Manual do Usuário
Documentação do Cerberus Enterprise MDM

Introdução
O Cerberus Enterprise é uma solução EMM completa, projetada para ajudar você a proteger e gerenciar seus dispositivos Android e Apple. Ele tem todos os recursos certos para o gerenciamento eficaz de dispositivos BYOD e de propriedade da empresa em um painel limpo e fácil de usar, e você pode começar em minutos.
Para usar o Cerberus Enterprise de forma eficaz, você precisa entender alguns conceitos-chave sobre como o sistema funciona.
O sistema oferece suporte ao gerenciamento de dispositivos Android e Apple:
No Android, o Cerberus Enterprise usa a Android Management API oficial do Google para gerenciar dispositivos por meio do app Android Device Policy (ADP). A maioria das configurações é aplicada diretamente pelo ADP. Alguns recursos opcionais também podem exigir o app complementar Cerberus Enterprise, que amplia o que é possível além do ADP sozinho.
Em dispositivos Apple (iPhone, iPad e Mac), o Cerberus Enterprise gerencia dispositivos por meio do Apple MDM (Mobile Device Management). O gerenciamento da Apple exige um certificado APNs e pode, opcionalmente, se integrar ao Apple Business para registro automatizado e licenciamento de apps. Em iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, o Cerberus também instala o app complementar Cerberus Enterprise, que compartilha a localização do dispositivo e recebe notificações.
Cada dispositivo pode ser registrado no sistema usando um Token de registro ou um Perfil de registro (registro manual da Apple). O método de registro é associado a uma Política que contém as regras que devem ser aplicadas aos dispositivos. 
Os administradores de TI podem alterar a política associada a um dispositivo após o registro. No entanto, cada dispositivo pode ser associado a apenas uma política por vez.
Durante o processo de registro (provisionamento), os componentes de gerenciamento necessários são instalados e configurados automaticamente. No Android, isso normalmente inclui o app Android Device Policy (e, dependendo da sua configuração, o app complementar Cerberus Enterprise). Em dispositivos Apple, o gerenciamento é aplicado via MDM após o registro do dispositivo, e iPhones e iPads passam a ter o app complementar Cerberus Enterprise (isso exige o app gratuito na sua biblioteca do Apple Business e um token do Apps and Books). Consequentemente, a política correspondente é aplicada automaticamente ao dispositivo, e todas as regras associadas são aplicadas pelo sistema de gerenciamento da plataforma.
Uma política pode ser aplicada a muitos dispositivos. Nesse caso, quando você modificar a política, todos os dispositivos associados receberão as alterações.
 

Configuração

Configuração do Android Management
Para gerenciar dispositivos Android com o Cerberus Enterprise, você primeiro precisa conectar sua organização ao Google Android Enterprise. 
 O processo de configuração geralmente leva alguns minutos e requer um endereço de e-mail corporativo (por exemplo, name@enterprise.com) ou, alternativamente, um endereço de e-mail pessoal do Google. 
O que acontece durante a configuração
Você será redirecionado ao Google Android Enterprise.
Você entra com seu endereço de e-mail corporativo (ou um endereço de e-mail pessoal do Google).
O Google cria a conta do Android Management para sua organização.
Você é redirecionado de volta ao Cerberus Enterprise para concluir a configuração.
Informações importantes
 Recomendamos se inscrever com um endereço de e-mail corporativo, não com uma conta pessoal do Gmail. Se o endereço de e-mail já estiver associado a uma conta do Google Admin, essa conta existente será reutilizada e vinculada ao Cerberus Enterprise; caso contrário, uma nova conta gratuita do Google Admin será criada. Uma conta do Google Admin desbloqueia o conjunto completo de recursos — por exemplo, registrar dispositivos usando a autenticação do Google com contas gerenciadas pelo seu domínio do Google Admin. 
Não tem um endereço de e-mail corporativo?
 Você ainda pode se inscrever com um endereço de e-mail pessoal do Google (por exemplo, uma conta do Gmail). Nesse caso, o Google cria uma conta gratuita do Managed Google Play vinculada ao Cerberus Enterprise. 
Próximas etapas
 Depois de concluir a configuração, crie um Token de registro e escolha o método de provisionamento apropriado para o dispositivo.

Configuração do Apple Management (APNs)
Para gerenciar dispositivos Apple, o Cerberus Enterprise requer o certificado do Apple Push Notification service (APNs). 
 Use o Apple ID associado à sua organização. O certificado APNs é válido por um ano e deve ser renovado anualmente para continuar gerenciando dispositivos. 
Etapa 1: Baixar o arquivo CSR
 No painel, inicie a configuração do Apple Management e baixe o arquivo de Solicitação de Assinatura de Certificado (CSR) assinado pelo fornecedor gerado pelo Cerberus Enterprise. 
Etapa 2: Criar o Push Certificate no portal da Apple
Entre no Apple Push Certificates Portal com seu Apple ID.
Clique em "Create a Certificate".
Faça upload do arquivo CSR da Etapa 1.
Baixe o Push Certificate criado.
 Link do portal: https://identity.apple.com/
Etapa 3: Fazer upload do Push Certificate
 Faça upload do Push Certificate que você baixou da Apple de volta ao Cerberus Enterprise para concluir a configuração. 
 Se o certificado APNs expirar, o gerenciamento de dispositivos Apple para de funcionar até o certificado ser renovado. 
 A partir de 30 dias antes do vencimento, o painel mostra um banner com a ação Como renovar. Sempre renove o certificado existente no Apple Push Certificates Portal com o mesmo Apple ID: um novo certificado tem um tópico diferente, e os dispositivos já registrados precisariam ser registrados novamente. 
Próximas etapas
 Depois que o APNs estiver configurado, você pode prosseguir com o registro de dispositivos Apple. Continue com Visão geral do provisionamento da Apple.

