Manual de Usuario

Cerberus Enterprise es una solución EMM integral diseñada para ayudarte a proteger y gestionar tus dispositivos Android y Apple. Incluye todas las funciones necesarias para gestionar de forma eficaz dispositivos BYOD y propiedad de la empresa en un panel de control limpio y fácil de usar, y puedes empezar en cuestión de minutos.

Para usar Cerberus Enterprise de forma eficaz, necesitas entender algunos conceptos clave sobre cómo funciona el sistema.

El sistema admite la gestión tanto de dispositivos Android como Apple:

En Android, Cerberus Enterprise utiliza la Android Management API oficial de Google para gestionar dispositivos a través de la aplicación Android Device Policy (ADP). La mayoría de los ajustes los aplica directamente ADP. Algunas funciones opcionales también pueden requerir la aplicación complementaria Cerberus Enterprise, que amplía lo que es posible hacer solo con ADP.

En los dispositivos Apple (iPhone, iPad y Mac), Cerberus Enterprise gestiona los dispositivos a través de Apple MDM (Mobile Device Management). La gestión de Apple requiere un certificado APNs y puede integrarse opcionalmente con Apple Business para la inscripción automatizada y las licencias de apps. En iPhone y iPad con iOS o iPadOS 18.4 o posterior, Cerberus también instala la app complementaria Cerberus Enterprise, que comparte la ubicación del dispositivo y recibe notificaciones.

Cada dispositivo se puede inscribir en el sistema mediante un Token de inscripción o un Perfil de inscripción (inscripción manual de Apple). El método de inscripción se asocia a una Política que contiene las reglas que deben aplicarse a los dispositivos.

Los administradores de TI pueden cambiar la política asociada a un dispositivo después de la inscripción. Sin embargo, cada dispositivo solo puede estar asociado a una política a la vez.

Durante el proceso de inscripción (aprovisionamiento), los componentes de gestión necesarios se instalan y configuran automáticamente. En Android, esto suele incluir la aplicación Android Device Policy (y, según tu configuración, la aplicación complementaria Cerberus Enterprise). En dispositivos Apple, la gestión se aplica mediante MDM una vez inscrito el dispositivo, y iPhone y iPad reciben entonces la aplicación complementaria Cerberus Enterprise (esto requiere la aplicación gratuita en tu biblioteca de Apple Business y un token de Apps and Books). En consecuencia, la política correspondiente se aplica automáticamente al dispositivo y todas las reglas asociadas se aplican mediante el sistema de gestión de la plataforma.

Una política se puede aplicar a muchos dispositivos. En ese caso, cuando modifiques la política, todos los dispositivos asociados recibirán los cambios.

Configuración

Configuración de Android Management

Para gestionar dispositivos Android con Cerberus Enterprise, primero debes conectar tu organización a Google Android Enterprise.

El proceso de configuración suele tardar unos minutos y requiere un correo electrónico de trabajo (por ejemplo, name@enterprise.com) o, como alternativa, un correo electrónico personal de Google.

Qué ocurre durante la configuración

Se te redirigirá a Google Android Enterprise.
Inicias sesión con tu correo electrónico de trabajo (o con un correo electrónico personal de Google).
Google crea la cuenta de Android Management para tu organización.
Se te redirige de nuevo a Cerberus Enterprise para completar la configuración.

Información importante

Te recomendamos registrarte con un correo electrónico de trabajo, no con una cuenta personal de Gmail. Si la dirección de correo ya está asociada a una cuenta de Google Admin, se reutiliza esa cuenta existente y se vincula a Cerberus Enterprise; de lo contrario, se crea una nueva cuenta gratuita de Google Admin. Una cuenta de Google Admin desbloquea el conjunto completo de funciones, por ejemplo, la inscripción de dispositivos mediante la autenticación de Google con cuentas gestionadas por tu dominio de Google Admin.

¿No tienes un correo electrónico de trabajo?

Aun así, puedes registrarte con un correo electrónico personal de Google (por ejemplo, una cuenta de Gmail). En ese caso, Google crea una cuenta gratuita de Managed Google Play vinculada a Cerberus Enterprise.

Próximos pasos

Después de completar la configuración, crea un token de inscripción y elige el método de aprovisionamiento adecuado para el dispositivo.

Configuración

Configuración de Apple Management (APNs)

Para gestionar dispositivos Apple, Cerberus Enterprise requiere el certificado de Apple Push Notification service (APNs).

Usa el Apple ID asociado a tu organización. El certificado APNs es válido durante un año y debe renovarse anualmente para seguir gestionando dispositivos.

Paso 1: Descargar el archivo CSR

En el panel de control, inicia la configuración de Apple Management y descarga la solicitud de firma de certificado (CSR) firmada por el proveedor que genera Cerberus Enterprise.

Paso 2: Crear el certificado push en el portal de Apple

Inicia sesión en el Portal de certificados push de Apple con tu Apple ID.
Haz clic en "Create a Certificate".
Sube el archivo CSR del paso 1.
Descarga el certificado push creado.

Enlace del portal: https://identity.apple.com/

Paso 3: Subir el certificado push

Vuelve a subir a Cerberus Enterprise el certificado push que descargaste de Apple para completar la configuración.

Si el certificado APNs caduca, la gestión de dispositivos Apple dejará de funcionar hasta que se renueve el certificado.

A partir de 30 días antes de la caducidad, el panel de control muestra un banner con una acción Cómo renovar. Siempre renueva el certificado existente en el Portal de certificados push de Apple con el mismo Apple ID: un certificado nuevo tiene un tema distinto y los dispositivos ya inscritos tendrían que inscribirse de nuevo.

Próximos pasos

Una vez configurado APNs, puedes continuar con la inscripción de dispositivos Apple. Continúa con Descripción general del aprovisionamiento de Apple.

Descripción general del aprovisionamiento de dispositivos

Cerberus Enterprise admite la gestión de dispositivos tanto para Android como para Apple. Puedes configurar cualquiera de las dos plataformas de forma independiente, según los dispositivos que necesites inscribir.

1. Completa la configuración de la plataforma en el panel de control

Antes de inscribir dispositivos, completa la configuración de la plataforma en el panel de control de Cerberus Enterprise. Si tu cuenta aún no está configurada, el panel de control te guiará por los pasos necesarios.

Configuración de Android (Google Android Enterprise)

Para consultar el procedimiento completo de configuración de Android, lee Configuración de Android Management.

Ve al flujo de registro del panel de control y selecciona Configurar Android Management.
Se te redirigirá a Google para iniciar sesión con una cuenta de trabajo y autorizar Android Enterprise.
Después de la autorización, se te redirigirá de nuevo a Cerberus Enterprise para completar la configuración.

Configuración de Apple (certificado push de APNs)

Para consultar el procedimiento completo de configuración de Apple, lee Configuración de Apple Management (APNs).

Ve al flujo de registro del panel de control y selecciona Configurar Apple Management.
Descarga el archivo CSR de Cerberus Enterprise.
Crea el certificado APNs en el Apple Push Certificates Portal y descarga el certificado resultante.
Sube el certificado descargado de nuevo a Cerberus Enterprise para habilitar la gestión de dispositivos Apple.

2. Inscribe dispositivos

Después de completar la configuración de la plataforma, elige el método de inscripción que se adapte a tu modelo de propiedad de dispositivos y al sistema operativo.

Inscripción de Android

Para Android, la inscripción se gestiona mediante Tokens de inscripción. Selecciona el método adecuado según si el dispositivo es de propiedad personal o de la empresa.

De propiedad personal (BYOD / perfil de trabajo): sigue esta guía.
Propiedad de la empresa (uso laboral y personal / perfil de trabajo): sigue esta guía.
Propiedad de la empresa (solo uso laboral / totalmente gestionado o dedicado): sigue esta guía.
Zero-touch: sigue esta guía.

Inscripción de Apple

Para Apple, empieza completando la configuración de APNs descrita arriba y luego sigue las guías de aprovisionamiento de Apple: Descripción general del aprovisionamiento de Apple.

Aprovisionamiento de Dispositivos - Android

Dispositivos compatibles

En general, cualquier dispositivo con Android 6 o posterior y Google Play Services es compatible con Cerberus Enterprise.

Para una mejor experiencia de usuario, te recomendamos usar dispositivos que cumplan los requisitos de Android Enterprise Recommended.

Algunas funciones están limitadas a versiones específicas de Android o pueden comportarse de forma distinta según la versión del sistema operativo. Para obtener más información sobre una función específica, consulta la sección Políticas de la documentación.

Cerberus Enterprise admite tanto dispositivos propiedad de la empresa como de propiedad personal, y dos modos de gestión: propietario del dispositivo y propietario del perfil.

Los dispositivos de propiedad personal se pueden gestionar mediante un perfil de trabajo. Esto permite una solución BYOD al mantener los datos y las apps de trabajo de los empleados separados de los datos y las apps personales, mejorando tanto la seguridad como la privacidad. Esta opción es adecuada para dispositivos que ya son propiedad de los empleados y que quieres inscribir en tu organización para uso laboral.

Los dispositivos propiedad de la empresa también se pueden gestionar mediante un perfil de trabajo, pero también puedes elegir la opción totalmente gestionado, que permite un control más estricto del dispositivo. Los dispositivos propiedad de la empresa con un perfil de trabajo son adecuados cuando proporcionas dispositivos corporativos a los empleados para el trabajo, sin dejar de permitir el uso personal. Los dispositivos totalmente gestionados son más adecuados para dispositivos que deben usarse solo para el trabajo, o para dispositivos dedicados (COSU, corporate-owned single-use), como los kioscos.

Para obtener más información sobre el aprovisionamiento de dispositivos, consulta la página Descripción general del aprovisionamiento de dispositivos.

Aprovisionamiento de Dispositivos - Android

Tokens de inscripción

Cerberus Enterprise usa tokens de inscripción para iniciar el proceso de inscripción (aprovisionamiento) de dispositivos Android. El token que selecciones define la política inicial aplicada a los dispositivos inscritos e influye en qué modos de aprovisionamiento se permiten.

La pestaña de tokens de inscripción de Android solo está disponible después de completar Configuración de Android Management.

Dónde encontrar los tokens de inscripción

En el panel de control, abre Tokens de inscripción. Según la configuración de tu cuenta, la página puede mostrar varias pestañas (tokens de Android, inscripción con inicio de sesión de Google, inscripción manual de Apple e Inscripción automática de dispositivos de Apple).

Si tu empresa de Android está respaldada por un dominio de Google gestionado (Google Workspace), el panel de control también puede mostrar una pestaña Authenticate Using Google Enrollment. Para obtener detalles sobre cómo habilitarla y usarla, consulta Authenticate Using Google enrollment.

Lista de tokens de inscripción (Android)

La pestaña de tokens de Android muestra una tabla con todos los tokens. Al hacer clic en una fila se abre la página de detalles del token.

Columnas

Estado: Activo (los dispositivos pueden inscribirse con el token), Caducado (ha pasado la fecha de vencimiento) o Agotado (un token de un solo uso que ya se utilizó).
Política: la política asignada al token (la información sobre herramientas muestra el id de la política). Política eliminada significa que la política se eliminó después de crear el token.
Usuario: usuario opcional asignado previamente a los dispositivos inscritos con el token. Usuario eliminado significa que el usuario se eliminó después de crear el token.
Inscripciones: cuántos dispositivos se inscribieron con el token, mostrado como n / 1 en un token de un solo uso.
Uso personal: Permitido / No permitido / Dispositivo dedicado.
Creado: cuándo se creó el token. La tabla muestra primero los tokens más recientes.
Caducidad: fecha y hora de caducidad, o Nunca.
Código de inscripción: el código del token, el que escribes en el dispositivo cuando lo inscribes sin un código QR.

Acciones

Cada fila tiene una acción de eliminación (Eliminar token de inscripción). La eliminación está deshabilitada cuando la licencia ha caducado.
La tabla admite la selección de varias filas: puedes habilitar el modo de selección, seleccionar varios tokens y eliminarlos con Eliminar tokens seleccionados.
Usa la acción de actualizar para volver a cargar la lista. La tabla está paginada (10/25/50 elementos por página).

Crear un nuevo token de inscripción

En la pestaña de tokens de Android, haz clic en Nuevo token de inscripción para abrir la página de creación de tokens. Si tu licencia ha caducado, el botón de creación está deshabilitado.

Opciones del token

1. Política

Obligatorio. La política que se aplica automáticamente a todos los dispositivos inscritos con este token. Selecciona una de tus políticas de Android. Si aún no tienes ninguna política, crea una primero.

2. Usuario

Opcional. Si se configura, los dispositivos recién inscritos se asocian automáticamente a este usuario.

3. Uso personal

Controla si se permite el uso personal en un dispositivo aprovisionado con este token de inscripción:

Permitido: adecuado para dispositivos de propiedad personal (perfil de trabajo) y dispositivos propiedad de la empresa para uso laboral y personal.
No permitido: adecuado para dispositivos propiedad de la empresa solo para uso laboral (totalmente gestionados).
Dispositivo dedicado: adecuado para dispositivos de kiosco o dedicados (el dispositivo no está asociado a un único usuario).

4. Usos permitidos

Selecciona si el token se puede usar varias veces (Múltiples) o solo una vez (Solo una vez).

5. Caducidad

Selecciona la unidad de caducidad (Minutos, Horas, Días o Nunca). Cuando no se configure como Nunca, introduce el valor de caducidad. El intervalo permitido depende de la unidad seleccionada y puede llegar hasta 10.000 días.

6. Autenticación de Google

Controla si el usuario debe autenticarse con una cuenta de Google durante la inscripción del dispositivo:

Sin especificar: se usa la configuración de autenticación de Google de nivel de empresa para determinar si el usuario debe autenticarse con Google durante la inscripción.
Opcional: el usuario puede optar por omitir la autenticación de Google durante la inscripción.
Obligatorio: el usuario debe autenticarse con una cuenta de Google para continuar con la inscripción.

Cuando se selecciona Obligatorio, aparece un campo opcional Correo de la cuenta requerida. Si se configura, el usuario debe autenticarse con esa cuenta de Google específica durante la inscripción.

Opciones de aprovisionamiento (solo código QR)

Estas opciones adicionales se incorporan en el código QR y se aplican durante el aprovisionamiento de dispositivos totalmente gestionados inscritos escaneando el código QR. No se aplican a perfiles de trabajo ni a dispositivos inscritos mediante la URL de inscripción o el token.

Configuración de Wi‑Fi

Usa esta opción para que un dispositivo se conecte automáticamente a Wi‑Fi durante el aprovisionamiento, de modo que pueda descargar e inicializar la app de gestión. Los campos disponibles incluyen SSID, SSID oculto, Seguridad y (cuando sea necesario) Frase de contraseña.

También puedes configurar un proxy HTTP (Proxy) y, según el modo, establecer Host/Puerto, PAC URI y Host de omisión del proxy.

Otras opciones

Las opciones adicionales incluyen Configuración regional, Zona horaria y Omitir cifrado.

Detalles del token de inscripción

Cuando abres un token, la página de detalles muestra la configuración del token y la información de uso:

Estado, Caducidad, Uso, Uso personal, Usos permitidos y (cuando se configura) Autenticación de Google con el Correo de la cuenta requerida opcional.
Token: el valor sin formato del token de inscripción (se puede copiar).
URL de inscripción: una URL de inscripción de Google Android Enterprise (se puede copiar y enviar por correo electrónico).
Código QR: se muestra en el lado derecho de la página y se usa para inscribir dispositivos totalmente gestionados.

Para conocer los procedimientos de aprovisionamiento paso a paso, sigue las guías de inscripción de Android: Dispositivos de propiedad personal, Dispositivos propiedad de la empresa para uso laboral y personal, Dispositivos propiedad de la empresa solo para uso laboral y Zero-touch.

Aprovisionamiento de Dispositivos - Android

Dispositivos de propiedad personal

Los dispositivos propiedad de los empleados se pueden configurar con un perfil de trabajo. Un perfil de trabajo proporciona un espacio independiente para las apps y los datos de trabajo, separado de las apps y los datos personales. La mayoría de las políticas de apps, datos y otras gestiones se aplican solo al perfil de trabajo, mientras que las apps y los datos personales de los empleados siguen siendo privados.

Para configurar un perfil de trabajo en un dispositivo de propiedad personal, usa uno de los siguientes métodos de aprovisionamiento (asegúrate de que el token de inscripción tenga Uso personal configurado como Permitido):

Enlace del token de inscripción

Versión de Android

6.0+

Puedes proporcionar la URL de inscripción a los usuarios finales. Cuando un usuario final abre el enlace desde su dispositivo, se le guía por la configuración del perfil de trabajo.

Añadir perfil de trabajo desde "Configuración"

Versión de Android

6.0+

Para configurar un perfil de trabajo en su dispositivo, un usuario puede abrir la app Configuración del dispositivo y usar la barra de búsqueda para encontrar y tocar la opción Configurar tu perfil de trabajo.

Si la búsqueda no da resultados, la ubicación de esta opción puede variar. Estas son algunas posibilidades:

Configuración -> Servicios y preferencias de Google -> Todos los servicios -> Configurar tu perfil de trabajo.
Configuración -> Google -> Configurar y restaurar -> Configurar tu perfil de trabajo.

Estos pasos inician un asistente de configuración que descarga Android Device Policy en el dispositivo. A continuación, se pedirá al usuario que escanee un código QR o introduzca manualmente un token de inscripción para completar la configuración del perfil de trabajo.

Descargar Android Device Policy

Versión de Android

6.0+

Para configurar un perfil de trabajo en su dispositivo, un usuario puede descargar Android Device Policy desde Google Play Store. Una vez instalada la app, se pedirá al usuario que escanee un código QR o introduzca manualmente un token de inscripción para completar la configuración del perfil de trabajo.

iPhone y iPad personales

Los iPhone y iPad personales (y los Mac) se inscriben con User Enrollment de Apple: el usuario inicia sesión con su Managed Apple Account en los ajustes del dispositivo, y solo se gestionan las apps, cuentas y datos de trabajo. En iPhone y iPad, las apps del App Store de la política y la app Cerberus Enterprise se instalan con una licencia de usuario de esa cuenta. La ubicación de los dispositivos personales se recopila solo si su política activa Ubicación y geovallas en dispositivos personales y el usuario lo permite. Consulta Inscripción mediante cuenta de Apple.

Aprovisionamiento de Dispositivos - Android

Dispositivos propiedad de la empresa para uso laboral y personal

Configurar un dispositivo propiedad de la empresa con un perfil de trabajo permite usar el dispositivo tanto para el trabajo como para uso personal. En los dispositivos propiedad de la empresa con perfiles de trabajo:

La mayoría de las políticas de apps, datos y otras gestiones se aplican solo al perfil de trabajo.
Los perfiles personales de los empleados siguen siendo privados. Sin embargo, las empresas pueden aplicar determinadas políticas para todo el dispositivo y políticas de uso personal.
Las empresas pueden usar Block scope para aplicar acciones de cumplimiento en todo un dispositivo o solo en su perfil de trabajo.
La anulación de la inscripción del dispositivo y los comandos del dispositivo se aplican a todo el dispositivo.

Para configurar un dispositivo propiedad de la empresa con un perfil de trabajo, usa uno de los siguientes métodos de aprovisionamiento (asegúrate de que el token de inscripción tenga Uso personal configurado como Permitido):

Método del código QR

Versión de Android

8.0+

En un dispositivo nuevo o restablecido de fábrica, el usuario (normalmente un administrador de TI) toca la pantalla seis veces en el mismo punto. Esto hace que el dispositivo solicite al usuario escanear un código QR.

Aprovisionamiento de Dispositivos - Android

Dispositivos propiedad de la empresa solo para uso laboral

Gestión completa del dispositivo es adecuada para dispositivos propiedad de la empresa destinados exclusivamente a fines laborales. Las empresas pueden gestionar todas las apps del dispositivo y aplicar toda la gama de políticas y comandos de Android Management API.

También es posible bloquear un dispositivo (mediante una política) a una sola app o a un pequeño conjunto de apps para un propósito o caso de uso concreto. Este subconjunto de dispositivos totalmente gestionados se denomina dispositivos dedicados.

Para configurar la gestión completa en un dispositivo propiedad de la empresa, usa uno de los siguientes métodos de aprovisionamiento (asegúrate de que el token de inscripción tenga Uso personal configurado como No permitido):

Método del código QR

Versión de Android

7.0+

Método del identificador DPC

Versión de Android

5.1+

Si Android Device Policy no se puede añadir mediante un código QR, un usuario o administrador de TI puede seguir estos pasos para aprovisionar un dispositivo totalmente gestionado o dedicado:

1. Sigue el asistente de configuración en un dispositivo nuevo o restablecido de fábrica.

2. Introduce los datos de inicio de sesión de Wi-Fi para conectar el dispositivo a internet.

3. Cuando se te pida iniciar sesión, introduce afw#setup, lo que descarga Android Device Policy.

4. Escanea un código QR o introduce manualmente un token de inscripción para aprovisionar el dispositivo.

Aprovisionamiento de Dispositivos - Android

Zero-touch

Los administradores de TI pueden aprovisionar dispositivos propiedad de la empresa con el método de inscripción Zero-touch, descrito en Zero-touch enrollment for IT admins. Cuando se enciende un dispositivo por primera vez, se le aplican automáticamente los ajustes definidos por el administrador de TI.

Los administradores de TI pueden preconfigurar dispositivos comprados a revendedores autorizados y gestionarlos mediante el panel de control de Cerberus Enterprise. Para vincular tu cuenta de Zero-touch, ve a la sección Zero-touch del panel de control y sigue las instrucciones.

Versión de Android	Perfil de trabajo	Dispositivo totalmente gestionado	Dispositivo dedicado
8.0+ (Pixel 7.1+)	✓	✓	✓

Aprovisionamiento de Dispositivos - Android

Autenticación con Google para la inscripción

Authenticate Using Google enrollment (también denominada Google Authentication for Enrollment) permite a los usuarios autenticarse con su cuenta de Google Workspace durante la inscripción de dispositivos Android.

Esta función solo está disponible para empresas de Android respaldadas por un dominio de Google gestionado (Google Workspace).

Dónde encontrarlo

En el panel de control, abre Tokens de inscripción y selecciona la pestaña Authenticate Using Google Enrollment. La pestaña solo se muestra cuando Android Management está configurado y la integración con Google Workspace está disponible para tu empresa.

Habilitar (o deshabilitar) la autenticación de Google

La autenticación de Google se habilita desde la Google Admin console. Después de cambiar la configuración, vuelve a Cerberus Enterprise y usa Actualizar estado para recargar la configuración actual.

Inicia sesión en la Google Admin console con una cuenta de administrador.
Abre Dispositivos.
Ve a Dispositivos móviles y endpoints → Configuración → Integraciones de terceros.
Busca la integración de Android EMM de Cerberus Enterprise y ábrela.
Haz clic en Gestionar proveedores EMM.
Activa o desactiva Authenticate Using Google para habilitar o deshabilitar la autenticación de Google para la inscripción.
Haz clic en Guardar.
Vuelve al panel de control de Cerberus Enterprise y haz clic en Actualizar estado en la pestaña Authenticate Using Google Enrollment.

Token de inscripción de autenticación de Google

Cuando la autenticación de Google está habilitada, el panel de control muestra un token de inscripción dedicado para este modo de inscripción. La página puede mostrar un código QR, un valor de token de inscripción y una URL de inscripción (se puede copiar y enviar por correo electrónico).

Opciones clave

Permitir uso personal: controla si el token puede inscribir dispositivos para uso laboral y personal (escenarios de perfil de trabajo) o solo para uso laboral (escenarios totalmente gestionados o dedicados).
Política predeterminada de reserva: la política que se aplica cuando el usuario que se inscribe no tiene asignada una política predeterminada específica de autenticación de Google.

Interacción con las políticas

La configuración de política Autenticación de configuración de la cuenta de trabajo (workAccountSetupConfig.authenticationType) controla cómo se autentican los usuarios durante la configuración de la cuenta de trabajo, pero la configuración de Google Admin Console Authenticate Using Google y el tipo de token de inscripción aún pueden exigir autenticación.

En los dispositivos ya inscritos, esta política solo se aplica si el dispositivo está gestionado por una cuenta de Google Play gestionada (es decir, inscrito sin Authenticate Using Google Enrollment).

Algunas acciones (por ejemplo, cambiar las opciones del token) pueden estar deshabilitadas cuando la licencia ha caducado.

Inscribir un dispositivo

Durante la inscripción, se pide al usuario que se autentique con su cuenta de Google Workspace. Después de una inscripción correcta, el dispositivo se asocia al usuario autenticado.

Perfil de trabajo (dispositivos de propiedad personal)

Comparte la URL de inscripción con el usuario. Cuando el usuario la abre en su dispositivo Android, se le guía por la configuración del perfil de trabajo y la autenticación de Google.
Como alternativa, el usuario puede empezar desde los Ajustes de Android y elegir el flujo de configuración del perfil de trabajo, luego escanear el código QR o introducir el token de inscripción cuando se le solicite.

Dispositivos propiedad de la empresa

Método del código QR: en un dispositivo nuevo o restablecido de fábrica, toca la pantalla varias veces en el mismo punto hasta que aparezca la solicitud del código QR, luego escanea el código QR que se muestra en el panel de control.
Método del identificador DPC (cuando el escaneo de QR no esté disponible): sigue el asistente de configuración, conéctate a Wi‑Fi y, cuando se te pida iniciar sesión, introduce afw#setup y continúa escaneando el código QR o introduciendo el token de inscripción. Cuando se te solicite, autentícate con la cuenta de Google Workspace.

Para consultar los procedimientos generales de aprovisionamiento de Android (perfil de trabajo frente a totalmente gestionado), consulta las páginas estándar de inscripción de Android de este manual.

Aprovisionamiento de Dispositivos - Apple

Descripción general del aprovisionamiento de Apple

Cerberus Enterprise permite inscribir y gestionar iPhone, iPad y Mac. El aprovisionamiento de Apple requiere un certificado APNs y se puede realizar con diferentes métodos de inscripción.

Requisito previo: configurar Apple Management (APNs)

Antes de inscribir cualquier dispositivo Apple, completa Configuración de Apple Management (APNs).

Elige un método de inscripción

Inscripción manual (perfil de inscripción)

Este método proporciona una URL de inscripción y un archivo de perfil de configuración (mobileconfig) que instalas en el dispositivo. Lee Inscripción manual de Apple.

Inscripción automática de dispositivos (ADE)

Este método se integra con Apple Business para automatizar la inscripción de dispositivos propiedad de la empresa. Lee Inscripción automática de dispositivos de Apple (ADE).

Inscripción basada en cuenta (inicia sesión con una cuenta de trabajo)

Los usuarios inscriben su iPhone, iPad o Mac iniciando sesión con su cuenta de Apple gestionada en los ajustes del dispositivo: Inscripción de usuario para dispositivos personales, Inscripción de dispositivo para dispositivos de la empresa que no están en Apple Business. Lee Inscripción basada en cuenta de Apple.

En los iPhone y iPad personales inscritos con Inscripción de usuario, las apps del App Store de la política se instalan con una licencia de usuario de la cuenta de Apple gestionada, que Cerberus asigna por sí mismo; se pide al usuario que instale cada app. Las cuentas de Apple gestionadas y el token de Apps and Books deben pertenecer a la misma organización de Apple Business. Lee Apps en dispositivos personales.

App Cerberus Enterprise en iPhone y iPad

Después de la inscripción, Cerberus instala su app Cerberus Enterprise en iPhone y iPad con iOS o iPadOS 18.4 o posterior, con o sin política. La app comparte la ubicación del dispositivo y recibe notificaciones y solicitudes de seguimiento en directo; en los dispositivos personales (Inscripción de usuario) recibe mensajes y comparte la ubicación solo si la política activa Ubicación y geocercas en dispositivos personales y el usuario lo permite. Requiere un paso único: añade la app gratuita a tu biblioteca de Apple Business (Apps y libros → App Store, busca "Cerberus Enterprise", Añadir para todas las unidades organizativas actuales y futuras). Los dispositivos supervisados la instalan de forma silenciosa; en los demás dispositivos se pide al usuario que la instale. Si el usuario ya la ha instalado desde el App Store, el dispositivo pide permitir que tu organización gestione la app, y la app conserva sus datos y permisos. Si el usuario lo rechaza, usa Reintentar en la página del dispositivo. El usuario no puede eliminar la app, y permanece instalada si el token de Apps y libros caduca. Los Mac no reciben la app.

Puedes usar la inscripción manual y ADE en paralelo, según tu parque de dispositivos y tu proceso de compra.

Aprovisionamiento de Dispositivos - Apple

Inscripción manual de Apple (perfil de inscripción)

Cerberus Enterprise admite la inscripción manual de dispositivos Apple mediante un código QR, una URL de inscripción o un archivo de perfil de inscripción.

La inscripción manual está disponible cuando Apple Management (APNs) está configurado. Si aún no has completado la configuración de APNs, consulta Configuración de Apple Management (APNs).

Los usuarios también pueden inscribir su iPhone, iPad o Mac sin un perfil, iniciando sesión con su cuenta de trabajo en los ajustes del dispositivo. Consulta Inscripción de Apple mediante cuenta.

Tokens de inscripción

Un token de inscripción tiene su propia URL de inscripción y su propio código QR, y asigna estos ajustes a los dispositivos que se inscriben con él:

Política: se aplica al dispositivo en cuanto se inscribe.
Usuario: se asigna al dispositivo. Si el token no tiene usuario, el dispositivo no tiene usuario.
Propiedad: de la empresa o personal. Cuando no se establece, los dispositivos supervisados se configuran como de la empresa y los demás como personales. Los iPhone y iPad inscritos manualmente no están supervisados; los Mac sí, por lo que se configuran como de la empresa.
Caducidad: a partir de este día, la URL de inscripción deja de funcionar. Un perfil descargado antes aún se puede instalar.
Inscripciones permitidas: cuántos dispositivos pueden inscribirse con el token. Déjalo vacío para no tener límite.

Para crear un token, abre la sección Inscripción del panel de control, selecciona la pestaña Inscripción manual de Apple (perfil de inscripción) y haz clic en Nuevo token de inscripción. Establece el nombre y los ajustes, y luego haz clic en Crear token: la página del token muestra su URL de inscripción, su código QR y el botón Descargar perfil de inscripción.

La tabla de tokens muestra, para cada token, su Estado (Activo, Caducado o Agotado), el Vencimiento, las Inscripciones realizadas respecto a las permitidas y el Último uso, la última vez que un dispositivo se inscribió con él. Después vienen la Política, el Usuario (pasa el cursor por encima para ver el correo electrónico), la Propiedad y la fecha de Creación (pasa el cursor por encima para ver quién creó el token). Los tokens más recientes aparecen primero y puedes ordenar por cualquier columna. Ordena por Último uso para encontrar tokens activos que ya nadie usa y elimínalos para que su URL de inscripción deje de funcionar. Una política o un usuario eliminados después de guardar el token se muestran como Política eliminada o Usuario eliminado con un icono de advertencia: edita el token para elegir otro.

Los cambios en un token se aplican a las siguientes inscripciones: los dispositivos ya inscritos conservan su política y su usuario. Cuando se elimina un token, caduca o alcanza sus inscripciones permitidas, su URL de inscripción deja de funcionar.

Inscripción sin token

El panel Inscripción sin token de la misma pestaña tiene la URL de inscripción de tu organización. Los dispositivos que se inscriben con ella no reciben política ni usuario: asígnalos desde la página del dispositivo.

La política y el usuario de un dispositivo dependen de cómo se inscriba: la política y el usuario del token si se usa un token de inscripción; la política del perfil ADE si se usa Automated Device Enrollment, conservando el usuario asignado en la página del dispositivo; ninguna política ni usuario si se usa la URL de inscripción, el código QR o el perfil sin token (aunque el dispositivo tenga un perfil ADE). Un dispositivo que se vuelve a inscribir no conserva la política ni el usuario de su inscripción anterior: la página del dispositivo solo los muestra si la nueva inscripción los asigna. Solo un dispositivo borrado con Return to Service se vuelve a inscribir con su política y usuario actuales.

Obtener la URL y el perfil de inscripción

Abre el token en la pestaña Inscripción manual de Apple (perfil de inscripción) de la sección Inscripción, o expande Inscripción sin token.
Copia la URL de inscripción o usa la acción de envío por correo electrónico.
Escanea el código QR que aparece junto a la URL de inscripción con la cámara de un iPhone o iPad: abre la misma URL de inscripción en el dispositivo. En un Mac, usa la URL de inscripción o el archivo de perfil.
Descarga el perfil de inscripción (archivo mobileconfig).

Cómo inscribir un iPhone o iPad

iOS/iPadOS 15.0 o posterior

Primero, descarga el perfil de inscripción en el dispositivo mediante uno de los siguientes métodos:

Método 1: código QR

Abre la app Cámara en el dispositivo y apúntala al código QR que aparece junto a la URL de inscripción, luego toca el enlace que aparece. Safari abre la URL de inscripción y solicita permitir la descarga de un perfil de configuración: toca Permitir.

Método 2: URL de inscripción

Envía la URL de inscripción al usuario (por ejemplo, con la acción de enviar por correo electrónico) y ábrela en Safari en el dispositivo, luego toca Permitir para descargar el perfil de configuración.

Método 3: archivo de perfil de inscripción

Descarga el archivo del perfil de inscripción (enroll.mobileconfig) y envíalo al dispositivo, por ejemplo, como archivo adjunto de correo electrónico o con AirDrop, luego ábrelo en el dispositivo.

A continuación, completa la inscripción en el dispositivo:

En el dispositivo, abre Configuración → Perfil descargado → Instalar, luego sigue las instrucciones.
Después de la inscripción, puedes comprobar el estado en Configuración → General → VPN y gestión de dispositivos (o Perfiles y gestión de dispositivos).

Después de la inscripción, los iPhone y iPad con iOS o iPadOS 18.4 o posterior reciben la app Cerberus Enterprise. En un dispositivo inscrito manualmente (no supervisado) se pide al usuario que la instale, o que permita a tu organización gestionarla si ya estaba instalada desde el App Store. Si el usuario rechaza, usa Reintentar en la página del dispositivo. La app debe estar en tu biblioteca de Apple Business una vez (consulta Configuración de la cuenta).

En iPhone y iPad, el dispositivo elimina un perfil descargado que no se instala en 8 minutos. En ese caso, vuelve a descargarlo.

Cómo inscribir un Mac

macOS 13.0+

El código QR solo funciona en iPhone y iPad. Descarga el perfil de inscripción en el Mac con uno de los siguientes métodos:

Método 1: URL de inscripción

Envía la URL de inscripción al usuario (por ejemplo, con la acción de enviar por correo electrónico) y ábrela en Safari en el Mac; luego permite la descarga si se te pide. Si el perfil no se abre solo, abre el archivo enroll.mobileconfig descargado.

Método 2: Archivo de perfil de inscripción

Descarga el archivo de perfil de inscripción (enroll.mobileconfig) y envíalo al Mac, por ejemplo como archivo adjunto de correo electrónico o con AirDrop; luego ábrelo en el Mac.

Abrir el perfil solo lo añade a los perfiles descargados. Después, completa la inscripción en el Mac, con la sesión iniciada como su usuario principal:

Abre Configuración del Sistema → General → Gestión de dispositivos (en macOS 13 y 14: Privacidad y seguridad → Perfiles). En la sección Descargados, haz doble clic en Perfil de inscripción, haz clic en Inscribir (o Instalar) y sigue las instrucciones. Introduce el nombre y la contraseña de un administrador del Mac si se te pide.
Después de la inscripción, Perfil de inscripción aparece en el mismo lugar. En Terminal, profiles status -type enrollment muestra MDM enrollment: Yes (User Approved).

Los Mac inscritos manualmente están supervisados, y el usuario que instala el perfil aparece en el panel Usuarios del Mac de la página del dispositivo. Los Mac no reciben la app Cerberus Enterprise. Si el perfil ya no está en la sección Descargados, vuelve a descargarlo.

Instala únicamente perfiles de inscripción que hayas obtenido de tu panel de control de Cerberus Enterprise.

Aprovisionamiento de Dispositivos - Apple

Automated Device Enrollment (ADE) de Apple

Automated Device Enrollment (ADE) se integra con Apple Business (anteriormente Apple Business Manager) para inscribir automáticamente iPhone, iPad y Mac de propiedad de la empresa cuando se encienden por primera vez (o después de un restablecimiento de fábrica).

ADE requiere que Apple Management (APNs) esté configurado primero. Si es necesario, consulta Configuración de Apple Management (APNs).

Cómo inscribir dispositivos automáticamente

Añade dispositivos a tu cuenta de Apple Business y asígnalos al servicio de gestión de dispositivos Cerberus Enterprise: en Apple Business, abre Devices → Inventory, selecciona los dispositivos y haz clic en Assign Device Management, o asigna automáticamente los dispositivos nuevos desde Devices → Management Services → Default Device Assignment. Consulta Gestionar proveedores de dispositivos y Añadir dispositivos con Apple Configurator.
Después de añadir nuevos dispositivos a tu cuenta de Apple Business, sincronízalos en Cerberus Enterprise desde la sección Dispositivos con la acción Sincronizar desde Apple Business. Los dispositivos sincronizados consumen una licencia solo cuando se inscriben.
Crea un perfil ADE en el panel de control desde Inscripción → Apple Automated Device Enrollment (ADE) → Nuevo perfil ADE.
Asigna un perfil ADE a un dispositivo desde la página de detalles del dispositivo con el campo Perfil ADE.

Después de la inscripción, los iPhone y iPad con iOS o iPadOS 18.4 o posterior reciben la app Cerberus Enterprise. Los dispositivos inscritos con ADE están supervisados, por lo que la app se instala sin preguntar al usuario; la configuración no espera a que lo haga. La app debe estar en tu biblioteca de Apple Business una vez (consulta Configuración de la cuenta). Los Mac no reciben la app.

Ajustes del perfil ADE (descripción general)

Un perfil ADE controla cómo se inscribe el dispositivo y cómo se comporta el Asistente de configuración. En Cerberus Enterprise, un perfil ADE incluye un nombre, una política inicial opcional, opciones de inscripción, los paneles del Asistente de configuración que se deben omitir, contactos de soporte y certificados de confianza.

Nombre del perfil

Un nombre legible para el perfil (por ejemplo, Perfil ADE predeterminado).

Política

La política que se aplica a los dispositivos cuando se inscriben con Automated Device Enrollment (Asistente de configuración). Los dispositivos del perfil inscritos con la URL de inscripción o el código QR reciben en su lugar la política de su token de inscripción, o ninguna política si no tienen token. Si solo cambias la política, el perfil se mantiene tal como está.

Opciones de inscripción

MDM extraíble: controla si la carga útil de MDM se puede eliminar del dispositivo.
Permitir emparejamiento: controla si se permite el emparejamiento (obsoleto en Apple desde iOS 13).
Avanzar automáticamente por la configuración: avanza automáticamente el Asistente de configuración por sus pantallas (Mac con macOS 11 o posterior y Apple TV).
Esperar a que el dispositivo esté configurado: el Asistente de configuración espera hasta que se aplique la política del perfil ADE, para que los usuarios empiecen con sus apps y ajustes ya establecidos. Cerberus Enterprise permite entonces que el dispositivo continúe, como máximo 4 minutos después de la inscripción.
Obligatorio: impide omitir la aplicación del perfil durante la configuración.
Multiusuario (Shared iPad): configura el dispositivo para Shared iPad.
Supervisado: solicita la supervisión del dispositivo.

