Manual do Usuário

Documentação do Cerberus Enterprise MDM

Introdução

O Cerberus Enterprise é uma solução EMM completa, projetada para ajudar você a proteger e gerenciar seus dispositivos Android e Apple. Ele tem todos os recursos certos para o gerenciamento eficaz de dispositivos BYOD e de propriedade da empresa em um painel limpo e fácil de usar, e você pode começar em minutos.

Para usar o Cerberus Enterprise de forma eficaz, você precisa entender alguns conceitos-chave sobre como o sistema funciona.

O sistema oferece suporte ao gerenciamento de dispositivos Android e Apple:

No Android, o Cerberus Enterprise usa a Android Management API oficial do Google para gerenciar dispositivos por meio do app Android Device Policy (ADP). A maioria das configurações é aplicada diretamente pelo ADP. Alguns recursos opcionais também podem exigir o app complementar Cerberus Enterprise, que amplia o que é possível além do ADP sozinho.

Em dispositivos Apple (iPhone, iPad e Mac), o Cerberus Enterprise gerencia dispositivos por meio do Apple MDM (Mobile Device Management). O gerenciamento da Apple exige um certificado APNs e pode, opcionalmente, se integrar ao Apple Business para registro automatizado e licenciamento de apps. Em iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, o Cerberus também instala o app complementar Cerberus Enterprise, que compartilha a localização do dispositivo e recebe notificações.

Cada dispositivo pode ser registrado no sistema usando um Token de registro ou um Perfil de registro (registro manual da Apple). O método de registro é associado a uma Política que contém as regras que devem ser aplicadas aos dispositivos.

Os administradores de TI podem alterar a política associada a um dispositivo após o registro. No entanto, cada dispositivo pode ser associado a apenas uma política por vez.

Durante o processo de registro (provisionamento), os componentes de gerenciamento necessários são instalados e configurados automaticamente. No Android, isso normalmente inclui o app Android Device Policy (e, dependendo da sua configuração, o app complementar Cerberus Enterprise). Em dispositivos Apple, o gerenciamento é aplicado via MDM após o registro do dispositivo, e iPhones e iPads passam a ter o app complementar Cerberus Enterprise (isso exige o app gratuito na sua biblioteca do Apple Business e um token do Apps and Books). Consequentemente, a política correspondente é aplicada automaticamente ao dispositivo, e todas as regras associadas são aplicadas pelo sistema de gerenciamento da plataforma.

Uma política pode ser aplicada a muitos dispositivos. Nesse caso, quando você modificar a política, todos os dispositivos associados receberão as alterações.

 

Configuração

Configuração

Configuração do Android Management

Para gerenciar dispositivos Android com o Cerberus Enterprise, você primeiro precisa conectar sua organização ao Google Android Enterprise.

O processo de configuração geralmente leva alguns minutos e requer um endereço de e-mail corporativo (por exemplo, name@enterprise.com) ou, alternativamente, um endereço de e-mail pessoal do Google.

O que acontece durante a configuração

Informações importantes

Recomendamos se inscrever com um endereço de e-mail corporativo, não com uma conta pessoal do Gmail. Se o endereço de e-mail já estiver associado a uma conta do Google Admin, essa conta existente será reutilizada e vinculada ao Cerberus Enterprise; caso contrário, uma nova conta gratuita do Google Admin será criada. Uma conta do Google Admin desbloqueia o conjunto completo de recursos — por exemplo, registrar dispositivos usando a autenticação do Google com contas gerenciadas pelo seu domínio do Google Admin.

Não tem um endereço de e-mail corporativo?

Você ainda pode se inscrever com um endereço de e-mail pessoal do Google (por exemplo, uma conta do Gmail). Nesse caso, o Google cria uma conta gratuita do Managed Google Play vinculada ao Cerberus Enterprise.

Próximas etapas

Depois de concluir a configuração, crie um Token de registro e escolha o método de provisionamento apropriado para o dispositivo.

Configuração

Configuração do Apple Management (APNs)

Para gerenciar dispositivos Apple, o Cerberus Enterprise requer o certificado do Apple Push Notification service (APNs).

Use o Apple ID associado à sua organização. O certificado APNs é válido por um ano e deve ser renovado anualmente para continuar gerenciando dispositivos.

Etapa 1: Baixar o arquivo CSR

No painel, inicie a configuração do Apple Management e baixe o arquivo de Solicitação de Assinatura de Certificado (CSR) assinado pelo fornecedor gerado pelo Cerberus Enterprise.

Etapa 2: Criar o Push Certificate no portal da Apple

Link do portal: https://identity.apple.com/

Etapa 3: Fazer upload do Push Certificate

Faça upload do Push Certificate que você baixou da Apple de volta ao Cerberus Enterprise para concluir a configuração.

Se o certificado APNs expirar, o gerenciamento de dispositivos Apple para de funcionar até o certificado ser renovado.

A partir de 30 dias antes do vencimento, o painel mostra um banner com a ação Como renovar. Sempre renove o certificado existente no Apple Push Certificates Portal com o mesmo Apple ID: um novo certificado tem um tópico diferente, e os dispositivos já registrados precisariam ser registrados novamente.

Próximas etapas

Depois que o APNs estiver configurado, você pode prosseguir com o registro de dispositivos Apple. Continue com Visão geral do provisionamento da Apple.

Visão geral do provisionamento de dispositivos

O Cerberus Enterprise oferece suporte ao gerenciamento de dispositivos para as plataformas Android e Apple. Você pode configurar cada plataforma de forma independente, dependendo dos dispositivos que precisa registrar.

1. Conclua a configuração da plataforma no painel

Antes de registrar dispositivos, conclua a configuração da plataforma no painel do Cerberus Enterprise. Se sua conta ainda não estiver configurada, o painel orientará você pelas etapas necessárias.

Configuração do Android (Google Android Enterprise)

Para o procedimento completo de configuração do Android, leia Configuração do Android Management.

Configuração da Apple (certificado push APNs)

Para o procedimento completo de configuração da Apple, leia Configuração do Apple Management (APNs).

2. Registre dispositivos

Depois de concluir a configuração da plataforma, escolha o método de registro que corresponda ao modelo de propriedade dos seus dispositivos e ao sistema operacional.

Registro do Android

Para o Android, o registro é conduzido por Tokens de registro. Selecione o método adequado dependendo se o dispositivo é de propriedade pessoal ou da empresa.

Registro da Apple

Provisionamento de Dispositivos - Android

Provisionamento de Dispositivos - Android

Dispositivos compatíveis

Em geral, qualquer dispositivo com Android 6 ou superior e Google Play Services é compatível com o Cerberus Enterprise.

Para uma melhor experiência do usuário, sugerimos usar dispositivos que atendam aos requisitos do Android Enterprise Recommended.

Alguns recursos são limitados a versões específicas do Android ou podem se comportar de forma diferente entre versões do sistema operacional. Para obter mais informações sobre um recurso específico, consulte a seção Políticas da documentação.

O Cerberus Enterprise oferece suporte a dispositivos da empresa e de propriedade pessoal, além de dois modos de gerenciamento: proprietário do dispositivo e proprietário do perfil.

Dispositivos de propriedade pessoal podem ser gerenciados por meio de um perfil de trabalho. Isso possibilita uma solução BYOD ao manter os dados e apps de trabalho dos funcionários separados dos dados e apps pessoais, melhorando a segurança e a privacidade. Esta opção é adequada para dispositivos já pertencentes aos funcionários que você deseja registrar na sua organização para uso profissional.

Dispositivos da empresa também podem ser gerenciados por meio de um perfil de trabalho, mas você também pode escolher a opção totalmente gerenciado, que permite um controle mais rigoroso sobre o dispositivo. Dispositivos da empresa com perfil de trabalho são adequados quando você fornece dispositivos corporativos aos funcionários para uso profissional, permitindo ainda o uso pessoal. Dispositivos totalmente gerenciados são mais adequados para dispositivos que devem ser usados apenas para trabalho ou para dispositivos dedicados (COSU, corporate-owned single-use), como quiosques.

Para obter mais informações sobre o provisionamento de dispositivos, consulte a página Visão geral do provisionamento de dispositivos.


Provisionamento de Dispositivos - Android

Tokens de registro

O Cerberus Enterprise usa tokens de registro para iniciar o processo de registro (provisionamento) de dispositivos Android. O token selecionado define a política inicial aplicada aos dispositivos registrados e influencia quais modos de provisionamento são permitidos.

A aba de tokens de registro do Android só fica disponível após concluir Configuração do Android Management.

Onde encontrar tokens de registro

No painel, abra Tokens de registro. Dependendo da configuração da sua conta, a página pode mostrar várias abas (tokens do Android, registro com login do Google, registro manual da Apple e Registro Automatizado de Dispositivos da Apple).

Se o seu ambiente corporativo Android for respaldado por um domínio Google gerenciado (Google Workspace), o painel também pode mostrar uma aba Autenticar usando o Google Enrollment. Para detalhes sobre como habilitá-la e usá-la, consulte Autenticar usando o Google Enrollment.

Lista de tokens de registro (Android)

A aba de tokens do Android mostra uma tabela com todos os tokens. Clicar em uma linha abre a página de detalhes do token.

Colunas

Ações

Criar um novo token de registro

Na aba de tokens do Android, clique em Novo token de registro para abrir a página de criação de token. Se sua licença estiver expirada, o botão de criação fica desabilitado.

Opções do token

1. Política

Obrigatório. A política aplicada automaticamente a todos os dispositivos registrados com este token. Selecione uma das suas políticas do Android. Se você ainda não tiver nenhuma política, crie uma primeiro.

2. Usuário

Opcional. Se definido, os dispositivos recém-registrados são associados automaticamente a este usuário.

3. Uso pessoal

Controla se o uso pessoal é permitido em um dispositivo provisionado com este token de registro:

4. Usos permitidos

Selecione se o token pode ser usado várias vezes (Várias vezes) ou apenas uma vez (Apenas uma vez).

5. Expiração

Selecione a unidade de expiração (Minutos, Horas, Dias ou Nunca). Quando não definida como Nunca, informe o valor de expiração. O intervalo permitido depende da unidade selecionada e pode chegar a 10.000 dias.

6. Autenticação do Google

Controla se o usuário deve se autenticar com uma conta Google durante o registro do dispositivo:

Quando Obrigatório está selecionado, um campo opcional E-mail da conta obrigatória aparece. Se definido, o usuário deve se autenticar com essa conta Google específica durante o registro.

Opções de provisionamento (somente código QR)

Essas opções adicionais são incorporadas ao código QR e aplicadas durante o provisionamento de dispositivos totalmente gerenciados registrados pela leitura do código QR. Elas não se aplicam a perfis de trabalho nem a dispositivos registrados usando a URL de registro ou o Token.

Configuração de Wi‑Fi

Use isto para permitir que um dispositivo se conecte automaticamente ao Wi‑Fi durante o provisionamento, para que ele possa baixar e inicializar o app de gerenciamento. Os campos disponíveis incluem SSID, SSID oculto, Segurança e (quando necessário) Frase secreta.

Você também pode configurar um proxy HTTP (Proxy) e, dependendo do modo, definir Host/Porta, URI PAC e Host de exceção do proxy.

Outras opções

As opções adicionais incluem Idioma, Fuso horário e Ignorar criptografia.

Detalhes do token de registro

Ao abrir um token, a página de detalhes mostra a configuração do token e as informações de uso:

Para procedimentos de provisionamento passo a passo, siga os guias de registro do Android: Dispositivos de propriedade pessoal, Dispositivos da empresa para uso profissional e pessoal, Dispositivos da empresa somente para uso profissional e Zero-touch.

Provisionamento de Dispositivos - Android

Dispositivos de propriedade pessoal

Dispositivos de propriedade dos funcionários podem ser configurados com um perfil de trabalho. Um perfil de trabalho oferece um espaço independente para apps e dados de trabalho, separado dos apps e dados pessoais. A maioria das políticas de apps, dados e outras políticas de gerenciamento se aplica apenas ao perfil de trabalho, enquanto os apps e dados pessoais dos funcionários permanecem privados.
Para configurar um perfil de trabalho em um dispositivo de propriedade pessoal, use um dos seguintes métodos de provisionamento (verifique se o token de registro tem Uso pessoal definido como Permitido):

Link do token de registro

Versão do Android
6.0+
Você pode fornecer a URL de registro aos usuários finais. Quando um usuário final abre o link no dispositivo, ele é guiado pela configuração do perfil de trabalho.

Adicionar perfil de trabalho em "Configurações"

Versão do Android
6.0+
Para configurar um perfil de trabalho no dispositivo, o usuário pode abrir o app Configurações e usar a barra de pesquisa para encontrar e tocar na opção Configurar seu perfil de trabalho.

Se a pesquisa não funcionar, o local desta opção pode variar. Aqui estão algumas possibilidades:

Estas etapas iniciam um assistente de configuração que baixa o Android Device Policy no dispositivo. Em seguida, o usuário será solicitado a escanear um código QR ou inserir manualmente um token de registro para concluir a configuração do perfil de trabalho.

Baixar o Android Device Policy

Versão do Android
6.0+
Para configurar um perfil de trabalho no dispositivo, o usuário pode baixar o Android Device Policy na Google Play Store. Depois que o app for instalado, o usuário será solicitado a escanear um código QR ou inserir manualmente um token de registro para concluir a configuração do perfil de trabalho.

iPhones e iPads pessoais

iPhones e iPads pessoais (e Macs) são registrados com o User Enrollment da Apple: o usuário entra com sua Conta Apple Gerenciada nos ajustes do dispositivo, e apenas os apps, contas e dados de trabalho são gerenciados. Em iPhones e iPads, os apps da App Store da política e o app Cerberus Enterprise são instalados com uma licença de usuário dessa conta. A localização de dispositivos pessoais é coletada somente se a política deles ativar Localização e geocercas em dispositivos pessoais e o usuário permitir. Leia Registro orientado pela conta Apple.

Provisionamento de Dispositivos - Android

Dispositivos da empresa para uso profissional e pessoal

Configurar um dispositivo da empresa com um perfil de trabalho permite usar o dispositivo tanto para fins profissionais quanto pessoais. Em dispositivos da empresa com perfis de trabalho:
Para configurar um dispositivo da empresa com um perfil de trabalho, use um dos seguintes métodos de provisionamento (verifique se o token de registro tem Uso pessoal definido como Permitido):

Método de código QR

Versão do Android
8.0+
Em um dispositivo novo ou redefinido de fábrica, o usuário (normalmente um administrador de TI) toca a tela seis vezes no mesmo ponto. Isso faz com que o dispositivo solicite ao usuário que escaneie um código QR.
Provisionamento de Dispositivos - Android

Dispositivos da empresa somente para uso profissional

Gerenciamento completo do dispositivo é adequado para dispositivos da empresa destinados exclusivamente a fins profissionais. As empresas podem gerenciar todos os apps do dispositivo e aplicar toda a gama de políticas e comandos da API Android Management.
Também é possível bloquear um dispositivo (por meio de política) em um único app ou em um pequeno conjunto de apps para atender a uma finalidade ou caso de uso específico. Esse subconjunto de dispositivos totalmente gerenciados é chamado de dispositivos dedicados.
Para configurar o gerenciamento completo em um dispositivo da empresa, use um dos seguintes métodos de provisionamento (verifique se o token de registro tem Uso pessoal definido como Não permitido):

Método de código QR

Versão do Android
7.0+
Em um dispositivo novo ou redefinido de fábrica, o usuário (normalmente um administrador de TI) toca a tela seis vezes no mesmo ponto. Isso faz com que o dispositivo solicite ao usuário que escaneie um código QR.

Método do identificador DPC

Versão do Android
5.1+
Se o Android Device Policy não puder ser adicionado por código QR, um usuário ou administrador de TI pode seguir estas etapas para provisionar um dispositivo totalmente gerenciado ou dedicado:

1. Siga o assistente de configuração em um dispositivo novo ou redefinido de fábrica.
2. Insira os dados de login do Wi-Fi para conectar o dispositivo à internet.
3. Quando solicitado a entrar, insira afw#setup, o que baixa o Android Device Policy.
4. Escaneie um código QR ou insira manualmente um token de registro para provisionar o dispositivo.
Provisionamento de Dispositivos - Android

Zero-touch

Os administradores de TI podem provisionar dispositivos da empresa usando o método de registro Zero-touch, descrito em Registro Zero-touch para administradores de TI. Quando um dispositivo é ligado pela primeira vez, ele é automaticamente forçado a usar as configurações definidas pelo administrador de TI.

Os administradores de TI podem pré-configurar dispositivos comprados de revendedores autorizados e gerenciá-los usando o painel do Cerberus Enterprise. Para vincular sua conta Zero-touch, vá para a seção Zero-touch no painel e siga as instruções.

Versão do AndroidPerfil de trabalhoDispositivo totalmente gerenciadoDispositivo dedicado
8.0+ (Pixel 7.1+)✓✓✓
Provisionamento de Dispositivos - Android

Autenticação do Google no registro

A autenticação do Google no registro (também chamada de Autenticação do Google para Registro) permite que os usuários se autentiquem com a conta do Google Workspace durante o registro de dispositivos Android.

Este recurso está disponível apenas para ambientes corporativos Android respaldados por um domínio Google gerenciado (Google Workspace).

Onde encontrá-lo

No painel, abra Tokens de registro e selecione a aba Autenticar usando o Google Enrollment. A aba só é exibida quando o Android Management está configurado e a integração com o Google Workspace está disponível para sua empresa.

Ativar (ou desativar) a autenticação do Google

A autenticação do Google é ativada no Console do Google Admin. Depois de alterar a configuração, volte ao Cerberus Enterprise e use Atualizar status para recarregar a configuração atual.

  1. Entre no seu Console do Google Admin com uma conta de administrador.
  2. Abra Dispositivos.
  3. Vá para Dispositivos móveis & endpoints → Configurações → Integrações de terceiros.
  4. Localize a integração Android EMM do Cerberus Enterprise e abra-a.
  5. Clique em Gerenciar provedores EMM.
  6. Ative ou desative Autenticar usando o Google para habilitar ou desabilitar a autenticação do Google no registro.
  7. Clique em Salvar.
  8. Volte ao painel do Cerberus Enterprise e clique em Atualizar status na aba Autenticar usando o Google Enrollment.

Token de registro para autenticação do Google

Quando a autenticação do Google está habilitada, o painel mostra um token de registro dedicado usado para esse modo de registro. A página pode mostrar um código QR, um valor de Token de registro e uma URL de registro (copiável e enviável por e-mail).

Opções principais

Interação com políticas

A configuração de política Autenticação de configuração da conta corporativa (workAccountSetupConfig.authenticationType) controla como os usuários se autenticam durante a configuração da conta corporativa, mas a configuração Autenticar usando o Google do Console do Google Admin e o tipo de token de registro ainda podem exigir autenticação.

Para dispositivos já registrados, esta política se aplica apenas se o dispositivo for gerenciado por uma conta gerenciada do Google Play (ou seja, registrado sem Autenticar usando o Google Enrollment).

Algumas ações (por exemplo, alterar as opções do token) podem ficar desabilitadas quando a licença está expirada.

Registrar um dispositivo

Durante o registro, o usuário é solicitado a se autenticar com a conta do Google Workspace. Após um registro bem-sucedido, o dispositivo é associado ao usuário autenticado.

Perfil de trabalho (dispositivos de propriedade pessoal)

Dispositivos da empresa

Para procedimentos gerais de provisionamento do Android (perfil de trabalho versus totalmente gerenciado), consulte as páginas padrão de registro do Android neste manual.

Provisionamento de Dispositivos - Apple

Provisionamento de Dispositivos - Apple

Visão geral do provisionamento da Apple

O Cerberus Enterprise oferece suporte ao registro e ao gerenciamento de iPhones, iPads e Macs. O provisionamento da Apple exige um certificado APNs e pode ser realizado usando diferentes métodos de registro.

Pré-requisito: configurar o Apple Management (APNs)

Antes de registrar qualquer dispositivo Apple, conclua Configuração do Apple Management (APNs).

Escolha um método de registro

Registro manual (Perfil de registro)

Registro Automatizado de Dispositivos (ADE)

Registro baseado na conta (entrar com uma conta corporativa)

Em iPhones e iPads pessoais registrados com o Registro de Usuário, os apps da App Store da política são instalados com uma licença de usuário da conta Apple Gerenciada, que a Cerberus atribui automaticamente; o usuário é solicitado a instalar cada app. As contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Leia Apps em dispositivos pessoais.

App Cerberus Enterprise no iPhone e iPad

Após o registro, o Cerberus instala o app Cerberus Enterprise em iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem uma política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo; em dispositivos pessoais (User Enrollment), ele recebe mensagens e compartilha a localização somente se a política ativar Localização e geocercas em dispositivos pessoais e o usuário permitir. Ele precisa de uma etapa única: adicione o app gratuito à sua biblioteca do Apple Business (Apps & Books → App Store, procure por "Cerberus Enterprise", Adicionar para todas as unidades organizacionais atuais e futuras). Dispositivos supervisionados o instalam silenciosamente; em outros dispositivos, o usuário é solicitado a instalá-lo. Se o usuário já o instalou da App Store, o dispositivo pede para permitir que sua organização gerencie o app, e o app mantém seus dados e permissões. Se o usuário recusar, use Tentar novamente na página do dispositivo. O usuário não pode excluir o app, e ele permanece instalado se o token do Apps and Books expirar. Macs não recebem o app.

Você pode usar o registro manual e o ADE em paralelo, dependendo do seu parque de dispositivos e do processo de compra.

Provisionamento de Dispositivos - Apple

Registro manual da Apple (Perfil de Registro)

O Cerberus Enterprise é compatível com o registro manual de dispositivos Apple usando um QR code, uma URL de registro ou um arquivo de perfil de registro.

O registro manual fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs).

Tokens de registro

Um token de registro tem a própria URL de registro e o próprio QR code, e atribui estas configurações aos dispositivos que se registram com ele:

Para criar um token, abra a seção Registro no painel, selecione a aba Registro manual da Apple (Perfil de Registro) e clique em Novo token de registro. Defina o nome e as configurações e clique em Criar token: a página do token mostra a URL de registro, o QR code e o botão Baixar perfil de registro.

A tabela de tokens mostra, para cada token, seu Status (Ativo, Expirado ou Esgotado), a Expiração, os Registros realizados em relação aos permitidos e o Último uso, a última vez que um dispositivo se registrou com ele. Em seguida vêm a Política, o Usuário (passe o mouse sobre ele para ver o e-mail), a Propriedade e a data de Criação (passe o mouse sobre ela para ver quem criou o token). Os tokens mais recentes aparecem primeiro, e você pode classificar por qualquer coluna. Classifique por Último uso para encontrar tokens ativos que ninguém mais usa e exclua-os para que a URL de registro deles pare de funcionar. Uma política ou um usuário excluído após o token ser salvo é exibido como Política excluída ou Usuário excluído com um ícone de aviso: edite o token para escolher outro.

As alterações em um token se aplicam aos próximos registros: dispositivos já registrados mantêm a política e o usuário deles. Quando um token é excluído, expira ou atinge os registros permitidos, a URL de registro dele para de funcionar.

Registro sem um token

O painel Registro sem um token da mesma aba tem a URL de registro da sua organização. Dispositivos registrados com ela não recebem política nem usuário: atribua-os na página do dispositivo.

A política e o usuário de um dispositivo dependem de como ele se registra: a política e o usuário do token com um token de registro; a política do perfil ADE com o Automated Device Enrollment, mantendo o usuário atribuído na página do dispositivo; nenhuma política e nenhum usuário com a URL de registro, o QR code ou o perfil sem um token (mesmo que o dispositivo tenha um perfil ADE). Um dispositivo que se registra novamente não mantém a política e o usuário do registro anterior: a página do dispositivo os mostra apenas se o novo registro os atribuir. Somente um dispositivo apagado com Return to Service se registra novamente com a política e o usuário atuais.

Obter a URL de registro e o perfil

Como registrar um iPhone ou iPad

iOS/iPadOS 15.0+

Primeiro, baixe o perfil de registro no dispositivo usando um dos seguintes métodos:

Método 1: código QR

Abra o app Câmera no dispositivo e aponte-o para o código QR exibido ao lado da URL de registro, depois toque no link que aparece. O Safari abre a URL de registro e pede permissão para baixar um perfil de configuração: toque em Permitir.

Método 2: URL de registro

Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no dispositivo, depois toque em Permitir para baixar o perfil de configuração.

Método 3: arquivo de perfil de registro

Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao dispositivo, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no dispositivo.

Em seguida, conclua o registro no dispositivo:

  1. No dispositivo, abra Configurações → Perfil baixado → Instalar e siga as instruções.
  2. Após o registro, você pode verificar o status em Configurações → Geral → VPN & Gerenciamento de Dispositivos (ou Perfis & Gerenciamento de Dispositivos).

Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Em um dispositivo registrado manualmente (não supervisionado), o usuário é solicitado a instalá-lo ou a permitir que sua organização o gerencie caso ele já tenha sido instalado pela App Store. Se o usuário recusar, use Tentar novamente na página do dispositivo. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta).

No iPhone e no iPad, um perfil baixado que não for instalado em 8 minutos é removido pelo dispositivo. Nesse caso, baixe-o novamente.

Como registrar um Mac

macOS 13.0+

O código QR funciona somente no iPhone e no iPad. Baixe o perfil de registro no Mac usando um dos seguintes métodos:

Método 1: URL de registro

Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no Mac; depois, permita o download se for solicitado. Se o perfil não abrir sozinho, abra o arquivo enroll.mobileconfig baixado.

Método 2: Arquivo de perfil de registro

Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao Mac, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no Mac.

Abrir o perfil apenas o adiciona aos perfis baixados. Depois, conclua o registro no Mac, conectado como o usuário principal dele:

  1. Abra Ajustes do Sistema → Geral → Gerenciamento de Dispositivos (no macOS 13 e 14: Privacidade e Segurança → Perfis). Na seção Baixados, clique duas vezes em Perfil de Registro, clique em Registrar (ou Instalar) e siga as instruções. Insira o nome e a senha de um administrador do Mac se for solicitado.
  2. Após o registro, Perfil de Registro é listado no mesmo lugar. No Terminal, profiles status -type enrollment mostra Registro MDM: Sim (Aprovado pelo usuário).