Visão geral do provisionamento de dispositivos
O Cerberus Enterprise oferece suporte ao gerenciamento de dispositivos para as plataformas Android e Apple. Você pode configurar cada plataforma de forma independente, dependendo dos dispositivos que precisa registrar. 
1. Conclua a configuração da plataforma no painel
 Antes de registrar dispositivos, conclua a configuração da plataforma no painel do Cerberus Enterprise. Se sua conta ainda não estiver configurada, o painel orientará você pelas etapas necessárias. 
Configuração do Android (Google Android Enterprise)
 Para o procedimento completo de configuração do Android, leia Configuração do Android Management. 
 Vá para o fluxo de inscrição do painel e selecione Configurar o Android Management. 
 Você será redirecionado ao Google para entrar com uma conta corporativa e autorizar o Android Enterprise. 
 Após a autorização, você será redirecionado de volta ao Cerberus Enterprise para concluir a configuração. 
Configuração da Apple (certificado push APNs)
 Para o procedimento completo de configuração da Apple, leia Configuração do Apple Management (APNs). 
 Vá para o fluxo de inscrição do painel e selecione Configurar o Apple Management. 
 Baixe o arquivo CSR do Cerberus Enterprise. 
 Crie o certificado APNs no Portal de Certificados Push da Apple e baixe o certificado resultante. 
 Faça upload do certificado baixado de volta no Cerberus Enterprise para habilitar o gerenciamento de dispositivos Apple. 
2. Registre dispositivos
 Depois de concluir a configuração da plataforma, escolha o método de registro que corresponda ao modelo de propriedade dos seus dispositivos e ao sistema operacional. 
Registro do Android
 Para o Android, o registro é conduzido por Tokens de registro. Selecione o método adequado dependendo se o dispositivo é de propriedade pessoal ou da empresa. 
 De propriedade pessoal (BYOD / perfil de trabalho): siga este guia. 
 Da empresa (uso profissional e pessoal / perfil de trabalho): siga este guia. 
 Da empresa (somente uso profissional / totalmente gerenciado ou dedicado): siga este guia. 
 Zero-touch: siga este guia. 
Registro da Apple
 Para a Apple, comece concluindo a configuração de APNs descrita acima e depois siga os guias de provisionamento da Apple: Visão geral do provisionamento da Apple.

Provisionamento de Dispositivos - Android

Dispositivos compatíveis
Em geral, qualquer dispositivo com Android 6 ou superior e Google Play Services é compatível com o Cerberus Enterprise.
Para uma melhor experiência do usuário, sugerimos usar dispositivos que atendam aos requisitos do Android Enterprise Recommended.
Alguns recursos são limitados a versões específicas do Android ou podem se comportar de forma diferente entre versões do sistema operacional. Para obter mais informações sobre um recurso específico, consulte a seção Políticas da documentação.
O Cerberus Enterprise oferece suporte a dispositivos da empresa e de propriedade pessoal, além de dois modos de gerenciamento: proprietário do dispositivo e proprietário do perfil.
Dispositivos de propriedade pessoal podem ser gerenciados por meio de um perfil de trabalho. Isso possibilita uma solução BYOD ao manter os dados e apps de trabalho dos funcionários separados dos dados e apps pessoais, melhorando a segurança e a privacidade. Esta opção é adequada para dispositivos já pertencentes aos funcionários que você deseja registrar na sua organização para uso profissional.
Dispositivos da empresa também podem ser gerenciados por meio de um perfil de trabalho, mas você também pode escolher a opção totalmente gerenciado, que permite um controle mais rigoroso sobre o dispositivo. Dispositivos da empresa com perfil de trabalho são adequados quando você fornece dispositivos corporativos aos funcionários para uso profissional, permitindo ainda o uso pessoal. Dispositivos totalmente gerenciados são mais adequados para dispositivos que devem ser usados apenas para trabalho ou para dispositivos dedicados (COSU, corporate-owned single-use), como quiosques.
Para obter mais informações sobre o provisionamento de dispositivos, consulte a página Visão geral do provisionamento de dispositivos.