Asistente de configuración

Departamento, Teléfono de asistencia y Correo electrónico de asistencia (opcional): se envían a Apple con el perfil. Es posible que el dispositivo no los muestre.
Paneles que omitir: el Asistente de configuración no muestra los paneles seleccionados (por ejemplo, Cuenta de Apple, Siri o Tiempo de uso). Cada dispositivo muestra solo los paneles de su sistema (algunos, como FileVault o Documentos y escritorio de iCloud, solo existen en los Mac); Omitir todo y Mostrar todo los seleccionan o deseleccionan todos.
Apple TV: idioma y región para Apple TV con el avance automático de la configuración.
Certificados de confianza: solo son necesarios si el servidor usa un certificado en el que los dispositivos no confían, por ejemplo de una CA privada. Importa el certificado primero en la página Certificados.

Lista de perfiles ADE

La lista muestra el nombre de cada perfil, su política, sus dispositivos y su Id, el identificador que Apple asigna al perfil. Un candado después del nombre indica un perfil obligatorio cuya gestión los usuarios no pueden eliminar. Sin política o Política eliminada advierte de que los dispositivos inscritos con el perfil no reciben ninguna política inicial.

La columna Dispositivos cuenta los dispositivos inscritos del perfil y, junto a ellos, los dispositivos en espera: asignados al perfil en Apple Business pero aún no inscritos. Los dispositivos eliminados no se cuentan.

Cambiar un perfil

Apple no permite cambiar un perfil ADE. Cuando cambias uno (excepto si solo cambias la política), Cerberus Enterprise define un perfil nuevo con el mismo nombre y lo asigna a los dispositivos del anterior; el perfil antiguo deja de aparecer cuando ningún dispositivo lo usa. Los dispositivos que ya completaron el Asistente de configuración usan el nuevo perfil la próxima vez que se borren.

Un perfil que ningún dispositivo usa, inscrito o en espera, se puede eliminar de la lista de perfiles ADE. Apple no permite eliminar un perfil, así que permanece en Apple Business sin usar.

Cuando un dispositivo tiene un perfil ADE asignado, está listo para inscribirse automáticamente.

Aprovisionamiento de Dispositivos - Apple

Inscripción de Apple mediante cuenta

Con la inscripción mediante cuenta, los usuarios inscriben su iPhone, iPad o Mac iniciando sesión con su cuenta de trabajo (una Managed Apple Account, por ejemplo name@company.com) en los ajustes del dispositivo. No hay que descargar ningún perfil ni usar ningún código QR: Cerberus Enterprise encuentra al usuario, aplica la política y establece la propiedad por sí mismo.

Dos modos

User Enrollment (dispositivos personales): solo se gestionan las apps, cuentas y datos de trabajo, en un área separada del dispositivo. Cerberus no puede ver los datos personales, borrar el dispositivo, localizarlo ni leer su número de serie. El dispositivo se establece como de propiedad personal. Requiere iOS y iPadOS 15 o macOS 14 o posterior.
Device Enrollment (dispositivos de empresa que no están en Apple Business): se gestiona todo el dispositivo, como con una inscripción manual. Un Mac inscrito de esta forma está supervisado; un iPhone o iPad no lo está. El dispositivo se establece como propiedad de la empresa. Requiere iOS y iPadOS 17.1 o macOS 14.1 o posterior.

Eliges el modo para iPhone y iPad y, por separado, para Mac: por ejemplo, User Enrollment para iPhone personales y Device Enrollment para Mac. Puedes cambiar la propiedad de un dispositivo más adelante en la página del dispositivo.

La inscripción mediante cuenta está disponible cuando Apple Management (APNs) está configurado. Si aún no has completado la configuración de APNs, consulta Configuración de Apple Management (APNs).

Configurar Apple Business

Los usuarios inician sesión con Managed Apple Accounts, que se crean en Apple Business. Antes de empezar:

Verifica tu dominio (por ejemplo, company.com) en Apple Business, en los dominios de tu organización.
Crea las Managed Apple Accounts de tus usuarios, o conecta Apple Business a Google Workspace o Microsoft Entra ID: entonces la cuenta de cada usuario es su dirección de correo de trabajo e inicia sesión con su contraseña.
Para User Enrollment, comprueba en los ajustes de gestión de acceso que las Managed Apple Accounts pueden iniciar sesión en dispositivos personales: cuando solo pueden iniciar sesión en dispositivos supervisados, User Enrollment falla.
Solo para la opción Apple Business que aparece más abajo: abre Devices → Management Services → Default Device Assignment (Edit) y elige el servicio de gestión de dispositivos Cerberus Enterprise para iPhone, iPad y Mac.

Mantén el servicio de gestión de dispositivos Cerberus Enterprise y su token en Apple Business mientras los dispositivos estén inscritos con Managed Apple Accounts: eliminarlos puede hacer que las cuentas dejen de funcionar en los dispositivos.

Configurar Cerberus Enterprise

Abre la sección Inscripción del panel de control y selecciona la pestaña Inicio de sesión con cuenta de Apple. Una lista de comprobación en la parte superior muestra lo que aún falta. Solo los administradores pueden cambiar los ajustes.

Permitir la inscripción iniciando sesión con una cuenta de trabajo: activa o desactiva la inscripción mediante cuenta para toda la organización.
Dominios: los dominios de las cuentas de tus usuarios (por ejemplo, company.com), hasta 20. Solo pueden inscribirse las cuentas de estos dominios, y solo después de verificar el dominio (consulta más abajo).
iPhone y iPad y Mac: Desactivado, User Enrollment o Device Enrollment para cada familia de dispositivos.
Política de cada modo: se aplica a los dispositivos en cuanto se inscriben. Sin una política, los dispositivos se inscriben sin ella. Una política modificada se aplica a las siguientes inscripciones.
Usuarios: Solo usuarios existentes (la dirección de correo de un usuario en Cerberus Enterprise debe coincidir con la cuenta introducida en el dispositivo) o Crear un usuario para las cuentas de los dominios que no tengan uno.

La cuenta introducida en el dispositivo se compara con el campo Managed Apple Account de los usuarios y, después, con su dirección de correo. El código siempre se envía a la dirección de correo del usuario. Una Managed Apple Account asignada a un usuario puede inscribirse aunque su dominio no esté verificado en Cerberus, por ejemplo una cuenta del dominio reservado org.appleid.com de Apple Business. Con la detección de servicios de Apple Business, los usuarios siempre introducen su Managed Apple Account.

Verificar los dominios

Después de guardar los ajustes, la sección Verificación de dominio muestra un registro TXT para cada dominio. Añádelo al DNS del dominio y, a continuación, haz clic en Verificar. Los cambios de DNS pueden tardar algún tiempo en ser visibles. Un dominio verificado sigue verificado: puedes eliminar el registro después. Los usuarios de un dominio que no esté verificado no pueden inscribirse.

Detección de servicios: cómo encuentran los dispositivos Cerberus Enterprise

Cuando un usuario inicia sesión, el dispositivo pregunta al dominio de la cuenta (por ejemplo, https://company.com) qué servidor lo gestiona. Configura al menos una de estas tres opciones. La sección Detección de servicios de la pestaña muestra la URL de detección de tu organización y el texto exacto que hay que copiar para cada opción.

Opción 1: Apple Business (recomendada)

Haz clic en Registrar en Apple Business: Cerberus Enterprise almacena su URL de detección en tu organización de Apple Business y no hay que publicar nada en tus dominios. Comprobar en Apple Business muestra la URL que tiene ahora Apple Business, y Eliminar de Apple Business la elimina.

Requiere iOS y iPadOS 18.2 o macOS 15.2 o posterior. Los dispositivos más antiguos necesitan la opción 2 o 3.
Requiere Apple Business conectado en Cerberus Enterprise (token de servicio de Automated Device Enrollment) y la asignación predeterminada de dispositivos descrita anteriormente.
El dispositivo pregunta a Apple Business solo cuando tu dominio no responde: la dirección https://company.com/.well-known/com.apple.remotemanagement no debe existir (un error como "not found"). Si tu sitio web responde con una página web, los dispositivos se detienen ahí. Usa Comprobar configuración para ver qué responde.

Apple Business guarda una sola URL de detección por organización: al registrarla, todas las Managed Apple Accounts de la organización se dirigen a esta organización de Cerberus Enterprise. No la registres desde dos organizaciones de Cerberus Enterprise que usen la misma organización de Apple Business.

Opción 2: redirección desde tu sitio web

En el servidor web de cada dominio, redirige /.well-known/com.apple.remotemanagement a la URL de detección de tu organización, conservando la cadena de consulta (que contiene la cuenta introducida por el usuario). Esto funciona con todas las versiones del sistema operativo compatibles con la inscripción mediante cuenta, y el modo puede ser distinto para iPhone y Mac. Copia el texto para Apache o nginx de la pestaña; tiene este aspecto, con la clave de tu organización:

Apache (.htaccess o host virtual):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

En otros servidores web o servicios (IIS, Cloudflare, paneles de control de alojamiento), crea una regla de redirección (302) desde la misma ruta a la URL de detección con la opción que conserva o reenvía la cadena de consulta.

Opción 3: archivo estático en tu sitio web

Si no puedes añadir una redirección, publica un archivo en https://company.com/.well-known/com.apple.remotemanagement (sin extensión de archivo), servido con Content-Type: application/json. Copia su contenido de la pestaña. Un archivo estático no puede elegir el modo por dispositivo: usa el mismo modo para iPhone, iPad y Mac. Para User Enrollment, tiene este aspecto:

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

y para Device Enrollment:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

El modo del archivo también debe ser el modo establecido en la pestaña para la familia de dispositivos; de lo contrario, se rechaza la inscripción.

Comprobar configuración

En Comprobar configuración, elige un dominio y un dispositivo (iPhone o Mac) y haz clic en Comprobar: Cerberus Enterprise pregunta al dominio lo mismo que preguntaría un dispositivo y muestra la respuesta, cada redirección y un veredicto. Que el dominio apunte a Cerberus Enterprise significa que las opciones 2 o 3 funcionan; una respuesta de error (como "not found") es correcta para la opción 1; una página web o un archivo que apunte a otro sitio detiene los dispositivos. La comprobación también avisa cuando una redirección pierde la cadena de consulta o el archivo no se sirve como application/json.

Clave de inscripción

Las URL de detección e inscripción contienen una clave de tu organización. Si las URL se publicaron por error, haz clic en Regenerar clave: las URL antiguas dejan de funcionar de inmediato, así que actualiza las redirecciones y los archivos estáticos de tus sitios web. Cerberus Enterprise registra la nueva URL en Apple Business por sí mismo cuando se usa la opción 1.

Cómo se inscriben los usuarios

iPhone y iPad: abre Configuración → General → VPN y gestión de dispositivos → Iniciar sesión en la cuenta de trabajo o centro educativo. Mac: Configuración del Sistema → General → Gestión de dispositivos → Iniciar sesión (en macOS 14: Privacidad y seguridad → Perfiles → Iniciar sesión).
Introduce la Managed Apple Account o la dirección de correo de trabajo del usuario en Cerberus (por ejemplo, name@company.com). Cuando la Managed Apple Account del usuario es distinta de la introducida, el dispositivo pide entonces iniciar sesión con esa cuenta.
Se abre una página de Cerberus Enterprise: toca Enviar el código e introduce el código de 6 dígitos recibido por correo electrónico. El código caduca a los 10 minutos; tras 5 códigos incorrectos, el usuario debe cerrar la página e iniciar sesión de nuevo.
Inicia sesión con la contraseña de la Managed Apple Account (o con la página de inicio de sesión de la empresa cuando Apple Business está conectado a Google Workspace o Microsoft Entra ID) y, a continuación, permite la gestión del dispositivo.

Las cuentas que no pueden inscribirse (dominio no verificado, ningún usuario coincidente cuando los usuarios no se crean automáticamente, varios usuarios con la misma dirección de correo) ven "Esta cuenta no está configurada para la inscripción. Contacta con tu administrador de TI." Los eventos están en los registros del sistema del panel de control.

Después de la inscripción

La página del dispositivo muestra la Managed Apple Account usada para inscribirse y el tipo de inscripción (User Enrollment o Account-driven Device Enrollment). En la lista de dispositivos, los dispositivos con User Enrollment muestran "User Enrollment".
En los dispositivos con User Enrollment, los comandos y ajustes de política que Apple no permite (borrar, ubicación, modo perdido, actualizaciones del sistema operativo, muchas restricciones) no se ofrecen ni se envían. Las apps del App Store de la política usan una licencia de usuario en lugar de una licencia de dispositivo (consulta Apps en dispositivos personales más abajo).
En los dispositivos con User Enrollment, los clips web aparecen en la pantalla de inicio pero no se enumeran en Ajustes → General → VPN y gestión de dispositivos.
El certificado MDM de estos dispositivos no se renueva automáticamente y Return to Service no está disponible: antes de que caduque el certificado MDM (un año después de la inscripción; consulta la página del dispositivo), pide al usuario que vuelva a inscribir el dispositivo.
Para dejar la gestión, el usuario cierra la sesión de la cuenta de trabajo en el mismo lugar de los ajustes, o tú anulas la inscripción del dispositivo desde Cerberus Enterprise. Con User Enrollment solo se eliminan las apps, cuentas y datos de trabajo; los datos personales se conservan. Un dispositivo que se vuelve a inscribir aparece como un dispositivo nuevo.

Justo después de la inscripción, algunos perfiles de la política (certificados, redes Wi-Fi, clips web) pueden notificarse como fallidos con un error desconocido, y el dispositivo puede mostrarse como No cumple durante un tiempo. El dispositivo lo vuelve a intentar por sí mismo y se instalan al cabo de un rato, sin necesidad de hacer nada. No vuelvas a guardar la política ni inscribas de nuevo el dispositivo por este motivo.

Apps en dispositivos personales

Los iPhone y iPad inscritos con User Enrollment no tienen número de serie, por lo que Apps and Books no puede darles una licencia de dispositivo. En su lugar, Cerberus Enterprise da a las apps del App Store de su política una licencia de usuario: la licencia va a la Managed Apple Account que ha iniciado sesión en el dispositivo. Nada cambia en la política: la misma política sirve para dispositivos de empresa y personales, y Cerberus elige el tipo de licencia para cada dispositivo.

Automático: en la primera inscripción, Cerberus registra la Managed Apple Account en Apps and Books y luego pide a Apple una licencia de cada app del App Store de la política. Las apps gratuitas también necesitan una licencia; Apple les da licencias ilimitadas. Una app de pago usa una licencia por Managed Apple Account, compartida por todos los dispositivos personales de esa cuenta.
Misma organización: las Managed Apple Accounts y el token de Apps and Books de Cerberus Enterprise deben pertenecer a la misma organización de Apple Business, y las apps deben estar en la biblioteca de la ubicación del token.
Primero la licencia: una app se envía al dispositivo solo después de que Apple confirme su licencia, normalmente en unos minutos. Hasta entonces, el panel Aplicaciones del dispositivo la muestra como Esperando una licencia de usuario, con el motivo.
Indicación de instalación: los dispositivos personales nunca están supervisados, así que iOS pregunta al usuario antes de instalar cada app, incluida la app Cerberus Enterprise, que Cerberus también instala en estos dispositivos (Instalar o Cancelar); no hace falta iniciar sesión en ninguna Apple Account. Si el usuario cancela, la app muestra Esperando la aprobación del usuario para la instalación: usa Solicitar de nuevo en la página del dispositivo para volver a mostrar la indicación. Las apps instaladas como Obligatoria no las puede eliminar el usuario.
Apps instaladas antes de la inscripción: Apple no permite que la organización se haga cargo de una app que el usuario instaló personalmente en un dispositivo inscrito con User Enrollment. Pide al usuario que elimine su propia copia antes de la inscripción, o elimínala y luego usa Solicitar de nuevo en la página del dispositivo: la organización instala entonces la copia gestionada.
Dejar la gestión: cuando se anula la inscripción del dispositivo, iOS elimina las apps gestionadas y sus datos. Una licencia se libera cuando ya no la necesita ningún otro dispositivo inscrito de la misma Managed Apple Account, por ejemplo cuando la app sale de la política o se anula la inscripción del último dispositivo; las licencias que ya no necesita nadie se liberan con la comprobación diaria en el plazo de un día.

Cuando Apple no puede asignar una licencia, por ejemplo porque una app de pago se ha quedado sin licencias, la app muestra Error de licencia de usuario con el mensaje de Apple. Añade licencias en Apple Business y luego usa Solicitar de nuevo en la página del dispositivo; Cerberus también lo vuelve a intentar por sí mismo en la comprobación diaria. La línea situada encima de la lista de apps muestra la Managed Apple Account y el estado de su usuario de Apps and Books; el mismo estado está en la página del usuario.

Las licencias de usuario solo se usan en iPhone y iPad: en los Mac registrados con Inscripción de usuario no se instalan las apps del App Store de la política. Los libros y las cuentas de Apple personales no son compatibles.

Descripción general de las políticas

La sección Políticas del panel de control (Panel de control → Políticas) enumera todas las políticas de tu cuenta y te permite crearlas, copiarlas, editarlas y eliminarlas.

Lista de políticas

Las políticas se muestran en una tabla. Al hacer clic en una fila se abre el editor de políticas correspondiente.

Columnas

Nombre: nombre de la política.
Plataforma: la plataforma de la política (Android o Apple). Se muestra solo cuando están configurados tanto Android Management como Apple Management.
Dispositivos: número de dispositivos inscritos asignados actualmente a la política. Los dispositivos con la inscripción anulada no se cuentan.
Descripción: descripción de la política. Una descripción larga se corta tras dos líneas; pasa el cursor por encima para leer el texto completo.
Última modificación: cuándo creó, guardó o copió la política un administrador por última vez. Vacío en las políticas no guardadas desde que se introdujo esta columna.
Id: identificador interno de la política.

Por defecto, se muestran primero las políticas modificadas más recientemente; las políticas que nunca se han guardado desde que se introdujo la columna Última modificación aparecen después, por nombre. Haz clic en el encabezado de una columna para ordenar por esa columna.

Filtros y búsqueda

Si se han configurado tanto Android Management como Apple Management, puedes filtrar la lista por Todas, Android o Apple.
Puedes activar Buscar y buscar por nombre o descripción de la política.

Actualización y paginación

Usa la acción de actualizar para volver a cargar la lista.
La tabla está paginada (10/25/50 elementos por página).

Crear una nueva política

Al final de la página Políticas puedes crear una nueva política. Según la plataforma configurada en tu cuenta, es posible que veas una o ambas acciones:

Crear nueva política de Android
Crear nueva política de Apple

Si tu licencia ha caducado, la creación de políticas (y otras acciones de escritura) se desactivan.

Copiar y eliminar políticas

Cada fila de política tiene un menú de acciones que incluye Copiar política y Eliminar política.

Advertencias al eliminar políticas

Al eliminar una política, el panel de control puede mostrar advertencias adicionales según cómo se use la política.

Si la política está asignada a dispositivos registrados, al eliminarla se anulará la inscripción de los dispositivos asociados y se borrarán sus apps y datos.
Si la política está asignada a tokens de inscripción, es posible que esos tokens ya no puedan completar la inscripción.
Si la política se ha establecido como predeterminada para la inscripción con autenticación de Google (de forma global o para algunos usuarios), eliminarla puede provocar que las inscripciones fallen.

Eliminar varias políticas

La lista de políticas admite la selección de varias filas para eliminarlas en bloque. En el modo de selección múltiple, puedes seleccionar varias políticas y eliminarlas en una sola acción.

La eliminación en bloque solo se habilita cuando todas las políticas seleccionadas pertenecen a la misma plataforma (todas Android o todas Apple).

Siguiente: editar los ajustes de la política

La lista de políticas es el punto de entrada. Para configurar los ajustes de la política, usa la documentación del editor correspondiente: Políticas → Android y Políticas → Apple.

Las políticas a las que hacen referencia los tokens de inscripción se aplican automáticamente durante la inscripción del dispositivo.

Políticas - Android

Resumen

Las políticas de Android son las entidades principales del sistema: definen las reglas que se aplican y se hacen cumplir en los dispositivos gestionados.

Puedes explorar tus políticas y crear otras nuevas desde la sección Políticas del panel de control. Para abrir una política de Android, haz clic en la fila de la política en la tabla: el sistema abre la página del Editor de políticas.

Una política se puede asociar con un token de inscripción, de modo que se aplicará automáticamente a los dispositivos durante el proceso de aprovisionamiento. También puedes cambiar la política asignada a un dispositivo después del aprovisionamiento.

Cada dispositivo solo se puede asociar con una política a la vez.

Muchas opciones de política solo se aplican a tipos de dispositivos concretos (totalmente gestionados, dedicados, con perfil de trabajo) y a versiones de Android específicas. Es posible que el dispositivo ignore las configuraciones no compatibles o las notifique como incumplimientos.

Diseño del Editor de políticas

El Editor de políticas se organiza en un conjunto de secciones expandibles. En la parte superior de la página siempre puedes editar:

Nombre (obligatorio)
Id (solo lectura)
Descripción (opcional)

Las secciones siguientes coinciden con los paneles del Editor de políticas (por ejemplo: Gestión de apps, Seguridad, Redes, Sistema, Uso personal, Políticas entre perfiles y más). Cuando abres una política guardada, las secciones con ajustes modificados ya están abiertas y las demás permanecen cerradas. Usa las páginas de capítulos de este manual para entender cada panel en detalle.

Guardar, eliminar y dispositivos asociados

Usa Guardar política para aplicar los cambios. El botón se deshabilita cuando no hay cambios pendientes o cuando la licencia ha caducado.

Si abriste una política existente (tiene un Id), la página muestra una acción Eliminar política y una lista de Dispositivos asociados en la parte inferior, para que puedas ver cuántos dispositivos usan actualmente la política.

Políticas - Android

Gestión de apps

En esta sección puedes establecer políticas relacionadas con la disponibilidad, instalación y actualizaciones de las apps, y la gestión de permisos.

Las cuentas de Managed Google Play se crean automáticamente cuando se aprovisionan los dispositivos.

1. Modo de Play Store

Este modo controla qué apps están disponibles para el usuario en Play Store y el comportamiento del dispositivo cuando se eliminan apps de la política.

Lista blanca (predeterminado): solo están disponibles las apps que figuran en la política, y cualquier app que no esté en la política se desinstalará automáticamente del dispositivo. Play Store solo mostrará las apps disponibles.

Lista negra: todas las apps están disponibles y cualquier app que no deba estar en el dispositivo debe marcarse explícitamente como bloqueada en la política de aplicaciones. Play Store mostrará todas las apps, excepto las bloqueadas.

2. Política de apps no confiables

La política para apps no confiables (apps de orígenes desconocidos) aplicada en el dispositivo. Esta opción controla el ajuste del sistema Android que determina si un usuario puede instalar apps desde fuera de Play Store (instalación de apps de fuentes externas).

No permitir (predeterminado): no permite instalar apps no confiables en todo el dispositivo.

Solo perfil personal: en dispositivos con perfiles de trabajo, permite instalar apps no confiables solo en el perfil personal del dispositivo.

Permitir: permite instalar apps no confiables en todo el dispositivo.

3. Google Play Protect

Indica si se aplica la verificación de apps de Google Play Protect.

Aplicada (predeterminado): activa obligatoriamente la verificación de apps.

Elección del usuario: permite al usuario elegir si activa la verificación de apps.

4. Política de permisos predeterminada

La política para conceder solicitudes de permisos en tiempo de ejecución a las apps.

Preguntar (predeterminado): pide al usuario que conceda un permiso.

Conceder: concede un permiso automáticamente.

Denegar: deniega un permiso automáticamente.

5. Funciones de las apps

Controla si las apps en dispositivos totalmente gestionados o en perfiles de trabajo pueden exponer funciones de apps. Requiere Android 16 o posterior.

Permitido (predeterminado): las apps en dispositivos totalmente gestionados o en perfiles de trabajo pueden exponer funciones de apps.

No permitido: las apps en dispositivos totalmente gestionados o en perfiles de trabajo no pueden exponer funciones de apps.

6. Instalación de apps desactivada

Indica si está desactivada la instalación de apps por parte del usuario.

7. Desinstalación de apps desactivada

Indica si está desactivada la desinstalación de apps por parte del usuario.

8. Políticas de permisos

Concesiones o denegaciones explícitas de permisos o grupos para todas las apps. Estos valores anulan el ajuste Política de permisos predeterminada.

Usa Añadir política de permisos para crear entradas y elimínalas con la acción de eliminar.

Cada entrada incluye:

Permiso/grupo de Android: el permiso o grupo de Android (obligatorio), por ejemplo android.permission.READ_CALENDAR o android.permission_group.CALENDAR.

Política: Conceder / Denegar / Preguntar (usa las mismas opciones de política que Política de permisos predeterminada).

9. Aplicaciones

Lista de aplicaciones que deben incluirse en la política. El comportamiento del contenido de la lista depende del valor establecido en Modo de Play Store.

Si Modo de Play Store se establece en lista blanca, solo están disponibles las apps que figuran en la política y cualquier app que no esté en la política se desinstalará automáticamente del dispositivo.

Si Modo de Play Store se establece en lista negra, todas las apps están disponibles y cualquier app que no deba estar en el dispositivo debe marcarse explícitamente como bloqueada en la política de aplicaciones.

Para añadir una nueva app, haz clic en el botón Añadir aplicaciones (o en el icono Añadir aplicaciones), selecciona Desde Managed Google Play y, después, elige la app en Play Store y haz clic en el botón Seleccionar de la tarjeta de la app.

Para añadir una app que no está publicada en Google Play pero ya está presente en el dispositivo (por ejemplo, una app del sistema o del fabricante), haz clic en Añadir aplicaciones, selecciona Por nombre de paquete (apps preinstaladas), escribe el nombre de paquete de la app (por ejemplo, com.example.app) y haz clic en Añadir.La app se añade con el tipo de instalación Forzar instalación. Para mostrar la app en el lanzador personalizado del modo quiosco, su Tipo de instalación debe ser Preinstalada o Forzar instalación: con Disponible, la app no se muestra.

Las apps que no están disponibles en Managed Google Play se marcan con un icono de Android en la lista de aplicaciones. No se pueden instalar desde Google Play, así que ya deben estar presentes en el dispositivo: los dispositivos que no tienen la app no pueden instalarla.

Todas las apps publicadas en Play Store en tu país están disponibles para seleccionarlas de forma predeterminada. Para seleccionar tus propias apps privadas o web, primero debes subirlas al sistema. Para obtener más información, lee la página Apps privadas.

Cada app se puede configurar con sus propios ajustes, que se muestran visualmente en una tarjeta:

9.1. Tipo de instalación

El tipo de instalación que se va a realizar para una app.

Disponible: la app está disponible para instalarla.

Preinstalada: la app se instala automáticamente y el usuario puede eliminarla.

Forzar instalación: la app se instala automáticamente y el usuario no puede eliminarla.

Bloqueada: la app está bloqueada y no se puede instalar. Si la app se instaló con una política anterior, se desinstalará.

Obligatoria para la configuración: la app se instala automáticamente, el usuario no puede eliminarla y evitará que finalice la configuración hasta que se complete la instalación.

Quiosco: la app se instala automáticamente en modo quiosco: se establece como intent de inicio preferido y se añade a la lista blanca para el modo de bloqueo de tareas. La configuración del dispositivo no finalizará hasta que se instale la app. Tras la instalación, los usuarios no podrán eliminar la app. Solo puedes establecer este tipo de instalación para una app por política. Cuando está presente en la política, la barra de estado se desactivará automáticamente. Para obtener más información, lee la página dedicada al Modo quiosco.

9.2. Restricciones de instalación

Define un conjunto de restricciones para la instalación de la app. Cuando se seleccionan varias restricciones, deben cumplirse todas para que la app se instale.

Esta opción solo se muestra cuando el Tipo de instalación es Preinstalada o Forzar instalación.

Red sin límite de datos: instala la app solo cuando el dispositivo esté conectado a una red sin límite de datos (por ejemplo, Wi‑Fi).

Cargando: instala la app solo cuando el dispositivo se esté cargando.

Inactivo: instala la app solo cuando el dispositivo esté inactivo.

9.3. Modo de actualización automática

Controla el modo de actualización automática de la app.

Predeterminado: la app se actualiza automáticamente con baja prioridad para minimizar el impacto en el usuario. La app se actualiza cuando se cumplen todas estas condiciones: (1) el dispositivo no se está usando activamente, (2) el dispositivo está conectado a una red sin límite de datos y (3) el dispositivo se está cargando. El dispositivo recibe una notificación sobre una nueva actualización en las 24 horas siguientes a su publicación por el desarrollador, y la app se actualiza la próxima vez que se cumplan las condiciones anteriores.

Aplazado: la app no se actualiza automáticamente durante un máximo de 90 días desde que queda desactualizada. 90 días después de que la app quede desactualizada, se instala automáticamente la última versión disponible con baja prioridad (consulta el modo de actualización automática Predeterminado ). Una vez actualizada, la app no vuelve a actualizarse automáticamente hasta 90 días después de quedar desactualizada de nuevo. El usuario siempre puede actualizar la app manualmente desde Play Store.

Alta prioridad: la app se actualiza lo antes posible. No se aplica ninguna restricción. El dispositivo recibe una notificación inmediata sobre una nueva actualización en cuanto está disponible.

9.4. Código de versión mínimo

La versión mínima de la app que se ejecuta en el dispositivo. Si se establece, el dispositivo intenta actualizar la app al menos a este código de versión. Si la app no está actualizada, el dispositivo contendrá un detalle de incumplimiento con el motivo de incumplimiento establecido en APP_NOT_UPDATED. La app ya debe estar publicada en Google Play con un código de versión mayor o igual que este valor. Como máximo, 20 apps pueden especificar un código de versión mínimo por política.

9.5. Ámbitos delegados

Los ámbitos delegados a la app desde Android Device Policy. Puedes conceder a otras apps una selección de permisos especiales de Android:

Instalación de certificados: concede acceso a la instalación y gestión de certificados.

Configuraciones gestionadas: concede acceso a la gestión de configuraciones gestionadas.

Bloquear desinstalación: concede acceso a bloquear la desinstalación.

Permisos: concede acceso a la política de permisos y al estado de concesión de permisos.

Acceso a paquetes: concede acceso al estado de acceso a paquetes.

App del sistema: concede acceso para activar apps del sistema.

9.6. Red preferente

El servicio de red preferente que se usará para esta app. Si se establece, la app usará el segmento de red empresarial especificado para sus conexiones cuando esté disponible. Debe coincidir con un segmento de red configurado en la sección Configuración de segmentación de red 5G del panel Red móvil.

9.7. Política de permisos predeterminada

La política predeterminada para todos los permisos solicitados por la app. Si se especifica, anula la Política de permisos predeterminada de la política, que se aplica a todas las apps. No anula las Políticas de permisos, que se aplican a todas las apps.

Preguntar (predeterminado): pide al usuario que conceda un permiso.

Conceder: concede un permiso automáticamente.

Denegar: deniega un permiso automáticamente.

9.8. App conectada de trabajo y personal

Controla si la app puede comunicarse consigo misma entre los perfiles de trabajo y personal de un dispositivo, con el consentimiento del usuario (Android 11 o posterior).

No permitido (predeterminado): impide que la app se comunique entre perfiles.

Permitido: permite que la app se comunique entre perfiles después de recibir el consentimiento del usuario.

9.9. Excepción al bloqueo de VPN Always On

Especifica si se permite que la app use la red cuando la VPN no está conectada y el bloqueo habilitado está activo. Solo es compatible con dispositivos que ejecutan Android 10 o posterior.

Aplicado (predeterminado): la app respeta el ajuste de bloqueo de VPN Always On.

Exenta: la app está exenta del ajuste de bloqueo de VPN Always On.

9.10. Widgets del perfil de trabajo

Especifica si la app instalada en el perfil de trabajo puede añadir widgets a la pantalla de inicio.

Permitido: la aplicación puede añadir widgets a la pantalla de inicio.

No permitido: la aplicación no puede añadir widgets a la pantalla de inicio.

9.11. Ajustes de control del usuario

Especifica si se permite el control del usuario para una app determinada. El control del usuario incluye acciones como forzar la detención y borrar los datos de la app (Android 11 o posterior). Si extensionConfig está habilitado para una app, el control del usuario no se permite independientemente de este ajuste. Para las apps de quiosco, puedes usar Permitido para permitir el control del usuario.

Sin especificar: usa el comportamiento predeterminado de la app para determinar si se permite o no el control del usuario.

Permitido: se permite el control del usuario para la app.

No permitido: no se permite el control del usuario para la app.

9.12. Desactivada

Indica si la app está desactivada. Cuando está desactivada, los datos de la app se conservan.

9.13. Permitir proveedor de credenciales

Indica si se permite que la app actúe como proveedor de credenciales en Android 14 o posterior.

9.14. Configuración gestionada

Para configurar los ajustes gestionados de la app, haz clic en el botón Habilitar configuración gestionada. Si ya se ha establecido una configuración gestionada para la app, puedes modificarla con el botón Configuración gestionada o eliminarla con el botón Eliminar configuración.

La opción Configuración gestionada solo está disponible para las apps que admiten esta funcionalidad.

9.15. Políticas de permisos

Concesiones o denegaciones explícitas de permisos para la app. Estos valores anulan la Política de permisos predeterminada y las Políticas de permisos que se aplican a todas las apps.

Usa Añadir política de permisos para añadir una o varias reglas de permisos a la tarjeta de la app y eliminarlas con la acción de eliminar.

9.16. IDs de pista

Lista de los ID de pista de prueba cerrada de la app a los que puede acceder un dispositivo. Si se seleccionan varios ID de pista, los dispositivos reciben la versión más reciente de todas las pistas accesibles. Si no se selecciona ningún ID de pista, los dispositivos solo tienen acceso a la pista de producción de la app.

La opción IDs de pista solo está disponible para las apps que tienen al menos un ID de pista disponible para tu organización. Para obtener más detalles sobre cómo añadir tu organización a una pista de prueba cerrada para una app específica, lee aquí.

10. Ajustes de aplicaciones predeterminadas

Establece apps predeterminadas para los tipos compatibles. Cuando se establece una app predeterminada para al menos un tipo, los usuarios no pueden cambiar las apps predeterminadas en ese perfil.

Solo se permite un ajuste de aplicación predeterminada por Tipo de aplicación predeterminada. La lista de aplicaciones predeterminadas no debe contener duplicados.

10.1. Tipo de aplicación predeterminada

Selecciona la categoría de app que quieres configurar (por ejemplo, Navegador, Teléfono, SMS, Cartera o Asistente). La disponibilidad depende de la versión de Android y del modo de gestión.

10.2. Ámbitos de aplicación predeterminada

Selecciona dónde debe aplicarse la app predeterminada (Totalmente gestionado, Perfil de trabajo o Perfil personal). Solo se pueden elegir los ámbitos compatibles con el tipo seleccionado.

Si ninguno de los ámbitos seleccionados se aplica al modo de gestión del dispositivo, el dispositivo informa de un detalle de incumplimiento.

10.3. Aplicaciones predeterminadas

Lista de apps que se pueden establecer como predeterminadas para el tipo seleccionado. La primera app instalada y apta se establece como predeterminada.

Si los ámbitos incluyen Totalmente gestionado o Perfil de trabajo, cada app también debe existir en la lista Aplicaciones con el Tipo de instalación distinto de Bloqueada.

11. Selección de clave privada

Permite mostrar en un dispositivo una interfaz para que el usuario elija un alias de clave privada si no hay reglas coincidentes en Elegir reglas de clave privada.

En dispositivos anteriores a Android P, esta opción puede dejar las claves empresariales vulnerables.

12. Elegir reglas de clave privada

Controla el acceso de las apps a las claves privadas. La regla determina qué clave privada, si alguna, concede Android Device Policy a la app especificada. El acceso se concede cuando la app llama a KeyChain.choosePrivateKeyAlias (o a cualquiera de sus sobrecargas) para solicitar un alias de clave privada para una URL determinada, o bien, para las reglas que no son específicas de una URL (es decir, si urlPattern no está establecido o se establece en la cadena vacía o .*) en Android 11 y versiones posteriores, directamente para que la app pueda llamar a KeyChain.getPrivateKey sin tener que llamar antes a KeyChain.choosePrivateKeyAlias. Cuando una app llama a KeyChain.choosePrivateKeyAlias y coincide más de una choosePrivateKeyRules, la última regla coincidente define qué alias de clave se devuelve.

Usa Añadir regla de clave privada para crear entradas y elimínalas con la acción de eliminar.

12.1. Alias de clave privada

El alias de la clave privada que se va a usar.

12.2. Patrón de URL

El patrón de URL que se compara con la URL de la solicitud. Si no se establece o está vacío, coincide con todas las URL. Usa la sintaxis de expresiones regulares de java.util.regex.Pattern.

12.3. Nombres de paquete

Los nombres de paquete a los que se aplica esta regla. El hash del certificado de firma de cada app se verifica con el hash proporcionado por Play. Si no se especifica ningún nombre de paquete, el alias se proporciona a todas las apps que llamen a KeyChain.choosePrivateKeyAlias o a cualquiera de sus sobrecargas (pero no sin llamar a KeyChain.choosePrivateKeyAlias, incluso en Android 11 y versiones posteriores). Cualquier app con el mismo UID de Android que un paquete especificado aquí tendrá acceso cuando llame a KeyChain.choosePrivateKeyAlias.

Usa Añadir nombre de paquete para añadir entradas y elimínalas con la acción de eliminar.

Para eliminar una app, haz clic en el icono papelera, en la parte inferior de la tarjeta de la app.

Políticas - Android

Modo quiosco

Con el modo quiosco, puedes restringir la funcionalidad de un dispositivo a una sola aplicación o a varias. Elegir entre el modo quiosco de una sola aplicación y el de varias aplicaciones depende de tus objetivos empresariales.

En el modo quiosco de una sola aplicación, un dispositivo se configura para una única aplicación y no permite a los usuarios finales acceder a otras aplicaciones del dispositivo. Tampoco pueden salir de la aplicación, lo que lo convierte en un dispositivo dedicado a esa aplicación específica. Para habilitar este modo, especifica una aplicación en la sección Gestión de aplicaciones con Tipo de instalación establecido en Quiosco.

En el modo quiosco de varias aplicaciones, los dispositivos pueden acceder a varias aplicaciones. Los usuarios finales pueden navegar entre varias aplicaciones mediante un lanzador personalizado. Para habilitar este modo, activa la opción Lanzador personalizado de quiosco.

Cuando el modo quiosco está habilitado, también puedes configurar si los usuarios finales pueden acceder a determinadas funciones del sistema, como los ajustes del sistema y la barra de estado.

Lanzador personalizado de quiosco

Indica si el lanzador personalizado de quiosco está habilitado. Esto sustituye la pantalla de inicio por un lanzador que bloquea el dispositivo en las aplicaciones instaladas mediante el ajuste Gestión de aplicaciones. Las aplicaciones aparecen en una sola página en orden alfabético.

Acciones del botón de encendido

Establece el comportamiento de un dispositivo en modo quiosco cuando un usuario mantiene pulsado el botón de encendido.

Disponible (predeterminado): El menú de encendido (por ejemplo, Apagar, Reiniciar) se muestra cuando un usuario mantiene pulsado el botón de encendido de un dispositivo en modo quiosco.

Bloqueado: El menú de encendido (por ejemplo, Apagar, Reiniciar) no se muestra cuando un usuario mantiene pulsado el botón de encendido de un dispositivo en modo quiosco. Nota: esto puede impedir que los usuarios apaguen el dispositivo.

Avisos de errores del sistema

Especifica si los diálogos de error del sistema para aplicaciones que se han cerrado inesperadamente o que no responden se bloquean en modo quiosco. Cuando se bloquean, el sistema fuerza la detención de la aplicación como si el usuario eligiera la opción "cerrar aplicación" en la interfaz.