Macs registrados manualmente são supervisionados, e o usuário que instala o perfil é mostrado no painel Usuários do Mac da página do dispositivo. Macs não recebem o app Cerberus Enterprise. Se o perfil não estiver mais na seção Baixados, baixe-o novamente.

Instale apenas perfis de registro obtidos do seu painel do Cerberus Enterprise.

Provisionamento de Dispositivos - Apple

Apple Automated Device Enrollment (ADE)

O Automated Device Enrollment (ADE) se integra ao Apple Business (antigo Apple Business Manager) para registrar automaticamente iPhones, iPads e Macs de propriedade da empresa quando são ligados pela primeira vez (ou após uma redefinição de fábrica).

O ADE requer que o Apple Management (APNs) seja configurado primeiro. Se necessário, leia Configuração do Apple Management (APNs).

Como registrar dispositivos automaticamente

  1. Adicione dispositivos à sua conta do Apple Business e atribua-os ao serviço de gerenciamento de dispositivos Cerberus Enterprise: no Apple Business, abra Dispositivos → Inventário, selecione os dispositivos e clique em Atribuir gerenciamento de dispositivos, ou atribua novos dispositivos automaticamente em Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão. Consulte Gerenciar fornecedores de dispositivos e Adicionar dispositivos usando o Apple Configurator.
  2. Depois de adicionar novos dispositivos à sua conta do Apple Business, sincronize-os no Cerberus Enterprise na seção Dispositivos usando a ação Sincronizar do Apple Business. Os dispositivos sincronizados só usam uma licença quando são registrados.
  3. Crie um perfil ADE no painel em Registro → Apple Automated Device Enrollment (ADE) → Novo perfil ADE.
  4. Atribua um perfil ADE a um dispositivo na página de detalhes do dispositivo usando o campo Perfil ADE.

Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Dispositivos registrados com ADE são supervisionados, então o app é instalado sem perguntar ao usuário; a configuração não espera por ele. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta). Macs não recebem o app.

Configurações do perfil ADE (visão geral)

Um perfil ADE controla como o dispositivo é registrado e como o Assistente de Configuração se comporta. No Cerberus Enterprise, um perfil ADE inclui um nome, uma política inicial opcional, opções de registro, os painéis do Assistente de Configuração a ignorar, contatos de suporte e certificados confiáveis.

Nome do perfil

Um nome legível para o perfil (por exemplo, Perfil ADE padrão).

Política

A política aplicada aos dispositivos quando eles se registram com o Automated Device Enrollment (Assistente de Configuração). Dispositivos do perfil registrados com a URL de registro ou o QR code recebem a política do token de registro deles; sem um token, nenhuma política. Alterar apenas a política mantém o perfil como está.

Opções de registro

Assistente de Configuração

Lista de perfis ADE

A lista mostra o nome de cada perfil, sua política, seus dispositivos e seu Id, o identificador que a Apple fornece ao perfil. Um cadeado após o nome indica um perfil obrigatório cujo gerenciamento os usuários não podem remover. Sem política ou Política excluída avisa que os dispositivos registrados com o perfil não recebem política inicial.

A coluna Dispositivos conta os dispositivos registrados do perfil e, ao lado deles, os dispositivos aguardando: atribuídos ao perfil no Apple Business, mas ainda não registrados. Os dispositivos removidos não são contados.

Alterar um perfil

A Apple não permite alterar um perfil ADE. Quando você altera um (exceto apenas a política), o Cerberus Enterprise define um novo perfil com o mesmo nome e o atribui aos dispositivos do antigo; o perfil antigo deixa de ser listado quando nenhum dispositivo o usa. Dispositivos que já concluíram o Assistente de Configuração usam o novo perfil na próxima vez que forem apagados.

Um perfil que nenhum dispositivo usa, registrado ou aguardando, pode ser excluído da lista de perfis ADE. A Apple não permite excluir um perfil, então ele permanece no Apple Business, sem uso.

Depois que um dispositivo tem um perfil ADE atribuído, ele está pronto para ser registrado automaticamente.

Provisionamento de Dispositivos - Apple

Registro orientado por conta da Apple

Com o registro orientado por conta, os usuários registram o iPhone, iPad ou Mac entrando com a conta de trabalho (uma Managed Apple Account, por exemplo name@company.com) nas configurações do dispositivo. Nenhum perfil para baixar e nenhum QR code: o Cerberus Enterprise encontra o usuário, aplica a política e define a propriedade sozinho.

Dois modos

Você escolhe o modo para iPhone e iPad e, separadamente, para Mac: por exemplo, User Enrollment para iPhones pessoais e Device Enrollment para Macs. Você pode alterar a propriedade de um dispositivo mais tarde na página do dispositivo.

O registro orientado por conta fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs).

Configurar o Apple Business

Os usuários entram com Managed Apple Accounts, que são criadas no Apple Business. Antes de começar:

  1. Verifique seu domínio (por exemplo company.com) no Apple Business, nos domínios da sua organização.
  2. Crie as Managed Apple Accounts dos seus usuários, ou conecte o Apple Business ao Google Workspace ou ao Microsoft Entra ID: assim, a conta de cada usuário é o endereço de e-mail corporativo dele e ele entra com a senha dela.
  3. Para o User Enrollment, verifique nas configurações de gerenciamento de acesso se as Managed Apple Accounts podem entrar em dispositivos pessoais: quando elas só podem entrar em dispositivos supervisionados, o User Enrollment falha.
  4. Apenas para a opção Apple Business abaixo: abra Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão (Editar) e escolha o serviço de gerenciamento de dispositivos Cerberus Enterprise para iPhone, iPad e Mac.

Mantenha o serviço de gerenciamento de dispositivos Cerberus Enterprise e o token dele no Apple Business enquanto os dispositivos estiverem registrados com Managed Apple Accounts: removê-los pode impedir que as contas funcionem nos dispositivos.

Configurar o Cerberus Enterprise

Abra a seção Registro do painel e selecione a aba Entrada com conta Apple. Uma lista de verificação na parte superior mostra o que ainda falta. Somente administradores podem alterar as configurações.

A conta digitada no dispositivo é correspondida com o campo Managed Apple Account dos usuários e, depois, com o endereço de e-mail deles. O código é sempre enviado ao endereço de e-mail do usuário. Uma Managed Apple Account definida em um usuário pode se registrar mesmo quando o domínio dela não está verificado no Cerberus, por exemplo uma conta do domínio reservado org.appleid.com do Apple Business. Com a descoberta de serviço do Apple Business, os usuários sempre digitam a Managed Apple Account.

Verificar os domínios

Depois de salvar as configurações, a seção Verificação de domínio mostra um registro TXT para cada domínio. Adicione-o ao DNS do domínio e clique em Verificar. As alterações de DNS podem levar algum tempo para ficarem visíveis. Um domínio verificado permanece verificado: você pode remover o registro depois. Usuários de um domínio que não foi verificado não podem se registrar.

Descoberta de serviço: como os dispositivos encontram o Cerberus Enterprise

Quando um usuário entra, o dispositivo pergunta ao domínio da conta (por exemplo https://company.com) qual servidor o gerencia. Configure pelo menos uma destas três opções. A seção Descoberta de serviço da aba mostra a URL de descoberta da sua organização e o texto exato para copiar em cada opção.

Opção 1: Apple Business (recomendado)

Clique em Registrar no Apple Business: o Cerberus Enterprise armazena a URL de descoberta dele na sua organização do Apple Business e nada precisa ser publicado nos seus domínios. Verificar no Apple Business mostra a URL que o Apple Business tem agora, e Remover do Apple Business a remove.

O Apple Business mantém uma URL de descoberta por organização: registrá-la envia todas as Managed Apple Accounts da organização para esta organização do Cerberus Enterprise. Não a registre a partir de duas organizações do Cerberus Enterprise que usam a mesma organização do Apple Business.

Opção 2: Redirecionar do seu site

No servidor web de cada domínio, redirecione /.well-known/com.apple.remotemanagement para a URL de descoberta da sua organização, mantendo a string de consulta (ela carrega a conta digitada pelo usuário). Isso funciona com todas as versões de SO compatíveis com o registro orientado por conta, e o modo pode ser diferente para iPhone e Mac. Copie o texto para Apache ou nginx da aba; ele se parece com isto, com a chave da sua organização:

Apache (.htaccess ou host virtual):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

Em outros servidores ou serviços web (IIS, Cloudflare, painéis de controle de hospedagem), crie uma regra de redirecionamento (302) do mesmo caminho para a URL de descoberta com a opção que mantém ou encaminha a string de consulta.

Opção 3: Arquivo estático no seu site

Se você não puder adicionar um redirecionamento, publique um arquivo em https://company.com/.well-known/com.apple.remotemanagement (sem extensão de arquivo), servido com Content-Type: application/json. Copie o conteúdo dele da aba. Um arquivo estático não pode escolher o modo por dispositivo: ele usa o mesmo modo para iPhone, iPad e Mac. Para o User Enrollment, ele se parece com isto: 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

e para o Device Enrollment:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

O modo do arquivo também deve ser o modo definido na aba para a família de dispositivos; caso contrário, o registro é recusado.

Verificar configuração

Em Verificar configuração, escolha um domínio e um dispositivo (iPhone ou Mac) e clique em Verificar: o Cerberus Enterprise pergunta ao domínio o que um dispositivo perguntaria e mostra a resposta, cada redirecionamento e um veredito. O domínio apontando para o Cerberus Enterprise significa que as opções 2 ou 3 funcionam; uma resposta de erro (como "not found") está tudo bem para a opção 1; uma página da web ou um arquivo apontando para outro lugar interrompe os dispositivos. A verificação também avisa quando um redirecionamento descarta a string de consulta ou o arquivo não é servido como application/json.

Chave de registro

As URLs de descoberta e registro contêm uma chave da sua organização. Se as URLs foram publicadas por engano, clique em Regenerar chave: as URLs antigas param de funcionar imediatamente, então atualize os redirecionamentos e arquivos estáticos nos seus sites. O Cerberus Enterprise registra a nova URL no Apple Business sozinho quando a opção 1 é usada.

Como os usuários se registram

  1. iPhone e iPad: abra Configurações → Geral → VPN & Gerenciamento de Dispositivos → Entrar na Conta de Trabalho ou Escola. Mac: Ajustes do Sistema → Geral → Gerenciamento de Dispositivos → Entrar (no macOS 14: Privacidade e Segurança → Perfis → Entrar).
  2. Digite a Managed Apple Account, ou o endereço de e-mail de trabalho do usuário no Cerberus (por exemplo name@company.com). Quando a Managed Apple Account do usuário é diferente do que foi digitado, o dispositivo então pede para entrar com essa conta.
  3. Uma página do Cerberus Enterprise é aberta: toque em Enviar o código e insira o código de 6 dígitos recebido por e-mail. O código expira após 10 minutos; após 5 códigos errados, o usuário precisa fechar a página e entrar novamente.
  4. Entre com a senha da Managed Apple Account (ou com a página de entrada da empresa quando o Apple Business está conectado ao Google Workspace ou ao Microsoft Entra ID) e permita o gerenciamento do dispositivo.

Contas que não podem se registrar (domínio não verificado, nenhum usuário correspondente quando os usuários não são criados automaticamente, vários usuários com o mesmo endereço de e-mail) veem "Esta conta não está configurada para registro. Contate o administrador de TI." Os eventos ficam nos registros do sistema do painel.

Após o registro

Logo após o registro, alguns perfis da política (certificados, redes Wi-Fi, web clips) podem ser informados como com falha com um erro desconhecido, e o dispositivo pode aparecer como Não conforme por um tempo. O dispositivo tenta novamente por conta própria e eles são instalados depois de um tempo, sem necessidade de ação. Não salve a política novamente nem registre o dispositivo novamente por causa disso.

Apps em dispositivos pessoais

iPhones e iPads registrados com User Enrollment não têm número de série, então o Apps and Books não pode dar a eles uma licença de dispositivo. O Cerberus Enterprise dá aos apps da App Store da política deles uma licença de usuário: a licença vai para a Managed Apple Account conectada no dispositivo. Nada muda na política: a mesma política atende dispositivos da empresa e pessoais, e o Cerberus escolhe o tipo de licença para cada dispositivo.

Quando a Apple não consegue atribuir uma licença, por exemplo porque um app pago não tem mais licenças, o app mostra Falha na licença de usuário com a mensagem da Apple. Adicione licenças no Apple Business e use Solicitar novamente na página do dispositivo; o Cerberus também tenta novamente sozinho na verificação diária. A linha acima da lista de apps mostra a Managed Apple Account e o status do usuário do Apps and Books dela; o mesmo status fica na página do usuário.

As licenças de usuário são usadas somente em iPhones e iPads: em Macs registrados com o Registro de Usuário, os apps da App Store da política não são instalados. Livros e Contas Apple pessoais não são compatíveis.

Visão geral das políticas

A seção Políticas do painel (Painel → Políticas) lista todas as políticas da sua conta e permite criar, copiar, editar e excluir políticas.

Lista de políticas

As políticas são exibidas em uma tabela. Clicar em uma linha abre o editor de políticas correspondente.

Colunas

Por padrão, as políticas modificadas mais recentemente são mostradas primeiro; as políticas nunca salvas desde a introdução da coluna Última modificação vêm em seguida, por nome. Clique no cabeçalho de uma coluna para classificar por ela.

Filtros e busca

Atualização e paginação

Criar uma nova política

Na parte inferior da página Políticas, você pode criar uma nova política. Dependendo de qual plataforma está configurada na sua conta, você pode ver uma ou ambas as ações:

Se sua licença estiver expirada, a criação de políticas (e outras ações de gravação) fica desativada.

Copiar e excluir políticas

Cada linha de política tem um menu de ações que inclui Copiar política e Excluir política.

Avisos de exclusão de política

Ao excluir uma política, o painel pode mostrar avisos adicionais dependendo de como a política é usada.

Excluir várias políticas

A lista de Políticas oferece suporte à seleção de várias linhas para exclusão em massa. No modo de seleção múltipla, você pode selecionar várias políticas e excluí-las em uma única ação.

A exclusão em massa só fica ativada quando todas as políticas selecionadas pertencem à mesma plataforma (todas Android ou todas Apple).

Próximo: editar configurações da política

A lista de Políticas é o ponto de entrada. Para configurar as definições da política, consulte a documentação do editor apropriado: Políticas → Android e Políticas → Apple.

As políticas referenciadas por tokens de registro são aplicadas automaticamente durante o registro do dispositivo.

Políticas - Android

Políticas - Android

Resumo

As políticas do Android são as entidades centrais do sistema: elas definem as regras que são aplicadas e impostas nos dispositivos gerenciados.

Você pode navegar pelas suas políticas e criar novas na seção Políticas do painel. Para abrir uma política do Android, clique na linha da política na tabela: o sistema abre a página Editor de políticas.

Uma política pode ser associada a um token de registro, para que seja aplicada automaticamente aos dispositivos durante o processo de provisionamento. Você também pode alterar a política atribuída a um dispositivo após o provisionamento.

Cada dispositivo pode ser associado a apenas uma política por vez.

Muitas opções de política se aplicam apenas a tipos específicos de dispositivo (totalmente gerenciado, dedicado, perfil de trabalho) e versões do Android. Configurações sem suporte podem ser ignoradas pelo dispositivo ou relatadas como fora de conformidade.

Layout do Editor de políticas

O Editor de políticas é organizado como um conjunto de seções expansíveis. No topo da página, você sempre pode editar:

As seções abaixo correspondem aos painéis do Editor de Política (por exemplo: Gerenciamento de apps, Segurança, Rede, Sistema, Uso pessoal, Políticas entre perfis e muito mais). Quando você abre uma política salva, as seções com configurações alteradas já estão abertas e as demais permanecem fechadas. Use as páginas de capítulo deste manual para entender cada painel em detalhes.

Salvar, excluir e dispositivos associados

Use Salvar política para aplicar suas alterações. O botão fica desativado quando não há edições pendentes ou quando a licença está expirada.

Se você abriu uma política existente (ela tem um Id), a página mostra uma ação Excluir política e uma lista Dispositivos associados na parte inferior, para que você possa ver quantos dispositivos estão usando a política no momento.

Políticas - Android

Gerenciamento de apps

Nesta seção, você pode definir políticas relacionadas à disponibilidade, instalação e atualização de apps, além do gerenciamento de permissões.

As Contas do Managed Google Play são criadas automaticamente quando os dispositivos são provisionados.

 

1. Modo da Play Store

Este modo controla quais apps estão disponíveis para o usuário na Play Store e o comportamento no dispositivo quando apps são removidos da política.

Lista de permissões (padrão): somente os apps que estão na política ficam disponíveis, e qualquer app que não esteja na política será desinstalado automaticamente do dispositivo. A Play Store mostrará somente os apps disponíveis.

Lista de bloqueio: todos os apps ficam disponíveis, e qualquer app que não deva estar no dispositivo deve ser marcado explicitamente como bloqueado na política de aplicativos. A Play Store mostrará todos os apps, exceto os bloqueados.

 

2. Política de apps não confiáveis

A política para apps não confiáveis (apps de fontes desconhecidas) aplicada no dispositivo. Esta opção controla a configuração do sistema Android que determina se o usuário pode instalar apps de fora da Play Store (sideloading).

Não permitir (padrão): não permitir a instalação de apps não confiáveis em todo o dispositivo.

Somente perfil pessoal: para dispositivos com perfis de trabalho, permitir a instalação de apps não confiáveis somente no perfil pessoal do dispositivo.

Permitir: permitir a instalação de apps não confiáveis em todo o dispositivo.

 

3. Google Play Protect

Indica se a verificação de apps do Google Play Protect é aplicada.

Aplicado (padrão): força a ativação da verificação de apps.

Escolha do usuário: permite que o usuário escolha se deseja ativar a verificação de apps.

 

4. Política de permissões padrão

A política para conceder solicitações de permissões de tempo de execução aos apps.

Perguntar (padrão): solicitar ao usuário que conceda uma permissão.

Conceder: conceder uma permissão automaticamente.

Negar: negar uma permissão automaticamente.

 

5. Funções de app

Controla se os apps em dispositivos totalmente gerenciados ou em perfis de trabalho podem expor funções de app. Requer Android 16 ou superior.

Permitido (padrão): apps em dispositivos totalmente gerenciados ou em perfis de trabalho podem expor funções de app.

Não permitido: apps em dispositivos totalmente gerenciados ou em perfis de trabalho não podem expor funções de app.

 

6. Instalação de apps desativada

Indica se a instalação de apps pelo usuário está desativada.

 

7. Desinstalação de apps desativada

Indica se a desinstalação de aplicativos pelo usuário está desativada.

 

8. Políticas de permissão

Concessões ou negações explícitas de permissões ou grupos para todos os apps. Esses valores substituem a configuração Política de permissões padrão.

Use Adicionar política de permissão para criar entradas e removê-las com a ação de excluir.

Cada entrada inclui:

Permissão/grupo do Android: a permissão ou o grupo do Android (obrigatório), por exemplo android.permission.READ_CALENDAR ou android.permission_group.CALENDAR.

Política: Conceder / Negar / Perguntar (usa as mesmas opções de política de Política de permissões padrão).

 

9. Aplicativos

Lista de aplicativos que devem ser incluídos na política. O comportamento do conteúdo da lista depende do valor definido em Modo da Play Store.

Se o Modo da Play Store estiver definido como lista de permissões, somente os apps que estão na política ficam disponíveis, e qualquer app que não esteja na política será desinstalado automaticamente do dispositivo.

Se o Modo da Play Store estiver definido como lista de bloqueio, todos os apps ficam disponíveis, e qualquer app que não deva estar no dispositivo deve ser marcado explicitamente como bloqueado na política de aplicativos.

Para adicionar um novo app, clique no botão Adicionar aplicativos (ou no ícone Adicionar aplicativos), selecione Do Managed Google Play, escolha o app na Play Store e clique no botão Selecionar no cartão do app.

Para adicionar um app que não está publicado no Google Play mas já está presente no dispositivo (por exemplo, um app de sistema ou do fabricante), clique em Adicionar aplicativos, selecione Por nome do pacote (apps pré-instalados), digite o nome do pacote do app (por exemplo, com.example.app) e clique em Adicionar.O app é adicionado com o tipo de instalação Instalação forçada. Para mostrar o app no launcher personalizado de quiosque, seu Tipo de instalação deve ser Pré-instalado ou Instalação forçada: com Disponível o app não é mostrado.

Os apps que não estão disponíveis no Managed Google Play são marcados com um ícone do Android na lista de aplicativos. Eles não podem ser instalados pelo Google Play, então já devem estar presentes no dispositivo: dispositivos que não têm o app não podem instalá-lo.

Todos os apps publicados na Play Store no seu país ficam disponíveis para seleção por padrão. Para selecionar seus próprios apps privados ou web, você precisa primeiro enviá-los ao sistema. Para mais informações, leia a página Apps privados.

Cada app pode ser configurado com suas próprias definições, que ficam visualmente contidas em um cartão:

9.1. Tipo de instalação

O tipo de instalação a realizar para um app.

Disponível: o app está disponível para instalação.

Pré-instalado: o app é instalado automaticamente e pode ser removido pelo usuário.

Instalação forçada: o app é instalado automaticamente e não pode ser removido pelo usuário.

Bloqueado: o app é bloqueado e não pode ser instalado. Se o app foi instalado segundo uma política anterior, ele será desinstalado.

Obrigatório para a configuração: o app é instalado automaticamente e não pode ser removido pelo usuário; ele impedirá a conclusão da configuração até que a instalação seja concluída.

Quiosque: o app é instalado automaticamente no modo quiosque: ele é definido como a intent inicial preferida e incluído na lista de permissões do modo de tarefa de bloqueio. A configuração do dispositivo não será concluída até que o app seja instalado. Após a instalação, os usuários não poderão remover o app. Você só pode definir este tipo de instalação para um app por política. Quando ele estiver presente na política, a barra de status será desativada automaticamente. Para mais informações, leia a página dedicada ao Modo quiosque.

9.2. Restrições de instalação

Define um conjunto de restrições para a instalação do app. Quando várias restrições são selecionadas, todas devem ser atendidas para que o app seja instalado.

Esta opção é mostrada somente quando o Tipo de instalação é Pré-instalado ou Instalação forçada.

Rede sem limite de dados: instalar o app somente quando o dispositivo estiver conectado a uma rede sem limite de dados (por exemplo, Wi-Fi).

Carregando: instalar o app somente quando o dispositivo estiver carregando.

Ocioso: instalar o app somente quando o dispositivo estiver ocioso.

9.3. Modo de atualização automática

Controla o modo de atualização automática do app.

Padrão: o app é atualizado automaticamente com baixa prioridade para minimizar o impacto sobre o usuário. O app é atualizado quando todas as seguintes restrições são atendidas: (1) o dispositivo não está em uso ativo, (2) o dispositivo está conectado a uma rede sem limite de dados, (3) o dispositivo está carregando. O dispositivo é notificado sobre uma nova atualização em até 24 horas após ela ser publicada pelo desenvolvedor, e depois o app é atualizado na próxima vez em que as restrições acima forem atendidas.

Adiado: o app não é atualizado automaticamente por no máximo 90 dias após ficar desatualizado. Após 90 dias desde que ficou desatualizado, a versão mais recente disponível é instalada automaticamente com baixa prioridade (consulte o modo de atualização automática Padrão). Depois que o app é atualizado, ele não é atualizado automaticamente de novo até 90 dias após ficar desatualizado novamente. O usuário ainda pode atualizar o app manualmente pela Play Store a qualquer momento.

Alta prioridade: o app é atualizado o quanto antes. Nenhuma restrição é aplicada. O dispositivo é notificado imediatamente sobre uma nova atualização assim que ela fica disponível.

9.4. Código de versão mínimo

A versão mínima do app que é executada no dispositivo. Se definida, o dispositivo tenta atualizar o app para pelo menos este código de versão. Se o app não estiver atualizado, o dispositivo conterá um detalhe de não conformidade com o motivo de não conformidade definido como APP_NOT_UPDATED. O app já deve estar publicado no Google Play com um código de versão maior ou igual a este valor. No máximo 20 apps podem especificar um código de versão mínimo por política.

9.5. Escopos delegados

Os escopos delegados ao app pelo Android Device Policy. Você pode conceder a outros apps uma seleção de permissões especiais do Android:

Instalação de certificados: concede acesso à instalação e ao gerenciamento de certificados.

Configurações gerenciadas: concede acesso ao gerenciamento de configurações gerenciadas.

Bloquear desinstalação: concede acesso ao bloqueio de desinstalação.

Permissões: concede acesso à política de permissões e ao estado de concessão de permissões.

Acesso a pacotes: concede acesso ao estado de acesso a pacotes.

App do sistema: concede acesso para ativar apps do sistema.

9.6. Rede preferencial

O serviço de rede preferencial a usar para este app. Se definido, o app usará a fatia de rede empresarial especificada para suas conexões quando disponível. Isso deve corresponder a uma fatia de rede configurada na seção Configuração de fatiamento de rede 5G do painel Celular.

9.7. Política de permissões padrão

A política padrão para todas as permissões solicitadas pelo app. Se especificada, ela substitui a Política de permissões padrão no nível da política, que se aplica a todos os apps. Ela não substitui as Políticas de permissão que se aplicam a todos os apps.

Perguntar (padrão): solicitar ao usuário que conceda uma permissão.

Conceder: conceder uma permissão automaticamente.

Negar: negar uma permissão automaticamente.

9.8. App conectado de trabalho e pessoal

Controla se o app pode se comunicar consigo mesmo entre os perfis de trabalho e pessoal de um dispositivo, sujeito ao consentimento do usuário (Android 11+).

Não permitido (padrão): impede que o app se comunique entre perfis.

Permitido: permite que o app se comunique entre perfis após receber o consentimento do usuário.

9.9. Isenção do bloqueio do Always On VPN

Especifica se o app pode usar a rede quando a VPN não está conectada e o bloqueio ativado está em vigor. Compatível somente com dispositivos que executam Android 10 ou superior.