Tokens de registro
O Cerberus Enterprise usa tokens de registro para iniciar o processo de registro (provisionamento) de dispositivos Android. O token selecionado define a política inicial aplicada aos dispositivos registrados e influencia quais modos de provisionamento são permitidos. 
 A aba de tokens de registro do Android só fica disponível após concluir Configuração do Android Management. 
Onde encontrar tokens de registro
 No painel, abra Tokens de registro. Dependendo da configuração da sua conta, a página pode mostrar várias abas (tokens do Android, registro com login do Google, registro manual da Apple e Registro Automatizado de Dispositivos da Apple). 
 Se o seu ambiente corporativo Android for respaldado por um domínio Google gerenciado (Google Workspace), o painel também pode mostrar uma aba Autenticar usando o Google Enrollment. Para detalhes sobre como habilitá-la e usá-la, consulte Autenticar usando o Google Enrollment. 
Lista de tokens de registro (Android)
 A aba de tokens do Android mostra uma tabela com todos os tokens. Clicar em uma linha abre a página de detalhes do token. 
Colunas
Status: Ativo (os dispositivos podem se registrar com o token), Expirado (a data de expiração já passou) ou Esgotado (um token de uso único que já foi usado).
Política: a política atribuída ao token (a dica de ferramenta mostra o id da política). Política excluída significa que a política foi excluída após a criação do token.
Usuário: usuário opcional pré-atribuído aos dispositivos registrados com o token. Usuário excluído significa que o usuário foi excluído após a criação do token.
Registros: quantos dispositivos se registraram com o token, exibido como n / 1 para um token de uso único.
Uso pessoal: Permitido / Não permitido / Dispositivo dedicado.
Criação: quando o token foi criado. A tabela mostra os tokens mais recentes primeiro.
Expiração: data/hora de expiração ou Nunca.
Código de registro: o código do token, aquele que você digita no dispositivo quando o registra sem um código QR.
Ações
 Cada linha tem uma ação de exclusão (Excluir token de registro). A exclusão fica desabilitada quando a licença está expirada. 
 A tabela oferece suporte à seleção de várias linhas: você pode ativar o modo de seleção, selecionar vários tokens e excluí-los com Excluir tokens selecionados. 
Use a ação de atualização para recarregar a lista. A tabela é paginada (10/25/50 itens por página).
Criar um novo token de registro
 Na aba de tokens do Android, clique em Novo token de registro para abrir a página de criação de token. Se sua licença estiver expirada, o botão de criação fica desabilitado. 
Opções do token
1. Política
Obrigatório. A política aplicada automaticamente a todos os dispositivos registrados com este token. Selecione uma das suas políticas do Android. Se você ainda não tiver nenhuma política, crie uma primeiro. 
2. Usuário
 Opcional. Se definido, os dispositivos recém-registrados são associados automaticamente a este usuário. 
3. Uso pessoal
 Controla se o uso pessoal é permitido em um dispositivo provisionado com este token de registro: 
Permitido: adequado para dispositivos de propriedade pessoal (perfil de trabalho) e dispositivos da empresa para uso profissional e pessoal. 
Não permitido: adequado para dispositivos da empresa somente para uso profissional (totalmente gerenciados). 
Dispositivo dedicado: adequado para dispositivos de quiosque/dedicados (o dispositivo não é associado a um único usuário). 
4. Usos permitidos
 Selecione se o token pode ser usado várias vezes (Várias vezes) ou apenas uma vez (Apenas uma vez). 
5. Expiração
 Selecione a unidade de expiração (Minutos, Horas, Dias ou Nunca). Quando não definida como Nunca, informe o valor de expiração. O intervalo permitido depende da unidade selecionada e pode chegar a 10.000 dias. 
6. Autenticação do Google
 Controla se o usuário deve se autenticar com uma conta Google durante o registro do dispositivo: 
Não especificado: a configuração de autenticação do Google no nível da empresa é usada para determinar se o usuário precisa se autenticar com o Google durante o registro. 
Opcional: o usuário pode optar por ignorar a autenticação do Google durante o registro. 
Obrigatório: o usuário deve se autenticar com uma conta Google para prosseguir com o registro. 
 Quando Obrigatório está selecionado, um campo opcional E-mail da conta obrigatória aparece. Se definido, o usuário deve se autenticar com essa conta Google específica durante o registro. 
Opções de provisionamento (somente código QR)
 Essas opções adicionais são incorporadas ao código QR e aplicadas durante o provisionamento de dispositivos totalmente gerenciados registrados pela leitura do código QR. Elas não se aplicam a perfis de trabalho nem a dispositivos registrados usando a URL de registro ou o Token. 
Configuração de Wi‑Fi
 Use isto para permitir que um dispositivo se conecte automaticamente ao Wi‑Fi durante o provisionamento, para que ele possa baixar e inicializar o app de gerenciamento. Os campos disponíveis incluem SSID, SSID oculto, Segurança e (quando necessário) Frase secreta. 
 Você também pode configurar um proxy HTTP (Proxy) e, dependendo do modo, definir Host/Porta, URI PAC e Host de exceção do proxy. 
Outras opções
 As opções adicionais incluem Idioma, Fuso horário e Ignorar criptografia. 
Detalhes do token de registro
 Ao abrir um token, a página de detalhes mostra a configuração do token e as informações de uso: 
Status, Expiração, Uso, Uso pessoal, Usos permitidos e (quando definido) Autenticação do Google com o campo opcional E-mail da conta obrigatória.
Token: o valor bruto do token de registro (copiável).
URL de registro: uma URL de registro do Google Android Enterprise (copiável e enviável por e-mail).
Código QR: exibido no lado direito da página, usado para registrar dispositivos totalmente gerenciados.
 Para procedimentos de provisionamento passo a passo, siga os guias de registro do Android: Dispositivos de propriedade pessoal, Dispositivos da empresa para uso profissional e pessoal, Dispositivos da empresa somente para uso profissional e Zero-touch.

Dispositivos de propriedade pessoal
Dispositivos de propriedade dos funcionários podem ser configurados com um perfil de trabalho. Um perfil de trabalho oferece um espaço independente para apps e dados de trabalho, separado dos apps e dados pessoais. A maioria das políticas de apps, dados e outras políticas de gerenciamento se aplica apenas ao perfil de trabalho, enquanto os apps e dados pessoais dos funcionários permanecem privados.Para configurar um perfil de trabalho em um dispositivo de propriedade pessoal, use um dos seguintes métodos de provisionamento (verifique se o token de registro tem Uso pessoal definido como Permitido):
Link do token de registro
Versão do Android
6.0+Você pode fornecer a URL de registro aos usuários finais. Quando um usuário final abre o link no dispositivo, ele é guiado pela configuração do perfil de trabalho.
Adicionar perfil de trabalho em "Configurações"
Versão do Android
6.0+Para configurar um perfil de trabalho no dispositivo, o usuário pode abrir o app Configurações e usar a barra de pesquisa para encontrar e tocar na opção Configurar seu perfil de trabalho.
Se a pesquisa não funcionar, o local desta opção pode variar. Aqui estão algumas possibilidades:
Configurações -> Serviços e preferências do Google -> Todos os serviços -> Configurar seu perfil de trabalho.
Configurações -> Google -> Configurar & restaurar -> Configurar seu perfil de trabalho.
Estas etapas iniciam um assistente de configuração que baixa o Android Device Policy no dispositivo. Em seguida, o usuário será solicitado a escanear um código QR ou inserir manualmente um token de registro para concluir a configuração do perfil de trabalho.
Baixar o Android Device Policy
Versão do Android
6.0+Para configurar um perfil de trabalho no dispositivo, o usuário pode baixar o Android Device Policy na Google Play Store. Depois que o app for instalado, o usuário será solicitado a escanear um código QR ou inserir manualmente um token de registro para concluir a configuração do perfil de trabalho.
iPhones e iPads pessoais
 iPhones e iPads pessoais (e Macs) são registrados com o User Enrollment da Apple: o usuário entra com sua Conta Apple Gerenciada nos ajustes do dispositivo, e apenas os apps, contas e dados de trabalho são gerenciados. Em iPhones e iPads, os apps da App Store da política e o app Cerberus Enterprise são instalados com uma licença de usuário dessa conta. A localização de dispositivos pessoais é coletada somente se a política deles ativar Localização e geocercas em dispositivos pessoais e o usuário permitir. Leia Registro orientado pela conta Apple.

