlaubt oder immer blockiert sind, oder erlaubt nur eine Liste von Websites, die in Safari als Lesezeichen angezeigt werden.

Ein falscher Proxy- oder DNS-Server kann die Geräte ohne Verbindung zurücklassen: Testen Sie die Einstellungen zuerst auf einem Testgerät.

Zertifikate

Klicken Sie auf Zertifikat hinzufügen, um ein Zertifikat separat zu installieren: eine Zertifizierungsstelle, der Safari und die Apps vertrauen müssen, oder eine von Apps verwendete Identität. Die Zertifikate eines Wi-Fi-Netzwerks oder eines VPNs müssen hier nicht hinzugefügt werden.

Zertifikatoptionen

Ein Zertifikat der Seite „Zertifikate“: dasselbe Zertifikat auf jedem Gerät. Klicken Sie auf Zertifikat auswählen, um es auszuwählen.
Das Zertifikat des Gerätebenutzers: Jedes Gerät erhält das mit seinem Benutzer verknüpfte Client-Zertifikat. Geräte, deren Benutzer kein Zertifikat hat, erhalten es nicht. Wenn Sie dem Benutzer ein anderes Zertifikat zuordnen, werden die Geräte aktualisiert.
Von einem SCEP-Server angefordert: Jedes Gerät fordert sein eigenes Zertifikat von Ihrem SCEP-Server an (zum Beispiel Microsoft NDES), sodass der private Schlüssel das Gerät nie verlässt. Legen Sie die Server-URL, die Challenge, falls der Server eine verlangt, den Betreff (zum Beispiel CN=$EMAIL$), die alternativen Namen, die Schlüsselgröße und die Schlüsselverwendung fest.

Client-Zertifikate (.p12), die mit der alten RC2-Verschlüsselung geschützt sind, können nicht auf Apple-Geräten installiert werden. Exportieren Sie sie vor dem Importieren erneut mit 3DES- oder AES-Verschlüsselung.

Sicherheit

Profile, die Passwörter oder private Schlüssel enthalten, werden nur an das Gerät gesendet, für das sie erstellt wurden: Das Gerät muss seine Anforderung mit seinem Verwaltungszertifikat signieren. Passwörter und Zertifikate werden nicht in den Protokollen geschrieben.

Richtlinien - Apple

Softwareupdates

Der Bereich Softwareupdates des Apple-Richtlinieneditors hält die Geräte auf dem neuesten Stand: Er kann eine bestimmte OS-Version bis zu einer Frist verlangen und steuern, wie die Geräte Updates herunterladen und installieren.

Erforderliche OS-Updates

Klicken Sie auf Erforderliches Update hinzufügen, um eine OS-Version zu verlangen. Das Gerät lädt das Update herunter, informiert den Benutzer über die Frist und installiert es bei Fristablauf, falls der Benutzer es nicht vorher erledigt hat. Geräte, die diese Version oder eine neuere bereits ausführen, ignorieren es. Erfordert iOS und iPadOS 17 oder macOS 14.

Gilt für (erforderlich): iPhone und iPad oder Mac. Jedes OS hat eigene Versionsnummern, daher fügen Sie für jedes ein erforderliches Update hinzu.
OS-Version: die zu installierende Version, zum Beispiel 18.5 oder 15.4.1.
Build (optional): ein bestimmter Build, zum Beispiel eine Beta oder eine Background Security Improvement.
Installieren bis: die Frist, in der Ortszeit jedes Geräts. Ein Datum in der Vergangenheit bewirkt, dass die Geräte das Update so bald wie möglich installieren.
Details-URL (optional): eine Webseite über das Update, die dem Benutzer angezeigt wird.

Das Gerät meldet den Fortschritt des Updates (Download, Installation, Fehler) im Bereich Gerätestatus der Geräteseite.

Softwareupdate-Einstellungen

Aktivieren Sie Softwareupdate-Einstellungen für iPhone und iPad oder Softwareupdate-Einstellungen für Mac, um die Updates auf diesen Geräten zu steuern. Wenn ein Schalter ausgeschaltet ist, behalten die Geräte ihre eigenen Einstellungen. Erfordert iOS und iPadOS 18 oder macOS 15: Ältere Geräte ignorieren diese Einstellungen.

Updates verzögern: Neue Updates werden dem Benutzer erst nach der angegebenen Anzahl von Tagen angezeigt (1 bis 90). Auf einem Mac können Sie unterschiedliche Zeiträume für Hauptupdates, Nebenupdates und andere Systemupdates festlegen.
Dem Benutzer angezeigte Updates (iPhone und iPad): Wenn mehr als ein Update verfügbar ist, zeigen Sie alle an, nur das älteste Nebenupdate oder nur das neueste.
Standardbenutzer können Updates installieren (Mac): Benutzer ohne Administratorrechte können macOS-Updates installieren.
Benutzer über erforderliche Updates benachrichtigen: die Benachrichtigungen über die erforderlichen Updates und ihre Frist anzeigen.
Automatischer Download, Automatische Installation und Automatische Sicherheitsupdates: Lassen Sie den Benutzer entscheiden (Apple-Standard) oder halten Sie sie immer eingeschaltet oder immer ausgeschaltet.
Background Security Improvements: Bieten Sie dem Benutzer die schnellen Sicherheitskorrekturen von Apple an und wählen Sie, ob der Benutzer sie entfernen kann.
Beta-Programme: Lassen Sie den Benutzer Apple-Beta-Programmen beitreten oder entfernen Sie das Gerät daraus und blockieren Sie sie (nur auf überwachten iPhones und iPads).

Ein Update von der Geräteseite aus installieren

Der Bereich Gerätestatus eines Geräts listet die dafür verfügbaren Updates auf. Verwenden Sie Nach Updates suchen, um die Liste vom Gerät anzufordern, und Installieren, um ein Update jetzt zu installieren oder es herunterzuladen und den Benutzer installieren zu lassen. Dies funktioniert auf überwachten iPhones und iPads sowie auf Macs. Apple entfernt diese Befehle in iOS, iPadOS und macOS 27: Verwenden Sie in diesen Versionen die erforderlichen Updates der Richtlinie.

Richtlinien - Apple

macOS

Der Abschnitt macOS des Apple-Richtlinieneditors verwaltet die Sicherheits-, Datenschutz- und Anmeldeeinstellungen der Macs: FileVault, Firewall, Gatekeeper, Bildschirmschoner und Sperre, externe und Netzwerkspeicher, Bildschirmfreigabe, Datenschutzberechtigungen, Anmeldeobjekte sowie die System- und Kernel-Erweiterungen, die geladen werden dürfen. Er installiert außerdem Konfigurationsdateien von Systemdiensten und Hintergrundaufgaben. Die anderen Geräte der Richtlinie erhalten diese Einstellungen nicht. Aktivieren Sie eine Einstellung, um sie zu verwalten; solange sie deaktiviert ist, behalten die Benutzer ihre eigenen Auswahlmöglichkeiten.

Die meisten Einstellungen werden auf dem Mac als Konfigurationsprofile installiert und sind in Systemeinstellungen > Allgemein > Geräteverwaltung sichtbar. FileVault, Datenschutzberechtigungen, Anmeldeobjekte und die Erweiterungseinstellungen erfordern eine vom Benutzer genehmigte MDM: Auf einem Mac, der mit der Registrierungs-URL oder dem QR-Code registriert wurde, genehmigt der Benutzer das Registrierungsprofil in den Systemeinstellungen. Die Geräteseite zeigt dies im Feld Vom Benutzer genehmigte MDM. Wenn der Benutzer es später genehmigt, erhält der Mac diese Einstellungen automatisch.

FileVault

FileVault verschlüsselt die Festplatte des Macs. Ist diese Einstellung aktiviert, werden Benutzer aufgefordert, FileVault mit ihrem Passwort zu aktivieren, und der Mac sendet seinen persönlichen Wiederherstellungsschlüssel an Cerberus Enterprise, verschlüsselt mit einem Schlüssel, der nur Ihrer Organisation gehört. Der Schlüssel wird im Feld FileVault der Geräteseite angezeigt und geändert (siehe Gerätebefehle). Die Einstellung erfordert macOS 13 oder neuer und eine vom Benutzer genehmigte MDM; ohne vom Benutzer genehmigte MDM wird der Mac nicht aufgefordert, FileVault zu aktivieren, aber wenn ein Benutzer es aktiviert, wird sein Schlüssel gespeichert.

Bei der Anmeldung erforderlich: bei der nächsten Anmeldung, nach einer Anzahl von Überspringungen (der Benutzer wird bei jeder Anmeldung und beim Abmelden erneut gefragt) oder nur, wenn sich der Benutzer abmeldet.
Beim Abmelden nicht fragen: Der Benutzer wird nur bei der Anmeldung gefragt. Die Option kann nicht mit „Nur beim Abmelden fragen“ kombiniert werden.
Dem Benutzer den Wiederherstellungsschlüssel anzeigen: standardmäßig deaktiviert, sodass nur die Administratoren den Schlüssel von der Geräteseite aus kennen.
Deaktivieren von FileVault verhindern: standardmäßig aktiviert.
Schlüssel im Bereitschaftsmodus aus dem Arbeitsspeicher entfernen: Der Benutzer gibt das Passwort erneut ein, wenn der Mac aus dem Bereitschaftsmodus aufwacht.
Wo der Schlüssel aufbewahrt wird: Text, der dem Benutzer im Anmeldefenster angezeigt wird, zum Beispiel wen man anrufen soll, um den Mac wiederherzustellen (Standard: „Cerberus Enterprise“).

Ein Mac, der bereits verschlüsselt war, als er die Einstellung erhielt, behält seinen aktuellen Schlüssel, den Cerberus Enterprise nicht erhält: Der Schlüssel wird erst gespeichert, nachdem der Benutzer FileVault deaktiviert und erneut aktiviert hat (mit deaktivierter Option „Deaktivieren von FileVault verhindern“). Das Deaktivieren der Einstellung oder das Entfernen des Macs aus der Verwaltung deaktiviert FileVault nicht, und der gespeicherte Schlüssel funktioniert weiterhin. Die Einstellung kann nicht gespeichert werden, wenn der Server nicht für die Speicherung von Wiederherstellungsschlüsseln konfiguriert ist.

Firewall

Firewall aktivieren: Wenn die Option deaktiviert ist, bleibt die Firewall deaktiviert und Benutzer können sie nicht aktivieren.
Alle eingehenden Verbindungen blockieren: Nur die grundlegenden Netzwerkdienste (DHCP, Bonjour, IPSec) können Verbindungen empfangen.
Tarnmodus: Der Mac antwortet nicht auf Ping-Anfragen und Verbindungen zu geschlossenen Ports.
Integrierte Software erlauben und Heruntergeladenen signierten Apps erlauben, Verbindungen zu empfangen, ohne den Benutzer zu fragen (macOS 12.3 oder neuer).
Regeln für bestimmte Apps: Erlauben oder blockieren Sie die eingehenden Verbindungen einer App anhand der Bundle-ID.

Gatekeeper

Gatekeeper prüft die Apps, bevor sie geöffnet werden. Wählen Sie aus, ob die Macs nur Apps aus dem App Store oder auch Apps identifizierter Entwickler öffnen. Bei deaktiviertem Gatekeeper kann jede App geöffnet werden, auch nicht signierte oder beschädigte. Unter macOS 15 oder neuer können Sie außerdem auswählen, ob Benutzer aufgefordert werden, blockierte Malware an Apple zu senden.

Bildschirmschoner und Sperre

Starten Sie den Bildschirmschoner nach einer gewissen Inaktivitätszeit, und fordern Sie das Passwort an, wenn der Bildschirmschoner startet oder das Display in den Ruhezustand wechselt, sofort oder nach einer Verzögerung. Eine Einstellung, die auf Nicht verwaltet belassen wird, bleibt die Wahl des Benutzers.

Externer und Netzwerkspeicher

Erlauben, schreibgeschützt machen oder blockieren Sie den externen Speicher (USB-Laufwerke, SD-Karten, externe Festplatten) und den Netzwerkspeicher (Dateifreigaben) der Macs. Erfordert macOS 15 oder neuer.

Bildschirmfreigabe

Einschränkungen für Personen, die sich mit der Bildschirmfreigabe mit diesen Macs verbinden: Kopieren von Dateien vom oder auf den Mac, Hochleistungsverbindungen und die Anzahl virtueller Displays. Das Aktivieren der Bildschirmfreigabe bleibt die Wahl des Benutzers. Erfordert macOS 14 oder neuer.

Datenschutzberechtigungen

Gewähren oder verweigern Sie Apps den Zugriff, den Benutzer andernfalls in den Systemeinstellungen > Datenschutz & Sicherheit erlauben würden, zum Beispiel Vollständiger Festplattenzugriff für eine Backup-App, oder verweigern Sie einer App den Zugriff auf die Kamera. Wählen Sie für jede Berechtigung:

Berechtigung: Vollständiger Festplattenzugriff, Bedienungshilfen, Automatisierung, die Ordner, Kontakte, Kalender, Fotos, Kamera, Mikrofon, Bildschirmaufnahme und die übrigen unter Datenschutz & Sicherheit.
Zugriff: Erlauben oder verweigern. Kamera, Mikrofon, Bildschirmaufnahme und Eingabeüberwachung können durch ein Profil nicht erlaubt, sondern nur verweigert werden; bei Bildschirmaufnahme und Eingabeüberwachung können Sie Benutzern erlauben, sie auch ohne Administratorrechte zu erlauben.
App: die Bundle-ID einer App oder der Pfad eines Programms (zum Beispiel eines Befehlszeilentools).
Codeanforderung: identifiziert die App anhand ihrer Signatur. Rufen Sie sie im Terminal mit codesign -dr - /Applications/Example.app ab und kopieren Sie den Text hinter designated =>.
Automatisierung erfordert außerdem die gesteuerte App (zum Beispiel den Finder) und ihre Codeanforderung.

Anmeldeobjekte und Hintergrundobjekte

Die Anmeldeobjekte und Hintergrundobjekte, die den Regeln entsprechen, werden verwaltet: Sie werden ohne Nachfrage ausgeführt, und Benutzer können sie nicht in den Systemeinstellungen > Allgemein > Anmeldeobjekte deaktivieren. Eine Regel entspricht der Entwicklerteam-ID einer App, ihrer Bundle-ID oder der Bezeichnung eines Launch-Daemons oder -Agents (auch anhand ihres ersten Teils). Erfordert macOS 13 oder neuer.

Systemerweiterungen

Systemerweiterungen sind die moderne Möglichkeit für Apps, macOS zu erweitern: Netzwerkfilter und VPNs, Endpoint-Security-Agenten und -Treiber. Ist diese Einstellung aktiviert, werden die Systemerweiterungen der aufgeführten Entwicklerteams ohne Nachfrage beim Benutzer geladen. Erfordert macOS 10.15 oder neuer und eine vom Benutzer genehmigte MDM.

Team-ID: die 10-stellige Team-ID des Entwicklers (zum Beispiel in den Details „Signiert von“ der App oder mit codesign -dv). Jedes Team kann nur einmal vorkommen.
Erlauben: jede Erweiterung des Teams oder nur die Erweiterungen mit den aufgeführten Bundle-IDs.
Typen: beschränkt das Team auf Treiber-, Netzwerk- oder Endpoint-Security-Erweiterungen. Ist keiner ausgewählt, sind alle Typen erlaubt.
Entfernung (nur für aufgeführte Erweiterungen): Die App kann ihre Erweiterung ohne Administrator entfernen (macOS 12 und neuer), die Erweiterung kann bei aktivem Systemintegritätsschutz nicht deaktiviert oder entfernt werden, oder sie kann nicht in den Systemeinstellungen und im Finder entfernt werden (macOS 15 und neuer). Macs mit einem älteren macOS erlauben die Erweiterung weiterhin, jedoch ohne die Entfernungsoption.
Benutzer können andere Systemerweiterungen genehmigen: standardmäßig aktiviert. Wenn deaktiviert, können nur die von einem Profil erlaubten Erweiterungen geladen werden; wenn ein Profil auf dem Mac die Option deaktiviert, ist sie deaktiviert.

Unter macOS 11.3 und neuer deaktiviert das Entfernen dieser Einstellung die Systemerweiterungen, die sie erlaubt hat, zum Beispiel einen Sicherheitsagenten oder einen Netzwerkfilter. Dies geschieht, wenn die Einstellung deaktiviert wird, wenn die Richtlinie gelöscht wird und wenn der Mac zu einer Richtlinie ohne sie wechselt. Der Editor fordert vor dem Deaktivieren der Einstellung eine Bestätigung an.

Kernel-Erweiterungen (Legacy)

Kernel-Erweiterungen sind die ältere, veraltete Möglichkeit, macOS zu erweitern: Bevorzugen Sie Systemerweiterungen, wenn der Anbieter sie anbietet. Die Kernel-Erweiterungen der aufgeführten Teams (jede Erweiterung eines Teams oder nur die aufgeführten Bundle-IDs) werden nach einem Neustart ohne Nachfrage beim Benutzer geladen. Erfordert macOS 10.13.2 oder neuer und eine vom Benutzer genehmigte MDM.

Benutzer können andere Kernel-Erweiterungen genehmigen: standardmäßig deaktiviert, sodass nur die aufgeführten Teams Kernel-Erweiterungen laden können.
Standardbenutzer können sie ebenfalls genehmigen: Bei aktivierten Benutzergenehmigungen können Benutzer ohne Administratorrechte sie ebenfalls genehmigen (macOS 11 und neuer).

Auf Macs mit Apple silicon reicht ein Profil allein nicht aus: Jemand muss den Mac in recoveryOS starten, im Startup-Sicherheitsdienstprogramm „Reduzierte Sicherheit“ auswählen und die Benutzerverwaltung von Kernel-Erweiterungen identifizierter Entwickler erlauben. Der Mac benötigt möglicherweise außerdem ein in Cerberus Enterprise hinterlegtes Bootstrap Token, um sie zu genehmigen (siehe das Feld „Bootstrap Token“ auf der Geräteseite).

Mac-Dateien

Die Dienstkonfigurationsdateien und die Hintergrundaufgaben verwenden Dateien, die Sie in die Mac-Dateien Ihrer Organisation hochladen: ZIP-Archive und Eigenschaftslisten (.plist) bis zu 20 MB. Laden Sie sie hoch, prüfen Sie, wo sie verwendet werden, oder löschen Sie sie über die Schaltfläche Mac-Dateien des macOS-Abschnitts oder über Datei auswählen in einer Einstellung. Eine von einer Richtlinie verwendete Datei kann nicht gelöscht werden. Um eine Datei zu ändern, laden Sie die neue Version hoch und wählen Sie sie in der Richtlinie aus: Die Macs laden sie erneut herunter.

Dienstkonfigurationsdateien

Installiert die Konfigurationsdateien eines Systemdienstes aus einem ZIP-Archiv. Die integrierten Dienste sind der SSH-Server (sshd), sudo, PAM, Drucken (CUPS), der Apache-Webserver, bash, zsh, Smartcard-Anmeldung und Autorisierung. Sie können auch einen eigenen Dienst mit einer Reverse-DNS-Kennung wie com.example.service verwenden: Er findet die Dateien über die Bibliothek der verwalteten Konfigurationsdateien von macOS. Jeder Dienst kann eine Einstellung haben. Erfordert macOS 14 oder neuer.

Ein integrierter Dienst verwendet nur die Dateien des Archivs und ignoriert seine eigenen Dateien, zum Beispiel /etc/ssh für sshd: Legen Sie die gesamte Konfiguration im Archiv in Ordnern ab, die vom Stammverzeichnis der Festplatte ausgehen (zum Beispiel etc/ssh/sshd_config). Die Dateien sind auf dem Mac schreibgeschützt und werden mit der Einstellung entfernt. Testen Sie das Archiv zuerst auf einem Mac: Eine falsche sudo- oder PAM-Konfiguration kann Benutzer daran hindern, sich anzumelden oder Administratorrechte zu verwenden.

Hintergrundaufgaben

Programme und Skripte, die im Hintergrund ausgeführt und von launchd gestartet werden. Benutzer können sie nicht deaktivieren, und sie werden mit der Einstellung entfernt. Erfordert macOS 15 oder neuer. Wählen Sie für jede Aufgabe:

Aufgabenkennung: eine Reverse-DNS-Kennung wie com.example.task, die für jede Aufgabe unterschiedlich ist.
Programme und Skripte (optional): ein ZIP-Archiv, das der Mac in /var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/ gefolgt von der Aufgabenkennung entpackt. Behalten Sie die Ausführungsberechtigung der Dateien bei und legen Sie keine Eigenschaftslisten darin ab.
launchd-Eigenschaftslisten: die Jobs, die die Programme starten, geladen als Daemon (für das gesamte System als root) oder als Agent (in jeder Benutzersitzung). Verweisen Sie auf die Programme mit ihrem Pfad im obigen Ordner.