Aplicado (padrão): o app respeita a configuração de bloqueio do Always On VPN.

Isento: o app está isento da configuração de bloqueio do Always On VPN.

9.10. Widgets do perfil de trabalho

Especifica se o app instalado no perfil de trabalho pode adicionar widgets à tela inicial.

Permitido: o aplicativo pode adicionar widgets à tela inicial.

Não permitido: o aplicativo não pode adicionar widgets à tela inicial.

9.11. Configurações de controle do usuário

Especifica se o controle do usuário é permitido para um determinado app. O controle do usuário inclui ações como forçar a parada e limpar os dados do app (Android 11+). Se extensionConfig estiver ativado para um app, o controle do usuário será desativado independentemente desta configuração. Para apps de quiosque, você pode usar Permitido para permitir o controle do usuário.

Não especificado: usa o comportamento padrão do app para determinar se o controle do usuário é permitido ou não.

Permitido: o controle do usuário é permitido para o app.

Não permitido: o controle do usuário não é permitido para o app.

9.12. Desativado

Indica se o app está desativado. Quando desativado, os dados do app ainda são preservados.

9.13. Permitir provedor de credenciais

Indica se o app pode atuar como provedor de credenciais no Android 14 e superior.

9.14. Configuração gerenciada

Para configurar as definições gerenciadas do app, clique no botão Ativar configuração gerenciada. Se uma configuração gerenciada já estiver definida para o app, você pode modificá-la com o botão Configuração gerenciada ou excluí-la com o botão Remover configuração.

Configuração gerenciada só está disponível para apps que oferecem suporte a essa funcionalidade.

9.15. Políticas de permissão

Concessões ou negações explícitas de permissões para o app. Esses valores substituem a Política de permissões padrão e as Políticas de permissão que se aplicam a todos os apps.

Use Adicionar política de permissão para adicionar uma ou mais regras de permissão ao cartão do app e removê-las com a ação de excluir.

9.16. IDs de faixa

Lista dos IDs das faixas de teste fechado do app às quais um dispositivo pode acessar. Se vários IDs de faixa forem selecionados, os dispositivos recebem a versão mais recente entre todas as faixas acessíveis. Se nenhum ID de faixa for selecionado, os dispositivos só têm acesso à faixa de produção do app.

IDs de faixa só está disponível para apps que têm pelo menos um ID de faixa disponível para sua organização. Para mais detalhes sobre como adicionar sua organização a uma faixa de teste fechado de um app específico, leia aqui.

 

10. Configurações de aplicativo padrão

Defina apps padrão para os tipos compatíveis. Quando um app padrão é definido para pelo menos um tipo, os usuários ficam impedidos de alterar os apps padrão nesse perfil.

Só é permitida uma configuração de aplicativo padrão por Tipo de aplicativo padrão. A lista de aplicativos padrão não deve conter duplicatas.

10.1. Tipo de aplicativo padrão

Selecione a categoria de app a configurar (por exemplo, Navegador, Discador, SMS, Carteira ou Assistente). A disponibilidade depende da versão do Android e do modo de gerenciamento.

10.2. Escopos de aplicativo padrão

Selecione onde o app padrão deve ser aplicado (Totalmente gerenciado, Perfil de trabalho ou Perfil pessoal). Só podem ser escolhidos escopos compatíveis com o tipo selecionado.

Se nenhum dos escopos selecionados for aplicável ao modo de gerenciamento do dispositivo, o dispositivo relatará um detalhe de não conformidade.

10.3. Aplicativos padrão

Lista de apps que podem ser definidos como padrão para o tipo selecionado. O primeiro app instalado e elegível é definido como padrão.

Se os escopos incluírem Totalmente gerenciado ou Perfil de trabalho, cada app também deve existir na lista Aplicativos com o Tipo de instalação diferente de Bloqueado.

 

11. Seleção de chave privada

Permite mostrar uma interface no dispositivo para o usuário escolher um alias de chave privada se não houver regras correspondentes em Escolher regras de chave privada.

Para dispositivos anteriores ao Android P, definir isso pode deixar as chaves corporativas vulneráveis.

 

12. Escolher regras de chave privada

Controla o acesso dos apps às chaves privadas. A regra determina qual chave privada, se houver, o Android Device Policy concede ao app especificado. O acesso é concedido quando o app chama KeyChain.choosePrivateKeyAlias (ou qualquer sobrecarga) para solicitar um alias de chave privada para um determinado URL, ou, para regras que não são específicas de URL (ou seja, se urlPattern não estiver definido ou estiver definido como a string vazia ou .*) no Android 11 e superior, diretamente, para que o app possa chamar KeyChain.getPrivateKey sem primeiro precisar chamar KeyChain.choosePrivateKeyAlias. Quando um app chama KeyChain.choosePrivateKeyAlias e mais de uma choosePrivateKeyRules corresponde, a última regra correspondente define qual alias de chave retornar.

Use Adicionar regra de chave privada para criar entradas e removê-las com a ação de excluir.

12.1. Alias de chave privada

O alias da chave privada a ser usada.

12.2. Padrão de URL

O padrão de URL a corresponder ao URL da solicitação. Se não definido ou vazio, corresponde a todos os URLs. Isso usa a sintaxe de expressão regular de java.util.regex.Pattern.

12.3. Nomes de pacote

Os nomes de pacote aos quais esta regra se aplica. O hash do certificado de assinatura de cada app é verificado em relação ao hash fornecido pelo Play. Se nenhum nome de pacote for especificado, o alias será fornecido a todos os apps que chamarem KeyChain.choosePrivateKeyAlias ou qualquer sobrecarga (mas não sem chamar KeyChain.choosePrivateKeyAlias, mesmo no Android 11 e superior). Qualquer app com o mesmo UID do Android que um pacote especificado aqui terá acesso quando chamar KeyChain.choosePrivateKeyAlias.

Use Adicionar nome de pacote para adicionar entradas e removê-las com a ação de excluir.

 

Para excluir um app, clique no ícone de lixeira na parte inferior do cartão do app.

 

 

Políticas - Android

Modo quiosque

Com o modo quiosque, você pode restringir a funcionalidade de um dispositivo a um único aplicativo ou a vários aplicativos. A escolha entre o modo quiosque de aplicativo único e o de vários aplicativos depende dos objetivos do seu negócio.

No modo quiosque de aplicativo único, um dispositivo é configurado para um único aplicativo e não permite que os usuários finais acessem outros aplicativos no dispositivo. Eles também não podem sair do aplicativo, o que o torna um dispositivo dedicado a esse aplicativo específico. Para ativar esse modo, especifique um aplicativo na seção Gerenciamento de aplicativos com Tipo de instalação definido como Quiosque.

No modo quiosque de vários aplicativos, os dispositivos podem acessar vários aplicativos. Os usuários finais podem navegar entre vários aplicativos por meio de um launcher personalizado. Para ativar esse modo, ative a opção Launcher personalizado de quiosque.

Quando o modo quiosque está ativado, você também pode configurar se os usuários finais podem acessar determinados recursos do sistema, como configurações do sistema e a barra de status.

 

Launcher personalizado de quiosque

Se o launcher personalizado de quiosque está ativado. Isso substitui a tela inicial por um launcher que restringe o dispositivo aos aplicativos instalados pela configuração Gerenciamento de aplicativos. Os aplicativos aparecem em uma única página em ordem alfabética.

 

Ações do botão liga/desliga

Define o comportamento de um dispositivo no modo quiosque quando um usuário pressiona e mantém pressionado o botão liga/desliga.

Disponível (padrão): O menu de energia (por exemplo, Desligar, Reiniciar) é exibido quando um usuário mantém pressionado o botão liga/desliga de um dispositivo no modo quiosque.

Bloqueado: O menu de energia (por exemplo, Desligar, Reiniciar) não é exibido quando um usuário mantém pressionado o botão liga/desliga de um dispositivo no modo quiosque. Observação: isso pode impedir que os usuários desliguem o dispositivo.

 

Avisos de erro do sistema

Especifica se as caixas de diálogo de erro do sistema para aplicativos que travaram ou não respondem são bloqueadas no modo quiosque. Quando bloqueadas, o sistema forçará a parada do aplicativo como se o usuário escolhesse a opção "fechar aplicativo" na interface.

Bloqueado (padrão): Todas as caixas de diálogo de erro do sistema, como falhas e aplicativo sem resposta (ANR), são bloqueadas. Quando bloqueadas, o sistema força a parada do aplicativo como se o usuário fechasse o aplicativo pela interface.

Ativado: Todas as caixas de diálogo de erro do sistema, como falhas e aplicativo sem resposta (ANR), são exibidas.

Navegação do sistema

Especifica quais recursos de navegação estão ativados (por exemplo, botões Início e Visão geral) no modo quiosque.

Desativado (padrão): Os botões Início e Visão geral não estão acessíveis.

Somente Início: Apenas o botão Início está ativado.

Ativado: Os botões Início e Visão geral estão ativados.

 

Barra de status

Especifica se as informações do sistema e as notificações estão desativadas no modo quiosque.

Desativado (padrão): As informações do sistema e as notificações estão desativadas no modo quiosque.

Somente sistema: Apenas as informações do sistema são exibidas na barra de status.

Ativado: As informações do sistema e as notificações são exibidas na barra de status no modo quiosque. Observação: Para que esta política tenha efeito, o botão Início do dispositivo deve estar ativado usando kioskCustomization.systemNavigation.

 

Configurações do dispositivo

Especifica se o aplicativo Configurações é permitido no modo quiosque.

Permitido (padrão): O acesso ao aplicativo Configurações é permitido no modo quiosque.

Bloqueado: O acesso ao aplicativo Configurações não é permitido no modo quiosque.

Políticas - Android

Segurança

Nesta seção, você pode configurar políticas relacionadas à segurança.

 

Ações para riscos de segurança

Escolha o que fazer quando um dispositivo relata um SecurityRisk nos relatórios de status.

 

Tipos de SecurityRisk com suporte:

Sistema operacional desconhecido: A Play Integrity API detecta que o dispositivo está executando um sistema operacional desconhecido (a verificação basicIntegrity é bem-sucedida, mas ctsProfileMatch falha).

Sistema operacional comprometido: A Play Integrity API detecta que o dispositivo está executando um sistema operacional comprometido (a verificação basicIntegrity falha).

Falha na avaliação com suporte de hardware: A Play Integrity API detecta que o dispositivo não tem uma garantia forte de integridade do sistema, se o rótulo MEETS_STRONG_INTEGRITY não aparecer no campo de integridade do dispositivo.

 

Ações disponíveis:

Apagar dados corporativos (padrão): Cancela o registro e apaga os dados de trabalho (dispositivo inteiro, se totalmente gerenciado, ou apenas o perfil de trabalho, quando o dispositivo tiver um perfil de trabalho).

Nenhuma ação: Mantenha o dispositivo registrado e não faça nada automaticamente.

 

Quando você seleciona Apagar dados corporativos, também pode configurar opções de exclusão:

Preservar a proteção contra restauração de fábrica: Preserva os dados da Proteção contra restauração de fábrica (FRP) ao apagar o dispositivo.

Apagar o armazenamento externo: Apaga também o armazenamento externo do dispositivo (como cartões SD) ao realizar a exclusão.

Apagar eSIMs: Para dispositivos corporativos, isso remove todas as eSIMs do dispositivo quando ele é apagado. Em dispositivos de propriedade pessoal, isso removerá as eSIMs gerenciadas (eSIMs adicionadas pelo comando ADD_ESIM) dos dispositivos, e nenhuma eSIM de propriedade pessoal será removida.

 

1. Tempo máximo para bloquear

Tempo máximo (em segundos) de atividade do usuário até o dispositivo bloquear. Um valor de 0 significa que não há restrição.

 

2. Permanecer ligado durante o carregamento

Os modos de bateria conectada nos quais o dispositivo permanece ligado. Ao usar esta configuração, recomenda-se limpar o Tempo máximo para bloquear para que o dispositivo não se bloqueie enquanto permanecer ligado.

Carregador CA: A fonte de energia é um carregador CA.

Porta USB: A fonte de energia é uma porta USB.

Carregador sem fio: A fonte de energia é sem fio.

 

3. Bloqueio de tela desativado

Se verdadeiro, desativa a tela de bloqueio para as telas principal e/ou secundárias. Esta política tem suporte apenas no modo de gerenciamento de dispositivo dedicado.

 

4. Requisitos de senha

Políticas de requisitos de senha.

Use Configurar requisitos de senha para adicionar um ou mais blocos de requisitos de senha. Use Limpar tudo para remover todos os requisitos de senha configurados.

Os requisitos de senha podem usar o escopo Automático (requisito único) ou escopos separados de Dispositivo/Perfil de trabalho. Requisitos baseados em complexidade devem estar associados a requisitos baseados em qualidade para o mesmo escopo.

4.1. Escopo

O escopo ao qual o requisito de senha se aplica.

Automático: O escopo não é especificado. Os requisitos de senha são aplicados ao perfil de trabalho para dispositivos com perfil de trabalho e ao dispositivo inteiro para dispositivos totalmente gerenciados ou dedicados.

Dispositivo: Os requisitos de senha são aplicados apenas ao dispositivo.

Perfil de trabalho: Os requisitos de senha são aplicados apenas ao perfil de trabalho.

4.2. Comprimento do histórico de senhas

O comprimento do histórico de senhas. Após definir este campo, o usuário não poderá inserir uma nova senha igual a qualquer senha do histórico. Um valor de 0 significa que não há restrição.

4.3. Máximo de senhas incorretas para apagar

Número de senhas incorretas de desbloqueio do dispositivo que podem ser inseridas antes de o dispositivo ser apagado. Um valor de 0 significa que não há restrição.

4.4. Tempo limite de expiração da senha (dias)

Esta configuração força o usuário a atualizar periodicamente a senha após o número de dias especificado.

4.5. Exigir desbloqueio por senha

O período após o dispositivo ou perfil de trabalho ser desbloqueado usando uma forma forte de autenticação (senha, PIN, padrão) em que ele pode ser desbloqueado usando qualquer outro método de autenticação (por exemplo, impressão digital, agentes de confiança, rosto). Após o período especificado, apenas formas fortes de autenticação poderão ser usadas para desbloquear o dispositivo ou o perfil de trabalho.

Padrão do dispositivo: O período de tempo limite é definido como o padrão do dispositivo.

Todos os dias: O período de tempo limite é definido como 24 horas.

4.6. Qualidade da senha

A qualidade de senha exigida.

Complexidade alta: Define a faixa de alta complexidade de senha como: No Android 12 e superior: PIN sem sequências repetidas (4444) ou ordenadas (1234, 4321, 2468), comprimento mínimo de 8; alfabética, comprimento mínimo de 6; alfanumérica, comprimento mínimo de 6.

Complexidade média: Define a faixa de média complexidade de senha como: PIN sem sequências repetidas (4444) ou ordenadas (1234, 4321, 2468), comprimento mínimo de 4; alfabética, comprimento mínimo de 4; alfanumérica, comprimento mínimo de 4.

Complexidade baixa: Define a faixa de baixa complexidade de senha como: padrão; PIN com sequências repetidas (4444) ou ordenadas (1234, 4321, 2468).

Nenhum: Não há requisitos de senha.

Fraca: O dispositivo deve estar protegido no mínimo com uma tecnologia de reconhecimento biométrico de baixa segurança. Isso inclui tecnologias capazes de reconhecer a identidade de um indivíduo que sejam aproximadamente equivalentes a um PIN de 3 dígitos (detecção falsa inferior a 1 em 1.000).

Qualquer: Uma senha é obrigatória, mas não há restrições sobre o que ela deve conter.

Numérica: A senha deve conter caracteres numéricos.

Numérica complexa: A senha deve conter caracteres numéricos sem sequências repetidas (4444) ou ordenadas (1234, 4321, 2468).

Alfabética: A senha deve conter caracteres alfabéticos (ou símbolos).

Alfanumérica: A senha deve conter caracteres numéricos e alfabéticos (ou símbolos).

Complexa: A senha deve atender aos requisitos mínimos especificados em passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols etc. Por exemplo, se passwordMinimumSymbols for 2, a senha deve conter pelo menos dois símbolos.

4.7. Comprimento mínimo

O comprimento mínimo permitido da senha. Um valor de 0 significa que não há restrição.

4.8. Mínimo de letras

Número mínimo de letras exigido na senha.

4.9. Mínimo de letras minúsculas

Número mínimo de letras minúsculas exigido na senha.

4.10. Mínimo de letras maiúsculas

Número mínimo de letras maiúsculas exigido na senha.

4.11. Mínimo de caracteres não alfabéticos

Número mínimo de caracteres não alfabéticos (dígitos numéricos ou símbolos) exigido na senha.

4.12. Mínimo de dígitos numéricos

Número mínimo de dígitos numéricos exigido na senha.

4.13. Mínimo de símbolos

Número mínimo de símbolos exigido na senha.

4.14. Bloqueio unificado

Controla se um bloqueio unificado é permitido para o dispositivo e o perfil de trabalho, em dispositivos com Android 9 ou superior que tenham perfil de trabalho. Isso não tem efeito em outros dispositivos.

Permitir bloqueio unificado: É permitido um bloqueio comum para o dispositivo e o perfil de trabalho.

Exigir bloqueio de trabalho separado: É exigido um bloqueio separado para o perfil de trabalho.

 

5. Restauração de fábrica desativada

Se a restauração de fábrica pelas configurações está desativada. Aplica-se apenas a dispositivos totalmente gerenciados.

 

6. Proteção contra restauração de fábrica

Endereços de e-mail dos administradores do dispositivo para a proteção contra restauração de fábrica. Quando o dispositivo passar por uma restauração de fábrica não autorizada, será necessário que um desses administradores entre com o e-mail e a senha da conta do Google para desbloquear o dispositivo. Se nenhum administrador for especificado, o dispositivo não oferecerá proteção contra restauração de fábrica. Aplica-se apenas a dispositivos totalmente gerenciados.

E-mails dos administradores: use Ativar a Proteção contra restauração de fábrica para começar a configurar os administradores. Depois, use Adicionar e-mail do administrador para adicionar endereços e remova-os com a ação de excluir.

 

7. Recursos do bloqueio de tela

Recursos do bloqueio de tela (tela de bloqueio) que podem ser desativados.

7.1. Desativar tudo

Desativa todas as personalizações atuais e futuras do bloqueio de tela.

7.2. Desativar câmera

Desativa a câmera nas telas de bloqueio seguras (por exemplo, PIN).

7.3. Desativar notificações

Desativa a exibição de todas as notificações nas telas de bloqueio seguras.

7.4. Desativar notificações não ocultadas

Desativa as notificações não ocultadas nas telas de bloqueio seguras.

7.5. Ignorar o estado do agente de confiança

Ignora o estado do agente de confiança nas telas de bloqueio seguras.

7.6. Desativar impressão digital

Desativa o sensor de impressão digital nas telas de bloqueio seguras.

7.7. Desativar entrada de texto nas notificações

Desativa a entrada de texto nas notificações das telas de bloqueio seguras.

7.8. Desativar autenticação facial

Desativa a autenticação facial nas telas de bloqueio seguras.

7.9. Desativar autenticação por íris

Desativa a autenticação por íris nas telas de bloqueio seguras.

7.10. Desativar toda a autenticação biométrica

Desativa toda a autenticação biométrica nas telas de bloqueio seguras.

7.11. Desativar todos os atalhos

Desativa todos os atalhos na tela de bloqueio segura no Android 14 e superior.

Políticas - Android

Multimídia

Nesta seção, você pode configurar o comportamento da câmera/microfone, o acesso a dados via USB, a impressão e as restrições relacionadas à tela.

 

1. Acesso à câmera

Controla o uso da câmera e se o usuário pode acessar a chave de acesso à câmera (Android 12+). Em geral, desativar a câmera se aplica a todo o dispositivo em dispositivos totalmente gerenciados e apenas dentro do perfil de trabalho em dispositivos com perfil de trabalho.

Escolha do usuário (padrão): Comportamento padrão do dispositivo. As câmeras estão disponíveis e (Android 12+) o usuário pode alternar o acesso à câmera.

Desativado: Todas as câmeras são desativadas (totalmente gerenciado: todo o dispositivo; perfil de trabalho: somente para aplicativos do perfil de trabalho). A chave de acesso à câmera não tem efeito no escopo gerenciado.

Aplicado: As câmeras estão disponíveis. Em dispositivos totalmente gerenciados com Android 12+, o usuário não pode alternar o acesso à câmera. Em outros dispositivos/versões, isso se comporta como Escolha do usuário.

 

2. Acesso ao microfone

Em dispositivos totalmente gerenciados, controla o uso do microfone e se o usuário pode acessar a chave de acesso ao microfone (Android 12+). Esta configuração não tem efeito em dispositivos que não são totalmente gerenciados.

Escolha do usuário (padrão): Comportamento padrão. O microfone está disponível e (Android 12+) o usuário pode alternar o acesso ao microfone.

Desativado: O microfone está desativado (em todo o dispositivo). A chave de acesso ao microfone não tem efeito.

Aplicado: O microfone está disponível. No Android 12+, o usuário não pode alternar o acesso ao microfone. No Android 11 ou anterior, isso se comporta como Escolha do usuário.

 

3. Acesso a dados via USB

Controla quais arquivos e/ou dados podem ser transferidos via USB. Compatível apenas com dispositivos corporativos.

Não permitir transferência de arquivos (padrão): As transferências de arquivos são proibidas, mas outras conexões de dados USB (por exemplo, mouse/teclado) são permitidas.

Não permitir transferência de dados: Todos os tipos de transferência de dados USB são proibidos (Android 12+ com USB HAL 1.3+). Se não houver suporte, o dispositivo usará Não permitir transferência de arquivos como alternativa.

Permitir transferência de dados: Todos os tipos de transferência de dados USB são permitidos.

 

4. Impressão

Controla se a impressão é permitida (Android 9+).

Permitido (padrão): A impressão é permitida.

Não permitido: A impressão não é permitida (Android 9+).

 

5. Configurações de brilho da tela

Controla o modo de brilho da tela e (opcionalmente) o valor de brilho.

Modo de brilho da tela:

Escolha do usuário (padrão): O usuário pode configurar o brilho da tela.

Automático: O brilho é automático e o usuário não pode alterá-lo. Você ainda pode definir um valor de brilho, que é usado como parte do ajuste automático (totalmente gerenciado no Android 9+; perfis de trabalho em dispositivos corporativos com Android 15+).

Fixo: O brilho é definido com o valor configurado e o usuário não pode alterá-lo. O valor de brilho é obrigatório (totalmente gerenciado no Android 9+; perfis de trabalho em dispositivos corporativos com Android 15+).

Brilho da tela:

Valor de 1 a 255 (1 = mais baixo, 255 = mais alto). Um valor 0 significa que nenhum valor de brilho está definido.

 

6. Configurações de tempo limite da tela

Controla se o usuário pode configurar o tempo limite da tela e, quando aplicado, o valor do tempo limite.

O campo Modo de tempo limite da tela seleciona entre o comportamento controlado pelo usuário e o comportamento aplicado.

Escolha do usuário (padrão): O usuário pode configurar o tempo limite da tela.

Aplicado: O tempo limite da tela é definido com o valor configurado e o usuário não pode alterá-lo (totalmente gerenciado no Android 9+; perfis de trabalho em dispositivos corporativos com Android 15+).

Tempo limite da tela:

Duração do tempo limite em segundos. O valor deve ser maior que 0. Se for maior que Tempo máximo para bloquear, o sistema poderá limitá-lo e relatar não conformidade.

 

7. Captura de tela desativada

Se a captura de tela está desativada.

 

8. Ajuste de volume desativado

Se o ajuste do volume principal está desativado.

 

9. Montagem de mídia física desativada

Se a montagem de mídia física externa está desativada.

Políticas - Android

Celular

Nesta seção, você pode configurar políticas relacionadas à rede celular.

 

1. Modo avião

Controla se o usuário pode ativar ou desativar o modo avião.

Escolha do usuário (padrão): o usuário pode ativar ou desativar o modo avião.

Desativado: o modo avião fica desativado. O usuário não pode ativar o modo avião. Compatível com Android 9 e superior.

 

2. 2G celular

Controla se o usuário pode ativar ou desativar a configuração de 2G celular.

Escolha do usuário (padrão): o usuário pode ativar ou desativar o 2G celular.

Desativado: o 2G celular fica desativado. O usuário não pode ativar o 2G celular pelas configurações. Compatível com Android 14 e superior.

 

3. Substituir APNs

Controla se os APNs de substituição estão ativados ou desativados. Quando ativados, somente os APNs de substituição configurados são usados, e todos os outros APNs no dispositivo são ignorados.

Desativado (padrão): Todas as configurações de APN definidas são salvas no dispositivo, mas ficam desativadas e não têm efeito. Todos os outros APNs no dispositivo continuam em uso.

Ativado: Somente os APNs de substituição são usados; todos os outros APNs são ignorados. Esta configuração só pode ser definida em dispositivos totalmente gerenciados com Android 10 ou superior.

 

4. Configurações de APN

Configure uma ou mais entradas de APN. Use Adicionar APN para criar uma entrada e Remover APN para excluí-la.

Cada APN tem campos obrigatórios:

Tipos de APN: Selecione um ou mais tipos de tráfego para este APN (a disponibilidade depende do modo de gerenciamento e da versão do Android).

Nome do APN: O identificador do APN fornecido pela sua operadora.

Nome de exibição: Nome amigável mostrado na interface.

 

Campos opcionais de APN:

Tipo de autenticação, Nome de usuário, Senha: Configure a autenticação da operadora (se necessário).

Protocolo e Protocolo de roaming: Configuração do protocolo IP.

Tipos de rede: Restrinja as tecnologias celulares que o APN pode usar (por exemplo, LTE/5G NR).

Endereço do proxy e Porta do proxy: Proxy HTTP para tráfego de dados (se aplicável).

Endereço do proxy MMS, Porta do proxy MMS, MMSC (URI do centro de MMS): Configurações relacionadas a MMS.

ID numérico da operadora (MCC+MNC) e ID da operadora: Campos de identificação da operadora.