Dispositivos da empresa para uso profissional e pessoal
Configurar um dispositivo da empresa com um perfil de trabalho permite usar o dispositivo tanto para fins profissionais quanto pessoais. Em dispositivos da empresa com perfis de trabalho:
A maioria das políticas de apps, dados e outras políticas de gerenciamento se aplica apenas ao perfil de trabalho.
Os perfis pessoais dos funcionários permanecem privados. No entanto, as empresas podem aplicar certas políticas para todo o dispositivo e políticas de uso pessoal.
As empresas podem usar Escopo de bloqueio para aplicar ações de conformidade em um dispositivo inteiro ou apenas no perfil de trabalho.
O cancelamento de registro e os comandos de dispositivo se aplicam ao dispositivo inteiro.Para configurar um dispositivo da empresa com um perfil de trabalho, use um dos seguintes métodos de provisionamento (verifique se o token de registro tem Uso pessoal definido como Permitido):
Método de código QR
Versão do Android
8.0+Em um dispositivo novo ou redefinido de fábrica, o usuário (normalmente um administrador de TI) toca a tela seis vezes no mesmo ponto. Isso faz com que o dispositivo solicite ao usuário que escaneie um código QR.

Dispositivos da empresa somente para uso profissional
Gerenciamento completo do dispositivo é adequado para dispositivos da empresa destinados exclusivamente a fins profissionais. As empresas podem gerenciar todos os apps do dispositivo e aplicar toda a gama de políticas e comandos da API Android Management.Também é possível bloquear um dispositivo (por meio de política) em um único app ou em um pequeno conjunto de apps para atender a uma finalidade ou caso de uso específico. Esse subconjunto de dispositivos totalmente gerenciados é chamado de dispositivos dedicados.Para configurar o gerenciamento completo em um dispositivo da empresa, use um dos seguintes métodos de provisionamento (verifique se o token de registro tem Uso pessoal definido como Não permitido):
Método de código QR
Versão do Android
7.0+Em um dispositivo novo ou redefinido de fábrica, o usuário (normalmente um administrador de TI) toca a tela seis vezes no mesmo ponto. Isso faz com que o dispositivo solicite ao usuário que escaneie um código QR.
Método do identificador DPC
Versão do Android
5.1+Se o Android Device Policy não puder ser adicionado por código QR, um usuário ou administrador de TI pode seguir estas etapas para provisionar um dispositivo totalmente gerenciado ou dedicado:
1. Siga o assistente de configuração em um dispositivo novo ou redefinido de fábrica.2. Insira os dados de login do Wi-Fi para conectar o dispositivo à internet.3. Quando solicitado a entrar, insira afw#setup, o que baixa o Android Device Policy.4. Escaneie um código QR ou insira manualmente um token de registro para provisionar o dispositivo.

Zero-touch
Os administradores de TI podem provisionar dispositivos da empresa usando o método de registro Zero-touch, descrito em Registro Zero-touch para administradores de TI. Quando um dispositivo é ligado pela primeira vez, ele é automaticamente forçado a usar as configurações definidas pelo administrador de TI.
Os administradores de TI podem pré-configurar dispositivos comprados de revendedores autorizados e gerenciá-los usando o painel do Cerberus Enterprise. Para vincular sua conta Zero-touch, vá para a seção Zero-touch no painel e siga as instruções.
Versão do Android
Perfil de trabalho
Dispositivo totalmente gerenciado
Dispositivo dedicado
8.0+ (Pixel 7.1+)
✓
✓
✓