Eine Aufgabe benötigt die Programme oder mindestens eine Eigenschaftsliste. Wenn sich die Dateien ändern, starten die Macs die Aufgabe neu.

Richtlinien - Apple

Standort und Geofences

Der Abschnitt Standort und Geofences des Apple-Richtlinieneditors definiert Bereiche, zum Beispiel einen Standort oder ein Lager. iPhones und iPads mit der Cerberus Enterprise-App melden, wenn sie einen dieser Bereiche betreten oder verlassen, und Ereignisregeln können darauf reagieren: eine E-Mail senden, das Gerät sperren oder deaktivieren oder es wieder aktivieren. Macs verwenden keine Geofences.

Geofence-Felder

Verwenden Sie Geofence hinzufügen, um einen neuen Eintrag zu erstellen. Eine Richtlinie kann bis zu 10 Geofences enthalten, und ihre Namen müssen innerhalb der Richtlinie eindeutig sein. Jeder Geofence enthält diese Felder:

Name: erforderlich und eindeutig.
Breitengrad und Längengrad: der Mittelpunkt des Bereichs. Sie können ihn auch durch Klicken auf die Karte festlegen.
Radius (m): erforderlich, von 200 bis 10000 Metern.
Beschreibung: optionale Hinweise für Administratoren.
Betreten melden und Verlassen melden: Wählen Sie aus, welche Ereignisse erzeugt werden. Mindestens eine Option muss aktiviert bleiben.
Aktiv: aktiviert oder deaktiviert den Geofence, ohne ihn zu löschen.

Jeder Geofence hat eine Kartenvorschau. Mittelpunkt und Radius eines gespeicherten Geofence sind gesperrt: Verwenden Sie die Sperrschaltfläche auf der Karte, um sie zu ändern. Die anderen Schaltflächen zentrieren die Karte auf den Bereich oder auf Ihren aktuellen Standort.

Wenn Sie die Richtlinie speichern, fordert Cerberus Enterprise die iPhones und iPads der Richtlinie auf, die neuen Geofences abzurufen. Dies dauert normalerweise einige Minuten, aber iOS kann es verzögern, zum Beispiel im Energiesparmodus oder ohne Netzwerkverbindung. Die Geräteseite zeigt an, wenn die App die neuesten Geofences noch nicht angewendet hat.

Voraussetzungen

Geofences funktionieren auf iPhones und iPads mit der Cerberus Enterprise App. Macs ignorieren sie. Auf dem Gerät:

die Cerberus Enterprise App ist installiert (Cerberus installiert sie) und der Benutzer hat sie mindestens einmal geöffnet;
der Standortzugriff für die App ist auf Immer gesetzt;
Präziser Standort ist für die App aktiviert;
Hintergrundaktualisierung ist aktiviert.

Standort und Geofences auf persönlichen Geräten, oben im Abschnitt, ist standardmäßig deaktiviert. Solange es deaktiviert ist, erfasst Cerberus den Standort persönlicher Geräte (User Enrollment) nicht, ihre Geofence-Ereignisse werden nicht erzeugt, und ihre Geräteseite bietet weder „Standort ermitteln“ noch Live-Tracking an. Wenn Sie es aktivieren, teilen persönliche Geräte der Richtlinie ihren Standort und ihre Geofence-Ereignisse wie Firmengeräte, jedoch nur, wenn der Benutzer den Standort für die Cerberus Enterprise App erlaubt; die App erklärt dies dem Benutzer, bevor iOS fragt. Ihre Organisation ist dafür verantwortlich, Benutzer zu informieren und lokale Vorschriften zum Mitarbeiterstandort einzuhalten. Der Modus „Verloren“ und die MDM-Standortanfrage sind auf persönlichen Geräten nie verfügbar (Apple erlaubt sie nicht).

Im Energiesparmodus funktionieren Geofences weiterhin, aber iOS meldet das Verlassen eines Bereichs später und mit einem weniger präzisen Standort und kann das Abrufen neuer Geofences nach einer Richtlinienänderung um Stunden verzögern, bis die App erneut ausgeführt wird (zum Beispiel beim nächsten Übertritt oder wenn der Benutzer sie öffnet).

Wie Ereignisse eintreffen

iOS überwacht die Bereiche für die App und weckt sie, wenn das Gerät eine Grenze überschreitet, auch wenn die App nicht geöffnet ist. Ereignisse können einige Minuten nach dem Übertritt eintreffen, und ein kleiner Bereich oder ein kurzer Besuch kann verpasst werden: iOS benötigt eine gewisse Strecke, die das Gerät über die Grenze hinaus zurücklegt, und einen längeren Aufenthalt dort.

Wenn die App nicht ausgeführt werden kann, zum Beispiel nach einem Neustart, bevor das Gerät entsperrt ist, erkennt auch der Server den Übertritt später anhand der von der App gesendeten Standorte. Jeder Übertritt löst die Ereignisregeln einmal aus, unabhängig davon, ob die App oder der Server ihn erkennt.

Wenn die App den Server mehrere Stunden lang nicht kontaktiert hat, bittet der Server iOS, sie zu wecken, damit sie ihre Geofences erneut prüfen kann. iOS garantiert diese Anforderungen nicht.

Geräteseite

Auf der Geräteseite zeigt die Registerkarte Geofence des Bedienfelds Standortkarte die Übertritte des Geräts an. Wenn die Richtlinie aktive Geofences enthält, teilt eine Statuszeile mit, ob die Geofence-Funktion auf dem Gerät funktioniert oder warum nicht: Die App hat den Server nicht kontaktiert oder muss aktualisiert werden, der Standortzugriff ist nicht auf Immer gesetzt, Präziser Standort oder Hintergrundaktualisierung ist deaktiviert, der Energiesparmodus war aktiviert, als die App ihre Einstellungen zuletzt gemeldet hat, oder die App hat die neuesten Geofences noch nicht angewendet.

Geofence-Übergänge und Standorte werden 90 Tage lang aufbewahrt, ältere Daten werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auf den Karten bleibt.

Einschränkungen

Das Kopieren einer Richtlinie kopiert ihre Geofences nicht: Fügen Sie sie in der Kopie erneut hinzu.
Geofence-Ereignisse auf iPhones und iPads sind nach bestem Bemühen: iOS entscheidet, wann die App ausgeführt werden kann.

Um auf Geofence-Ereignisse zu reagieren, erstellen Sie eine Ereignisregel für Gerät betritt einen Geofence oder Gerät verlässt einen Geofence. Siehe Ereignisregeln.

Richtlinien - Apple

Konten

Der Abschnitt Konten des Apple-Richtlinieneditors fügt E-Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten zu iPhone, iPad und Mac hinzu. Klicken Sie auf Konto hinzufügen und wählen Sie den Typ. Der Abschnitt enthält außerdem die Einschränkung Kontenänderung erlauben (überwachte Geräte).

Auf einem Mac (macOS 13 oder höher) werden die Konten in der Sitzung der für die Verwaltung registrierten Benutzer installiert – in der Regel der Benutzer, der den Mac registriert hat –, wenn diese angemeldet sind. Die Geräteseite listet diese Benutzer unter Mac-Benutzer mit dem Status ihrer Konten auf. Konten, die die E-Mail-Adresse vom Gerätebenutzer übernehmen, verwenden den in Cerberus Enterprise dem Mac zugewiesenen Benutzer.

Allgemeine Einstellungen

Name und E-Mail des Gerätebenutzers (E-Mail, Exchange, Google): Jedes Gerät verwendet den Namen und die E-Mail-Adresse seines Benutzers, die auf der Seite Benutzer festgelegt wurden (bei Google das Google-Konto des Benutzers). Geräte ohne Benutzer oder deren Benutzer keine E-Mail-Adresse hat, erhalten das Konto nicht. Legen Sie andernfalls eine feste E-Mail-Adresse und einen vollständigen Namen fest.
Kontoname (optional): der Name des Kontos in den Einstellungen und in den Apps.
Benutzername und Passwort (optional): Der Benutzername kann die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten. Lassen Sie das Passwort leer, damit der Benutzer es auf dem Gerät eingibt, oder lassen Sie beide leer, damit der Benutzer sie eingibt.
Gilt für: Beschränken Sie das Konto auf bestimmte Gerätetypen.

Kontotypen

E-Mail-Konto: IMAP- oder POP-Eingangsserver und Ausgangsserver mit ihren Ports und ihrer Authentifizierung. Der Ausgangsserver kann denselben Benutzernamen und dasselbe Passwort wie der Eingangsserver verwenden.
Exchange-Konto (Exchange ActiveSync): der Server oder leer, um ihn aus der E-Mail-Adresse zu ermitteln. Wählen Sie die Dienste (E-Mail, Kontakte, Kalender, Erinnerungen, Notizen) und ob der Benutzer sie ändern kann. Mit Moderner Authentifizierung (OAuth) meldet sich der Benutzer über die Seite Ihres Identitätsanbieters an, beispielsweise Microsoft 365. Ein Authentifizierungszertifikat (iOS 17 oder höher) authentifiziert das Gerät mit einem Zertifikat.
Google-Konto: Der Benutzer meldet sich mit der angegebenen E-Mail-Adresse beim Google-Konto an.
Kalenderkonto (CalDAV) und Kontakte-Konto (CardDAV): Server, Port und Pfad.
Verzeichnis (LDAP): Server und Port sowie die Suchvorgänge (Suchbasis, Bereich und Beschreibung), die zum Nachschlagen von Kontakten verwendet werden.
Abonnierter Kalender: die URL des Kalenders (https, http oder webcal).

S/MIME

E-Mail- und Exchange-Konten können Nachrichten mit S/MIME signieren und verschlüsseln (iOS 17 oder höher). Wählen Sie für jedes Konto das Zertifikat: eines von der Seite Zertifikate, das Zertifikat des Gerätebenutzers oder eines, das von einem SCEP-Server angefordert wird. Sie können dem Benutzer erlauben, es zu deaktivieren, ein anderes Zertifikat zu wählen und für die Verschlüsselung einen Schalter für jede Nachricht anzuzeigen.

Sicherheit

Passwörter und Zertifikate sind nicht Teil der an die Geräte gesendeten Einstellungen: Jedes Gerät lädt seine eigenen Anmeldedaten von Cerberus Enterprise herunter und signiert die Anfrage mit seinem Verwaltungszertifikat. Sie werden nicht in den Protokollen gespeichert.

Richtlinien - Apple

Compliance-Regeln

Der Abschnitt Compliance-Regeln des Apple-Richtlinieneditors legt Anforderungen für die Geräte der Richtlinie fest. Ein Gerät, das eine Regel verletzt, ist sofort nicht konform: Die Geräteseite zeigt unter Warum das Gerät nicht konform ist den Grund an, und die Geräteliste zeigt es als nicht konform an. Ein Gerät ist auch dann nicht konform, wenn eine Einstellung der Richtlinie darauf nicht angewendet werden kann.

Regeln

Code: Das Gerät hat einen Code und erfüllt die Codeeinstellungen der Richtlinie.
Minimale Betriebssystemversion: für iPhone und iPad oder für Mac. Um die Geräte zu aktualisieren, fügen Sie ein erforderliches Update in Softwareupdates hinzu.
Überwachtes Gerät: Geräte, die mit dem Registrierungsprofil oder mit User Enrollment registriert wurden, sind nicht überwacht.
FileVault aktiviert (Mac): Die Festplatte des Macs ist mit FileVault verschlüsselt. Andere Geräte sind nicht betroffen.

Eine Regel wird geprüft, wenn das Gerät seinen Status sendet, wenn die Richtlinie gespeichert wird und jede Stunde. Ein Gerät, dessen Status unbekannt ist (zum Beispiel ein Mac, der FileVault noch nicht gemeldet hat), verletzt die Regel nicht.

Sperren des Geräts

Aktivieren Sie Das Gerät sperren, wenn es weiterhin nicht konform ist und legen Sie fest, nach wie vielen Tagen (0 sperrt sofort). Überwachte iPhones und iPads wechseln mit der von Ihnen festgelegten Nachricht in den Modus „Verloren“. Die anderen Geräte werden einmal gesperrt; ein Mac startet neu und fragt nach einer PIN, die in den Details des Befehls im Befehlsverlauf angezeigt wird.

Entsperren: Wenn das Gerät wieder konform ist, wird der Modus „Verloren“ automatisch deaktiviert.
Modus „Verloren“ selbst deaktivieren: Das Gerät wird nicht erneut gesperrt, bis es wieder konform wird und erneut eine Regel verletzt. Verwenden Sie dies, damit der Benutzer das Gerät reparieren kann.

Um benachrichtigt zu werden oder auf andere Weise zu reagieren, erstellen Sie eine Ereignisregel für Gerät wird nicht konform: Sie erhält auch die Begründungen.

Gerätestatus

Geräteübersicht

Öffnen Sie ein Gerät über Dashboard → Geräte, indem Sie auf die Gerätezeile klicken. Der Seitentitel zeigt das Modell (sofern verfügbar) und die interne Id des Geräts.

Historische Daten im Vergleich zur aktuellen Registrierung

Wenn ein Gerät mehrere Registrierungen hat, kann Cerberus Enterprise einen schreibgeschützten historischen Datensatz anzeigen. In diesem Fall zeigt die Seite ein Banner Historische Daten und eine Schaltfläche zum Zurückkehren zu den aktuellen Registrierungsdaten an.

Oberste Felder

Der obere Bereich fasst die Geräteidentität, die Zuweisung und den Verwaltungsstatus zusammen. Einige Felder sind plattformspezifisch und erscheinen nur bei Android- oder Apple-Geräten.

Id und Modell: schreibgeschützte Kennungen.
Benutzer: zeigt den aktuell zugewiesenen Benutzer (sofern vorhanden). Über das Benutzermenü können Sie Benutzer öffnen oder Benutzer ändern oder einen Benutzer zuweisen, wenn keiner festgelegt ist.
Verwaltungsmodus und Eigentum: werden in der Benutzeroberfläche mit Tooltips angezeigt.
Status: aktueller Gerätestatus (mit Symbol und Details im Tooltip). Ein Gerät im Verloren-Modus zeigt Verloren sowohl auf Android als auch auf Apple, und ein Banner oben auf der Seite erklärt, was als Nächstes zu tun ist.
ADE-Profil (nur Apple): zeigt das zugewiesene Automated Device Enrollment-Profil (sofern vorhanden) und ermöglicht das Öffnen oder Ändern.
Richtlinie: zeigt die zugewiesene Richtlinie und ermöglicht das Öffnen oder Ändern oder das Zuweisen einer Richtlinie, wenn keine festgelegt ist.
Compliance-Status der Richtlinie (wenn eine Richtlinie zugewiesen ist): gibt an, ob das Gerät compliant ist.
Richtlinienversion (wenn eine Richtlinie zugewiesen ist): gibt an, ob auf dem Gerät die neueste Richtlinienversion angewendet wurde.
Cerberus Enterprise-App (nur iPhone und iPad): der Status der Cerberus Enterprise-App, die Cerberus auf dem Gerät installiert. Nicht verfügbar (iOS oder iPadOS älter als 18.4, keine Seriennummer auf einem Firmengerät oder kein Managed Apple Account auf einem privaten Gerät); Auf privaten Geräten noch nicht verfügbar; Warten auf Geräteinformationen; Warten auf die Benutzerlizenz des Managed Apple Account (private Geräte, während Apple die Lizenz bestätigt); Nicht installiert (die App ist nicht in Ihrer Apple Business-Mediathek oder Apps and Books ist nicht eingerichtet, mit einem Link zu Kontoeinstellungen); Installiert · Apps and Books erfordert Aufmerksamkeit (das Token ist abgelaufen oder die App hat Ihre Mediathek verlassen: die App bleibt installiert); Konfiguration nicht verfügbar; Wird installiert… (wenn das Gerät 30 Minuten lang keinen Statusbericht sendet, empfiehlt der Tooltip zu prüfen, ob es online ist, und es neu zu starten, was die Installation normalerweise erneut startet); Warten auf die Genehmigung durch den Benutzer; Der Benutzer hat abgelehnt und Installation fehlgeschlagen (beide mit Erneut versuchen, das das Gerät erneut auffordert); Installiert · warten auf den Start der App (die App wurde noch nicht geöffnet); Installiert · Konfiguration nicht akzeptiert; und, sobald die App registriert ist, ihre Version, ihr letzter Kontakt und ob Benachrichtigungen aktiviert sind.
Registriert am und Letzter Statusbericht: Zeitstempel für die Registrierung und den zuletzt gemeldeten Status.
Registrierung aufgehoben am: wird angezeigt, wenn die Registrierung des Geräts aufgehoben wurde.

Einige Daten und Bereiche sind nur verfügbar, wenn die entsprechende Kategorie in der Geräterichtlinie aktiviert ist. Weitere Informationen finden Sie auf den Seiten Statusberichte und Standort und Geofences.

Panels

Die Geräteseite ist in ausklappbare Bereiche gegliedert. Je nach Plattform und Status sehen Sie möglicherweise einen oder mehrere der folgenden Bereiche:

Standortkarte: ein Panel mit Registerkarten mit der Standort-Historie für das aktuelle Gerät und, auf Android-Geräten, iPhones und iPads, einer Registerkarte Geofence für Geofence-Übergänge.
SIM-Verwaltung: Geräte-EID sowie installierte SIMs und eSIMs. Auf Android außerdem die eSIM-Befehle und deren Verlauf; auf unternehmenseigenen iPhones und iPads mit Mobilfunk außerdem Datenroaming, Persönlicher Hotspot und Mobilfunktarife aktualisieren. Siehe die spezielle Seite SIM-Verwaltung.
Befehle: Senden Sie Befehle an das Gerät und rufen Sie den Befehlsverlauf auf (plattformspezifisch).
Sicherheitszustand: der Sicherheitszustand des Geräts und seine Risiken. Auf Android auch das Play Integrity-Urteil. Bis das Gerät dies meldet, steht Nicht angegeben oder Noch nicht gemeldet auf einem Android-Gerät, das noch keine Sicherheitsdaten gesendet hat.
Warum das Gerät nicht konform ist: wird nur angezeigt, wenn das Gerät nicht konform ist, mit einem roten Warnsymbol; öffnen Sie den Bereich, um die Gründe zu sehen. Auf Android werden die Richtlinieneinstellungen aufgeführt, die nicht eingehalten werden; auf Apple wird außerdem angegeben, ob eine Compliance-Regel das Gerät blockiert hat.
Gerätestatus (nur Apple): vom Gerät gemeldete Betriebssystemversion, Fortschritt der Softwareaktualisierung, Sperrcode, FileVault, Batterie und Konten sowie die dafür verfügbaren Betriebssystemupdates. Siehe die Seite Befehle.
Anwendungen (Android): installierte Apps und ihre Rückmeldungen und Fehlerberichte.
Anwendungen (nur Apple): die von der Richtlinie installierten Apps, die mit Befehlen installierten Apps und die vom Benutzer installierten Apps, mit ihrem Installationsstatus, Fehlern und Aktionen (Wiederholen, Entfernen). Auf Macs werden außerdem die von der Richtlinie installierten Pakete mit ihrem Status und Erneut installieren aufgelistet; als verwaltete Apps installierte Pakete haben ein Verwaltet-Chip, und ein Hinweis erläutert, wann ein Paket unverwaltet installiert wurde und warum oder wann seine App eine Stunde nach dem Download nicht gefunden wurde. Auf iPhones und iPads hat die App Cerberus Enterprise das Chip Von Cerberus installiert; sie wird nicht unter dem Filter Richtlinie aufgeführt. Eine App, deren verwaltete Konfiguration das Gerät nicht akzeptiert hat, hat das Chip Konfiguration nicht akzeptiert. Auf privaten iPhones und iPads (Benutzerregistrierung) zeigt eine Zeile das Verwaltete Apple Account, dessen Benutzerlizenzen die App Store-Apps verwenden; Apps, die auf ihre Lizenz warten, zeigen Warten auf Benutzerlizenz oder Benutzerlizenz fehlgeschlagen, eine App, deren Installationsaufforderung der Benutzer abgebrochen hat, zeigt Warten auf Genehmigung der Installation durch den Benutzer, und Erneut anfordern fordert die Lizenz erneut bei Apple an oder zeigt die Aufforderung erneut an. Siehe die Seite Befehle.
Profile, Zertifikate und Sicherheit (nur Apple): vom Gerät gemeldete Konfigurationsprofile, Zertifikate und Sicherheitsstatus.
Inventaränderungen (nur Apple): eine Zeitleiste der auf dem Gerät installierten, entfernten oder aktualisierten Apps, Profile und Zertifikate, durchsuchbar und nach Art und Änderung filterbar. Siehe die Seite Befehle.
Shared iPad-Benutzer und Mac-Benutzer (nur Apple): die Benutzer eines Shared iPad und die Benutzer eines Mac. Siehe die Seite Befehle.
Statusberichte: zusätzliche vom Gerät gemeldete Daten, dargestellt als Baum aus Kategorien und Werten.
Registrierungsverlauf: frühere Registrierungen für dasselbe physische Gerät, dargestellt als Liste.