Configuração sempre ativa: Se a sessão PDU ativada por este APN deve permanecer sempre ativa. Compatível com Android 15 ou superior.

Tipo de MVNO: Tipo de identificador da operadora de rede virtual móvel.

MTU IPv4 e MTU IPv6: Unidade máxima de transmissão para rotas IPv4/IPv6. Compatível com Android 13 ou superior.

 

5. Configuração de transmissão celular desativada

Se a configuração de transmissão celular está desativada.

 

6. Configuração de redes móveis desativada

Se a configuração de redes móveis está desativada.

 

7. Dados em roaming desativados

Se os serviços de dados em roaming estão desativados.

 

8. Chamadas de saída desativadas

Se as chamadas de saída estão desativadas.

 

9. SMS desativados

Se o envio e o recebimento de mensagens SMS estão desativados.

 

10. Configuração de fatiamento de rede 5G

Configure os serviços de rede preferencial para ativar o fatiamento de rede 5G corporativo. Você pode configurar até 5 fatias corporativas e atribuir aplicativos a redes específicas para otimizar o roteamento de tráfego.

10.1. Rede preferencial padrão

ID da rede preferencial padrão para aplicativos que não estão na lista de aplicativos, ou se a Rede preferencial de um aplicativo não estiver definida. É preciso ter uma configuração para o ID de rede especificado (a menos que esteja definido como Nenhuma rede preferencial).

Observação: aplicativos críticos como com.google.android.apps.work.clouddpc e com.google.android.gms são excluídos desta configuração padrão.

 

10.2. Configurações de serviço de rede

Use Adicionar configuração de rede para criar uma configuração de fatia. Você pode adicionar até 5 configurações. Cada configuração tem:

ID da rede preferencial (atribuído automaticamente): O ID da rede é atribuído automaticamente e não pode ser alterado.

Recorrer à conexão padrão: Se o fallback para a rede padrão de todo o dispositivo é permitido. Se não for permitido, os aplicativos não poderão acessar a internet caso a fatia 5G não esteja disponível.

Redes não correspondentes: Se os aplicativos sujeitos a esta configuração podem usar redes diferentes do serviço preferencial. Se definido como Não permitido, Recorrer à conexão padrão também deve ser Não permitido. Requer Android 14 ou superior.

Políticas - Android

Rede

Nesta seção, você pode configurar políticas relacionadas a rede.

As configurações de Wi‑Fi podem ser provisionadas e gerenciadas pelo sistema por meio de Configurações de WiFi. Dependendo do valor definido em Configurar Wi‑Fi, os usuários podem ter controle limitado ou nenhum controle sobre adicionar/modificar redes.

 

Estado do rádio do dispositivo

1. Estado do Wi‑Fi

Controla o estado atual do Wi‑Fi e se o usuário pode alterar esse estado.

Escolha do usuário (padrão): O usuário pode ativar/desativar o Wi‑Fi.

Ativado: O Wi‑Fi está ligado e o usuário não pode desativá-lo (Android 13+).

Desativado: O Wi‑Fi está desligado e o usuário não pode ativá-lo (Android 13+).

 

2. Nível mínimo de segurança do Wi‑Fi

O nível mínimo de segurança exigido das redes Wi‑Fi às quais o dispositivo pode se conectar. Compatível com Android 13 ou superior, para dispositivos totalmente gerenciados e perfis de trabalho em dispositivos corporativos.

Rede aberta (padrão): O dispositivo pode se conectar a todos os tipos de redes Wi‑Fi.

Rede pessoal: Não permite redes Wi‑Fi abertas; exige pelo menos segurança pessoal (por exemplo, WPA2‑PSK).

Rede corporativa: Exige redes EAP corporativas; não permite redes Wi‑Fi abaixo deste nível de segurança.

Rede corporativa de 192 bits: Exige redes corporativas de 192 bits; opção mais restritiva.

 

3. Estado da banda ultralarga (UWB)

Controla o estado da configuração de banda ultralarga e se o usuário pode ativá-la ou desativá-la.

Escolha do usuário (padrão): O usuário pode ativar ou desativar o UWB.

Desativado: O UWB está desativado e o usuário não pode ativá-lo pelas configurações (Android 14+).

 

Gerenciamento de conectividade do dispositivo

4. Compartilhamento por Bluetooth

Controla se o compartilhamento por Bluetooth é permitido.

Permitido: O compartilhamento por Bluetooth é permitido (padrão em dispositivos totalmente gerenciados, Android 8+).

Não permitido: O compartilhamento por Bluetooth não é permitido (padrão em perfis de trabalho, Android 8+).

 

5. Configurar Wi‑Fi

Controla os privilégios de configuração do Wi‑Fi. Dependendo da opção selecionada, o usuário tem controle total, limitado ou nenhum controle na configuração de redes Wi‑Fi.

Permitir configurar o Wi‑Fi (padrão): O usuário pode configurar o Wi‑Fi.

Não permitir adicionar configuração de Wi‑Fi: Não é permitido adicionar novas configurações de Wi‑Fi. O usuário pode alternar entre redes já configuradas (Android 13+; totalmente gerenciado e perfis de trabalho corporativos).

Não permitir configurar o Wi‑Fi: Não permite configurar redes Wi‑Fi. Em dispositivos totalmente gerenciados, isso remove as redes configuradas pelo usuário e mantém apenas as redes configuradas via Configurações de WiFi. Em perfis de trabalho corporativos, as redes existentes não são afetadas, mas os usuários não podem adicionar/remover/modificar redes Wi‑Fi.

Quando a configuração do Wi‑Fi está desativada e o dispositivo não consegue se conectar na inicialização, o sistema pode mostrar o mecanismo de escape de rede para permitir que o usuário se conecte temporariamente e atualize a política.

 

6. Configurações de Wi‑Fi Direct

Controla a configuração e o uso das configurações de Wi‑Fi Direct. Compatível com dispositivos corporativos com Android 13 ou superior.

Permitir (padrão): O usuário pode usar o Wi‑Fi Direct.

Não permitir: O usuário não pode usar o Wi‑Fi Direct.

 

7. Configurações de ancoragem

Controla as configurações de ancoragem. Com base no valor definido, o usuário fica parcial ou totalmente impedido de usar diferentes formas de ancoragem.

Permitir toda ancoragem (padrão): Permite a configuração e o uso de todas as formas de ancoragem.

Não permitir ancoragem Wi‑Fi: Impede o usuário de usar ancoragem Wi‑Fi (dispositivos corporativos com Android 13+).

Não permitir toda ancoragem: Não permite nenhuma forma de ancoragem (totalmente gerenciado + perfis de trabalho corporativos).

 

8. Política de SSID do Wi‑Fi

Restrições sobre a quais SSIDs de Wi‑Fi o dispositivo pode se conectar (isso não afeta quais redes podem ser configuradas no dispositivo). Compatível com dispositivos corporativos com Android 13 ou superior.

Lista de bloqueio de SSID (padrão): O dispositivo não pode se conectar a nenhuma rede Wi‑Fi cujo SSID esteja listado, mas pode se conectar a outras redes.

Lista de permissões de SSID: O dispositivo pode se conectar apenas aos SSIDs listados. A lista de SSIDs não pode estar vazia.

Use Adicionar SSID para adicionar entradas. Dependendo do tipo de política selecionado, a lista é interpretada como SSIDs permitidos ou negados.

Na interface do Editor de Políticas, a lista de SSIDs é rotulada como SSIDs de Wi‑Fi permitidos para listas de permissões e SSIDs de Wi‑Fi negados para listas de bloqueio.

 

9. Configurações de roaming do Wi‑Fi

Configure o modo de roaming do Wi‑Fi por SSID. Use Adicionar configuração de roaming Wi‑Fi para criar entradas.

Cada entrada inclui:

SSID: O SSID ao qual a configuração de roaming se aplica (obrigatório).

Modo de roaming do Wi‑Fi: Padrão / Desativado / Agressivo. Desativado e Agressivo exigem Android 15+ e são compatíveis apenas com dispositivos totalmente gerenciados e perfis de trabalho em dispositivos corporativos.

 

Restrições de rede

10. Bluetooth desativado

Se o Bluetooth está desativado. Prefira esta configuração em vez de Configuração de Bluetooth desativada, pois a configuração de Bluetooth desativada pode ser contornada pelo usuário.

 

11. Compartilhamento de contatos por Bluetooth desativado

Se o compartilhamento de contatos por Bluetooth está desativado.

 

12. Configuração de Bluetooth desativada

Se a configuração do Bluetooth está desativada.

 

13. Redefinição de rede desativada

Se a redefinição das configurações de rede está desativada.

 

14. Beam de saída desativado

Se o uso de NFC para transmitir dados de aplicativos está desativado.

 

VPN

15. Aplicativo de VPN Always On

Especifique um nome de pacote de VPN Always On para garantir que os dados dos aplicativos gerenciados especificados sempre passem por uma VPN configurada.

Observação: este recurso exige a implantação de um cliente VPN compatível com os recursos Always On e VPN por aplicativo.

 

16. Bloqueio de VPN

Não permite o uso da rede quando a VPN não está conectada.

 

17. Configuração de VPN desativada

Se a configuração da VPN está desativada.

 

Proxy e serviços de rede

18. Serviço de rede preferencial

Controla se o serviço de rede preferencial está ativado no perfil de trabalho. Por exemplo, uma organização pode ter um acordo com uma operadora para que os dados de trabalho sejam enviados por um serviço de rede da operadora dedicado ao uso corporativo (por exemplo, uma fatia corporativa em redes 5G). Isso não tem efeito em dispositivos totalmente gerenciados.

Desativado: O serviço de rede preferencial está desativado no perfil de trabalho.

Ativado: O serviço de rede preferencial está ativado no perfil de trabalho.

Se você usar fatiamento de rede corporativo, configure também Configuração de fatiamento de rede 5G no painel de política Celular e atribua aplicativos a uma fatia usando a configuração Rede preferencial deles.

 

O proxy HTTP global independente de rede. Normalmente, os proxies devem ser configurados por rede nas configurações de WiFi. Um proxy global pode ser útil para configurações incomuns, como filtragem interna geral. O proxy global é apenas uma recomendação e alguns aplicativos podem ignorá-lo.

Desativado

Proxy direto

Configuração automática de proxy (PAC)

19.1. Host

O host do proxy direto.

19.2. Porta

A porta do proxy direto.

19.3. URI do PAC

O URI do script PAC usado para configurar o proxy.

19.4. Hosts excluídos

Para um proxy direto, os hosts para os quais o proxy é ignorado. Os nomes de host podem conter curingas, como *.example.com.

Use Adicionar host excluído para adicionar entradas (disponível apenas para proxy direto).

 

Configurações de Wi-Fi

Defina configurações de rede Wi‑Fi que o sistema aplicará nos dispositivos. Use Adicionar configuração de Wi‑Fi para criar uma entrada e remova-a com a ação de excluir.

20. Campos de configuração de Wi‑Fi

Cada configuração inclui:

Nome da configuração: Obrigatório.

SSID: Obrigatório.

Conexão automática: Se a rede deve ser conectada automaticamente quando estiver ao alcance.

Transição rápida: Se o cliente deve tentar usar a Transição rápida (IEEE 802.11r-2008) com a rede.

SSID oculto: Se o SSID será transmitido.

Modo de randomização de MAC: Hardware ou Automático (Android 13+).

 

20.1. Segurança

Opções de segurança de Wi‑Fi:

WEP‑PSK: WEP (Chave pré-compartilhada).

WPA‑PSK: WPA/WPA2/WPA3-Personal (Chave pré-compartilhada).

WPA‑EAP: WPA/WPA2/WPA3-Enterprise (Extensible Authentication Protocol).

Modo de 192 bits do WPA3: Rede WPA‑EAP que permite apenas o modo de 192 bits do WPA3.

20.2. Frase secreta (Chave pré‑compartilhada)

Exibido quando a Segurança é WEP‑PSK ou WPA‑PSK. A frase secreta é obrigatória.

20.3. Método EAP (Enterprise)

Exibido quando a Segurança é WPA‑EAP ou Modo de 192 bits do WPA3. Selecione um método externo EAP:

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. Autenticação da fase 2

Exibido para métodos externos de tunelamento (EAP‑TTLS e PEAP).

MSCHAPv2

PAP

20.5. Credenciais EAP dos usuários

Quando ativado, o sistema aplica automaticamente as credenciais EAP nos dispositivos por usuário. Você pode configurar as credenciais do usuário na seção Usuários.

20.6. Certificado do cliente

Para EAP‑TLS, você pode atribuir um certificado de cliente usado para autenticação Wi‑Fi. Para mais informações, leia a página Gerenciamento de certificados.

Se um certificado já estiver atribuído, você pode usar Abrir certificado para visualizá-lo ou Alterar certificado para selecionar outro.

Como alternativa, você pode especificar o Alias do par de chaves do certificado do cliente, que faz referência a um certificado de cliente armazenado no chaveiro do Android e permitido para autenticação Wi‑Fi.

Se tanto Certificado do cliente quanto Alias do par de chaves do certificado do cliente estiverem definidos, o alias do par de chaves será ignorado.

20.7. Identidade

Identidade do usuário. Para protocolos externos de tunelamento (PEAP, EAP‑TTLS), ela é usada para autenticar dentro do túnel, e a Identidade anônima é usada para a identidade EAP fora do túnel. Para protocolos externos sem tunelamento, ela é usada para a identidade EAP.

20.8. Identidade anônima

Apenas para protocolos de tunelamento, indica a identidade do usuário apresentada ao protocolo externo.

20.9. Senha

Senha do usuário. Se não especificada, o padrão é solicitar ao usuário.

20.10. Certificados de CA do servidor

Lista de certificados de CA a serem usados para verificar a cadeia de certificados do host. Pelo menos um certificado de CA deve corresponder. Para mais informações, leia a página Gerenciamento de certificados.

Use Adicionar certificado de CA do servidor para adicionar entradas e remova-as com a ação de excluir.

20.11. Correspondências de sufixo de domínio

Uma lista de restrições para o nome de domínio do servidor. As entradas são usadas como requisitos de correspondência de sufixo em relação ao(s) nome(s) DNS do nome alternativo da entidade de um certificado de servidor de autenticação.

 

Políticas - Android

Sistema

Nesta seção, você pode configurar políticas relacionadas ao sistema.

 

1. Nível mínimo de API

O nível mínimo de API do Android permitido.

 

2. Política de criptografia

Se a criptografia está ativada.

Padrão: Este valor é ignorado, ou seja, nenhuma criptografia é exigida.

Ativada sem senha: Criptografia exigida, mas nenhuma senha é necessária para inicializar.

Ativada com senha: Criptografia exigida com senha necessária para inicializar.

 

3. Data e hora automáticas

Se a data, a hora e o fuso horário automáticos estão ativados em um dispositivo corporativo.

Escolha do usuário (padrão): A data, a hora e o fuso horário automáticos ficam a critério do usuário.

Aplicado: Aplica data, hora e fuso horário automáticos no dispositivo.

 

4. Configurações do desenvolvedor

Controla o acesso às configurações do desenvolvedor: opções do desenvolvedor e inicialização segura.

Desativado (padrão): desativa todas as configurações do desenvolvedor e impede que o usuário acesse.

Permitido: permite todas as configurações do desenvolvedor. O usuário pode acessar e, opcionalmente, configurar as configurações.

 

5. Modo Common Criteria

Controla o Modo Common Criteria — padrões de segurança definidos no Common Criteria for Information Technology Security Evaluation (CC). Ativar o Modo Common Criteria aumenta determinados componentes de segurança em um dispositivo (por exemplo: criptografia AES-GCM de Bluetooth Long Term Keys, validação adicional de alguns certificados de rede e verificações de integridade da política criptográfica). O Modo Common Criteria é compatível apenas com dispositivos de propriedade da empresa que executam Android 11 ou superior. Aviso: o Modo Common Criteria impõe um modelo de segurança rígido, normalmente necessário apenas para organizações altamente sensíveis. O uso padrão do dispositivo pode ser afetado; ative-o somente se necessário.

Desativado (padrão): desativa o Modo Common Criteria.

Ativado: ativa o Modo Common Criteria.

 

6. Memory Tagging Extension (MTE)

Controla o Memory Tagging Extension (MTE) no dispositivo.

Escolha do usuário (padrão): o usuário pode escolher ativar ou desativar o MTE no dispositivo (se o dispositivo for compatível).

Imposto: o MTE está ativado e o usuário não tem permissão para alterá-lo (Android 14+; compatível com dispositivos totalmente gerenciados e perfis de trabalho em dispositivos de propriedade da empresa).

Desativado: o MTE está desativado e o usuário não tem permissão para alterá-lo (Android 14+; compatível apenas com dispositivos totalmente gerenciados).

 

7. Proteção de conteúdo

Controla se a proteção de conteúdo (que verifica apps enganosos) está ativada. Isso é compatível com Android 15 e superior.

Desativado (padrão): a proteção de conteúdo está desativada e o usuário não pode alterar isso.

Imposto: a proteção de conteúdo está ativada e o usuário não pode alterar isso (Android 15+).

Escolha do usuário: a proteção de conteúdo não é controlada pela política; o usuário pode escolher (Android 15+).

 

8. Conteúdo do Assist

Controla se o AssistContent pode ser enviado a um app privilegiado, como um app assistente (por exemplo, Circle to Search). O AssistContent inclui capturas de tela e informações sobre um app, como o nome do pacote. Isso é compatível com Android 15 e superior.

Permitido (padrão): o conteúdo do Assist pode ser enviado a um app privilegiado (Android 15+).

Não permitido: o conteúdo do Assist é bloqueado e não pode ser enviado a um app privilegiado (Android 15+).

 

9. Criação de janelas desativada

Se a criação de janelas além das janelas de apps está desativada. Esta opção impede a exibição das seguintes interfaces do sistema: toasts e snackbars, atividades do telefone (como chamadas recebidas) e atividades prioritárias do telefone (como chamadas em andamento), alertas do sistema, erros do sistema e sobreposições do sistema.

 

10. Válvula de escape de rede

Se a válvula de escape de rede está ativada. Se não for possível estabelecer uma conexão de rede na inicialização, a válvula de escape solicita que o usuário se conecte temporariamente a uma rede para atualizar a política do dispositivo. Após a aplicação da política, a rede temporária será esquecida e o dispositivo continuará a inicialização. Isso evita ficar sem conexão de rede quando não houver uma rede adequada na última política e o dispositivo iniciar em um app no modo de tarefa bloqueada, ou quando o usuário não conseguir acessar as configurações do dispositivo.

 

11. Atividades padrão

Uma lista de atividades padrão para processar intents que correspondem a um filtro de intent específico. Por exemplo, este recurso permite que os administradores de TI escolham qual app de navegador abre automaticamente links da web ou qual app launcher é usado ao tocar no botão home.

Use Adicionar atividade padrão para criar entradas. Dentro de uma entrada, use Adicionar ação e Adicionar categoria para montar o filtro de intent.

11.1. Atividade receptora

A atividade que deve ser o manipulador de intent padrão. Deve ser um nome de componente Android, por exemplo, com.android.enterprise.app/.MainActivity. Como alternativa, o valor pode ser o nome do pacote de um app, o que faz o Android Device Policy escolher uma atividade apropriada do app para processar o intent.

11.2. Ação

As ações de intent a serem correspondidas no filtro. Se alguma ação estiver incluída no filtro, a ação de um intent deverá ser um desses valores para haver correspondência. Se nenhuma ação estiver incluída, a ação do intent será ignorada.

11.3. Categoria

As categorias de intent a serem correspondidas no filtro. Um intent inclui as categorias de que precisa, e todas elas devem estar incluídas no filtro para haver correspondência. Em outras palavras, adicionar uma categoria ao filtro não afeta a correspondência, a menos que essa categoria seja especificada no intent.

 

12. Métodos de entrada permitidos

Especifica os métodos de entrada permitidos.

Todos permitidos: nenhuma restrição aplicada. Todos os métodos de entrada são permitidos.

Apenas do sistema: apenas os métodos de entrada integrados do sistema são permitidos.

Apenas do sistema e fornecidos: apenas os métodos de entrada fornecidos e os integrados do sistema são permitidos.

12.1. Métodos de entrada permitidos

Nomes de pacote de métodos de entrada permitidos. Aplica-se apenas quando Métodos de entrada permitidos está definido como Apenas do sistema e fornecidos.

Use Adicionar método de entrada para adicionar entradas e removê-las com a ação de excluir.

 

13. Serviços de acessibilidade permitidos

Especifica os serviços de acessibilidade permitidos.

Todos permitidos: qualquer serviço de acessibilidade pode ser usado.

Apenas do sistema: apenas os serviços de acessibilidade integrados do sistema podem ser usados.

Apenas do sistema e fornecidos: apenas os serviços de acessibilidade fornecidos e os integrados do sistema podem ser usados.

13.1. Serviços de acessibilidade permitidos

Serviços de acessibilidade permitidos. Aplica-se apenas quando Serviços de acessibilidade permitidos está definido como Apenas do sistema e fornecidos.

Use Adicionar serviço de acessibilidade para adicionar entradas e removê-las com a ação de excluir.

 

14. Política de atualização do sistema

Configuração para gerenciar atualizações do sistema.

Padrão: segue o comportamento padrão de atualização do dispositivo, que normalmente exige que o usuário aceite as atualizações do sistema.

Automático: instala automaticamente assim que uma atualização estiver disponível.

Em janela: instala automaticamente dentro de uma janela de manutenção diária. Isso também configura os apps do Play para serem atualizados dentro da janela. Essa opção é altamente recomendada para dispositivos do tipo quiosque, pois é a única forma de o Play atualizar apps fixados permanentemente em primeiro plano.

Adiar: adia a instalação automática por até no máximo 30 dias.

 

14.1. Janela de manutenção (somente Em janela)

Quando Política de atualização do sistema está definida como Em janela, você pode definir a janela de manutenção diária usando os campos de e até.

 

14.2. Períodos de congelamento de atualizações do sistema

Um período repetido anualmente em que as atualizações do sistema via over-the-air (OTA) são adiadas para congelar a versão do sistema operacional em execução em um dispositivo. Para evitar o congelamento indefinido do dispositivo, cada período de congelamento deve ser separado por pelo menos 60 dias. Cada período de congelamento não pode exceder 90 dias.

Use Adicionar período de congelamento de atualizações do sistema para criar entradas.

 

15. Provedores de credenciais padrão

Controla quais apps podem atuar como provedores de credenciais no Android 14 e superior.

Não permitido (padrão): apps com credentialProviderPolicy não especificado não podem atuar como provedor de credenciais.

Não permitido, exceto sistema: apps com credentialProviderPolicy não especificado não podem atuar como provedor de credenciais, exceto os provedores de credenciais padrão do OEM.

Políticas - Android

Localização e geocercas

Este painel agrupa as configurações de política do Android que controlam o relatório de localização do dispositivo, a aplicação de localização e as definições de cerca geográfica. Use-o quando quiser que o Cerberus Enterprise colete as localizações dos dispositivos ou detecte quando eles entram ou saem de áreas configuradas.

Relatório de localização

Relatar localização

Ativa o relatório de geolocalização do dispositivo. Os dados de localização coletados por esta configuração são usados pelo mapa de localização do painel, pelo histórico de localização na visão geral do dispositivo e pelo processamento de cercas geográficas.

O histórico de localização e os eventos de geocerca são mantidos por 90 dias e os dados mais antigos são excluídos automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então ele continua nos mapas.

Em dispositivos que não são totalmente gerenciados, os dados de localização ainda podem depender de o app Cerberus Enterprise ter as permissões de localização necessárias e de os serviços de localização estarem habilitados no dispositivo.

Em dispositivos Apple pessoais (Registro de Usuário), a localização e as cercas geográficas ficam desativadas por padrão: só estão disponíveis quando a política da Apple tem Localização e cercas geográficas em dispositivos pessoais ativado e apenas se o usuário permitir a localização para o aplicativo Cerberus Enterprise.

Modo de localização

Controla a configuração de localização do dispositivo em dispositivos corporativos.

Compartilhamento de localização desativado

Desativa o compartilhamento de localização para aplicativos de trabalho. Em dispositivos com proprietário de perfil, isso afeta o perfil de trabalho. Em dispositivos totalmente gerenciados, desativa a localização de todo o dispositivo e substitui o modo de localização do dispositivo.

Comportamento automático com cercas geográficas ativas

As cercas geográficas ativas exigem que o relatório de localização funcione. Quando pelo menos uma cerca geográfica está ativa, o Cerberus Enterprise mantém automaticamente a consistência das configurações de localização relacionadas.

Se você tentar desativar Relatar localização enquanto uma ou mais cercas geográficas estiverem ativas, o Cerberus Enterprise exibirá uma caixa de diálogo de confirmação. Se você continuar, todas as cercas geográficas ativas na política serão desativadas.

Lista de cercas geográficas

Uma política pode conter até 10 cercas geográficas. Os nomes das cercas geográficas devem ser exclusivos dentro da política.

Use Adicionar cerca geográfica para criar uma nova entrada. Cada cerca geográfica contém estes campos principais:

Pelo menos uma das opções Relatar entrada ou Relatar saída deve permanecer ativada para cada cerca geográfica.

O raio mínimo era de 100 metros anteriormente. As cercas geográficas existentes menores que 200 metros continuam funcionando e são mantidas como estão quando você salva a política, mesmo se você as mover ou renomear. Se você alterar o raio delas, ele deve ser de pelo menos 200 metros.

Ferramentas de edição do mapa

Cada cartão de cerca geográfica inclui uma prévia do mapa da área. Você pode editar a geometria pelo mapa ou pelos campos numéricos.

Onde os dados de cerca geográfica aparecem

As transições de cerca geográfica podem ser revisadas na página Visão geral do dispositivo do Android, na aba Cerca geográfica do painel de localização. Essa aba mostra as transições em um mapa dedicado, junto com ferramentas de filtragem e a lista de transições.

Políticas - Android

Gerenciamento de usuários

Adição de usuário desativada

Se a adição de novos usuários e perfis está desativada. Para dispositivos em que managementMode é DEVICE_OWNER, este campo é ignorado e o usuário nunca tem permissão para adicionar ou remover usuários.