Autenticação do Google no registro
A autenticação do Google no registro (também chamada de Autenticação do Google para Registro) permite que os usuários se autentiquem com a conta do Google Workspace durante o registro de dispositivos Android. 
 Este recurso está disponível apenas para ambientes corporativos Android respaldados por um domínio Google gerenciado (Google Workspace). 
Onde encontrá-lo
 No painel, abra Tokens de registro e selecione a aba Autenticar usando o Google Enrollment. A aba só é exibida quando o Android Management está configurado e a integração com o Google Workspace está disponível para sua empresa. 
Ativar (ou desativar) a autenticação do Google
 A autenticação do Google é ativada no Console do Google Admin. Depois de alterar a configuração, volte ao Cerberus Enterprise e use Atualizar status para recarregar a configuração atual. 
 Entre no seu Console do Google Admin com uma conta de administrador. 
Abra Dispositivos.
Vá para Dispositivos móveis & endpoints → Configurações → Integrações de terceiros.
Localize a integração Android EMM do Cerberus Enterprise e abra-a.
Clique em Gerenciar provedores EMM.
 Ative ou desative Autenticar usando o Google para habilitar ou desabilitar a autenticação do Google no registro. 
Clique em Salvar.
 Volte ao painel do Cerberus Enterprise e clique em Atualizar status na aba Autenticar usando o Google Enrollment. 
Token de registro para autenticação do Google
 Quando a autenticação do Google está habilitada, o painel mostra um token de registro dedicado usado para esse modo de registro. A página pode mostrar um código QR, um valor de Token de registro e uma URL de registro (copiável e enviável por e-mail). 
Opções principais
Permitir uso pessoal: controla se o token pode registrar dispositivos para uso profissional e pessoal (cenários de perfil de trabalho) ou somente para uso profissional (cenários totalmente gerenciados/dedicados). 
Política padrão de fallback: a política aplicada quando o usuário que está registrando não tem uma política padrão de autenticação do Google específica atribuída. 
Interação com políticas
 A configuração de política Autenticação de configuração da conta corporativa (workAccountSetupConfig.authenticationType) controla como os usuários se autenticam durante a configuração da conta corporativa, mas a configuração Autenticar usando o Google do Console do Google Admin e o tipo de token de registro ainda podem exigir autenticação. 
 Para dispositivos já registrados, esta política se aplica apenas se o dispositivo for gerenciado por uma conta gerenciada do Google Play (ou seja, registrado sem Autenticar usando o Google Enrollment). 
 Algumas ações (por exemplo, alterar as opções do token) podem ficar desabilitadas quando a licença está expirada. 
Registrar um dispositivo
 Durante o registro, o usuário é solicitado a se autenticar com a conta do Google Workspace. Após um registro bem-sucedido, o dispositivo é associado ao usuário autenticado. 
Perfil de trabalho (dispositivos de propriedade pessoal)
 Compartilhe a URL de registro com o usuário. Quando o usuário a abrir no dispositivo Android, ele será guiado pela configuração do perfil de trabalho e pela autenticação do Google. 
 Como alternativa, o usuário pode começar nas Configurações do Android e escolher o fluxo de configuração do perfil de trabalho, depois escanear o código QR ou inserir o token de registro quando solicitado. 
Dispositivos da empresa
Método de código QR: em um dispositivo novo ou redefinido de fábrica, toque a tela várias vezes no mesmo ponto até que o aviso de código QR apareça, depois escaneie o código QR exibido no painel. 
Método do identificador DPC (quando a leitura de QR não estiver disponível): siga o assistente de configuração, conecte-se ao Wi‑Fi e, quando solicitado a entrar, insira afw#setup e prossiga escaneando o código QR ou inserindo o token de registro. Quando solicitado, autentique-se com a conta do Google Workspace. 
 Para procedimentos gerais de provisionamento do Android (perfil de trabalho versus totalmente gerenciado), consulte as páginas padrão de registro do Android neste manual.

Provisionamento de Dispositivos - Apple

Visão geral do provisionamento da Apple
O Cerberus Enterprise oferece suporte ao registro e ao gerenciamento de iPhones, iPads e Macs. O provisionamento da Apple exige um certificado APNs e pode ser realizado usando diferentes métodos de registro. 
Pré-requisito: configurar o Apple Management (APNs)
 Antes de registrar qualquer dispositivo Apple, conclua Configuração do Apple Management (APNs). 
Escolha um método de registro
Registro manual (Perfil de registro)
 Este método fornece uma URL de registro e um arquivo de perfil de configuração (mobileconfig) que você instala no dispositivo. Leia Registro manual da Apple. 
Registro Automatizado de Dispositivos (ADE)
 Este método se integra ao Apple Business para automatizar o registro de dispositivos da empresa. Leia Registro Automatizado de Dispositivos (ADE). 
Registro baseado na conta (entrar com uma conta corporativa)
 Os usuários registram o iPhone, iPad ou Mac entrando com a conta Apple Gerenciada nas configurações do dispositivo: Registro de Usuário para dispositivos pessoais, Registro de Dispositivo para dispositivos da empresa que não estão no Apple Business. Leia Registro baseado na conta da Apple. 
 Em iPhones e iPads pessoais registrados com o Registro de Usuário, os apps da App Store da política são instalados com uma licença de usuário da conta Apple Gerenciada, que a Cerberus atribui automaticamente; o usuário é solicitado a instalar cada app. As contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Leia Apps em dispositivos pessoais. 
App Cerberus Enterprise no iPhone e iPad
 Após o registro, o Cerberus instala o app Cerberus Enterprise em iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem uma política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo; em dispositivos pessoais (User Enrollment), ele recebe mensagens e compartilha a localização somente se a política ativar Localização e geocercas em dispositivos pessoais e o usuário permitir. Ele precisa de uma etapa única: adicione o app gratuito à sua biblioteca do Apple Business (Apps & Books → App Store, procure por "Cerberus Enterprise", Adicionar para todas as unidades organizacionais atuais e futuras). Dispositivos supervisionados o instalam silenciosamente; em outros dispositivos, o usuário é solicitado a instalá-lo. Se o usuário já o instalou da App Store, o dispositivo pede para permitir que sua organização gerencie o app, e o app mantém seus dados e permissões. Se o usuário recusar, use Tentar novamente na página do dispositivo. O usuário não pode excluir o app, e ele permanece instalado se o token do Apps and Books expirar. Macs não recebem o app. 
 Você pode usar o registro manual e o ADE em paralelo, dependendo do seu parque de dispositivos e do processo de compra.