Bloqueado (predeterminado): Se bloquean todos los diálogos de error del sistema, como los de cierre inesperado y de aplicación que no responde (ANR). Cuando se bloquean, el sistema fuerza la detención de la aplicación como si el usuario la cerrara desde la interfaz.

Habilitado: Se muestran todos los diálogos de error del sistema, como los de cierre inesperado y de aplicación que no responde (ANR).

Especifica qué funciones de navegación están habilitadas (por ejemplo, los botones Inicio y Vista general) en modo quiosco.

Deshabilitado (predeterminado): No se puede acceder a los botones Inicio y Vista general.

Solo Inicio: Solo el botón Inicio está habilitado.

Habilitado: Los botones Inicio y Vista general están habilitados.

Barra de estado

Especifica si la información del sistema y las notificaciones están deshabilitadas en modo quiosco.

Deshabilitado (predeterminado): La información del sistema y las notificaciones están deshabilitadas en modo quiosco.

Solo sistema: Solo se muestra la información del sistema en la barra de estado.

Habilitado: La información del sistema y las notificaciones se muestran en la barra de estado en modo quiosco. Nota: Para que esta política surta efecto, el botón Inicio del dispositivo debe estar habilitado mediante kioskCustomization.systemNavigation.

Ajustes del dispositivo

Especifica si la aplicación Configuración está permitida en modo quiosco.

Permitido (predeterminado): Se permite el acceso a la aplicación Configuración en modo quiosco.

Bloqueado: No se permite el acceso a la aplicación Configuración en modo quiosco.

Políticas - Android

Seguridad

En esta sección, puedes configurar políticas relacionadas con la seguridad.

Acciones ante riesgos de seguridad

Elige qué hacer cuando un dispositivo informa de un SecurityRisk en los informes de estado.

Tipos de SecurityRisk compatibles:

SO desconocido: La API de Play Integrity detecta que el dispositivo ejecuta un SO desconocido (la comprobación basicIntegrity se supera, pero ctsProfileMatch falla).

SO comprometido: La API de Play Integrity detecta que el dispositivo ejecuta un SO comprometido (la comprobación basicIntegrity falla).

Error en la evaluación respaldada por hardware: La API de Play Integrity detecta que el dispositivo no tiene una garantía sólida de integridad del sistema, si la etiqueta MEETS_STRONG_INTEGRITY no aparece en el campo de integridad del dispositivo.

Acciones disponibles:

Borrar datos corporativos (predeterminado): Anula la inscripción y borra los datos de trabajo (todo el dispositivo si está totalmente gestionado o solo el perfil de trabajo en dispositivos con perfil de trabajo).

Ninguna acción: Deja el dispositivo inscrito y no hagas nada automáticamente.

Cuando seleccionas Borrar datos corporativos, también puedes configurar opciones de borrado:

Conservar la protección contra el restablecimiento de fábrica: Conserva los datos de la Protección contra restablecimiento de fábrica (FRP) al borrar el dispositivo.

Borrar almacenamiento externo: Borra además el almacenamiento externo del dispositivo (como las tarjetas SD) al realizar el borrado.

Borrar eSIM: En dispositivos propiedad de la empresa, esto elimina todas las eSIM del dispositivo cuando se borra. En dispositivos de propiedad personal, se eliminan las eSIM gestionadas (eSIM añadidas mediante el comando ADD_ESIM) y no se elimina ninguna eSIM de propiedad personal.

1. Tiempo máximo para bloquear

Tiempo máximo (en segundos) de actividad del usuario antes de que se bloquee el dispositivo. Un valor de 0 significa que no hay restricción.

2. Mantener encendido durante la carga

Los modos de conexión de la batería en los que el dispositivo permanece encendido. Cuando uses esta configuración, se recomienda borrar Tiempo máximo para bloquear para que el dispositivo no se bloquee mientras permanece encendido.

Cargador de CA: La fuente de alimentación es un cargador de CA.

Puerto USB: La fuente de alimentación es un puerto USB.

Cargador inalámbrico: La fuente de alimentación es inalámbrica.

3. Bloqueo de pantalla deshabilitado

Si es verdadero, deshabilita la pantalla de bloqueo de las pantallas principal o secundaria. Esta política solo es compatible con el modo de gestión de dispositivos dedicados.

4. Requisitos de contraseña

Políticas de requisitos de contraseña.

Usa Configurar requisitos de contraseña para agregar uno o varios bloques de requisitos de contraseña. Usa Borrar todo para eliminar todos los requisitos de contraseña configurados.

Los requisitos de contraseña pueden usar el ámbito Automático (un solo requisito) o ámbitos separados de Dispositivo/Perfil de trabajo. Los requisitos basados en la complejidad deben combinarse con requisitos basados en la calidad para el mismo ámbito.

4.1. Ámbito

El ámbito al que se aplica el requisito de contraseña.

Automático: El ámbito no está especificado. Los requisitos de contraseña se aplican al perfil de trabajo en dispositivos con perfil de trabajo y a todo el dispositivo en dispositivos totalmente gestionados o dedicados.

Dispositivo: Los requisitos de contraseña solo se aplican al dispositivo.

Perfil de trabajo: Los requisitos de contraseña solo se aplican al perfil de trabajo.

4.2. Longitud del historial de contraseñas

La longitud del historial de contraseñas. Después de establecer este campo, el usuario no podrá introducir una contraseña nueva que sea igual a cualquiera del historial. Un valor de 0 significa que no hay restricción.

4.3. Máximo de contraseñas fallidas antes de borrar

Número de contraseñas de desbloqueo incorrectas que se pueden introducir antes de que se borre el dispositivo. Un valor de 0 significa que no hay restricción.

4.4. Tiempo de caducidad de la contraseña (días)

Esta configuración obliga al usuario a actualizar periódicamente su contraseña, tras el número de días especificado.

4.5. Requerir desbloqueo con contraseña

El tiempo tras desbloquear un dispositivo o perfil de trabajo con una forma de autenticación segura (contraseña, PIN, patrón) durante el que se puede desbloquear con cualquier otro método de autenticación (por ejemplo, huella digital, agentes de confianza, rostro). Una vez transcurrido el periodo especificado, solo se pueden usar formas de autenticación seguras para desbloquear el dispositivo o el perfil de trabajo.

Predeterminado del dispositivo: El periodo de tiempo de espera se establece en el valor predeterminado del dispositivo.

Cada día: El periodo de tiempo de espera se establece en 24 horas.

4.6. Calidad de la contraseña

La calidad de contraseña requerida.

Complejidad alta: Define la banda de complejidad de contraseña alta como: En Android 12 y versiones posteriores: PIN sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468), con una longitud mínima de 8; alfabética, con una longitud mínima de 6; alfanumérica, con una longitud mínima de 6.

Complejidad media: Define la banda de complejidad de contraseña media como: PIN sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468), con una longitud mínima de 4; alfabética, con una longitud mínima de 4; alfanumérica, con una longitud mínima de 4.

Complejidad baja: Define la banda de complejidad de contraseña baja como: patrón; PIN con secuencias repetidas (4444) u ordenadas (1234, 4321, 2468).

Ninguna: No hay requisitos de contraseña.

Débil: El dispositivo debe protegerse, como mínimo, con una tecnología de reconocimiento biométrico de baja seguridad. Esto incluye tecnologías que pueden reconocer la identidad de una persona y que equivalen aproximadamente a un PIN de 3 dígitos (la detección falsa es inferior a 1 entre 1000).

Cualquiera: Se requiere una contraseña, pero no hay restricciones sobre lo que debe contener.

Numérica: La contraseña debe contener caracteres numéricos.

Numérica compleja: La contraseña debe contener caracteres numéricos sin secuencias repetidas (4444) ni ordenadas (1234, 4321, 2468).

Alfabética: La contraseña debe contener caracteres alfabéticos (o símbolos).

Alfanumérica: La contraseña debe contener caracteres tanto numéricos como alfabéticos (o símbolos).

Compleja: La contraseña debe cumplir los requisitos mínimos especificados en passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols, etc. Por ejemplo, si passwordMinimumSymbols es 2, la contraseña debe contener al menos dos símbolos.

4.7. Longitud mínima

La longitud mínima permitida de la contraseña. Un valor de 0 significa que no hay restricción.

4.8. Mínimo de letras

Número mínimo de letras requeridas en la contraseña.

4.9. Mínimo de letras minúsculas

Número mínimo de letras minúsculas requeridas en la contraseña.

4.10. Mínimo de letras mayúsculas

Número mínimo de letras mayúsculas requeridas en la contraseña.

4.11. Mínimo de caracteres no alfabéticos

Número mínimo de caracteres no alfabéticos (dígitos numéricos o símbolos) requeridos en la contraseña.

4.12. Mínimo de dígitos numéricos

Número mínimo de dígitos numéricos requeridos en la contraseña.

4.13. Mínimo de símbolos

Número mínimo de símbolos requeridos en la contraseña.

4.14. Bloqueo unificado

Controla si se permite un bloqueo unificado para el dispositivo y el perfil de trabajo, en dispositivos con Android 9 o posterior y con perfil de trabajo. No tiene efecto en otros dispositivos.

Permitir bloqueo unificado: Se permite un bloqueo común para el dispositivo y el perfil de trabajo.

Requerir bloqueo de trabajo independiente: Se requiere un bloqueo independiente para el perfil de trabajo.

5. Restablecimiento de fábrica deshabilitado

Indica si se deshabilita el restablecimiento de fábrica desde la configuración. Solo se aplica a dispositivos totalmente gestionados.

6. Protección contra restablecimiento de fábrica

Direcciones de correo electrónico de los administradores del dispositivo para la Protección contra restablecimiento de fábrica. Cuando el dispositivo sufra un restablecimiento de fábrica no autorizado, se requerirá que uno de estos administradores inicie sesión con el correo electrónico y la contraseña de la cuenta de Google para desbloquear el dispositivo. Si no se especifica ningún administrador, el dispositivo no ofrecerá protección contra restablecimiento de fábrica. Solo se aplica a dispositivos totalmente gestionados.

Correos electrónicos de administradores: usa Habilitar la Protección contra restablecimiento de fábrica para empezar a configurar administradores. Después, usa Agregar correo electrónico de administrador para añadir direcciones y eliminarlas con la acción de eliminar.

7. Funciones de bloqueo de pantalla

Funciones de bloqueo de pantalla (pantalla de bloqueo) que se pueden deshabilitar.

7.1. Deshabilitar todo

Deshabilita todas las personalizaciones actuales y futuras del bloqueo de pantalla.

7.2. Deshabilitar cámara

Deshabilita la cámara en las pantallas de bloqueo seguras (por ejemplo, con PIN).

7.3. Deshabilitar notificaciones

Deshabilita la visualización de todas las notificaciones en las pantallas de bloqueo seguras.

7.4. Deshabilitar notificaciones no censuradas

Deshabilita las notificaciones no censuradas en las pantallas de bloqueo seguras.

7.5. Ignorar el estado del agente de confianza

Ignora el estado del agente de confianza en las pantallas de bloqueo seguras.

7.6. Deshabilitar huella digital

Deshabilita el sensor de huella digital en las pantallas de bloqueo seguras.

7.7. Deshabilitar la introducción de texto en las notificaciones

Deshabilita la introducción de texto en las notificaciones en las pantallas de bloqueo seguras.

7.8. Deshabilitar autenticación facial

Deshabilita la autenticación facial en las pantallas de bloqueo seguras.

7.9. Deshabilitar autenticación por iris

Deshabilita la autenticación por iris en las pantallas de bloqueo seguras.

7.10. Deshabilitar toda la autenticación biométrica

Deshabilita toda la autenticación biométrica en las pantallas de bloqueo seguras.

7.11. Deshabilitar todos los accesos directos

Deshabilita todos los accesos directos en la pantalla de bloqueo segura en Android 14 y versiones posteriores.

Políticas - Android

Multimedia

En esta sección, puedes configurar el comportamiento de la cámara y el micrófono, el acceso a datos por USB, la impresión y las restricciones relacionadas con la pantalla.

1. Acceso a la cámara

Controla el uso de la cámara y si el usuario puede acceder al interruptor de acceso a la cámara (Android 12 o superior). En general, deshabilitar la cámara se aplica a todo el dispositivo en los dispositivos totalmente gestionados, y solo dentro del perfil de trabajo en los dispositivos con perfil de trabajo.

Elección del usuario (predeterminado): Comportamiento predeterminado del dispositivo. Las cámaras están disponibles y (Android 12 o superior) el usuario puede activar o desactivar el acceso a la cámara.

Deshabilitado: Todas las cámaras están deshabilitadas (totalmente gestionados: en todo el dispositivo; perfil de trabajo: solo para las aplicaciones del perfil de trabajo). El interruptor de acceso a la cámara no tiene efecto en el ámbito gestionado.

Aplicado: Las cámaras están disponibles. En los dispositivos totalmente gestionados con Android 12 o superior, el usuario no puede activar ni desactivar el acceso a la cámara. En otros dispositivos o versiones, se comporta como Elección del usuario.

2. Acceso al micrófono

En los dispositivos totalmente gestionados, controla el uso del micrófono y si el usuario puede acceder al interruptor de acceso al micrófono (Android 12 o superior). Este ajuste no tiene efecto en los dispositivos que no están totalmente gestionados.

Elección del usuario (predeterminado): Comportamiento predeterminado. El micrófono está disponible y (Android 12 o superior) el usuario puede activar o desactivar el acceso al micrófono.

Deshabilitado: El micrófono está deshabilitado (en todo el dispositivo). El interruptor de acceso al micrófono no tiene efecto.

Aplicado: El micrófono está disponible. En Android 12 o superior, el usuario no puede activar ni desactivar el acceso al micrófono. En Android 11 o inferior, se comporta como Elección del usuario.

3. Acceso a datos por USB

Controla qué archivos o datos se pueden transferir por USB. Solo es compatible con dispositivos propiedad de la empresa.

No permitir la transferencia de archivos (predeterminado): Se prohíbe la transferencia de archivos, pero se permiten otras conexiones de datos por USB (por ejemplo, ratón o teclado).

No permitir la transferencia de datos: Se prohíben todos los tipos de transferencia de datos por USB (Android 12 o superior con USB HAL 1.3 o superior). Si no es compatible, el dispositivo recurre a No permitir la transferencia de archivos.

Permitir la transferencia de datos: Se permiten todos los tipos de transferencia de datos por USB.

4. Impresión

Controla si se permite la impresión (Android 9 o superior).

Permitido (predeterminado): Se permite la impresión.

No permitido: No se permite la impresión (Android 9 o superior).

5. Ajustes de brillo de la pantalla

Controla el modo de brillo de la pantalla y, opcionalmente, el valor de brillo.

Modo de brillo de la pantalla:

Elección del usuario (predeterminado): El usuario puede configurar el brillo de la pantalla.

Automático: El brillo es automático y el usuario no puede cambiarlo. Aun así, puedes establecer un valor de brillo que se usa como parte del ajuste automático (totalmente gestionados con Android 9 o superior; perfiles de trabajo en dispositivos propiedad de la empresa con Android 15 o superior).

Fijo: El brillo se establece en el valor configurado y el usuario no puede cambiarlo. El valor de brillo es obligatorio (totalmente gestionados con Android 9 o superior; perfiles de trabajo en dispositivos propiedad de la empresa con Android 15 o superior).

Brillo de la pantalla:

Valor de 1 a 255 (1 = el más bajo, 255 = el más alto). Un valor de 0 significa que no se ha establecido ningún valor de brillo.

6. Ajustes de tiempo de espera de la pantalla

Controla si el usuario puede configurar el tiempo de espera de la pantalla y, cuando se aplica, el valor del tiempo de espera.

El campo Modo de tiempo de espera de la pantalla permite elegir entre un comportamiento controlado por el usuario y uno aplicado.

Elección del usuario (predeterminado): El usuario puede configurar el tiempo de espera de la pantalla.

Aplicado: El tiempo de espera de la pantalla se establece en el valor configurado y el usuario no puede cambiarlo (totalmente gestionados con Android 9 o superior; perfiles de trabajo en dispositivos propiedad de la empresa con Android 15 o superior).

Tiempo de espera de la pantalla:

Duración del tiempo de espera en segundos. El valor debe ser mayor que 0. Si es mayor que Tiempo máximo para bloquear, el sistema puede limitarlo e informar de un incumplimiento.

7. Captura de pantalla deshabilitada

Indica si la captura de pantalla está deshabilitada.

8. Ajuste de volumen deshabilitado

Indica si el ajuste del volumen general está deshabilitado.

9. Montaje de medios físicos deshabilitado

Indica si el montaje de medios externos físicos está deshabilitado.

Políticas - Android

Red móvil

En esta sección puedes configurar políticas relacionadas con la red móvil.

1. Modo avión

Controla si el usuario puede activar o desactivar el modo avión.

Elección del usuario (predeterminado): el usuario puede activar o desactivar el modo avión.

Desactivado: el modo avión está desactivado. El usuario no puede activarlo. Compatible con Android 9 y versiones posteriores.

2. Red móvil 2G

Controla si el usuario puede activar o desactivar el ajuste de red móvil 2G.

Elección del usuario (predeterminado): el usuario puede activar o desactivar la red móvil 2G.

Desactivado: la red móvil 2G está desactivada. El usuario no puede activarla desde los ajustes. Compatible con Android 14 y versiones posteriores.

3. Anular APN

Controla si las APN de anulación están activadas o desactivadas. Cuando están activadas, solo se usan las APN de anulación configuradas y se ignoran todas las demás APN del dispositivo.

Deshabilitado (predeterminado): Todos los ajustes de APN configurados se guardan en el dispositivo, pero están deshabilitados y no tienen efecto. El resto de APN del dispositivo siguen en uso.

Habilitado: Solo se usan los APN de sustitución; el resto de APN se ignoran. Este ajuste solo se puede configurar en dispositivos totalmente gestionados con Android 10 o superior.

4. Ajustes de APN

Configura una o varias entradas de APN. Usa Añadir APN para crear una entrada y Eliminar APN para borrarla.

Cada APN tiene campos obligatorios:

Tipos de APN: Selecciona uno o varios tipos de tráfico para este APN (la disponibilidad depende del modo de gestión y de la versión de Android).

Nombre del APN: El identificador de APN proporcionado por tu operador.

Nombre visible: Nombre descriptivo que se muestra en la interfaz.

Campos opcionales del APN:

Tipo de autenticación, Nombre de usuario, Contraseña: Configura la autenticación del operador (si es necesario).

Protocolo y Protocolo de itinerancia: Configuración del protocolo IP.

Tipos de red: Restringe las tecnologías móviles que puede usar el APN (por ejemplo, LTE/5G NR).

Dirección del proxy y Puerto del proxy: Proxy HTTP para el tráfico de datos (si corresponde).

Dirección del proxy MMS, Puerto del proxy MMS, MMSC (URI del centro de MMS): Ajustes relacionados con MMS.

ID numérico del operador (MCC+MNC) y ID del operador: Campos de identificación del operador.

Ajuste Always On: Indica si la sesión PDU activada por este APN debe estar siempre activa. Compatible con Android 15 o superior.

Tipo de MVNO: Tipo de identificador del operador móvil virtual.

MTU IPv4 y MTU IPv6: Unidad máxima de transmisión para rutas IPv4/IPv6. Compatible con Android 13 o superior.

5. Configuración de difusión celular deshabilitada

Indica si la configuración de la difusión celular está deshabilitada.

6. Configuración de redes móviles deshabilitada

Indica si la configuración de las redes móviles está deshabilitada.

7. Datos en itinerancia deshabilitados

Indica si los servicios de datos en itinerancia están deshabilitados.

8. Llamadas salientes deshabilitadas

Indica si las llamadas salientes están deshabilitadas.

9. SMS deshabilitados

Indica si el envío y la recepción de mensajes SMS están deshabilitados.

10. Configuración de segmentación de red 5G

Configura los ajustes del servicio de red preferente para habilitar la segmentación de red 5G empresarial. Puedes configurar hasta 5 segmentos empresariales y asignar aplicaciones a redes específicas para optimizar el enrutamiento del tráfico.

10.1. Red preferente predeterminada

ID de red preferente predeterminada para las aplicaciones que no están en la lista de aplicaciones, o si la Red preferente de una aplicación no está establecida. Debe tener una configuración para el ID de red especificado (a menos que se establezca en Sin red preferente).

Nota: Las aplicaciones críticas como com.google.android.apps.work.clouddpc y com.google.android.gms se excluyen de este ajuste predeterminado.

10.2. Configuraciones de servicios de red

Usa Añadir configuración de red para crear una configuración de segmento. Puedes añadir hasta 5 configuraciones. Cada configuración tiene:

ID de red preferente (asignado automáticamente): El ID de red se asigna automáticamente y no se puede cambiar.

Retorno a la conexión predeterminada: Indica si se permite el retorno a la red predeterminada de todo el dispositivo. Si no se permite, las aplicaciones no podrán acceder a internet cuando el segmento 5G no esté disponible.

Redes no coincidentes: Indica si las aplicaciones sujetas a esta configuración pueden usar redes distintas del servicio preferente. Si se establece en No permitido, Retorno a la conexión predeterminada también debe ser No permitido. Requiere Android 14 o superior.

Políticas - Android

Redes

En esta sección, puedes configurar políticas relacionadas con las redes.

El sistema puede aprovisionar y gestionar las configuraciones de Wi‑Fi mediante Configuraciones de WiFi. Según el valor establecido en Configurar Wi‑Fi, los usuarios pueden tener un control limitado o nulo sobre la adición y modificación de redes.

Estado de radio del dispositivo

1. Estado de Wi‑Fi

Controla el estado actual de Wi‑Fi y si el usuario puede cambiarlo.

Elección del usuario (predeterminado): El usuario puede habilitar o deshabilitar Wi‑Fi.

Habilitado: Wi‑Fi está activado y el usuario no puede desactivarlo (Android 13 o superior).

Deshabilitado: Wi‑Fi está desactivado y el usuario no puede activarlo (Android 13 o superior).

2. Nivel mínimo de seguridad de Wi‑Fi

El nivel de seguridad mínimo requerido de las redes Wi‑Fi a las que se puede conectar el dispositivo. Compatible con Android 13 o superior, para dispositivos totalmente gestionados y perfiles de trabajo en dispositivos propiedad de la empresa.

Red abierta (predeterminado): El dispositivo se puede conectar a todo tipo de redes Wi‑Fi.

Red personal: No permite redes Wi‑Fi abiertas; requiere al menos seguridad personal (por ejemplo, WPA2‑PSK).

Red empresarial: Requiere redes EAP empresariales; no permite redes Wi‑Fi por debajo de este nivel de seguridad.

Red empresarial de 192 bits: Requiere redes empresariales de 192 bits; la opción más estricta.

3. Estado de banda ultraancha (UWB)

Controla el estado del ajuste de banda ultraancha y si el usuario puede activarlo o desactivarlo.

Elección del usuario (predeterminado): El usuario puede activar o desactivar UWB.

Deshabilitado: UWB está deshabilitado y el usuario no puede activarlo ni desactivarlo desde los ajustes (Android 14 o superior).

Gestión de la conectividad del dispositivo

5. Configurar Wi‑Fi

Controla los privilegios de configuración de Wi‑Fi. Según la opción seleccionada, el usuario tiene control total, limitado o nulo para configurar redes Wi‑Fi.

Permitir configurar Wi‑Fi (predeterminado): El usuario puede configurar Wi‑Fi.

No permitir añadir configuración de Wi‑Fi: No se permite añadir nuevas configuraciones de Wi‑Fi. El usuario puede cambiar entre las redes ya configuradas (Android 13 o superior; dispositivos totalmente gestionados y perfiles de trabajo de dispositivos propiedad de la empresa).

No permitir configurar Wi‑Fi: No permite configurar redes Wi‑Fi. En los dispositivos totalmente gestionados, esto elimina las redes configuradas por el usuario y conserva solo las redes configuradas mediante Configuraciones de WiFi. En los perfiles de trabajo de dispositivos propiedad de la empresa, las redes existentes no se ven afectadas, pero los usuarios no pueden añadir, quitar ni modificar redes Wi‑Fi.

Cuando la configuración de Wi‑Fi está deshabilitada y el dispositivo no puede conectarse al arrancar, el sistema puede mostrar la vía de escape de red para que el usuario se conecte temporalmente y actualice la política.

6. Ajustes de Wi‑Fi Direct

Controla la configuración y el uso de los ajustes de Wi‑Fi Direct. Compatible con dispositivos propiedad de la empresa que ejecutan Android 13 o superior.

Permitir (predeterminado): El usuario puede usar Wi‑Fi Direct.

No permitir: El usuario no puede usar Wi‑Fi Direct.

7. Ajustes de anclaje a red

Controla los ajustes de anclaje a red. Según el valor establecido, se prohíbe al usuario parcial o totalmente el uso de distintas formas de anclaje a red.

Permitir todo el anclaje a red (predeterminado): Permite configurar y usar todas las formas de anclaje a red.

No permitir anclaje a red Wi‑Fi: Impide que el usuario use el anclaje a red Wi‑Fi (dispositivos propiedad de la empresa con Android 13 o superior).

No permitir ningún anclaje a red: No permite ninguna forma de anclaje a red (dispositivos totalmente gestionados y perfiles de trabajo de dispositivos propiedad de la empresa).

8. Política de SSID de Wi‑Fi

Restricciones sobre los SSID de Wi‑Fi a los que se puede conectar el dispositivo (esto no afecta a qué redes se pueden configurar en el dispositivo). Compatible con dispositivos propiedad de la empresa que ejecutan Android 13 o superior.

Lista de SSID denegados (predeterminado): El dispositivo no puede conectarse a ninguna red Wi‑Fi cuyo SSID esté en la lista, pero puede conectarse a otras redes.

Lista de SSID permitidos: El dispositivo solo puede conectarse a los SSID de la lista. La lista de SSID no debe estar vacía.

Usa Añadir SSID para añadir entradas. Según el tipo de política seleccionado, la lista se interpreta como SSID permitidos o denegados.

En la interfaz del editor de políticas, la lista de SSID se denomina SSID de Wi‑Fi permitidos para las listas de permitidos y SSID de Wi‑Fi denegados para las listas de denegados.

9. Ajustes de itinerancia de Wi‑Fi

Configura el modo de itinerancia de Wi‑Fi por SSID. Usa Añadir ajuste de itinerancia de Wi‑Fi para crear entradas.

Cada entrada incluye:

SSID: El SSID al que se aplica el ajuste de itinerancia (obligatorio).

Modo de itinerancia de Wi‑Fi: Predeterminado / Deshabilitado / Agresivo. Deshabilitado y Agresivo requieren Android 15 o superior y solo son compatibles con dispositivos totalmente gestionados y perfiles de trabajo en dispositivos propiedad de la empresa.

Restricciones de red

10. Bluetooth deshabilitado

Indica si Bluetooth está deshabilitado. Es preferible este ajuste al de configuración de Bluetooth deshabilitada, ya que el usuario puede eludir este último.

11. Uso compartido de contactos por Bluetooth deshabilitado

Indica si el uso compartido de contactos por Bluetooth está deshabilitado.

12. Configuración de Bluetooth deshabilitada

Indica si la configuración de Bluetooth está deshabilitada.

13. Restablecimiento de red deshabilitado

Indica si el restablecimiento de los ajustes de red está deshabilitado.

14. Beam saliente deshabilitado

Indica si el uso de NFC para transmitir datos desde aplicaciones está deshabilitado.

VPN

15. Aplicación de VPN Always On

Especifica un nombre de paquete de VPN Always On para garantizar que los datos de las aplicaciones gestionadas especificadas pasen siempre por una VPN configurada.

Nota: Esta función requiere implementar un cliente VPN compatible con las funciones Always On y de VPN por aplicación.

16. Bloqueo de VPN

No permite la conexión de red cuando la VPN no está conectada.

17. Configuración de VPN deshabilitada

Indica si la configuración de la VPN está deshabilitada.

Proxy y servicios de red

18. Servicio de red preferente

Controla si el servicio de red preferente está habilitado en el perfil de trabajo. Por ejemplo, una organización puede tener un acuerdo con un operador para que los datos de trabajo se envíen mediante un servicio de red del operador dedicado al uso empresarial (por ejemplo, un segmento empresarial en redes 5G). Esto no tiene efecto en los dispositivos totalmente gestionados.

Deshabilitado: El servicio de red preferente está deshabilitado en el perfil de trabajo.

Habilitado: El servicio de red preferente está habilitado en el perfil de trabajo.

Si usas la segmentación de red empresarial, configura también Configuración de segmentación de red 5G en el panel de políticas Celular y asigna aplicaciones a un segmento mediante su ajuste Red preferente.

19. Proxy global recomendado

El proxy HTTP global independiente de la red. Normalmente, los proxies deben configurarse por red en las configuraciones de WiFi. Un proxy global puede ser útil para configuraciones poco habituales, como el filtrado interno general. El proxy global solo es una recomendación y algunas aplicaciones pueden ignorarlo.

Deshabilitado

Proxy directo

Configuración automática de proxy (PAC)

19.1. Host

El host del proxy directo.

19.2. Puerto

El puerto del proxy directo.

19.3. URI del PAC

El URI del script PAC que se usa para configurar el proxy.

19.4. Hosts excluidos

En un proxy directo, los hosts para los que se omite el proxy. Los nombres de host pueden contener comodines como *.example.com.

Usa Añadir host excluido para agregar entradas (disponible solo para el proxy directo).

Configuraciones de Wi-Fi

Define configuraciones de red Wi‑Fi que el sistema aplicará en los dispositivos. Usa Añadir configuración Wi‑Fi para crear una entrada y eliminarla con la acción de eliminar.

20. Campos de configuración de Wi‑Fi

Cada configuración incluye:

Nombre de la configuración: Obligatorio.

SSID: Obligatorio.

Conexión automática: Indica si la red debe conectarse automáticamente cuando esté dentro del alcance.

Fast Transition: Indica si el cliente debe intentar usar Fast Transition (IEEE 802.11r-2008) con la red.

SSID oculto: Indica si el SSID se difundirá.

Modo de aleatorización de MAC: Hardware o Automático (Android 13+).

20.1. Seguridad

Opciones de seguridad de Wi‑Fi:

WEP‑PSK: WEP (clave precompartida).

WPA‑PSK: WPA/WPA2/WPA3-Personal (clave precompartida).

WPA‑EAP: WPA/WPA2/WPA3-Enterprise (Protocolo de autenticación extensible).

Modo WPA3 de 192 bits: Red WPA‑EAP que solo permite el modo WPA3 de 192 bits.

20.2. Frase de contraseña (clave precompartida)

Se muestra cuando la seguridad es WEP‑PSK o WPA‑PSK. La frase de contraseña es obligatoria.

20.3. Método EAP (Enterprise)

Se muestra cuando la seguridad es WPA‑EAP o Modo WPA3 de 192 bits. Selecciona un método EAP externo:

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. Autenticación de fase 2

Se muestra para los métodos externos de túnel (EAP‑TTLS y PEAP).

MSCHAPv2

PAP

20.5. Credenciales EAP de los usuarios

Cuando está habilitado, el sistema aplica automáticamente las credenciales EAP en los dispositivos para cada usuario. Puedes configurar las credenciales de usuario en la sección Usuarios.

20.6. Certificado de cliente

Para EAP‑TLS, puedes asignar un certificado de cliente que se use para la autenticación Wi‑Fi. Para obtener más información, consulta la página Gestión de certificados.

Si ya hay un certificado asignado, puedes usar Abrir certificado para verlo o Cambiar certificado para seleccionar otro.

También puedes especificar el Alias del par de claves del certificado de cliente, que hace referencia a un certificado de cliente almacenado en el llavero de Android y permitido para la autenticación Wi‑Fi.

Si se establecen tanto Certificado de cliente como Alias del par de claves del certificado de cliente, se omite el alias del par de claves.

20.7. Identidad

Identidad del usuario. En los protocolos externos de túnel (PEAP, EAP‑TTLS), se usa para autenticarse dentro del túnel, y la Identidad anónima se usa para la identidad EAP fuera del túnel. En los protocolos externos sin túnel, se usa para la identidad EAP.

20.8. Identidad anónima

Solo para protocolos de túnel, indica la identidad del usuario presentada al protocolo externo.

20.9. Contraseña

Contraseña del usuario. Si no se especifica, se solicita al usuario de forma predeterminada.

20.10. Certificados de CA del servidor

Lista de certificados de CA que se usarán para verificar la cadena de certificados del host. Al menos un certificado de CA debe coincidir. Para obtener más información, consulta la página Gestión de certificados.

Usa Añadir certificado de CA del servidor para agregar entradas y eliminarlas con la acción de eliminar.

20.11. Coincidencias de sufijo de dominio

Una lista de restricciones para el nombre de dominio del servidor. Las entradas se usan como requisitos de coincidencia de sufijo con los nombres DNS del nombre alternativo del sujeto de un certificado del servidor de autenticación.

Políticas - Android

Sistema

En esta sección, puedes configurar políticas relacionadas con el sistema.

1. Nivel mínimo de API

El nivel mínimo permitido de la API de Android.

2. Política de cifrado

Indica si el cifrado está habilitado.

Predeterminado: Este valor se ignora, es decir, no se requiere cifrado.

Habilitado sin contraseña: Se requiere cifrado, pero no se requiere contraseña para arrancar.

Habilitado con contraseña: Se requiere cifrado y se requiere contraseña para arrancar.

3. Fecha y hora automáticas

Indica si la fecha, la hora y la zona horaria automáticas están habilitadas en un dispositivo propiedad de la empresa.

Elección del usuario (predeterminado): La fecha, la hora y la zona horaria automáticas quedan a elección del usuario.

Forzado: Fuerza la fecha, la hora y la zona horaria automáticas en el dispositivo.

4. Ajustes de desarrollador

Controla el acceso a los ajustes de desarrollador: opciones de desarrollador y arranque seguro.

Desactivado (predeterminado): desactiva todos los ajustes de desarrollador y evita que el usuario acceda a ellos.

Permitido: permite todos los ajustes de desarrollador. El usuario puede acceder a ellos y configurarlos opcionalmente.

5. Modo Common Criteria

Controla el modo Common Criteria, el conjunto de estándares de seguridad definidos en Common Criteria for Information Technology Security Evaluation (CC). Activar el modo Common Criteria incrementa ciertos componentes de seguridad del dispositivo (por ejemplo: cifrado AES-GCM de las claves de largo plazo de Bluetooth, validación adicional de algunos certificados de red y comprobaciones de integridad criptográfica de las políticas). El modo Common Criteria solo es compatible con dispositivos propiedad de la empresa que ejecuten Android 11 o superior. Advertencia: el modo Common Criteria aplica un modelo de seguridad estricto que normalmente solo necesitan las organizaciones de alta sensibilidad. El uso estándar del dispositivo puede verse afectado; actívalo solo si es necesario.

Desactivado (predeterminado): desactiva el modo Common Criteria.

Activado: activa el modo Common Criteria.

6. Memory Tagging Extension (MTE)

Controla Memory Tagging Extension (MTE) en el dispositivo.

Elección del usuario (predeterminado): el usuario puede elegir activar o desactivar MTE en el dispositivo (si el dispositivo lo admite).

Forzado: MTE está activado y el usuario no puede cambiarlo (Android 14+; compatible con dispositivos totalmente gestionados y perfiles de trabajo en dispositivos propiedad de la empresa).

Desactivado: MTE está desactivado y el usuario no puede cambiarlo (Android 14+; solo compatible con dispositivos totalmente gestionados).

7. Protección de contenido

Controla si la protección de contenido (que analiza en busca de aplicaciones engañosas) está activada. Es compatible con Android 15 y versiones posteriores.

Desactivado (predeterminado): la protección de contenido está desactivada y el usuario no puede cambiar esto.

Forzado: la protección de contenido está activada y el usuario no puede cambiar esto (Android 15+).

Elección del usuario: la protección de contenido no está controlada por la política; el usuario puede elegir (Android 15+).

8. Contenido de asistencia

Controla si se permite enviar AssistContent a una aplicación privilegiada, como una aplicación de asistente (por ejemplo, Circle to Search). AssistContent incluye capturas de pantalla e información sobre una aplicación, como el nombre del paquete. Es compatible con Android 15 y versiones posteriores.

Permitido (predeterminado): se permite enviar el contenido de asistencia a una aplicación privilegiada (Android 15+).

No permitido: se bloquea el envío del contenido de asistencia a una aplicación privilegiada (Android 15+).

9. Creación de ventanas desactivada

Indica si está desactivada la creación de ventanas distintas de las de las aplicaciones. Esta opción impide que se muestren las siguientes interfaces del sistema: toasts y snackbars, actividades telefónicas (como llamadas entrantes) y actividades telefónicas prioritarias (como llamadas en curso), alertas del sistema, errores del sistema y superposiciones del sistema.

10. Vía de escape de red

Indica si está activada la vía de escape de red. Si no se puede establecer una conexión de red al arrancar, la vía de escape pide al usuario que se conecte temporalmente a una red para actualizar la política del dispositivo. Después de aplicar la política, la red temporal se olvidará y el dispositivo continuará arrancando. Esto evita que no se pueda conectar a una red si no hay ninguna red adecuada en la última política y el dispositivo arranca en una aplicación en modo de bloqueo de tareas, o si el usuario no puede acceder de otro modo a la configuración del dispositivo.

11. Actividades predeterminadas

Una lista de actividades predeterminadas para gestionar intents que coinciden con un filtro de intents concreto. Por ejemplo, esta función permite a los administradores de TI elegir qué aplicación de navegador abre automáticamente los enlaces web o qué aplicación de lanzador se usa al tocar el botón de inicio.

Usa Añadir actividad predeterminada para crear entradas. Dentro de una entrada, usa Añadir acción y Añadir categoría para construir el filtro de intents.

11.1. Actividad receptora

La actividad que debe ser el controlador de intents predeterminado. Debe ser el nombre de un componente de Android, por ejemplo, com.android.enterprise.app/.MainActivity. Como alternativa, el valor puede ser el nombre del paquete de una aplicación, lo que hace que Android Device Policy elija una actividad adecuada de la aplicación para gestionar el intent.

11.2. Acción

Las acciones de intent que deben coincidir con el filtro. Si se incluye alguna acción en el filtro, la acción de un intent debe ser uno de esos valores para que coincida. Si no se incluye ninguna acción, la acción del intent se ignora.

11.3. Categoría

Las categorías de intent que deben coincidir con el filtro. Un intent incluye las categorías que requiere, y todas ellas deben estar incluidas en el filtro para que coincida. En otras palabras, añadir una categoría al filtro no afecta a la coincidencia a menos que esa categoría se especifique en el intent.

12. Métodos de entrada permitidos

Especifica los métodos de entrada permitidos.

Todos permitidos: no se aplica ninguna restricción. Se permiten todos los métodos de entrada.

Solo del sistema: solo se permiten los métodos de entrada integrados del sistema.

Solo del sistema y proporcionados: solo se permiten los métodos de entrada proporcionados y los integrados del sistema.

12.1. Métodos de entrada autorizados

Nombres de paquetes de métodos de entrada que están autorizados. Solo se aplica cuando Métodos de entrada permitidos está configurado en Solo del sistema y proporcionados.

Usa Añadir método de entrada para añadir entradas y quítalas con la acción de eliminar.

13. Servicios de accesibilidad permitidos

Especifica los servicios de accesibilidad permitidos.

Todos permitidos: se puede usar cualquier servicio de accesibilidad.

Solo del sistema: solo se pueden usar los servicios de accesibilidad integrados del sistema.