 

Modificação de contas desativada

Se a adição ou remoção de contas está desativada.

 

Configuração de credenciais do usuário desativada

Se a configuração de credenciais do usuário está desativada.

 

Remoção de usuário desativada

Se a remoção de outros usuários está desativada.

 

Definição do ícone do usuário desativada

Se a alteração do ícone do usuário está desativada.

 

Definição do papel de parede desativada

Se a alteração do papel de parede está desativada.

 

Autenticação na configuração da conta de trabalho

Controla como os usuários se autenticam durante a configuração da conta de trabalho. Esta opção está disponível apenas para empresas Android com um domínio gerenciado do Google (Google Workspace).

Durante a configuração/registro do dispositivo, esta política influencia se é necessário entrar com uma conta de trabalho, mas a configuração Autenticar usando o Google do Google Admin Console e o tipo de token de registro ainda podem exigir autenticação.

Para dispositivos já registrados, esta política só se aplica se o dispositivo for gerenciado por uma conta do Managed Google Play (ou seja, registrado sem Autenticar usando o registro do Google).

Para mais detalhes e solução de problemas, consulte Autenticar usando o registro do Google.

 

Tipos de conta bloqueados

Tipos de conta que não podem ser gerenciados pelo usuário. Esta opção impede que os usuários do dispositivo adicionem contas não aprovadas.

Use Adicionar tipo de conta bloqueado para adicionar um ou mais tipos de conta.

Cada entrada tem um campo Tipo de conta (obrigatório). Insira uma string como com.google. Remova uma entrada usando a ação de excluir.

Políticas - Android

Uso pessoal

Ao provisionar um dispositivo corporativo para uso profissional e pessoal, você pode especificar algumas regras para limitar como o usuário pode operar o dispositivo para uso pessoal, fora do perfil de trabalho.

Esta seção se aplica apenas a dispositivos corporativos com perfil de trabalho. Ela não terá efeito em dispositivos totalmente gerenciados ou de propriedade pessoal.

1. Câmera desativada

Se a câmera está desativada.

 

2. Captura de tela desativada

Se a captura de tela está desativada.

 

3. Máximo de dias com o trabalho desligado

Controla por quanto tempo o perfil de trabalho pode permanecer desligado.

 

4. Compartilhamento via Bluetooth

Controla se o compartilhamento via Bluetooth é permitido no perfil pessoal de um dispositivo corporativo com perfil de trabalho.

 

5. Espaço privado

Controla se um espaço privado é permitido no dispositivo.

 

6. Modo da Play Store

Este modo controla quais apps são permitidos ou bloqueados para o usuário na Play Store do perfil pessoal.

Lista de bloqueio (padrão): Todos os apps estão disponíveis e qualquer app que não deva estar no dispositivo deve ser marcado explicitamente como Bloqueado na seção Aplicativos.

Lista de permissões: Apenas apps especificados explicitamente na seção Aplicativos com Tipo de instalação definido como Disponível podem ser instalados no perfil pessoal.

 

7. Aplicativos

Lista de aplicativos que devem ser permitidos ou bloqueados no perfil pessoal. O comportamento do conteúdo da lista depende do valor definido em Modo da Play Store.

Para adicionar um novo app da Play Store, clique no ícone +.

7.1. Tipo de instalação

Tipos de comportamentos de instalação que um aplicativo do perfil pessoal pode ter.

Bloqueado: O app está bloqueado e não pode ser instalado no perfil pessoal.

Disponível: O app está disponível para instalação no perfil pessoal.

 

8. Tipos de conta bloqueados

Tipos de conta que não podem ser gerenciados pelo usuário. Esta opção impede que os usuários do dispositivo adicionem contas não aprovadas no perfil pessoal.

Políticas - Android

Políticas entre perfis

Aplica-se apenas a dispositivos com perfis pessoal e de trabalho.

Copiar/colar entre perfis

Se o texto copiado de um perfil (pessoal ou de trabalho) pode ser colado no outro perfil.

Não permitido (padrão): Impede que os usuários colem no perfil pessoal textos copiados do perfil de trabalho. Textos copiados do perfil pessoal podem ser colados no perfil de trabalho.

Permitido: O texto copiado em qualquer um dos perfis pode ser colado no outro perfil.

 

Compartilhamento de dados entre perfis

Se os dados de um perfil (pessoal ou de trabalho) podem ser compartilhados com aplicativos no outro perfil. Controla especificamente o compartilhamento simples de dados via intents. O gerenciamento de outros canais de comunicação entre perfis, como busca de contatos, copiar/colar,
ou aplicativos de trabalho e pessoais conectados, é configurado separadamente.

Não permitido: Impede o compartilhamento de dados tanto do perfil pessoal para o perfil de trabalho quanto do perfil de trabalho para o perfil pessoal.

Trabalho para pessoal não permitido (padrão): Impede que os usuários compartilhem dados do perfil de trabalho com aplicativos no perfil pessoal. Dados pessoais podem ser compartilhados com aplicativos de trabalho.

Permitido: Os dados de qualquer um dos perfis podem ser compartilhados com o outro perfil.

 

Padrão de widgets do perfil de trabalho

Comportamento padrão dos widgets do perfil de trabalho. Se um aplicativo específico não definir uma política de widgets, ele seguirá o padrão definido aqui.

 

Funções de aplicativos entre perfis

Controla se os aplicativos do perfil pessoal podem invocar funções de aplicativos do perfil de trabalho. Isso requer Android 16 ou superior.

Esta configuração depende da opção Funções de aplicativos no nível da política (na seção Gerenciamento de aplicativos). Se Funções de aplicativos estiver definida como Não permitido, a API rejeitará Funções de aplicativos entre perfis definidas como Permitido.

 

Contatos de trabalho no perfil pessoal

Se os contatos armazenados no perfil de trabalho podem ser exibidos nas pesquisas de contatos e nas chamadas recebidas do perfil pessoal.

Permitido (padrão): Permite que os contatos do perfil de trabalho apareçam no perfil pessoal.

Não permitido: Impede que os aplicativos pessoais acessem os contatos do perfil de trabalho e pesquisem contatos de trabalho.

Não permitido, exceto sistema: Impede a maioria dos aplicativos pessoais de acessar os contatos do perfil de trabalho, exceto os aplicativos Discador, Mensagens e Contatos padrão do OEM (Android 14+).

Quando Contatos de trabalho no perfil pessoal está configurado, você pode definir opcionalmente uma lista de entradas de Nome de pacote isento. Dependendo do modo selecionado, essas isenções funcionam como lista de permissões ou lista de bloqueio para aplicativos pessoais.

Políticas - Android

Relatórios de status

Nesta seção, você pode configurar quais dados devem ser recuperados do dispositivo. Os dados de status podem ser visualizados na página do painel Status do dispositivo.

 

Relatórios de aplicativos

Se os relatórios de apps estão ativados. (Informações relatadas sobre um app instalado.)

Esta opção é exigida pelo sistema (para integração com o app complementar) e está sempre ativada; não pode ser desativada.

 

Incluir apps removidos

Se os apps removidos são incluídos nos relatórios de aplicativos.

 

Configurações do dispositivo

Se o relatório de configurações do dispositivo está ativado. (Informações sobre configurações do dispositivo relacionadas à segurança.)

 

Informações de software

Se o relatório de informações de software está ativado. (Informações sobre o software do dispositivo.)

 

Informações de memória

Se o relatório de memória está ativado. (Um evento relacionado a medições de memória e armazenamento.)

 

Informações de rede

Se o relatório de informações de rede está ativado. (Informações de rede do dispositivo.)

 

Informações de tela

Se o relatório de telas está ativado. Os dados do relatório não estão disponíveis para dispositivos de propriedade pessoal com perfis de trabalho. (Informações de tela do dispositivo.)

 

Eventos de gerenciamento de energia

Se o relatório de eventos de gerenciamento de energia está ativado. Os dados do relatório não estão disponíveis para dispositivos de propriedade pessoal com perfis de trabalho.

 

Status de hardware

Se o relatório de status de hardware está ativado. Os dados do relatório não estão disponíveis para dispositivos de propriedade pessoal com perfis de trabalho.

 

Propriedades do sistema

Se o relatório de propriedades do sistema está ativado.

 

Modo Common Criteria

Se o relatório do Modo Common Criteria está ativado.

Políticas - Android

Diversos

1. Jogo easter egg desativado

Se o jogo easter egg nas Configurações está desativado.

 

2. Ignorar dicas de primeiro uso

Sinalizador para ignorar dicas no primeiro uso. O administrador corporativo pode ativar a recomendação do sistema para que os aplicativos ignorem o tutorial do usuário e outras dicas introdutórias na primeira inicialização.

 

3. Mensagem de suporte curta

Uma mensagem exibida ao usuário na tela de configurações sempre que uma funcionalidade tiver sido desativada pelo administrador. Se a mensagem tiver mais de 200 caracteres, ela poderá ser truncada.

 

4. Mensagem de suporte longa

Uma mensagem exibida ao usuário na tela de configurações dos administradores do dispositivo.

 

5. Informações do proprietário na tela de bloqueio

As informações do proprietário do dispositivo a serem exibidas na tela de bloqueio.

 

6. Ações de configuração

Ações a executar durante o processo de configuração. Durante o registro, você pode exigir que o usuário abra um ou mais aplicativos necessários para a configuração do dispositivo.

Use Adicionar ação de configuração para criar entradas e remova-as com a ação de exclusão.

6.1. Iniciar aplicativo

Nome do pacote do aplicativo a ser iniciado

6.2. Título

Fornece uma mensagem para o usuário, a fim de explicar por que o aplicativo precisa ser iniciado.

6.3. Descrição

Fornece uma mensagem para o usuário, a fim de explicar por que o aplicativo precisa ser iniciado.

 

7. Visibilidade do nome de exibição da empresa

Controla se o nome de exibição da empresa é visível no dispositivo (por exemplo, como mensagem na tela de bloqueio em dispositivos corporativos).

Visível (padrão): O nome de exibição da empresa é visível no dispositivo (compatível com perfis de trabalho no Android 7+ e dispositivos totalmente gerenciados no Android 8+).

Oculto: O nome de exibição da empresa fica oculto no dispositivo.

Políticas - Android

Regras de conformidade

Se um dispositivo ou perfil de trabalho não estiver em conformidade com qualquer uma das configurações de política listadas abaixo, o Android Device Policy bloqueará imediatamente o uso do dispositivo ou perfil de trabalho por padrão:

Se o dispositivo ou o perfil de trabalho continuar não conforme após 10 dias, o Android Device Policy fará a redefinição de fábrica do dispositivo ou excluirá o perfil de trabalho.

Nesta seção, você pode substituir as regras padrão de aplicação de conformidade ou adicionar novas regras.

Regras

Lista de regras que definem o comportamento quando uma política específica não pode ser aplicada a um dispositivo.

Use Adicionar regra para criar uma nova regra. Cada cartão de regra pode ser removido usando a ação de excluir.

Nome da configuração

A política de nível superior a ser aplicada. Por exemplo, Aplicativos ou Requisitos de senha.

Obrigatório. O valor deve corresponder a um nome de política de nível superior com suporte; caso contrário, o campo será marcado como inválido.

Bloquear após dias

Número de dias em que a política fica fora de conformidade antes de o dispositivo ou perfil de trabalho ser bloqueado. Para bloquear o acesso imediatamente, defina como 0. Bloquear após dias deve ser menor que Apagar após dias. Aplicável apenas a dispositivos corporativos.

Intervalo permitido: 0–300.

Escopo do bloqueio

Especifica o escopo da ação de bloqueio. Aplicável apenas a dispositivos corporativos.

Padrão (nova regra): Perfil de trabalho.

Perfil de trabalho: A ação de bloqueio é aplicada apenas aos apps do perfil de trabalho. Os apps do perfil pessoal não são afetados.

Dispositivo inteiro: A ação de bloqueio é aplicada ao dispositivo inteiro, incluindo os apps do perfil pessoal.

Apagar após dias

Número de dias em que a política fica fora de conformidade antes de o dispositivo ou perfil de trabalho ser apagado.
Apagar após dias deve ser maior que Bloquear após dias. Aplicável apenas a dispositivos corporativos.

Obrigatório. Padrão (nova regra): 1.

Intervalo permitido: 1–300.

Preservar a proteção contra restauração de fábrica

Se os dados de proteção contra restauração de fábrica são preservados no dispositivo. Esta configuração não se aplica a perfis de trabalho.

Padrão (nova regra): ativado.

Políticas - Apple

Políticas - Apple

Políticas da Apple

As políticas da Apple definem configurações de gerenciamento que o Cerberus Enterprise aplica aos dispositivos Apple via MDM. Essas configurações são definidas no painel, no editor de políticas da Apple.

Antes de começar

O gerenciamento de dispositivos Apple exige que o Apple Management (APNs) esteja configurado. Se necessário, leia a página Configuração do Apple Management (APNs).

Abrir o Editor de Políticas da Apple

No painel, abra Políticas e clique em Criar nova política da Apple. Para editar uma política da Apple existente, clique na linha dela na tabela de políticas.

Layout do editor

O Editor de Políticas da Apple é organizado como um conjunto de seções expansíveis. No topo da página, você sempre pode editar:

Seções da política

As seções abaixo correspondem aos painéis disponíveis no momento no Editor de Política da Apple. Quando você abre uma política salva, as seções com configurações alteradas já estão abertas e as demais permanecem fechadas:

Muitas opções no Editor de Políticas da Apple incluem uma dica que documenta os requisitos e as versões de SO compatíveis.

Salvar, excluir e dispositivos associados

Use Salvar política para aplicar suas alterações. O botão fica desativado quando não há edições pendentes ou quando a licença está expirada.

Ao editar uma política existente, a página também mostra a ação Excluir política. O editor pode mostrar uma lista de Dispositivos associados na parte inferior, para que você veja quantos dispositivos estão usando a política no momento.

Próximas páginas

Políticas - Apple

Apps e perfis

Esta seção documenta como configurar aplicativos gerenciados e payloads de conta para dispositivos Apple.

Gerenciamento de apps

O painel Gerenciamento de apps contém tanto restrições gerais relacionadas a apps quanto uma lista de apps gerenciados.

Restrições gerais de apps

Apps gerenciados

Use Adicionar aplicativo para adicionar um app à política. Cada app gerenciado é exibido como um cartão. Você pode expandir o cartão para editar suas configurações e remover o app usando a ação de exclusão.

A lista de seleção de apps mostra as licenças disponíveis e totais de cada app. Apps gratuitos mostram Ilimitadas: a Apple concede licenças ilimitadas para eles. Um app pode ser adicionado a uma política apenas uma vez: um app com o mesmo App Store ID ou bundle ID de um app que já está na política é recusado, assim como uma política que lista o mesmo app duas vezes ao ser salva.

A lista de seleção de apps mostra os apps da sua biblioteca do Apple Business. Para adicionar um app, no Apple Business, abra Apps & Services → Apps & Books → App Store, pesquise o app e clique em View. Para um app gratuito, clique em Add, selecione All current and future (ou a unidade organizacional do seu token do Apps and Books) em Organizational Units, clique em Add, depois Review e confirme. Para um app pago, clique no preço, escolha Managed Licenses como License Type (códigos de resgate não podem ser usados pelo Cerberus Enterprise), selecione a Organizational Unit do seu token do Apps and Books, informe o número de Licenses (até 1.000 por pedido), depois Review e compre. Um método de pagamento deve ser configurado primeiro em Settings → Payments & Billing → Apps & Services → Payment Methods. Os apps então aparecem na lista de seleção de apps.

Apps em dispositivos pessoais (Registro de Usuário)

iPhones e iPads pessoais registrados com o Registro de Usuário não têm número de série, então recebem os apps da App Store da política com uma licença de usuário da Conta Apple Gerenciada conectada no dispositivo. O Cerberus registra a conta no Apps and Books e atribui as licenças por conta própria, incluindo apps gratuitos. As Contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Um app pago usa uma licença por conta, compartilhada por todos os dispositivos pessoais dessa conta.

Para os detalhes, consulte Registro orientado por conta da Apple.

Configuração gerenciada

Uma configuração gerenciada fornece a um app suas configurações (por exemplo, um endereço de servidor ou um nome de conta), da forma como o fornecedor do app as documenta. Abra o app na política e clique em Adicionar configuração gerenciada. Ela é enviada a iPhones e iPads com iOS ou iPadOS 18.4 ou posterior e a Macs com macOS 27 ou posterior; ainda não é enviada ao Apple Vision Pro. O app precisa oferecer suporte a configuração gerenciada: um app que não a lê a ignora. O painel do app mostra o número de chaves ao lado do nome do app.

Opções de apps

Cada app da política (da App Store e apps personalizados) tem estas opções. Padrão do dispositivo deixa a escolha para o dispositivo. Dispositivos que não suportam uma opção não a recebem; o app ainda é instalado.

Apps da Mac App Store

A lista de seleção de apps mostra as plataformas de cada app (iPhone/iPad, Mac, Apple TV, Vision); um app que existe apenas para Mac mostra seu ícone de Mac. Um app que existe apenas para Mac se aplica a Macs quando você o adiciona. Um app da App Store sem versão para Mac não é enviado a Macs: a política mostra "Este app não tem versão para Mac: ele não é enviado a Macs" em Aplica-se a. Os Macs recebem apps da App Store pelo App Store ID, então apps com um bundle ID diferente no Mac são instalados corretamente.

App Cerberus Enterprise

O Cerberus instala seu app Cerberus Enterprise em todos os iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo. Ele é instalado como Obrigatório, com uma licença de dispositivo do Apps and Books (uma licença de usuário em dispositivos pessoais), então o usuário não pode excluí-lo.

Apps personalizados

Apps personalizados são os seus próprios apps para iPhone e iPad (arquivos .ipa), distribuídos sem a App Store. No Xcode, exporte o app para distribuição Enterprise (Apple Developer Enterprise Program: ele é instalado em todos os dispositivos) ou distribuição Ad Hoc (ele é instalado apenas nos dispositivos registrados no seu perfil de provisionamento). Builds da App Store não podem ser enviados.

Clique em Adicionar app personalizado para abrir os apps personalizados da sua organização. Enviar app adiciona um arquivo .ipa (até 2 GB). Selecione um app e clique em Adicionar à política. A lista mostra a versão, o tipo de assinatura, o número de dispositivos no perfil de apps ad hoc e a data de expiração do perfil de provisionamento.

Pacotes do Mac

Os apps personalizados também aceitam pacotes de instalação do Mac (arquivos .pkg). O pacote deve ser um pacote de distribuição criado com productbuild (um pacote de componente criado apenas com pkgbuild é recusado) e assinado com um certificado Developer ID Installer. Recomenda-se notarizá-lo e grampear o tíquete (notarytool e stapler). Pacotes não assinados, pacotes alterados depois da assinatura e pacotes assinados com outros certificados são recusados.

Envie o arquivo .pkg com Upload app e adicione-o à política: ele aparece em Pacotes do Mac. iPhones e iPads o ignoram.

Macs com macOS 26 ou posterior (supervisionados, o que inclui Macs registrados manualmente, mas não o Registro do Usuário) recebem o pacote como uma declaração: o Mac baixa, instala, tenta novamente e atualiza o pacote sozinho e informa o estado. Macs mais antigos, e pacotes instalados como apps gerenciados, o recebem com um comando MDM, em qualquer versão do macOS. Um Mac atualizado para o macOS 26 passa para a declaração sozinho; ele pode instalar cada pacote mais uma vez. O mesmo pode acontecer quando um Mac passa para outra política que tem o mesmo pacote.

Contas

O painel Contas permite configurar contas que são aplicadas a dispositivos gerenciados. Ele também inclui um alternador de restrição para modificação de contas.

Restrição

Adicionar contas

Use Adicionar conta do Google ou Adicionar conta de e-mail para adicionar payloads de conta à política. Cada conta aparece como um cartão com os campos de configuração.

Credenciais de conta dos usuários

Os cartões de conta do Google e de e-mail oferecem um alternador Credenciais de conta dos usuários. Quando ativado, o sistema aplica as credenciais de conta por usuário. Quando desativado, você insere a identidade da conta na política.

Campos da conta do Google

Campos da conta de e-mail

As contas de e-mail incluem campos de identidade e a configuração dos servidores de entrada e saída. Os nomes de host são obrigatórios.

Servidor de entrada

Servidor de saída

Opções de S/MIME

Para contas de e-mail, você também pode configurar o comportamento de criptografia e assinatura S/MIME.

Criptografia

Assinatura

As opções de conta e restrição incluem dicas no painel que documentam os pré-requisitos e as versões de sistema operacional suportadas.

Políticas - Apple

Quiosque e Tela de Início

A seção Quiosque e Tela de Início do Editor de Política da Apple bloqueia os dispositivos em um app, escolhe quais apps podem ser abertos, organiza a Tela de Início e adiciona ícones de sites. Cada configuração é instalada nos dispositivos como um perfil de configuração.

A Apple aplica a maioria dessas configurações somente a iPhone e iPad supervisionados (dispositivos registrados com Automated Device Enrollment ou preparados com o Apple Configurator). Outros dispositivos não as recebem. Os clipes da web também funcionam em iPhone e iPad não supervisionados. Macs não recebem nenhuma dessas configurações.

Escolher apps

Os apps são identificados pelo ID do pacote. Digite o nome de um app para escolhê-lo entre os apps integrados da Apple e os apps da política, ou digite qualquer ID de pacote, por exemplo com.example.app.

Modo de App Único

O dispositivo executa somente o app escolhido: os usuários não podem voltar à Tela de Início nem abrir outros apps. Instale o app com a política primeiro. O dispositivo sai do Modo de App Único quando você desativa a configuração ou remove o app.

Apps permitidos e bloqueados

Com Permitir apenas alguns apps, todo app que não estiver na lista desaparece dos dispositivos, incluindo os apps da política. Ajustes e, no iPhone, Telefone sempre permanecem.

Layout da Tela de Início

Organize o Dock e as páginas da Tela de Início. Adicione apps, pastas de apps e os clipes da web da política, escolhendo onde com Adicionar a, e arraste os ícones para movê-los entre o Dock e as páginas. Clique em uma pasta para alterar o nome e os apps dela.

Os usuários não podem mover os ícones nem remover apps da Tela de Início. Apps que não estão no layout vão para as páginas após as que você definiu. Um iPhone mostra quatro ícones no Dock. Os usuários ainda podem excluir apps que não sejam Obrigatórios na tela de armazenamento dos Ajustes. Para impedir isso, desative Permitir remoção de apps em Gerenciamento de apps.

Clipes da web

Um clipe da web é um ícone na Tela de Início que abre um site. Defina o rótulo e a URL, e opcionalmente uma imagem (PNG ou JPEG, cortada em um quadrado).

Configurações de notificações

Escolha como os dispositivos mostram as notificações de alguns apps: se são permitidas, onde aparecem (Tela Bloqueada, Central de Notificações, CarPlay), badges, sons, alertas críticos, estilo de banner, agrupamento e prévias. Os usuários não podem alterar essas configurações.

Mensagem da Tela Bloqueada

Uma mensagem mostrada na parte inferior da Tela Bloqueada, por exemplo quem chamar se o dispositivo for encontrado, e uma etiqueta de patrimônio. Ambas podem conter as variáveis $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$: uma variável sem valor para o dispositivo fica vazia.

Políticas - Apple

Código de acesso

A seção Configurações de código de acesso controla os requisitos de código de acesso do dispositivo e as regras de segurança relacionadas (por exemplo, comprimento mínimo e complexidade). Em um Mac (macOS 13 ou posterior, não com o Registro de Usuário), as regras se aplicam à senha de login dos usuários.

Opções

No Editor de Política da Apple, as opções de código de acesso são configuradas com uma combinação de alternadores e campos numéricos. Muitos campos incluem dicas que indicam as versões de SO suportadas e os requisitos de supervisão.

Alternadores de código de acesso

Campos numéricos

Políticas - Apple

Restrições

As seções Restrições controlam quais recursos do SO são permitidos em dispositivos Apple gerenciados. No Editor de Política da Apple, essas opções são exibidas como painéis agrupados com vários alternadores.

Os alternadores dos painéis Gerenciamento de apps e Rede são descritos nas páginas Apps e perfis e Rede das políticas Apple.

Muitas restrições são suportadas somente em versões específicas do SO e podem exigir dispositivos supervisionados. Use as dicas no painel para obter os requisitos oficiais.

Em dispositivos com Registro do Usuário (dispositivos pessoais registrados ao entrar com uma conta de trabalho), as restrições que a Apple não permite neles não são enviadas. Se nenhuma das restrições da política se aplicar, esses dispositivos não recebem perfil de restrições. O editor de política mostra quantas restrições não se aplicam a dispositivos com Registro do Usuário.

Segurança

Multimídia

Celular

APN de celular

APN de celular define o nome do ponto de acesso (APN) que sua operadora forneceu, por exemplo para uma rede móvel privada ou corporativa. Defina o nome do ponto de acesso e, se a operadora pedir, a autenticação (PAP ou CHAP), o nome de usuário (variáveis como $EMAIL$ são permitidas), a senha, as versões de IP (também em roaming), um servidor proxy com a porta e o XLAT464. Ative APN de conexão somente se a operadora fornecer um APN separado para conectar à rede.

Um APN errado deixa os dispositivos sem dados celulares: teste as configurações em um dispositivo de teste com um SIM da operadora primeiro.

Sistema e interface do usuário

Apps e serviços da Apple

Siri e Apple Intelligence

iCloud

Contas (restrição)

O painel Contas contém tanto uma restrição quanto (opcionalmente) a configuração de contas. O botão de restrição controla se o usuário pode modificar as contas do sistema.

Políticas - Apple

Rede

A seção Rede do Editor de Política da Apple configura redes Wi-Fi e VPNs nos dispositivos, instala certificados e restringe recursos de conectividade como AirDrop e Bluetooth. Cada rede Wi-Fi, VPN e certificado é instalado como seu próprio perfil de configuração, que você pode ver no dispositivo em Configurações > Geral > VPN & Gerenciamento de Dispositivos (Mac: Ajustes do Sistema > Geral > Gerenciamento de Dispositivos, ou Privacidade e Segurança > Perfis no macOS 13 e 14) e no painel Perfis, certificados e segurança da página do dispositivo.