Registro manual da Apple (Perfil de Registro)
O Cerberus Enterprise é compatível com o registro manual de dispositivos Apple usando um QR code, uma URL de registro ou um arquivo de perfil de registro. 
 O registro manual fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs). 
 Os usuários também podem registrar o iPhone, iPad ou Mac sem um perfil, entrando com a conta de trabalho nas configurações do dispositivo. Leia Registro orientado por conta da Apple. 
Tokens de registro
 Um token de registro tem a própria URL de registro e o próprio QR code, e atribui estas configurações aos dispositivos que se registram com ele: 
Política: aplicada ao dispositivo assim que ele se registra.
Usuário: atribuído ao dispositivo. Sem um usuário no token, o dispositivo não tem usuário.
Propriedade: de propriedade da empresa ou de propriedade pessoal. Quando não está definida, dispositivos supervisionados são definidos como de propriedade da empresa e os demais como de propriedade pessoal. iPhones e iPads registrados manualmente não são supervisionados; os Macs são, então são definidos como de propriedade da empresa. 
Expiração: depois deste dia, a URL de registro para de funcionar. Um perfil baixado antes ainda pode ser instalado. 
Registros permitidos: quantos dispositivos podem se registrar com o token. Deixe vazio para sem limite.
 Para criar um token, abra a seção Registro no painel, selecione a aba Registro manual da Apple (Perfil de Registro) e clique em Novo token de registro. Defina o nome e as configurações e clique em Criar token: a página do token mostra a URL de registro, o QR code e o botão Baixar perfil de registro. 
 A tabela de tokens mostra, para cada token, seu Status (Ativo, Expirado ou Esgotado), a Expiração, os Registros realizados em relação aos permitidos e o Último uso, a última vez que um dispositivo se registrou com ele. Em seguida vêm a Política, o Usuário (passe o mouse sobre ele para ver o e-mail), a Propriedade e a data de Criação (passe o mouse sobre ela para ver quem criou o token). Os tokens mais recentes aparecem primeiro, e você pode classificar por qualquer coluna. Classifique por Último uso para encontrar tokens ativos que ninguém mais usa e exclua-os para que a URL de registro deles pare de funcionar. Uma política ou um usuário excluído após o token ser salvo é exibido como Política excluída ou Usuário excluído com um ícone de aviso: edite o token para escolher outro. 
 As alterações em um token se aplicam aos próximos registros: dispositivos já registrados mantêm a política e o usuário deles. Quando um token é excluído, expira ou atinge os registros permitidos, a URL de registro dele para de funcionar. 
Registro sem um token
 O painel Registro sem um token da mesma aba tem a URL de registro da sua organização. Dispositivos registrados com ela não recebem política nem usuário: atribua-os na página do dispositivo. 
 A política e o usuário de um dispositivo dependem de como ele se registra: a política e o usuário do token com um token de registro; a política do perfil ADE com o Automated Device Enrollment, mantendo o usuário atribuído na página do dispositivo; nenhuma política e nenhum usuário com a URL de registro, o QR code ou o perfil sem um token (mesmo que o dispositivo tenha um perfil ADE). Um dispositivo que se registra novamente não mantém a política e o usuário do registro anterior: a página do dispositivo os mostra apenas se o novo registro os atribuir. Somente um dispositivo apagado com Return to Service se registra novamente com a política e o usuário atuais. 
Obter a URL de registro e o perfil
 Abra o token na aba Registro manual da Apple (Perfil de Registro) da seção Registro, ou expanda Registro sem um token. 
Copie a URL de registro ou use a ação de enviar por e-mail.
Escaneie o código QR mostrado ao lado da URL de registro com a câmera de um iPhone ou iPad: ele abre a mesma URL de registro no dispositivo. Em um Mac, use a URL de registro ou o arquivo de perfil.
Baixe o Perfil de Registro (arquivo mobileconfig).
Como registrar um iPhone ou iPad
 iOS/iPadOS 15.0+ 
 Primeiro, baixe o perfil de registro no dispositivo usando um dos seguintes métodos: 
Método 1: código QR
 Abra o app Câmera no dispositivo e aponte-o para o código QR exibido ao lado da URL de registro, depois toque no link que aparece. O Safari abre a URL de registro e pede permissão para baixar um perfil de configuração: toque em Permitir. 
Método 2: URL de registro
 Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no dispositivo, depois toque em Permitir para baixar o perfil de configuração. 
Método 3: arquivo de perfil de registro
 Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao dispositivo, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no dispositivo. 
 Em seguida, conclua o registro no dispositivo: 
 No dispositivo, abra Configurações → Perfil baixado → Instalar e siga as instruções. 
 Após o registro, você pode verificar o status em Configurações → Geral → VPN & Gerenciamento de Dispositivos (ou Perfis & Gerenciamento de Dispositivos). 
 Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Em um dispositivo registrado manualmente (não supervisionado), o usuário é solicitado a instalá-lo ou a permitir que sua organização o gerencie caso ele já tenha sido instalado pela App Store. Se o usuário recusar, use Tentar novamente na página do dispositivo. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta). 
 No iPhone e no iPad, um perfil baixado que não for instalado em 8 minutos é removido pelo dispositivo. Nesse caso, baixe-o novamente. 
Como registrar um Mac
 macOS 13.0+ 
 O código QR funciona somente no iPhone e no iPad. Baixe o perfil de registro no Mac usando um dos seguintes métodos: 
Método 1: URL de registro
 Envie a URL de registro ao usuário (por exemplo, com a ação de envio por e-mail) e abra-a no Safari no Mac; depois, permita o download se for solicitado. Se o perfil não abrir sozinho, abra o arquivo enroll.mobileconfig baixado. 
Método 2: Arquivo de perfil de registro
 Baixe o arquivo de perfil de registro (enroll.mobileconfig) e envie-o ao Mac, por exemplo como anexo de e-mail ou com o AirDrop, depois abra-o no Mac. 
 Abrir o perfil apenas o adiciona aos perfis baixados. Depois, conclua o registro no Mac, conectado como o usuário principal dele: 
 Abra Ajustes do Sistema → Geral → Gerenciamento de Dispositivos (no macOS 13 e 14: Privacidade e Segurança → Perfis). Na seção Baixados, clique duas vezes em Perfil de Registro, clique em Registrar (ou Instalar) e siga as instruções. Insira o nome e a senha de um administrador do Mac se for solicitado. 
 Após o registro, Perfil de Registro é listado no mesmo lugar. No Terminal, 
profiles status -type enrollment mostra Registro MDM: Sim (Aprovado pelo usuário). 
 Macs registrados manualmente são supervisionados, e o usuário que instala o perfil é mostrado no painel Usuários do Mac da página do dispositivo. Macs não recebem o app Cerberus Enterprise. Se o perfil não estiver mais na seção Baixados, baixe-o novamente. 
 Instale apenas perfis de registro obtidos do seu painel do Cerberus Enterprise.