Solo del sistema y proporcionados: solo se pueden usar los servicios de accesibilidad proporcionados y los integrados del sistema.

13.1. Servicios de accesibilidad autorizados

Servicios de accesibilidad autorizados. Solo se aplica cuando Servicios de accesibilidad permitidos está configurado en Solo del sistema y proporcionados.

Usa Añadir servicio de accesibilidad para añadir entradas y quítalas con la acción de eliminar.

14. Política de actualización del sistema

Configuración para gestionar las actualizaciones del sistema.

Predeterminado: sigue el comportamiento de actualización predeterminado del dispositivo, que normalmente requiere que el usuario acepte las actualizaciones del sistema.

Automático: instala automáticamente en cuanto haya una actualización disponible.

Con ventana: instala automáticamente dentro de una ventana de mantenimiento diaria. Esto también configura las aplicaciones de Play para que se actualicen dentro de la ventana. Se recomienda encarecidamente para dispositivos de kiosco, ya que es la única forma en que Play puede actualizar las aplicaciones fijadas de forma persistente en primer plano.

Posponer: pospone la instalación automática hasta un máximo de 30 días.

14.1. Ventana de mantenimiento (solo con ventana)

Cuando Política de actualización del sistema está configurada en Con ventana, puedes definir la ventana de mantenimiento diaria con los campos desde y hasta.

14.2. Periodos de congelación de las actualizaciones del sistema

Un periodo de tiempo que se repite cada año durante el cual se posponen las actualizaciones del sistema por aire (OTA) para congelar la versión del sistema operativo que se ejecuta en un dispositivo. Para evitar que el dispositivo se congele indefinidamente, cada periodo de congelación debe estar separado por al menos 60 días. Cada periodo de congelación no debe superar los 90 días.

Usa Añadir periodo de congelación de actualizaciones del sistema para crear entradas.

15. Proveedores de credenciales predeterminados

Controla qué aplicaciones pueden actuar como proveedores de credenciales en Android 14 y versiones posteriores.

No permitido (predeterminado): las aplicaciones con credentialProviderPolicy sin especificar no pueden actuar como proveedor de credenciales.

No permitido excepto el sistema: las aplicaciones con credentialProviderPolicy sin especificar no pueden actuar como proveedor de credenciales, excepto los proveedores de credenciales predeterminados del OEM.

Políticas - Android

Ubicación y geovallas

Este panel agrupa los ajustes de política de Android que controlan el informe de ubicación del dispositivo, la aplicación de la ubicación y la definición de geocercas. Úsalo cuando quieras que Cerberus Enterprise recopile las ubicaciones de los dispositivos o detecte cuándo entran o salen de las áreas configuradas.

Informe de ubicación

Informar ubicación

Habilita el informe de geolocalización del dispositivo. Los datos de ubicación recopilados mediante este ajuste los usan el mapa de ubicación del panel de control, el historial de ubicaciones del resumen del dispositivo y el procesamiento de geocercas.

El historial de ubicaciones y los eventos de geocercas se conservan durante 90 días y los datos más antiguos se eliminan automáticamente cada noche. La última ubicación de cada dispositivo inscrito se conserva siempre, por lo que sigue en los mapas.

En los dispositivos que no están totalmente gestionados, los datos de ubicación pueden depender de que la app Cerberus Enterprise tenga los permisos de ubicación necesarios y de que los servicios de ubicación estén habilitados en el dispositivo.

En los dispositivos Apple personales (Inscripción de usuario), la ubicación y las geocercas están desactivadas de forma predeterminada: solo están disponibles cuando la política de Apple tiene activada la opción Ubicación y geocercas en dispositivos personales, y solo si el usuario permite la ubicación para la aplicación Cerberus Enterprise.

Modo de ubicación

Controla el ajuste de ubicación del dispositivo en los dispositivos propiedad de la empresa.

Elección del usuario: los servicios de ubicación no están restringidos por la política.
Aplicado: los servicios de ubicación están habilitados en el dispositivo.
Deshabilitado: los servicios de ubicación están deshabilitados en el dispositivo.

Uso compartido de ubicación deshabilitado

Deshabilita el uso compartido de la ubicación para las aplicaciones de trabajo. En los dispositivos con propietario del perfil, afecta al perfil de trabajo. En los dispositivos totalmente gestionados, deshabilita la ubicación para todo el dispositivo y anula el modo de ubicación del dispositivo.

Comportamiento automático con geocercas activas

Las geocercas activas requieren que funcione el informe de ubicación. Cuando al menos una geocerca está activa, Cerberus Enterprise mantiene automáticamente la coherencia de los ajustes de ubicación relacionados.

La opción Informar ubicación se fuerza a activada mientras existan geocercas activas.
El Modo de ubicación se fuerza a Aplicado.
La opción Uso compartido de ubicación deshabilitado se fuerza a desactivada.

Si intentas deshabilitar Informar ubicación mientras hay una o más geocercas activas, Cerberus Enterprise muestra un diálogo de confirmación. Si continúas, se desactivan todas las geocercas activas de la política.

Lista de geocercas

Una política puede contener hasta 10 geocercas. Los nombres de las geocercas deben ser únicos dentro de la política.

Usa Añadir geocerca para crear una nueva entrada. Cada geocerca contiene estos campos principales:

Nombre: obligatorio y único.
Latitud y Longitud: el centro del área.
Radio (m): obligatorio, de 200 a 10000 metros.
Descripción: notas opcionales para los administradores.
Informar entrada e Informar salida: elige qué eventos de transición se deben generar.
Activa: habilita o deshabilita la geocerca sin eliminarla.

Al menos una de las opciones Informar entrada o Informar salida debe permanecer habilitada en cada geocerca.

Antes, el radio mínimo era de 100 metros. Las geocercas existentes menores de 200 metros siguen funcionando y se mantienen tal como están al guardar la política, incluso si las mueves o cambias de nombre. Si cambias su radio, debe ser de al menos 200 metros.

Herramientas de edición del mapa

Cada tarjeta de geocerca incluye una vista previa del área en el mapa. Puedes editar la geometría desde el mapa o desde los campos numéricos.

Haz clic en el mapa para mover el centro de la geocerca cuando la edición del área esté desbloqueada.
Usa el botón Ubicación actual para centrar el mapa en la posición actual de tu navegador.
Usa el botón Recentrar mapa para restaurar la vista preferida de esa geocerca.
Usa el botón de bloqueo para evitar cambios accidentales en la geometría de la geocerca.

Dónde aparecen los datos de las geocercas

Las transiciones de geocercas se pueden revisar en la página Resumen del dispositivo de Android, dentro de la pestaña Geocerca del panel de ubicación. Esa pestaña muestra las transiciones en un mapa dedicado junto con herramientas de filtrado y la lista de transiciones.

Políticas - Android

Gestión de usuarios

Añadir usuario desactivado

Indica si está desactivada la adición de nuevos usuarios y perfiles. En los dispositivos en los que managementMode es DEVICE_OWNER, este campo se ignora y el usuario nunca puede añadir ni quitar usuarios.

Modificar cuentas desactivado

Indica si está desactivada la adición o eliminación de cuentas.

Configuración de credenciales de usuario desactivada

Indica si está desactivada la configuración de las credenciales de usuario.

Eliminar usuario desactivado

Indica si está desactivada la eliminación de otros usuarios.

Establecer icono de usuario desactivado

Indica si está desactivado el cambio del icono de usuario.

Establecer fondo de pantalla desactivado

Indica si está desactivado el cambio del fondo de pantalla.

Autenticación en la configuración de la cuenta de trabajo

Controla cómo se autentican los usuarios durante la configuración de la cuenta de trabajo. Esta opción solo está disponible para empresas de Android respaldadas por un dominio de Google gestionado (Google Workspace).

Durante la configuración o inscripción del dispositivo, esta política influye en si se requiere iniciar sesión con una cuenta de trabajo, pero la opción Authenticate Using Google de Google Admin Console y el tipo de token de inscripción todavía pueden exigir autenticación.

En los dispositivos ya registrados, esta política solo se aplica si el dispositivo está gestionado por una cuenta de Managed Google Play (es decir, registrado sin Authenticate Using Google Enrollment).

Para obtener más detalles y solución de problemas, consulta Authenticate Using Google enrollment.

Tipos de cuenta bloqueados

Tipos de cuenta que el usuario no puede gestionar. Esta opción impide que los usuarios del dispositivo añadan cuentas no aprobadas.

Usa Añadir tipo de cuenta bloqueado para añadir uno o varios tipos de cuenta.

Cada entrada tiene un campo Tipo de cuenta (obligatorio). Escribe una cadena como com.google. Para quitar una entrada, usa la acción de eliminar.

Políticas - Android

Uso personal

Cuando aprovisionas un dispositivo propiedad de la empresa para uso laboral y personal, puedes especificar algunas reglas para limitar cómo el usuario puede usar el dispositivo para uso personal, fuera del perfil de trabajo.

Esta sección solo se aplica a dispositivos propiedad de la empresa con perfil de trabajo. No tendrá efecto en dispositivos totalmente gestionados o de propiedad personal.

1. Cámara deshabilitada

Indica si la cámara está deshabilitada.

2. Captura de pantalla deshabilitada

Indica si la captura de pantalla está deshabilitada.

3. Máximo de días con el trabajo desactivado

Controla cuánto tiempo puede permanecer desactivado el perfil de trabajo.

5. Espacio privado

Controla si se permite un espacio privado en el dispositivo.

6. Modo de Play Store

Este modo controla qué aplicaciones se permiten o bloquean al usuario en Play Store del perfil personal.

Lista de bloqueo (predeterminada): Todas las aplicaciones están disponibles y cualquier aplicación que no deba estar en el dispositivo debe marcarse explícitamente como Bloqueada en la sección Aplicaciones.

Lista de permitidos: Solo se permite instalar en el perfil personal las aplicaciones especificadas explícitamente en la sección Aplicaciones con el Tipo de instalación establecido en Disponible.

7. Aplicaciones

Lista de aplicaciones que se deben permitir o bloquear en el perfil personal. El comportamiento del contenido de la lista depende del valor establecido en Modo de Play Store.

Para agregar una nueva aplicación de Play Store, haz clic en el icono +.

7.1. Tipo de instalación

Tipos de comportamientos de instalación que puede tener una aplicación del perfil personal.

Bloqueada: La aplicación está bloqueada y no se puede instalar en el perfil personal.

Disponible: La aplicación está disponible para instalarse en el perfil personal.

8. Tipos de cuenta bloqueados

Tipos de cuenta que el usuario no puede gestionar. Esta opción impide que los usuarios del dispositivo agreguen cuentas no aprobadas en su perfil personal.

Políticas - Android

Políticas entre perfiles

Solo se aplica a dispositivos con perfiles personal y de trabajo.

Copiar y pegar entre perfiles

Indica si el texto copiado en un perfil (personal o de trabajo) se puede pegar en el otro perfil.

No permitido (predeterminado): Impide que los usuarios peguen en el perfil personal el texto copiado del perfil de trabajo. El texto copiado del perfil personal se puede pegar en el perfil de trabajo.

Permitido: El texto copiado en cualquiera de los perfiles se puede pegar en el otro perfil.

Uso compartido de datos entre perfiles

Indica si los datos de un perfil (personal o de trabajo) se pueden compartir con las aplicaciones del otro perfil. Controla específicamente el uso compartido de datos simple mediante intents. La gestión de otros canales de comunicación entre perfiles, como la búsqueda de contactos, copiar y pegar,
o las aplicaciones conectadas de trabajo y personales, se configura por separado.

No permitido: Impide compartir datos tanto del perfil personal al perfil de trabajo como del perfil de trabajo al perfil personal.

De trabajo a personal no permitido (predeterminado): Impide que los usuarios compartan datos del perfil de trabajo con aplicaciones del perfil personal. Los datos personales se pueden compartir con las aplicaciones de trabajo.

Permitido: Los datos de cualquiera de los perfiles se pueden compartir con el otro perfil.

Valor predeterminado de los widgets del perfil de trabajo

Comportamiento predeterminado de los widgets del perfil de trabajo. Si una aplicación específica no define una política de widgets, sigue el valor predeterminado establecido aquí.

Funciones de aplicaciones entre perfiles

Controla si las aplicaciones del perfil personal pueden invocar funciones de aplicaciones del perfil de trabajo. Esto requiere Android 16 o superior.

Este ajuste depende de la opción Funciones de aplicaciones a nivel de política (en la sección Gestión de aplicaciones). Si Funciones de aplicaciones se establece en No permitido, la API rechazará las funciones de aplicaciones entre perfiles establecidas en Permitido.

Contactos de trabajo en el perfil personal

Indica si los contactos guardados en el perfil de trabajo se pueden mostrar en las búsquedas de contactos y las llamadas entrantes del perfil personal.

Permitido (predeterminado): Permite que los contactos del perfil de trabajo aparezcan en el perfil personal.

No permitido: Impide que las aplicaciones personales accedan a los contactos del perfil de trabajo y busquen contactos de trabajo.

No permitido excepto el sistema: Impide que la mayoría de las aplicaciones personales accedan a los contactos del perfil de trabajo, excepto las aplicaciones Teléfono, Mensajes y Contactos predeterminadas del OEM (Android 14 o superior).

Cuando se configura Contactos de trabajo en el perfil personal, puedes definir opcionalmente una lista de entradas de Nombre de paquete exento. Según el modo seleccionado, estas exenciones funcionan como lista de permitidos o lista de bloqueados para las aplicaciones personales.

Políticas - Android

Informes de estado

En esta sección, puedes configurar qué datos se deben obtener del dispositivo. Los datos de estado se pueden ver en la página del panel de control Estado del dispositivo.

Informes de aplicaciones

Indica si los informes de aplicaciones están habilitados. (Información que se informa sobre una aplicación instalada.)

El sistema requiere esta opción (para la integración con la aplicación complementaria) y siempre está habilitada; no se puede deshabilitar.

Incluir aplicaciones eliminadas

Indica si las aplicaciones eliminadas se incluyen en los informes de aplicaciones.

Configuración del dispositivo

Indica si los informes de configuración del dispositivo están habilitados. (Información sobre la configuración de seguridad del dispositivo.)

Información del software

Indica si los informes de información del software están habilitados. (Información sobre el software del dispositivo.)

Información de la memoria

Indica si los informes de memoria están habilitados. (Un evento relacionado con las mediciones de memoria y almacenamiento.)

Información de la red

Indica si los informes de información de la red están habilitados. (Información de la red del dispositivo.)

Información de la pantalla

Indica si los informes de pantallas están habilitados. Los datos de los informes no están disponibles para dispositivos de propiedad personal con perfiles de trabajo. (Información de la pantalla del dispositivo.)

Eventos de gestión de energía

Indica si los informes de eventos de gestión de energía están habilitados. Los datos de los informes no están disponibles para dispositivos de propiedad personal con perfiles de trabajo.

Estado del hardware

Indica si los informes de estado del hardware están habilitados. Los datos de los informes no están disponibles para dispositivos de propiedad personal con perfiles de trabajo.

Propiedades del sistema

Indica si los informes de propiedades del sistema están habilitados.

Modo Common Criteria

Indica si los informes del Modo Common Criteria están habilitados.

Políticas - Android

Varios

1. Juego del huevo de Pascua deshabilitado

Indica si el juego del huevo de Pascua de Configuración está deshabilitado.

2. Omitir sugerencias de primer uso

Indicador para omitir las sugerencias en el primer uso. El administrador de empresa puede habilitar la recomendación del sistema para que las aplicaciones omitan su tutorial de usuario y otras sugerencias introductorias en el primer inicio.

3. Mensaje de soporte corto

Un mensaje que se muestra al usuario en la pantalla de ajustes allí donde el administrador haya deshabilitado una función. Si el mensaje tiene más de 200 caracteres, puede truncarse.

4. Mensaje de soporte largo

Un mensaje que se muestra al usuario en la pantalla de ajustes de administradores del dispositivo.

5. Información del propietario en la pantalla de bloqueo

La información del propietario del dispositivo que se mostrará en la pantalla de bloqueo.

6. Acciones de configuración

Acciones que se realizan durante el proceso de configuración. Durante la inscripción, puedes requerir que el usuario abra una o varias aplicaciones necesarias para configurar el dispositivo.

Usa Añadir acción de configuración para crear entradas y quítalas con la acción de eliminar.

6.1. Iniciar aplicación

Nombre del paquete de la aplicación que se va a iniciar

6.2. Título

Proporciona un mensaje para el usuario que explica por qué es necesario iniciar la aplicación.

6.3. Descripción

Proporciona un mensaje para el usuario que explica por qué es necesario iniciar la aplicación.

7. Visibilidad del nombre visible de la empresa

Controla si el nombre visible de la empresa está visible en el dispositivo (por ejemplo, como mensaje en la pantalla de bloqueo en dispositivos propiedad de la empresa).

Visible (predeterminado): El nombre visible de la empresa está visible en el dispositivo (compatible con perfiles de trabajo en Android 7 o superior y dispositivos totalmente gestionados en Android 8 o superior).

Oculto: El nombre visible de la empresa está oculto en el dispositivo.

Políticas - Android

Reglas de cumplimiento

Si un dispositivo o perfil de trabajo no cumple con alguna de las configuraciones de política que se indican a continuación, Android Device Policy bloquea inmediatamente el uso del dispositivo o del perfil de trabajo de forma predeterminada:

Requisitos de contraseña
Política de cifrado
Bloqueo de pantalla deshabilitado
Métodos de entrada permitidos
Servicios de accesibilidad permitidos

Si el dispositivo o el perfil de trabajo sigue sin cumplir después de 10 días, Android Device Policy restablecerá de fábrica el dispositivo o eliminará el perfil de trabajo.

En esta sección, puedes anular las reglas de aplicación de cumplimiento predeterminadas o agregar nuevas.

Reglas

Lista de reglas que definen el comportamiento cuando una política concreta no se puede aplicar a un dispositivo.

Usa Agregar regla para crear una regla nueva. Cada tarjeta de regla se puede eliminar con la acción de eliminar.

Nombre de la configuración

La política de nivel superior que se va a aplicar. Por ejemplo, Aplicaciones o Requisitos de contraseña.

Obligatorio. El valor debe coincidir con un nombre de política de nivel superior compatible; de lo contrario, el campo se marca como no válido.

Bloquear después de días

Número de días que la política permanece sin cumplirse antes de que se bloquee el dispositivo o el perfil de trabajo. Para bloquear el acceso de inmediato, establece 0. Bloquear después de días debe ser menor que Borrar después de días. Solo se aplica a dispositivos propiedad de la empresa.

Intervalo permitido: 0–300.

Ámbito del bloqueo

Especifica el ámbito de la acción de bloqueo. Solo se aplica a dispositivos propiedad de la empresa.

Predeterminado (regla nueva): Perfil de trabajo.

Perfil de trabajo: La acción de bloqueo solo se aplica a las aplicaciones del perfil de trabajo. Las aplicaciones del perfil personal no se ven afectadas.

Todo el dispositivo: La acción de bloqueo se aplica a todo el dispositivo, incluidas las aplicaciones del perfil personal.

Borrar después de días

Número de días que la política permanece sin cumplirse antes de que se borre el dispositivo o el perfil de trabajo.
Borrar después de días debe ser mayor que Bloquear después de días. Solo se aplica a dispositivos propiedad de la empresa.

Obligatorio. Predeterminado (regla nueva): 1.

Intervalo permitido: 1–300.

Conservar la protección contra el restablecimiento de fábrica

Indica si se conservan los datos de protección contra el restablecimiento de fábrica en el dispositivo. Esta configuración no se aplica a los perfiles de trabajo.

Predeterminado (regla nueva): habilitado.

Políticas - Apple

Políticas de Apple

Las políticas de Apple definen los ajustes de gestión que Cerberus Enterprise aplica a los dispositivos Apple mediante MDM. Estos ajustes se configuran desde el panel de control en el editor de políticas de Apple.

Antes de empezar

La gestión de dispositivos Apple requiere que se configure la Gestión de Apple (APNs). Si es necesario, lee la página Configuración de la Gestión de Apple (APNs).

Abrir el Editor de políticas de Apple

En el panel de control, abre Políticas y haz clic en Crear nueva política de Apple. Para editar una política de Apple existente, haz clic en su fila de la tabla de políticas.

Diseño del editor

El Editor de políticas de Apple se organiza en una serie de secciones desplegables. En la parte superior de la página siempre puedes editar:

Nombre (obligatorio)
Id (solo lectura)
Descripción (opcional)

Secciones de la política

Las secciones siguientes coinciden con los paneles disponibles actualmente en el Editor de políticas de Apple. Cuando abres una política guardada, las secciones con ajustes modificados ya están abiertas y las demás permanecen cerradas:

Gestión de apps: configura las restricciones relacionadas con las apps, las apps gestionadas y los ajustes de la app Cerberus Enterprise.
Quiosco y pantalla de inicio: modo de app única, apps permitidas y bloqueadas, diseño de la pantalla de inicio, clips web, ajustes de notificaciones y mensaje de la pantalla de bloqueo.
Seguridad: controla funciones como Desbloqueo automático y el desbloqueo biométrico.
Ajustes de código de acceso: configura los requisitos del código de acceso y las reglas relacionadas.
Multimedia: permite o deniega la cámara y las funciones relacionadas.
Móvil: controla los ajustes relacionados con la red móvil (ajustes de datos móviles de las apps, eSIM, cambios de plan) y el APN de datos móviles.
Redes: redes Wi-Fi (también 802.1X empresarial), VPN, certificados, proxy global, DNS cifrado y filtro de contenido web, y restricciones de conectividad como AirDrop y Bluetooth.
Sistema e interfaz de usuario: restringe funciones del sistema como Handoff, el nombre del dispositivo y el salvapantallas.
Actualizaciones de software: exige una versión del sistema operativo antes de una fecha límite y controla cómo se descargan e instalan las actualizaciones.
macOS: firewall, Gatekeeper, salvapantallas y bloqueo, almacenamiento externo y de red, Compartir pantalla, permisos de privacidad y elementos de inicio de los Mac.
Apps y servicios de Apple: restringe apps y servicios de Apple como iMessage, Game Center y Buscar.
Siri y Apple Intelligence: restringe Siri, el dictado y las funciones de Apple Intelligence.
iCloud: permite o deniega servicios específicos de iCloud (copia de seguridad, sincronización del llavero, retransmisión privada, etc.).
Ubicación y geovallas: áreas en las que los iPhone y iPad con la app Cerberus Enterprise informan cuando entran o salen, para las reglas de eventos.
Cuentas: restringe la modificación de cuentas y configura cuentas de Mail, Exchange, Google, calendario, contactos y directorio.
Reglas de cumplimiento: requisitos (código de acceso, versión mínima del sistema operativo, supervisión, FileVault) que hacen que los dispositivos no cumplan, con un bloqueo opcional.

Muchas opciones del Editor de políticas de Apple incluyen una información sobre herramientas que documenta los requisitos y las versiones compatibles del sistema operativo.

Guardar, eliminar y dispositivos asociados

Usa Guardar política para aplicar los cambios. El botón se desactiva cuando no hay cambios pendientes o cuando la licencia ha caducado.

Al editar una política existente, la página también muestra la acción Eliminar política. El editor puede mostrar una lista Dispositivos asociados al final, para que veas cuántos dispositivos usan actualmente la política.

Páginas siguientes

Apps y perfiles: configura las apps instaladas y los perfiles de configuración.
Quiosco y pantalla de inicio: modo de app única, apps permitidas, diseño de la pantalla de inicio y clips web.
Código de acceso: configura los requisitos del código de acceso y las opciones de seguridad relacionadas.
Restricciones: define las funciones permitidas y las limitaciones a nivel de sistema operativo.
Redes: redes Wi-Fi, VPN, certificados y restricciones de conectividad.
Actualizaciones de software: actualizaciones obligatorias del sistema operativo y ajustes de actualización de software.
macOS: firewall, Gatekeeper, bloqueo de pantalla, almacenamiento, permisos de privacidad y elementos de inicio de los Mac.
Ubicación y geovallas: áreas de las que los iPhone y iPad informan al entrar y salir, y lo que necesitan para funcionar.
Cuentas: cuentas de correo, Exchange, Google, calendario, contactos y directorio.
Reglas de cumplimiento: requisitos para los dispositivos y bloqueo de dispositivos que no cumplen.

Políticas - Apple

Apps y perfiles

Esta sección documenta cómo configurar aplicaciones gestionadas y cargas útiles de cuentas para dispositivos Apple.

Gestión de aplicaciones

El panel Gestión de aplicaciones contiene tanto restricciones generales relacionadas con las aplicaciones como una lista de aplicaciones gestionadas.

Restricciones generales de aplicaciones

Permitir clips de apps
Permitir la instalación de aplicaciones
Permitir la eliminación de aplicaciones
Permitir descargas automáticas de aplicaciones
Permitir ocultar aplicaciones
Permitir bloquear aplicaciones
Permitir compras dentro de la aplicación
Permitir cambiar el navegador predeterminado
Permitir confiar en apps empresariales

Aplicaciones gestionadas

Usa Añadir aplicación para añadir una aplicación a la política. Cada aplicación gestionada se muestra como una tarjeta. Puedes expandir la tarjeta para editar sus ajustes y quitar la aplicación con la acción de eliminar.

ID de App Store: el identificador de App Store de la aplicación gestionada.
ID de paquete: el identificador de paquete de la aplicación.
Comportamiento de instalación: controla si la aplicación debe permanecer instalada o si el usuario puede instalarla o quitarla.
Asignación: el tipo de licencia que Cerberus elige para cada dispositivo: una licencia de dispositivo en dispositivos de la empresa, una licencia de usuario de la cuenta de Apple gestionada en iPhone y iPad personales (inscripción de usuario). El campo no se puede cambiar.
Licencia VPP: tipo de licencia VPP usada para la instalación a través del App Store.

La lista de selección de aplicaciones muestra las licencias disponibles y totales de cada aplicación. Las aplicaciones gratuitas muestran Ilimitadas: Apple les da licencias ilimitadas. Una aplicación solo se puede añadir una vez a una política: se rechaza una aplicación con el mismo ID de App Store o ID de paquete que otra ya incluida en la política, y también se rechaza una política que enumera la misma aplicación dos veces al guardarla.

La lista de selección de aplicaciones muestra las aplicaciones de tu biblioteca de Apple Business. Para añadir una aplicación, en Apple Business abre Apps & Services → Apps & Books → App Store, busca la aplicación y haz clic en View. Para una aplicación gratuita, haz clic en Add, selecciona All current and future (o la unidad organizativa de tu token de Apps and Books) en Organizational Units, haz clic en Add y luego en Review y confirma. Para una aplicación de pago, haz clic en su precio, elige Managed Licenses como License Type (Cerberus Enterprise no puede usar códigos de canje), selecciona la Organizational Unit de tu token de Apps and Books, introduce el número de Licenses (hasta 1000 por pedido) y luego Review y compra. Primero se debe configurar un método de pago en Settings → Payments & Billing → Apps & Services → Payment Methods. Después, las aplicaciones aparecen en la lista de selección de aplicaciones.

Aplicaciones en dispositivos personales (inscripción de usuario)

Los iPhone y iPad personales inscritos con la inscripción de usuario no tienen número de serie, por lo que reciben las aplicaciones del App Store de la política con una licencia de usuario de la cuenta de Apple gestionada con la que se ha iniciado sesión en el dispositivo. Cerberus registra la cuenta en Apps and Books y asigna las licencias por sí mismo, incluidas las aplicaciones gratuitas. Las cuentas de Apple gestionadas y el token de Apps and Books deben pertenecer a la misma organización de Apple Business. Una aplicación de pago usa una licencia por cuenta, compartida por todos los dispositivos personales de esa cuenta.

Esperando una licencia de usuario: la aplicación se envía al dispositivo solo después de que Apple confirme su licencia, normalmente en pocos minutos. El panel Aplicaciones del dispositivo muestra el motivo.
Error en la licencia de usuario: Apple no pudo asignar la licencia, por ejemplo porque una aplicación de pago no tiene licencias disponibles. Añade licencias en Apple Business y luego usa Solicitar de nuevo; Cerberus también lo vuelve a intentar por sí mismo cada día.
Aviso de instalación: iOS pregunta al usuario antes de instalar cada aplicación. Si el usuario cancela, la aplicación muestra Esperando a que el usuario apruebe la instalación; Solicitar de nuevo vuelve a mostrar el aviso.
Liberación: quitar la aplicación de la política, o anular la inscripción del último dispositivo personal de la cuenta, elimina la aplicación y libera su licencia, a menos que otro dispositivo inscrito de la misma cuenta aún la necesite.

Para obtener más información, consulta Inscripción de Apple basada en la cuenta.

Configuración gestionada

Una configuración gestionada proporciona a una aplicación sus ajustes (por ejemplo, una dirección de servidor o un nombre de cuenta), tal como los documenta el proveedor de la aplicación. Abre la aplicación en la política y haz clic en Añadir configuración gestionada. Se envía a iPhone y iPad con iOS o iPadOS 18.4 o posterior y a Mac con macOS 27 o posterior; aún no se envía a Apple Vision Pro. La aplicación debe admitir la configuración gestionada: una aplicación que no la lee la ignora. El panel de la aplicación muestra el número de claves junto al nombre de la aplicación.

Claves: cada fila tiene una clave, un tipo y un valor. Los tipos son Texto, Entero, Número decimal, Booleano, Fecha, Lista de texto y Lista de enteros. Las claves distinguen entre mayúsculas y minúsculas y deben ser únicas. Añadir clave añade una fila; Eliminar configuración elimina todas las claves.
Variables: los valores de Texto y Lista de texto pueden contener $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ y $UDID$, sustituidos por los valores de cada dispositivo y de su usuario. Una variable sin valor (por ejemplo, $EMAIL$ en un dispositivo sin usuario) se deja vacía, y los registros del sistema lo indican. Cuando cambian los datos de un usuario, los dispositivos reciben los nuevos valores; para los usuarios sincronizados desde Google Directory, los valores se actualizan en el siguiente cambio de la política o del dispositivo.
Importar una configuración: abre o pega el archivo que publica el proveedor de la aplicación para MDM y luego haz clic en Leer. Un archivo de especificación AppConfig specfile (specfile.xml) enumera todas las claves que admite la aplicación con su descripción, tipo, valor predeterminado y valores permitidos: selecciona las claves que quieres importar (las que tienen un valor predeterminado ya están seleccionadas) y completa las demás después de la importación. Aparece una advertencia cuando el archivo de especificación corresponde a otra aplicación. Una lista de propiedades (una lista de propiedades completa o solo su <dict>) se importa tal cual. Después, elige si quieres reemplazar las claves actuales o añadirlas. Los diccionarios anidados, los valores de datos y las listas con tipos mixtos o desconocidos no son compatibles y se enumeran como omitidos. Apple no publica las claves de configuración de las aplicaciones, así que pide el archivo al proveedor cuando no esté en su documentación. Copiar como plist copia la configuración tal como la recibe el dispositivo, antes de que se sustituyan las variables.
Límites: hasta 200 claves por aplicación; claves de hasta 255 caracteres; valores de texto de hasta 4096 caracteres; listas de hasta 200 elementos de hasta 1024 caracteres cada uno; fechas entre 1970 y 9999; 64 KB por aplicación en total.
No para contraseñas: la configuración se envía solo al dispositivo para el que se crea y los registros muestran solo los nombres y tipos de las claves, pero los administradores del panel de control pueden leer los valores, y la dirección desde la que el dispositivo la descarga cambia con los valores, por lo que un valor fácil de adivinar (un booleano o un número pequeño) podría deducirse de ella. No incluyas contraseñas ni otros secretos en una configuración gestionada.
Estado: cuando el dispositivo informa de que la aplicación no aceptó su configuración, el panel Aplicaciones del dispositivo muestra Configuración no aceptada junto a la aplicación. No marca el dispositivo como incumplidor. Una configuración que el dispositivo no puede descargar sí lo marca como incumplidor.

Opciones de la aplicación

Cada aplicación de la política (del App Store y personalizadas) tiene estas opciones. Predeterminado del dispositivo deja la elección al dispositivo. Los dispositivos que no admiten una opción no la reciben; la aplicación se sigue instalando.

Actualizaciones automáticas: ajuste del App Store, Siempre o Nunca. iOS, iPadOS, macOS y visionOS 26 o posterior. Para las aplicaciones personalizadas, el ajuste del App Store se comporta como Nunca.
Descargas por red móvil: ajuste del App Store, Siempre o Nunca, para las instalaciones y actualizaciones automáticas. Solo iPhone y iPad supervisados con iOS o iPadOS 26 o posterior.
Hacer copia de seguridad de los datos de la aplicación: si los datos de la aplicación se incluyen en las copias de seguridad del dispositivo. No en Mac.
El usuario puede ocultar la aplicación y El usuario puede bloquear la aplicación: iOS y iPadOS 18.1 o posterior, aplicado en dispositivos supervisados. No permitir el bloqueo también impide ocultarla. Las restricciones Permitir ocultar aplicaciones y Permitir bloquear aplicaciones se aplican a todas las aplicaciones.
Bloquear el dispositivo después de las transacciones de Tap to Pay que necesitan el PIN del cliente: solo iPhone.
Dominios asociados: los dominios a los que se asocia la aplicación (por ejemplo, para enlaces universales o autorrelleno de contraseñas), hasta 50. Introduce nombres de host simples como www.example.com, sin applinks:, comodines ni ?mode=. No en Mac.
Verificar los dominios directamente: el dispositivo comprueba el archivo de asociación de sitios de los dominios directamente en lugar de a través de los servidores de Apple. Actívalo solo para dominios internos a los que no se pueda acceder desde internet.
Eliminación: las aplicaciones instaladas como Obligatorias no las puede quitar el usuario.

Aplicaciones del Mac App Store

La lista de selección de aplicaciones muestra las plataformas de cada aplicación (iPhone/iPad, Mac, Apple TV, Vision); una aplicación que solo existe para Mac muestra su icono de Mac. Una aplicación que solo existe para Mac se aplica a los Mac cuando la añades. Una aplicación del App Store sin versión para Mac no se envía a los Mac: la política muestra "Esta aplicación no tiene versión para Mac: no se envía a los Mac" en Se aplica a. Los Mac reciben las aplicaciones del App Store por su ID de App Store, por lo que las aplicaciones con un ID de paquete diferente en Mac se instalan correctamente.

Aplicación Cerberus Enterprise

Cerberus instala su app Cerberus Enterprise en cada iPhone y iPad con iOS o iPadOS 18.4 o posterior, con o sin política. La app comparte la ubicación del dispositivo y recibe notificaciones y solicitudes de seguimiento en vivo. Se instala como Obligatoria, con una licencia de dispositivo de Apps and Books (una licencia de usuario en dispositivos personales), así que el usuario no puede eliminarla.

Configuración única: añade la aplicación gratuita a tu biblioteca una vez. En Apple Business, abre Apps & Services → Apps & Books → App Store, busca "Cerberus Enterprise", haz clic en View, luego en Add, selecciona All current and future en Organizational Units, haz clic en Add y luego en Review y confirma. Si la aplicación muestra Manage, ya está en tu biblioteca: ábrela y comprueba que sus unidades organizativas son All current and future units. Hasta entonces, el panel de control muestra un banner y los dispositivos muestran la aplicación como no instalada. Consulta Configuración de la cuenta.
No está en las políticas: la aplicación no se puede añadir a una política. Está deshabilitada en la lista de selección de aplicaciones y se rechaza como aplicación personalizada (mismo ID de paquete). Una política que ya la incluye elimina la entrada cuando la abres: guarda la política para confirmar.
No se instala en: dispositivos con iOS o iPadOS anterior a 18.4. El iPad compartido es compatible con la instalación, pero las funciones de la app no se han verificado en él.
Dispositivos personales: en iPhone y iPad inscritos con User Enrollment, la app también se instala, con una indicación de instalación y una licencia de usuario de la Managed Apple Account. Recibe mensajes de tu organización y no accede a la ubicación a menos que la política active Ubicación y geovallas en dispositivos personales y el usuario lo permita.
Se mantiene instalada: si el token de Apps and Books caduca o la aplicación sale de tu biblioteca, la aplicación permanece en los dispositivos y la página del dispositivo indica que Apps and Books necesita atención. Solo se elimina si la aplicación sigue faltando en tu biblioteca 24 horas después.

Aplicaciones personalizadas

Las aplicaciones personalizadas son tus propias aplicaciones para iPhone y iPad (archivos .ipa), distribuidas sin el App Store. En Xcode, exporta la aplicación para distribución Enterprise (Apple Developer Enterprise Program: se instala en todos los dispositivos) o para distribución Ad Hoc (se instala solo en los dispositivos registrados en su perfil de aprovisionamiento). Las compilaciones del App Store no se pueden subir.

Haz clic en Añadir aplicación personalizada para abrir las aplicaciones personalizadas de tu organización. Subir aplicación añade un archivo .ipa (hasta 2 GB). Selecciona una aplicación y haz clic en Añadir a la política. La lista muestra la versión, el tipo de firma, el número de dispositivos del perfil de las aplicaciones ad hoc y la fecha de caducidad del perfil de aprovisionamiento.

Nueva versión: sube una aplicación con el mismo ID de paquete. Reemplaza la versión anterior y los dispositivos de las políticas que la usan actualizan la aplicación.
Requisitos: iPhone y iPad con iOS 17.2 o posterior. Los dispositivos que no pueden instalar la aplicación no la reciben: una aplicación solo para iPad en un iPhone, un iOS anterior al que necesita la aplicación, un dispositivo que no está en el perfil de una aplicación ad hoc o un perfil de aprovisionamiento caducado.
Caducidad: cuando caduca el perfil de aprovisionamiento, la aplicación deja de abrirse. Sube una versión firmada con un nuevo perfil antes de la fecha de caducidad.
ID de paquete reservado: una aplicación personalizada con el ID de paquete de la aplicación Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) no se puede añadir a una política, porque Cerberus instala esa aplicación por sí mismo.
Eliminar: primero quita la app de sus políticas; después los dispositivos la eliminan.

Paquetes de Mac

Las apps personalizadas también aceptan paquetes de instalación de Mac (archivos .pkg). El paquete debe ser un paquete de distribución creado con productbuild (se rechaza un paquete de componentes creado solo con pkgbuild) y firmado con un certificado Developer ID Installer. Se recomienda notarizarlo y grapar el ticket (notarytool y stapler). Se rechazan los paquetes sin firmar, los paquetes modificados después de firmarlos y los paquetes firmados con otros certificados.

Sube el archivo .pkg con Subir app y agrégalo a la política: aparece en Paquetes de Mac. Los iPhone y iPad lo ignoran.

Los Mac con macOS 26 o posterior (supervisados, lo que incluye los Mac registrados manualmente, pero no User Enrollment) reciben el paquete como una declaración: el Mac lo descarga, lo instala, reintenta y lo actualiza por sí solo e informa su estado. Los Mac más antiguos, y los paquetes instalados como apps administradas, lo reciben con un comando MDM, en cualquier versión de macOS. Un Mac que se actualiza a macOS 26 pasa a la declaración por sí solo; puede instalar cada paquete una vez más. Lo mismo puede ocurrir cuando un Mac pasa a otra política que tiene el mismo paquete.