Os certificados são obtidos na página Certificados: importe-os lá primeiro. A política apenas se refere a eles, então um certificado nunca é copiado na política.

Restrições

Redes Wi-Fi

Clique em Adicionar rede Wi-Fi e preencha:

Redes corporativas (802.1X)

Ative Corporativa (802.1X) quando os usuários se autenticam com as próprias credenciais ou um certificado em vez de uma senha compartilhada.

VPN

Clique em Adicionar VPN para configurar uma VPN IKEv2 ou Cisco IPSec, integrada ao iOS, iPadOS e macOS (não é necessário um app de VPN).

Conexão

Teste uma VPN sempre ativa ou sob demanda em um dispositivo de teste primeiro: se o servidor não puder ser alcançado, o dispositivo pode ficar sem conexão.

Proxy global, DNS criptografado e filtro de conteúdo da web

Essas configurações se aplicam a todo o tráfego do dispositivo. Ative-as com o alternador correspondente.

Um proxy ou servidor DNS errado pode deixar os dispositivos sem conexão: teste as configurações em um dispositivo de teste primeiro.

Certificados

Clique em Adicionar certificado para instalar um certificado de forma independente: uma autoridade de certificação em que o Safari e os apps devem confiar, ou uma identidade usada por apps. Os certificados de uma rede Wi-Fi ou de uma VPN não precisam ser adicionados aqui.

Opções de certificado

Certificados de cliente (.p12) protegidos com a antiga criptografia RC2 não podem ser instalados em dispositivos Apple. Exporte-os novamente com criptografia 3DES ou AES antes de importá-los.

Segurança

Perfis que contêm senhas ou chaves privadas são enviados somente ao dispositivo para o qual foram criados: o dispositivo deve assinar a solicitação com o certificado de gerenciamento dele. Senhas e certificados não são gravados nos registros.

Políticas - Apple

Atualizações de software

A seção Atualizações de software do Editor de Políticas da Apple mantém os dispositivos atualizados: ela pode exigir uma versão específica do sistema operacional até um prazo e controlar como os dispositivos baixam e instalam atualizações.

Atualizações de SO obrigatórias

Clique em Adicionar atualização obrigatória para exigir uma versão do SO. O dispositivo baixa a atualização, informa o usuário sobre o prazo e a instala no prazo se o usuário ainda não a tiver feito. Dispositivos que já executam essa versão ou uma posterior a ignoram. Requer iOS e iPadOS 17 ou macOS 14.

O dispositivo relata o progresso da atualização (download, instalação, falhas) no painel Status do dispositivo da página do dispositivo.

Configurações de atualização de software

Ative Configurações de atualização de software para iPhone e iPad ou Configurações de atualização de software para Mac para controlar as atualizações nesses dispositivos. Quando um botão está desativado, os dispositivos mantêm suas próprias configurações. Requer iOS e iPadOS 18 ou macOS 15: dispositivos mais antigos ignoram essas configurações.

Instalar uma atualização na página do dispositivo

O painel Status do dispositivo de um dispositivo lista as atualizações disponíveis para ele. Use Verificar atualizações para solicitar a lista ao dispositivo e Instalar para instalar uma agora ou baixá-la e deixar o usuário instalá-la. Isso funciona em iPhones e iPads supervisionados e em Macs. A Apple remove esses comandos no iOS, iPadOS e macOS 27: nessas versões, use as atualizações obrigatórias da política.

Políticas - Apple

macOS

A seção macOS do Editor de Política da Apple gerencia as configurações de segurança, privacidade e login dos Macs: FileVault, firewall, Gatekeeper, protetor de tela e bloqueio, armazenamento externo e de rede, Compartilhamento de Tela, permissões de privacidade, itens de login e as extensões de sistema e de kernel permitidas para carregar. Ela também instala arquivos de configuração de serviços do sistema e tarefas em segundo plano. Os outros dispositivos da política não recebem essas configurações. Ative uma configuração para gerenciá-la; enquanto estiver desativada, os usuários mantêm as próprias escolhas.

A maioria das configurações é instalada no Mac como perfis de configuração, visíveis em Ajustes do Sistema > Geral > Gerenciamento de Dispositivos. FileVault, permissões de privacidade, itens de login e as configurações de extensões precisam de MDM aprovado pelo usuário: em um Mac registrado com a URL de registro ou o código QR, o usuário aprova o perfil de registro em Ajustes do Sistema. A página do dispositivo mostra isso no campo MDM aprovado pelo usuário. Quando o usuário aprova depois, o Mac recebe essas configurações automaticamente.

FileVault

O FileVault criptografa o disco do Mac. Com esta configuração ativada, os usuários são solicitados a ativar o FileVault com a senha deles, e o Mac envia a chave de recuperação pessoal ao Cerberus Enterprise, criptografada com uma chave que pertence somente à sua organização. A chave é mostrada e alterada no campo FileVault da página do dispositivo (consulte Comandos do dispositivo). A configuração precisa do macOS 13 ou posterior e de MDM aprovado pelo usuário; sem MDM aprovado pelo usuário, o Mac não é solicitado a ativar o FileVault, mas, se um usuário o ativar, a chave dele é armazenada.

Um Mac que já estava criptografado quando recebeu a configuração mantém a chave atual, que o Cerberus Enterprise não recebe: a chave é armazenada somente depois que o usuário desativa e ativa o FileVault de novo (com "Impedir a desativação do FileVault" desativado). Desativar a configuração, ou remover o Mac do gerenciamento, não desativa o FileVault, e a chave armazenada continua funcionando. A configuração não pode ser salva quando o servidor não está configurado para armazenar chaves de recuperação.

Firewall

Gatekeeper

O Gatekeeper verifica os apps antes de abri-los. Escolha se os Macs abrem somente apps da App Store, ou também os apps de desenvolvedores identificados. Com o Gatekeeper desativado, qualquer app pode ser aberto, inclusive apps não assinados ou danificados. No macOS 15 ou posterior, você também pode escolher se os usuários são solicitados a enviar malware bloqueado à Apple.

Protetor de tela e bloqueio

Inicie o protetor de tela após um tempo de inatividade e peça a senha quando o protetor de tela iniciar ou a tela entrar em repouso, imediatamente ou após um atraso. Uma configuração deixada como Não gerenciada permanece a escolha do usuário.

Armazenamento externo e de rede

Permita, torne somente leitura ou bloqueie o armazenamento externo (unidades USB, cartões SD, discos externos) e o armazenamento de rede (compartilhamentos de arquivos) dos Macs. Precisa do macOS 15 ou posterior.

Compartilhamento de Tela

Limites das pessoas que se conectam a esses Macs com o Compartilhamento de Tela: copiar arquivos de ou para o Mac, conexões de alto desempenho e o número de telas virtuais. Ativar o Compartilhamento de Tela continua sendo uma escolha do usuário. Precisa do macOS 14 ou posterior.

Permissões de privacidade

Conceda ou negue aos apps o acesso que os usuários normalmente permitiriam em Ajustes do Sistema > Privacidade e Segurança, por exemplo Acesso Total ao Disco para um app de backup, ou negue a câmera a um app. Para cada permissão, escolha:

Itens de login e em segundo plano

Os itens de login e itens em segundo plano que correspondem às regras são gerenciados: eles são executados sem perguntar, e os usuários não podem desativá-los em Ajustes do Sistema > Geral > Itens de Login. Uma regra corresponde ao ID da equipe de desenvolvedor de um app, ao ID do pacote dele ou ao rótulo de um daemon ou agente de inicialização (também pela primeira parte deles). Precisa do macOS 13 ou posterior.

Extensões do sistema

As extensões do sistema são a forma moderna de os apps estenderem o macOS: filtros de rede e VPNs, agentes e drivers de segurança de endpoint. Com esta configuração ativada, as extensões do sistema das equipes de desenvolvedor listadas carregam sem perguntar ao usuário. Precisa do macOS 10.15 ou posterior e de MDM aprovado pelo usuário.

No macOS 11.3 ou posterior, remover esta configuração desativa as extensões do sistema que ela permitia, por exemplo um agente de segurança ou um filtro de rede. Isso acontece quando a configuração é desativada, quando a política é excluída e quando o Mac passa para uma política sem ela. O editor pede confirmação antes de desativar a configuração.

Extensões de kernel (legado)

As extensões de kernel são a forma mais antiga e obsoleta de estender o macOS: prefira as extensões do sistema quando o fornecedor as oferecer. As extensões de kernel das equipes listadas (todas as extensões de uma equipe, ou somente os IDs de pacote listados) carregam sem perguntar ao usuário, após uma reinicialização. Precisa do macOS 10.13.2 ou posterior e de MDM aprovado pelo usuário.

Em Macs com Apple silicon, um perfil sozinho não basta: alguém precisa iniciar o Mac no recoveryOS, escolher Segurança Reduzida no Utilitário de Segurança de Inicialização e permitir o gerenciamento de extensões de kernel pelo usuário a partir de desenvolvedores identificados. O Mac também pode precisar de um Bootstrap Token guardado no Cerberus Enterprise para aprová-las (consulte o campo Bootstrap Token da página do dispositivo).

Arquivos do Mac

Os arquivos de configuração de serviço e as tarefas em segundo plano usam arquivos que você envia para os Arquivos do Mac da sua organização: arquivos zip e listas de propriedades (.plist) de até 20 MB. Envie, verifique onde são usados ou exclua-os com o botão Arquivos do Mac da seção macOS, ou com Escolher arquivo em uma configuração. Um arquivo usado por uma política não pode ser excluído. Para alterar um arquivo, envie a nova versão e escolha-a na política: os Macs a baixam novamente.

Arquivos de configuração de serviço

Instala os arquivos de configuração de um serviço do sistema a partir de um arquivo zip. Os serviços integrados são o servidor SSH (sshd), o sudo, o PAM, a impressão (CUPS), o servidor web Apache, o bash, o zsh, o login com cartão inteligente e a autorização. Você também pode usar seu próprio serviço, com um identificador de DNS reverso como com.example.service: ele encontra os arquivos com a biblioteca de arquivos de configuração gerenciados do macOS. Cada serviço pode ter uma configuração. Precisa do macOS 14 ou posterior.

Um serviço integrado usa somente os arquivos do arquivo zip e ignora os próprios arquivos dele, por exemplo /etc/ssh para o sshd: coloque toda a configuração no arquivo zip, em pastas que começam na raiz do disco (por exemplo etc/ssh/sshd_config). Os arquivos são somente leitura no Mac, e são removidos com a configuração. Teste o arquivo zip em um Mac primeiro: uma configuração errada de sudo ou PAM pode impedir os usuários de entrar ou de usar direitos de administrador.

Tarefas em segundo plano

Programas e scripts que são executados em segundo plano, iniciados pelo launchd. Os usuários não podem desativá-los, e eles são removidos com a configuração. Precisa do macOS 15 ou posterior. Para cada tarefa, escolha:

Uma tarefa precisa dos programas ou de pelo menos uma lista de propriedades. Quando os arquivos mudam, os Macs reiniciam a tarefa.

Políticas - Apple

Localização e geocercas

A seção Localização e geocercas do Editor de Política da Apple define áreas, por exemplo um local ou um depósito. iPhones e iPads com o app Cerberus Enterprise informam quando entram ou saem de uma dessas áreas, e as regras de evento podem reagir a isso: enviar um e-mail, bloquear ou desativar o dispositivo, ou ativá-lo novamente. Macs não usam geocercas.

Campos da geocerca

Use Adicionar geocerca para criar uma nova entrada. Uma política pode conter até 10 geocercas, e os nomes delas devem ser exclusivos dentro da política. Cada geocerca contém estes campos:

Cada geocerca tem uma prévia no mapa. O centro e o raio de uma geocerca salva ficam bloqueados: use o botão de cadeado no mapa para alterá-los. Os outros botões centralizam o mapa na área ou na sua localização atual.

Quando você salva a política, o Cerberus Enterprise pede que os iPhones e iPads da política obtenham as novas geocercas. Isso geralmente leva alguns minutos, mas o iOS pode atrasar, por exemplo no Modo de Pouca Energia ou sem conexão de rede. A página do dispositivo mostra quando o app ainda não aplicou as geocercas mais recentes.

Requisitos

As geocercas funcionam em iPhones e iPads com o app Cerberus Enterprise. Macs as ignoram. No dispositivo:

Localização e geocercas em dispositivos pessoais, no topo da seção, fica desativado por padrão. Enquanto estiver desativado, o Cerberus não coleta a localização de dispositivos pessoais (Registro do Usuário), os eventos de geocerca deles não são gerados e a página do dispositivo deles não oferece Localizar nem rastreamento ao vivo. Quando você o ativa, os dispositivos pessoais da política compartilham a localização e os eventos de geocerca como os dispositivos da empresa, mas somente se o usuário permitir a localização para o app Cerberus Enterprise; o app explica isso ao usuário antes de o iOS perguntar. Sua organização é responsável por informar os usuários e por seguir as regras locais sobre a localização de funcionários. O Modo Perdido e a solicitação de localização do MDM nunca estão disponíveis em dispositivos pessoais (a Apple não os permite).

No Modo de Pouca Energia, as geocercas continuam funcionando, mas o iOS informa a saída de uma área mais tarde e com uma localização menos precisa, e pode atrasar em horas a obtenção de novas geocercas depois de uma alteração na política, até o app ser executado novamente (por exemplo, na próxima travessia ou quando o usuário o abre).

Como os eventos chegam

O iOS monitora as áreas para o app e o desperta quando o dispositivo cruza uma fronteira, também quando o app não está aberto. Os eventos podem chegar alguns minutos depois da travessia, e uma área pequena ou uma visita curta podem passar despercebidas: o iOS precisa que o dispositivo se afaste da fronteira e permaneça lá por algum tempo.

Se o app não puder ser executado, por exemplo após uma reinicialização antes de o dispositivo ser desbloqueado, o servidor também detecta a travessia a partir das localizações que o app envia, mais tarde. Cada travessia dispara as regras de evento uma vez, seja o app ou o servidor a detectar.

Quando o app não entra em contato com o servidor por várias horas, o servidor pede ao iOS que o desperte para que ele possa verificar as geocercas novamente. O iOS não garante essas solicitações.

Página do dispositivo

Na página do dispositivo, a aba Geocerca do painel Mapa de localização mostra as transições do dispositivo. Quando a política tem geocercas ativas, uma linha de status informa se a geocerca funciona no dispositivo, ou por que não funciona: o app não entrou em contato com o servidor ou precisa ser atualizado, o acesso à localização não é Sempre, Localização Precisa ou Atualização em Segundo Plano está desativada, o Modo de Pouca Energia estava ativado quando o app informou suas configurações pela última vez, ou o app ainda não aplicou as geocercas mais recentes.

As transições de geocerca e as localizações são mantidas por 90 dias e os dados mais antigos são excluídos automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então ele continua nos mapas.

Limitações

Para reagir a eventos de geocerca, crie uma regra de evento para Dispositivo entra em uma geocerca ou Dispositivo sai de uma geocerca. Consulte Regras de evento.

Políticas - Apple

Contas

A seção Contas do Editor de políticas da Apple adiciona contas de e-mail, Exchange, Google, calendário, contatos e diretório ao iPhone, iPad e Mac. Clique em Adicionar conta e escolha o tipo. A seção também contém a restrição Permitir modificação da conta (dispositivos supervisionados).

Em um Mac (macOS 13 ou posterior), as contas são instaladas na sessão dos usuários registrados no gerenciamento, geralmente o usuário que registrou o Mac, quando ele está conectado. A página do dispositivo lista esses usuários em Usuários do Mac, com o estado das contas deles. As contas que usam o endereço de e-mail do usuário do dispositivo usam o usuário atribuído ao Mac no Cerberus Enterprise.

Configurações comuns

Tipos de conta

S/MIME

As contas Mail e Exchange podem assinar e criptografar mensagens com S/MIME (iOS 17 ou posterior). Para cada uma, escolha o certificado: um da página Certificados, o certificado do usuário do dispositivo ou solicitado a um servidor SCEP. Você pode permitir que o usuário o desative, escolha outro certificado e, para criptografia, exiba um interruptor para cada mensagem.

Segurança

Senhas e certificados não fazem parte das configurações enviadas aos dispositivos: cada dispositivo baixa suas próprias credenciais do Cerberus Enterprise, assinando a solicitação com seu certificado de gerenciamento. Eles não são gravados nos logs.

Políticas - Apple

Regras de conformidade

A seção Regras de conformidade do Editor de Política da Apple define requisitos para os dispositivos da política. Um dispositivo que viola uma regra fica sem conformidade imediatamente: a página do dispositivo mostra o motivo, em Por que o dispositivo está sem conformidade, e a lista de dispositivos o mostra como sem conformidade. Um dispositivo também fica sem conformidade quando uma configuração da política não pode ser aplicada nele.

Regras

Uma regra é verificada quando o dispositivo envia seu status, quando a política é salva e a cada hora. Um dispositivo cujo status é desconhecido (por exemplo, um Mac que ainda não informou o FileVault) não viola a regra.

Bloquear o dispositivo

Ative Bloquear o dispositivo se ele continuar sem conformidade e defina depois de quantos dias (0 bloqueia imediatamente). iPhones e iPads supervisionados entram no modo perdido com a mensagem que você definir. Os outros dispositivos são bloqueados uma vez; um Mac reinicia e pede um PIN, mostrado nos detalhes do comando no histórico de comandos.

Para ser notificado, ou reagir de outras maneiras, crie uma regra de evento para Dispositivo fica sem conformidade: ela também recebe os motivos.

Status do Dispositivo

Status do Dispositivo

Visão geral do dispositivo

Abra um dispositivo em Painel → Dispositivos clicando na linha do dispositivo. O título da página mostra o Modelo do dispositivo (quando disponível) e o Id interno.

Dados históricos versus registro atual

Quando um dispositivo tem vários registros, o Cerberus Enterprise pode mostrar um registro histórico somente leitura. Nesse caso, a página exibe um banner Dados históricos e um botão para voltar aos dados do registro atual.

Campos superiores

A seção superior resume a identidade, a atribuição e o estado de gerenciamento do dispositivo. Alguns campos são específicos da plataforma e aparecem apenas para dispositivos Android ou Apple.

Alguns dados e painéis estão disponíveis somente quando a categoria correspondente está habilitada na política do dispositivo. Para mais informações, leia as páginas Relatórios de status e Localização e geocercas.

Painéis

A página do dispositivo é organizada em seções expansíveis. Dependendo da plataforma e do estado, você pode ver um ou mais dos seguintes painéis:

Abas do painel de localização

O painel Mapa de localização usa abas para manter o histórico de localização e as transições de geocerca separados.

Para o comportamento completo dessas abas, consulte Mapa de localização.

Ações

Na parte inferior da página, você pode atualizar os dados e executar ações dependendo da plataforma, do estado do dispositivo e do status da licença.

Status do Dispositivo

Mapa de localização

Esta página documenta as ferramentas de localização específicas do dispositivo disponíveis em Visão geral do dispositivo. O painel contém uma guia Localização para o histórico de posições e, em dispositivos Android, iPhones e iPads, uma guia Geocerca para transições de geocerca.

Pré-requisitos

No Android, os dados de localização do dispositivo são mostrados somente quando o relatório de localização está habilitado na política do dispositivo. Para habilitá-lo, abra a política e ative Localização e geocercas → Relatório de localização. Para mais detalhes, consulte Localização e geocercas.

Em iPhones e iPads, a localização vem do app Cerberus Enterprise, depois que o usuário permite, ou do comando Localizar dispositivo enquanto o dispositivo está no modo perdido. Macs e outros dispositivos Apple não informam a localização.

Em dispositivos que não são totalmente gerenciados, os dados de localização ainda podem depender de o app Cerberus Enterprise ter as permissões de localização necessárias e de os serviços de localização estarem habilitados no dispositivo.

Em dispositivos pessoais (User Enrollment), a localização e as geocercas estão disponíveis somente quando a política Apple tem Localização e geocercas em dispositivos pessoais ativado, e apenas se o usuário permitir a localização para o app Cerberus Enterprise. Caso contrário, a página do dispositivo deles não mostra as ações de localização nem o rastreamento ao vivo. O Modo Perdido nunca está disponível em dispositivos pessoais.

Para o mapa global de vários dispositivos disponível no painel, consulte Mapa de localização do painel.

Estado de carregamento e sem dados

Guia Localização

Abra a guia Localização para inspecionar o histórico de um único dispositivo. Os filtros disponíveis incluem a última localização conhecida, intervalos de histórico recentes, um intervalo de datas personalizado e o rastreamento ao vivo.

As localizações são mantidas por 90 dias: as mais antigas são excluídas automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então o dispositivo continua nos mapas mesmo quando não envia dados há muito tempo. Para dispositivos removidos e registros anteriores, todas as localizações com mais de 90 dias são excluídas. Por esse motivo, o intervalo de datas em Pesquisar não pode começar mais de 90 dias atrás.

Detalhes do marcador

Quando você clica em um marcador de localização, uma janela de informações é aberta com:

Círculo de precisão

Quando a janela de informações está aberta, um círculo de precisão é exibido ao redor do marcador. O raio do círculo corresponde à precisão informada (em metros). Fechar a janela de informações oculta o círculo.

Rastreamento ao vivo

Na visualização do histórico do dispositivo, selecionar o filtro Ao vivo inicia uma solicitação de rastreamento em tempo real para esse dispositivo específico. O Cerberus Enterprise pede confirmação antes de iniciar a solicitação.

Aba Cerca geográfica

Em dispositivos Android, iPhones e iPads, a segunda aba mostra transições de cerca geográfica geradas a partir das cercas geográficas definidas na política atribuída.

Em iPhones e iPads, quando a política tem cercas geográficas ativas, uma linha de status na parte superior da aba mostra se o geofencing funciona no dispositivo. Ela informa quando ele não pode funcionar: o app Cerberus Enterprise não contatou o servidor ou precisa ser atualizado, o acesso à localização não está definido como Sempre, Localização Precisa ou Atualização em Segundo Plano está desativado, Modo de Pouca Energia estava ativado quando o app relatou suas configurações pela última vez (os eventos e as mudanças de cerca geográfica podem então ser atrasados por horas), ou o app ainda não aplicou as cercas geográficas mais recentes. Quando tudo funciona, ele mostra quantas cercas geográficas o app monitora.

Detalhes da transição de cerca geográfica

Selecionar uma transição abre os detalhes dela no mapa e destaca a entrada correspondente na lista. Quando disponível, o Cerberus Enterprise também mostra as coordenadas do dispositivo e a precisão informada para essa transição.

Status do Dispositivo

Gerenciamento de SIMs

A página do dispositivo oferece um painel Gerenciamento de SIMs. Em dispositivos Android, ele gerencia os SIMs e perfis eSIM instalados no dispositivo, adiciona ou remove perfis eSIM e mostra o histórico dos comandos eSIM enviados ao dispositivo. Em iPhones corporativos e iPads com celular, ele mostra os SIMs e planos eSIM informados pelo dispositivo e permite que o dispositivo baixe os planos eSIM preparados pela operadora: consulte iPhone e iPad abaixo.

As informações de SIM são informadas por dispositivos totalmente gerenciados quando o relatório de Informações de rede está habilitado na política do dispositivo (esta opção é sempre habilitada pelo Cerberus Enterprise). Consulte a página Relatórios de status.

EID do dispositivo

O EID (eUICC Identifier) identifica o hardware eSIM do dispositivo. As operadoras o usam para vincular perfis eSIM ao dispositivo, então obtê-lo geralmente é a primeira etapa de um fluxo de provisionamento de eSIM.

Enviar uma solicitação de EID mostra primeiro uma caixa de diálogo de confirmação, porque o usuário verá uma notificação no dispositivo.

SIMs instalados

A tabela SIMs instalados lista os SIMs atualmente conhecidos para o dispositivo, incluindo SIMs físicos e perfis eSIM. Em dispositivos pessoais, os perfis eSIM instalados com o comando Adicionar eSIM são mostrados mesmo quando o dispositivo não informa informações de SIM.

eSIMs com um comando de remoção em andamento ou executado (não falho) mostram um estado de ativação temporário Removendo. A entrada desaparece da lista quando o dispositivo informa a lista de SIMs atualizada. Enquanto uma remoção está em andamento, o botão de remover não fica disponível, para evitar enviar o mesmo comando duas vezes.

Remover eSIM

Use o botão de remover ao lado de um eSIM instalado para remover o perfil dele do dispositivo. Uma caixa de diálogo de confirmação pede que você confirme o ICCID do eSIM a ser removido antes de o comando ser enviado. A remoção de um eSIM é compatível com o Android 15 e superior.

Adicionar eSIM

A seção Adicionar eSIM instala um novo perfil eSIM no dispositivo (compatível com o Android 15 e superior). Ela requer:

Histórico de comandos

Abaixo da seção Adicionar eSIM, o painel mostra o histórico dos comandos eSIM enviados ao dispositivo: Adicionar eSIM, Remover eSIM e Solicitar EID. A tabela é classificável e compatível com paginação. Algumas linhas podem ser expandidas para ver os parâmetros do comando (por exemplo, o código de ativação ou o ICCID) e o status de execução, incluindo os detalhes do erro de eSIM quando uma operação falha no dispositivo.

Apagar eSIMs ao apagar e ao cancelar o registro

Quando você apaga o dispositivo no painel Comandos, a opção Apagar eSIMs controla se os perfis eSIM são removidos junto com o apagamento. Em dispositivos pessoais com perfil de trabalho, essa opção fica habilitada por padrão (os eSIMs gerenciados são removidos; os eSIMs pessoais não são afetados). A mesma opção está disponível na caixa de diálogo de confirmação de Cancelar registro do dispositivo.

iPhone e iPad

O painel é mostrado para iPhones e para iPads que informaram dados celulares (um iPad somente Wi-Fi não tem nenhum), apenas quando o dispositivo pertence à empresa e não é um User Enrollment. As informações celulares são solicitadas ao dispositivo junto com as informações do dispositivo: no registro, todos os dias, com Atualizar informações do dispositivo, quando a propriedade dele passa a ser da empresa e alguns minutos após Atualizar planos celulares.