Registerkarten des Standortbereichs

Der Bereich Standortkarte verwendet Registerkarten, um den Standortverlauf und Geofence-Übergänge getrennt zu halten.

Standort: zeigt Verlaufsfilter, eine Datumsbereichssuche, Standortmarkierungen, den Genauigkeitskreis und Steuerelemente für das Live-Tracking des aktuellen Geräts.
Geofence (Android, iPhone und iPad): zeigt den Verlauf der Geofence-Übergänge auf einer eigenen Karte, mit Zeitraumfiltern, einem optionalen Schalter für archivierte Geofences und einer seitlichen Liste der Übergänge. Auf iPhones und iPads informiert zudem eine Statuszeile, wenn Geofencing auf dem Gerät nicht funktionieren kann.

Das vollständige Verhalten dieser Registerkarten finden Sie unter Standortkarte.

Aktionen

Unten auf der Seite können Sie Daten aktualisieren und je nach Plattform, Gerätestatus und Lizenzstatus Aktionen ausführen.

Daten aktualisieren: lädt den Gerätedatensatz neu.
Gerät deaktivieren / Gerät aktivieren (nur Android): in unterstützten Zuständen verfügbar.
Geräteregistrierung aufheben: entfernt die Verwaltung vom Gerät. Das genaue Verhalten hängt von Plattform und Eigentum ab (zum Beispiel kann Android ein Arbeitsprofil löschen oder auf die Werkseinstellungen zurücksetzen).
Gerät löschen: verfügbar, wenn die Registrierung des Geräts bereits aufgehoben wurde und sein Datensatz entfernt werden kann.

Gerätestatus

Standortkarte

Diese Seite dokumentiert die gerätespezifischen Standortwerkzeuge, die in Geräteübersicht verfügbar sind. Der Bereich enthält einen Tab Standort für den Positionsverlauf und auf Android-Geräten, iPhones und iPads einen Tab Geofence für Geofence-Übergänge.

Voraussetzungen

Auf Android werden Gerätestandortdaten nur angezeigt, wenn die Standortmeldung in der Geräterichtlinie aktiviert ist. Um sie zu aktivieren, öffnen Sie die Richtlinie und schalten Sie Standort und Geofences → Standort melden ein. Weitere Informationen finden Sie unter Standort und Geofences.

Auf iPhones und iPads stammt der Standort von der Cerberus Enterprise-App, sobald der Benutzer ihn zulässt, oder vom Befehl Gerät orten, während sich das Gerät im Verloren-Modus befindet. Macs und andere Apple-Geräte melden ihren Standort nicht.

Auf persönlichen Geräten (User Enrollment) sind Standort und Geofences nur verfügbar, wenn in der Apple-Richtlinie Standort und Geofences auf persönlichen Geräten aktiviert ist und der Benutzer den Standort für die Cerberus Enterprise App erlaubt. Andernfalls zeigt die Geräteseite ihres Geräts die Standortaktionen oder die Live-Verfolgung nicht an. Der Verloren-Modus ist auf persönlichen Geräten nie verfügbar.

Die globale Karte für mehrere Geräte, die über das Dashboard verfügbar ist, finden Sie unter Standortkarte des Dashboards.

Ladezustand und Zustand ohne Daten

Während die Standortdaten geladen werden, zeigt der Bereich eine Ladeüberlagerung auf der Karte an.
Wenn für das Gerät keine Standortdaten verfügbar sind, zeigt der Bereich die Meldung Keine Standortdaten verfügbar an. Auf Android wird ein Hinweis ergänzt, die Standortmeldung in der zugewiesenen Richtlinie zu aktivieren, wenn sie deaktiviert ist. Auf Apple wird angegeben, woher der Standort stammt oder dass dieser Gerätetyp ihn nicht meldet.
Wenn ein Datumsfilter aktiv ist und keine Beispiele dazu passen, zeigt der Bereich Im ausgewählten Datumsbereich sind keine Daten verfügbar.

Standort-Tab

Öffnen Sie den Tab Standort, um den Verlauf für ein einzelnes Gerät zu prüfen. Zu den verfügbaren Filtern gehören der letzte bekannte Standort, aktuelle Verlaufszeiträume, ein benutzerdefinierter Datumsbereich und die Live-Verfolgung.

Zuletzt: zeigt den letzten bekannten Standort.
Heute, Letzte 7 Tage und Letzte 30 Tage: zeigen aufgezeichnete Standorte für den ausgewählten Zeitraum.
Suchen: ermöglicht die Auswahl eines benutzerdefinierten Datumsbereichs.
Live: startet oder beendet die Live-Verfolgung für das aktuelle Gerät.

Standorte werden 90 Tage lang aufbewahrt: Ältere werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auch dann auf den Karten bleibt, wenn es sich lange nicht gemeldet hat. Bei entfernten Geräten und früheren Registrierungen werden alle Standorte gelöscht, die älter als 90 Tage sind. Deshalb kann der Datumsbereich von Suchen nicht mehr als 90 Tage in der Vergangenheit beginnen.

Markerdetails

Wenn Sie auf einen Standortmarker klicken, wird ein Informationsfenster geöffnet mit:

Der Zeitstempel des Standortdatensatzes.
Die gemeldete Genauigkeit (in Metern).
Die gemeldete Geschwindigkeit, wenn das Gerät sie bereitstellt.
Die gemeldete Richtung bzw. der Kurswinkel, wenn das Gerät sie bereitstellt.

Genauigkeitskreis

Wenn das Informationsfenster geöffnet ist, wird um die Markierung ein Genauigkeitskreis angezeigt. Der Radius des Kreises entspricht der gemeldeten Genauigkeit (in Metern). Beim Schließen des Informationsfensters wird der Kreis ausgeblendet.

Live-Tracking

In der Geräteverlaufsansicht startet die Auswahl des Filters Live eine Echtzeit-Verfolgungsanfrage für genau dieses Gerät. Cerberus Enterprise fordert vor dem Start der Anfrage eine Bestätigung an.

Live-Tracking läuft bis zu 15 Minuten.
Während Live-Tracking aktiv ist, zeigen Android-Geräte eine Benachrichtigung und iPhones und iPads den Standortindikator.
Während Live-Tracking aktiv ist, aktualisiert das Panel fortlaufend den neuesten Standort und der Live-Indikator bleibt sichtbar.
Wenn Sie den Filter Live erneut auswählen, können Sie das Live-Tracking vor Ablauf des Zeitlimits beenden.
Auf iPhone und iPad läuft das Live-Tracking über die App Cerberus Enterprise, wobei der Standortzugriff auf Immer gesetzt sein muss. Die Anfrage weckt die App normalerweise auch dann, wenn sie nicht geöffnet ist, und die App sendet anschließend für die gesamte Sitzung Standorte. iOS garantiert diese Anfragen nicht: Das System kann sie verzögern oder nicht zustellen, etwa im Energiesparmodus oder ohne Netzwerkverbindung. Wenn innerhalb von 2 Minuten kein Standort eintrifft, bricht das Dashboard die Anfrage ab: Bitten Sie den Benutzer, die App einmal zu öffnen, und versuchen Sie es dann erneut.

Geofence-Tab

Auf Android-Geräten, iPhones und iPads zeigt die zweite Registerkarte Geofence-Übergänge an, die aus den in der zugewiesenen Richtlinie definierten Geofences erzeugt wurden.

Die Karte zeigt die aktuellen Geofence-Bereiche zusammen mit den aufgezeichneten Übergangspunkten.
In der Übergangsliste rechts können Sie Ereignisse zum Betreten und Verlassen prüfen.
Verfügbar sind die Filter Heute, Letzte 7 Tage, Letzte 30 Tage und eine benutzerdefinierte Datumsbereichssuche.
Archivierte einschließen zeigt auch Übergänge zu alten Geofence-Definitionen an, die in der aktuellen Richtlinie nicht mehr vorhanden sind.
Geofence-Übergänge werden 90 Tage lang aufbewahrt, ältere werden jede Nacht automatisch gelöscht. Daher kann die Suche mit benutzerdefiniertem Datumsbereich nicht mehr als 90 Tage in der Vergangenheit beginnen.

Auf iPhones und iPads zeigt eine Statuszeile oben auf der Registerkarte, wenn die Richtlinie aktive Geofences enthält, ob Geofencing auf dem Gerät funktioniert. Sie informiert Sie, wenn es nicht funktionieren kann: Die App Cerberus Enterprise hat den Server nicht kontaktiert oder muss aktualisiert werden, der Standortzugriff ist nicht auf Immer gesetzt, Präziser Standort oder Hintergrundaktualisierung ist deaktiviert, der Energiesparmodus war aktiviert, als die App zuletzt ihre Einstellungen gemeldet hat (Geofence-Ereignisse und -Änderungen können sich dann um Stunden verzögern), oder die App hat die neuesten Geofences noch nicht übernommen. Wenn alles funktioniert, zeigt sie an, wie viele Geofences die App überwacht.

Details zu Geofence-Übergängen

Wenn Sie einen Übergang auswählen, werden seine Details auf der Karte geöffnet und der entsprechende Listeneintrag hervorgehoben. Sofern verfügbar, zeigt Cerberus Enterprise für diesen Übergang auch die Gerätekoordinaten und die gemeldete Genauigkeit an.

Gerätestatus

SIM-Verwaltung

Die Geräteseite bietet einen Bereich SIM-Verwaltung. Auf Android-Geräten verwaltet er die auf dem Gerät installierten SIMs und eSIM-Profile, fügt eSIM-Profile hinzu oder entfernt sie und zeigt den Verlauf der an das Gerät gesendeten eSIM-Befehle. Auf unternehmenseigenen iPhones und Mobilfunk-iPads zeigt er die vom Gerät gemeldeten SIMs und eSIM-Tarife und ermöglicht dem Gerät, die vom Mobilfunkanbieter vorbereiteten eSIM-Tarife herunterzuladen: siehe iPhone und iPad unten.

Vollständig verwaltete Geräte melden SIM-Informationen, wenn die Berichterstattung Netzwerkinformationen in der Geräterichtlinie aktiviert ist (diese Option ist von Cerberus Enterprise immer aktiviert). Siehe die Seite Statusberichterstattung.

Geräte-EID

Die EID (eUICC Identifier) identifiziert die eSIM-Hardware des Geräts. Mobilfunkanbieter verwenden sie, um eSIM-Profile an das Gerät zu binden. Daher ist das Abrufen der EID in der Regel der erste Schritt eines eSIM-Bereitstellungsablaufs.

Unternehmenseigene Geräte (Android 13 und höher): Die EID wird automatisch mit dem Gerätestatus gemeldet, und es ist keine Interaktion durch den Benutzer erforderlich.
Privat genutzte Geräte (Android 13 und höher): Verwenden Sie die Schaltfläche EID anfordern. Der Benutzer erhält auf dem Gerät eine Benachrichtigung mit der Aufforderung, die EID freizugeben, und kann die Anfrage genehmigen oder ablehnen. Die EID wird nur angezeigt, wenn der Benutzer zustimmt. Solange die Anfrage aussteht, bleibt die Schaltfläche deaktiviert.

Bevor eine EID-Anfrage gesendet wird, erscheint ein Bestätigungsdialog, da der Benutzer auf dem Gerät eine Benachrichtigung erhält.

Installierte SIMs

Die Tabelle Installierte SIMs listet die aktuell für das Gerät bekannten SIMs auf, einschließlich physischer SIMs und eSIM-Profile. Auf privat genutzten Geräten werden mit dem Befehl eSIM hinzufügen installierte eSIM-Profile auch dann angezeigt, wenn das Gerät keine SIM-Informationen meldet.

Mobilfunkanbieter: der mit der SIM verknüpfte Name des Mobilfunkanbieters (sofern gemeldet).
Telefonnummer: die mit der SIM verknüpfte Telefonnummer (sofern gemeldet).
ICCID: der Integrated Circuit Card Identifier der SIM.
Aktivierungsstatus: ob die eSIM aktiviert ist oder nicht. Wird nur für eSIMs auf Android 15 und höher gemeldet.
Konfigurationsmodus: ob die eSIM von einem Administrator oder vom Benutzer konfiguriert wurde. Wird nur für eSIMs auf Android 15 und höher gemeldet.
SIM-Typ: zeigt an, ob das Gerät den Eintrag als eSIM meldet.

eSIMs mit einem laufenden oder ausgeführten (nicht fehlgeschlagenen) Entfernungsbefehl zeigen vorübergehend den Aktivierungsstatus Wird entfernt an. Der Eintrag verschwindet aus der Liste, wenn das Gerät die aktualisierte SIM-Liste meldet. Während eine Entfernung läuft, ist die Schaltfläche zum Entfernen nicht verfügbar, damit derselbe Befehl nicht zweimal gesendet wird.

eSIM entfernen

Verwenden Sie die Schaltfläche zum Entfernen neben einer installierten eSIM, um ihr Profil vom Gerät zu entfernen. Ein Bestätigungsdialog fordert Sie auf, die ICCID der zu entfernenden eSIM zu bestätigen, bevor der Befehl gesendet wird. Das Entfernen einer eSIM wird auf Android 15 und höher unterstützt.

eSIM hinzufügen

Der Abschnitt eSIM hinzufügen installiert ein neues eSIM-Profil auf dem Gerät (unterstützt auf Android 15 und höher). Er erfordert:

Gültigkeit: wie lange der Befehl gültig ist, wenn er nicht sofort ausgeführt werden kann.
Aktivierungscode: der vom Mobilfunkanbieter bereitgestellte Aktivierungscode für das eSIM-Profil. Sie können den vollständigen Code eingeben oder nur die SM-DP+-Adresse, damit das Gerät ein Profil findet, das der Mobilfunkanbieter bereits mit seiner EID verknüpft hat.
Aktivierungsstatus: ob das eSIM-Profil nach dem Herunterladen automatisch aktiviert oder unaktiviert gelassen werden soll, damit der Benutzer es manuell aktiviert.

Befehlsverlauf

Unterhalb des Abschnitts eSIM hinzufügen zeigt das Panel den Verlauf der an das Gerät gesendeten eSIM-Befehle: eSIM hinzufügen, eSIM entfernen und EID anfordern. Die Tabelle ist sortierbar und unterstützt die Seitenaufteilung. Einige Zeilen können erweitert werden, um die Befehlsparameter (zum Beispiel den Aktivierungscode oder die ICCID) und den Ausführungsstatus anzuzeigen, einschließlich der eSIM-Fehlerdetails, wenn ein Vorgang auf dem Gerät fehlschlägt.

Erstellungsdatum
Befehl
Gültigkeit
Status
Fehler: zeigt den eSIM-Fehlerstatus an (zum Beispiel Benutzer hat abgelehnt, Ungültiger Aktivierungscode oder ICCID nicht gefunden), wenn die Befehlsausführung ihn meldet.
Ausführungsdatum

eSIMs beim Zurücksetzen und Aufheben der Registrierung löschen

Wenn Sie das Gerät über den Befehlsbereich zurücksetzen, steuert die Option eSIMs löschen, ob eSIM-Profile beim Zurücksetzen entfernt werden. Auf privat genutzten Geräten mit Arbeitsprofil ist diese Option standardmäßig aktiviert (verwaltete eSIMs werden entfernt, private eSIMs bleiben unberührt). Dieselbe Option ist im Bestätigungsdialog Geräteregistrierung aufheben verfügbar.

iPhone und iPad

Das Panel wird für iPhones und für iPads angezeigt, die Mobilfunkdaten gemeldet haben (ein iPad ohne Mobilfunk hat keine), und nur, wenn das Gerät unternehmenseigen ist und keine Benutzerregistrierung darstellt. Die Mobilfunkinformationen des Geräts werden zusammen mit den Geräteinformationen abgefragt: bei der Registrierung, täglich, mit Geräteinformationen aktualisieren, wenn der Besitz auf unternehmenseigen wechselt, und einige Minuten nach Mobilfunktarife aktualisieren.

Geräte-EID: die zusammen mit den SIMs gemeldete EID, mit einer Schaltfläche zum Kopieren für den Mobilfunkanbieter. Wenn das Gerät sie nicht meldet, findet der Benutzer sie unter Einstellungen > Allgemein > Info.
Gemeldet, Datenroaming, Persönlicher Hotspot und Modem-Firmware: wann das Gerät geantwortet hat und welchen Zustand es gemeldet hat. Datenroaming und Persönlicher Hotspot können mit Geräteeinstellungen im Befehlsbereich geändert werden, der auch den aktuellen Zustand anzeigt.
SIMs: eine Zeile pro SIM oder eSIM-Tarif (Dual-SIM-Geräte haben zwei), mit dem vom Gerät gemeldeten Steckplatz, seiner Bezeichnung und seinem Typ (eSIM, wenn das Gerät die EID damit meldet, andernfalls SIM-Karte), dem Mobilfunkanbieter (der Heimatanbieter in einem Tooltip, wenn das Gerät in einem anderen Netz roamt), der Telefonnummer, ICCID, EID, IMEI, der für Daten und für Anrufe verwendeten SIM sowie dem Roaming. Ein eSIM-Steckplatz ohne Tarif wird ausgegraut als Kein Tarif angezeigt.
Dieses Gerät hat keine SIM gemeldet bedeutet, dass das Gerät ohne SIM geantwortet hat; Noch keine Mobilfunkinformationen bedeutet, dass es noch nicht geantwortet hat: Verwenden Sie Geräteinformationen aktualisieren.

Telefonnummern, ICCID, IMEI und EID identifizieren die Person und die Leitung: Sie werden niemals bei privat genutzten Geräten oder Benutzerregistrierungen abgefragt. Wenn ein Gerät privat genutzt wird, werden die Informationen sofort entfernt und in den Ergebnissen der alten Geräteinformationsbefehle im Befehlsverlauf ausgeblendet. Sie werden nicht exportiert und nicht in den Systemprotokollen geschrieben.

Mobilfunktarife aktualisieren

iPhone und iPad können eine eSIM nicht über einen Aktivierungscode installieren. Der Mobilfunkanbieter bindet (reserviert) den eSIM-Tarif auf seinem eSIM-Server (SM-DP+) an die EID des Geräts und teilt Ihnen die Adresse dieses Servers mit; Mobilfunktarife aktualisieren fordert das Gerät dann auf, die für es bereitstehenden Tarife herunterzuladen. Die Schaltfläche Mobilfunktarife aktualisieren im Panel wählt den Befehl im Befehlsbereich aus, in dem Sie die URL des eSIM-Servers des Mobilfunkanbieters eingeben:

Eine https://-Adresse, die unverändert gesendet wird. Adressen mit http://, einem Benutzernamen oder Passwort oder einem #-Teil werden nicht akzeptiert.
Ein Hostname, zum Beispiel smdp.carrier.example, der als https://smdp.carrier.example gesendet wird.
Ein LPA-Aktivierungscode (LPA:1$server$code, der Text eines eSIM-QR-Codes): Es wird nur der Server verwendet, da der Befehl den Code nicht übertragen kann. Der Tarif muss vom Mobilfunkanbieter an die Geräte-EID gebunden sein, andernfalls findet das Gerät nichts zum Herunterladen.

Das Gerät installiert und aktiviert den Tarif, ohne den Benutzer zu fragen, auch wenn es nicht überwacht wird. Erfolg im Befehlsverlauf bedeutet, dass das Gerät die Anfrage akzeptiert hat, nicht dass ein Tarif installiert wurde: Die Installation kann bis zu drei Minuten dauern, und Cerberus Enterprise fragt das Gerät etwa drei Minuten später erneut nach seinen SIMs, sodass der neue Tarif im Panel erscheint. Die Fehler 36001 (das Gerät konnte sein Mobilfunksystem nicht erreichen), 36002 (keine eSIM-Unterstützung) und 36003 (Mobilfunksystem ausgelastet, versuchen Sie es später erneut) werden in den Systemprotokollen erläutert. Ein einmal heruntergeladener Tarif kann nicht erneut heruntergeladen werden: Wenn die Installation fehlschlägt, wenden Sie sich an den Mobilfunkanbieter. Der Befehl ist auch für mehrere Geräte gleichzeitig im Menü Apple-Geräteaktionen der Seite Geräte verfügbar.

Was Apple nicht erlaubt

eSIM hinzufügen über einen Aktivierungscode: nicht möglich, verwenden Sie Mobilfunktarife aktualisieren mit einem an die EID gebundenen Tarif.
eSIM entfernen: Eine eSIM kann nicht einzeln aus der Ferne entfernt werden. Das Löschen des Geräts mit deaktivierter Option eSIM-Datentarif behalten entfernt alle eSIMs. Um einen einzelnen Tarif zu beenden, bitten Sie den Mobilfunkanbieter, ihn zu deaktivieren: Der Tarif bleibt auf dem Gerät, kann aber keine Verbindung herstellen.
EID anfordern: nicht erforderlich, die EID wird mit den SIMs unternehmenseigener Geräte übermittelt.
Macs haben keine Mobilfunk- oder eSIM-Verwaltung.