Apple Automated Device Enrollment (ADE)
O Automated Device Enrollment (ADE) se integra ao Apple Business (antigo Apple Business Manager) para registrar automaticamente iPhones, iPads e Macs de propriedade da empresa quando são ligados pela primeira vez (ou após uma redefinição de fábrica). 
 O ADE requer que o Apple Management (APNs) seja configurado primeiro. Se necessário, leia Configuração do Apple Management (APNs). 
Como registrar dispositivos automaticamente
 Adicione dispositivos à sua conta do Apple Business e atribua-os ao serviço de gerenciamento de dispositivos Cerberus Enterprise: no Apple Business, abra Dispositivos → Inventário, selecione os dispositivos e clique em Atribuir gerenciamento de dispositivos, ou atribua novos dispositivos automaticamente em Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão. Consulte Gerenciar fornecedores de dispositivos e Adicionar dispositivos usando o Apple Configurator. 
 Depois de adicionar novos dispositivos à sua conta do Apple Business, sincronize-os no Cerberus Enterprise na seção Dispositivos usando a ação Sincronizar do Apple Business. Os dispositivos sincronizados só usam uma licença quando são registrados. 
 Crie um perfil ADE no painel em Registro → Apple Automated Device Enrollment (ADE) → Novo perfil ADE. 
 Atribua um perfil ADE a um dispositivo na página de detalhes do dispositivo usando o campo Perfil ADE. 
 Após o registro, iPhones e iPads com iOS ou iPadOS 18.4 ou posterior recebem o app Cerberus Enterprise. Dispositivos registrados com ADE são supervisionados, então o app é instalado sem perguntar ao usuário; a configuração não espera por ele. O app precisa estar na sua biblioteca do Apple Business uma vez (consulte Configurações da conta). Macs não recebem o app. 
Configurações do perfil ADE (visão geral)
 Um perfil ADE controla como o dispositivo é registrado e como o Assistente de Configuração se comporta. No Cerberus Enterprise, um perfil ADE inclui um nome, uma política inicial opcional, opções de registro, os painéis do Assistente de Configuração a ignorar, contatos de suporte e certificados confiáveis. 
Nome do perfil
Um nome legível para o perfil (por exemplo, Perfil ADE padrão).
Política
 A política aplicada aos dispositivos quando eles se registram com o Automated Device Enrollment (Assistente de Configuração). Dispositivos do perfil registrados com a URL de registro ou o QR code recebem a política do token de registro deles; sem um token, nenhuma política. Alterar apenas a política mantém o perfil como está. 
Opções de registro
MDM removível: controla se o payload MDM pode ser removido do dispositivo.
Permitir emparelhamento: controla se o emparelhamento é permitido (obsoleto na Apple desde o iOS 13).
Avanço automático da configuração: avança automaticamente o Assistente de Configuração pelas telas dele (Mac com macOS 11 ou posterior e Apple TV).
Aguardar dispositivo configurado: o Assistente de Configuração espera até que a política do perfil ADE seja aplicada, para que os usuários comecem com os apps e as configurações dela no lugar. O Cerberus Enterprise então deixa o dispositivo continuar, no máximo 4 minutos após o registro.
Obrigatório: impede pular a aplicação do perfil durante a configuração.
Multiusuário (iPad Compartilhado): configura o dispositivo para o iPad Compartilhado.
Supervisionado: solicita supervisão para o dispositivo.
Assistente de Configuração
Departamento, Telefone de suporte e E-mail de suporte (opcional): enviados à Apple com o perfil. O dispositivo pode não mostrá-los.
Painéis a ignorar: o Assistente de Configuração não mostra os painéis selecionados (por exemplo, Conta Apple, Siri ou Tempo de Uso). Cada dispositivo mostra somente os painéis do sistema dele (alguns, como FileVault ou Documentos e Área de Trabalho do iCloud, existem somente em Macs); Ignorar todos e Mostrar todos selecionam ou desmarcam todos.
Apple TV: idioma e região para Apple TV com avanço automático da configuração.
Certificados confiáveis: necessários apenas se o servidor usar um certificado que os dispositivos não confiam, por exemplo de uma CA privada. Importe o certificado primeiro na página Certificados.
Lista de perfis ADE
 A lista mostra o nome de cada perfil, sua política, seus dispositivos e seu Id, o identificador que a Apple fornece ao perfil. Um cadeado após o nome indica um perfil obrigatório cujo gerenciamento os usuários não podem remover. Sem política ou Política excluída avisa que os dispositivos registrados com o perfil não recebem política inicial. 
 A coluna Dispositivos conta os dispositivos registrados do perfil e, ao lado deles, os dispositivos aguardando: atribuídos ao perfil no Apple Business, mas ainda não registrados. Os dispositivos removidos não são contados. 
Alterar um perfil
 A Apple não permite alterar um perfil ADE. Quando você altera um (exceto apenas a política), o Cerberus Enterprise define um novo perfil com o mesmo nome e o atribui aos dispositivos do antigo; o perfil antigo deixa de ser listado quando nenhum dispositivo o usa. Dispositivos que já concluíram o Assistente de Configuração usam o novo perfil na próxima vez que forem apagados. 
 Um perfil que nenhum dispositivo usa, registrado ou aguardando, pode ser excluído da lista de perfis ADE. A Apple não permite excluir um perfil, então ele permanece no Apple Business, sem uso. 
 Depois que um dispositivo tem um perfil ADE atribuído, ele está pronto para ser registrado automaticamente.