Números de telefone, ICCID, IMEI e EID identificam a pessoa e a linha: eles nunca são solicitados a dispositivos pessoais ou User Enrollments. Quando um dispositivo passa a ser pessoal, as informações são removidas imediatamente e ocultadas nos resultados dos antigos comandos de informações do dispositivo no histórico de comandos. Elas não são exportadas nem gravadas nos registros do sistema.

Atualizar planos celulares

iPhones e iPads não podem instalar um eSIM a partir de um código de ativação. A operadora vincula (reserva) o plano eSIM ao EID do dispositivo no servidor eSIM dela (SM-DP+) e fornece o endereço desse servidor; Atualizar planos celulares então pede ao dispositivo que baixe os planos que o aguardam. O botão Atualizar planos celulares do painel seleciona o comando no painel Comandos, onde você insere a URL do servidor eSIM da operadora:

O dispositivo instala e ativa o plano sem perguntar ao usuário, também quando não é supervisionado. Sucesso no histórico de comandos significa que o dispositivo aceitou a solicitação, não que um plano foi instalado: a instalação pode levar até três minutos, e o Cerberus Enterprise solicita novamente os SIMs do dispositivo cerca de três minutos depois, para que o novo plano apareça no painel. Os erros 36001 (o dispositivo não conseguiu acessar o sistema celular), 36002 (sem suporte a eSIM) e 36003 (sistema celular ocupado, tente novamente mais tarde) são explicados nos registros do sistema. Um plano baixado uma vez não pode ser baixado novamente: se a instalação falhar, entre em contato com a operadora. O comando também está disponível para vários dispositivos ao mesmo tempo no menu Ações para dispositivos Apple da página Dispositivos.

O que a Apple não permite

Status do Dispositivo

Comandos

A página do dispositivo oferece um painel Comandos para enviar comandos remotos a um dispositivo gerenciado. Os comandos disponíveis dependem da plataforma (Android ou Apple) e do estado do dispositivo.

Os comandos só podem ser enviados a um dispositivo registrado no momento. Em um dispositivo com registro cancelado, em um dispositivo ADE que ainda não foi registrado e no histórico de um registro anterior, o painel mostra apenas o histórico de comandos.

Se o dispositivo não estiver online no momento, o comando será entregue e executado assim que o dispositivo se conectar à Internet. Para comandos Android, você pode definir o parâmetro Validade para determinar por quanto tempo um comando não entregue permanece válido.

Comandos Android (AMAPI)

Para dispositivos Android, o painel Comandos inclui um campo Validade (valor + unidade) e um seletor Comando. Alguns comandos exigem parâmetros adicionais, que aparecem dinamicamente quando você seleciona o comando.

Parâmetros comuns

Comandos sem campos adicionais

Comandos com campos adicionais

Os comandos de eSIM (Adicionar eSIM, Remover eSIM, Solicitar EID) estão disponíveis no painel dedicado Gerenciamento de SIMs.

Histórico de comandos

Abaixo dos controles de envio, o painel mostra uma tabela de histórico de comandos. A tabela é classificável e oferece suporte a paginação. Algumas linhas podem ser expandidas para ver parâmetros adicionais ou detalhes de execução.

Colunas do histórico Android

Comandos Apple (MDM)

Para dispositivos Apple, o painel Comandos oferece um seletor Comando. Alguns comandos exigem entradas adicionais. Assim como no Android, uma tabela de histórico de comandos é exibida abaixo.

Comandos com campos adicionais

Em iPhones e iPads, Enviar notificação e o rastreamento ao vivo chegam ao dispositivo pelo app Cerberus Enterprise: eles ficam desativados até o app ser instalado e ter se registrado para notificações (consulte o campo app Cerberus Enterprise). Iniciar o rastreamento ao vivo mostra “Solicitação de rastreamento ao vivo enviada ao dispositivo”: o rastreamento começa quando o dispositivo envia sua primeira localização. O iOS pode atrasar a solicitação ou não entregá-la, por exemplo no Modo de Baixo Consumo ou sem conexão de rede: se nenhuma localização chegar em 2 minutos, peça ao usuário para abrir o app uma vez. Quando uma solicitação falha, a mensagem informa o motivo, por exemplo o app ainda não se registrou, a chave de notificação do servidor está ausente ou o token de notificação do dispositivo não é mais válido.

Ações do dispositivo

Somente os comandos compatíveis com o dispositivo são listados: alguns exigem um iPhone ou iPad supervisionado, outros não estão disponíveis em um Mac. Os comandos disruptivos pedem confirmação.

iPad Compartilhado

Um iPad Compartilhado é usado por várias pessoas, cada uma com sua própria Conta Apple Gerenciada, ou por convidados com sessões temporárias. Ele é configurado com um perfil ADE que habilita o iPad Compartilhado (consulte a página Apple Automated Device Enrollment), e seu campo Tipo de registro mostra iPad Compartilhado.

Usuários do Mac

Em um Mac, o painel Usuários do Mac lista os usuários registrados no gerenciamento, normalmente o usuário que registrou o Mac. As contas da política são instaladas nas sessões deles. Para cada usuário, ele mostra quando foi registrado, o último relatório da sessão e o estado das contas: Atualizado, Aguardando o usuário (o Mac as instala quando o usuário está conectado), Não aplicado com os motivos informados pelo Mac, ou Sem contas quando a política não tem nenhuma. Use Recarregar para ler a lista novamente.

Bloqueio de Ativação

O campo Bloqueio de Ativação mostra se o Bloqueio de Ativação está ativado. Quando está ativado, um dispositivo apagado só pode ser configurado novamente com a Conta Apple do usuário ou com o código de desvio do dispositivo. Dispositivos supervisionados ativam o Bloqueio de Ativação somente se ele for permitido em Configurações do dispositivo. O Cerberus Enterprise solicita o código de desvio aos dispositivos supervisionados e o armazena: use Mostrar código de desvio no menu do campo para vê-lo (somente administradores podem, e cada visualização é registrada no log do sistema); depois insira-o como senha na tela de Bloqueio de Ativação do dispositivo, deixando a Conta Apple vazia.

Bloqueio de Recuperação e senha de firmware (Mac)

Um Mac com Apple silicon mostra o campo Bloqueio de Recuperação, e um Mac com processador Intel mostra o campo Senha de firmware. Ambos protegem o Mac na inicialização: com o Bloqueio de Recuperação, o recoveryOS solicita a senha; com uma senha de firmware, o Mac a solicita para iniciar de outro disco ou da recuperação. O campo mostra se o Mac informa uma senha e, na dica, quando o Cerberus Enterprise a armazenou e quando ela foi verificada pela última vez.

Um Mac com processador Intel reinicia para aplicar uma alteração de senha de firmware: até lá, a senha anterior ainda é necessária (Mostrar senha a exibe), e outra alteração não pode ser enviada. A Apple também aceita apenas um comando de senha de firmware a cada 30 segundos. As senhas ficam ocultas no histórico de comandos.

Quando um Mac sai do gerenciamento (registro cancelado, removido pelo usuário ou apagado), o macOS remove o Bloqueio de Recuperação por conta própria, e o Cerberus Enterprise descarta a senha de Bloqueio de Recuperação armazenada; ele faz o mesmo quando o Mac informa que não tem Bloqueio de Recuperação, por exemplo após se registrar novamente. Quando você cancela o registro de um Mac (ou exclui a política dele), uma senha de firmware armazenada é limpa primeiro, o Mac reinicia e então sai do gerenciamento. Se a limpeza falhar, o Mac sai do gerenciamento mesmo assim, e a senha permanece armazenada para que você ainda possa vê-la. Um Mac removido do gerenciamento pelo usuário, ou apagado, mantém sua senha de firmware: o Cerberus Enterprise também a mantém. Excluir o registro do dispositivo apaga a senha armazenada, por isso você precisa confirmar antes: anote a senha, porque sem ela somente a Apple pode removê-la.

FileVault (Mac)

O campo FileVault mostra se o disco do Mac está criptografado e, na sua dica, se o Cerberus Enterprise armazena a chave de recuperação pessoal dele. Um Mac envia a chave quando o FileVault é ativado depois que ele recebe a configuração de FileVault da política dele (consulte a página macOS das políticas Apple).

Bootstrap Token (Mac)

Um Mac com macOS 10.15 ou posterior envia seu Bootstrap Token ao servidor de gerenciamento quando um usuário com um token seguro entra. O servidor o mantém e o devolve somente a esse Mac, que o usa para conceder um token seguro a novos usuários e, em um Mac com Apple silicon, para instalar atualizações de software e aprovar extensões de kernel sem pedir uma senha de administrador. Ninguém pode ver o token, no painel nem em outro lugar. O campo Bootstrap Token mostra o estado dele:

A dica também informa se o Mac permite o token para autenticação. Macs configurados com o Automated Device Enrollment o permitem automaticamente; em outros Macs com Apple silicon, um usuário pode permiti-lo no Utilitário de Segurança de Inicialização no recoveryOS. Macs Intel não podem usar o token para autenticação (Não suportado), mas um token escrowado ainda concede um token seguro a novos usuários. Cada vez que um Mac envia, remove ou solicita seu token, isso é registrado no log do sistema.

Status do dispositivo e atualizações do sistema

O painel Status do dispositivo mostra o que o dispositivo informa sobre si mesmo: a versão e a compilação do sistema, o progresso de uma atualização de software (versão pendente, prazo, o que a iniciou, falhas), se um código de acesso está definido e em conformidade com a política, o FileVault em um Mac, a saúde da bateria e as contas configuradas no dispositivo.

A lista Atualizações disponíveis mostra as atualizações de SO que o dispositivo pode instalar, coletadas no registro e semanalmente. Use Verificar atualizações para solicitá-las agora e Instalar para instalar uma atualização imediatamente (o dispositivo reinicia, após uma confirmação) ou apenas baixá-la e deixar o usuário instalá-la. Isso funciona em iPhones e iPads supervisionados e em Macs, até iOS, iPadOS e macOS 26: em versões posteriores e para atualizar muitos dispositivos, use as atualizações obrigatórias da política (consulte a página Atualizações de software das políticas Apple).

Um Mac com Apple silicon instala uma atualização sem pedir uma senha de administrador somente quando permite seu Bootstrap Token para autenticação e o token está escrowado (consulte Bootstrap Token acima). Caso contrário, a confirmação informa que um usuário pode precisar inserir uma senha de administrador antes de a atualização ser instalada.

Aplicativos e inventário

O painel Aplicativos lista todos os apps do dispositivo em uma única tabela. O estado de instalação dos apps instalados pela política ou por um comando é informado ao vivo pelo dispositivo; versões, tamanhos e os apps instalados pelo usuário vêm da última lista de apps, coletada no registro e semanalmente. Use Perguntar ao dispositivo para solicitá-la agora.

O painel Perfis, certificados e segurança mostra os perfis de configuração, os certificados e o status de segurança (código de acesso, criptografia, FileVault e firewall em um Mac) informados pelo dispositivo.

Em dispositivos de propriedade pessoal, os apps instalados pelo usuário não são coletados, e somente os perfis e certificados gerenciados pelo Cerberus Enterprise são listados.

O painel Alterações no inventário mostra o que mudou entre duas listas enviadas pelo dispositivo: apps instalados, removidos ou atualizados (com a versão antiga e a nova), perfis instalados, removidos ou atualizados, e certificados adicionados ou removidos. Uma alteração é detectada quando o dispositivo envia uma nova lista, semanalmente para apps e perfis, diariamente para certificados, ou quando você usa Perguntar ao dispositivo: a data exibida é quando ela foi detectada, e a alteração ocorreu entre a lista anterior e essa. A primeira lista de um dispositivo, e a primeira após um novo registro ou uma mudança de propriedade, é registrada apenas como ponto de partida. Pesquise por nome ou identificador e filtre por tipo e alteração. As alterações são mantidas por 365 dias.

Quando uma atualização do sistema substitui muitos apps Apple de uma vez, eles são exibidos como uma única linha (por exemplo, "23 apps Apple atualizados") que você pode expandir. A renovação do certificado MDM é exibida como Certificado MDM renovado. Em dispositivos de propriedade pessoal, somente as alterações dos itens gerenciados pelo Cerberus Enterprise são exibidas.

Colunas do histórico Apple

Atualizar

Use a ação de atualização no painel Comandos para recarregar o histórico de comandos.

Mapa de localização do painel

O mapa de localização do painel oferece uma visão global da última posição conhecida dos dispositivos que estão reportando dados de localização. Abra-o em Painel para revisar vários dispositivos no mesmo mapa do Google.

Pré-requisitos

Um dispositivo aparece neste mapa somente quando o relatório de localização está habilitado na política atribuída a ele. Para habilitá-lo, abra a política e ative Localização e geocercas → Relatório de localização. Para mais detalhes, consulte Localização e geocercas.

Em dispositivos que não são totalmente gerenciados, os dados de localização ainda podem depender de o app Cerberus Enterprise ter as permissões de localização necessárias e de os serviços de localização estarem habilitados no dispositivo.

Dispositivos pessoais (User Enrollment) compartilham a localização somente quando a política Apple deles tem Localização e geocercas em dispositivos pessoais ativado e o usuário permite a localização para o app Cerberus Enterprise. Caso contrário, o Cerberus não coleta a localização deles, e o rastreamento ao vivo não está disponível para eles.

Para o histórico por dispositivo e as transições de geocerca disponíveis no editor de dispositivo, consulte Mapa de localização.

O histórico de localização é mantido por 90 dias e as localizações mais antigas são excluídas automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então os dispositivos que não enviam dados há muito tempo continuam aparecendo no mapa.

Estado de carregamento e sem dados

Marcadores e agrupamentos

Cada dispositivo com dados de localização disponíveis é exibido como um marcador. Quando muitos dispositivos estão próximos, os marcadores são agrupados automaticamente para manter o mapa legível.

Os dispositivos que estão em rastreamento ao vivo no momento são destacados com um marcador animado para que sejam mais fáceis de identificar no mapa.

Controles do mapa

Quando o mapa contém localizações de dispositivos, o Cerberus Enterprise mostra botões de ação no canto superior direito do mapa.

Detalhes do marcador

Clicar em um marcador abre uma janela de informações com:

O identificador do dispositivo na janela de informações é um link que abre a página Visão geral do dispositivo correspondente.

Ações da janela de informações

Cada janela de informações também inclui botões de ação para o dispositivo selecionado.

Círculo de precisão

Quando um marcador é selecionado, o mapa exibe um círculo de precisão ao redor da localização. O raio do círculo corresponde à precisão reportada.

Comportamento do rastreamento ao vivo

Iniciar o rastreamento ao vivo em uma janela de informações envia uma solicitação de rastreamento em tempo real para esse dispositivo. O Cerberus Enterprise então atualiza o mapa automaticamente enquanto a sessão estiver ativa.

Apps privados

Nesta seção do painel, você pode enviar seus próprios apps Android privados ou criar web apps para distribuir nos seus dispositivos.

Os únicos detalhes que você precisa fornecer são o título e o APK do app. Os apps privados são aprovados automaticamente para sua organização e normalmente ficam prontos para distribuição em até 10 minutos. Você pode enviar um total de 15 apps privados por dia. Observe que os web apps também contam para esse total.

Na primeira vez que você publicar um app privado, precisará fornecer um endereço de e-mail para receber notificações do Play Console sobre seus apps e sua conta de desenvolvedor do Google Play. Além disso, o Play gerenciado cria automaticamente uma conta de desenvolvedor do Play em nome da sua organização. Você não precisa pagar uma taxa de registro para essa conta.

Apps privados publicados a partir do iframe:

Para mais detalhes, visite a Ajuda do Managed Google Play

Gerenciamento de certificados

O painel inclui uma seção Certificados para importar, visualizar e excluir certificados. Clicar em uma linha de certificado abre o editor de certificado.

Lista de certificados

Os certificados são exibidos em uma tabela classificável e paginada. A lista inclui certificados de cliente e Autoridades de Certificação (CA).

Filtros

No topo da página, você pode habilitar filtros usando a lista de chips. Alguns filtros são mutuamente exclusivos.

Colunas da tabela

Ações

Importar certificados

Para importar certificados, clique em Importar certificado e selecione um ou mais arquivos. Os formatos suportados são mostrados na dica do botão de importação.

Clientes

Formato suportado: PKCS#12 codificado em Base64 (.p12 / .pfx).

Os certificados de cliente identificam um usuário ou um dispositivo na rede da empresa. Os certificados de cliente podem ser associados a um usuário específico.

Cada certificado de cliente pode ser atribuído opcionalmente a um usuário específico: isso permite implantar a mesma configuração de Wi‑Fi EAP em muitos dispositivos. Você pode fazer isso na seção configuração de rede da política, usando a opção credenciais EAP dos usuários.

Como alternativa, você pode atribuir um certificado a um usuário na página Usuários.

Em dispositivos Apple, os certificados são instalados com a seção Rede da política Apple, onde você também pode escolher O certificado do usuário do dispositivo. Consulte a página Rede das políticas Apple.

Autoridades de Certificação (CA)

Formatos suportados: X.509 codificado em Base64 (.crt / .pem / .cer / .der).

Os certificados de CA identificam uma Autoridade de Certificação e indicam ao dispositivo que todos os certificados emitidos pela CA devem ser confiáveis. O painel valida se um certificado X.509 importado é uma CA.

Editor de certificado

Quando você abre um certificado, o editor mostra os campos principais e um painel Informações do certificado somente leitura.

Campos principais

Associação de usuário (certificados de cliente)

Para certificados Cliente, o editor mostra um campo Usuário. Se um usuário estiver atribuído, um menu permite Abrir usuário, Alterar usuário ou Desassociar usuário. Se nenhum usuário estiver atribuído, você pode atribuir um usando o botão de ação de usuário.

Excluir certificado

A ação de exclusão fica desativada quando o certificado está associado a um usuário ou é usado em políticas. Ela também pode ser desativada quando a licença está expirada.

Regras de eventos

As regras de evento permitem automatizar reações a eventos de dispositivo compatíveis. Abra Painel → Regras de evento para criar regras que monitoram eventos de registro, cancelamento de registro, não conformidade e geocerca (dispositivos Android e Apple; eventos de geocerca vêm de dispositivos Android, iPhones e iPads) e então acionam uma ou mais ações automaticamente.

O que uma regra de evento pode fazer

Cada regra combina um assunto, um evento e uma ou duas ações. Os assuntos compatíveis são Todos os dispositivos, Dispositivo específico e Política.

Uma regra pode conter apenas uma ação de e-mail, apenas uma ação de dispositivo ou uma ação de dispositivo mais uma ação de e-mail. Se ambas as ações estiverem configuradas, o Cerberus Enterprise executa primeiro a ação de dispositivo e depois a ação de e-mail.

Regras de plataforma e compatibilidade

Os eventos e as ações disponíveis dependem do assunto selecionado e da plataforma aplicável a esse assunto.

Lista de regras

A lista de regras de eventos é a página de gerenciamento principal deste recurso. Ela inclui uma tabela pesquisável com nome da regra, assunto, evento, ações, plataforma, estado de ativação e hora de atualização.

Editor de regras

O editor é dividido em seções Geral, Escopo, Gatilho e Ações. Na parte inferior da página, uma barra de ações fixa mantém os botões principais visíveis enquanto você rola.

Geral

Escopo

O escopo define quais dispositivos a regra pode corresponder. O editor também mostra a plataforma resolvida e, quando disponível, o contexto efetivo da política.

Gatilho

A seção de gatilho filtra automaticamente os eventos disponíveis com base no escopo e na plataforma selecionados.

Gatilhos de geofence

As regras de entrada e saída de geocerca funcionam para dispositivos Android, iPhones e iPads, e uma regra para um dispositivo ou uma política exige um contexto de política válido. Para as definições de geocerca, consulte Localização e geocercas (Android) e Localização e geocercas (Apple).

Ações

A seção de ações permite escolher uma ação de dispositivo opcional e uma notificação por e-mail opcional. A interface oculta combinações sem suporte automaticamente. A notificação por e-mail fica ativada por padrão, também quando você escolhe uma ação de dispositivo: desative-a se quiser apenas a ação de dispositivo.

Destinatários de e-mail

As ações de e-mail sempre incluem usuários da empresa com a função ADMIN. Se a empresa for gerenciada por multilocação, você pode ampliar os destinatários para incluir gerentes de MT.

Comportamento de execução

As regras de eventos são executadas imediatamente quando o Cerberus Enterprise recebe um evento suportado das integrações de backend. As regras desativadas são ignoradas automaticamente.

Execuções bem-sucedidas, ignoradas e com falha são registradas no log do sistema com mensagens legíveis, incluindo o motivo quando uma regra ou uma ação de dispositivo foi ignorada.

O log do sistema mantém os eventos de status e de localização dos dispositivos, e as execuções de regras bem-sucedidas ou ignoradas, por 90 dias. Os outros eventos, como ações de administradores, logins, avisos e erros (incluindo as execuções de regras com falha), são mantidos por 12 meses. As entradas mais antigas são excluídas automaticamente todas as noites.

Dispositivos

Dispositivos

Dispositivos

A seção Dispositivos do painel (Painel → Dispositivos) lista todos os dispositivos registrados na sua conta. Nesta página, você pode filtrar a lista, abrir o registro de um dispositivo e executar ações de dispositivo, como desabilitar ou cancelar o registro.

Filtros

No topo da página, você pode ativar um ou mais filtros usando a lista de chips. Os chips selecionados representam os filtros ativos no momento.

Os filtros dependem das plataformas configuradas na sua conta: filtros para dispositivos Apple ou Android aparecem somente quando essa plataforma está configurada, e os filtros Android e Apple aparecem somente quando ambas estão.

Filtros disponíveis

Pesquisar

Quando você ativa o filtro Pesquisar, aparece um campo de texto com o rótulo Id, modelo, usuário, número de série ou SO: ele pesquisa o id, o modelo, o nome de usuário, o número de série e a versão do SO do dispositivo. A lista é atualizada automaticamente depois que você para de digitar.

Tabela de dispositivos

Os dispositivos são exibidos em uma tabela classificável e paginada. Clicar em uma linha abre o editor do dispositivo.

Colunas

Atualização e paginação

Ações de dispositivo

Cada linha de dispositivo pode oferecer ações, dependendo da plataforma e do estado do dispositivo. Algumas ações ficam desabilitadas quando sua licença está expirada ou encerrada.

Ações por dispositivo

Seleção de várias linhas

Você pode ativar a seleção de várias linhas na barra de ações abaixo da tabela. Quando ativada, você pode selecionar várias linhas e aplicar ações em massa (desabilitar, habilitar, cancelar o registro ou excluir), dependendo dos dispositivos selecionados.

Para dispositivos Apple, o menu Ações de dispositivos Apple bloqueia, reinicia, desliga, atualiza as informações ou apaga todos os dispositivos selecionados. Uma ação fica disponível quando todos os dispositivos selecionados são dispositivos Apple registrados que a oferecem suporte. Os PINs dos Macs que forem bloqueados ou apagados são exibidos uma única vez após o envio do comando. Cancelar o registro de dispositivos Apple remove o perfil de registro e as configurações de política deles, sem apagá-los.

Atualizar planos celulares solicita que os iPhones e iPads selecionados baixem os planos de eSIM que a operadora vinculou aos seus EIDs, a partir de um servidor de eSIM da operadora informado em uma janela para todos eles. Diferentemente das outras ações, ela é enviada apenas aos dispositivos selecionados que a oferecem suporte: Macs, Registros de Usuário, dispositivos com uma versão mais antiga do iOS e iPads que nunca relataram dados celulares são ignorados e listados no resultado. Consulte a página Gerenciamento de SIMs.

Sincronização com o Apple Business

Se o Apple Management estiver configurado e um token do Automated Device Enrollment estiver presente, a página pode mostrar a ação Sincronizar do Apple Business para importar dispositivos do Apple Business. Uma mensagem informa quantos dispositivos foram adicionados. Quando alguns foram adicionados, a lista muda para o filtro Todos, porque dispositivos que ainda não foram registrados não são exibidos pelo filtro Registrados.

Registrar um dispositivo

Use Registrar um dispositivo para abrir a seção Tokens de registro e começar a registrar um novo dispositivo.

Usuários

Usuários

Usuários

A seção Usuários do painel (Painel → Usuários) lista todos os usuários configurados na sua conta. Nesta página, você pode pesquisar usuários, abrir o editor de usuário, criar novos usuários e excluir usuários que não estão associados a dispositivos no momento.

Pesquisar

No topo da página há um campo de pesquisa com o rótulo Pesquisar e o texto de exemplo Nome, nome de usuário ou e-mail. A lista é atualizada automaticamente depois que você para de digitar.

Tabela de usuários

Os usuários são exibidos em uma tabela classificável e paginada. Clicar em uma linha abre o editor de usuário.

Colunas

Atualização e paginação

Ações do usuário

Criar novo usuário

Use Criar novo usuário para abrir a caixa de diálogo de criação de usuário. Esta ação fica desabilitada quando sua licença está expirada.

Sincronizar do Google Workspace

Se a sincronização de diretório do Google Workspace estiver disponível para sua conta, a página mostrará Sincronizar do Google Workspace. Quando você inicia uma sincronização, um indicador de progresso é exibido enquanto a solicitação está em andamento.

Excluir um usuário

Você só pode excluir um usuário quando ele não está associado a nenhum dispositivo (a coluna Dispositivos deve ser 0). A ação de excluir fica desabilitada quando sua licença está expirada ou encerrada.

Seleção de várias linhas e exclusão em massa

Na barra de ações abaixo da tabela, você pode habilitar a seleção de várias linhas. Nesse modo, você pode selecionar vários usuários e excluí-los em massa.

Certificados Wi‑Fi e EAP

A coluna Certificado WiFi mostra o nome do certificado atribuído atualmente a um usuário. Os certificados de usuário são normalmente usados para configurações de Wi‑Fi EAP (por exemplo, EAP‑TLS). Para atribuição e gerenciamento de certificados, consulte Gerenciamento de certificados.