Nueva versión: sube un paquete con el mismo identificador de paquete. Reemplaza la versión anterior, y los Mac de las políticas que lo usan instalan la nueva.
Mac omitidos: Mac con un macOS más antiguo que el que permite el paquete, y Mac Intel para paquetes creados solo para Apple silicon. La página del dispositivo muestra el paquete como Omitido, con el motivo; la versión instalada antes permanece en el Mac.
Instalar: Obligatorio (opción predeterminada) instala el paquete en el Mac; Opcional deja el paquete disponible en el Mac sin instalarlo. macOS 26 no muestra los paquetes opcionales al usuario en Ajustes del Sistema ni en el App Store (probado en macOS 26.3), así que una app o un script del Mac tiene que instalarlos; elige Opcional solo si dispones de uno. Se aplica a los Mac con macOS 26 o posterior; los Mac más antiguos siempre instalan el paquete. La opción no está disponible para paquetes instalados como apps administradas.
Eliminar los archivos del paquete cuando salga de la política (macOS 27 o posterior): cuando el paquete se quita de la política, los Mac con macOS 27 o posterior eliminan los archivos que instaló. Está desactivado de forma predeterminada. En los Mac más antiguos, los archivos permanecen. No está disponible para paquetes instalados como apps administradas.
Instalar como app administrada: actívalo para que un paquete de la política instale su app como app administrada (macOS 11 o posterior, no con la inscripción de usuarios). macOS entonces informa cuando falla la instalación, y MDM puede eliminar la app. La app debe instalarse directamente en la carpeta Aplicaciones, firmada con un certificado Developer ID Application y notarizada; en macOS 11 a 13 el paquete debe contener solo esa app (ningún otro archivo ni script). Las apps personalizadas muestran qué paquetes cumplen los requisitos. Cuando la opción no se puede aplicar en un Mac, el paquete se instala allí como de costumbre y la página del dispositivo indica por qué.
Opciones de eliminación de una app administrada: Eliminar la app cuando el paquete se quita de la política (activado de forma predeterminada) y Eliminar la app cuando el Mac deja de estar administrado. Eliminar una app también borra sus datos. Si el usuario ya había instalado la misma app, esa copia pasa a estar administrada y también se elimina.
Eliminación: el comando MDM no puede desinstalar un paquete. Para un paquete instalado como app administrada, quitarlo de la política elimina la app (cuando la opción está activada); sus otros archivos y el recibo del paquete permanecen. Los paquetes con Eliminar los archivos del paquete activado se eliminan de los Mac con macOS 27 o posterior. Otros paquetes: quitarlos de la política solo detiene las nuevas instalaciones, los archivos permanecen en los Mac. Un Mac que se omite (por ejemplo, tras una nueva versión que necesita un macOS más reciente) conserva la app mientras el paquete está en la política; quitarlo entonces de la política también la elimina. Elimina los archivos sobrantes del Mac (por ejemplo, con el propio desinstalador del paquete) y ejecuta sudo pkgutil --forget <identifier> para olvidar el recibo del paquete.
Estado en el dispositivo: el panel Aplicaciones del Mac muestra cada paquete de la política como En cola, Aceptado (el Mac aceptó el comando), Descargado, Instalado (solo para paquetes que contienen apps, cuando las apps se encuentran en el Mac) o Fallido (con el error). macOS no informa la instalación de un paquete enviado con el comando, así que Descargado es el último estado para los paquetes sin apps. Un paquete instalado como app administrada también pasa a Fallido cuando macOS informa que la app no se pudo instalar o se eliminó del Mac. Instalar de nuevo envía el paquete al Mac otra vez.
Estado con la declaración: los paquetes entregados como declaración muestran la etiqueta Declaración y el estado que informa el Mac: En cola, Disponible (un paquete opcional que el usuario no ha instalado), Esperando al usuario, Descargando, Instalando, Instalado o Fallido (con el motivo, por ejemplo una descarga o instalación fallida, o una declaración que el Mac rechazó). La etiqueta Archivos eliminados con la política marca los paquetes cuyos archivos elimina un Mac con macOS 27 cuando salen de la política. Instalar de nuevo aparece solo después de un fallo y pide al Mac que lo intente otra vez; no se ofrece cuando el Mac rechazó la declaración.

Cuentas

El panel Cuentas te permite configurar cuentas que se aplican a los dispositivos administrados. También incluye un interruptor de restricción para la modificación de cuentas.

Restricción

Permitir la modificación de cuentas: cuando está desactivado, los usuarios no pueden modificar cuentas como las cuentas de Apple y las cuentas de internet.

Añadir cuentas

Usa Añadir cuenta de Google o Añadir cuenta de correo para añadir cargas útiles de cuenta a la política. Cada cuenta aparece como una tarjeta con sus campos de configuración.

Credenciales de cuenta de los usuarios

Tanto las tarjetas de cuenta de Google como las de correo proporcionan un interruptor Credenciales de cuenta de los usuarios. Cuando está activado, el sistema aplica las credenciales de cuenta por usuario. Cuando está desactivado, introduces la identidad de la cuenta en la política.

Campos de la cuenta de Google

Nombre visible: el nombre que se muestra al usuario para la cuenta.
Dirección de correo de Google: la dirección de correo del usuario.
Nombre completo: el nombre completo del usuario.

Campos de la cuenta de correo

Las cuentas de correo incluyen campos de identidad y la configuración de los servidores entrante y saliente. Los nombres de host son obligatorios.

Nombre visible: el nombre que se muestra al usuario para la cuenta de correo.
Dirección de correo: la dirección de correo del usuario.
Nombre completo: el nombre completo del usuario.

Servidor entrante

Tipo de servidor: protocolo de correo (por ejemplo, IMAP o POP).
Método de autenticación: método de autenticación del servidor.
Prefijo de ruta de IMAP: se muestra solo cuando el tipo de servidor es IMAP.
Nombre de host: obligatorio.
Puerto: puerto del servidor (1–65535).

Servidor saliente

Método de autenticación
Nombre de host: obligatorio.
Puerto: puerto del servidor (1–65535).

Opciones de S/MIME

Para las cuentas de correo, también puedes configurar el comportamiento de cifrado y firma de S/MIME.

Cifrado

Cifrado S/MIME
Identidad modificable por el usuario
Interruptor por mensaje activado
Modificable por el usuario

Firma

Firma S/MIME
Identidad modificable por el usuario
Modificable por el usuario

Las opciones de cuenta y restricción incluyen información emergente en el panel de control que documenta los requisitos previos y las versiones de SO compatibles.

Políticas - Apple

Kiosco y pantalla de inicio

La sección Quiosco y pantalla de inicio del Editor de políticas de Apple bloquea los dispositivos en una sola app, elige qué apps se pueden abrir, organiza la pantalla de inicio y añade iconos de sitios web. Cada ajuste se instala en los dispositivos como un perfil de configuración.

Apple aplica la mayoría de estos ajustes solo a iPhone y iPad supervisados (dispositivos inscritos con Automated Device Enrollment o preparados con Apple Configurator). Los demás dispositivos no los reciben. Los clips web también funcionan en iPhone y iPad no supervisados. Los Mac no reciben ninguno de estos ajustes.

Elegir apps

Las apps se identifican por su ID de paquete. Escribe el nombre de una app para elegirla entre las apps integradas de Apple y las apps de la política, o escribe cualquier ID de paquete, por ejemplo com.example.app.

Modo de app única

El dispositivo ejecuta solo la app elegida: los usuarios no pueden volver a la pantalla de inicio ni abrir otras apps. Primero instala la app con la política. El dispositivo sale del Modo de app única cuando desactivas el ajuste o eliminas la app.

Opciones: desactiva la pantalla táctil, la rotación, los botones de volumen, el interruptor Silencio/Timbre, el botón lateral o el bloqueo automático, y activa funciones de accesibilidad como VoiceOver o Zoom.
Funciones de accesibilidad que el usuario puede activar: funciones que el usuario puede activar con una triple pulsación del botón lateral.

Apps permitidas y bloqueadas

Apps bloqueadas: los dispositivos ocultan estas apps y no las abren. com.apple.webapp bloquea todos los clips web. Ajustes y, en iPhone, Teléfono no se pueden bloquear.
Permitir solo algunas apps: los dispositivos muestran solo estas apps. Deja la lista vacía para permitir todas las apps. Apps de la política añade las apps instaladas por la política; com.apple.webapp permite todos los clips web.
Apps que pueden iniciar el Modo de app única: apps que pueden bloquear el dispositivo en sí mismas mientras lo necesitan, por ejemplo durante un examen.

Con Permitir solo algunas apps, todas las apps que no estén en la lista desaparecen de los dispositivos, incluidas las apps de la política. Ajustes y, en iPhone, Teléfono permanecen siempre.

Diseño de la pantalla de inicio

Organiza el Dock y las páginas de la pantalla de inicio. Añade apps, carpetas de apps y los clips web de la política, eligiendo dónde con Añadir a, y arrastra los iconos para moverlos entre el Dock y las páginas. Haz clic en una carpeta para cambiar su nombre y sus apps.

Los usuarios no pueden mover los iconos ni eliminar apps de la pantalla de inicio. Las apps que no están en el diseño van a las páginas posteriores a las que has definido. Un iPhone muestra cuatro iconos en el Dock. Los usuarios aún pueden eliminar apps que no sean Obligatorias en la pantalla de almacenamiento de Ajustes. Para evitarlo, desactiva Permitir eliminar apps en Gestión de apps.

Clips web

Un clip web es un icono de la pantalla de inicio que abre un sitio web. Define la etiqueta y la URL, y opcionalmente una imagen (PNG o JPEG, recortada a un cuadrado).

Los usuarios pueden eliminarlo: desactívalo para mantener el icono en los dispositivos.
Pantalla completa: el sitio web se abre como una app web, sin la barra de direcciones de Safari. Mantener la pantalla completa en otros sitios web también abre los enlaces a otros sitios web en la app web.
Abrir con esta app: una app que abre la URL en lugar de Safari.

Ajustes de notificaciones

Elige cómo muestran los dispositivos las notificaciones de algunas apps: si están permitidas, dónde aparecen (pantalla de bloqueo, Centro de notificaciones, CarPlay), las insignias, los sonidos, las alertas críticas, el estilo de los banners, la agrupación y las vistas previas. Los usuarios no pueden cambiar estos ajustes.

Mensaje de la pantalla de bloqueo

Un mensaje que se muestra en la parte inferior de la pantalla de bloqueo, por ejemplo a quién llamar si se encuentra el dispositivo, y una etiqueta de activo. Ambos pueden contener las variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ y $UDID$: una variable sin valor para el dispositivo se deja vacía.

Políticas - Apple

Código de acceso

La sección Ajustes de código de acceso controla los requisitos de código de acceso del dispositivo y las reglas de seguridad relacionadas (por ejemplo, longitud y complejidad mínimas). En un Mac (macOS 13 o posterior, no con Inscripción de usuario) las reglas se aplican a la contraseña de inicio de sesión de los usuarios.

Opciones

En el Editor de políticas de Apple, las opciones de código de acceso se configuran con una combinación de interruptores y campos numéricos. Muchos campos incluyen información emergente que indica las versiones de SO compatibles y los requisitos de supervisión.

Interruptores de código de acceso

Cambiar en la próxima autenticación: fuerza un restablecimiento del código de acceso la próxima vez que el usuario se autentique.
Requerir código de acceso alfanumérico: requiere al menos un carácter alfabético y un número.
Requerir código de acceso complejo: requiere un código de acceso «complejo» (sin patrones repetidos ni secuenciales y al menos un carácter no alfanumérico).
Requerir código de acceso: requiere un código de acceso sin requisitos adicionales de longitud o calidad. Nota: configurar otros ajustes de código de acceso requiere implícitamente un código de acceso.

Campos numéricos

Restablecimiento de intentos fallidos (minutos): minutos antes de que se restablezca el contador de intentos fallidos (requiere Intentos fallidos máximos).
Máximo de intentos fallidos: intentos fallidos permitidos antes de que se borre un iPhone o iPad, o se bloquee un Mac (intervalo: 2–11).
Periodo de gracia máximo (minutos): cuánto tiempo puede estar desbloqueado el dispositivo sin requerir el código de acceso (0 = ninguno).
Inactividad máxima (minutos): tiempo de inactividad antes de que se bloquee el dispositivo (intervalo: 0–15).
Antigüedad máxima del código de acceso (días): antigüedad máxima del código de acceso antes de un cambio forzado (intervalo: 0–730).
Caracteres complejos mínimos: número mínimo de caracteres «complejos» (intervalo: 0–4).
Longitud mínima: longitud mínima del código de acceso (intervalo: 0–16).
Límite de reutilización del código de acceso: longitud del historial de códigos de acceso para evitar reutilizar códigos antiguos (intervalo: 1–50).

Políticas - Apple

Restricciones

Las secciones de Restricciones controlan qué funciones del SO se permiten en los dispositivos Apple administrados. En el Editor de políticas de Apple, estas opciones se presentan como paneles agrupados con varios interruptores.

Los interruptores de los paneles Gestión de apps y Redes se describen en las páginas Apps y perfiles y Redes de las políticas de Apple.

Muchas restricciones solo son compatibles con versiones específicas del SO y pueden requerir dispositivos supervisados. Usa la información emergente del panel de control para consultar los requisitos oficiales.

En los dispositivos con User Enrollment (dispositivos personales registrados al iniciar sesión con una cuenta de trabajo), no se envían las restricciones que Apple no permite allí. Si no se aplica ninguna de las restricciones de la política, estos dispositivos no reciben perfil de restricciones. El editor de políticas muestra cuántas restricciones no se aplican a los dispositivos con User Enrollment.

Seguridad

Permitir el desbloqueo automático
Permitir huella digital para desbloquear
Permitir la modificación de huellas digitales
Permitir borrar contenido y ajustes
Permitir habilitar restricciones
Permitir que los usuarios instalen perfiles
Permitir el emparejamiento con host
Permitir el envío de diagnósticos
Permitir modificar el envío de diagnósticos
Permitir publicidad personalizada de Apple
Permitir modificar Remote Management

Multimedia

Permitir cámara
Permitir modificación de Compartir archivos
Permitir acceso a unidades USB de Archivos
Permitir la grabación de llamadas
Permitir AirPrint
Permitir almacenamiento de credenciales de AirPrint
Permitir detección de iBeacon para AirPrint

Red móvil

Permitir modificación de datos móviles por app
Permitir modificación del plan móvil
Permitir modificación de la eSIM
Permitir transferencias salientes de eSIM
Conservar la eSIM al borrar el dispositivo
Permitir la actualización en segundo plano durante la itinerancia

APN móvil

APN móvil establece el nombre de punto de acceso (APN) que te dio tu operador, por ejemplo para una red móvil privada o de empresa. Establece el nombre de punto de acceso y, si el operador lo solicita, la autenticación (PAP o CHAP), el nombre de usuario (se permiten variables como $EMAIL$), la contraseña, las versiones de IP (también en itinerancia), un servidor proxy con su puerto y XLAT464. Activa Adjuntar APN solo si el operador te da un APN independiente para conectarte a la red.

Solo lo reciben los iPhone y los iPad con conexión móvil, también sin supervisión. Los dispositivos registrados con User Enrollment (dispositivos personales) no lo reciben.
Se aplica solo a la SIM que se usa para datos móviles. Un dispositivo que ya tiene un perfil de APN instalado de otra forma no lo instala.
La contraseña está protegida como las demás contraseñas de red: el perfil se envía solo al dispositivo para el que se creó y la contraseña no se escribe en los registros.

Un APN incorrecto deja los dispositivos sin datos móviles: prueba primero los ajustes en un dispositivo de prueba con una SIM del operador.

Sistema e interfaz de usuario

Permitir Handoff
Permitir la autocorrección
Permitir la atenuación automática
Permitir el salvapantallas automático
Permitir el teclado QuickPath
Permitir la búsqueda de definiciones
Permitir modificar el nombre del dispositivo
Permitir la suspensión del dispositivo
Permitir iPhone Mirroring
Permitir widgets de iPhone en Mac
Permitir los atajos de teclado

Apps y servicios de Apple

Permitir iMessage
Permitir Game Center
Permitir añadir amigos en Game Center
Permitir Buscar mi dispositivo
Permitir Buscar amigos
Permitir modificar Buscar amigos
Permitir la librería
Permitir contenido erótico de la librería
Permitir la copia de seguridad de libros empresariales
Permitir la sincronización de metadatos de libros empresariales
Permitir iTunes Store
Permitir contenido explícito

Siri y Apple Intelligence

Permitir Siri
Permitir contenido generado por el usuario en Siri
Permitir Siri con el dispositivo bloqueado
Permitir el dictado
Permitir integraciones de inteligencia externas
Permitir iniciar sesión en inteligencia externa
Permitir Genmoji
Permitir Image Playground
Permitir Image Wand

iCloud

Permitir la libreta de direcciones de iCloud
Permitir la copia de seguridad de iCloud
Permitir los marcadores de iCloud
Permitir el calendario de iCloud
Permitir el escritorio y los documentos de iCloud
Permitir la sincronización de documentos de iCloud
Permitir Freeform de iCloud
Permitir la sincronización del llavero de iCloud
Permitir Mail de iCloud
Permitir Notas de iCloud
Permitir Fototeca de iCloud
Permitir Retransmisión privada de iCloud
Permitir Recordatorios de iCloud

Cuentas (restricción)

El panel Cuentas contiene una restricción y (opcionalmente) la configuración de cuentas. El interruptor de restricción controla si el usuario puede modificar las cuentas del sistema.

Permitir modificación de cuentas

Políticas - Apple

Redes

La sección Redes del Editor de políticas de Apple configura redes Wi-Fi y VPN en los dispositivos, instala certificados y restringe funciones de conectividad como AirDrop y Bluetooth. Cada red Wi-Fi, VPN y certificado se instala como su propio perfil de configuración, que puedes ver en el dispositivo en Configuración > General > VPN y gestión de dispositivos (Mac: Configuración del Sistema > General > Gestión de dispositivos, o Privacidad y seguridad > Perfiles en macOS 13 y 14) y en el panel Perfiles, certificados y seguridad de la página del dispositivo.

Los certificados se toman de la página Certificados: primero impórtalos allí. La política solo hace referencia a ellos, así que un certificado nunca se copia en la política.

Restricciones

Permitir AirDrop
Permitir solicitudes entrantes de AirPlay
Permitir modificación de Bluetooth
Permitir modificación de Compartir Bluetooth
Permitir acceso a unidades de red de Archivos
Permitir modificación de Compartir Internet
Permitir el almacenamiento en caché de contenido
Permitir compartir archivos por iTunes

Redes Wi-Fi

Haz clic en Añadir red Wi-Fi y rellena:

Nombre de la red (SSID): el nombre de la red, de hasta 32 caracteres.
Seguridad: ninguna (red abierta), WEP, WPA o WPA2, WPA2 o WPA3, solo WPA3, o cualquiera.
Contraseña: la contraseña de una red personal.
Unirse automáticamente y Red oculta (para las redes que no difunden su nombre).
Proxy: ninguno, manual (servidor y puerto) o automático (una URL de archivo PAC, o vacío para encontrar la configuración en la red con WPAD).
Nombre del perfil (opcional) y Se aplica a, para limitar la red a algunos tipos de dispositivo.

Redes empresariales (802.1X)

Activa Empresarial (802.1X) cuando los usuarios se autentican con sus propias credenciales o un certificado en lugar de una contraseña compartida.

Autenticación: PEAP, TTLS (con su autenticación interna, por ejemplo MSCHAPv2) o TLS (solo certificado).
Credenciales del usuario del dispositivo: cada dispositivo usa la identidad EAP, la identidad anónima y la contraseña de su usuario, configuradas en la página Usuarios. Los dispositivos sin usuario no reciben la red.
Identidad, Identidad anónima y Contraseña: las mismas para todos los dispositivos. La identidad puede contener las variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ y $UDID$. Deja la contraseña vacía para que el usuario la escriba en el dispositivo.
Certificado de identidad: el certificado de cliente que presenta el dispositivo (obligatorio para TLS). Consulta las opciones de certificado a continuación.
Certificados de confianza: los certificados de CA que emitieron el certificado de tu servidor RADIUS. Se instalan con la red.
Nombres de servidor de confianza: los nombres de los certificados del servidor RADIUS que aceptan los dispositivos, por ejemplo radius.example.com o *.example.com.

VPN

Haz clic en Añadir VPN para configurar una VPN IKEv2 o Cisco IPSec, integrada en iOS, iPadOS y macOS (no se necesita ninguna app de VPN).

Tipo y Servidor. Para IKEv2, también el Identificador remoto (la identidad del servidor; vacío significa la dirección del servidor) y el Identificador local, que puede contener las variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ y $UDID$.
Autenticación del dispositivo: un certificado (de la página Certificados, el certificado del usuario del dispositivo, o solicitado a un servidor SCEP), un secreto compartido (con el nombre de grupo opcional para IPSec), o ninguna para los servidores IKEv2 que solo comprueban el nombre de usuario y la contraseña.
Certificados de confianza: los certificados de CA de tu servidor VPN, instalados con la VPN. Para IKEv2 también puedes establecer el emisor y el nombre del certificado de servidor esperados.
Nombre de usuario y contraseña: el usuario también se autentica con un nombre de usuario (se permiten variables) y una contraseña (EAP para IKEv2, XAuth para IPSec). Deja la contraseña vacía para que el usuario la escriba en el dispositivo.
Nombre de la VPN (se muestra en Configuración) y Se aplica a.

Conexión

El usuario se conecta en Configuración: la VPN está instalada y el usuario la activa cuando es necesario.
Bajo demanda: el dispositivo conecta la VPN automáticamente. Con excepto en redes Wi-Fi de confianza no se usa la VPN en las redes Wi-Fi que indiques, por ejemplo la red de la oficina.
Siempre activa (IKEv2, solo iPhone y iPad supervisados): todo el tráfico pasa por la VPN en redes móviles y Wi-Fi, y el usuario no puede desactivarla. Los demás dispositivos no reciben esta VPN. Si la VPN usa un nombre de usuario, la contraseña debe establecerse en la política.
VPN por app: solo algunas apps usan la VPN. Elige la VPN para cada app en la sección Gestión de apps (campo VPN de la app, no disponible en Mac) y, opcionalmente, indica los dominios de Safari que la usan.

Prueba primero una VPN Siempre activa o bajo demanda en un dispositivo de prueba: si no se puede alcanzar el servidor, el dispositivo puede quedarse sin conexión.

Proxy global, DNS cifrado y filtro de contenido web

Estos ajustes se aplican a todo el tráfico del dispositivo. Actívalos con su interruptor.

Proxy HTTP global (iPhone y iPad supervisados, Mac): todo el tráfico HTTP pasa por el proxy, en todas las redes. Establece el servidor y el puerto (con un nombre de usuario y una contraseña opcionales) o una configuración automática (URL de archivo PAC, o vacío para encontrarla en la red). Permitir páginas de inicio de sesión Wi-Fi permite al usuario iniciar sesión en redes Wi-Fi públicas sin el proxy.
DNS cifrado: el dispositivo resuelve nombres con tu servidor DNS mediante DNS over HTTPS (URL del servidor) o DNS over TLS (nombre del servidor), opcionalmente solo para algunos dominios. En los dispositivos supervisados puedes impedir que el usuario lo desactive.
Filtro de contenido web (iPhone y iPad supervisados): el filtro integrado en iOS limita los sitios web para adultos, con listas de sitios web siempre permitidos o siempre bloqueados, o permite solo una lista de sitios web, que se muestran como marcadores en Safari.

Un proxy o servidor DNS incorrecto puede dejar los dispositivos sin conexión: prueba primero los ajustes en un dispositivo de prueba.

Certificados

Haz clic en Añadir certificado para instalar un certificado por separado: una autoridad de certificación en la que Safari y las apps deben confiar, o una identidad que usan las apps. Los certificados de una red Wi-Fi o una VPN no necesitan añadirse aquí.

Opciones de certificado

Un certificado de la página Certificados: el mismo certificado en todos los dispositivos. Haz clic en Elegir un certificado para seleccionarlo.
El certificado del usuario del dispositivo: cada dispositivo recibe el certificado de cliente vinculado a su usuario. Los dispositivos cuyo usuario no tiene certificado no lo reciben. Cuando vinculas otro certificado al usuario, los dispositivos se actualizan.
Solicitado a un servidor SCEP: cada dispositivo solicita su propio certificado a tu servidor SCEP (por ejemplo Microsoft NDES), así que la clave privada nunca sale del dispositivo. Establece la URL del servidor, el desafío si el servidor lo requiere, el sujeto (por ejemplo CN=$EMAIL$), los nombres alternativos, el tamaño de la clave y el uso de la clave.

Los certificados de cliente (.p12) protegidos con el antiguo cifrado RC2 no se pueden instalar en dispositivos Apple. Vuelve a exportarlos con cifrado 3DES o AES antes de importarlos.

Seguridad

Los perfiles que contienen contraseñas o claves privadas se envían solo al dispositivo para el que se crearon: el dispositivo debe firmar su solicitud con su certificado de gestión. Las contraseñas y los certificados no se escriben en los registros.

Políticas - Apple

Actualizaciones de software

La sección Actualizaciones de software del Editor de políticas de Apple mantiene los dispositivos actualizados: puede exigir una versión concreta del sistema operativo antes de una fecha límite y controlar cómo los dispositivos descargan e instalan las actualizaciones.

Actualizaciones del sistema operativo obligatorias

Toca Añadir actualización obligatoria para exigir una versión del sistema operativo. El dispositivo descarga la actualización, informa al usuario de la fecha límite y la instala en esa fecha si el usuario no lo ha hecho antes. Los dispositivos que ya ejecutan esa versión o una posterior la ignoran. Requiere iOS y iPadOS 17 o macOS 14.

Se aplica a (obligatorio): iPhone y iPad, o Mac. Cada sistema operativo tiene sus propios números de versión, así que añade una actualización obligatoria para cada uno.
Versión del sistema operativo: la versión que se va a instalar, por ejemplo 18.5 o 15.4.1.
Compilación (opcional): una compilación concreta, por ejemplo una beta o una Mejora de seguridad en segundo plano.
Instalar antes de: la fecha límite, en la hora local de cada dispositivo. Una fecha en el pasado hace que los dispositivos instalen la actualización lo antes posible.
URL de detalles (opcional): una página web sobre la actualización que se muestra al usuario.

El dispositivo informa del progreso de la actualización (descarga, instalación, fallos) en el panel Estado del dispositivo de la página del dispositivo.

Ajustes de actualización de software

Activa Ajustes de actualización de software para iPhone y iPad o Ajustes de actualización de software para Mac para controlar las actualizaciones en esos dispositivos. Cuando un interruptor está desactivado, los dispositivos mantienen sus propios ajustes. Requiere iOS y iPadOS 18 o macOS 15: los dispositivos más antiguos ignoran estos ajustes.

Aplazar actualizaciones: las nuevas actualizaciones solo se muestran al usuario después del número de días indicado (del 1 al 90). En un Mac puedes establecer periodos distintos para las actualizaciones principales, las secundarias y otras actualizaciones del sistema.
Actualizaciones mostradas al usuario (iPhone y iPad): cuando haya más de una actualización disponible, muestra todas, solo la actualización secundaria más antigua o solo la más reciente.
Los usuarios estándar pueden instalar actualizaciones (Mac): los usuarios sin derechos de administrador pueden instalar actualizaciones de macOS.
Notificar al usuario las actualizaciones obligatorias: muestra las notificaciones sobre las actualizaciones obligatorias y su fecha límite.
Descarga automática, Instalación automática y Actualizaciones de seguridad automáticas: deja que el usuario decida (valor predeterminado de Apple) o mantenlas siempre activadas o siempre desactivadas.
Mejoras de seguridad en segundo plano: ofrece al usuario las correcciones de seguridad rápidas de Apple y elige si el usuario puede eliminarlas.
Programas beta: permite que el usuario se una a los programas beta de Apple, o quita el dispositivo de ellos y bloquéalos (en iPhone y iPad, solo dispositivos supervisados).

Instalar una actualización desde la página del dispositivo

El panel Estado del dispositivo de un dispositivo muestra las actualizaciones disponibles para él. Usa Buscar actualizaciones para pedir al dispositivo la lista e Instalar para instalar una ahora o descargarla y dejar que el usuario la instale. Esto funciona en iPhone y iPad supervisados y en Mac. Apple elimina estos comandos en iOS, iPadOS y macOS 27: en esas versiones, usa las actualizaciones obligatorias de la política.

Políticas - Apple

macOS

La sección macOS del Editor de políticas de Apple gestiona los ajustes de seguridad, privacidad e inicio de sesión de los Mac: FileVault, Firewall, Gatekeeper, salvapantallas y bloqueo, almacenamiento externo y de red, Compartir pantalla, permisos de privacidad, elementos de inicio y las extensiones de sistema y de kernel que se permite cargar. También instala archivos de configuración de servicios del sistema y tareas en segundo plano. Los demás dispositivos de la política no reciben estos ajustes. Activa un ajuste para gestionarlo; mientras está desactivado, los usuarios conservan sus propias opciones.

La mayoría de los ajustes se instalan en el Mac como perfiles de configuración, visibles en Ajustes del Sistema > General > Gestión de dispositivos. FileVault, los permisos de privacidad, los elementos de inicio y los ajustes de extensiones necesitan un MDM aprobado por el usuario: en un Mac registrado con la URL de inscripción o el código QR, el usuario aprueba el perfil de inscripción en Ajustes del Sistema. La página del dispositivo lo muestra en el campo MDM aprobado por el usuario. Cuando el usuario lo aprueba más tarde, el Mac recibe estos ajustes automáticamente.

FileVault

FileVault cifra el disco del Mac. Con este ajuste activado, se pide a los usuarios que activen FileVault con su contraseña, y el Mac envía su clave de recuperación personal a Cerberus Enterprise, cifrada con una clave que pertenece solo a tu organización. La clave se muestra y se cambia desde el campo FileVault de la página del dispositivo (consulta Comandos de dispositivo). El ajuste necesita macOS 13 o posterior y un MDM aprobado por el usuario; sin un MDM aprobado por el usuario no se pide al Mac que active FileVault, pero si un usuario lo activa, su clave se almacena.

Obligatorio al iniciar sesión: en el siguiente inicio de sesión, tras un número de omisiones (se vuelve a preguntar al usuario en cada inicio y cierre de sesión), o solo cuando el usuario cierra la sesión.
No preguntar al cerrar sesión: se pregunta al usuario solo al iniciar sesión. No se puede combinar con «Solo se pregunta al cerrar sesión».
Mostrar la clave de recuperación al usuario: desactivado de forma predeterminada, así que solo los administradores conocen la clave, desde la página del dispositivo.
Impedir desactivar FileVault: activado de forma predeterminada.
Eliminar la clave de la memoria en modo de espera: el usuario vuelve a escribir la contraseña cuando el Mac se despierta del modo de espera.
Dónde se guarda la clave: texto que se muestra al usuario en la ventana de inicio de sesión, por ejemplo a quién llamar para recuperar el Mac (predeterminado «Cerberus Enterprise»).

Un Mac que ya estaba cifrado cuando recibió el ajuste conserva su clave actual, que Cerberus Enterprise no recibe: la clave se almacena solo después de que el usuario desactive y vuelva a activar FileVault (con «Impedir desactivar FileVault» desactivado). Desactivar el ajuste, o quitar el Mac de la gestión, no desactiva FileVault, y la clave almacenada sigue funcionando. El ajuste no se puede guardar cuando el servidor no está configurado para almacenar claves de recuperación.

Firewall

Activar el Firewall: cuando está desactivado, el Firewall permanece desactivado y los usuarios no pueden activarlo.
Bloquear todas las conexiones entrantes: solo los servicios de red básicos (DHCP, Bonjour, IPSec) pueden recibir conexiones.
Modo sigiloso: el Mac no responde a las solicitudes de ping ni a las conexiones a puertos cerrados.
Permitir software integrado y Permitir apps firmadas descargadas para recibir conexiones sin preguntar al usuario (macOS 12.3 o posterior).
Reglas para apps específicas: permite o bloquea las conexiones entrantes de una app, por ID de paquete.

Gatekeeper

Gatekeeper comprueba las apps antes de abrirlas. Elige si los Mac abren solo apps del App Store, o también las apps de desarrolladores identificados. Con Gatekeeper desactivado, se puede abrir cualquier app, también las que no están firmadas o están dañadas. En macOS 15 o posterior también puedes elegir si se pregunta a los usuarios si desean enviar el malware bloqueado a Apple.

Salvapantallas y bloqueo

Inicia el salvapantallas tras un tiempo de inactividad y pide la contraseña cuando se inicia el salvapantallas o se duerme la pantalla, de inmediato o tras un retraso. Un ajuste que se deja como Sin gestionar sigue siendo elección del usuario.

Almacenamiento externo y de red

Permite, pon en solo lectura o bloquea el almacenamiento externo (unidades USB, tarjetas SD, discos externos) y el almacenamiento de red (recursos compartidos de archivos) de los Mac. Necesita macOS 15 o posterior.

Compartir pantalla

Límites de las personas que se conectan a estos Mac con Compartir pantalla: copiar archivos desde o hacia el Mac, las conexiones de alto rendimiento y el número de pantallas virtuales. Activar Compartir pantalla sigue siendo elección del usuario. Necesita macOS 14 o posterior.

Permisos de privacidad

Concede o deniega a las apps el acceso que los usuarios permitirían en Ajustes del Sistema > Privacidad y seguridad, por ejemplo Acceso total al disco para una app de copia de seguridad, o deniega la cámara a una app. Para cada permiso, elige:

Permiso: Acceso total al disco, Accesibilidad, Automatización, las carpetas, los contactos, los calendarios, las fotos, la cámara, el micrófono, la grabación de pantalla y los demás de Privacidad y seguridad.
Acceso: permitir o denegar. La cámara, el micrófono, la grabación de pantalla y la monitorización de entrada no se pueden permitir con un perfil, solo denegar; para la grabación de pantalla y la monitorización de entrada, puedes permitir que los usuarios las permitan también sin derechos de administrador.
App: el ID de paquete de una app, o la ruta de un programa (por ejemplo, una herramienta de línea de comandos).
Requisito de código: identifica la app por su firma. Obtenlo en Terminal con codesign -dr - /Applications/Example.app y copia el texto que aparece después de designated =>.
Automatización también necesita la app controlada (por ejemplo, el Finder) y su requisito de código.

Elementos de inicio y en segundo plano

Los elementos de inicio y de fondo que coinciden con las reglas se gestionan: se ejecutan sin preguntar, y los usuarios no pueden desactivarlos en Ajustes del Sistema > General > Elementos de inicio. Una regla coincide con el ID de equipo de desarrollador de una app, su ID de paquete o la etiqueta de un daemon o agente de launchd (también por su primera parte). Necesita macOS 13 o posterior.

Extensiones del sistema

Las extensiones del sistema son la forma moderna de que las apps amplíen macOS: filtros de red y VPN, agentes de seguridad de endpoints y controladores. Con este ajuste activado, las extensiones del sistema de los equipos de desarrolladores indicados se cargan sin preguntar al usuario. Necesita macOS 10.15 o posterior y un MDM aprobado por el usuario.

ID de equipo: el ID de equipo de 10 caracteres del desarrollador (por ejemplo, en los detalles «Firmado por» de la app, o con codesign -dv). Cada equipo puede aparecer solo una vez.
Permitir: todas las extensiones del equipo, o solo las extensiones con los ID de paquete indicados.
Tipos: limita el equipo a extensiones de controladores, de red o de seguridad de endpoints. Si no se elige ninguno, se permiten todos los tipos.
Eliminación (solo para extensiones indicadas): la app puede eliminar su extensión sin un administrador (macOS 12 o posterior), la extensión no se puede desactivar ni eliminar mientras la Protección de integridad del sistema está activada, o no se puede eliminar en Ajustes del Sistema ni en el Finder (macOS 15 o posterior). Los Mac con un macOS más antiguo siguen permitiendo la extensión, sin la opción de eliminación.
Los usuarios pueden aprobar otras extensiones del sistema: activado de forma predeterminada. Cuando está desactivado, solo se pueden cargar las extensiones permitidas por un perfil; si algún perfil del Mac lo desactiva, queda desactivado.

En macOS 11.3 o posterior, eliminar este ajuste desactiva las extensiones del sistema que permitía, por ejemplo un agente de seguridad o un filtro de red. Esto ocurre cuando se desactiva el ajuste, cuando se elimina la política y cuando el Mac pasa a una política sin él. El editor pide confirmación antes de desactivar el ajuste.

Extensiones del kernel (heredadas)

Las extensiones del kernel son la forma más antigua y obsoleta de ampliar macOS: prefiere las extensiones del sistema cuando el proveedor las ofrezca. Las extensiones del kernel de los equipos indicados (todas las extensiones de un equipo, o solo los ID de paquete indicados) se cargan sin preguntar al usuario, tras un reinicio. Necesita macOS 10.13.2 o posterior y un MDM aprobado por el usuario.

Los usuarios pueden aprobar otras extensiones del kernel: desactivado de forma predeterminada, así que solo los equipos indicados pueden cargar extensiones del kernel.
Los usuarios estándar también pueden aprobarlas: con las aprobaciones de usuarios activadas, los usuarios sin derechos de administrador también pueden aprobarlas (macOS 11 o posterior).

En los Mac con Apple silicon, un perfil por sí solo no basta: alguien debe iniciar el Mac en recoveryOS, elegir Seguridad reducida en la Utilidad de Seguridad de Arranque y permitir la gestión por el usuario de extensiones del kernel de desarrolladores identificados. El Mac también puede necesitar un Bootstrap Token custodiado en Cerberus Enterprise para aprobarlas (consulta el campo Bootstrap Token de la página del dispositivo).

Archivos de Mac

Los archivos de configuración de servicios y las tareas en segundo plano usan archivos que subes a los Archivos de Mac de tu organización: archivos zip y listas de propiedades (.plist) de hasta 20 MB. Súbelos, comprueba dónde se usan o elimínalos con el botón Archivos de Mac de la sección macOS, o con Elegir archivo en un ajuste. Un archivo usado por una política no se puede eliminar. Para cambiar un archivo, sube la nueva versión y elígela en la política: los Mac lo descargan de nuevo.

Archivos de configuración de servicios

Instala los archivos de configuración de un servicio del sistema desde un archivo zip. Los servicios integrados son el servidor SSH (sshd), sudo, PAM, la impresión (CUPS), el servidor web Apache, bash, zsh, el inicio de sesión con tarjeta inteligente y la autorización. También puedes usar tu propio servicio, con un identificador DNS inverso como com.example.service: encuentra los archivos con la biblioteca de archivos de configuración gestionados de macOS. Cada servicio puede tener un ajuste. Necesita macOS 14 o posterior.

Un servicio integrado usa solo los archivos del archivo zip e ignora sus propios archivos, por ejemplo /etc/ssh para sshd: pon toda la configuración en el archivo zip, en carpetas que empiecen desde la raíz del disco (por ejemplo etc/ssh/sshd_config). Los archivos son de solo lectura en el Mac y se eliminan con el ajuste. Prueba el archivo zip primero en un Mac: una configuración incorrecta de sudo o PAM puede impedir que los usuarios inicien sesión o usen los derechos de administrador.

Tareas en segundo plano

Programas y scripts que se ejecutan en segundo plano, iniciados por launchd. Los usuarios no pueden desactivarlos, y se eliminan con el ajuste. Necesita macOS 15 o posterior. Para cada tarea, elige:

Identificador de tarea: un identificador DNS inverso, como com.example.task, distinto para cada tarea.
Programas y scripts (opcional): un archivo zip que el Mac descomprime en /var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/ seguido del identificador de tarea. Conserva el permiso de ejecución de los archivos y no incluyas listas de propiedades en él.
Listas de propiedades de launchd: los trabajos que inician los programas, cargados como daemon (para todo el sistema, como root) o como agente (en cada sesión de usuario). Haz referencia a los programas con su ruta en la carpeta anterior.

Una tarea necesita los programas o al menos una lista de propiedades. Cuando cambian los archivos, los Mac reinician la tarea.