Gerätestatus

Befehle

Die Geräteseite bietet einen Bereich Befehle, um Fernbefehle an ein verwaltetes Gerät zu senden. Die verfügbaren Befehle hängen von der Plattform (Android oder Apple) und dem Gerätestatus ab.

Befehle können nur an ein derzeit registriertes Gerät gesendet werden. Bei einem Gerät mit aufgehobener Registrierung, bei einem ADE-Gerät, das noch nicht registriert ist, und beim historischen Datensatz einer früheren Registrierung zeigt der Bereich nur den Befehlsverlauf.

Wenn das Gerät derzeit nicht online ist, wird der Befehl zugestellt und ausgeführt, sobald das Gerät eine Verbindung zum Internet herstellt. Für Android-Befehle können Sie den Parameter Gültigkeit festlegen, um zu bestimmen, wie lange ein nicht zugestellter Befehl gültig bleibt.

Android-Befehle (AMAPI)

Für Android-Geräte enthält der Bereich Befehle ein Feld Gültigkeit (Wert + Einheit) und eine Auswahl Befehl. Einige Befehle erfordern zusätzliche Parameter, die dynamisch angezeigt werden, wenn Sie den Befehl auswählen.

Allgemeine Parameter

Gültigkeit: wie lange der Befehl gültig ist, wenn er nicht sofort ausgeführt werden kann.
Befehl: wählen Sie aus, welche Aktion an das Gerät gesendet werden soll.

Befehle ohne zusätzliche Felder

Gerät sperren: sperrt das Gerät.
Gerät neu starten: startet das Gerät neu. Erfordert Android 7.0 oder neuer.
Verloren-Modus deaktivieren: nimmt das Gerät aus dem Verloren-Modus.
Eigentum abgeben: entfernt das Arbeitsprofil und alle Richtlinien von einem unternehmenseigenen Gerät mit Android 8.0 oder neuer und überlässt es der privaten Nutzung. Apps und Daten des persönlichen Profils bleiben erhalten. Das Gerät wird vom Server gelöscht, nachdem es den Befehl bestätigt hat. Dies kann nicht rückgängig gemacht werden.

Befehle mit zusätzlichen Feldern

Passwort zurücksetzen: erfordert Neues Passwort und Neues Passwort bestätigen. Zu den optionalen Umschaltern gehören Jetzt sperren, Eingabe erforderlich und Beim Start keine Anmeldeinformationen abfragen.
App-Daten löschen: erfordert den Ziel-Paketnamen.
Verloren-Modus aktivieren: erfordert eine Nachricht für den Verloren-Modus und unterstützt optionale Kontaktfelder (Straßenadresse, Organisation, Telefonnummer, E-Mail). Wenn das Gerät dies meldet, wird sein Status Verloren, die Geräteseite zeigt ein Banner und dieser Befehl wird ausgeblendet, bis der Verloren-Modus deaktiviert wird.
Gerät löschen: unterstützt eine Nachricht mit Löschgrund (wird Benutzern auf privaten Geräten angezeigt) und optionale Löschoptionen, einschließlich eSIMs löschen.

Die eSIM-Befehle (eSIM hinzufügen, eSIM entfernen, EID anfordern) sind im dedizierten Bereich SIM-Verwaltung verfügbar.

Befehlsverlauf

Unterhalb der Sendesteuerelemente zeigt das Dashboard eine Tabelle mit dem Befehlsverlauf. Die Tabelle ist sortierbar und unterstützt Seitenumbruch. Einige Zeilen können erweitert werden, um zusätzliche Parameter oder Ausführungsdetails anzuzeigen.

Android-Verlaufsspalten

Erstellungsdatum
Befehl
Gültigkeit
Status
Fehler
Ausführungsdatum

Apple-Befehle (MDM)

Für Apple-Geräte bietet der Bereich Befehle eine Auswahl Befehl. Einige Befehle erfordern zusätzliche Eingaben. Wie bei Android wird unten eine Tabelle mit dem Befehlsverlauf angezeigt.

Befehle mit zusätzlichen Feldern

App installieren: erfordert die Bundle-ID der Anwendung.
Benachrichtigung senden: erfordert eine Benachrichtigungsnachricht (maximale Länge 200 Zeichen).

Auf iPhones und iPads erreichen Benachrichtigung senden und die Live-Ortung das Gerät über die Cerberus Enterprise-App: Sie sind deaktiviert, bis die App installiert ist und Benachrichtigungen registriert hat (siehe Feld Cerberus Enterprise-App). Beim Start der Live-Ortung wird „Live-Ortungsanforderung an das Gerät gesendet“ angezeigt: Die Ortung beginnt, wenn das Gerät seinen ersten Standort sendet. iOS kann die Anforderung verzögern oder nicht zustellen, zum Beispiel im Stromsparmodus oder ohne Netzwerkverbindung: Wenn innerhalb von 2 Minuten kein Standort eintrifft, bitten Sie den Benutzer, die App einmal zu öffnen. Wenn eine Anforderung fehlschlägt, gibt die Meldung den Grund an, zum Beispiel dass die App noch nicht registriert ist, der Benachrichtigungsschlüssel des Servers fehlt oder das Benachrichtigungs-Token des Geräts nicht mehr gültig ist.

Geräteaktionen

Nur die vom Gerät unterstützten Befehle werden aufgelistet: Einige erfordern ein überwachtes iPhone oder iPad, andere sind auf einem Mac nicht verfügbar. Bei störenden Aktionen wird eine Bestätigung angefordert.

Gerät sperren: sperrt den Bildschirm, optional mit Nachricht und Telefonnummer. Ein Mac wird neu gestartet und mit einer sechsstelligen PIN gesperrt, die einmal nach dem Senden des Befehls und in den Befehlsdetails angezeigt wird. Das iPhone zeigt den Titel „iPhone verloren“ über Ihrer Nachricht an, obwohl dieser Befehl den Verloren-Modus nicht aktiviert.
Verloren-Modus aktivieren (überwachtes iPhone und iPad): sperrt das Gerät und zeigt Ihre Nachricht, Telefonnummer und Fußnote auf dem Sperrbildschirm an. Während der Verloren-Modus aktiv ist, zeigt die Seite ein Banner und die Befehle Gerät orten (der Standort erscheint auf der Standortkarte), Ton abspielen und Verloren-Modus deaktivieren.
Das Gerät teilt demjenigen, der es hält, mit, dass es geortet wurde: Nach Gerät orten zeigt der Sperrbildschirm iPhone geortet mit der Uhrzeit und dem Namen des Servers, der den Standort empfangen hat, sowie eine Schaltfläche Weiter. iOS zeigt diesen Hinweis an, und er kann nicht deaktiviert werden.
Code löschen: entfernt den Code eines iPhone oder iPad, zum Beispiel wenn der Benutzer ihn vergessen hat. Wenn die Richtlinie einen Code erfordert, wird der Benutzer aufgefordert, einen neuen festzulegen.
Geräteinformationen aktualisieren: fragt das Gerät nach seinen Informationen (Überwachung, OS-Version, Sicherheitsstatus, MDM-Zertifikat) und seinem Inventar.
Geräteeinstellungen: öffnet ein Fenster zum Ändern des Gerätenamens, des Hostnamens eines Mac, von Bluetooth, Datenroaming, Persönlichem Hotspot, Zeitzone, Hintergrundbild, ob die Aktivierungssperre zulässig ist, und bei einem Shared iPad seiner Einstellungen (siehe unten). Nur die geänderten Einstellungen werden gesendet; die vom Gerät nicht unterstützten sind mit dem Grund deaktiviert. Ein Gerät kann Datenroaming oder Persönlichen Hotspot bestätigen, ohne sie anzuwenden (zum Beispiel wenn der SIM-Tarif keinen Persönlichen Hotspot enthält), daher liest Cerberus Enterprise sie etwa 30 Sekunden später erneut aus und schreibt eine Warnung in die Systemprotokolle, wenn sie sich nicht geändert haben.
Gerät neu starten und Gerät ausschalten: startet das Gerät nach einer Bestätigung sofort neu oder schaltet es aus.
Gerät löschen: löscht alle Inhalte und Einstellungen und entfernt das Gerät aus der Verwaltung. Auf iPhone und iPad können Sie den eSIM-Datentarif behalten und die Näheinrichtung überspringen; ein Mac erhält eine sechsstellige PIN.
Return to Service (Option von Gerät löschen, iPhone und iPad mit iOS 17 oder neuer): Nach dem Löschen richtet sich das Gerät ohne Eingreifen von selbst wieder ein und registriert sich erneut mit seiner aktuellen Richtlinie, seinem Benutzer und seinem Eigentum. Wählen Sie für die Einrichtung ein Wi-Fi-Netzwerk der Geräterichtlinie aus, es sei denn, das Gerät verfügt über Ethernet oder mobile Daten: Es können nur persönliche Netzwerke (mit Passwort, ohne Zertifikate) verwendet werden, da das Gerät noch keinen Benutzer und kein Zertifikat hat. Die Aktivierungssperre muss deaktiviert sein.
Mobilfunkpläne aktualisieren (iPhone und iPad mit Mobilfunk, iOS 13 oder neuer, nicht User Enrollment): Geben Sie die vom Mobilfunkanbieter bereitgestellte Carrier eSIM Server-URL ein (eine https://-Adresse, einen Hostnamen oder einen LPA-Aktivierungscode, von dem nur der Server verwendet wird), und das Gerät lädt die eSIM-Pläne herunter, die der Anbieter an seine EID gebunden hat. Die EID des Geräts wird unter dem Feld angezeigt, damit Sie sie an den Anbieter senden können. Siehe die Seite SIM-Verwaltung.
Wenn Sie eSIM-Datentarif behalten deaktivieren, werden beim Löschen alle eSIMs entfernt. Die Richtlinienbeschränkung eSIM behalten, wenn das Gerät gelöscht wird (überwachte Geräte, iOS 17.2 oder neuer) gilt für Löschvorgänge, die auf dem Gerät gestartet wurden (zu viele fehlgeschlagene Codeeingaben, Alle Inhalte und Einstellungen löschen): Apple dokumentiert ihre Auswirkung auf diesen Befehl nicht.
Benutzer abmelden (Shared iPad): meldet den aktuellen Benutzer ab und kehrt zum Anmeldebildschirm zurück. Daten, die noch nicht mit iCloud synchronisiert wurden, bleiben auf dem iPad.

Shared iPad

Ein Shared iPad wird von mehreren Personen genutzt, jede mit ihrem eigenen Managed Apple Account, oder von Gästen mit temporären Sitzungen. Es wird mit einem ADE-Profil eingerichtet, das Shared iPad aktiviert (siehe die Seite Apple Automated Device Enrollment), und sein Feld Registrierungstyp zeigt Shared iPad an.

Shared iPad-Benutzer: die Benutzer des iPad, mit dem angemeldeten Benutzer, dem von ihnen belegten Speicher und ob einige Daten noch nicht mit iCloud synchronisiert wurden. Verwenden Sie Aktualisieren, um die Liste erneut vom iPad anzufordern. Ein Benutzer kann mit seinen Daten gelöscht werden, außer dem angemeldeten Benutzer (melden Sie ihn zuerst ab); Alle Benutzer löschen erfordert iPadOS 14 oder neuer. Wenn die Daten noch nicht synchronisiert wurden, warnt die Bestätigung, dass sie verloren gehen.
Geräteeinstellungen: der Speicher für jeden Benutzer, die erwartete Anzahl an Benutzern, die Inaktivitätszeit, nach der Benutzer und Gastsitzungen abgemeldet werden, nur Gastsitzungen, die auf dem Anmeldebildschirm vorgeschlagenen Domains für Managed Apple Accounts, wie viele Tage sich ein Benutzer anmelden kann, ohne das Passwort online zu prüfen, und das Überspringen der Sprach- und Regionseinrichtung für neue Benutzer. Leere Felder behalten ihren aktuellen Wert; Einstellungen, die ein neueres iPadOS erfordern, sind deaktiviert.

Mac-Benutzer

Auf einem Mac listet der Bereich Mac-Benutzer die Benutzer auf, die in der Verwaltung registriert sind, normalerweise der Benutzer, der den Mac registriert hat. Die Konten der Richtlinie werden in ihren Sitzungen installiert. Für jeden Benutzer wird angezeigt, wann er registriert wurde, der letzte Bericht seiner Sitzung und der Status der Konten: Aktuell, Warten auf den Benutzer (der Mac installiert sie, wenn der Benutzer angemeldet ist), Nicht angewendet mit den vom Mac gemeldeten Gründen oder Keine Konten, wenn die Richtlinie keine enthält. Verwenden Sie Neu laden, um die Liste erneut zu lesen.

Aktivierungssperre

Das Feld Aktivierungssperre zeigt, ob die Aktivierungssperre aktiviert ist. Wenn sie aktiviert ist, kann ein gelöschtes Gerät nur mit dem Apple Account des Benutzers oder mit dem Umgehungscode des Geräts erneut eingerichtet werden. Überwachte Geräte aktivieren die Aktivierungssperre nur, wenn sie in Geräteeinstellungen zulässig ist. Cerberus Enterprise fordert von überwachten Geräten ihren Umgehungscode an und speichert ihn: Verwenden Sie Umgehungscode anzeigen im Feldmenü, um ihn anzuzeigen (nur Administratoren können das, und jede Anzeige wird im Systemprotokoll aufgezeichnet), und geben Sie ihn dann als Passwort auf dem Aktivierungssperrbildschirm des Geräts ein, wobei der Apple Account leer bleibt.

Recovery Lock und Firmware-Passwort (Mac)

Ein Mac mit Apple Silicon zeigt das Feld Recovery Lock, ein Mac mit Intel-Prozessor das Feld Firmware-Passwort. Beide schützen den Mac beim Start: Mit Recovery Lock fragt recoveryOS nach dem Passwort; mit einem Firmware-Passwort fragt der Mac danach, um von einem anderen Datenträger oder aus der Wiederherstellung zu starten. Das Feld zeigt, ob der Mac ein Passwort meldet, und in seinem Tooltip, wann Cerberus Enterprise es gespeichert und wann es zuletzt überprüft wurde.

Passwort festlegen oder ändern: Cerberus Enterprise generiert ein Passwort aus 20 Buchstaben, die bei jeder Tastaturbelegung auf denselben Tasten liegen, oder ein Administrator gibt eines ein (8 bis 64 Zeichen ohne Akzente; andere Rollen können nur eines generieren, da sie gespeicherte Passwörter nicht sehen können). Das Passwort wird verschlüsselt gespeichert, bevor es gesendet wird, und ersetzt das gespeicherte Passwort erst, wenn der Mac es bestätigt. Wenn auf dem Mac bereits ein Passwort außerhalb von Cerberus Enterprise festgelegt ist, geben Sie es als aktuelles Passwort ein: Es wird einmalig verwendet und nicht gespeichert.
Passwort überprüfen: fragt den Mac, ob das gespeicherte Passwort korrekt ist. Das Ergebnis steht im Tooltip und im Systemprotokoll.
Passwort anzeigen: Nur Administratoren können das gespeicherte Passwort sehen, und jede Anzeige wird im Systemprotokoll aufgezeichnet. Generierte Passwörter werden in Vierergruppen von Buchstaben angezeigt: Geben Sie sie ohne Leerzeichen ein.
Passwort löschen: entfernt das Passwort vom Mac.

Ein Mac mit Intel-Prozessor startet neu, um eine Änderung des Firmware-Passworts anzuwenden: Bis dahin wird weiterhin das vorherige Passwort benötigt („Passwort anzeigen“ listet es auf), und eine weitere Änderung kann nicht gesendet werden. Apple akzeptiert außerdem nur einen Firmware-Passwort-Befehl alle 30 Sekunden. Die Passwörter werden im Befehlsverlauf ausgeblendet.

Wenn ein Mac die Verwaltung verlässt (Registrierung aufgehoben, vom Benutzer entfernt oder gelöscht), entfernt macOS Recovery Lock von selbst, und Cerberus Enterprise verwirft das gespeicherte Recovery Lock-Passwort; dasselbe geschieht, wenn der Mac meldet, dass er kein Recovery Lock hat, zum Beispiel nachdem er sich erneut registriert. Wenn Sie die Registrierung eines Mac aufheben (oder seine Richtlinie löschen), wird ein gespeichertes Firmware-Passwort zuerst gelöscht, der Mac startet neu und verlässt dann die Verwaltung. Wenn das Löschen fehlschlägt, verlässt der Mac die Verwaltung trotzdem, und das Passwort bleibt gespeichert, sodass Sie es weiterhin anzeigen können. Ein Mac, der vom Benutzer aus der Verwaltung entfernt oder gelöscht wurde, behält sein Firmware-Passwort: Cerberus Enterprise behält es ebenfalls. Durch Löschen des Geräteeintrags wird das gespeicherte Passwort gelöscht. Sie werden daher zuerst um Bestätigung gebeten: Notieren Sie das Passwort, denn ohne es kann nur Apple es entfernen.

FileVault (Mac)

Das Feld FileVault zeigt, ob die Festplatte des Mac verschlüsselt ist, und in seinem Tooltip, ob Cerberus Enterprise seinen persönlichen Wiederherstellungsschlüssel speichert. Ein Mac sendet den Schlüssel, wenn FileVault aktiviert wird, nachdem er die FileVault-Einstellung seiner Richtlinie erhalten hat (siehe die Seite macOS der Apple-Richtlinien).

Wiederherstellungsschlüssel anzeigen: Nur Administratoren können den Schlüssel sehen, und jede Anzeige wird im Systemprotokoll aufgezeichnet. Verwenden Sie ihn am Anmeldefenster des Mac, um das Passwort des Benutzers zurückzusetzen, oder in der Wiederherstellung, um die Festplatte zu entsperren. Er bleibt verfügbar, nachdem der Mac die Verwaltung verlassen hat; durch Löschen des Geräteeintrags wird er gelöscht.
Wiederherstellungsschlüssel ändern: Der Mac ersetzt seinen persönlichen Wiederherstellungsschlüssel und sendet den neuen verschlüsselt; der alte Schlüssel funktioniert nicht mehr. Dies ist nur möglich, wenn der gespeicherte Schlüssel gelesen werden kann: Der Mac wird damit entsperrt, und es ist kein Benutzerpasswort erforderlich. Der gespeicherte Schlüssel wird im Befehlsverlauf ausgeblendet und vom Server entfernt, sobald der Mac antwortet (oder nach 7 Tagen ohne Antwort).

Bootstrap Token (Mac)

Ein Mac mit macOS 10.15 oder neuer sendet seinen Bootstrap Token an den Verwaltungsserver, wenn sich ein Benutzer mit einem sicheren Token anmeldet. Der Server behält ihn und gibt ihn nur an diesen Mac zurück, der ihn verwendet, um neuen Benutzern ein sicheres Token zu geben und auf einem Mac mit Apple Silicon Softwareupdates zu installieren und Kernel-Erweiterungen zu genehmigen, ohne ein Administratorpasswort anzufordern. Niemand kann den Token sehen, weder im Dashboard noch anderswo. Das Feld Bootstrap Token zeigt seinen Status:

Hinterlegt: Der Server hat den Token; der Tooltip zeigt, wann der Mac ihn gesendet hat.
Früher hinterlegt: Das gespeicherte Token wurde vor der letzten Registrierung oder MDM-Zertifikaterneuerung des Mac gesendet. Nach einer Erneuerung ist das zu erwarten: Das Token bleibt erhalten, und der Mac sendet es nicht erneut. Nach einer neuen Registrierung ist es möglicherweise nicht mehr gültig: Führen Sie sudo profiles install -type bootstraptoken im Terminal auf dem Mac aus.
Nicht hinterlegt: Der Mac hat noch keinen Token gesendet. Um ihn jetzt zu senden, führt ein Administrator des Mac im Terminal sudo profiles install -type bootstraptoken aus (sudo profiles status -type bootstraptoken zeigt, ob er hinterlegt ist).

Gerätestatus und OS-Updates

Der Bereich Gerätestatus zeigt, was das Gerät über sich selbst meldet: die OS-Version und den Build, den Fortschritt eines Softwareupdates (ausstehende Version, Frist, was es ausgelöst hat, Fehler), ob ein Code festgelegt ist und der Richtlinie entspricht, FileVault auf einem Mac, den Batteriezustand und die auf dem Gerät konfigurierten Konten.

Die Liste Verfügbare Updates zeigt die OS-Updates, die das Gerät installieren kann, erfasst bei der Registrierung und wöchentlich. Verwenden Sie Nach Updates suchen, um sie jetzt anzufordern, und Installieren, um ein Update sofort zu installieren (das Gerät startet nach einer Bestätigung neu) oder nur herunterzuladen und den Benutzer installieren zu lassen. Dies funktioniert auf überwachten iPhones und iPads sowie auf Macs bis iOS, iPadOS und macOS 26: Bei späteren Versionen und zum Aktualisieren vieler Geräte verwenden Sie die erforderlichen Updates der Richtlinie (siehe die Seite Softwareupdates der Apple-Richtlinien).