Usuários

Editor de usuário

O editor de usuário está disponível em Painel → Usuários ao clicar na linha de um usuário. Ele permite editar os detalhes do usuário, configurar credenciais de Wi‑Fi EAP por usuário e ver os dispositivos associados ao usuário.

Detalhes do usuário

A seção superior contém os campos principais do usuário. Alguns campos são obrigatórios e o editor mostra erros de validação quando estão ausentes ou são inválidos.

Política padrão de autenticação do Google

Em ambientes do Google Workspace com a autenticação do Google ativada, o editor pode exibir Política padrão de autenticação do Google. Esta é a política aplicada aos dispositivos registrados usando a autenticação do Google por este usuário.

Credenciais de Wi‑Fi EAP

A seção Credenciais de Wi‑Fi EAP é usada para configurar credenciais por usuário que são instaladas automaticamente nos dispositivos do usuário quando a política atribuída a ele contém uma configuração de Wi‑Fi EAP que as exige. A configuração de Wi‑Fi EAP faz parte da configuração de rede da política do Android.

Certificado do cliente

Opcionalmente, você pode atribuir um certificado de cliente a um usuário. Quando um certificado é atribuído, ele é exibido no campo Certificado do cliente e um menu oferece ações. Quando nenhum certificado é atribuído, o campo mostra Nenhum certificado atribuído e você pode atribuir um.

Para importação e gerenciamento de certificados, consulte Gerenciamento de certificados.

Identidade, identidade anônima e senha

Dispositivos associados

A seção Dispositivos associados mostra a lista de dispositivos vinculados atualmente ao usuário. Se o usuário tiver um ou mais dispositivos associados, ele não poderá ser excluído.

Salvar e excluir

Aviso de alterações não salvas

Se você tiver alterações não salvas e tentar sair da página, o painel perguntará se você deseja descartar as alterações.

Conta

Conta

Configurações

A página Configurações (Painel → Configurações) resume as informações da conta e da licença e oferece ações para gerenciar cobrança, configuração de plataformas (Android Management e Apple Management) e integrações opcionais de diretório/token.

Banner de licença (perto de expirar / expirada)

Quando sua licença estiver perto de expirar, expirada ou encerrada, um banner em destaque é exibido no topo da página. Dependendo do estado da sua assinatura, ele oferece uma ação Gerenciar cobrança (portal do cliente Stripe) ou Comprar licença.

Quando a licença está expirada, a conta fica limitada apenas ao cancelamento do registro de dispositivos. Após o período de carência, a conta pode ser cancelada e o registro dos dispositivos pode ser cancelado automaticamente.

Banners de certificados e tokens da Apple (perto de expirar / expirados)

O Apple Push Certificate (APNs), o token do Apple Business (Automated Device Enrollment) e o token do Apps and Books (antigo VPP) precisam ser renovados todos os anos. A partir de 30 dias antes da expiração, um banner é exibido no topo do painel para cada certificado ou token que esteja perto de expirar ou expirado, com a data de expiração ou o recurso que parou de funcionar. A ação Como renovar abre esta página com as instruções de renovação correspondentes expandidas.

Um banner também é exibido quando o certificado MDM de alguns dispositivos Apple expira em até 14 dias e a renovação automática não foi concluída ou expirou: esses dispositivos precisam ser registrados novamente. A ação Mostrar dispositivos abre a lista de dispositivos com o filtro Certificado MDM perto de expirar.

Quando o Apple Push Certificate expira, os dispositivos Apple não conseguem receber comandos nem atualizações de política. Quando o token do Apple Business expira, o Automated Device Enrollment deixa de funcionar. Quando o token do Apps and Books expira, os apps não podem ser distribuídos.

Banner do app Cerberus Enterprise

O Cerberus instala seu app gratuito Cerberus Enterprise em iPhones e iPads (iOS e iPadOS 18.4 ou posterior) com uma licença de dispositivo do Apps and Books. Um banner é exibido no topo do painel quando o app não está na sua biblioteca do Apple Business, quando o token do Apps and Books está ausente ou expirado, ou quando alguns iPhones e iPads ainda estão aguardando o app (com o respectivo número). Como adicioná-lo abre esta página na linha app Cerberus Enterprise com as etapas; Como configurá-lo (exibido quando o token do Apps and Books está ausente ou expirado) abre as instruções do token do Apps and Books.

Acesso do gerente da empresa

O cartão Acesso do gerente da empresa é exibido apenas para empresas gerenciadas por uma conta multi-tenancy (por exemplo, um provedor de serviços gerenciados). Ele permite ver quais contas de gerente podem operar na sua empresa e controlar o acesso delas.

O cartão mostra:

Conceder e revogar acesso

Use Conceder para permitir que uma conta de gerente entre e gerencie sua empresa, e Revogar para remover esse acesso. Cada ação pede confirmação. Um gerente cujo acesso foi revogado não pode mais operar na empresa, mesmo que esteja trabalhando nela no momento.

Revogar o acesso do Gerente principal também revoga o acesso de todas as suas subcontas. Quando isso se aplica, a caixa de diálogo de confirmação lista as subcontas que perderão o acesso.

Informações da conta

O cartão Informações da conta mostra campos somente leitura:

Alterar senha

Se você não entrar com Google, Apple ou Microsoft, o cartão também mostra uma ação Alterar senha. Isso abre uma caixa de diálogo para continuar o fluxo de alteração de senha.

Você também pode alterar sua senha a qualquer momento no menu do usuário da barra de ferramentas superior, usando Alterar senha. Isso é útil para contas multi-tenancy, que podem alterar a senha sem entrar em uma empresa.

Se um administrador criou sua conta ou redefiniu sua senha, você entra com uma senha temporária e precisa escolher uma nova senha antes de continuar.

Informações da licença

O cartão Informações da licença mostra o estado atual da licença e o limite de dispositivos. Ele também oferece ações para falar com vendas e para gerenciar a cobrança ou comprar uma licença.

Android Management

O cartão Android Management mostra o status do Android Management da sua empresa. Se o Android Management ainda não estiver configurado, o cartão oferece uma ação Configurar Android Management que abre o fluxo de configuração.

Estado configurado

Quando o Android Management está configurado, o cartão pode mostrar:

Vinculação do Android Enterprise

O Android Management pode ser associado a uma conta do Managed Google Play ou a um domínio gerenciado do Google. O campo Tipo de vinculação mostra qual opção está associada à sua empresa no momento.

Uma conta do Managed Google Play é uma conta leve do Android Enterprise. Ela é adequada para gerenciar dispositivos e apps Android pelo Cerberus Enterprise, mas é separada de uma organização do Google Workspace ou do Cloud Identity. Ela não oferece a experiência central de administração do Google disponível com um domínio gerenciado do Google.

Um domínio gerenciado do Google associa o Android Enterprise à identidade Google da sua organização. Administradores de TI podem gerenciar produtos do Google, como Google Workspace, Cloud Identity e Gemini, no Google Admin console, enquanto continuam gerenciando apps e políticas Android no Cerberus Enterprise. Isso oferece uma abordagem mais integrada e simplificada ao gerenciamento do Android e permite fluxos de registro e gerenciamento de usuários baseados no Google Workspace.

Quando a empresa usa uma conta do Managed Google Play, o cartão Configurações oferece Fazer upgrade para domínio gerenciado do Google e uma ação de informação. O upgrade abre o processo guiado do Google para mover a empresa Android existente para um domínio gerenciado.

Durante o upgrade, o Google pode vincular uma conta do Google Admin existente associada ao seu endereço de e-mail corporativo ou criar automaticamente uma nova conta gratuita do Google Admin. Use um endereço de e-mail corporativo como name@enterprise.com para continuar no processo guiado do Google.

Apple Device Management

O cartão Apple Device Management mostra o status do gerenciamento de dispositivos Apple (MDM) da sua empresa. Se o gerenciamento Apple ainda não estiver configurado, o cartão oferece uma ação Configurar Apple Management que abre o fluxo de configuração.

Estado configurado

Quando o gerenciamento Apple está configurado, o cartão pode mostrar:

O gerenciamento Apple exige a configuração do certificado APNs. Se necessário, consulte Configuração do Apple Management (APNs).

Preferências e privacidade

O cartão Preferências e privacidade contém um botão de preferência de marketing e links para os Termos de Serviço e a Política de Privacidade. Use Salvar preferências para aplicar as alterações (um indicador de progresso é exibido durante o salvamento).

Enviar feedback

Quando as assinaturas estão habilitadas para a conta, a página pode mostrar um cartão Enviar feedback com links para: Fazer uma solicitação de recurso e plataformas externas de avaliação.

Instruções de configuração e renovação em linha

Na parte inferior da página, o painel pode mostrar painéis de instruções expansíveis dependendo do estado atual (por exemplo, quando um certificado/token está ausente ou perto de expirar).

Renovar o Apple Push Certificate (APNs)

Quando o certificado APNs está perto de expirar ou expirado, a página mostra um painel com etapas para baixar uma CSR, renovar o certificado no portal da Apple e enviar o novo certificado para o Cerberus Enterprise.

Enquanto um certificado ou token ainda for válido, o botão de upload ao lado dele abre as mesmas etapas. Use-o quando você baixou um novo token do Apple Business ou do Apps and Books, porque o antigo deixa de funcionar, ou para renovar o Apple Push Certificate antes do tempo. Sempre renove o Apple Push Certificate atual: um diferente é recusado enquanto houver dispositivos Apple registrados, porque eles não poderiam mais ser acessados.

Sincronizar com o Apple Business

Quando o token do Apple Business está ausente, expirado ou perto de expirar, a página mostra um painel com as etapas para baixar um token do Apple Business e enviá-lo para o Cerberus Enterprise. Para uma nova conexão, gere o certificado de chave pública no Cerberus Enterprise e, no Apple Business, abra Devices → Management Services, clique em Add em Device Management Services, escolha Connect external device management e clique em Continue; insira um Service Name (por exemplo, Cerberus Enterprise), envie o certificado com Upload Certificate, clique em Next, depois em Download Service Token e Done. Para renovar o token, selecione o serviço Cerberus Enterprise em Management Services, clique no botão … (mais) no canto superior direito e escolha Download Token.

Os dispositivos só são registrados no Cerberus Enterprise quando são atribuídos ao serviço dele no Apple Business: abra Devices → Management Services → Default Device Assignment para atribuir novos dispositivos automaticamente (por tipo de dispositivo), ou Devices → Inventory, selecione os dispositivos e clique em Assign Device Management.

Sincronizar com o Apple Apps and Books (VPP)

Quando o token do Apps and Books está ausente, expirado ou perto de expirar, a página mostra um painel com as etapas para baixar um token de conteúdo do Apple Business e enviá-lo para o Cerberus Enterprise: no Apple Business, abra o menu da organização no canto superior direito (o nome da sua organização) → Settings → Organizational Units, selecione a unidade organizacional (a unidade padrão é a sua organização) e clique em Download na seção Content Token. O token expira após um ano, ou antes, quando a senha da Conta Apple que o baixou for alterada.

A última etapa da configuração do Apps and Books adiciona o app gratuito Cerberus Enterprise à sua biblioteca do Apple Business, para que o Cerberus possa instalá-lo nos seus iPhones e iPads.

Sincronizar com o Google Workspace

Quando a sincronização de diretório do Google Workspace não está configurada, a página mostra um painel que explica a integração e fornece um botão de autorização. Ele também lista o escopo OAuth do Google necessário: https://www.googleapis.com/auth/admin.directory.user.readonly.

Para a configuração inicial do Android, consulte Configuração do Android Management.

Multitenância

Multitenância

Visão geral da multilocação

A seção Multilocação está disponível para contas de MSP e de gerente de empresa que gerenciam várias empresas clientes a partir de um único login. Este capítulo explica o modelo de escopo de empresa, a troca de empresa, a administração de empresas gerenciadas e as subcontas.

Para solicitar uma conta de multilocação, entre em contato com enterprise@cerberusapp.com.

Conceitos principais

Modelo de navegação

Quando nenhum contexto de empresa está selecionado, a navegação lateral mostra áreas de multilocação, como Empresas e, para contas principais, Subcontas. Depois de entrar em uma empresa, o painel muda para a navegação padrão de empresa única (Início, Usuários, Dispositivos, Registro, Políticas e muito mais).

Propriedade e delegação

Cada empresa gerenciada tem um proprietário. O proprietário sempre pode acessar essa empresa. Contas de gerente que não são proprietárias só podem acessar uma empresa quando a delegação é concedida.

Os administradores da empresa gerenciam o acesso no cartão Acesso do gerente da empresa na página Configurações.

O estado de propriedade e de delegação é mostrado diretamente nos cartões de empresa para deixar explícito o escopo de acesso antes de entrar em uma empresa.

Ações de licença e cobrança

As visualizações de multilocação expõem o status da licença, os limites de dispositivos e as ações de cobrança da empresa. Dependendo do estado da assinatura da empresa e das suas permissões, o cartão pode mostrar Gerenciar cobrança ou Comprar licença.

Para empresas criadas por uma conta de multilocação, o licenciamento é gerenciado pelos usuários de multilocação. A conta principal sempre pode gerenciar o licenciamento, enquanto as subcontas só podem gerenciá-lo quando a conta principal ativa Pode gerenciar licença para essa subconta.

Páginas deste capítulo

Multitenância

Empresas gerenciadas

A página Empresas (Painel → Empresas) é o centro de controle do acesso às empresas gerenciadas. Ela lista todas as empresas visíveis para a sua conta de multilocação e permite filtrar, inspecionar a propriedade/delegação, entrar em um contexto de empresa e criar novas empresas gerenciadas (somente contas principais).

Pesquisa e filtros

Cartões de empresa

Cada cartão de empresa mostra metadados importantes de gerenciamento:

Empresas selecionadas recentemente

As empresas que você acessou recentemente ficam fixadas em uma seção Selecionadas recentemente para acelerar a troca repetida de contexto.

Ações da empresa

Quem pode gerenciar licenças

Para empresas criadas por uma conta de multilocação, o gerenciamento de licenças é controlado pelos usuários de multilocação. A conta principal sempre pode gerenciar a cobrança e as ações de licença dessas empresas.

As subcontas podem gerenciar a cobrança e as ações de licença somente se a conta principal conceder a permissão Pode gerenciar licença na página Subcontas.

Criar empresa gerenciada

Contas principais de multilocação podem expandir Criar empresa gerenciada na área de ações na parte inferior.

O novo usuário administrador deve escolher uma nova senha na primeira vez que entrar com a senha temporária.

Modo de propriedade

Cota de empresas

Se a conta atingir a cota de empresas configurada, a criação é bloqueada e o formulário exibe uma mensagem de contato de suporte com a contagem atual e máxima de empresas.

Quando a cota de empresas é atingida, você não pode criar empresas gerenciadas adicionais até que seu limite seja aumentado.

Multitenância

Troca de empresa

O seletor de empresas na barra de ferramentas superior permite que usuários de multilocação alternem entre empresas delegadas sem sair da conta. Ele fica disponível quando pelo menos um contexto de empresa pode ser selecionado.

Comportamento do seletor

Sair da empresa

O menu do seletor inclui Sair da empresa, que limpa o contexto da empresa atual e retorna você ao espaço de trabalho global de multilocação.

Regras de redefinição de contexto

Trocar de empresa ou sair da empresa redefine o escopo do painel. As páginas e os dados específicos da empresa são atualizados para o contexto recém-selecionado, e a visibilidade do menu se adapta ao fato de uma empresa estar selecionada no momento.

A empresa selecionada se aplica a todas as abas do navegador que você tem abertas. Se você trocar ou sair de uma empresa em uma aba, as outras abas recarregam o painel na próxima ação, para que nunca operem em uma empresa diferente da que está sendo exibida.

Use o seletor para mudanças rápidas de contexto operacional, mas verifique o nome da empresa selecionada antes de executar ações sensíveis, como atualizações de política ou comandos de dispositivo.

Multitenância

Subcontas

A página Subcontas (Painel → Subcontas) está disponível para contas principais de multilocação. Ela permite criar usuários gerentes delegados, atribuir empresas gerenciadas, controlar permissões de cobrança e manter credenciais de subcontas.

Lista de subcontas

Cada cartão de subconta mostra a identidade e os controles de gerenciamento:

Atribuição de empresas gerenciadas

As atribuições de empresas são editadas por meio do campo de múltipla seleção Empresas gerenciadas. Quando você fecha o seletor após as alterações, o painel pede confirmação antes de salvar as atualizações.

Atribuir uma empresa a torna disponível para a subconta, mas a subconta só pode entrar nela depois que o acesso for concedido. Remover uma empresa das atribuições também remove o acesso da subconta a ela.

Permissão de gerenciamento de licenças

O interruptor Pode gerenciar licença controla se uma subconta pode acessar as ações de cobrança/licenciamento da empresa.

Para empresas criadas pela conta de multilocação, a conta principal sempre tem direitos de gerenciamento de licenças. As subcontas recebem direitos de gerenciamento de licenças apenas quando esse interruptor é ativado pela conta principal.

Redefinição de senha

Redefinir senha gera uma nova senha temporária e a envia à subconta por e-mail após a confirmação.

Ao entrar com uma senha temporária, seja após uma redefinição ou para uma subconta recém-criada, o usuário deve escolher uma nova senha antes de continuar.

Excluir subconta

Excluir uma subconta requer confirmação e remove permanentemente o acesso delegado dessa conta.

Criar subconta

Use o painel de ações na parte inferior Criar subconta para adicionar um novo gerente delegado.

Insights

Veja alguns artigos que exploram como o MDM pode ajudar sua empresa:

O que é o modo quiosque? Um guia para bloquear dispositivos Android & Apple para empresas

O modo quiosque transforma celulares e tablets comuns em ferramentas de negócios focadas. O Cerberus Enterprise ajuda as organizações a bloquear dispositivos em um único app ou em um pequeno conjunto aprovado de apps para casos de uso como PDV no varejo, check-in de visitantes e navegação de frotas, mantendo esses dispositivos especializados mais fáceis de proteger, manter e gerenciar em escala.

Como escolher a solução de MDM certa: uma lista de verificação de 7 pontos para pequenas empresas

Escolher o MDM no final do processo de compra fica mais fácil quando a comparação se mantém prática. Esta lista de verificação ajuda pequenas empresas a avaliar fornecedores segundo os sete critérios que costumam ser mais importantes em implantações reais: segurança, suporte a Android e Apple, facilidade de uso para equipes enxutas, escalabilidade, limites de privacidade, custo total de propriedade e suporte no dia a dia.

Criando uma sala de aula digital segura e focada: um guia de MDM para escolas de educação básica

Dispositivos gerenciados pela escola funcionam melhor quando permanecem focados no aprendizado. O Cerberus Enterprise ajuda organizações de educação básica a manter os dispositivos dos alunos focados por meio de apps gerenciados, restrições no estilo quiosque, configurações padronizadas de dispositivos compartilhados ou emprestados e ações de recuperação remota que reduzem perdas, desvios e interrupções na sala de aula.

Equipando seus técnicos de campo: como o MDM aumenta a eficiência e a segurança no local

Técnicos de campo dependem de dispositivos móveis para agendas, notas de serviço, referências técnicas, histórico do cliente e atualizações de trabalho enquanto atuam no local. O Cerberus Enterprise ajuda a manter esses dispositivos prontos por meio de apps gerenciados, modelos padronizados de dispositivos, comandos de suporte remoto e visibilidade baseada em localização que pode melhorar a coordenação do despacho e reforçar a segurança em campo.

Além do mapa: usando o MDM para um gerenciamento de frotas mais inteligente e a segurança dos motoristas

As operações de frota dependem de dispositivos móveis para navegação, despacho, mensagens, registro e execução em campo. O Cerberus Enterprise ajuda a manter esses dispositivos focados em fluxos de trabalho aprovados por meio de apps gerenciados, controles de quiosque e de dispositivo dedicado, políticas de comunicação segura, solução remota de problemas e supervisão baseada em localização que pode reduzir o tempo de inatividade e apoiar operações de direção mais seguras.

Como geofences, rastreamento em tempo real e mapas de localização melhoram as operações empresariais

Os recursos baseados em localização do Cerberus Enterprise ajudam as organizações a passar da simples visibilidade dos dispositivos para um controle operacional mais prático. Relatórios periódicos de localização, rastreamento em tempo real, transições de geofence e mapas interativos podem apoiar logística, serviço de campo, saúde, varejo, construção e outras equipes distribuídas que precisam de melhor visão sobre onde o trabalho acontece e quando os dispositivos entram ou saem de áreas importantes.

Como a multilocação ajuda os MSPs a escalar serviços de MDM e criar novas fontes de receita

A multilocação permite que MSPs, revendedores e organizações multicompanhia gerenciem várias empresas a partir de uma única conta do Cerberus Enterprise, mantendo cada ambiente separado. Esse modelo reduz o atrito operacional, melhora a escalabilidade do serviço e oferece suporte ao acesso delegado por meio de subcontas e de uma administração explícita controlada pelo cliente. Ele também cria oportunidades de negócios mais fortes para provedores que desejam combinar licenciamento de software com integração inicial, suporte, conformidade e serviços de mobilidade gerenciada.

Aprimorando a operabilidade empresarial com soluções de MDM

O Mobile Device Management centraliza o controle dos dispositivos da empresa, simplificando o registro, a configuração e a manutenção. O provisionamento automatizado e as operações em massa reduzem o trabalho manual de TI e garantem políticas consistentes em todos os dispositivos. Recursos de segurança como criptografia, monitoramento de conformidade e apagamento remoto protegem os dados corporativos. No geral, o MDM melhora a produtividade enquanto reduz os custos de suporte e a complexidade operacional.

Segurança avançada no gerenciamento do Android Enterprise

O Android Enterprise usa um perfil de trabalho para isolar apps e dados corporativos do conteúdo pessoal no mesmo dispositivo. Essa conteinerização cria ambientes criptografados separados, gerenciados de forma independente pelos administradores de TI. As políticas de segurança podem controlar o compartilhamento de dados corporativos sem afetar os apps pessoais. A arquitetura protege os dados empresariais mesmo que os aplicativos pessoais sejam comprometidos.

MDM para Apple iPhone e registro automatizado

A estrutura de MDM da Apple possibilita o gerenciamento centralizado de iPhones em ambientes corporativos. Combinada com o Apple Business Manager, os dispositivos podem se registrar e se configurar automaticamente na primeira ativação. Os administradores podem implantar e configurar apps corporativos silenciosamente, aplicar configurações de segurança e monitorar a conformidade. Essa automação garante uma configuração consistente dos dispositivos e reduz erros de instalação.

Entendendo o Mobile Device Management

O Mobile Device Management oferece uma plataforma centralizada para monitorar, proteger e controlar dispositivos móveis que acessam sistemas corporativos. Os principais recursos incluem a aplicação de políticas de segurança, o gerenciamento de aplicativos e o bloqueio ou apagamento remoto de dispositivos perdidos. O MDM ajuda a proteger os dados corporativos enquanto mantém a conformidade dos dispositivos. Ele permite que organizações de qualquer porte gerenciem com segurança uma força de trabalho móvel crescente.

Modelos de implantação de dispositivos empresariais

As organizações podem adotar vários modelos de propriedade de dispositivos, como BYOD, CYOD, COPE, COBO e COSU. Cada modelo equilibra custo, flexibilidade do usuário e controle de segurança de forma diferente. O BYOD prioriza a conveniência do usuário, enquanto o COBO e o COSU maximizam o controle e a segurança corporativos. A escolha do modelo correto depende de requisitos regulatórios, necessidades da força de trabalho e capacidade de gerenciamento de TI.

MDM vs. EMM vs. UEM

O MDM se concentra em gerenciar e proteger dispositivos móveis por meio da aplicação de políticas, do controle de configuração e do gerenciamento remoto. O EMM amplia esse escopo para incluir o gerenciamento de aplicativos e conteúdo, enquanto o UEM tenta gerenciar todos os endpoints, incluindo notebooks e desktops. Para muitas PMEs, suítes completas de EMM ou UEM adicionam complexidade desnecessária. Na prática, recursos robustos de MDM costumam atender à maioria dos requisitos de gerenciamento móvel.

MDM em celulares pessoais e a privacidade dos funcionários

Os sistemas modernos de MDM usam conteinerização para separar dados de trabalho e pessoais em dispositivos de propriedade dos funcionários. Os empregadores só podem gerenciar e monitorar o ambiente de trabalho, incluindo apps corporativos e informações de conformidade do dispositivo. Dados pessoais como fotos, mensagens e histórico de navegação permanecem inacessíveis à empresa. Essa separação técnica possibilita programas de BYOD seguros e preserva a privacidade dos funcionários.

ROI do MDM e valor para os negócios

O MDM deve ser avaliado como um investimento estratégico, e não como uma simples despesa de segurança. Ele gera retorno financeiro por meio da redução da perda de dispositivos, de custos menores de suporte de TI e de maior eficiência operacional. O gerenciamento automatizado também aumenta a produtividade dos funcionários e reduz o tempo de inatividade. Além disso, uma segurança mais forte reduz o risco e o impacto financeiro de violações de dados.

Gerenciamento de dispositivos em conformidade com a HIPAA

As organizações de saúde devem proteger os dados eletrônicos dos pacientes de acordo com os requisitos de segurança da HIPAA. O MDM ajuda a aplicar criptografia, controles de autenticação, transmissão segura de dados e registros de auditoria detalhados. Ele também possibilita o apagamento remoto e a aplicação centralizada de políticas para dispositivos que acessam sistemas médicos. Esses controles reduzem os riscos de conformidade e viabilizam fluxos de trabalho móveis em ambientes de saúde.

MDM para operações e segurança no varejo

As organizações do varejo dependem de dispositivos móveis para sistemas de PDV, gerenciamento de estoque e operações na loja. O MDM garante que esses dispositivos permaneçam seguros, atualizados e em conformidade com padrões como PCI-DSS. O gerenciamento centralizado reduz o tempo de inatividade e simplifica a implantação de dispositivos em várias unidades. O resultado é maior eficiência operacional e menor risco de incidentes de segurança relacionados a pagamentos.