Políticas - Apple

Ubicación y geocercas

La sección Ubicación y geocercas del Editor de políticas de Apple define áreas, por ejemplo una sede o un almacén. Los iPhone y iPad con la app Cerberus Enterprise notifican cuándo entran o salen de una de estas áreas, y las reglas de eventos pueden reaccionar: enviar un correo electrónico, bloquear o deshabilitar el dispositivo, o volver a habilitarlo. Los Mac no usan geocercas.

Campos de la geocerca

Usa Añadir geocerca para crear una entrada nueva. Una política puede contener hasta 10 geocercas, y sus nombres deben ser únicos dentro de la política. Cada geocerca contiene estos campos:

Nombre: obligatorio y único.
Latitud y Longitud: el centro del área. También puedes hacer clic en el mapa para establecerlo.
Radio (m): obligatorio, de 200 a 10000 metros.
Descripción: notas opcionales para los administradores.
Informar entrada y Informar salida: elige qué eventos se generan. Al menos uno debe permanecer activado.
Activa: activa o desactiva la geocerca sin eliminarla.

Cada geocerca tiene una vista previa del mapa. El centro y el radio de una geocerca guardada están bloqueados: usa el botón de bloqueo del mapa para cambiarlos. Los demás botones centran el mapa en el área o en tu ubicación actual.

Cuando guardas la política, Cerberus Enterprise pide a los iPhone y iPad de la política que obtengan las nuevas geocercas. Esto suele tardar unos minutos, pero iOS puede retrasarlo, por ejemplo en el Modo de bajo consumo o sin conexión de red. La página del dispositivo muestra cuándo la app aún no ha aplicado las últimas geocercas.

Requisitos

Las geocercas funcionan en los iPhone y iPad con la app Cerberus Enterprise. Los Mac las ignoran. En el dispositivo:

la app Cerberus Enterprise está instalada (Cerberus la instala) y el usuario la ha abierto al menos una vez;
el acceso a la ubicación de la app está configurado en Siempre;
Ubicación precisa está activada para la app;
Actualización en segundo plano está activada.

Ubicación y geocercas en dispositivos personales, en la parte superior de la sección, está desactivado de forma predeterminada. Mientras está desactivado, Cerberus no recopila la ubicación de los dispositivos personales (User Enrollment), sus eventos de geocerca no se generan y su página de dispositivo no ofrece Localizar ni seguimiento en tiempo real. Cuando lo activas, los dispositivos personales de la política comparten su ubicación y sus eventos de geocerca como los dispositivos de empresa, pero solo si el usuario permite la ubicación para la app Cerberus Enterprise; la app se lo explica al usuario antes de que iOS lo solicite. Tu organización es responsable de informar a los usuarios y de cumplir las normas locales sobre la ubicación de los empleados. El modo perdido y la solicitud de ubicación de MDM nunca están disponibles en los dispositivos personales (Apple no lo permite).

En el Modo de bajo consumo, las geocercas siguen funcionando, pero iOS informa de la salida de un área más tarde y con una ubicación menos precisa, y puede retrasar la obtención de nuevas geocercas tras un cambio de política durante horas, hasta que la app se ejecute de nuevo (por ejemplo, en el siguiente cruce o cuando el usuario la abre).

Cómo llegan los eventos

iOS vigila las áreas de la app y la activa cuando el dispositivo cruza un límite, incluso cuando la app no está abierta. Los eventos pueden llegar unos minutos después del cruce, y se puede pasar por alto un área pequeña o una visita breve: iOS necesita que el dispositivo se aleje cierta distancia más allá del límite y permanezca allí un tiempo.

Si la app no puede ejecutarse, por ejemplo tras un reinicio antes de desbloquear el dispositivo, el servidor también detecta el cruce a partir de las ubicaciones que envía la app, más tarde. Cada cruce activa las reglas de evento una vez, tanto si lo detecta la app como el servidor.

Cuando la app no se ha comunicado con el servidor durante varias horas, el servidor pide a iOS que la active para que pueda comprobar sus geocercas de nuevo. iOS no garantiza estas solicitudes.

Página del dispositivo

En la página del dispositivo, la pestaña Geocerca del panel Mapa de ubicaciones muestra las transiciones del dispositivo. Cuando la política tiene geocercas activas, una línea de estado indica si las geocercas funcionan en el dispositivo o por qué no pueden hacerlo: la app no se ha comunicado con el servidor o debe actualizarse, el acceso a la ubicación no está en Siempre, Ubicación precisa o Actualización en segundo plano está desactivado, el Modo de bajo consumo estaba activado cuando la app informó por última vez de sus ajustes, o la app aún no ha aplicado las últimas geocercas.

Las transiciones de geocercas y las ubicaciones se conservan durante 90 días y los datos más antiguos se eliminan automáticamente cada noche. La última ubicación de cada dispositivo inscrito se conserva siempre, por lo que sigue en los mapas.

Limitaciones

Copiar una política no copia sus geocercas: vuelve a añadirlas en la copia.
Los eventos de geocerca en los iPhone y iPad no están garantizados: iOS decide cuándo puede ejecutarse la app.

Para reaccionar a los eventos de geocerca, crea una regla de evento para El dispositivo entra en una geocerca o El dispositivo sale de una geocerca. Consulta Reglas de evento.

Políticas - Apple

Cuentas

La sección Cuentas del Editor de políticas de Apple añade cuentas de correo, Exchange, Google, calendario, contactos y directorio a iPhone, iPad y Mac. Haz clic en Añadir cuenta y elige el tipo. La sección también contiene la restricción Permitir la modificación de cuentas (dispositivos supervisados).

En un Mac (macOS 13 o posterior), las cuentas se instalan en la sesión de los usuarios inscritos en la gestión, normalmente el usuario que inscribió el Mac, cuando inician sesión. La página del dispositivo enumera estos usuarios en Usuarios de Mac, con el estado de sus cuentas. Las cuentas que toman la dirección de correo electrónico del usuario del dispositivo usan el usuario asignado al Mac en Cerberus Enterprise.

Ajustes comunes

Nombre y correo electrónico del usuario del dispositivo (Correo, Exchange, Google): cada dispositivo usa el nombre y la dirección de correo electrónico de su usuario, configurados en la página Usuarios (para Google, la cuenta de Google del usuario). Los dispositivos sin usuario, o cuyo usuario no tiene dirección de correo electrónico, no reciben la cuenta. En caso contrario, establece una dirección de correo electrónico y un nombre completo fijos.
Nombre de la cuenta (opcional): el nombre de la cuenta en Configuración y en las aplicaciones.
Nombre de usuario y Contraseña (opcional): el nombre de usuario puede contener las variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ y $UDID$. Deja la contraseña vacía para que el usuario la escriba en el dispositivo, o deja ambas vacías para que las escriba.
Se aplica a: limita la cuenta a algunos tipos de dispositivo.

Tipos de cuenta

Cuenta de correo: servidor entrante IMAP o POP y servidor saliente, con sus puertos y autenticación. El servidor saliente puede usar el mismo nombre de usuario y contraseña que el entrante.
Cuenta de Exchange (Exchange ActiveSync): el servidor, o vacío para encontrarlo a partir de la dirección de correo electrónico. Elige los servicios (correo, contactos, calendarios, recordatorios, notas) y si el usuario puede cambiarlos. Con Autenticación moderna (OAuth), el usuario inicia sesión con la página de tu proveedor de identidad, por ejemplo Microsoft 365. Un Certificado de autenticación (iOS 17 o posterior) autentica el dispositivo con un certificado.
Cuenta de Google: el usuario inicia sesión en la cuenta de Google con la dirección de correo electrónico indicada.
Cuenta de calendario (CalDAV) y Cuenta de contactos (CardDAV): el servidor, el puerto y la ruta.
Directorio (LDAP): el servidor y el puerto, y las búsquedas (base de búsqueda, alcance y descripción) usadas para buscar contactos.
Calendario suscrito: la URL del calendario (https, http o webcal).

S/MIME

Las cuentas de correo y Exchange pueden firmar y cifrar mensajes con S/MIME (iOS 17 o posterior). Para cada una, elige el certificado: uno de la página Certificados, el certificado del usuario del dispositivo o uno solicitado a un servidor SCEP. Puedes permitir que el usuario lo desactive, elija otro certificado y, para el cifrado, mostrar un interruptor para cada mensaje.

Seguridad

Las contraseñas y los certificados no forman parte de los ajustes enviados a los dispositivos: cada dispositivo descarga sus propias credenciales desde Cerberus Enterprise y firma la solicitud con su certificado de gestión. No se escriben en los registros.

Políticas - Apple

Reglas de cumplimiento

La sección Reglas de cumplimiento del Editor de políticas de Apple establece requisitos para los dispositivos de la política. Un dispositivo que incumple una regla queda no conforme de inmediato: la página del dispositivo muestra por qué, en Por qué el dispositivo no cumple, y la lista de dispositivos lo muestra como no conforme. Un dispositivo también queda no conforme cuando un ajuste de la política no se puede aplicar en él.

Reglas

Código de acceso: el dispositivo tiene un código de acceso y cumple los ajustes de código de acceso de la política.
Versión mínima del SO: para iPhone y iPad, o para Mac. Para actualizar los dispositivos, añade una actualización obligatoria en Actualizaciones de software.
Dispositivo supervisado: los dispositivos registrados con el perfil de inscripción o con User Enrollment no están supervisados.
FileVault activado (Mac): el disco del Mac está cifrado con FileVault. Los demás dispositivos no se ven afectados.

Una regla se comprueba cuando el dispositivo envía su estado, cuando se guarda la política y cada hora. Un dispositivo cuyo estado es desconocido (por ejemplo, un Mac que aún no ha informado de FileVault) no incumple la regla.

Bloquear el dispositivo

Activa Bloquear el dispositivo si sigue sin cumplir e indica tras cuántos días (0 bloquea de inmediato). Los iPhone y iPad supervisados entran en modo perdido con el mensaje que configures. Los demás dispositivos se bloquean una vez; un Mac se reinicia y pide un PIN, que se muestra en los detalles del comando en el historial de comandos.

Desbloquear: cuando el dispositivo vuelve a cumplir, el modo perdido se desactiva automáticamente.
Desactivar el modo perdido por tu cuenta: el dispositivo no se vuelve a bloquear hasta que vuelva a cumplir e incumpla otra regla. Úsalo para permitir que el usuario repare el dispositivo.

Para recibir notificaciones o reaccionar de otras formas, crea una regla de evento para El dispositivo deja de cumplir: también recibe los motivos.

Estado del Dispositivo

Descripción general del dispositivo

Abre un dispositivo desde Panel de control → Dispositivos haciendo clic en la fila del dispositivo. El título de la página muestra el Modelo del dispositivo (cuando está disponible) y el Id interno.

Datos históricos frente a la inscripción actual

Cuando un dispositivo tiene varias inscripciones, Cerberus Enterprise puede mostrar un registro histórico de solo lectura. En ese caso, la página muestra un banner de Datos históricos y un botón para volver a los datos de la inscripción actual.

Campos superiores

La sección superior resume la identidad del dispositivo, la asignación y el estado de gestión. Algunos campos son específicos de cada plataforma y solo aparecen para dispositivos Android o Apple.

Id y Modelo: identificadores de solo lectura.
Usuario: muestra el usuario asignado actualmente (si lo hay). Desde el menú del usuario puedes Abrir usuario o Cambiar usuario, o asignar un usuario cuando no hay ninguno.
Modo de gestión y Propiedad: se muestran con información emergente en la interfaz.
Estado: estado actual del dispositivo (con icono y detalles en la información emergente). Un dispositivo en modo perdido muestra Perdido tanto en Android como en Apple, y un banner en la parte superior de la página indica qué hacer a continuación.
Perfil ADE (solo Apple): muestra el perfil Automated Device Enrollment asignado (si lo hay) y te permite abrirlo o cambiarlo.
Política: muestra la política asignada y te permite abrirla o cambiarla, o asignar una cuando no hay ninguna.
Estado de cumplimiento de la política (cuando se asigna una política): indica si el dispositivo cumple.
Versión de la política (cuando se asigna una política): indica si el dispositivo tiene aplicada la última versión de la política.
App Cerberus Enterprise (solo iPhone y iPad): el estado de la app Cerberus Enterprise que Cerberus instala en el dispositivo. No disponible (iOS o iPadOS anterior a 18.4, sin número de serie en un dispositivo de empresa, o sin una Managed Apple Account en un dispositivo personal); Aún no disponible en dispositivos personales; Esperando la información del dispositivo; Esperando la licencia de usuario de la Managed Apple Account (dispositivos personales, mientras Apple confirma la licencia); No instalada (la app no está en tu biblioteca de Apple Business o Apps and Books no está configurado, con un enlace a Configuración de la cuenta); Instalada · Apps and Books requiere atención (el token caducó o la app salió de tu biblioteca: la app permanece instalada); Configuración no disponible; Instalando… (si el dispositivo no envía ningún informe de estado durante 30 minutos, la información emergente sugiere comprobar que está en línea y reiniciarlo, lo que suele iniciar la instalación de nuevo); Esperando la aprobación del usuario; El usuario lo rechazó y Error de instalación (ambos con Reintentar, que vuelve a preguntar al dispositivo); Instalada · esperando a que se inicie la app (la app aún no se ha abierto); Instalada · configuración no aceptada; y, una vez que la app se ha registrado, su versión, su último contacto y si las notificaciones están activadas.
Inscrito el y Último informe de estado: marcas de tiempo de la inscripción y del último estado notificado.
Inscripción anulada el: se muestra cuando se ha anulado la inscripción del dispositivo.

Algunos datos y paneles solo están disponibles cuando la categoría correspondiente está habilitada en la política del dispositivo. Para más información, lee las páginas Notificación de estado y Ubicación y geocercas.

Paneles

La página del dispositivo se organiza en secciones expandibles. Según la plataforma y el estado, puedes ver uno o varios de los siguientes paneles:

Mapa de ubicación: un panel con pestañas que muestra el historial de Ubicación del dispositivo actual y, en dispositivos Android, iPhone y iPad, una pestaña Geocercas para las transiciones de geocercas.
Gestión de SIM: EID del dispositivo y SIM y eSIM instaladas. En Android, también los comandos eSIM y su historial; en iPhone y iPad propiedad de la empresa con datos móviles, también la itinerancia de datos, el Punto de acceso personal y Actualizar planes móviles. Consulta la página dedicada de gestión de SIM.
Comandos: envía comandos al dispositivo y consulta el historial de comandos (según la plataforma).
Postura de seguridad: el estado de seguridad del dispositivo y sus riesgos. En Android también el veredicto de Play Integrity. Hasta que el dispositivo lo informe, dice Sin especificar, o Aún no se ha informado en un dispositivo Android que no ha enviado ningún dato de seguridad.
Por qué el dispositivo no cumple: se muestra solo cuando el dispositivo no cumple, con un icono de alerta rojo; ábrelo para ver los motivos. En Android enumera los ajustes de política que no cumplen; en Apple también indica si una regla de cumplimiento bloqueó el dispositivo.
Estado del dispositivo (solo Apple): versión del sistema operativo, progreso de la actualización de software, código de acceso, FileVault, batería y cuentas notificados por el dispositivo, y las actualizaciones del sistema disponibles para él. Consulta la página de Comandos.
Aplicaciones (Android): apps instaladas y sus comentarios e informes de errores.
Aplicaciones (solo Apple): las apps instaladas por la política, las apps instaladas con comandos y las apps instaladas por el usuario, con su estado de instalación, errores y acciones (reintentar, eliminar). En Mac también enumera los paquetes instalados por la política, con su estado y Instalar de nuevo; los paquetes instalados como apps gestionadas tienen una etiqueta Gestionada, y una nota indica cuándo se instaló un paquete sin gestión y por qué, o cuándo no se encontró su app una hora después de la descarga. En iPhone y iPad, la app Cerberus Enterprise tiene la etiqueta Instalada por Cerberus; no aparece en el filtro Política. Una app cuya configuración gestionada no aceptó el dispositivo tiene la etiqueta Configuración no aceptada. En iPhone y iPad personales (inscripción de usuario), una línea muestra la Managed Apple Account cuyos usuarios licencian las apps del App Store que se usan, las apps que esperan su licencia muestran Esperando una licencia de usuario o Error de licencia de usuario, una app cuyo aviso de instalación canceló el usuario muestra Esperando la aprobación del usuario para la instalación, y Solicitar de nuevo vuelve a pedir la licencia a Apple o muestra de nuevo el aviso. Consulta la página de Comandos.
Perfiles, certificados y seguridad (solo Apple): perfiles de configuración, certificados y estado de seguridad notificados por el dispositivo.
Cambios de inventario (solo Apple): una cronología de las apps, perfiles y certificados instalados, eliminados o actualizados en el dispositivo, con búsqueda y filtros por tipo y cambio. Consulta la página de Comandos.
Usuarios de iPad compartido y Usuarios de Mac (solo Apple): los usuarios de un iPad compartido y los usuarios de un Mac. Consulta la página Comandos.
Informes de estado: datos adicionales notificados por el dispositivo, que se muestran como un árbol de categorías y valores.
Historial de inscripciones: inscripciones anteriores de este mismo dispositivo físico, que se muestran como una lista.

Pestañas del panel de ubicación

El panel Mapa de ubicación usa pestañas para mantener separados el historial de ubicación y las transiciones de geovalla.

Ubicación: muestra filtros de historial, una búsqueda por intervalo de fechas, marcadores de ubicación, el círculo de precisión y los controles de seguimiento en vivo del dispositivo actual.
Geocercas (Android, iPhone y iPad): muestra el historial de transiciones de geocercas en un mapa dedicado, con filtros de periodo, una opción para mostrar geocercas archivadas y una lista lateral de transiciones. En iPhone y iPad, una línea de estado también indica cuándo no puede funcionar la geolocalización por geocercas en el dispositivo.

Para conocer el comportamiento completo de estas pestañas, consulta Mapa de ubicación.

Acciones

En la parte inferior de la página puedes actualizar los datos y realizar acciones según la plataforma, el estado del dispositivo y el estado de la licencia.

Actualizar datos: vuelve a cargar el registro del dispositivo.
Deshabilitar dispositivo / Habilitar dispositivo (solo Android): disponible en los estados compatibles.
Anular la inscripción del dispositivo: elimina la gestión del dispositivo. El comportamiento exacto depende de la plataforma y la propiedad (por ejemplo, Android puede borrar un perfil de trabajo o restablecer los valores de fábrica).
Eliminar dispositivo: disponible cuando el dispositivo ya tiene la inscripción anulada y su registro se puede eliminar.

Estado del Dispositivo

Mapa de ubicaciones

Esta página documenta las herramientas de ubicación específicas del dispositivo disponibles en Vista general del dispositivo. El panel contiene una pestaña Ubicación para el historial de posiciones y, en dispositivos Android, iPhones y iPads, una pestaña Geovalla para las transiciones de geovalla.

Requisitos previos

En Android, los datos de ubicación del dispositivo se muestran solo cuando la notificación de ubicación está habilitada en la política del dispositivo. Para habilitarla, abre la política y activa Ubicación y geocercas → Notificar ubicación. Para más detalles, consulta Ubicación y geocercas.

En iPhone y iPad, la ubicación procede de la app Cerberus Enterprise, una vez que el usuario lo permite, o del comando Localizar dispositivo mientras el dispositivo está en modo perdido. Los Mac y otros dispositivos Apple no informan de su ubicación.

En los dispositivos personales (User Enrollment), la ubicación y las geovallas están disponibles solo cuando la política de Apple tiene la opción Ubicación y geovallas en dispositivos personales activada y solo si el usuario permite la ubicación para la app Cerberus Enterprise. De lo contrario, la página de su dispositivo no muestra las acciones de ubicación ni el seguimiento en tiempo real. El modo perdido nunca está disponible en dispositivos personales.

Para consultar el mapa global de varios dispositivos disponible en el panel de control, consulta Mapa de ubicaciones del panel de control.

Estado de carga y sin datos

Mientras se cargan los datos de ubicación, el panel muestra una superposición de carga en el mapa.
Si el dispositivo no tiene datos de ubicación disponibles, el panel muestra un mensaje que indica No hay datos de ubicación disponibles. En Android añade un recordatorio para habilitar el informe de ubicación en la política asignada, cuando está desactivado. En Apple indica de dónde procede la ubicación, o que este tipo de dispositivo no la informa.
Si hay un filtro de fecha activo y ninguna muestra coincide, el panel muestra No hay datos disponibles en el intervalo de fechas seleccionado.

Pestaña Ubicación

Abre la pestaña Ubicación para consultar el historial de un solo dispositivo. Los filtros disponibles incluyen la última ubicación conocida, intervalos de historial recientes, un intervalo de fechas personalizado y el seguimiento en tiempo real.

Última: muestra la última ubicación conocida.
Hoy, Últimos 7 días y Últimos 30 días: muestran las ubicaciones registradas durante el periodo seleccionado.
Buscar: te permite elegir un intervalo de fechas personalizado.
En directo: inicia o detiene el seguimiento en tiempo real del dispositivo actual.

Las ubicaciones se conservan durante 90 días: las más antiguas se eliminan automáticamente cada noche. La última ubicación de cada dispositivo inscrito se conserva siempre, por lo que el dispositivo sigue en los mapas aunque no haya enviado su ubicación desde hace mucho tiempo. En los dispositivos eliminados y las inscripciones anteriores, se eliminan todas las ubicaciones de más de 90 días. Por este motivo, el intervalo de fechas del filtro Buscar no puede empezar hace más de 90 días.

Detalles del marcador

Cuando haces clic en un marcador de ubicación, se abre una ventana de información con:

La marca de tiempo del registro de ubicación.
La precisión notificada (en metros).
La velocidad notificada, cuando el dispositivo la proporciona.
El rumbo o la orientación notificados, cuando el dispositivo los proporciona.

Círculo de precisión

Cuando la ventana de información está abierta, se muestra un círculo de precisión alrededor del marcador. El radio del círculo corresponde a la precisión notificada (en metros). Al cerrar la ventana de información se oculta el círculo.

Seguimiento en vivo

En la vista del historial del dispositivo, seleccionar el filtro En vivo inicia una solicitud de seguimiento en tiempo real para ese dispositivo concreto. Cerberus Enterprise pide confirmación antes de iniciar la solicitud.

El seguimiento en vivo se ejecuta durante un máximo de 15 minutos.
Mientras el seguimiento en vivo está activo, los dispositivos Android muestran una notificación y los iPhone y iPad muestran el indicador de ubicación.
Mientras el seguimiento en vivo está activo, el panel sigue actualizando la última ubicación y el indicador de en vivo permanece visible.
Si seleccionas de nuevo el filtro En vivo, puedes detener el seguimiento en vivo antes de que termine el tiempo de espera.
En iPhone y iPad, el seguimiento en vivo funciona a través de la app Cerberus Enterprise, con el acceso a la ubicación configurado en Siempre. La solicitud normalmente activa la app aunque no esté abierta, y la app envía entonces las ubicaciones durante toda la sesión. iOS no garantiza estas solicitudes: puede retrasarlas o no entregarlas, por ejemplo en el modo de bajo consumo o sin conexión de red. Si no llega ninguna ubicación en 2 minutos, el panel de control cancela la solicitud: pide al usuario que abra la app una vez y vuelve a intentarlo.

Pestaña Geocercas

En dispositivos Android, iPhone y iPad, la segunda pestaña muestra las transiciones de geocercas generadas a partir de las geocercas definidas en la política asignada.

El mapa muestra las áreas de geocercas actuales junto con los puntos de transición registrados.
La lista de transiciones de la derecha te permite inspeccionar los eventos de entrada y salida.
Los filtros disponibles son Hoy, Últimos 7 días, Últimos 30 días y una búsqueda personalizada por intervalo de fechas.
Incluir archivadas también muestra las transiciones relacionadas con definiciones de geocercas antiguas que ya no están presentes en la política actual.
Las transiciones de geocercas se conservan durante 90 días y las más antiguas se eliminan automáticamente cada noche, por lo que la búsqueda con un intervalo de fechas personalizado no puede empezar hace más de 90 días.

En iPhone y iPad, cuando la política tiene geocercas activas, una línea de estado en la parte superior de la pestaña muestra si la geolocalización por geocercas funciona en el dispositivo. Te indica cuándo no puede funcionar: la app Cerberus Enterprise no ha contactado con el servidor o debe actualizarse, el acceso a la ubicación no está configurado en Siempre, Ubicación precisa o Actualización en segundo plano está desactivado, Modo de bajo consumo estaba activado cuando la app notificó por última vez su configuración (los eventos y cambios de geocercas pueden entonces retrasarse horas), o la app aún no ha aplicado las últimas geocercas. Cuando todo funciona, muestra cuántas geocercas monitoriza la app.

Detalles de la transición de geocerca

Al seleccionar una transición, se abren sus detalles en el mapa y se resalta la entrada correspondiente de la lista. Cuando están disponibles, Cerberus Enterprise también muestra las coordenadas del dispositivo y la precisión notificada para esa transición.

Estado del Dispositivo

Gestión de SIM

La página del dispositivo proporciona un panel Gestión de SIM. En dispositivos Android gestiona las SIM y los perfiles eSIM instalados en el dispositivo, añade o elimina perfiles eSIM y muestra el historial de los comandos eSIM enviados al dispositivo. En iPhone y iPad con datos móviles propiedad de la empresa muestra las SIM y los planes eSIM notificados por el dispositivo y permite que el dispositivo descargue los planes eSIM preparados por el operador: consulta iPhone y iPad más abajo.

Los dispositivos totalmente gestionados notifican la información de SIM cuando el informe de Información de red está habilitado en la política del dispositivo (Cerberus Enterprise siempre habilita esta opción). Consulta la página de Informes de estado.

EID del dispositivo

El EID (eUICC Identifier) identifica el hardware eSIM del dispositivo. Los operadores lo usan para vincular perfiles eSIM al dispositivo, por lo que obtenerlo suele ser el primer paso de un flujo de aprovisionamiento de eSIM.

Dispositivos propiedad de la empresa (Android 13 o posterior): el EID se notifica automáticamente con el estado del dispositivo y no se requiere la interacción del usuario.
Dispositivos de propiedad personal (Android 13 o posterior): usa el botón Solicitar EID. El usuario verá una notificación en el dispositivo que le pedirá compartir el EID, y podrá aprobar o rechazar la solicitud. El EID solo se muestra si el usuario aprueba. Mientras la solicitud está pendiente, el botón permanece deshabilitado.

Al enviar una solicitud de EID se muestra primero un diálogo de confirmación, porque el usuario verá una notificación en el dispositivo.

SIM instaladas

La tabla de SIM instaladas enumera las SIM conocidas actualmente para el dispositivo, incluidas las SIM físicas y los perfiles eSIM. En dispositivos de propiedad personal, los perfiles eSIM instalados con el comando Añadir eSIM se muestran aunque el dispositivo no notifique información de SIM.

Operador: el nombre del operador asociado a la SIM (cuando se notifica).
Número de teléfono: el número de teléfono asociado a la SIM (cuando se notifica).
ICCID: el identificador de tarjeta de circuito integrado de la SIM.
Estado de activación: si la eSIM está activada o no. Solo se notifica para eSIM en Android 15 o posterior.
Modo de configuración: si el administrador o el usuario configuró la eSIM. Solo se notifica para eSIM en Android 15 o posterior.
Tipo de SIM: muestra si el dispositivo notifica la entrada como eSIM.

Las eSIM con un comando de eliminación en curso o ejecutado (no fallido) muestran un estado de activación temporal Eliminando. La entrada desaparece de la lista cuando el dispositivo notifica la lista de SIM actualizada. Mientras hay una eliminación en curso, el botón de eliminar no está disponible para evitar enviar el mismo comando dos veces.

Eliminar eSIM

Usa el botón de eliminar junto a una eSIM instalada para quitar su perfil del dispositivo. Un diálogo de confirmación te pide que confirmes el ICCID de la eSIM que se va a eliminar antes de enviar el comando. La eliminación de una eSIM es compatible con Android 15 o posterior.

Añadir eSIM

La sección Añadir eSIM instala un nuevo perfil eSIM en el dispositivo (compatible con Android 15 o posterior). Requiere:

Validez: cuánto tiempo es válido el comando si no se puede ejecutar de inmediato.
Código de activación: el código de activación del perfil eSIM, proporcionado por el operador. Puedes introducir el código completo, o solo la dirección SM-DP+ para que el dispositivo descubra un perfil que el operador ya haya vinculado a su EID.
Estado de activación: si el perfil eSIM debe activarse automáticamente después de la descarga, o dejarse sin activar para que el usuario lo active manualmente.

Historial de comandos

Debajo de la sección Añadir eSIM, el panel muestra el historial de los comandos eSIM enviados al dispositivo: Añadir eSIM, Eliminar eSIM y Solicitar EID. La tabla se puede ordenar y admite paginación. Algunas filas se pueden expandir para ver los parámetros del comando (por ejemplo, el código de activación o el ICCID) y el estado de ejecución, incluidos los detalles del error de eSIM cuando una operación falla en el dispositivo.

Fecha de creación
Comando
Validez
Estado
Error: muestra el estado de error de eSIM (por ejemplo, El usuario lo denegó, Código de activación no válido o ICCID no encontrado) cuando la ejecución del comando lo notifica.
Fecha de ejecución

Borrar eSIM al borrar y anular la inscripción

Cuando borras el dispositivo desde el panel de comandos, la marca Borrar eSIM controla si los perfiles eSIM se eliminan con el borrado. En dispositivos de propiedad personal con un perfil de trabajo, esta marca está habilitada de forma predeterminada (las eSIM gestionadas se eliminan, las eSIM de propiedad personal no se ven afectadas). La misma marca está disponible en el diálogo de confirmación Anular la inscripción del dispositivo.

iPhone y iPad

El panel se muestra para iPhone y para iPad que hayan notificado datos móviles (un iPad solo Wi-Fi no tiene), solo cuando el dispositivo es propiedad de la empresa y no es una inscripción de usuario. La información móvil se solicita al dispositivo junto con la información del dispositivo: en la inscripción, cada día, con Actualizar información del dispositivo, cuando su propiedad pasa a ser de la empresa y unos minutos después de Actualizar planes móviles.

EID del dispositivo: el EID notificado con las SIM, con un botón para copiarlo para el operador. Si el dispositivo no lo notifica, el usuario lo encuentra en Ajustes > General > Información.
Notificado, Itinerancia de datos, Punto de acceso personal y Firmware del módem: cuándo respondió el dispositivo y el estado que notificó. La itinerancia de datos y el Punto de acceso personal se pueden cambiar con Ajustes del dispositivo en el panel de comandos, que también muestra el estado actual.
SIM: una fila por cada SIM o plan eSIM (los dispositivos con SIM dual tienen dos), con la ranura tal como la notifica el dispositivo, su etiqueta y su tipo (eSIM cuando el dispositivo notifica el EID con ella, tarjeta SIM en caso contrario), el operador (el operador de origen en una información emergente cuando el dispositivo está en itinerancia en otra red), el número de teléfono, el ICCID, el EID, el IMEI, la SIM usada para datos y para llamadas, y la itinerancia. Una ranura eSIM sin plan se muestra atenuada como Sin plan.
Este dispositivo no notificó ninguna SIM significa que el dispositivo respondió sin ninguna SIM; Aún no hay información móvil significa que todavía no ha respondido: usa Actualizar información del dispositivo.

Los números de teléfono, el ICCID, el IMEI y el EID identifican a la persona y a la línea: nunca se solicitan a dispositivos de propiedad personal ni a inscripciones de usuario. Cuando un dispositivo pasa a ser de propiedad personal, la información se elimina de inmediato y se oculta en los resultados de los antiguos comandos de información del dispositivo del historial de comandos. No se exporta ni se escribe en los registros del sistema.

Actualizar planes móviles

iPhone y iPad no pueden instalar una eSIM a partir de un código de activación. El operador vincula (reserva) el plan eSIM al EID del dispositivo en su servidor eSIM (SM-DP+) y te da la dirección de ese servidor; Actualizar planes móviles pide entonces al dispositivo que descargue los planes que le esperan. El botón Actualizar planes móviles del panel selecciona el comando en el panel de comandos, donde introduces la URL del servidor eSIM del operador:

Una dirección https://, que se envía tal cual. No se aceptan direcciones con http://, con un nombre de usuario o contraseña, o con una parte #.
Un nombre de host, por ejemplo smdp.carrier.example, que se envía como https://smdp.carrier.example.
Un código de activación LPA (LPA:1$server$code, el texto de un código QR de eSIM): solo se usa el servidor, porque el comando no puede transportar el código. El operador debe vincular el plan al EID del dispositivo; de lo contrario, el dispositivo no encuentra nada que descargar.

El dispositivo instala y activa el plan sin preguntar al usuario, también cuando no está supervisado. El éxito en el historial de comandos significa que el dispositivo aceptó la solicitud, no que se haya instalado un plan: la instalación puede tardar hasta tres minutos, y Cerberus Enterprise vuelve a solicitar las SIM al dispositivo unos tres minutos después, de modo que el nuevo plan aparece en el panel. Los errores 36001 (el dispositivo no pudo acceder a su sistema móvil), 36002 (sin compatibilidad con eSIM) y 36003 (sistema móvil ocupado, inténtalo de nuevo más tarde) se explican en los registros del sistema. Un plan descargado una vez no se puede volver a descargar: si la instalación falla, contacta con el operador. El comando también está disponible para varios dispositivos a la vez en el menú Acciones para dispositivos Apple de la página Dispositivos.

Lo que Apple no permite

Añadir eSIM desde un código de activación: no es posible; usa Actualizar planes móviles con un plan vinculado al EID.
Eliminar eSIM: una eSIM no se puede eliminar de forma remota una a una. Si borras el dispositivo con Conservar el plan de datos eSIM desactivado, se eliminan todas las eSIM. Para detener un solo plan, pide al operador que lo desactive: el plan permanece en el dispositivo pero no puede conectarse.
Solicitar EID: no es necesario; el EID viene con las SIM de los dispositivos propiedad de la empresa.
Los Mac no tienen gestión de datos móviles ni de eSIM.

Estado del Dispositivo

Comandos

La página del dispositivo proporciona un panel Comandos para enviar comandos remotos a un dispositivo gestionado. Los comandos disponibles dependen de la plataforma (Android o Apple) y del estado del dispositivo.

Los comandos solo se pueden enviar a un dispositivo que esté inscrito actualmente. En un dispositivo con la inscripción anulada, en un dispositivo ADE que aún no se ha inscrito y en el historial de una inscripción anterior, el panel solo muestra el historial de comandos.

Si el dispositivo no está conectado en este momento, el comando se entregará y ejecutará en cuanto se conecte a Internet. En los comandos de Android puedes establecer el parámetro Validez para determinar cuánto tiempo sigue siendo válido un comando no entregado.

Comandos de Android (AMAPI)

En los dispositivos Android, el panel Comandos incluye un campo Validez (valor + unidad) y un selector Comando. Algunos comandos requieren parámetros adicionales, que aparecen dinámicamente al seleccionar el comando.

Parámetros comunes

Validez: cuánto tiempo es válido el comando si no se puede ejecutar de inmediato.
Comando: elige qué acción enviar al dispositivo.

Comandos sin campos adicionales

Bloquear dispositivo: bloquea el dispositivo.
Reiniciar dispositivo: reinicia el dispositivo. Requiere Android 7.0 o posterior.
Desactivar modo perdido: saca el dispositivo del modo perdido.
Retirar la propiedad: elimina el perfil de trabajo y todas las políticas de un dispositivo propiedad de la empresa con Android 8.0 o posterior, y lo deja para uso personal. Las apps y los datos del perfil personal se conservan. El dispositivo se elimina del servidor después de confirmar el comando. Esto no se puede deshacer.

Comandos con campos adicionales

Restablecer contraseña: requiere Nueva contraseña y Confirmar nueva contraseña. Los interruptores opcionales incluyen Bloquear ahora, Requerir entrada y No solicitar credenciales al arrancar.
Borrar datos de la app: requiere el nombre del paquete de destino.
Activar modo perdido: requiere un Mensaje de modo perdido y admite campos de contacto opcionales (dirección postal, organización, número de teléfono, correo electrónico). Cuando el dispositivo lo informa, su estado pasa a ser Perdido, la página del dispositivo muestra un banner y este comando se oculta hasta que se desactiva el modo perdido.
Borrar dispositivo: admite un Mensaje con el motivo del borrado (se muestra a los usuarios en dispositivos personales) e indicadores de borrado opcionales, incluido Borrar eSIM.

Los comandos de eSIM (Añadir eSIM, Quitar eSIM, Solicitar EID) están disponibles en el panel específico Gestión de SIM.

Historial de comandos

Debajo de los controles de envío, el panel de control muestra una tabla de historial de comandos. La tabla se puede ordenar y admite paginación. Algunas filas se pueden expandir para ver parámetros adicionales o detalles de ejecución.

Columnas del historial de Android

Fecha de creación
Comando
Validez
Estado
Error
Fecha de ejecución

Comandos de Apple (MDM)

En los dispositivos Apple, el panel Comandos ofrece un selector Comando. Algunos comandos requieren datos adicionales. Al igual que en Android, debajo se muestra una tabla de historial de comandos.

Comandos con campos adicionales

Instalar app: requiere el ID del paquete de la aplicación.
Enviar notificación: requiere un Mensaje de notificación (longitud máxima de 200 caracteres).

En iPhone y iPad, Enviar notificación y el seguimiento en vivo llegan al dispositivo a través de la app Cerberus Enterprise: están desactivados hasta que la app está instalada y se ha registrado para recibir notificaciones (consulta el campo App Cerberus Enterprise). Al iniciar el seguimiento en vivo se muestra «Solicitud de seguimiento en vivo enviada al dispositivo»: el seguimiento empieza cuando el dispositivo envía su primera ubicación. iOS puede retrasar la solicitud o no entregarla, por ejemplo en el modo de bajo consumo o sin conexión de red: si no llega ninguna ubicación en 2 minutos, pide al usuario que abra la app una vez. Cuando una solicitud falla, el mensaje indica el motivo, por ejemplo que la app aún no se ha registrado, que falta la clave de notificación del servidor o que el token de notificación del dispositivo ya no es válido.

Acciones del dispositivo

Solo se muestran los comandos compatibles con el dispositivo: algunos requieren un iPhone o iPad supervisado y otros no están disponibles en un Mac. Los que interrumpen el uso piden confirmación.