Ein Mac mit Apple Silicon installiert ein Update nur dann ohne Eingabe eines Administratorpassworts, wenn er sein Bootstrap Token zur Authentifizierung zulässt und der Token hinterlegt ist (siehe Bootstrap Token oben). Andernfalls weist die Bestätigung darauf hin, dass ein Benutzer möglicherweise ein Administratorpasswort eingeben muss, bevor das Update installiert wird.

Anwendungen und Inventar

Der Bereich Anwendungen listet alle Apps des Geräts in einer Tabelle auf. Der Installationsstatus der von der Richtlinie oder mit einem Befehl installierten Apps wird vom Gerät live gemeldet; Versionen, Größen und die vom Benutzer installierten Apps stammen aus der letzten App-Liste, die bei der Registrierung und wöchentlich erfasst wird. Verwenden Sie Gerät abfragen, um sie jetzt anzufordern.

Verwaltung: Richtlinie für Apps, die durch die Geräterichtlinie installiert wurden, Verwaltet für Apps, die mit einem Befehl wie App installieren installiert wurden, Nicht verwaltet für die vom Benutzer installierten. Die Cerberus Enterprise-App hat den Chip Von Cerberus installiert.
Handlungsbedarf: Apps, deren Installation fehlgeschlagen ist, die vom Benutzer abgelehnt oder entfernt wurden oder auf den Benutzer warten. Öffnen Sie eine Zeile, um den Fehler anzuzeigen; fehlgeschlagene Richtlinien-Apps können mit der Wiederholen-Schaltfläche erneut installiert werden. Integrierte Apps und App Store-Apps, die das Gerät als nicht validiert meldet, werden nicht gezählt.
App entfernen: verwaltete Apps können mit ihren Daten entfernt werden. Um eine von der Richtlinie installierte App zu entfernen, entfernen Sie sie aus der Richtlinie. Die Richtlinie sendet diesen Befehl auch selbst, wenn ein als verwaltete App installiertes Mac-Paket aus der Richtlinie entfernt wird.

Der Bereich Profile, Zertifikate und Sicherheit zeigt die vom Gerät gemeldeten Konfigurationsprofile, Zertifikate und den Sicherheitsstatus (Code, Verschlüsselung, FileVault und Firewall auf einem Mac).

Auf persönlichen Geräten werden die vom Benutzer installierten Apps nicht erfasst, und es werden nur die von Cerberus Enterprise verwalteten Profile und Zertifikate aufgelistet.

Der Bereich Inventaränderungen zeigt, was sich zwischen zwei vom Gerät gesendeten Listen geändert hat: installierte, entfernte oder aktualisierte Apps (mit alter und neuer Version), installierte, entfernte oder aktualisierte Profile sowie hinzugefügte oder entfernte Zertifikate. Eine Änderung wird erkannt, wenn das Gerät eine neue Liste sendet – wöchentlich für Apps und Profile, täglich für Zertifikate – oder wenn Sie Gerät abfragen verwenden: Das angezeigte Datum ist das Erkennungsdatum, die Änderung fand zwischen der vorherigen Liste und dieser statt. Die erste Liste eines Geräts und die erste nach einer neuen Registrierung oder einer Eigentumsänderung wird nur als Ausgangspunkt erfasst. Suchen Sie nach Name oder Kennung, und filtern Sie nach Art und Änderung. Änderungen werden 365 Tage lang aufbewahrt.

Wenn ein OS-Update viele Apple-Apps auf einmal ersetzt, werden sie als eine Zeile angezeigt (zum Beispiel "23 Apple-Apps aktualisiert"), die Sie erweitern können. Eine Erneuerung des MDM-Zertifikats wird als MDM-Zertifikat erneuert angezeigt. Auf persönlichen Geräten werden nur die Änderungen der von Cerberus Enterprise verwalteten Elemente angezeigt.

Apple-Verlaufsspalten

Erstellungsdatum
Befehl
Status: Gesendet (wartet auf das Gerät, wird zugestellt, sobald es sich verbindet), Erfolgreich, Beantwortet (öffnen Sie die Zeile, um das Ergebnis zu sehen), Warten auf das Gerät (das Gerät kann den Befehl derzeit nicht ausführen), Fehlgeschlagen (öffnen Sie die Zeile, um den Grund zu sehen) oder Abgebrochen (die Befehlswarteschlange des Geräts wurde geleert, zum Beispiel als es sich erneut registriert hat).
Ausführungsdatum

Aktualisieren

Verwenden Sie die Aktualisierungsaktion im Bereich Befehle, um den Befehlsverlauf neu zu laden.

Standortkarte des Dashboards

Die Standortkarte des Dashboards bietet eine globale Ansicht der letzten bekannten Position von Geräten, die Standortdaten melden. Öffnen Sie sie über Dashboard, um mehrere Geräte auf derselben Google-Karte zu prüfen.

Voraussetzungen

Ein Gerät erscheint auf dieser Karte nur, wenn die Standortmeldung in seiner zugewiesenen Richtlinie aktiviert ist. Um sie zu aktivieren, öffnen Sie die Richtlinie und schalten Sie Standort und Geofences → Standort melden ein. Weitere Informationen finden Sie unter Standort und Geofences.

Persönliche Geräte (User Enrollment) teilen ihren Standort nur, wenn in ihrer Apple-Richtlinie Standort und Geofences auf persönlichen Geräten aktiviert ist und der Benutzer den Standort für die Cerberus Enterprise App erlaubt. Andernfalls erfasst Cerberus ihren Standort nicht, und die Live-Verfolgung ist für sie nicht verfügbar.

Informationen zum Verlauf pro Gerät und zu Geofence-Übergängen im Geräteeditor finden Sie unter Standortkarte.

Der Standortverlauf wird 90 Tage lang aufbewahrt, ältere Standorte werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass auch Geräte, die sich lange nicht gemeldet haben, weiterhin auf der Karte angezeigt werden.

Ladezustand und Zustand ohne Daten

Während die Standortdaten geladen werden, zeigt die Karte eine Ladeüberlagerung an.
Wenn derzeit für keine Geräte Standortdaten verfügbar sind, zeigt die Seite die Meldung Keine Standortdaten verfügbar.

Marker und Cluster

Jedes Gerät mit verfügbaren Standortdaten wird als Marker angezeigt. Wenn viele Geräte nahe beieinander liegen, werden die Marker automatisch gruppiert, damit die Karte übersichtlich bleibt.

Geräte, die sich derzeit in der Live-Verfolgung befinden, werden mit einem animierten Marker hervorgehoben, damit sie auf der Karte leichter zu erkennen sind.

Kartensteuerelemente

Wenn die Karte Gerätestandorte enthält, zeigt Cerberus Enterprise oben rechts auf der Karte Aktionsschaltflächen an.

Aktueller Standort: verwendet den Standort Ihres Browsers, um die Karte auf Ihre aktuelle Position zu verschieben und den gemeldeten Genauigkeitsbereich einzupassen.
Karte neu zentrieren: passt die Karte erneut um die aktuell angezeigten Gerätemarker an.
Verfolgt Statusanzeige für Live-Verfolgung: erscheint, wenn ein oder mehrere Geräte live verfolgt werden, und zeigt an, wie viele derzeit aktiv sind.
Alle Live-Verfolgungen beenden: Die Symbolschaltfläche in der Statusanzeige für die Live-Verfolgung beendet nach einer Bestätigung die Live-Verfolgung für alle derzeit verfolgten Geräte.

Markerdetails

Wenn Sie auf einen Marker klicken, wird ein Informationsfenster geöffnet mit:

Das Gerät Modell und interne ID.
Der Zeitstempel des zuletzt gemeldeten Standorts.
Die gemeldete Genauigkeit in Metern.
Die gemeldete Geschwindigkeit, sofern verfügbar.
Die gemeldete Kursrichtung oder Peilung, sofern verfügbar.

Die Geräte-ID im Informationsfenster ist ein Link, der die entsprechende Seite Geräteübersicht öffnet.

Aktionen im Informationsfenster

Jedes Informationsfenster enthält außerdem Aktionsschaltflächen für das ausgewählte Gerät.

Gerätelink: Der Gerätename und die ID oben im Informationsfenster öffnen die entsprechende Geräteübersicht.
Vergrößern: zentriert die Karte auf das ausgewählte Gerät und passt den gemeldeten Genauigkeitskreis enger um das Gerät an.
Live: startet die Live-Verfolgung für dieses Gerät. Wenn die Live-Verfolgung bereits aktiv ist, beendet dieselbe Schaltfläche sie nach einer Bestätigung.
Live-Verfolgung aktiv: Wenn diese Statuszeile vorhanden ist, wird das ausgewählte Gerät bereits in Echtzeit verfolgt.

Genauigkeitskreis

Wenn ein Marker ausgewählt ist, zeigt die Karte einen Genauigkeitskreis um den Standort an. Der Radius des Kreises entspricht der gemeldeten Genauigkeit.

Verhalten der Live-Verfolgung

Wenn Sie die Live-Verfolgung aus einem Informationsfenster starten, wird eine Echtzeit-Verfolgungsanfrage an das Gerät gesendet. Cerberus Enterprise aktualisiert die Karte dann automatisch, solange die Sitzung aktiv ist.

Jede Live-Verfolgungssitzung läuft bis zu 15 Minuten.
Während die Live-Verfolgung aktiv ist, zeigen Android-Geräte eine Benachrichtigung und iPhones und iPads den Standortindikator.
Die Live-Verfolgung kann entweder im Informationsfenster des ausgewählten Geräts oder über die globale Schaltfläche Alle Live-Verfolgungen beenden auf der Karte beendet werden.
Auf iPhone und iPad läuft die Live-Verfolgung über die Cerberus Enterprise App, wobei der Standortzugriff auf Immer gesetzt ist. Die Anfrage weckt die App normalerweise auch dann, wenn sie nicht geöffnet ist, und die App sendet dann während der gesamten Sitzung Standorte. iOS garantiert diese Anfragen nicht: Es kann sie verzögern oder nicht zustellen, zum Beispiel im Stromsparmodus oder ohne Netzwerkverbindung. Wenn innerhalb von 2 Minuten kein Standort eintrifft, bricht das Dashboard die Anfrage ab: Bitten Sie den Benutzer, die App einmal zu öffnen, und versuchen Sie es dann erneut.

Private Apps

In diesem Abschnitt des Dashboards können Sie Ihre eigenen privaten Android-Apps hochladen oder Web-Apps erstellen, um sie auf Ihren Geräten zu verteilen.

Die einzigen Angaben, die Sie machen müssen, sind der Titel und die APK einer App. Private Apps werden automatisch für Ihre Organisation genehmigt und sind in der Regel innerhalb von 10 Minuten zur Verteilung bereit. Sie können insgesamt 15 private Apps pro Tag hochladen. Beachten Sie, dass Web-Apps ebenfalls zu dieser Gesamtzahl zählen.

Wenn Sie zum ersten Mal eine private App veröffentlichen, müssen Sie eine E-Mail-Adresse angeben, um Benachrichtigungen von der Play Console zu Ihren Apps und Ihrem Google Play-Entwicklerkonto zu erhalten. Außerdem erstellt Managed Google Play automatisch ein Play-Entwicklerkonto im Namen Ihrer Organisation. Für dieses Konto müssen Sie keine Registrierungsgebühr bezahlen.

Private Apps, die über das iframe veröffentlicht werden:

Unterliegen nicht denselben Prüfungen wie andere Apps. Daher können sie nicht in öffentliche Apps umgewandelt werden.
Sind nicht übertragbar. Sie können das Eigentum an einer App nicht auf ein anderes Play-Entwicklerkonto übertragen.

Weitere Informationen finden Sie in der Hilfe zu Managed Google Play

Zertifikatsverwaltung

Das Dashboard enthält einen Abschnitt Zertifikate zum Importieren, Anzeigen und Löschen von Zertifikaten. Wenn Sie auf eine Zertifikatszeile klicken, wird der Zertifikatseditor geöffnet.

Zertifikatsliste

Zertifikate werden in einer sortierbaren Tabelle mit Seitenumbruch angezeigt. Die Liste enthält sowohl Client-Zertifikate als auch Zertifizierungsstellen (CA).

Filter

Oben auf der Seite können Sie Filter über die Chip-Liste aktivieren. Einige Filter schließen sich gegenseitig aus.

Alle: alle Zertifikate anzeigen.
Client: nur Client-Zertifikate anzeigen.
Zertifizierungsstelle (CA): nur CA-Zertifikate anzeigen.
Suchen: zeigt ein Textfeld (Bezeichnung Name oder Dateiname) zum Suchen nach Zertifikatsname oder importiertem Dateinamen.
Ohne Benutzer: Client-Zertifikate anzeigen, die keinem Benutzer zugeordnet sind.

Tabellenspalten

Name
Typ
Ablauf
Benutzer (wird für Client-Zertifikate angezeigt)
Importierter Dateiname
Importdatum

Aktionen

Zertifikat öffnen: Klicken Sie auf eine Zeile, um den Zertifikatseditor zu öffnen.
Zertifikat löschen: nur verfügbar, wenn das Zertifikat keinem Benutzer und keiner Richtlinie zugeordnet ist und nicht von Geräten verwendet wird. Die Aktion kann auch deaktiviert sein, wenn die Lizenz abgelaufen ist.
Mehrzeilige Auswahl: Sie können die mehrzeilige Auswahl aktivieren, um mehrere Zertifikate gleichzeitig zu löschen. Es können nur löschbare Zertifikate ausgewählt werden.
Aktualisieren: lädt die Zertifikatsliste neu.

Zertifikate importieren

Um Zertifikate zu importieren, klicken Sie auf Zertifikat importieren und wählen Sie eine oder mehrere Dateien aus. Die unterstützten Formate werden im Tooltip der Import-Schaltfläche angezeigt.

Clients

Unterstütztes Format: Base64-kodiertes PKCS#12 (.p12 / .pfx).

Client-Zertifikate identifizieren einen Benutzer oder ein Gerät im Unternehmensnetzwerk. Client-Zertifikate können einem bestimmten Benutzer zugeordnet werden.

Jedes Client-Zertifikat kann optional einem bestimmten Benutzer zugewiesen werden: So kann dieselbe Wi‑Fi-EAP-Konfiguration auf vielen Geräten bereitgestellt werden. Das können Sie im Abschnitt Netzwerkkonfiguration der Richtlinie tun, indem Sie die Option EAP-Anmeldeinformationen von Benutzern verwenden.

Alternativ können Sie ein Zertifikat auf der Seite Benutzer einem Benutzer zuweisen.

Auf Apple-Geräten werden Zertifikate mit dem Abschnitt Netzwerk der Apple-Richtlinie installiert, in der Sie auch Das Zertifikat des Gerätebenutzers auswählen können. Siehe die Seite Netzwerk der Apple-Richtlinien.

Zertifizierungsstellen (CA)

Unterstützte Formate: Base64-kodiertes X.509 (.crt / .pem / .cer / .der).

CA-Zertifikate identifizieren eine Zertifizierungsstelle und teilen dem Gerät mit, dass allen von der Zertifizierungsstelle ausgestellten Zertifikaten vertraut werden soll. Das Dashboard prüft, ob ein importiertes X.509-Zertifikat eine Zertifizierungsstelle ist.

Zertifikatseditor

Wenn Sie ein Zertifikat öffnen, zeigt der Editor seine Hauptfelder und einen schreibgeschützten Bereich Zertifikatsinformationen.

Hauptfelder

Name (erforderlich)
ID (schreibgeschützt)
Typ (schreibgeschützt)
Ablauf (schreibgeschützt)
Importdatum (schreibgeschützt)
Importierter Dateiname (schreibgeschützt)

Benutzerzuordnung (Client-Zertifikate)

Für Client-Zertifikate zeigt der Editor ein Feld Benutzer an. Wenn ein Benutzer zugewiesen ist, können Sie über ein Menü Benutzer öffnen, Benutzer ändern oder Benutzerzuordnung aufheben auswählen. Wenn kein Benutzer zugewiesen ist, können Sie über die Benutzeraktionsschaltfläche einen zuweisen.

Zertifikat löschen

Die Aktion zum Löschen ist deaktiviert, wenn das Zertifikat derzeit einem Benutzer zugeordnet oder in Richtlinien verwendet wird. Sie kann auch deaktiviert sein, wenn die Lizenz abgelaufen ist.

Ereignisregeln

Ereignisregeln ermöglichen es Ihnen, Reaktionen auf unterstützte Geräteereignisse zu automatisieren. Öffnen Sie Dashboard → Ereignisregeln, um Regeln zu erstellen, die Registrierung, Aufhebung der Registrierung, Nichteinhaltung der Compliance und Geofence-Ereignisse überwachen (Android- und Apple-Geräte; Geofence-Ereignisse stammen von Android-Geräten, iPhones und iPads) und dann automatisch eine oder mehrere Aktionen auslösen.

Was eine Ereignisregel bewirken kann

Jede Regel kombiniert ein Subjekt, ein Ereignis und eine oder zwei Aktionen. Unterstützte Subjekte sind Alle Geräte, Bestimmtes Gerät und Richtlinie.

Ereignisse: Gerät registriert, Registrierung des Geräts aufgehoben, Gerät wird nicht konform, Geofence betreten, Geofence verlassen.
Geräteaktionen: Gerät deaktivieren, Gerät aktivieren, Gerät sperren.
E-Mail-Aktion: eine Benachrichtigungs-E-Mail an Administratoren und, wenn aktiviert, an delegierte Manager senden.

Eine Regel kann nur eine E-Mail-Aktion, nur eine Geräteaktion oder eine Geräteaktion plus eine E-Mail-Aktion enthalten. Wenn beide Aktionen konfiguriert sind, führt Cerberus Enterprise zuerst die Geräteaktion und danach die E-Mail-Aktion aus.

Plattform- und Kompatibilitätsregeln

Die verfügbaren Ereignisse und Aktionen hängen vom ausgewählten Subjekt und von der Plattform ab, die für dieses Subjekt gilt.

Android unterstützt Ereignisse zu Registrierung, Registrierungsaufhebung, Compliance-Verstößen und Geofences.
Apple unterstützt Ereignisse zu Registrierung, Registrierungsaufhebung, Compliance-Verstößen und Geofences. Geofence-Ereignisse kommen von iPhones und iPads mit der Cerberus Enterprise App.
Gerät deaktivieren ist sowohl auf Android als auch auf Apple verfügbar. Auf überwachten iPhones und iPads aktiviert es den Verloren-Modus; andere Apple-Geräte werden stattdessen gesperrt (ein Mac mit einer sechsstelligen PIN, die im Befehlsverlauf des Geräts angezeigt wird). Der Verloren-Modus wird auf der Geräteseite deaktiviert.
Gerät aktivieren wird nur für Geofence-Ereignisse angeboten, auf Android und Apple. Auf iPhones und iPads deaktiviert es den Verloren-Modus.
Gerät deaktivieren und Gerät aktivieren lassen ein Android-Gerät im Verloren-Modus aus: Nur der Befehl Verloren-Modus deaktivieren nimmt es aus dem Verloren-Modus. Die anderen Aktionen der Regel werden weiterhin ausgeführt, und das Systemprotokoll gibt an, warum die Geräteaktion ausgelassen wurde.
Gerät sperren und E-Mail senden sind sowohl auf Android als auch auf Apple verfügbar, wenn das ausgewählte Ereignis sie unterstützt. Ein Mac wird mit einer sechsstelligen PIN gesperrt, die im Befehlsverlauf des Geräts angezeigt wird.
Registrierung des Geräts aufgehoben unterstützt nur E-Mail.

Regelliste

Die Liste der Ereignisregeln ist die zentrale Verwaltungsseite für diese Funktion. Sie enthält eine durchsuchbare Tabelle mit Regelname, Betreff, Ereignis, Aktionen, Plattform, Aktivierungsstatus und Aktualisierungszeit.

Verwenden Sie die Filter-Chips, um zwischen allen Regeln, aktivierten Regeln, deaktivierten Regeln und der Textsuche zu wechseln.
Verwenden Sie die Schaltfläche Aktualisieren, um die aktuelle Tabellenansicht neu zu laden.
Verwenden Sie den Aktivierungsschalter in jeder Zeile, um eine Regel vorübergehend zu aktivieren oder zu deaktivieren.
Verwenden Sie den Modus zur Mehrfachauswahl von Zeilen, um mehrere Regeln gleichzeitig zu löschen.
Verwenden Sie Ereignisregel erstellen, um den Editor für eine neue Regel zu öffnen.

Regeleditor

Der Editor ist in die Abschnitte Allgemein, Geltungsbereich, Auslöser und Aktionen unterteilt. Am unteren Seitenrand sorgt eine fixierte Aktionsleiste dafür, dass die wichtigsten Schaltflächen beim Scrollen sichtbar bleiben.

Allgemein

Name: erforderlich, bis zu 150 Zeichen.
Beschreibung: optional, bis zu 2000 Zeichen.
Regel aktiviert: speichert die Regel im aktivierten oder deaktivierten Zustand.

Geltungsbereich

Der Geltungsbereich legt fest, für welche Geräte die Regel gelten kann. Der Editor zeigt außerdem die ermittelte Plattform und, sofern verfügbar, den effektiven Richtlinienkontext an.

Alle Geräte: Die Regel kann für alle unterstützten Geräte im Unternehmen gelten.
Bestimmtes Gerät: Wählen Sie im Auswahldialog ein verwaltetes Gerät aus.
Richtlinie: Wählen Sie im Auswahldialog eine Richtlinienvorlage aus.

Auslöser

Der Abschnitt „Auslöser“ filtert die verfügbaren Ereignisse automatisch anhand des ausgewählten Geltungsbereichs und der Plattform.

Geofence-Auslöser

Regeln für das Betreten und Verlassen von Geofences gelten für Android-Geräte, iPhones und iPads, und eine Regel für ein Gerät oder eine Richtlinie erfordert einen gültigen Richtlinienkontext. Die Geofence-Definitionen finden Sie unter Standort und Geofences (Android) und Standort und Geofences (Apple).

Wenn der Betreff Alle Geräte lautet, gilt die Regel immer für Beliebiger Geofence.
Wenn der Betreff ein Gerät oder eine Richtlinie ist, können Sie zwischen Beliebiger Geofence und Bestimmter Geofence wählen.
Die Liste der bestimmten Geofences wird aus dem effektiven Richtlinienkontext des ausgewählten Geräts oder der ausgewählten Richtlinie geladen.
Geofence-Regeln für alle Geräte, die gespeichert wurden, bevor Geofences auf iPhone und iPad verfügbar waren, gelten weiterhin nur für Android-Geräte. Öffnen und speichern Sie sie erneut, damit sie auch für Apple-Geräte gelten.

Aktionen

Im Abschnitt „Aktionen“ können Sie eine optionale Geräteaktion und eine optionale E-Mail-Benachrichtigung auswählen. Die Benutzeroberfläche blendet nicht unterstützte Kombinationen automatisch aus. Die E-Mail-Benachrichtigung ist standardmäßig aktiviert, auch wenn Sie eine Geräteaktion auswählen: Deaktivieren Sie sie, wenn Sie nur die Geräteaktion möchten.

Wenn für das ausgewählte Ereignis und den Geltungsbereich keine Geräteaktion verfügbar ist, können Sie dennoch eine reine E-Mail-Regel speichern.
Wenn E-Mail für das ausgewählte Ereignis und die Plattform deaktiviert ist, ist der E-Mail-Schalter nicht verfügbar.
Eine Regel ohne Aktion ist ungültig und kann nicht gespeichert werden.

E-Mail-Empfänger

E-Mail-Aktionen enthalten immer Unternehmensbenutzer mit der Rolle ADMIN. Wenn das Unternehmen über Multi-Tenancy verwaltet wird, können Sie die Empfänger um MT-Manager erweitern.

Nur Hauptmanager: enthält Unternehmensadministratoren und die Kontakte der Haupt-MT-Manager.
Hauptmanager und Unterkonto-Manager: Fügt zusätzlich zugewiesene Unterkonto-Manager hinzu.
Die Vorschauliste zeigt die tatsächlichen E-Mail-Adressen, die beim Ausführen der Regel verwendet werden.
In die endgültige Empfängerliste werden nur delegierte Manager aufgenommen, denen Zugriff auf das Unternehmen gewährt wurde.

Ausführungsverhalten

Ereignisregeln werden sofort ausgeführt, wenn Cerberus Enterprise ein unterstütztes Ereignis von den Backend-Integrationen empfängt. Deaktivierte Regeln werden automatisch übersprungen.

Erfolgreiche, übersprungene und fehlgeschlagene Ausführungen werden mit verständlichen Meldungen im Systemprotokoll aufgezeichnet, einschließlich des Grundes, wenn eine Regel oder eine Geräteaktion übersprungen wurde.

Das Systemprotokoll bewahrt Gerätestatus- und Standortereignisse sowie erfolgreiche oder übersprungene Regelausführungen 90 Tage lang auf. Die anderen Ereignisse, etwa Administratoraktionen, Anmeldungen, Warnungen und Fehler (einschließlich fehlgeschlagener Regelausführungen), werden 12 Monate lang aufbewahrt. Ältere Einträge werden jede Nacht automatisch gelöscht.

Geräte

Der Bereich Geräte des Dashboards (Dashboard → Geräte) listet alle in Ihrem Konto registrierten Geräte auf. Auf dieser Seite können Sie die Liste filtern, einen Gerätedatensatz öffnen und Geräteaktionen wie Deaktivieren oder Aufheben der Registrierung ausführen.

Filter

Oben auf der Seite können Sie einen oder mehrere Filter über die Chip-Liste aktivieren. Ausgewählte Chips stellen die aktuell aktiven Filter dar.

Die Filter hängen von den in Ihrem Konto eingerichteten Plattformen ab: Filter für Apple- oder Android-Geräte erscheinen nur, wenn diese Plattform eingerichtet ist, und die Android- und Apple-Filter erscheinen nur, wenn beide eingerichtet sind.

Verfügbare Filter

Alle: alle Geräte anzeigen.
Registriert: zeigt registrierte Geräte, unabhängig von ihrem Status (zum Beispiel Aktiv, Verloren oder Deaktiviert). Geräte mit aufgehobener Registrierung und ADE-Geräte, die noch nicht registriert sind, werden nicht angezeigt. Dieser Filter ist beim Öffnen der Seite ausgewählt: Wählen Sie Alle, um Geräte mit aufgehobener Registrierung und von Apple Business synchronisierte Geräte zu sehen, die noch nicht registriert sind.
Nicht konform: zeigt Geräte, die nicht richtlinienkonform sind.
Nicht sicher: Geräte mit einem unsicheren Zustand anzeigen.
App-Fehler: Android-Geräte anzeigen, deren Apps Fehlerfeedback gesendet haben, und Apple-Geräte mit verwalteten Apps, die Aufmerksamkeit erfordern (Installation fehlgeschlagen, vom Benutzer abgelehnt oder entfernt oder auf den Benutzer wartend).
Verloren: zeigt Geräte im Verloren-Modus, auf Android und Apple. Ihr Status wird als Verloren angezeigt.
Status nicht aktualisiert: Geräte anzeigen, die in den letzten 72 Stunden keinen Status gemeldet haben.
Richtlinie nicht aktualisiert: Geräte anzeigen, bei denen Richtlinienänderungen ausstehen.
MDM-Zertifikat läuft ab: Apple-Geräte anzeigen, deren MDM-Zertifikat abgelaufen ist oder innerhalb von 14 Tagen abläuft.
Android: nur Android-Geräte anzeigen.
Apple: nur Apple-Geräte anzeigen.
iPhone, iPad, Mac: nur diese Apple-Geräte anzeigen. Sie können mehr als eines auswählen.
Unternehmenseigen: nur unternehmenseigene Geräte anzeigen.
Persönlich: nur persönliche Geräte anzeigen.
Device Owner: nur vollständig verwaltete Android-Geräte anzeigen.
Profile Owner: nur Android-Geräte mit Arbeitsprofil anzeigen.
Überwacht / Nicht überwacht: Apple-Geräte anzeigen, die überwacht werden oder nicht.
Suche: ein Textsuchfeld aktivieren.

Suche

Wenn Sie den Filter Suche aktivieren, erscheint ein Textfeld mit der Bezeichnung ID, Modell, Benutzer, Seriennummer oder Betriebssystem: Es durchsucht die Geräte-ID, das Modell, den Benutzernamen, die Seriennummer und die Betriebssystemversion. Die Liste wird automatisch aktualisiert, sobald Sie mit der Eingabe aufhören.

Gerätetabelle

Geräte werden in einer sortierbaren, paginierten Tabelle angezeigt. Ein Klick auf eine Zeile öffnet den Geräteeditor.

Spalten

Modell: Gerätemodell.
Benutzer: zugeordneter Benutzer (Name, E-Mail oder ID, je nach Verfügbarkeit).
Zustand: Gerätezustand (mit Tooltip-Details).
Compliance: Anzeige des Compliance-Status.
Sicherheit: Sicherheitszustand (mit Tooltip-Details). Auf Apple-Geräten: Gefährdet ohne Passcode und auf Macs mit deaktiviertem FileVault oder sicherem Start; Möglicherweise kompromittiert auf Macs mit deaktiviertem System Integrity Protection oder signiertem Systemvolume. Die Geräteseite listet die Risiken auf. Apple meldet jailbroken iPhones und iPads nicht an die Geräteverwaltung.
App-Fehler: Anzeige für App-Fehler.
Letzter Statusbericht: Zeitstempel des letzten Statusberichts (falls verfügbar).
Richtlinie: aktuell zugewiesene Richtlinie.
Betriebssystem: Betriebssystem und Version (zum Beispiel iOS 17.7 oder Android 14). Die Sortierung erfolgt zuerst nach System und dann nach Version.
Eigentum: unternehmenseigen oder persönlich (mit Tooltip-Details).
Verwaltungsmodus: Verwaltungsmodus (mit Tooltip-Details).
ID: interne Gerätekennung.

Aktualisieren und Paginierung

Verwenden Sie die Aktualisierungsaktion, um die Liste neu zu laden.
Die Tabelle ist paginiert (10/25/50 Einträge pro Seite).

Geräteaktionen

Jede Gerätezeile kann Aktionen bereitstellen, je nach Plattform und Gerätezustand. Einige Aktionen sind deaktiviert, wenn Ihre Lizenz abgelaufen oder beendet ist.

Aktionen pro Gerät

Gerät deaktivieren / Gerät aktivieren: verfügbar für Android-Geräte in unterstützten Zuständen.
Geräteregistrierung aufheben: entfernt die Verwaltung. Auf Android kann dies das Arbeitsprofil löschen oder das Gerät auf die Werkseinstellungen zurücksetzen (je nach Eigentum); auf Apple werden die Richtlinieneinstellungen entfernt.
Gerät löschen: verfügbar für Geräte, deren Registrierung bereits aufgehoben wurde (entfernt den Datensatz aus dem System). Ein Mac, dessen Firmware-Passwort noch in Cerberus Enterprise gespeichert ist, wird erst nach einer Bestätigung gelöscht, da das Passwort mit ihm gelöscht wird.

Mehrfachauswahl

Sie können die Mehrfachauswahl in der Aktionsleiste unterhalb der Tabelle aktivieren. Wenn sie aktiviert ist, können Sie mehrere Zeilen auswählen und Sammelaktionen anwenden (deaktivieren, aktivieren, Registrierung aufheben oder löschen), je nachdem, welche Geräte ausgewählt sind.

Für Apple-Geräte sperrt das Menü Apple-Geräteaktionen alle ausgewählten Geräte, startet sie neu, fährt sie herunter, aktualisiert ihre Informationen oder löscht sie. Eine Aktion ist verfügbar, wenn jedes ausgewählte Gerät ein registriertes Apple-Gerät ist, das sie unterstützt. Die PINs der Macs, die gesperrt oder gelöscht werden, werden nach dem Senden des Befehls einmal angezeigt. Das Aufheben der Registrierung von Apple-Geräten entfernt deren Registrierungsprofil und Richtlinieneinstellungen, ohne sie zu löschen.

Mobilfunkpläne aktualisieren fordert die ausgewählten iPhones und iPads auf, die eSIM-Pläne herunterzuladen, die der Mobilfunkanbieter an ihre EIDs gebunden hat, und zwar von einem Mobilfunk-eSIM-Server, der in einem Fenster für alle eingegeben wird. Im Gegensatz zu den anderen Aktionen wird sie nur an die ausgewählten Geräte gesendet, die sie unterstützen: Macs, User Enrollments, Geräte mit einem älteren iOS und iPads, die nie Mobilfunkdaten gemeldet haben, werden übersprungen und im Ergebnis aufgeführt. Siehe die Seite SIM-Verwaltung.

Apple Business-Synchronisierung

Wenn Apple Management konfiguriert ist und ein Token für die Automatische Geräteregistrierung vorhanden ist, kann die Seite die Aktion Von Apple Business synchronisieren anzeigen, um Geräte aus Apple Business zu importieren. Eine Meldung gibt an, wie viele Geräte hinzugefügt wurden. Wenn einige hinzugefügt wurden, wechselt die Liste zum Filter Alle, da Geräte, die noch nicht registriert sind, vom Filter Registriert nicht angezeigt werden.

Gerät registrieren

Verwenden Sie Gerät registrieren, um den Bereich „Registrierungstoken“ zu öffnen und die Registrierung eines neuen Geräts zu starten.

Benutzer

Der Abschnitt Benutzer des Dashboards (Dashboard → Benutzer) listet alle in Ihrem Konto konfigurierten Benutzer auf. Auf dieser Seite können Sie nach Benutzern suchen, den Benutzereditor öffnen, neue Benutzer erstellen und Benutzer löschen, die derzeit nicht mit Geräten verknüpft sind.

Suche

Oben auf der Seite befindet sich ein Suchfeld mit der Bezeichnung Suche und dem Platzhalter Name, Benutzername oder E-Mail. Die Liste wird automatisch aktualisiert, sobald Sie die Eingabe beenden.

Benutzertabelle

Benutzer werden in einer sortierbaren, paginierten Tabelle angezeigt. Wenn Sie auf eine Zeile klicken, wird der Benutzereditor geöffnet.

Spalten

Name: Vor- und Nachname des Benutzers. Die Tabelle ist standardmäßig nach Namen sortiert.
E-Mail: E-Mail-Adresse des Benutzers.
Benutzername: Benutzername (oft ein Verzeichnisbenutzername).
Geräte: Anzahl der dem Benutzer derzeit zugeordneten Geräte, mit Ausnahme von Geräten, deren Registrierung aufgehoben wurde. Dazu gehören Apple-Geräte, die dem Benutzer zugewiesen sind und noch nicht registriert wurden.
Letzte Geräteaktivität: der zuletzt von einem der Geräte des Benutzers gesendete Statusbericht. Das Feld ist leer, wenn der Benutzer keine Geräte hat. Sortieren Sie nach dieser Spalte, um inaktive Benutzer zu finden.
WiFi-Zertifikat: Name des dem Benutzer zugewiesenen Wi‑Fi-Zertifikats, mit einem Symbol. Das Feld ist leer, wenn der Benutzer kein Zertifikat hat.
ID: interne Benutzerkennung.

Aktualisieren und Paginierung

Die Aktion zum Aktualisieren lädt die Liste neu.
Die Tabelle ist paginiert (10/25/50 Einträge pro Seite).

Benutzeraktionen

Neuen Benutzer erstellen

Verwenden Sie Neuen Benutzer erstellen, um den Dialog zur Benutzererstellung zu öffnen. Diese Aktion ist deaktiviert, wenn Ihre Lizenz abgelaufen ist.

Von Google Workspace synchronisieren

Wenn die Google Workspace-Verzeichnissynchronisierung für Ihr Konto verfügbar ist, wird auf der Seite Von Google Workspace synchronisieren angezeigt. Wenn Sie eine Synchronisierung starten, wird während der Ausführung der Anforderung ein Fortschrittsindikator angezeigt.

Benutzer löschen

Sie können einen Benutzer nur löschen, wenn der Benutzer keinem Gerät zugeordnet ist (die Spalte Geräte muss 0 sein). Die Löschaktion ist deaktiviert, wenn Ihre Lizenz abgelaufen oder beendet ist.

Mehrzeilenauswahl und Massenlöschung

Über die Aktionsleiste unterhalb der Tabelle können Sie die Mehrzeilenauswahl aktivieren. In diesem Modus können Sie mehrere Benutzer auswählen und sie in großen Mengen löschen.

Zulässigkeit: Nur Benutzer mit Geräte = 0 können zum Löschen ausgewählt werden.
Alle auswählen: Das Kontrollkästchen Alle wählt alle zulässigen Zeilen auf der aktuellen Seite aus.
Massenlöschung: Ausgewählte Benutzer löschen ist deaktiviert, wenn keine Zeilen ausgewählt sind oder wenn Ihre Lizenz abgelaufen oder beendet ist.

Wi‑Fi-Zertifikate und EAP

Die Spalte WiFi-Zertifikat zeigt den Namen des Zertifikats, das einem Benutzer derzeit zugewiesen ist. Benutzerzertifikate werden in der Regel für Wi‑Fi-EAP-Konfigurationen (zum Beispiel EAP‑TLS) verwendet. Informationen zur Zuweisung und Verwaltung von Zertifikaten finden Sie unter Zertifikatsverwaltung.

Benutzer

Benutzereditor

Der Benutzereditor ist über Dashboard → Benutzer verfügbar, indem Sie auf eine Benutzerzeile klicken. Dort können Sie Benutzerdetails bearbeiten, benutzerspezifische Wi‑Fi-EAP-Anmeldeinformationen konfigurieren und die dem Benutzer zugeordneten Geräte anzeigen.

Benutzerdetails

Der obere Abschnitt enthält die Hauptfelder des Benutzers. Einige Felder sind erforderlich, und der Editor zeigt Validierungsfehler an, wenn sie fehlen oder ungültig sind.

ID: schreibgeschützte Kennung.
Vorname: erforderlich.
Nachname: erforderlich.
Benutzername: erforderlich.
E-Mail: erforderlich und muss eine gültige E-Mail-Adresse sein.
Telefonnummer: optional.
Google-Konto: optional und muss, falls angegeben, eine gültige E-Mail-Adresse sein.
Apps and Books (schreibgeschützt, wird im Feld Managed Apple Account angezeigt, sobald der Benutzer ein persönliches iPhone oder iPad per User Enrollment registriert hat): der Status des Apps-and-Books-Benutzers, den Cerberus für das Managed Apple Account erstellt hat, um dem Benutzer App-Lizenzen für seine persönlichen Geräte zuzuweisen: zugeordnet, registriert, wartet auf Apple, wird erstellt, fehlgeschlagen oder zurückgezogen. Ein Benutzer, der registriert bleibt, kann weiterhin Lizenzen erhalten; fehlgeschlagen bedeutet in der Regel, dass das Konto nicht zur selben Apple-Business-Organisation wie der Apps-and-Books-Token gehört.

Standardsrichtlinie für die Google-Authentifizierung

In Google Workspace-Umgebungen mit aktivierter Google-Authentifizierung kann der Editor Standardsrichtlinie für die Google-Authentifizierung anzeigen. Dies ist die Richtlinie, die auf Geräte angewendet wird, die von diesem Benutzer über die Google-Authentifizierung registriert wurden.

Richtlinie ändern: öffnet den Dialog zur Richtlinienauswahl.
Richtlinie öffnen: öffnet die ausgewählte Richtlinie im Richtlinieneditor (wenn eine Richtlinie festgelegt ist).
Nach der Auswahl einer neuen Standardrichtlinie müssen Sie den Benutzer speichern, um die Änderung anzuwenden. Der Editor zeigt eine Benachrichtigung an, die Sie zum Speichern auffordert.

Wi‑Fi-EAP-Anmeldeinformationen

Der Abschnitt WiFi-EAP-Anmeldeinformationen wird verwendet, um benutzerspezifische Anmeldeinformationen zu konfigurieren, die automatisch auf den Geräten des Benutzers installiert werden, wenn die ihm zugewiesene Richtlinie eine Wi‑Fi-EAP-Konfiguration enthält, die diese erfordert. Die Wi‑Fi-EAP-Konfiguration ist Teil der Android-Richtlinie Netzwerkkonfiguration.

Clientzertifikat

Sie können einem Benutzer optional ein Clientzertifikat zuweisen. Wenn ein Zertifikat zugewiesen ist, wird es im Feld Clientzertifikat angezeigt und ein Menü bietet Aktionen. Wenn kein Zertifikat zugewiesen ist, zeigt das Feld Kein Zertifikat zugewiesen an und Sie können eines zuweisen.

Zertifikat zuweisen: öffnet den Dialog zur Zertifikatsauswahl.
Zertifikat öffnen: öffnet den Zertifikatseditor.
Zertifikat ändern: wählt ein anderes Clientzertifikat aus.
Zertifikat trennen: entfernt das Zertifikat vom Benutzer. Das System entfernt das Zertifikat außerdem von allen mit diesem Benutzer verknüpften Geräten.

Informationen zum Importieren und Verwalten von Zertifikaten finden Sie unter Zertifikatsverwaltung.

Identität, anonyme Identität und Passwort

Identität: Identität des Benutzers. Bei tunnelnden äußeren Protokollen (PEAP, EAP‑TTLS) wird diese innerhalb des Tunnels verwendet.
Anonyme Identität: wird bei tunnelnden äußeren Protokollen als die außerhalb des Tunnels angezeigte Identität verwendet. Wenn nicht angegeben, wird standardmäßig eine leere Zeichenfolge verwendet.
Passwort: das Benutzerpasswort für EAP-Methoden, die es erfordern. Wenn es nicht angegeben ist, kann das Gerät den Benutzer dazu auffordern. Eine Aktion zum Ein-/Ausblenden schaltet die Sichtbarkeit des Passworts um.