Bloquear dispositivo: bloquea la pantalla, con un mensaje y un número de teléfono opcionales. Un Mac se reinicia y se bloquea con un PIN de seis dígitos, que se muestra una vez después de enviar el comando y en los detalles del comando. El iPhone muestra el título «iPhone perdido» encima de tu mensaje, aunque este comando no activa el modo perdido.
Activar modo perdido (iPhone y iPad supervisados): bloquea el dispositivo y muestra tu mensaje, número de teléfono y nota al pie en la pantalla de bloqueo. Mientras el modo perdido está activo, la página muestra un banner y los comandos Localizar dispositivo (la ubicación aparece en el mapa de ubicaciones), Reproducir sonido y Desactivar modo perdido.
El dispositivo avisa a quien lo tenga de que se ha localizado: después de Localizar dispositivo, la pantalla de bloqueo muestra iPhone localizado con la hora y el nombre del servidor que recibió la ubicación, y un botón Continuar. iOS muestra este aviso y no se puede desactivar.
Borrar código de acceso: elimina el código de acceso de un iPhone o iPad, por ejemplo cuando el usuario lo ha olvidado. Si la política exige un código de acceso, se pide al usuario que establezca uno nuevo.
Actualizar información del dispositivo: pide al dispositivo su información (supervisión, versión del sistema operativo, estado de seguridad, certificado MDM) y su inventario.
Configuración del dispositivo: abre una ventana para cambiar el nombre del dispositivo, el nombre de host de un Mac, Bluetooth, la itinerancia de datos, el punto de acceso personal, la zona horaria, el fondo de pantalla, si se permite el Bloqueo de activación y, en un iPad compartido, su configuración (consulta más abajo). Solo se envían los ajustes que cambias; los que el dispositivo no admite se desactivan con el motivo. Un dispositivo puede confirmar la itinerancia de datos o el punto de acceso personal sin aplicarlos (por ejemplo, cuando el plan de la SIM no incluye el punto de acceso personal), así que Cerberus Enterprise los vuelve a leer unos 30 segundos después y escribe una advertencia en los registros del sistema si no han cambiado.
Reiniciar dispositivo y Apagar dispositivo: reinician o apagan el dispositivo de inmediato, tras una confirmación.
Borrar dispositivo: borra todo el contenido y los ajustes y elimina el dispositivo de la gestión. En iPhone y iPad puedes conservar el plan de datos eSIM y omitir la configuración por proximidad; un Mac recibe un PIN de seis dígitos.
Devolver al servicio (opción de Borrar dispositivo, iPhone y iPad con iOS 17 o posterior): tras el borrado, el dispositivo se configura de nuevo por sí solo, sin que nadie lo toque, y se inscribe otra vez con su política, usuario y propiedad actuales. Elige una red Wi-Fi de la política del dispositivo para la configuración, a menos que el dispositivo tenga Ethernet o datos móviles: solo se pueden usar redes personales (con contraseña y sin certificados), porque el dispositivo aún no tiene usuario ni certificado. El Bloqueo de activación debe estar desactivado.
Actualizar planes móviles (iPhone y iPad con conectividad móvil, iOS 13 o posterior, no User Enrollment): introduce la URL del servidor eSIM del operador indicada por el operador (una dirección https://, un nombre de host o un código de activación LPA, del que solo se usa el servidor) y el dispositivo descarga los planes eSIM que el operador vinculó a su EID. El EID del dispositivo se muestra debajo del campo para enviarlo al operador. Consulta la página Gestión de SIM.
Conservar el plan de datos eSIM desactivado elimina todas las eSIM con el borrado. La restricción de política Conservar la eSIM al borrar el dispositivo (dispositivos supervisados, iOS 17.2 o posterior) se aplica a los borrados iniciados en el dispositivo (demasiados intentos fallidos de código de acceso, Borrar todo el contenido y los ajustes): Apple no documenta su efecto en este comando.
Cerrar sesión del usuario (iPad compartido): cierra la sesión del usuario actual y vuelve a la pantalla de inicio de sesión. Los datos que aún no se han sincronizado con iCloud permanecen en el iPad.

iPad compartido

Un iPad compartido lo usan varias personas, cada una con su propia cuenta de Apple gestionada, o invitados con sesiones temporales. Se configura con un perfil de ADE que habilita el iPad compartido (consulta la página Apple Automated Device Enrollment), y su campo Tipo de inscripción muestra iPad compartido.

Usuarios del iPad compartido: los usuarios del iPad, con el usuario que ha iniciado sesión, el almacenamiento que usan y si algunos datos aún no se han sincronizado con iCloud. Usa Actualizar para volver a pedir la lista al iPad. Se puede eliminar un usuario junto con sus datos, excepto el usuario que ha iniciado sesión (cierra su sesión primero); Eliminar todos los usuarios requiere iPadOS 14 o posterior. Cuando los datos aún no se han sincronizado, la confirmación advierte de que se perderán.
Ajustes del dispositivo: el almacenamiento de cada usuario, el número de usuarios previsto, el tiempo de inactividad tras el cual se cierran las sesiones de usuarios e invitados, solo sesiones de invitado, los dominios de cuenta de Apple gestionada sugeridos en la pantalla de inicio de sesión, cuántos días puede iniciar sesión un usuario sin comprobar la contraseña en línea y omitir la configuración de idioma y región para los usuarios nuevos. Los campos vacíos conservan su valor actual; los ajustes que necesitan un iPadOS más reciente aparecen deshabilitados.

Usuarios de Mac

En un Mac, el panel Usuarios de Mac muestra los usuarios inscritos en la gestión, normalmente el usuario que inscribió el Mac. Las cuentas de la política se instalan en sus sesiones. Para cada usuario se muestra cuándo se inscribió, el último informe de su sesión y el estado de las cuentas: Al día, Esperando al usuario (el Mac las instala cuando el usuario ha iniciado sesión), No aplicadas con los motivos indicados por el Mac, o Sin cuentas cuando la política no tiene ninguna. Usa Recargar para volver a leer la lista.

Bloqueo de activación

El campo Bloqueo de activación muestra si el Bloqueo de activación está activado. Cuando está activado, un dispositivo borrado solo se puede configurar de nuevo con la cuenta de Apple del usuario o con el código de omisión del dispositivo. Los dispositivos supervisados activan el Bloqueo de activación solo si se permite en Ajustes del dispositivo. Cerberus Enterprise pide el código de omisión a los dispositivos supervisados y lo guarda: usa Mostrar código de omisión en el menú del campo para verlo (solo pueden los administradores, y cada visualización queda registrada en el registro del sistema) y, después, introdúcelo como contraseña en la pantalla de Bloqueo de activación del dispositivo, dejando la cuenta de Apple vacía.

Bloqueo de recuperación y contraseña de firmware (Mac)

Un Mac con Apple silicon muestra el campo Bloqueo de recuperación, y un Mac con Intel el campo Contraseña de firmware. Ambos protegen el Mac al arrancar: con el Bloqueo de recuperación, recoveryOS pide la contraseña; con una contraseña de firmware, el Mac la pide para arrancar desde otro disco o desde recuperación. El campo muestra si el Mac informa de una contraseña y, en su información sobre herramientas, cuándo la guardó Cerberus Enterprise y cuándo se verificó por última vez.

Establecer o cambiar contraseña: Cerberus Enterprise genera una contraseña de 20 letras que están en las mismas teclas con cualquier distribución de teclado, o un administrador escribe una (de 8 a 64 caracteres sin acentos; los demás roles solo pueden generar una, porque no pueden ver las contraseñas guardadas). La contraseña se guarda cifrada antes de enviarse y sustituye a la guardada solo cuando el Mac la confirma. Si el Mac ya tiene una contraseña establecida fuera de Cerberus Enterprise, escríbela como contraseña actual: se usa una vez y no se guarda.
Verificar contraseña: pregunta al Mac si la contraseña guardada es correcta. El resultado aparece en la información sobre herramientas y en el registro del sistema.
Mostrar contraseña: solo los administradores pueden ver la contraseña guardada, y cada visualización queda registrada en el registro del sistema. Las contraseñas generadas se muestran en grupos de cuatro letras: escríbelas sin espacios.
Borrar contraseña: elimina la contraseña del Mac.

Un Mac con Intel se reinicia para aplicar un cambio de contraseña de firmware: hasta entonces se sigue necesitando la contraseña anterior (Mostrar contraseña la muestra) y no se puede enviar otro cambio. Apple además acepta solo un comando de contraseña de firmware cada 30 segundos. Las contraseñas se ocultan en el historial de comandos.

Cuando un Mac deja la gestión (se anula su inscripción, lo elimina el usuario o se borra), macOS elimina el Bloqueo de recuperación por sí mismo y Cerberus Enterprise descarta la contraseña de Bloqueo de recuperación guardada; hace lo mismo cuando el Mac informa de que no tiene Bloqueo de recuperación, por ejemplo después de volver a inscribirse. Cuando anulas la inscripción de un Mac (o eliminas su política), primero se borra la contraseña de firmware guardada, el Mac se reinicia y luego deja la gestión. Si el borrado falla, el Mac deja la gestión de todos modos y la contraseña sigue guardada para que puedas verla. Un Mac eliminado de la gestión por el usuario, o borrado, conserva su contraseña de firmware: Cerberus Enterprise también la conserva. Al eliminar el registro del dispositivo se elimina la contraseña guardada, por lo que se te pide confirmarlo primero: anota la contraseña, porque sin ella solo Apple puede eliminarla.

FileVault (Mac)

El campo FileVault muestra si el disco del Mac está cifrado y, en su información sobre herramientas, si Cerberus Enterprise almacena su clave de recuperación personal. Un Mac envía la clave cuando FileVault está activado después de recibir el ajuste de FileVault de su política (consulta la página macOS de las políticas de Apple).

Mostrar clave de recuperación: solo los administradores pueden ver la clave, y cada visualización queda registrada en el registro del sistema. Úsala en la ventana de inicio de sesión del Mac para restablecer la contraseña del usuario, o en recuperación para desbloquear el disco. Sigue disponible después de que el Mac deje la gestión; al eliminar el registro del dispositivo se elimina.
Cambiar clave de recuperación: el Mac sustituye su clave de recuperación personal y envía la nueva cifrada; la clave anterior deja de funcionar. Solo es posible cuando la clave guardada se puede leer: el Mac está desbloqueado con ella y no se necesita la contraseña de ningún usuario. La clave guardada se oculta en el historial de comandos y se elimina del servidor en cuanto el Mac responde (o tras 7 días sin respuesta).

Bootstrap Token (Mac)

Un Mac con macOS 10.15 o posterior envía su Bootstrap Token al servidor de gestión cuando inicia sesión un usuario con un token seguro. El servidor lo guarda y solo se lo devuelve a ese Mac, que lo usa para dar un token seguro a los usuarios nuevos y, en un Mac con Apple silicon, para instalar actualizaciones de software y aprobar extensiones del kernel sin pedir la contraseña de administrador. Nadie puede ver el token, ni en el panel de control ni en ningún otro sitio. El campo Bootstrap Token muestra su estado:

En custodia: el servidor tiene el token; la información sobre herramientas muestra cuándo lo envió el Mac.
En custodia anteriormente: el token almacenado se envió antes de la última inscripción o de la última renovación del certificado MDM del Mac. Tras una renovación, esto es lo esperado: el token se conserva y el Mac no lo vuelve a enviar. Tras una nueva inscripción puede que ya no sea válido: ejecuta sudo profiles install -type bootstraptoken en Terminal en el Mac.
Sin custodia: el Mac aún no ha enviado un token. Para enviarlo ahora, un administrador del Mac ejecuta sudo profiles install -type bootstraptoken en Terminal (sudo profiles status -type bootstraptoken muestra si está en custodia).

La información sobre herramientas también indica si el Mac permite el token para la autenticación. Los Mac configurados con Automated Device Enrollment lo permiten automáticamente; en otros Mac con Apple silicon, un usuario puede permitirlo en la Utilidad de seguridad de inicio en recoveryOS. Los Mac con Intel no pueden usar el token para la autenticación (Not supported), pero un token en custodia sigue dando un token seguro a los usuarios nuevos. Cada vez que un Mac envía, elimina o solicita su token, queda registrado en el registro del sistema.

Estado del dispositivo y actualizaciones del sistema operativo

El panel Estado del dispositivo muestra lo que el dispositivo informa sobre sí mismo: la versión y compilación del sistema operativo, el progreso de una actualización de software (versión pendiente, fecha límite, qué la inició, fallos), si hay un código de acceso establecido y cumple la política, FileVault en un Mac, el estado de la batería y las cuentas configuradas en el dispositivo.

La lista Actualizaciones disponibles muestra las actualizaciones del sistema operativo que el dispositivo puede instalar, recopiladas durante la inscripción y semanalmente. Usa Buscar actualizaciones para solicitarlas ahora, y Instalar para instalar una actualización de inmediato (el dispositivo se reinicia, tras una confirmación) o solo descargarla y dejar que el usuario la instale. Esto funciona en iPhone y iPad supervisados y en Mac, hasta iOS, iPadOS y macOS 26: en versiones posteriores y para actualizar muchos dispositivos, usa las actualizaciones obligatorias de la política (consulta la página Actualizaciones de software de las políticas de Apple).

Un Mac con Apple silicon instala una actualización sin pedir la contraseña de administrador solo cuando permite su Bootstrap Token para la autenticación y el token está en custodia (consulta Bootstrap Token más arriba). De lo contrario, la confirmación indica que puede que un usuario tenga que introducir una contraseña de administrador antes de que se instale la actualización.

Aplicaciones e inventario

El panel Aplicaciones muestra todas las apps del dispositivo en una tabla. El dispositivo informa en tiempo real del estado de instalación de las apps instaladas por la política o con un comando; las versiones, los tamaños y las apps instaladas por el usuario proceden de la última lista de apps, recopilada en la inscripción y semanalmente. Usa Preguntar al dispositivo para solicitarla ahora.

Gestión: Política para las apps instaladas por la política del dispositivo, Gestionada para las apps instaladas con un comando como Instalar app, No gestionada para las instaladas por el usuario. La app Cerberus Enterprise tiene la etiqueta Instalada por Cerberus.
Requiere atención: apps que no se pudieron instalar, que el usuario rechazó o eliminó, o que esperan al usuario. Abre una fila para ver el error; las apps de política que fallaron se pueden volver a instalar con el botón de reintentar. No se cuentan las apps integradas ni las apps del App Store que el dispositivo indica como no validadas.
Eliminar app: las apps gestionadas se pueden eliminar, junto con sus datos. Para eliminar una app instalada por la política, elimínala de la política. La política también envía este comando por sí misma cuando se elimina de la política un paquete de Mac instalado como app gestionada.

El panel Perfiles, certificados y seguridad muestra los perfiles de configuración, los certificados y el estado de seguridad (código de acceso, cifrado, FileVault y firewall en un Mac) indicados por el dispositivo.

En los dispositivos de propiedad personal no se recopilan las apps instaladas por el usuario y solo se muestran los perfiles y certificados gestionados por Cerberus Enterprise.

El panel Cambios de inventario muestra qué cambió entre dos listas enviadas por el dispositivo: apps instaladas, eliminadas o actualizadas (con la versión anterior y la nueva), perfiles instalados, eliminados o actualizados y certificados añadidos o eliminados. Un cambio se detecta cuando el dispositivo envía una lista nueva, semanalmente para apps y perfiles y a diario para certificados, o cuando usas Preguntar al dispositivo: la fecha mostrada es cuando se detectó; el cambio se produjo entre la lista anterior y esa. La primera lista de un dispositivo, y la primera después de una nueva inscripción o un cambio de propiedad, solo se registra como punto de partida. Busca por nombre o identificador y filtra por tipo y cambio. Los cambios se conservan durante 365 días.

Cuando una actualización del sistema operativo sustituye muchas apps de Apple a la vez, se muestran como una sola línea (por ejemplo, "23 apps de Apple actualizadas") que puedes expandir. La renovación del certificado MDM se muestra como Certificado MDM renovado. En los dispositivos de propiedad personal solo se muestran los cambios de los elementos gestionados por Cerberus Enterprise.

Columnas del historial de Apple

Fecha de creación
Comando
Estado: Enviado (esperando al dispositivo, se entrega en cuanto se conecta), Correcto, Respondido (abre la fila para ver el resultado), Esperando al dispositivo (el dispositivo no puede ejecutar el comando en este momento), Error (abre la fila para ver el motivo) o Cancelado (se vació la cola de comandos del dispositivo, por ejemplo cuando volvió a inscribirse).
Fecha de ejecución

Actualizar

Usa la acción de actualizar del panel Comandos para volver a cargar el historial de comandos.

Mapa de ubicaciones del panel de control

El mapa de ubicaciones del panel de control ofrece una vista global de la última posición conocida de los dispositivos que informan de datos de ubicación. Ábrelo desde Panel de control para revisar varios dispositivos en el mismo mapa de Google.

Requisitos previos

Un dispositivo aparece en este mapa solo cuando la notificación de ubicación está habilitada en su política asignada. Para habilitarla, abre la política y activa Ubicación y geocercas → Notificar ubicación. Para más detalles, consulta Ubicación y geocercas.

Los dispositivos personales (User Enrollment) comparten su ubicación solo cuando su política de Apple tiene la opción Ubicación y geovallas en dispositivos personales activada y el usuario permite la ubicación para la app Cerberus Enterprise. De lo contrario, Cerberus no recopila su ubicación y el seguimiento en tiempo real no está disponible para ellos.

Para consultar el historial por dispositivo y las transiciones de geovalla disponibles en el editor de dispositivos, ve a Mapa de ubicaciones.

El historial de ubicaciones se conserva durante 90 días y las ubicaciones más antiguas se eliminan automáticamente cada noche. La última ubicación de cada dispositivo inscrito se conserva siempre, por lo que los dispositivos que no han enviado su ubicación desde hace mucho tiempo siguen apareciendo en el mapa.

Estado de carga y sin datos

Mientras se cargan los datos de ubicación, el mapa muestra una superposición de carga.
Si ningún dispositivo tiene datos de ubicación disponibles en este momento, la página muestra un mensaje No hay datos de ubicación disponibles.

Marcadores y agrupaciones

Cada dispositivo con datos de ubicación disponibles se muestra como un marcador. Cuando muchos dispositivos están cerca, los marcadores se agrupan automáticamente para que el mapa siga siendo legible.

Los dispositivos que están en seguimiento en tiempo real se resaltan con un marcador animado para que sean más fáciles de ver en el mapa.

Controles del mapa

Cuando el mapa contiene ubicaciones de dispositivos, Cerberus Enterprise muestra botones de acción en la esquina superior derecha del mapa.

Ubicación actual: usa la ubicación de tu navegador para mover el mapa a tu posición actual y ajustar el área de precisión indicada.
Centrar mapa: vuelve a ajustar el mapa alrededor de los marcadores de dispositivos que se muestran actualmente.
Seguidos indicador de seguimiento en tiempo real: aparece cuando se está haciendo seguimiento en tiempo real de uno o varios dispositivos e indica cuántos están activos en ese momento.
Detener todo el seguimiento en tiempo real: el botón de icono del indicador de seguimiento en tiempo real detiene el seguimiento en tiempo real de todos los dispositivos seguidos actualmente tras la confirmación.

Detalles del marcador

Al hacer clic en un marcador se abre una ventana de información con:

El modelo y el ID interno del dispositivo.
La marca de tiempo de la última ubicación comunicada.
La precisión comunicada, en metros.
La velocidad comunicada, cuando está disponible.
El rumbo o la orientación comunicados, cuando están disponibles.

El identificador del dispositivo en la ventana de información es un enlace que abre la página Vista general del dispositivo correspondiente.

Acciones de la ventana de información

Cada ventana de información también incluye botones de acción para el dispositivo seleccionado.

Enlace del dispositivo: el nombre y el ID del dispositivo en la parte superior de la ventana de información abren la página de vista general del dispositivo correspondiente.
Acercar: centra el mapa en el dispositivo seleccionado y ajusta el círculo de precisión indicado más estrechamente a su alrededor.
En directo: inicia el seguimiento en tiempo real de ese dispositivo. Si el seguimiento en tiempo real ya está activo, el mismo botón lo detiene tras la confirmación.
Seguimiento en tiempo real activo: cuando aparece, esta línea de estado indica que ya se está haciendo seguimiento en tiempo real del dispositivo seleccionado.

Círculo de precisión

Cuando se selecciona un marcador, el mapa muestra un círculo de precisión alrededor de la ubicación. El radio del círculo coincide con la precisión indicada.

Comportamiento del seguimiento en tiempo real

Iniciar el seguimiento en tiempo real desde una ventana de información envía una solicitud de seguimiento en tiempo real a ese dispositivo. Cerberus Enterprise actualiza el mapa automáticamente mientras la sesión está activa.

Cada sesión de seguimiento en tiempo real dura como máximo 15 minutos.
Mientras el seguimiento en tiempo real está activo, los dispositivos Android muestran una notificación y los iPhones y iPads muestran el indicador de ubicación.
El seguimiento en tiempo real se puede detener desde la ventana de información del dispositivo seleccionado o desde el botón global Detener todo el seguimiento en tiempo real del mapa.
En iPhone y iPad, el seguimiento en tiempo real funciona mediante la app Cerberus Enterprise, con el acceso a la ubicación configurado en Siempre. La solicitud normalmente activa la app aunque no esté abierta, y la app envía entonces ubicaciones durante toda la sesión. iOS no garantiza estas solicitudes: puede retrasarlas o no entregarlas, por ejemplo en el modo de bajo consumo o sin conexión de red. Si no llega ninguna ubicación en 2 minutos, el panel de control cancela la solicitud: pide al usuario que abra la app una vez y vuelve a intentarlo.

Aplicaciones privadas

Desde esta sección del panel de control, puedes subir tus propias aplicaciones privadas de Android o crear aplicaciones web para distribuirlas en tus dispositivos.

Los únicos datos que debes proporcionar son el título y el APK de una aplicación. Las aplicaciones privadas se aprueban automáticamente para tu organización y suelen estar listas para su distribución en 10 minutos. Puedes subir un total de 15 aplicaciones privadas al día. Ten en cuenta que las aplicaciones web también cuentan para este total.

La primera vez que publiques una aplicación privada, deberás proporcionar una dirección de correo electrónico para recibir notificaciones de Play Console sobre tus aplicaciones y tu cuenta de desarrollador de Google Play. Además, Managed Google Play crea automáticamente una cuenta de desarrollador de Play en nombre de tu organización. No necesitas pagar ninguna cuota de registro por esta cuenta.

Aplicaciones privadas publicadas desde el iframe:

No están sujetas a las mismas comprobaciones que otras aplicaciones. Por lo tanto, no se pueden convertir en aplicaciones públicas.
No son transferibles. No puedes transferir la propiedad de una aplicación a otra cuenta de desarrollador de Play.

Para obtener más detalles, visita la Ayuda de Managed Google Play

Gestión de certificados

El panel de control incluye una sección Certificados para importar, ver y eliminar certificados. Si haces clic en una fila de certificado, se abre el editor de certificados.

Lista de certificados

Los certificados se muestran en una tabla ordenable y paginada. La lista incluye tanto certificados de cliente como autoridades de certificación (CA).

Filtros

En la parte superior de la página puedes activar filtros con la lista de chips. Algunos filtros son mutuamente excluyentes.

Todos: muestra todos los certificados.
Cliente: muestra solo los certificados de cliente.
Autoridad de certificación (CA): muestra solo los certificados de CA.
Buscar: muestra un campo de texto (etiqueta Nombre o nombre de archivo) para buscar por nombre de certificado o nombre de archivo importado.
Sin usuario: muestra los certificados de cliente no asociados a ningún usuario.

Columnas de la tabla

Nombre
Tipo
Vencimiento
Usuario (se muestra para certificados de cliente)
Nombre de archivo importado
Fecha de importación

Acciones

Abrir certificado: haz clic en una fila para abrir el editor de certificados.
Eliminar certificado: solo está disponible cuando el certificado no está asociado a usuarios ni políticas y no lo usan dispositivos. La acción también puede deshabilitarse cuando la licencia está caducada.
Selección de varias filas: puedes activar la selección de varias filas para eliminar varios certificados a la vez. Solo se pueden seleccionar los certificados que se pueden eliminar.
Actualizar: vuelve a cargar la lista de certificados.

Importar certificados

Para importar certificados, haz clic en Importar certificado y selecciona uno o varios archivos. Los formatos admitidos se muestran en la información sobre herramientas del botón de importación.

Clientes

Formato admitido: PKCS#12 codificado en Base64 (.p12 / .pfx).

Los certificados de cliente identifican a un usuario o a un dispositivo en la red de la empresa. Los certificados de cliente se pueden asociar a un usuario concreto.

Opcionalmente, cada certificado de cliente se puede asignar a un usuario concreto: esto permite desplegar la misma configuración Wi‑Fi EAP en muchos dispositivos. Puedes hacerlo en la sección configuración de red de la política, con la opción Credenciales EAP de los usuarios.

También puedes asignar un certificado a un usuario desde la página Usuarios.

En los dispositivos Apple, los certificados se instalan con la sección Redes de la política de Apple, donde también puedes elegir El certificado del usuario del dispositivo. Consulta la página Redes de las políticas de Apple.

Autoridades de certificación (CA)

Formatos admitidos: X.509 codificado en Base64 (.crt / .pem / .cer / .der).

Los certificados de CA identifican a una autoridad de certificación e indican al dispositivo que debe confiar en los certificados emitidos por esa CA. El panel de control comprueba que un certificado X.509 importado sea una CA.

Editor de certificados

Cuando abres un certificado, el editor muestra sus campos principales y un panel Información del certificado de solo lectura.

Campos principales

Nombre (obligatorio)
ID (solo lectura)
Tipo (solo lectura)
Vencimiento (solo lectura)
Fecha de importación (solo lectura)
Nombre de archivo importado (solo lectura)

Asociación de usuario (certificados de cliente)

Para los certificados de tipo cliente, el editor muestra un campo Usuario. Si hay un usuario asignado, un menú te permite Abrir usuario, Cambiar usuario o Desasociar usuario. Si no hay ningún usuario asignado, puedes asignar uno con el botón de acción de usuario.

Eliminar certificado

La acción de eliminar está deshabilitada cuando el certificado está asociado actualmente a un usuario o se usa en políticas. También puede deshabilitarse cuando la licencia está caducada.

Reglas de eventos

Las reglas de eventos te permiten automatizar reacciones a eventos de dispositivos compatibles. Abre Panel de control → Reglas de eventos para crear reglas que vigilan eventos de inscripción, anulación de la inscripción, incumplimiento y geocercas (dispositivos Android y Apple; los eventos de geocercas provienen de dispositivos Android, iPhone y iPad) y, después, activar una o más acciones automáticamente.

Qué puede hacer una regla de evento

Cada regla combina un sujeto, un evento y una o dos acciones. Los sujetos admitidos son Todos los dispositivos, Dispositivo específico y Política.

Eventos: dispositivo inscrito, dispositivo con la inscripción anulada, dispositivo que pasa a ser no conforme, entrada en geovalla, salida de geovalla.
Acciones de dispositivo: deshabilitar dispositivo, habilitar dispositivo, bloquear dispositivo.
Acción de correo electrónico: envía un correo de notificación a los administradores y, cuando está habilitado, a los gestores delegados.

Una regla puede contener solo una acción de correo electrónico, solo una acción de dispositivo, o una acción de dispositivo más una acción de correo electrónico. Si se configuran ambas acciones, Cerberus Enterprise ejecuta primero la acción de dispositivo y después la acción de correo electrónico.

Reglas de plataforma y compatibilidad

Los eventos y acciones disponibles dependen del sujeto seleccionado y de la plataforma aplicable a ese sujeto.

Android admite eventos de inscripción, anulación de la inscripción, incumplimiento y geocerca.
Apple admite eventos de inscripción, anulación de la inscripción, incumplimiento y geocerca. Los eventos de geocerca provienen de iPhone y iPad con la app Cerberus Enterprise.
Deshabilitar dispositivo está disponible tanto en Android como en Apple. En iPhone y iPad supervisados activa el modo perdido; los demás dispositivos Apple se bloquean (un Mac con un PIN de seis dígitos, que se muestra en el historial de comandos del dispositivo). El modo perdido se desactiva desde la página del dispositivo.
Habilitar dispositivo solo se ofrece para eventos de geocerca, en Android y Apple. En iPhone y iPad desactiva el modo perdido.
Deshabilitar dispositivo y Habilitar dispositivo omiten un dispositivo Android en modo perdido: solo el comando Deshabilitar modo perdido lo saca del modo perdido. Las demás acciones de la regla se siguen ejecutando, y el registro del sistema indica por qué se omitió la acción del dispositivo.
Bloquear dispositivo y Enviar correo electrónico están disponibles tanto en Android como en Apple, cuando el evento seleccionado lo admite. Un Mac se bloquea con un PIN de seis dígitos, que se muestra en el historial de comandos del dispositivo.
Dispositivo desinscrito solo admite correo electrónico.

Lista de reglas

La lista de reglas de evento es la página de gestión principal de esta función. Incluye una tabla con búsqueda que muestra el nombre de la regla, el asunto, el evento, las acciones, la plataforma, el estado de habilitación y la hora de actualización.

Usa los chips de filtro para cambiar entre todas las reglas, las reglas habilitadas, las reglas deshabilitadas y la búsqueda de texto.
Usa el botón Actualizar para volver a cargar la vista actual de la tabla.
Usa el interruptor de habilitación de cada fila para habilitar o deshabilitar temporalmente una regla.
Usa el modo de selección de varias filas para eliminar varias reglas a la vez.
Usa Crear regla de evento para abrir el editor de una nueva regla.

Editor de reglas

El editor se divide en las secciones General, Alcance, Desencadenante y Acciones. En la parte inferior de la página, una barra de acciones fija mantiene visibles los botones principales mientras te desplazas.

General

Nombre: obligatorio, hasta 150 caracteres.
Descripción: opcional, hasta 2000 caracteres.
Regla habilitada: guarda la regla en estado habilitado o deshabilitado.

Alcance

El alcance define qué dispositivos puede coincidir con la regla. El editor también muestra la plataforma resuelta y, cuando está disponible, el contexto de política efectivo.

Todos los dispositivos: la regla puede coincidir con todos los dispositivos admitidos de la empresa.
Dispositivo específico: selecciona un dispositivo gestionado en el diálogo de selección.
Política: selecciona una plantilla de política en el diálogo de selección.

Desencadenante

La sección de desencadenante filtra automáticamente los eventos disponibles según el alcance y la plataforma seleccionados.

Desencadenantes de geocerca

Las reglas de entrada y salida de geocercas funcionan en dispositivos Android, iPhone y iPad, y una regla para un dispositivo o una política requiere un contexto de política válido. Para las definiciones de geocercas, consulta Ubicación y geocercas (Android) y Ubicación y geocercas (Apple).

Si el asunto es Todos los dispositivos, la regla siempre se aplica a Cualquier geocerca.
Si el asunto es un dispositivo o una política, puedes elegir Cualquier geocerca o una Geocerca específica.
La lista de geocercas específicas se carga desde el contexto de política efectivo del dispositivo o la política seleccionados.
Las reglas de geocerca para todos los dispositivos guardadas antes de que las geocercas estuvieran disponibles en iPhone y iPad siguen aplicándose solo a dispositivos Android. Ábrelas y vuelve a guardarlas para que se apliquen también a dispositivos Apple.

Acciones

La sección de acciones te permite elegir una acción de dispositivo opcional y una notificación por correo electrónico opcional. La interfaz oculta automáticamente las combinaciones no compatibles. La notificación por correo electrónico está activada de forma predeterminada, también cuando eliges una acción de dispositivo: desactívala si solo quieres la acción de dispositivo.

Si no hay ninguna acción de dispositivo disponible para el evento y el alcance seleccionados, aún puedes guardar una regla solo de correo electrónico.
Si el correo electrónico está deshabilitado para el evento y la plataforma seleccionados, el interruptor de correo electrónico no estará disponible.
Una regla sin ninguna acción no es válida y no se puede guardar.

Destinatarios de correo electrónico

Las acciones de correo electrónico siempre incluyen a los usuarios de la empresa con el rol ADMIN. Si la empresa se gestiona mediante multiinquilinato, puedes ampliar los destinatarios para incluir a los gestores de MT.

Solo gestores principales: incluye a los administradores de la empresa y a los contactos del gestor principal de MT.
Gestores principales y gestores de subcuentas: también añade a los gestores de subcuentas asignados.
La lista de vista previa muestra las direcciones de correo electrónico reales que se usarán cuando se ejecute la regla.
Solo se incluyen en la lista final de destinatarios los gestores delegados con acceso concedido a la empresa.

Comportamiento de ejecución

Las reglas de evento se ejecutan inmediatamente cuando Cerberus Enterprise recibe un evento admitido de las integraciones de backend. Las reglas deshabilitadas se omiten automáticamente.

Las ejecuciones correctas, omitidas y fallidas se registran en el registro del sistema con mensajes legibles, incluido el motivo cuando se omite una regla o una acción de dispositivo.

El registro del sistema conserva los eventos de estado y de ubicación de los dispositivos, y las ejecuciones de reglas correctas u omitidas, durante 90 días. Los demás eventos, como las acciones de los administradores, los inicios de sesión, las advertencias y los errores (incluidas las ejecuciones de reglas fallidas), se conservan durante 12 meses. Las entradas más antiguas se eliminan automáticamente cada noche.

Dispositivos

La sección Dispositivos del panel de control (Panel de control → Dispositivos) muestra todos los dispositivos inscritos en tu cuenta. Desde esta página puedes filtrar la lista, abrir el registro de un dispositivo y realizar acciones sobre él, como deshabilitarlo o anular su inscripción.

Filtros

En la parte superior de la página puedes habilitar uno o varios filtros desde la lista de chips. Los chips seleccionados representan los filtros activos actualmente.

Los filtros dependen de las plataformas configuradas en tu cuenta: los filtros para dispositivos Apple o Android aparecen solo cuando esa plataforma está configurada, y los filtros de Android y Apple aparecen solo cuando lo están ambas.

Filtros disponibles

Todos: muestra todos los dispositivos.
Inscritos: muestra los dispositivos inscritos, sea cual sea su estado (por ejemplo, Activo, Perdido o Deshabilitado). Los dispositivos con la inscripción anulada y los dispositivos ADE que aún no se han inscrito no se muestran. Está seleccionado cuando se abre la página: elige Todos para ver los dispositivos con la inscripción anulada y los dispositivos sincronizados desde Apple Business que aún no se han inscrito.
No cumple: muestra los dispositivos que no cumplen la política.
No seguro: muestra los dispositivos con una postura de seguridad no segura.
Error de apps: muestra los dispositivos Android cuyas apps han enviado comentarios de error, y los dispositivos Apple con apps gestionadas que requieren atención (no se pudieron instalar, el usuario las rechazó o eliminó, o están pendientes de él).
Perdido: muestra los dispositivos en modo perdido, en Android y Apple. Su estado se muestra como Perdido.
Estado no actualizado: muestra los dispositivos que no han informado su estado en las últimas 72 horas.
Política no actualizada: muestra los dispositivos con cambios de política pendientes.
Certificado MDM a punto de caducar: muestra los dispositivos Apple cuyo certificado MDM ha caducado o caduca en los próximos 14 días.
Android: muestra solo los dispositivos Android.
Apple: muestra solo los dispositivos Apple.
iPhone, iPad, Mac: muestra solo estos dispositivos Apple. Puedes seleccionar más de uno.
Propiedad de la empresa: muestra solo los dispositivos propiedad de la empresa.
De propiedad personal: muestra solo los dispositivos de propiedad personal.
Propietario del dispositivo: muestra solo los dispositivos Android totalmente gestionados.
Propietario del perfil: muestra solo los dispositivos Android con perfil de trabajo.
Supervisado / No supervisado: muestra los dispositivos Apple supervisados o no supervisados.
Buscar: habilita un campo de búsqueda de texto.

Buscar

Cuando habilitas el filtro Buscar, aparece un campo de texto con la etiqueta Id, modelo, usuario, número de serie o SO: busca el id del dispositivo, el modelo, el nombre de usuario, el número de serie y la versión del SO. La lista se actualiza automáticamente cuando dejas de escribir.

Tabla de dispositivos

Los dispositivos se muestran en una tabla ordenable y paginada. Al hacer clic en una fila se abre el editor del dispositivo.

Columnas

Modelo: modelo del dispositivo.
Usuario: usuario asociado (nombre, correo electrónico o id, según disponibilidad).
Estado: estado del dispositivo (con detalles en la información emergente).
Cumplimiento: indicador del estado de cumplimiento.
Seguridad: postura de seguridad (con detalles en la información emergente). En dispositivos Apple: En riesgo sin código de acceso, y en Mac con FileVault o el arranque seguro desactivados; Posiblemente comprometido en Mac con la Protección de integridad del sistema o el volumen del sistema firmado desactivados. La página del dispositivo enumera los riesgos. Apple no informa a la gestión de dispositivos de los iPhone y iPad con jailbreak.
Error de apps: indicador de error de apps.
Último informe de estado: fecha y hora del informe de estado más reciente (cuando está disponible).
Política: política asignada actualmente.
SO: sistema operativo y versión (por ejemplo, iOS 17.7 o Android 14). La ordenación se realiza por sistema y luego por versión.
Propiedad: propiedad de la empresa o de propiedad personal (con detalles en la información emergente).
Modo de gestión: modo de gestión (con detalles en la información emergente).
Id: identificador interno del dispositivo.

Actualizar y paginación

Usa la acción de actualizar para volver a cargar la lista.
La tabla está paginada (10/25/50 elementos por página).

Acciones del dispositivo

Cada fila de dispositivo puede ofrecer acciones, según la plataforma y el estado del dispositivo. Algunas acciones están deshabilitadas cuando tu licencia ha caducado o se ha rescindido.

Acciones por dispositivo

Deshabilitar dispositivo / Habilitar dispositivo: disponible para dispositivos Android en estados compatibles.
Anular inscripción del dispositivo: elimina la gestión. En Android puede borrar el perfil de trabajo o restablecer los valores de fábrica (según la propiedad); en Apple elimina los ajustes de la política.
Eliminar dispositivo: disponible para dispositivos cuya inscripción ya se anuló (elimina el registro del sistema). Un Mac cuya contraseña de firmware todavía está almacenada en Cerberus Enterprise se elimina solo tras una confirmación, porque la contraseña se elimina con él.

Selección de varias filas

Puedes habilitar la selección de varias filas desde la barra de acciones situada debajo de la tabla. Cuando está habilitada, puedes seleccionar varias filas y aplicar acciones masivas (deshabilitar, habilitar, anular la inscripción o eliminar), según los dispositivos seleccionados.

Para dispositivos Apple, el menú Acciones de dispositivos Apple bloquea, reinicia, apaga, actualiza la información o borra todos los dispositivos seleccionados. Una acción está disponible cuando todos los dispositivos seleccionados son dispositivos Apple inscritos que la admiten. Los PIN de los Mac que se bloquean o borran se muestran una vez después de enviar el comando. Anular la inscripción de dispositivos Apple elimina su perfil de inscripción y los ajustes de la política, sin borrarlos.

Actualizar planes móviles solicita a los iPhone y iPad seleccionados que descarguen los planes de eSIM que el operador vinculó a sus EID, desde un servidor de eSIM del operador introducido en una ventana para todos ellos. A diferencia de las demás acciones, solo se envía a los dispositivos seleccionados que la admiten: se omiten los Mac, las inscripciones de usuario, los dispositivos con una versión anterior de iOS y los iPad que nunca han informado datos móviles, y se muestran en el resultado. Consulta la página Gestión de SIM.

Sincronización con Apple Business

Si Apple Management está configurado y hay un token de Automated Device Enrollment, la página puede mostrar la acción Sincronizar desde Apple Business para importar dispositivos desde Apple Business. Un mensaje indica cuántos dispositivos se añadieron. Cuando se añaden algunos, la lista cambia al filtro Todos, porque el filtro Inscritos no muestra los dispositivos que aún no se han inscrito.

Inscribir un dispositivo

Usa Inscribir un dispositivo para abrir la sección Tokens de inscripción y empezar a inscribir un nuevo dispositivo.

Usuarios

La sección Usuarios del panel de control (Panel de control → Usuarios) enumera todos los usuarios configurados en tu cuenta. Desde esta página, puedes buscar usuarios, abrir el editor de usuario, crear usuarios nuevos y eliminar usuarios que no estén asociados actualmente a dispositivos.

Buscar

En la parte superior de la página hay un campo de búsqueda con la etiqueta Buscar y el texto de marcador de posición Nombre, nombre de usuario o correo electrónico. La lista se actualiza automáticamente cuando dejas de escribir.

Tabla de usuarios

Los usuarios se muestran en una tabla ordenable y paginada. Al hacer clic en una fila se abre el editor de usuario.