Verknüpfte Geräte

Der Abschnitt Verknüpfte Geräte zeigt die Liste der derzeit mit dem Benutzer verknüpften Geräte. Wenn der Benutzer ein oder mehrere verknüpfte Geräte hat, kann der Benutzer nicht gelöscht werden.

Speichern und löschen

Benutzer speichern: nur aktiviert, wenn das Formular gültig ist, ausstehende Änderungen vorhanden sind und die Lizenz aktiv ist. Während des Speicherns wird ein Fortschrittsindikator angezeigt.
Benutzer löschen: deaktiviert, wenn der Benutzer mit Geräten verknüpft ist oder wenn die Lizenz abgelaufen/beendet ist. Wenn das Löschen zulässig ist, wird ein Bestätigungsdialog angezeigt. Wenn der Benutzer Registrierungstokens zugewiesen ist, warnt der Dialog davor, dass mit diesen Tokens registrierte Geräte keinem Benutzer mehr zugewiesen werden. Beim Löschen des Benutzers werden außerdem die App-Lizenzen seines Apps-and-Books-Benutzers freigegeben und dieser bei Apple zurückgezogen.

Warnung bei nicht gespeicherten Änderungen

Wenn Sie nicht gespeicherte Änderungen haben und versuchen, die Seite zu verlassen, fragt das Dashboard, ob Sie die Änderungen verwerfen möchten.

Konto

Einstellungen

Die Seite Einstellungen (Dashboard → Einstellungen) fasst Konto- und Lizenzinformationen zusammen und bietet Aktionen zur Verwaltung der Abrechnung, der Plattformeinrichtung (Android Management und Apple Management) und optionaler Verzeichnis-/Token-Integrationen.

Lizenzbanner (läuft bald ab / abgelaufen)

Wenn Ihre Lizenz bald abläuft, abgelaufen ist oder beendet wurde, wird oben auf der Seite ein auffälliger Banner angezeigt. Je nach Abonnementstatus bietet er entweder die Aktion Abrechnung verwalten (Stripe-Kundenportal) oder die Aktion Lizenz kaufen an.

Wenn die Lizenz abgelaufen ist, kann das Konto nur noch die Registrierung von Geräten aufheben. Nach der Kulanzfrist kann das Konto gekündigt werden, und die Registrierung von Geräten kann automatisch aufgehoben werden.

Das Apple Push Certificate (APNs), das Apple Business Token (Automated Device Enrollment) und das Apps and Books Token (früher VPP) müssen jedes Jahr erneuert werden. Beginnend 30 Tage vor dem Ablauf wird oben im Dashboard ein Banner für jedes Zertifikat bzw. jeden Token angezeigt, das bzw. der bald abläuft oder abgelaufen ist, zusammen mit dem Ablaufdatum oder der Funktion, die nicht mehr funktioniert. Die Aktion So erneuern Sie öffnet diese Seite mit den passenden, ausgeklappten Anleitungen zur Erneuerung.

Wenn das Apple Push Certificate abläuft, können Apple-Geräte keine Befehle oder Richtlinienaktualisierungen mehr empfangen. Wenn das Apple Business Token abläuft, funktioniert Automated Device Enrollment nicht mehr. Wenn das Apps and Books Token abläuft, können Apps nicht mehr verteilt werden.

Cerberus installiert seine kostenlose App Cerberus Enterprise auf iPhones und iPads (iOS und iPadOS 18.4 oder neuer) mit einer Apps and Books Gerätelizenz. Oben im Dashboard wird ein Banner angezeigt, wenn die App nicht in Ihrer Apple Business Bibliothek ist, wenn das Apps and Books Token fehlt oder abgelaufen ist oder wenn einige iPhones und iPads noch auf die App warten (mit deren Anzahl). So fügen Sie sie hinzu öffnet diese Seite bei der Zeile Cerberus Enterprise app mit den Schritten; So richten Sie sie ein (wird angezeigt, wenn das Apps and Books Token fehlt oder abgelaufen ist) öffnet die Anleitung für das Apps and Books Token.

Enterprise-Manager-Zugriff

Die Karte Enterprise-Manager-Zugriff wird nur für Unternehmen angezeigt, die von einem Multi-Tenancy-Konto verwaltet werden (zum Beispiel einem Managed Service Provider). Sie zeigt Ihnen, welche Manager-Konten in Ihrem Unternehmen tätig sein können, und ermöglicht es Ihnen, deren Zugriff zu steuern.

Die Karte zeigt:

The Inhaber des Unternehmens. Der Inhaber hat immer Zugriff, und sein Zugriff kann nicht entzogen werden.
Jedes Manager-Konto des Multi-Tenancy-Kontos, gekennzeichnet als Hauptmanager oder Unterkonto, mit Name, Benutzername und Zugriffsstatus (Gewährt, Entzogen oder Nicht gewährt).

Zugriff gewähren und entziehen

Verwenden Sie Gewähren, damit ein Manager-Konto auf Ihr Unternehmen zugreifen und es verwalten kann, und Entziehen, um diesen Zugriff zu entfernen. Jede Aktion erfordert eine Bestätigung. Ein Manager, dessen Zugriff entzogen wurde, kann nicht mehr im Unternehmen tätig sein, auch wenn er gerade damit arbeitet.

Als Unternehmensadministrator können Sie den Zugriff für jedes aufgelistete Manager-Konto gewähren oder entziehen.
Der Hauptmanager kann den Zugriff für seine eigenen Unterkonten gewähren oder entziehen, aber nur solange sein eigener Zugriff gewährt ist. Er kann sich selbst keinen Zugriff gewähren und seinen eigenen Zugriff nicht entziehen.

Das Entziehen des Zugriffs für den Hauptmanager entzieht auch den Zugriff für alle seine Unterkonten. In diesem Fall listet der Bestätigungsdialog die Unterkonten auf, die den Zugriff verlieren.

Kontoinformationen

Die Kontoinformationen zeigt schreibgeschützte Felder:

Benutzername
Unternehmensname
Unternehmens-ID

Passwort ändern

Wenn Sie nicht mit Google, Apple oder Microsoft angemeldet sind, zeigt die Karte außerdem die Aktion Passwort ändern an. Diese öffnet einen Dialog, in dem Sie den Ablauf zum Ändern des Passworts fortsetzen können.

Sie können Ihr Passwort jederzeit auch über das Benutzermenü in der oberen Symbolleiste ändern, indem Sie Passwort ändern verwenden. Das ist nützlich für Multi-Tenancy-Konten, die ihr Passwort ändern können, ohne ein Unternehmen zu betreten.

Wenn ein Administrator Ihr Konto erstellt oder Ihr Passwort zurückgesetzt hat, melden Sie sich mit einem temporären Passwort an und müssen ein neues Passwort wählen, bevor Sie fortfahren.

Lizenzinformationen

Die Karte Lizenzinformationen zeigt den aktuellen Lizenzstatus und Ihr Gerätelimit. Sie bietet außerdem Aktionen zum Kontaktieren des Vertriebs sowie zum Verwalten der Abrechnung oder zum Kauf einer Lizenz.

Lizenzstatus: wird als Aktiv oder Abgelaufen angezeigt (mit einem Symbol-Badge und Tooltip).
Kostenlose Testversion: wird angezeigt, wenn sich das Konto derzeit im Testmodus befindet.
Lizenzierte Geräte: maximale Anzahl der von der Lizenz erlaubten Geräte. Der Link Mehr Geräte benötigt? öffnet eine Nachricht an den Support. Registrierte Geräte zählen, unabhängig von ihrem Status (zum Beispiel Aktiv, Verloren oder Deaktiviert). Geräte mit aufgehobener Registrierung zählen nicht, ebenso wenig Geräte, die von Apple Business synchronisiert wurden, bis sie sich registrieren. Wenn das Limit erreicht ist, wird kein neues Gerät hinzugefügt und seine Registrierung entfernt: Das Ereignis wird im Systemprotokoll festgehalten, und die Kontoadministratoren erhalten eine E-Mail. Auf Apple-Geräten dauert die Entfernung etwa eine Minute, und ein bereits gezähltes Gerät kann sich erneut registrieren, ebenso ein mit Return to Service gelöschtes Gerät.
Nächste geplante Verlängerung: wird für aktive Abonnements angezeigt, die automatisch verlängert werden. Andernfalls zeigt die Karte das Ablaufdatum an.

Android Management

Die Karte Android Management zeigt den Status von Android Management für Ihr Unternehmen. Wenn Android Management noch nicht konfiguriert ist, bietet die Karte die Aktion Android Management einrichten, die den Einrichtungsablauf öffnet.

Konfigurierter Zustand

Wenn Android Management konfiguriert ist, kann die Karte Folgendes anzeigen:

Management-ID
Bindungstyp: gibt an, ob das Unternehmen ein Managed Google Play-Konto oder eine verwaltete Google-Domain verwendet.
Mit Google Workspace synchronisiert (Badge wird angezeigt, wenn die Verzeichnissynchronisierung aktiv ist)
Mit Google Workspace synchronisieren (wird angezeigt, wenn die Verzeichnissynchronisierung nicht konfiguriert ist; öffnet das Anleitungsfenster unten auf der Seite)

Android Enterprise-Bindung

Android Management kann entweder mit einem Managed Google Play-Konto oder einer verwalteten Google-Domain verknüpft werden. Das Feld Bindungstyp zeigt, welche Option derzeit mit Ihrem Unternehmen verknüpft ist.

Ein Managed Google Play-Konto ist ein schlankes Android Enterprise-Konto. Es eignet sich für die Verwaltung von Android-Geräten und -Apps über Cerberus Enterprise, ist jedoch von einer Google Workspace- oder Cloud Identity-Organisation getrennt. Es bietet nicht die zentrale Google-Verwaltung, die mit einer verwalteten Google-Domain verfügbar ist.

Eine verwaltete Google-Domain verknüpft Android Enterprise mit der Google-Identität Ihrer Organisation. IT-Administratoren können Google-Produkte wie Google Workspace, Cloud Identity und Gemini über die Google Admin Console verwalten und gleichzeitig Android-Apps und -Richtlinien in Cerberus Enterprise verwalten. Dies ermöglicht einen optimierten, integrierten Ansatz für die Android-Verwaltung und unterstützt Registrierungs- und Benutzerverwaltungsabläufe auf Basis von Google Workspace.

Wenn das Unternehmen ein Managed Google Play-Konto verwendet, bietet die Karte Einstellungen die Aktion Auf verwaltete Google-Domain upgraden und eine Informationsaktion. Das Upgrade öffnet den geführten Prozess von Google, um das bestehende Android Enterprise in eine verwaltete Domain zu verschieben.

Während des Upgrades kann Google ein vorhandenes Google Admin-Konto verknüpfen, das Ihrer geschäftlichen E-Mail-Adresse zugeordnet ist, oder automatisch ein neues kostenloses Google Admin-Konto erstellen. Verwenden Sie eine geschäftliche E-Mail-Adresse wie name@enterprise.com, um den geführten Einrichtungsprozess von Google fortzusetzen.

Apple Device Management

Die Karte Apple Device Management zeigt den Status der Apple-Geräteverwaltung (MDM) für Ihr Unternehmen. Wenn die Apple-Verwaltung noch nicht konfiguriert ist, bietet die Karte die Aktion Apple Management einrichten, die den Einrichtungsablauf öffnet.

Konfigurierter Zustand

Wenn die Apple-Verwaltung konfiguriert ist, kann die Karte Folgendes anzeigen:

Apple-ID
Ablauf des Apple Push Certificate: zeigt das Ablaufdatum und ein Symbol-Badge. Wenn das Zertifikat bald abläuft oder abgelaufen ist, ist das Badge anklickbar und öffnet die Anleitung zur Erneuerung.
Ablauf des Apple Business Token: zeigt den Ablauf des Apple Business Token, das für Automated Device Enrollment verwendet wird (mit einem anklickbaren Badge, wenn eine Aktion erforderlich ist).
Apps and Books Token: zeigt den Organisationsnamen und den Ablauf des Apple Apps and Books Content-Tokens, früher Volume Purchase Program (VPP) (mit einem anklickbaren Badge, wenn eine Aktion erforderlich ist).
Cerberus Enterprise app: zeigt auf der Karte für das Apps and Books Token, ob die App in Ihrer Apple Business Bibliothek ist: In Ihrer Bibliothek (unbegrenzte Lizenzen), Nicht in Ihrer Bibliothek oder Nicht verfügbar: Das Apps and Books Token ist abgelaufen, und wie viele iPhones und iPads darauf warten. Wenn die App fehlt, listet die Zeile die Schritte auf, um sie hinzuzufügen (öffnen Sie in Apple Business Apps & Services → Apps & Books → App Store, suchen Sie nach „Cerberus Enterprise“, klicken Sie auf View, dann auf Add, wählen Sie All current and future in Organizational Units, klicken Sie auf Add, dann auf Review und bestätigen Sie). Check again liest die Bibliothek erneut (höchstens alle 5 Minuten); die Geräte, die auf die App warten, erhalten sie dann.
Apple Business: Link zum Apple Business Portal, wird angezeigt, wenn ein Apple Business Token vorhanden ist.
Mit Apple Business synchronisieren und Mit Apple Apps and Books synchronisieren: werden angezeigt, wenn Token fehlen.

Die Apple-Verwaltung erfordert die Einrichtung des APNs-Zertifikats. Bei Bedarf finden Sie unter Apple Management einrichten (APNs) weitere Informationen.

Präferenzen & Datenschutz

Die Karte Präferenzen & Datenschutz enthält einen Umschalter für Marketingpräferenzen und Links zu den Nutzungsbedingungen und der Datenschutzrichtlinie. Verwenden Sie Präferenzen speichern, um Änderungen zu übernehmen (während des Speicherns wird ein Fortschrittsindikator angezeigt).

Feedback senden

Wenn Abonnements für das Konto aktiviert sind, kann die Seite eine Karte Feedback senden mit Links zu Funktionswunsch einreichen und externen Bewertungsplattformen anzeigen.

Inline-Anleitungen für Einrichtung und Erneuerung

Unten auf der Seite kann das Dashboard je nach aktuellem Status erweiterbare Anleitungsfenster anzeigen (zum Beispiel, wenn ein Zertifikat bzw. Token fehlt oder bald abläuft).

Apple Push Certificate (APNs) erneuern

Wenn das APNs-Zertifikat bald abläuft oder abgelaufen ist, zeigt die Seite ein Fenster mit Schritten zum Herunterladen einer CSR, zum Erneuern des Zertifikats im Apple Portal und zum Hochladen des neuen Zertifikats in Cerberus Enterprise.

Solange ein Zertifikat oder Token noch gültig ist, öffnet die Schaltfläche zum Hochladen daneben dieselben Schritte. Verwenden Sie sie, wenn Sie ein neues Apple Business- oder Apps and Books-Token heruntergeladen haben, weil das alte nicht mehr funktioniert, oder um das Apple Push Certificate vorzeitig zu erneuern. Erneuern Sie immer das aktuelle Apple Push Certificate: Ein anderes wird abgelehnt, solange Apple-Geräte registriert sind, da sie sonst nicht mehr erreichbar wären.

Mit Apple Business synchronisieren

Wenn das Apple Business Token fehlt, abgelaufen ist oder bald abläuft, zeigt die Seite ein Fenster mit den Schritten zum Herunterladen eines Tokens aus Apple Business und zum Hochladen in Cerberus Enterprise. Für eine neue Verbindung generieren Sie das öffentliche Schlüsselzertifikat in Cerberus Enterprise und öffnen Sie dann in Apple Business Devices → Management Services, klicken Sie auf Add unter Device Management Services, wählen Sie Connect external device management und klicken Sie auf Continue; geben Sie einen Service Name ein (zum Beispiel Cerberus Enterprise), laden Sie das Zertifikat mit Upload Certificate hoch, klicken Sie auf Next und dann auf Download Service Token und Done. Um den Token zu erneuern, wählen Sie den Dienst Cerberus Enterprise in Management Services aus, klicken Sie oben rechts auf die Schaltfläche … (mehr) und wählen Sie Download Token.

Geräte werden nur dann bei Cerberus Enterprise registriert, wenn sie in Apple Business seinem Dienst zugewiesen sind: Öffnen Sie Devices → Management Services → Default Device Assignment, um neue Geräte automatisch zuzuweisen (pro Gerätetyp), oder öffnen Sie Devices → Inventory, wählen Sie die Geräte aus und klicken Sie auf Assign Device Management.

Mit Apple Apps and Books (VPP) synchronisieren

Wenn das Apps and Books Token fehlt, abgelaufen ist oder bald abläuft, zeigt die Seite ein Fenster mit den Schritten zum Herunterladen eines Content-Tokens aus Apple Business und zum Hochladen in Cerberus Enterprise: Öffnen Sie in Apple Business oben rechts das Organisationsmenü (Ihr Organisationsname) → Settings → Organizational Units, wählen Sie die Organisationseinheit aus (die Standardeinheit ist Ihre Organisation) und klicken Sie auf Download im Abschnitt Content Token. Der Token läuft nach einem Jahr ab oder früher, wenn sich das Passwort des Apple Account ändert, mit dem er heruntergeladen wurde.

Der letzte Schritt der Apps and Books Einrichtung fügt die kostenlose Cerberus Enterprise App Ihrer Apple Business Bibliothek hinzu, sodass Cerberus sie auf Ihren iPhones und iPads installieren kann.

Mit Google Workspace synchronisieren

Wenn die Google Workspace Verzeichnissynchronisierung nicht konfiguriert ist, zeigt die Seite ein Fenster, das die Integration erläutert und eine Schaltfläche zur Autorisierung bereitstellt. Außerdem wird der erforderliche Google OAuth-Bereich aufgeführt: https://www.googleapis.com/auth/admin.directory.user.readonly.

Informationen zur erstmaligen Android-Einrichtung finden Sie unter Android Management einrichten.

Mandantenfähigkeit

Multi-Tenancy-Übersicht

Der Abschnitt Multi-Tenancy ist für MSP- und Unternehmensmanagerkonten verfügbar, die mehrere Kundenunternehmen von einer einzigen Anmeldung aus verwalten. Dieses Kapitel erläutert das Unternehmensbereichsmodell, den Unternehmenswechsel, die Verwaltung verwalteter Unternehmen und Unterkonten.

Um ein Multi-Tenancy-Konto anzufordern, wenden Sie sich an enterprise@cerberusapp.com.

Kernkonzepte

Haupt-Multi-Tenancy-Konto: das primäre Managerkonto, das auf den globalen Multi-Tenancy-Arbeitsbereich zugreifen kann.
Unterkonto: ein vom Hauptkonto erstelltes delegiertes Managerkonto mit auswählbaren Unternehmenszuweisungen.
Ausgewählter Unternehmenskontext: das aktive Unternehmen, das derzeit im Dashboard für den täglichen Betrieb geöffnet ist.
Delegierung: eine vom Eigentümer eines Unternehmens erteilte Berechtigung, die es einem Managerkonto ermöglicht, auf das Unternehmen zuzugreifen und es zu verwalten.

Navigationsmodell

Wenn kein Unternehmenskontext ausgewählt ist, zeigt die Seitennavigation Multi-Tenancy-Bereiche wie Unternehmen und, für Hauptkonten, Unterkonten an. Nach dem Öffnen eines Unternehmens wechselt das Dashboard zur standardmäßigen Einzelunternehmens-Navigation (Startseite, Benutzer, Geräte, Registrierung, Richtlinien und mehr).

Eigentum und Delegierung

Jedes verwaltete Unternehmen hat einen Eigentümer. Der Eigentümer kann stets auf dieses Unternehmen zugreifen. Managerkonten, die nicht Eigentümer sind, können nur dann auf ein Unternehmen zugreifen, wenn eine Delegierung gewährt wurde.

Wenn ein Unternehmen über einen eigenen Administratorbenutzer verfügt, ist dieser Administrator der Eigentümer und entscheidet, welche Managerkonten auf das Unternehmen zugreifen dürfen.
Wenn ein Unternehmen über keinen eigenen Administratorbenutzer verfügt, ist das Haupt-Multi-Tenancy-Konto der Eigentümer.
Bei Unternehmen, die einem Kundenadministrator gehören, kann das Hauptkonto den Zugriff für seine eigenen Unterkonten gewähren oder entziehen, solange ihm selbst Zugriff gewährt wurde; es kann sich jedoch nicht selbst Zugriff gewähren.
Wenn der Unternehmensadministrator den Zugriff für das Hauptkonto entzieht, wird auch der Zugriff für dessen Unterkonten entzogen.
Wenn Sie ein Unternehmen aus den Zuweisungen eines Unterkontos entfernen, wird auch der Zugriff dieses Unterkontos auf das Unternehmen entzogen. Wenn Sie es später erneut zuweisen, muss der Zugriff erneut gewährt werden.

Unternehmensadministratoren verwalten den Zugriff über die Karte Zugriff für Unternehmensmanager auf der Seite Einstellungen.

Eigentümer- und Delegierungsstatus werden direkt auf den Unternehmenskarten angezeigt, damit der Zugriffsbereich vor dem Öffnen eines Unternehmens klar ersichtlich ist.

Lizenz- und Abrechnungsaktionen

Multi-Tenancy-Ansichten zeigen Lizenzstatus, Gerätelimits und Abrechnungsaktionen für Unternehmen an. Je nach Abonnementstatus des Unternehmens und Ihren Berechtigungen kann die Karte Abrechnung verwalten oder Lizenz kaufen anzeigen.

Bei Unternehmen, die von einem Multi-Tenancy-Konto erstellt wurden, wird die Lizenzverwaltung von Multi-Tenancy-Benutzern übernommen. Das Hauptkonto kann die Lizenzverwaltung stets übernehmen, während Unterkonten dies nur können, wenn das Hauptkonto Kann Lizenzen verwalten für dieses Unterkonto aktiviert.

Seiten in diesem Kapitel

Verwaltete Unternehmen: Suche, Filter, Kartendetails und Erstellung von Unternehmen.
Unternehmenswechsel: Verhalten des oberen Umschalters und Bereichsübergänge.
Unterkonten: delegierte Bediener, Zuweisungen und Verwaltung von Anmeldedaten.

Mandantenfähigkeit

Verwaltete Unternehmen

Die Seite Unternehmen (Dashboard → Unternehmen) ist die Steuerzentrale für den Zugriff auf verwaltete Unternehmen. Sie listet alle Unternehmen auf, die für Ihr Multi-Tenancy-Konto sichtbar sind, und ermöglicht es Ihnen, zu filtern, Eigentum/Delegierung zu prüfen, einen Unternehmenskontext zu öffnen und neue verwaltete Unternehmen zu erstellen (nur Hauptkonten).

Suche und Filter

Unternehmen suchen: filtert nach Unternehmensname oder Unternehmens-ID.
Delegierung: Alle, Delegiert oder Nicht delegiert.
Lizenzstatus: Alle, Gültig, Läuft bald ab, Abgelaufen oder Beendet.

Unternehmenskarten

Jede Unternehmenskarte zeigt wichtige Verwaltungsmetadaten:

Lizenzstatus mit Symbol-Badge und kontextbezogenem Tooltip.
Lizenzierte Geräte (Gerätelimit des Unternehmens).
Nächste geplante Verlängerung oder Ablaufdatum, je nach Abonnementstatus.
Delegierungsstatus (Eigentümer, Gewährt oder Nicht gewährt).
Anzeigename und Benutzername des Eigentümers.

Kürzlich ausgewählte Unternehmen

Unternehmen, auf die Sie kürzlich zugegriffen haben, werden im Abschnitt Kürzlich ausgewählt angeheftet, um wiederholte Kontextwechsel zu beschleunigen.

Unternehmensaktionen

Unternehmen öffnen: öffnet den Kontext des ausgewählten Unternehmens, wenn Delegierung/Eigentum den Zugriff erlaubt.
Abrechnung verwalten: öffnet die Abrechnungsverwaltung des Unternehmens, wenn verfügbar und zulässig.
Lizenz kaufen: öffnet den Kaufvorgang für das Unternehmen, wenn die Abrechnung nicht aktiv ist.

Wer Lizenzen verwalten kann

Bei Unternehmen, die von einem Multi-Tenancy-Konto erstellt wurden, wird die Lizenzverwaltung von Multi-Tenancy-Benutzern gesteuert. Das Hauptkonto kann für diese Unternehmen jederzeit Abrechnungs- und Lizenzaktionen verwalten.

Unterkonten können Abrechnungs- und Lizenzaktionen nur verwalten, wenn das Hauptkonto die Berechtigung Kann Lizenzen verwalten auf der Seite Unterkonten erteilt.

Verwaltetes Unternehmen erstellen

Haupt-Multi-Tenancy-Konten können Verwaltetes Unternehmen erstellen im unteren Aktionsbereich aufklappen.

Unternehmensname ist erforderlich.
Administratorbenutzer pro Unternehmen erstellen steuert den Eigentumsmodus.
Wenn aktiviert, sind Administrator-Benutzername (E-Mail-Format) und Administratorname erforderlich.
Vor der Erstellung fasst ein Bestätigungsdialog den Vorgang zusammen und warnt gegebenenfalls, dass temporäre Anmeldedaten per E-Mail an den neuen Administratorbenutzer gesendet werden.

Der neue Administratorbenutzer muss bei der ersten Anmeldung mit dem temporären Passwort ein neues Passwort wählen.

Eigentumsmodus

Administrator pro Unternehmen aktiviert: Der neue Administratorbenutzer ist Eigentümer des Unternehmens und kann die Verwaltung an Ihr Multi-Tenancy-Konto delegieren.
Administrator pro Unternehmen deaktiviert: Das Unternehmen gehört direkt Ihrem Multi-Tenancy-Konto.

Unternehmenskontingent

Wenn das Konto das konfigurierte Unternehmenskontingent erreicht, wird die Erstellung blockiert und das Formular zeigt eine Support-Kontaktmeldung mit der aktuellen und maximalen Unternehmensanzahl an.

Wenn das Unternehmenskontingent erreicht ist, können Sie keine weiteren verwalteten Unternehmen erstellen, bis Ihr Limit erhöht wird.

Mandantenfähigkeit

Unternehmenswechsel

Der Unternehmensumschalter in der oberen Symbolleiste ermöglicht es Multi-Tenancy-Benutzern, zwischen delegierten Unternehmen zu wechseln, ohne sich abzumelden. Er ist verfügbar, wenn mindestens ein Unternehmenskontext ausgewählt werden kann.

Verhalten des Umschalters

Der Umschalter zeigt den Namen des aktuellen Unternehmens (oder die Unternehmens-ID, falls kein Name verfügbar ist).
Das Menü listet delegierte/zugängliche Unternehmen auf und markiert das aktuelle Unternehmen als bereits ausgewählt.
Während des Wechsels sind die Aktionen des Umschalters vorübergehend deaktiviert, um gleichzeitige Bereichsänderungen zu verhindern.

Unternehmen verlassen

Das Umschaltmenü enthält Unternehmen verlassen, wodurch der aktuelle Unternehmenskontext gelöscht und Sie zum globalen Multi-Tenancy-Arbeitsbereich zurückgeführt werden.

Regeln zum Zurücksetzen des Kontexts

Das Wechseln oder Verlassen eines Unternehmens setzt den Dashboard-Bereich zurück. Unternehmensspezifische Seiten und Daten werden für den neu ausgewählten Kontext aktualisiert, und die Sichtbarkeit des Menüs passt sich an, ob derzeit ein Unternehmen ausgewählt ist.

Das ausgewählte Unternehmen gilt für alle Ihre geöffneten Browser-Tabs. Wenn Sie in einem Tab ein Unternehmen wechseln oder verlassen, laden die anderen Tabs das Dashboard bei ihrer nächsten Aktion neu, sodass sie nie mit einem anderen Unternehmen arbeiten als dem angezeigten.

Verwenden Sie den Umschalter für schnelle operative Kontextwechsel, prüfen Sie jedoch den Namen des ausgewählten Unternehmens, bevor Sie sensible Aktionen wie Richtlinienaktualisierungen oder Gerätebefehle ausführen.

Mandantenfähigkeit

Unterkonten

Die Seite Unterkonten (Dashboard → Unterkonten) ist für Haupt-Multi-Tenancy-Konten verfügbar. Sie ermöglicht es Ihnen, delegierte Managerbenutzer zu erstellen, verwaltete Unternehmen zuzuweisen, Abrechnungsberechtigungen zu steuern und Anmeldedaten für Unterkonten zu verwalten.

Liste der Unterkonten

Jede Unterkonto-Karte zeigt Identitäts- und Verwaltungselemente:

Name und Benutzername/E-Mail.
Verwaltete Unternehmen: Mehrfachauswahl-Zuweisung.
Kann Lizenzen verwalten-Berechtigungsumschalter.
Passwort zurücksetzen und Löschen-Aktionen.

Zuweisung verwalteter Unternehmen

Unternehmenszuweisungen werden über das Mehrfachauswahlfeld Verwaltete Unternehmen bearbeitet. Wenn Sie die Auswahl nach Änderungen schließen, fragt das Dashboard vor dem Speichern der Aktualisierungen eine Bestätigung ab.

Durch die Zuweisung eines Unternehmens wird es für das Unterkonto verfügbar, aber das Unterkonto kann es erst öffnen, nachdem der Zugriff gewährt wurde. Wenn Sie ein Unternehmen aus den Zuweisungen entfernen, wird auch der Zugriff des Unterkontos darauf entzogen.

Berechtigung zur Lizenzverwaltung

Der Umschalter Kann Lizenzen verwalten steuert, ob ein Unterkonto auf Abrechnungs-/Lizenzverwaltungsaktionen des Unternehmens zugreifen kann.

Bei Unternehmen, die vom Multi-Tenancy-Konto erstellt wurden, hat das Hauptkonto stets Lizenzverwaltungsrechte. Unterkonten erhalten Lizenzverwaltungsrechte nur, wenn dieser Umschalter vom Hauptkonto aktiviert wird.

Passwort zurücksetzen

Passwort zurücksetzen generiert nach der Bestätigung ein neues temporäres Passwort und sendet es per E-Mail an das Unterkonto.

Bei der Anmeldung mit einem temporären Passwort – sei es nach einem Zurücksetzen oder bei einem neu erstellten Unterkonto – muss der Benutzer ein neues Passwort wählen, bevor er fortfährt.

Unterkonto löschen

Das Löschen eines Unterkontos erfordert eine Bestätigung und entzieht dem Konto dauerhaft den delegierten Zugriff.

Unterkonto erstellen

Verwenden Sie den unteren Aktionsbereich Unterkonto erstellen, um einen neuen delegierten Manager hinzuzufügen.

E-Mail: erforderlich und wird im E-Mail-Format validiert.
Name: erforderlicher Anzeigename.
Kann Lizenzen verwalten: optionale anfängliche Abrechnungsberechtigung.
Vor der Erstellung warnt ein Bestätigungsdialog, dass eine E-Mail mit einem temporären Passwort an die angegebene Adresse gesendet wird.

Einblicke

Hier sind einige Artikel, die Ihnen zeigen, wie MDM Ihrem Unternehmen helfen kann:

Was ist der Kioskmodus? Ein Leitfaden zum Absichern von Android- und Apple-Geräten für Unternehmen

Der Kioskmodus verwandelt Standard-Smartphones und -Tablets in fokussierte Business-Tools. Cerberus Enterprise hilft Organisationen, Geräte auf eine App oder eine kleine, genehmigte Auswahl von Apps zu beschränken – für Anwendungsfälle wie POS im Einzelhandel, Check-in für Gäste und Flottennavigation – und macht diese spezialisierten Geräte gleichzeitig einfacher zu sichern, zu unterstützen und im großen Maßstab zu verwalten.

Die richtige MDM-Lösung wählen: Eine 7-Punkte-Checkliste für kleine Unternehmen

Die Auswahl einer MDM-Lösung spät im Beschaffungsprozess ist einfacher, wenn der Vergleich praxisnah bleibt. Diese Checkliste hilft kleinen Unternehmen, Anbieter anhand der sieben Kriterien zu bewerten, die bei realen Bereitstellungen meist am wichtigsten sind: Sicherheit, Unterstützung für Android und Apple, Benutzerfreundlichkeit für schlanke Teams, Skalierbarkeit, Datenschutzgrenzen, Gesamtbetriebskosten und alltägliche Supportfähigkeit.

Einen sicheren und fokussierten digitalen Unterrichtsraum schaffen: Ein Leitfaden zu MDM für K-12-Schulen

Von Schulen verwaltete Geräte funktionieren am besten, wenn sie auf das Lernen ausgerichtet bleiben. Cerberus Enterprise hilft K-12-Organisationen, Schüler-Geräte durch verwaltete Apps, Einschränkungen im Kioskstil, standardisierte Einrichtungen für gemeinsam genutzte oder ausgeliehene Geräte und Remote-Wiederherstellungsaktionen fokussiert zu halten, die Verluste, Abweichungen und Unterrichtsstörungen reduzieren.

Ihre Außendiensttechniker ausstatten: Wie MDM Effizienz und Sicherheit vor Ort steigert

Außendiensttechniker sind bei der Arbeit vor Ort auf mobile Geräte angewiesen, um Zeitpläne, Servicenotizen, technische Referenzen, Kundenhistorie und Auftragsaktualisierungen abzurufen. Cerberus Enterprise hilft, diese Geräte durch verwaltete Apps, standardisierte Gerätemodelle, Remote-Support-Befehle und standortbasierte Transparenz bereitzuhalten, die die Dispositionskoordination verbessern und gleichzeitig die Sicherheit im Außendienst stärken kann.

Jenseits der Karte: MDM für intelligenteres Flottenmanagement und mehr Fahrersicherheit

Flottenbetriebe verlassen sich auf mobile Geräte für Navigation, Disposition, Messaging, Protokollierung und Außendiensteinsätze. Cerberus Enterprise hilft, diese Geräte durch verwaltete Apps, Kiosk- und dedizierte Gerätesteuerung, sichere Kommunikationsrichtlinien, Remote-Fehlerbehebung und standortbasierte Überwachung auf genehmigte Arbeitsabläufe auszurichten, wodurch Ausfallzeiten reduziert und sicherere Fahrvorgänge unterstützt werden können.

Wie Geofences, Live-Tracking und Standortkarten Unternehmensabläufe verbessern

Standortbasierte Funktionen in Cerberus Enterprise helfen Organisationen, von einfacher Gerätetransparenz zu praktischerer operativer Kontrolle überzugehen. Regelmäßige Standortmeldungen, Live-Tracking, Geofence-Übergänge und interaktive Karten können Logistik, Außendienst, Gesundheitswesen, Einzelhandel, Bauwesen und andere verteilte Teams unterstützen, die besser verstehen müssen, wo gearbeitet wird und wann Geräte wichtige Bereiche betreten oder verlassen.

Wie Multi-Tenancy MSPs dabei hilft, MDM-Dienste zu skalieren und neue Einnahmequellen zu erschließen

Multi-Tenancy ermöglicht es MSPs, Wiederverkäufern und Organisationen mit mehreren Unternehmen, mehrere Mandanten von einem einzigen Cerberus-Enterprise-Konto aus zu verwalten und dabei jede Umgebung getrennt zu halten. Dieses Modell reduziert operativen Reibungsverlust, verbessert die Skalierbarkeit der Dienste und unterstützt delegierten Zugriff über Unterkonten und ausdrücklich kundengesteuerte Administration. Es schafft zudem stärkere Geschäftsmöglichkeiten für Anbieter, die Softwarelizenzierung mit Onboarding, Support, Compliance und Managed-Mobility-Diensten kombinieren möchten.

Die betriebliche Effizienz im Unternehmen mit MDM-Lösungen steigern

Mobile Device Management zentralisiert die Kontrolle über Unternehmensgeräte und vereinfacht Registrierung, Konfiguration und Wartung. Automatisiertes Provisioning und Massenvorgänge reduzieren manuelle IT-Arbeit und sorgen für einheitliche Richtlinien auf allen Geräten. Sicherheitsfunktionen wie Verschlüsselung, Compliance-Überwachung und Remote-Wipe schützen Unternehmensdaten. Insgesamt steigert MDM die Produktivität und senkt gleichzeitig Supportkosten und operative Komplexität.

Erweiterte Sicherheit im Android Enterprise Management

Android Enterprise verwendet ein Arbeitsprofil, um Unternehmens-Apps und -Daten auf demselben Gerät von persönlichen Inhalten zu trennen. Diese Containerisierung schafft getrennte verschlüsselte Umgebungen, die von IT-Administratoren unabhängig verwaltet werden. Sicherheitsrichtlinien können die Freigabe von Unternehmensdaten steuern, ohne persönliche Apps zu beeinträchtigen. Die Architektur schützt Geschäftsdaten auch dann, wenn persönliche Anwendungen kompromittiert werden.

Apple iPhone MDM und automatisierte Registrierung

Das MDM-Framework von Apple ermöglicht die zentrale Verwaltung von iPhones in Unternehmensumgebungen. In Kombination mit Apple Business Manager können Geräte sich bei der ersten Aktivierung automatisch registrieren und konfigurieren. Administratoren können Unternehmens-Apps im Hintergrund bereitstellen und konfigurieren, Sicherheitseinstellungen durchsetzen und die Compliance überwachen. Diese Automatisierung sorgt für eine einheitliche Gerätekonfiguration und reduziert Einrichtungsfehler.

Mobile Device Management verstehen

Mobile Device Management bietet eine zentrale Plattform zum Überwachen, Absichern und Steuern mobiler Geräte, die auf Unternehmenssysteme zugreifen. Zu den Kernfunktionen gehören das Durchsetzen von Sicherheitsrichtlinien, die Verwaltung von Anwendungen sowie das Remote-Sperren oder -Löschen verlorener Geräte. MDM hilft, Unternehmensdaten zu schützen und gleichzeitig die Compliance der Geräte aufrechtzuerhalten. Es ermöglicht Organisationen jeder Größe, wachsende mobile Belegschaften sicher zu verwalten.

Bereitstellungsmodelle für Unternehmensgeräte

Organisationen können verschiedene Eigentumsmodelle für Geräte einsetzen, etwa BYOD, CYOD, COPE, COBO und COSU. Jedes Modell gewichtet Kosten, Benutzerflexibilität und Sicherheitskontrolle unterschiedlich. BYOD priorisiert den Benutzerkomfort, während COBO und COSU die Unternehmenskontrolle und Sicherheit maximieren. Die Wahl des richtigen Modells hängt von regulatorischen Anforderungen, den Anforderungen der Belegschaft und der IT-Verwaltungskapazität ab.

MDM vs. EMM vs. UEM

MDM konzentriert sich auf die Verwaltung und Absicherung mobiler Geräte durch Richtlinendurchsetzung, Konfigurationskontrolle und Remoteverwaltung. EMM erweitert diesen Umfang um Anwendungs- und Inhaltsverwaltung, während UEM versucht, alle Endpunkte einschließlich Laptops und Desktops zu verwalten. Für viele kleine und mittlere Unternehmen bringen vollständige EMM- oder UEM-Suiten unnötige Komplexität mit sich. In der Praxis decken robuste MDM-Funktionen häufig die meisten Anforderungen an die mobile Verwaltung ab.

MDM auf privaten Smartphones und Datenschutz für Mitarbeiter

Moderne MDM-Systeme nutzen Containerisierung, um Arbeits- und persönliche Daten auf mitarbeitereigenen Geräten zu trennen. Arbeitgeber können nur die Arbeitsumgebung verwalten und überwachen, einschließlich Unternehmens-Apps und Compliance-Informationen der Geräte. Persönliche Daten wie Fotos, Nachrichten und Browserverlauf bleiben für das Unternehmen unzugänglich. Diese technische Trennung ermöglicht sichere BYOD-Programme und wahrt gleichzeitig die Privatsphäre der Mitarbeiter.

MDM-ROI und Geschäftswert

MDM sollte als strategische Investition und nicht als reine Sicherheitsausgabe betrachtet werden. Es erzielt finanzielle Erträge durch weniger Geräteverluste, niedrigere IT-Supportkosten und eine höhere operative Effizienz. Automatisierte Verwaltung steigert zudem die Mitarbeiterproduktivität und reduziert Ausfallzeiten. Darüber hinaus senkt eine stärkere Sicherheit das Risiko und die finanziellen Auswirkungen von Datenschutzverletzungen.

HIPAA-konforme Geräteverwaltung

Gesundheitsorganisationen müssen elektronische Patientendaten gemäß den HIPAA-Sicherheitsanforderungen schützen. MDM hilft, Verschlüsselung, Authentifizierungskontrollen, sichere Datenübertragung und detaillierte Prüfprotokolle durchzusetzen. Es ermöglicht außerdem Remote-Wipe und zentrale Richtlinendurchsetzung für Geräte, die auf medizinische Systeme zugreifen. Diese Kontrollen verringern Compliance-Risiken und ermöglichen gleichzeitig mobile Arbeitsabläufe im Gesundheitswesen.

MDM für Einzelhandelsbetrieb und Sicherheit

Einzelhandelsorganisationen verlassen sich auf mobile Geräte für POS-Systeme, Bestandsverwaltung und betriebliche Abläufe im Geschäft. MDM stellt sicher, dass diese Geräte sicher und aktuell bleiben und Standards wie PCI-DSS erfüllen. Die zentrale Verwaltung reduziert Ausfallzeiten und vereinfacht die Gerätebereitstellung an mehreren Standorten. Das Ergebnis sind eine höhere operative Effizienz und ein geringeres Risiko zahlungsbezogener Sicherheitsvorfälle.