Columnas

Nombre: nombre y apellidos del usuario. La tabla se ordena por nombre de forma predeterminada.
Correo electrónico: dirección de correo electrónico del usuario.
Nombre de usuario: nombre de usuario (a menudo, un nombre de usuario del directorio).
Dispositivos: número de dispositivos asociados actualmente al usuario, excluidos los dispositivos con la inscripción anulada. Incluye los dispositivos Apple asignados al usuario que aún no se han inscrito.
Última actividad del dispositivo: el informe de estado más reciente enviado por cualquiera de los dispositivos del usuario. Está vacío cuando el usuario no tiene dispositivos. Ordena por esta columna para encontrar usuarios inactivos.
Certificado WiFi: nombre del certificado Wi‑Fi asignado al usuario, con un icono. Está vacío cuando el usuario no tiene certificado.
Id: identificador interno del usuario.

Actualización y paginación

La acción de actualizar vuelve a cargar la lista.
La tabla está paginada (10/25/50 elementos por página).

Acciones de usuario

Crear usuario nuevo

Usa Crear usuario nuevo para abrir el cuadro de diálogo de creación de usuarios. Esta acción se deshabilita cuando tu licencia ha caducado.

Sincronizar desde Google Workspace

Si la sincronización de directorios de Google Workspace está disponible para tu cuenta, la página muestra Sincronizar desde Google Workspace. Cuando inicias una sincronización, se muestra un indicador de progreso mientras se ejecuta la solicitud.

Eliminar un usuario

Solo puedes eliminar un usuario cuando no está asociado a ningún dispositivo (la columna Dispositivos debe ser 0). La acción de eliminar se deshabilita cuando tu licencia ha caducado o se ha rescindido.

Selección de varias filas y eliminación masiva

Desde la barra de acciones situada debajo de la tabla puedes activar la selección de varias filas. En este modo puedes seleccionar varios usuarios y eliminarlos de forma masiva.

Elegibilidad: solo los usuarios con Dispositivos = 0 se pueden seleccionar para eliminarlos.
Seleccionar todo: la casilla Todo selecciona todas las filas elegibles de la página actual.
Eliminación masiva: Eliminar usuarios seleccionados se deshabilita cuando no hay filas seleccionadas o cuando tu licencia ha caducado o se ha rescindido.

Certificados Wi-Fi y EAP

La columna Certificado WiFi muestra el nombre del certificado asignado actualmente a un usuario. Los certificados de usuario se suelen usar para configuraciones de Wi‑Fi EAP (por ejemplo, EAP‑TLS). Para asignar y gestionar certificados, consulta Gestión de certificados.

Usuarios

Editor de usuario

El editor de usuario está disponible en Panel de control → Usuarios al hacer clic en una fila de usuario. Te permite editar los datos del usuario, configurar credenciales Wi-Fi EAP por usuario y ver los dispositivos asociados al usuario.

Datos del usuario

La sección superior contiene los campos principales del usuario. Algunos campos son obligatorios y el editor muestra errores de validación cuando faltan o no son válidos.

Id: identificador de solo lectura.
Nombre: obligatorio.
Apellidos: obligatorio.
Nombre de usuario: obligatorio.
Correo electrónico: obligatorio y debe ser una dirección de correo electrónico válida.
Número de teléfono: opcional.
Cuenta de Google: opcional y debe ser una dirección de correo electrónico válida cuando se proporcione.
Apps and Books (solo lectura, se muestra bajo el campo Managed Apple Account una vez que el usuario ha inscrito un iPhone o iPad personal con User Enrollment): el estado del usuario de Apps and Books que Cerberus creó para la cuenta de Managed Apple Account con el fin de asignar licencias de aplicaciones a los dispositivos personales del usuario: asociado, registrado, pendiente de Apple, en creación, fallido o retirado. Un usuario que permanece registrado puede seguir recibiendo licencias; fallido normalmente significa que la cuenta no está en la misma organización de Apple Business que el token de Apps and Books.

Política predeterminada de autenticación de Google

En entornos de Google Workspace con la autenticación de Google activada, el editor puede mostrar Política predeterminada de autenticación de Google. Es la política que se aplica a los dispositivos que este usuario inscribe mediante la autenticación de Google.

Cambiar política: abre el cuadro de diálogo de selección de política.
Abrir política: abre la política seleccionada en el editor de políticas (cuando se ha definido una política).
Después de seleccionar una nueva política predeterminada, debes guardar el usuario para aplicar el cambio. El editor muestra una notificación que te recuerda que debes guardar.

Credenciales Wi-Fi EAP

La sección Credenciales WiFi EAP se usa para configurar credenciales por usuario que se instalan automáticamente en los dispositivos del usuario cuando su política asignada contiene una configuración Wi-Fi EAP que las requiere. La configuración de Wi-Fi EAP forma parte de la configuración de red de la política de Android.

Certificado de cliente

Puedes asignar opcionalmente un certificado de cliente a un usuario. Cuando se asigna un certificado, se muestra en el campo Certificado de cliente y un menú ofrece acciones. Cuando no se asigna ningún certificado, el campo muestra No hay ningún certificado asignado y puedes asignar uno.

Asignar certificado: abre el cuadro de diálogo de selección de certificados.
Abrir certificado: abre el editor de certificados.
Cambiar certificado: selecciona un certificado de cliente diferente.
Desasociar certificado: quita el certificado del usuario. El sistema también quita el certificado de todos los dispositivos asociados a este usuario.

Para importar y gestionar certificados, consulta Gestión de certificados.

Identidad, identidad anónima y contraseña

Identidad: identidad del usuario. Para los protocolos externos de túnel (PEAP, EAP-TTLS), se usa dentro del túnel.
Identidad anónima: se usa para los protocolos externos de túnel como la identidad que se presenta fuera del túnel. Cuando no se especifica, el valor predeterminado es una cadena vacía.
Contraseña: la contraseña del usuario para los métodos EAP que la requieren. Si no se especifica, el dispositivo puede solicitarla al usuario. Una acción de mostrar/ocultar alterna la visibilidad de la contraseña.

Dispositivos asociados

La sección Dispositivos asociados muestra la lista de dispositivos vinculados actualmente al usuario. Si el usuario tiene uno o varios dispositivos asociados, no se puede eliminar.

Guardar y eliminar

Guardar usuario: solo se habilita cuando el formulario es válido, hay cambios pendientes y la licencia está activa. Se muestra un indicador de progreso mientras se guarda.
Eliminar usuario: se deshabilita cuando el usuario está asociado a dispositivos o cuando la licencia ha caducado o se ha rescindido. Cuando se permite la eliminación, se muestra un cuadro de diálogo de confirmación. Si el usuario está asignado a tokens de inscripción, el cuadro de diálogo advierte de que los dispositivos inscritos con esos tokens dejarán de estar asignados a un usuario. Al eliminar el usuario, también se liberan las licencias de aplicaciones de su usuario de Apps and Books y se retira en Apple.

Advertencia de cambios sin guardar

Si tienes cambios sin guardar e intentas salir de la página, el panel de control te pregunta si quieres descartar los cambios.

Cuenta

Configuración

La Configuración página (Panel de control → Configuración) resume la información de la cuenta y de la licencia, y ofrece acciones para gestionar la facturación, la configuración de las plataformas (Android Management y Apple Management) y las integraciones opcionales de directorio/token.

Cuando tu licencia está a punto de caducar, caducada o rescindida, se muestra un banner destacado en la parte superior de la página. Según el estado de tu suscripción, ofrece la acción Gestionar facturación (portal de cliente de Stripe) o la acción Comprar licencia.

Cuando la licencia está caducada, la cuenta queda limitada únicamente a anular la inscripción de dispositivos. Tras el periodo de gracia, la cuenta puede cancelarse y los dispositivos pueden anular su inscripción automáticamente.

Banners de certificados y tokens de Apple (a punto de caducar / caducados)

El certificado push de Apple (APNs), el token de Apple Business (Automated Device Enrollment) y el token de Apps and Books (antes VPP) deben renovarse cada año. A partir de los 30 días anteriores al vencimiento, se muestra un banner en la parte superior del panel de control para cada certificado o token que esté a punto de caducar o caducado, con la fecha de vencimiento o la función que ha dejado de funcionar. La acción Cómo renovar abre esta página con las instrucciones de renovación correspondientes desplegadas.

También se muestra un banner cuando el certificado MDM de algunos dispositivos Apple caduca en los próximos 14 días y la renovación automática no se ha completado, o ha caducado: esos dispositivos deben inscribirse de nuevo. La acción Mostrar dispositivos abre la lista de dispositivos con el filtro Certificado MDM a punto de caducar.

Cuando el certificado push de Apple vence, los dispositivos Apple no pueden recibir comandos ni actualizaciones de políticas. Cuando vence el token de Apple Business, Automated Device Enrollment deja de funcionar. Cuando vence el token de Apps and Books, las apps no se pueden distribuir.

Cerberus instala su app gratuita Cerberus Enterprise en iPhones y iPads (iOS y iPadOS 18.4 o posterior) con una licencia de dispositivo de Apps and Books. Se muestra un banner en la parte superior del panel de control cuando la app no está en tu biblioteca de Apple Business, cuando el token de Apps and Books falta o ha caducado, o cuando algunos iPhones y iPads aún esperan la app (con su número). Cómo añadirla abre esta página en la fila App Cerberus Enterprise con los pasos; Cómo configurarla (se muestra cuando el token de Apps and Books falta o ha caducado) abre las instrucciones del token de Apps and Books.

Acceso de gestores de la empresa

La tarjeta Acceso de gestores de la empresa solo se muestra para empresas gestionadas por una cuenta multiinquilino (por ejemplo, un proveedor de servicios gestionados). Te permite ver qué cuentas de gestor pueden operar en tu empresa y controlar su acceso.

La tarjeta muestra:

El propietario de la empresa. El propietario siempre tiene acceso y no se le puede revocar.
Cada cuenta de gestor de la cuenta multiinquilino, etiquetada como Gestor principal o Subcuenta, con su nombre, nombre de usuario y estado de acceso (Concedido, Revocado o No concedido).

Conceder y revocar acceso

Usa Conceder para permitir que una cuenta de gestor entre y gestione tu empresa, y Revocar para retirar ese acceso. Cada acción pide confirmación. Un gestor cuyo acceso se revoca ya no puede operar en la empresa, aunque esté trabajando en ella en ese momento.

Como administrador de la empresa, puedes conceder o revocar el acceso de cualquier cuenta de gestor de la lista.
El gestor principal puede conceder o revocar el acceso de sus propias subcuentas, pero solo mientras su propio acceso esté concedido. No puede concederse acceso a sí mismo ni revocar su propio acceso.

Revocar el acceso del Gestor principal también revoca el acceso de todas sus subcuentas. Cuando corresponde, el diálogo de confirmación muestra las subcuentas que perderán el acceso.

Información de la cuenta

La tarjeta Información de la cuenta muestra campos de solo lectura:

Nombre de usuario
Nombre de la empresa
ID de la empresa

Cambiar contraseña

Si no has iniciado sesión con Google, Apple o Microsoft, la tarjeta también muestra una acción Cambiar contraseña. Se abre un diálogo para continuar con el flujo de cambio de contraseña.

También puedes cambiar tu contraseña en cualquier momento desde el menú de usuario de la barra de herramientas superior, con la opción Cambiar contraseña. Resulta útil para las cuentas multiinquilino, que pueden cambiar su contraseña sin entrar en una empresa.

Si un administrador ha creado tu cuenta o ha restablecido tu contraseña, inicias sesión con una contraseña temporal y debes elegir una nueva antes de continuar.

Información de la licencia

La tarjeta Información de la licencia muestra el estado actual de la licencia y tu límite de dispositivos. También ofrece acciones para contactar con ventas y para gestionar la facturación o comprar una licencia.

Estado de la licencia: se muestra como Activa o Caducada (con una insignia de icono e información sobre herramientas).
Prueba gratuita: se muestra cuando la cuenta está actualmente en modo de prueba.
Dispositivos con licencia: número máximo de dispositivos permitido por la licencia. El enlace ¿necesitas más dispositivos? abre un mensaje para contactar con soporte. Cuentan los dispositivos inscritos, sea cual sea su estado (por ejemplo, Activo, Perdido o Deshabilitado). Los dispositivos con la inscripción anulada no cuentan, ni tampoco los dispositivos sincronizados desde Apple Business hasta que se inscriben. Cuando se alcanza el límite, no se añade un nuevo dispositivo y se elimina su inscripción: el evento aparece en el registro del sistema y los administradores de la cuenta reciben un correo electrónico. En los dispositivos Apple, la eliminación tarda alrededor de un minuto, y un dispositivo que ya se ha contado puede inscribirse de nuevo, al igual que uno borrado con Return to Service.
Próxima renovación programada: se muestra para las suscripciones activas que se renuevan automáticamente. En caso contrario, la tarjeta muestra la Fecha de vencimiento.

Android Management

La tarjeta Android Management muestra el estado de Android Management de tu empresa. Si Android Management aún no está configurado, la tarjeta ofrece una acción Configurar Android Management que abre el flujo de configuración.

Estado configurado

Cuando Android Management está configurado, la tarjeta puede mostrar:

ID de gestión
Tipo de vinculación: indica si la empresa usa una cuenta de Managed Google Play o un dominio de Google gestionado.
Sincronizado con Google Workspace (insignia que se muestra cuando la sincronización de directorio está activa)
Sincronizar con Google Workspace (se muestra cuando la sincronización de directorio no está configurada; abre el panel de instrucciones en la parte inferior de la página)

Vinculación de Android Enterprise

Android Management se puede asociar con una cuenta de Managed Google Play o un dominio de Google gestionado. El campo Tipo de vinculación muestra qué opción está asociada actualmente a tu empresa.

Una cuenta de Managed Google Play es una cuenta ligera de Android Enterprise. Resulta adecuada para gestionar dispositivos y apps Android mediante Cerberus Enterprise, pero es independiente de una organización de Google Workspace o Cloud Identity. No ofrece la experiencia central de administración de Google disponible con un dominio de Google gestionado.

Un dominio de Google gestionado asocia Android Enterprise con la identidad de Google de tu organización. Los administradores de TI pueden gestionar productos de Google como Google Workspace, Cloud Identity y Gemini desde la consola de administración de Google, y seguir gestionando las apps y políticas de Android en Cerberus Enterprise. Esto proporciona un enfoque más ágil e integrado para la gestión de Android y habilita los flujos de inscripción y de gestión de usuarios basados en Google Workspace.

Cuando la empresa usa una cuenta de Managed Google Play, la tarjeta Configuración ofrece Actualizar a dominio de Google gestionado y una acción de información. La actualización abre el proceso guiado de Google para mover la empresa de Android existente a un dominio gestionado.

Durante la actualización, Google puede vincular una cuenta de administrador de Google existente asociada a tu dirección de correo laboral o crear automáticamente una nueva cuenta de administrador de Google gratuita. Usa una dirección de correo laboral como name@enterprise.com para continuar con la configuración guiada de Google.

Apple Device Management

La tarjeta Apple Device Management muestra el estado de la gestión de dispositivos Apple (MDM) de tu empresa. Si la gestión de Apple aún no está configurada, la tarjeta ofrece una acción Configurar la gestión de Apple que abre el flujo de configuración.

Estado configurado

Cuando la gestión de Apple está configurada, la tarjeta puede mostrar:

ID de Apple
Vencimiento del certificado push de Apple: muestra la fecha de vencimiento y una insignia de icono. Si el certificado está a punto de caducar o ha caducado, se puede hacer clic en la insignia para abrir las instrucciones de renovación.
Vencimiento del token de Apple Business: muestra el vencimiento del token de Apple Business usado para Automated Device Enrollment (con una insignia en la que se puede hacer clic cuando se requiere actuar).
Token de Apps and Books: muestra el nombre de la organización y el vencimiento del token de contenido de Apple Apps and Books, antes Volume Purchase Program (VPP) (con una insignia en la que se puede hacer clic cuando se requiere actuar).
App Cerberus Enterprise: en la tarjeta del token de Apps and Books, muestra si la app está en tu biblioteca de Apple Business: En tu biblioteca (licencias ilimitadas), No está en tu biblioteca o No disponible: el token de Apps and Books ha caducado, y cuántos iPhones y iPads la están esperando. Cuando la app falta, la fila muestra los pasos para añadirla (en Apple Business, abre Apps & Services → Apps & Books → App Store, busca "Cerberus Enterprise", haz clic en View, luego Add, selecciona All current and future en Organizational Units, haz clic en Add, luego Review y confirma). Check again vuelve a leer la biblioteca (como máximo cada 5 minutos); los dispositivos que esperan la app la reciben entonces.
Apple Business: enlace al portal de Apple Business, que se muestra cuando hay un token de Apple Business.
Sincronizar con Apple Business y Sincronizar con Apple Apps and Books: se muestran cuando faltan tokens.

La gestión de Apple requiere configurar el certificado APNs. Si lo necesitas, consulta Configuración de la gestión de Apple (APNs).

Preferencias y privacidad

La tarjeta Preferencias y privacidad contiene un interruptor de preferencias de marketing y enlaces a los Términos del servicio y a la Política de privacidad. Usa Guardar preferencias para aplicar los cambios (se muestra un indicador de progreso mientras se guarda).

Enviar comentarios

Cuando las suscripciones están habilitadas para la cuenta, la página puede mostrar una tarjeta Enviar comentarios con enlaces a: Proponer una función y plataformas de reseñas externas.

Instrucciones de configuración y renovación integradas

En la parte inferior de la página, el panel de control puede mostrar paneles de instrucciones expandibles según el estado actual (por ejemplo, cuando falta un certificado o token o está a punto de caducar).

Renovar el certificado push de Apple (APNs)

Cuando el certificado APNs está a punto de caducar o ha caducado, la página muestra un panel con los pasos para descargar una CSR, renovar el certificado en el portal de Apple y subir el nuevo certificado a Cerberus Enterprise.

Mientras un certificado o un token siguen siendo válidos, el botón de carga que hay junto a ellos abre los mismos pasos. Úsalo cuando hayas descargado un token nuevo de Apple Business o de Apps and Books, porque el antiguo deja de funcionar, o para renovar el Apple Push Certificate antes de tiempo. Renueva siempre el Apple Push Certificate actual: se rechaza uno distinto mientras haya dispositivos Apple inscritos, porque ya no se podría contactar con ellos.

Sincronizar con Apple Business

Cuando el token de Apple Business falta, ha caducado o está a punto de caducar, la página muestra un panel con los pasos para descargar un token de Apple Business y subirlo a Cerberus Enterprise. Para una conexión nueva, genera el certificado de clave pública en Cerberus Enterprise y, después, en Apple Business, abre Devices → Management Services, haz clic en Add en Device Management Services, elige Connect external device management y haz clic en Continue; introduce un Service Name (por ejemplo, Cerberus Enterprise), sube el certificado con Upload Certificate, haz clic en Next, luego Download Service Token y Done. Para renovar el token, selecciona el servicio Cerberus Enterprise en Management Services, haz clic en el botón … (más) de la esquina superior derecha y elige Download Token.

Los dispositivos se inscriben con Cerberus Enterprise solo cuando se asignan a su servicio en Apple Business: abre Devices → Management Services → Default Device Assignment para asignar dispositivos nuevos automáticamente (por tipo de dispositivo), o Devices → Inventory, selecciona los dispositivos y haz clic en Assign Device Management.

Sincronizar con Apple Apps and Books (VPP)

Cuando el token de Apps and Books falta, ha caducado o está a punto de caducar, la página muestra un panel con los pasos para descargar un token de contenido de Apple Business y subirlo a Cerberus Enterprise: en Apple Business, abre el menú de la organización en la esquina superior derecha (el nombre de tu organización) → Settings → Organizational Units, selecciona la unidad organizativa (la unidad predeterminada es tu organización) y haz clic en Download en la sección Content Token. El token caduca al cabo de un año, o antes si cambia la contraseña de la cuenta de Apple que lo descargó.

El último paso de la configuración de Apps and Books añade la app gratuita Cerberus Enterprise a tu biblioteca de Apple Business, para que Cerberus pueda instalarla en tus iPhones y iPads.

Sincronizar con Google Workspace

Cuando la sincronización de directorio de Google Workspace no está configurada, la página muestra un panel que explica la integración y ofrece un botón de autorización. También indica el alcance de OAuth de Google necesario: https://www.googleapis.com/auth/admin.directory.user.readonly.

Para la configuración inicial de Android, consulta Configuración de Android Management.

Multitenencia

Descripción general del multiinquilinato

La sección Multiinquilinato está disponible para las cuentas de MSP y de gestor de empresa que gestionan varias empresas de clientes desde un único inicio de sesión. Este capítulo explica el modelo de alcance de empresa, el cambio de empresa, la administración de empresas gestionadas y las subcuentas.

Para solicitar una cuenta de multiinquilinato, ponte en contacto con enterprise@cerberusapp.com.

Conceptos básicos

Cuenta principal de multiinquilinato: la cuenta de gestor principal que puede acceder al espacio de trabajo global de multiinquilinato.
Subcuenta: una cuenta de gestor delegado creada por la cuenta principal, con asignaciones de empresas seleccionables.
Contexto de empresa seleccionado: la empresa activa abierta actualmente en el panel de control para las operaciones diarias.
Delegación: permiso concedido por el propietario de una empresa que permite a una cuenta de gestor entrar en esa empresa y gestionarla.

Modelo de navegación

Cuando no hay ningún contexto de empresa seleccionado, la navegación lateral muestra áreas de multiinquilinato como Empresas y, para las cuentas principales, Subcuentas. Después de entrar en una empresa, el panel de control cambia a la navegación estándar de una sola empresa (Inicio, Usuarios, Dispositivos, Inscripción, Políticas y más).

Propiedad y delegación

Cada empresa gestionada tiene un propietario. El propietario siempre puede acceder a esa empresa. Las cuentas de gestor que no son propietarias solo pueden acceder a una empresa cuando se concede la delegación.

Cuando una empresa tiene su propio usuario administrador, ese administrador es el propietario y decide qué cuentas de gestor pueden acceder a la empresa.
Cuando una empresa no tiene su propio usuario administrador, la cuenta principal de multiinquilinato es el propietario.
En las empresas propiedad de un administrador de cliente, la cuenta principal puede conceder o revocar el acceso de sus propias subcuentas mientras su propio acceso esté concedido, pero no puede concederse acceso a sí misma.
Si el administrador de la empresa revoca el acceso de la cuenta principal, también se revoca el acceso de sus subcuentas.
Quitar una empresa de las asignaciones de una subcuenta también elimina el acceso de esa subcuenta a la empresa. Si vuelves a asignarla más adelante, se deberá conceder el acceso de nuevo.

Los administradores de empresa gestionan el acceso desde la tarjeta Acceso del gestor de empresa de la página Configuración.

El estado de propiedad y delegación se muestra directamente en las tarjetas de empresa para dejar explícito el alcance del acceso antes de entrar en una empresa.

Acciones de licencia y facturación

Las vistas de multiinquilinato muestran el estado de la licencia, los límites de dispositivos y las acciones de facturación de la empresa. Según el estado de la suscripción de la empresa y tus permisos, la tarjeta puede mostrar Gestionar la facturación o Comprar licencia.

En las empresas creadas por una cuenta de multiinquilinato, la gestión de licencias la realizan los usuarios de multiinquilinato. La cuenta principal siempre puede gestionar las licencias, mientras que las subcuentas solo pueden gestionarlas cuando la cuenta principal habilita Puede gestionar licencias para esa subcuenta.

Páginas de este capítulo

Empresas gestionadas: búsqueda, filtros, detalles de las tarjetas y creación de empresas.
Cambio de empresa: comportamiento del selector superior y transiciones de alcance.
Subcuentas: operadores delegados, asignaciones y gestión de credenciales.

Multitenencia

Empresas gestionadas

La página Empresas (Panel de control → Empresas) es el centro de control del acceso a empresas gestionadas. Enumera todas las empresas visibles para tu cuenta de multiinquilinato y te permite filtrar, inspeccionar la propiedad o delegación, entrar en el contexto de una empresa y crear nuevas empresas gestionadas (solo cuentas principales).

Búsqueda y filtros

Buscar empresa: filtra por nombre de empresa o ID de empresa.
Delegación: Todas, Delegadas o No delegadas.
Estado de la licencia: Todas, Válida, A punto de caducar, Caducada o Terminada.

Tarjetas de empresa

Cada tarjeta de empresa muestra metadatos de gestión clave:

Estado de la licencia con insignia de icono e información sobre herramientas contextual.
Dispositivos con licencia (límite de dispositivos de la empresa).
Próxima renovación programada o Fecha de caducidad, según el estado de la suscripción.
Estado de delegación (Propietario, Concedida o No concedida).
Nombre visible y nombre de usuario del propietario.

Empresas seleccionadas recientemente

Las empresas a las que has accedido recientemente se fijan en una sección Seleccionadas recientemente para acelerar los cambios de contexto repetidos.

Acciones de empresa

Entrar en la empresa: abre el contexto de la empresa seleccionada cuando la delegación o la propiedad permiten el acceso.
Gestionar la facturación: abre la gestión de la facturación de la empresa cuando está disponible y permitido.
Comprar licencia: abre el proceso de compra de la empresa cuando la facturación no está activa.

Quién puede gestionar las licencias

En las empresas creadas por una cuenta de multiinquilinato, la gestión de licencias la controlan los usuarios de multiinquilinato. La cuenta principal siempre puede gestionar las acciones de facturación y licencias de esas empresas.

Las subcuentas solo pueden gestionar acciones de facturación y licencias si la cuenta principal concede el permiso Puede gestionar licencias en la página Subcuentas.

Crear empresa gestionada

Las cuentas principales de multiinquilinato pueden desplegar Crear empresa gestionada desde el área de acciones inferior.

El nombre de la empresa es obligatorio.
Crear usuario administrador por empresa controla el modo de propiedad.
Cuando está habilitado, el nombre de usuario del administrador (formato de correo electrónico) y el nombre del administrador son obligatorios.
Antes de la creación, un diálogo de confirmación resume la operación y, cuando corresponde, advierte de que las credenciales temporales se envían por correo electrónico al nuevo usuario administrador.

El nuevo usuario administrador debe elegir una nueva contraseña la primera vez que inicie sesión con la contraseña temporal.

Modo de propiedad

Administrador por empresa habilitado: el nuevo usuario administrador es propietario de la empresa y puede delegar la gestión a tu cuenta de multiinquilinato.
Administrador por empresa deshabilitado: la empresa es propiedad directa de tu cuenta de multiinquilinato.

Cuota de empresas

Si la cuenta alcanza la cuota de empresas configurada, se bloquea la creación y el formulario muestra un mensaje de contacto con el soporte con el número actual y máximo de empresas.

Cuando se alcanza la cuota de empresas, no puedes crear más empresas gestionadas hasta que se aumente tu límite.

Multitenencia

Cambio de empresa

El selector de empresas de la barra de herramientas superior permite a los usuarios de multiinquilinato cambiar entre empresas delegadas sin cerrar sesión. Está disponible cuando se puede seleccionar al menos un contexto de empresa.

Comportamiento del selector

El desencadenante muestra el nombre de la empresa actual (o el ID de la empresa si no hay ningún nombre disponible).
El menú enumera las empresas delegadas o accesibles y marca la empresa actual como ya seleccionada.
Durante el cambio, las acciones del selector se deshabilitan temporalmente para evitar cambios de alcance simultáneos.

Salir de la empresa

El menú del selector incluye Salir de la empresa, que borra el contexto de empresa actual y te devuelve al espacio de trabajo global de multiinquilinato.

Reglas de restablecimiento del contexto

Cambiar de empresa o salir de ella restablece el alcance del panel de control. Las páginas y los datos específicos de la empresa se actualizan para el contexto recién seleccionado, y la visibilidad del menú se adapta a si hay una empresa seleccionada en ese momento.

La empresa seleccionada se aplica a todas las pestañas del navegador que tengas abiertas. Si cambias de empresa o sales de ella en una pestaña, las demás recargan el panel de control en su siguiente acción, de modo que nunca operan con una empresa distinta de la que se muestra.

Usa el selector para cambiar rápidamente el contexto operativo, pero verifica el nombre de la empresa seleccionada antes de ejecutar acciones sensibles como actualizaciones de políticas o comandos de dispositivos.

Multitenencia

Subcuentas

La página Subcuentas (Panel de control → Subcuentas) está disponible para las cuentas principales de multiinquilinato. Te permite crear usuarios gestores delegados, asignar empresas gestionadas, controlar los permisos de facturación y mantener las credenciales de las subcuentas.

Lista de subcuentas

Cada tarjeta de subcuenta muestra la identidad y los controles de gestión:

Nombre y nombre de usuario/correo electrónico.
Asignación de selección múltiple de empresas gestionadas.
Interruptor del permiso Puede gestionar licencias.
Acciones Restablecer contraseña y Eliminar.

Asignación de empresas gestionadas

Las asignaciones de empresas se editan mediante el campo de selección múltiple Empresas gestionadas. Al cerrar el selector después de realizar cambios, el panel de control solicita confirmación antes de guardar las actualizaciones.

Asignar una empresa la pone a disposición de la subcuenta, pero la subcuenta solo puede entrar en ella una vez concedido el acceso. Quitar una empresa de las asignaciones también elimina el acceso de la subcuenta a ella.

Permiso de gestión de licencias

El interruptor Puede gestionar licencias controla si una subcuenta puede acceder a las acciones de gestión de facturación y licencias de la empresa.

En las empresas creadas por la cuenta de multiinquilinato, la cuenta principal siempre tiene derechos de gestión de licencias. Las subcuentas reciben derechos de gestión de licencias solo cuando la cuenta principal habilita este interruptor.

Restablecimiento de contraseña

Restablecer contraseña genera una nueva contraseña temporal y la envía a la subcuenta por correo electrónico tras la confirmación.

Al iniciar sesión con una contraseña temporal, ya sea después de un restablecimiento o para una subcuenta recién creada, el usuario debe elegir una nueva contraseña antes de continuar.

Eliminar subcuenta

Eliminar una subcuenta requiere confirmación y elimina de forma permanente el acceso delegado de esa cuenta.

Crear subcuenta

Usa el panel de acciones inferior Crear subcuenta para añadir un nuevo gestor delegado.

Correo electrónico: obligatorio y validado con formato de correo electrónico.
Nombre: nombre visible obligatorio.
Puede gestionar licencias: permiso de facturación inicial opcional.
Antes de la creación, un diálogo de confirmación advierte de que se envía un correo electrónico con una contraseña temporal a la dirección proporcionada.

Perspectivas

Aquí tienes algunos artículos que profundizan en cómo MDM puede ayudar a tu empresa:

¿Qué es el modo kiosco? Una guía para bloquear dispositivos Android y Apple para empresas

El modo kiosco convierte teléfonos y tabletas estándar en herramientas empresariales centradas. Cerberus Enterprise ayuda a las organizaciones a bloquear los dispositivos en una sola aplicación o en un pequeño conjunto aprobado de aplicaciones para casos de uso como los TPV del comercio minorista, el registro de visitantes y la navegación de flotas, al tiempo que facilita la protección, el soporte y la gestión a escala de esos dispositivos especializados.

Cómo elegir la solución MDM adecuada: una lista de comprobación de 7 puntos para pequeñas empresas

Elegir MDM en una fase tardía del proceso de compra es más fácil cuando la comparación se mantiene práctica. Esta lista de comprobación ayuda a las pequeñas empresas a evaluar proveedores según los siete criterios que suelen ser más importantes en las implementaciones reales: seguridad, compatibilidad con Android y Apple, facilidad de uso para equipos reducidos, escalabilidad, límites de privacidad, coste total de propiedad y facilidad de soporte diario.

Crear un aula digital segura y centrada: una guía de MDM para centros de educación primaria y secundaria

Los dispositivos gestionados por el centro funcionan mejor cuando se mantienen centrados en el aprendizaje. Cerberus Enterprise ayuda a las organizaciones de educación primaria y secundaria a mantener los dispositivos de los estudiantes centrados mediante aplicaciones gestionadas, restricciones de estilo kiosco, configuraciones estandarizadas de dispositivos compartidos o prestados y acciones de recuperación remota que reducen las pérdidas, la deriva y las interrupciones en el aula.

Equipar a tus técnicos de campo: cómo MDM mejora la eficiencia y la seguridad in situ

Los técnicos de campo dependen de los dispositivos móviles para consultar horarios, notas de servicio, referencias técnicas, historial de clientes y actualizaciones de trabajos mientras trabajan in situ. Cerberus Enterprise ayuda a mantener esos dispositivos preparados mediante aplicaciones gestionadas, modelos de dispositivo estandarizados, comandos de soporte remoto y visibilidad basada en la ubicación que puede mejorar la coordinación de los despachos y reforzar la seguridad en el campo.

Más allá del mapa: usar MDM para una gestión de flotas y una seguridad de los conductores más inteligentes

Las operaciones de flota dependen de los dispositivos móviles para la navegación, el despacho, la mensajería, el registro y la ejecución sobre el terreno. Cerberus Enterprise ayuda a mantener esos dispositivos centrados en los flujos de trabajo aprobados mediante aplicaciones gestionadas, controles de kiosco y de dispositivos dedicados, políticas de comunicación segura, resolución remota de problemas y supervisión basada en la ubicación que puede reducir el tiempo de inactividad y favorecer una conducción más segura.

Cómo las geocercas, el seguimiento en directo y los mapas de ubicación mejoran las operaciones empresariales

Las funciones basadas en la ubicación de Cerberus Enterprise ayudan a las organizaciones a pasar de la simple visibilidad de los dispositivos a un control operativo más práctico. Los informes periódicos de ubicación, el seguimiento en directo, las transiciones de geocerca y los mapas interactivos pueden dar soporte a la logística, el servicio de campo, la sanidad, el comercio minorista, la construcción y otros equipos distribuidos que necesitan una mejor visión de dónde se realiza el trabajo y cuándo los dispositivos entran o salen de zonas importantes.

Cómo el multiinquilinato ayuda a los MSP a escalar los servicios MDM y crear nuevas fuentes de ingresos

El multiinquilinato permite a los MSP, revendedores y organizaciones con varias empresas gestionar múltiples empresas desde una única cuenta de Cerberus Enterprise, manteniendo cada entorno separado. Este modelo reduce la fricción operativa, mejora la escalabilidad del servicio y admite el acceso delegado mediante subcuentas y una administración explícita controlada por el cliente. También crea mejores oportunidades de negocio para los proveedores que desean combinar licencias de software con incorporación, soporte, cumplimiento y servicios de movilidad gestionada.

Mejorar la operatividad empresarial con soluciones MDM

La gestión de dispositivos móviles (MDM) centraliza el control de los dispositivos de la empresa y simplifica la inscripción, la configuración y el mantenimiento. El aprovisionamiento automatizado y las operaciones masivas reducen el trabajo manual de TI y garantizan políticas coherentes en todos los dispositivos. Las funciones de seguridad, como el cifrado, la supervisión del cumplimiento y el borrado remoto, protegen los datos corporativos. En general, MDM mejora la productividad y, al mismo tiempo, reduce los costes de soporte y la complejidad operativa.

Seguridad avanzada en la gestión de Android Enterprise

Android Enterprise utiliza un perfil de trabajo para aislar las aplicaciones y los datos corporativos del contenido personal en el mismo dispositivo. Esta contenedorización crea entornos cifrados separados gestionados de forma independiente por los administradores de TI. Las políticas de seguridad pueden controlar el uso compartido de datos corporativos sin afectar a las aplicaciones personales. La arquitectura protege los datos de la empresa incluso si las aplicaciones personales se ven comprometidas.

MDM para Apple iPhone e inscripción automatizada

El marco MDM de Apple permite la gestión centralizada de iPhones en entornos empresariales. Combinado con Apple Business Manager, los dispositivos pueden inscribirse y configurarse automáticamente al activarse por primera vez. Los administradores pueden implementar y configurar aplicaciones corporativas de forma silenciosa, aplicar configuraciones de seguridad y supervisar el cumplimiento. Esta automatización garantiza una configuración coherente de los dispositivos y reduce los errores de configuración.

Entender la gestión de dispositivos móviles

La gestión de dispositivos móviles proporciona una plataforma centralizada para supervisar, proteger y controlar los dispositivos móviles que acceden a los sistemas corporativos. Entre sus capacidades principales se incluyen aplicar políticas de seguridad, gestionar aplicaciones y bloquear o borrar de forma remota los dispositivos perdidos. MDM ayuda a proteger los datos corporativos y a mantener el cumplimiento de los dispositivos. Permite a organizaciones de cualquier tamaño gestionar de forma segura plantillas móviles en crecimiento.

Modelos de implementación de dispositivos empresariales

Las organizaciones pueden adoptar varios modelos de propiedad de dispositivos, como BYOD, CYOD, COPE, COBO y COSU. Cada modelo equilibra de forma diferente el coste, la flexibilidad del usuario y el control de seguridad. BYOD prioriza la comodidad del usuario, mientras que COBO y COSU maximizan el control corporativo y la seguridad. Elegir el modelo correcto depende de los requisitos normativos, las necesidades de la plantilla y la capacidad de gestión de TI.

MDM frente a EMM frente a UEM

MDM se centra en gestionar y proteger los dispositivos móviles mediante la aplicación de políticas, el control de la configuración y la gestión remota. EMM amplía este alcance para incluir la gestión de aplicaciones y contenido, mientras que UEM intenta gestionar todos los endpoints, incluidos portátiles y equipos de escritorio. Para muchas pymes, las suites completas de EMM o UEM añaden una complejidad innecesaria. En la práctica, las sólidas capacidades de MDM suelen satisfacer la mayoría de los requisitos de gestión móvil.

MDM en teléfonos personales y privacidad de los empleados

Los sistemas MDM modernos utilizan la contenedorización para separar los datos de trabajo y los personales en los dispositivos propiedad de los empleados. Los empleadores solo pueden gestionar y supervisar el entorno de trabajo, incluidas las aplicaciones corporativas y la información de cumplimiento del dispositivo. Los datos personales, como fotos, mensajes e historial de navegación, siguen siendo inaccesibles para la empresa. Esta separación técnica permite programas BYOD seguros y preserva la privacidad de los empleados.

ROI de MDM y valor empresarial

MDM debe evaluarse como una inversión estratégica y no como un simple gasto de seguridad. Genera rendimientos financieros mediante la reducción de la pérdida de dispositivos, la disminución de los costes de soporte de TI y la mejora de la eficiencia operativa. La gestión automatizada también aumenta la productividad de los empleados y reduce el tiempo de inactividad. Además, una seguridad más sólida reduce el riesgo y el impacto financiero de las filtraciones de datos.

Gestión de dispositivos conforme a HIPAA

Las organizaciones sanitarias deben proteger los datos electrónicos de los pacientes de acuerdo con los requisitos de seguridad de HIPAA. MDM ayuda a aplicar el cifrado, los controles de autenticación, la transmisión segura de datos y los registros de auditoría detallados. También permite el borrado remoto y la aplicación centralizada de políticas en los dispositivos que acceden a los sistemas médicos. Estos controles reducen los riesgos de cumplimiento y permiten flujos de trabajo móviles en entornos sanitarios.

MDM para las operaciones y la seguridad del comercio minorista

Las organizaciones minoristas dependen de los dispositivos móviles para los sistemas de TPV, la gestión de inventario y las operaciones en tienda. MDM garantiza que estos dispositivos se mantengan seguros, actualizados y conformes con estándares como PCI-DSS. La gestión centralizada reduce el tiempo de inactividad y simplifica la implementación de dispositivos en varias ubicaciones. El resultado es una mayor eficiencia operativa y un menor riesgo de incidentes de seguridad relacionados con los pagos.