Registro orientado por conta da Apple
Com o registro orientado por conta, os usuários registram o iPhone, iPad ou Mac entrando com a conta de trabalho (uma Managed Apple Account, por exemplo name@company.com) nas configurações do dispositivo. Nenhum perfil para baixar e nenhum QR code: o Cerberus Enterprise encontra o usuário, aplica a política e define a propriedade sozinho. 
Dois modos
User Enrollment (dispositivos pessoais): apenas os apps, contas e dados de trabalho são gerenciados, em uma área separada do dispositivo. O Cerberus não pode ver dados pessoais, apagar o dispositivo, localizá-lo ou ler o número de série dele. O dispositivo é definido como pessoal. Requer iOS e iPadOS 15 ou macOS 14 ou posterior. 
Device Enrollment (dispositivos da empresa que não estão no Apple Business): o dispositivo inteiro é gerenciado, como em um registro manual. Um Mac registrado dessa forma é supervisionado; um iPhone ou iPad não é. O dispositivo é definido como da empresa. Requer iOS e iPadOS 17.1 ou macOS 14.1 ou posterior. 
 Você escolhe o modo para iPhone e iPad e, separadamente, para Mac: por exemplo, User Enrollment para iPhones pessoais e Device Enrollment para Macs. Você pode alterar a propriedade de um dispositivo mais tarde na página do dispositivo. 
 O registro orientado por conta fica disponível quando o Apple Management (APNs) está configurado. Se você ainda não concluiu a configuração do APNs, leia Configuração do Apple Management (APNs). 
Configurar o Apple Business
 Os usuários entram com Managed Apple Accounts, que são criadas no Apple Business. Antes de começar: 
Verifique seu domínio (por exemplo company.com) no Apple Business, nos domínios da sua organização. 
Crie as Managed Apple Accounts dos seus usuários, ou conecte o Apple Business ao Google Workspace ou ao Microsoft Entra ID: assim, a conta de cada usuário é o endereço de e-mail corporativo dele e ele entra com a senha dela. 
 Para o User Enrollment, verifique nas configurações de gerenciamento de acesso se as Managed Apple Accounts podem entrar em dispositivos pessoais: quando elas só podem entrar em dispositivos supervisionados, o User Enrollment falha. 
 Apenas para a opção Apple Business abaixo: abra Dispositivos → Serviços de gerenciamento → Atribuição de dispositivo padrão (Editar) e escolha o serviço de gerenciamento de dispositivos Cerberus Enterprise para iPhone, iPad e Mac. 
 Mantenha o serviço de gerenciamento de dispositivos Cerberus Enterprise e o token dele no Apple Business enquanto os dispositivos estiverem registrados com Managed Apple Accounts: removê-los pode impedir que as contas funcionem nos dispositivos. 
Configurar o Cerberus Enterprise
 Abra a seção Registro do painel e selecione a aba Entrada com conta Apple. Uma lista de verificação na parte superior mostra o que ainda falta. Somente administradores podem alterar as configurações. 
Permitir registro entrando com uma conta de trabalho: ativa ou desativa o registro orientado por conta para toda a organização.
Domínios: os domínios das contas dos seus usuários (por exemplo company.com), até 20. Apenas contas desses domínios podem se registrar, e somente depois que o domínio for verificado (veja abaixo). 
iPhone e iPad e Mac: Desativado, User Enrollment ou Device Enrollment para cada família de dispositivos. 
Política de cada modo: aplicada aos dispositivos assim que eles se registram. Sem uma política, os dispositivos se registram sem uma. Uma política alterada se aplica aos próximos registros. 
Usuários: Somente usuários existentes (o endereço de e-mail de um usuário no Cerberus Enterprise deve corresponder à conta digitada no dispositivo) ou Criar um usuário para contas dos domínios que não têm um. 
 A conta digitada no dispositivo é correspondida com o campo Managed Apple Account dos usuários e, depois, com o endereço de e-mail deles. O código é sempre enviado ao endereço de e-mail do usuário. Uma Managed Apple Account definida em um usuário pode se registrar mesmo quando o domínio dela não está verificado no Cerberus, por exemplo uma conta do domínio reservado org.appleid.com do Apple Business. Com a descoberta de serviço do Apple Business, os usuários sempre digitam a Managed Apple Account. 
Verificar os domínios
 Depois de salvar as configurações, a seção Verificação de domínio mostra um registro TXT para cada domínio. Adicione-o ao DNS do domínio e clique em Verificar. As alterações de DNS podem levar algum tempo para ficarem visíveis. Um domínio verificado permanece verificado: você pode remover o registro depois. Usuários de um domínio que não foi verificado não podem se registrar. 
Descoberta de serviço: como os dispositivos encontram o Cerberus Enterprise
 Quando um usuário entra, o dispositivo pergunta ao domínio da conta (por exemplo https://company.com) qual servidor o gerencia. Configure pelo menos uma destas três opções. A seção Descoberta de serviço da aba mostra a URL de descoberta da sua organização e o texto exato para copiar em cada opção. 
Opção 1: Apple Business (recomendado)
 Clique em Registrar no Apple Business: o Cerberus Enterprise armazena a URL de descoberta dele na sua organização do Apple Business e nada precisa ser publicado nos seus domínios. Verificar no Apple Business mostra a URL que o Apple Business tem agora, e Remover do Apple Business a remove. 
Requer iOS e iPadOS 18.2 ou macOS 15.2 ou posterior. Dispositivos mais antigos precisam da opção 2 ou 3.
Requer o Apple Business conectado no Cerberus Enterprise (token do serviço Automated Device Enrollment) e a atribuição de dispositivo padrão descrita acima.
 O dispositivo pergunta ao Apple Business somente quando o seu domínio não responde: o endereço https://company.com/.well-known/com.apple.remotemanagement não deve existir (um erro como "not found"). Se o seu site responder com uma página da web, os dispositivos param ali. Use Verificar configuração para ver o que ele responde. 
 O Apple Business mantém uma URL de descoberta por organização: registrá-la envia todas as Managed Apple Accounts da organização para esta organização do Cerberus Enterprise. Não a registre a partir de duas organizações do Cerberus Enterprise que usam a mesma organização do Apple Business. 
Opção 2: Redirecionar do seu site
 No servidor web de cada domínio, redirecione /.well-known/com.apple.remotemanagement para a URL de descoberta da sua organização, mantendo a string de consulta (ela carrega a conta digitada pelo usuário). Isso funciona com todas as versões de SO compatíveis com o registro orientado por conta, e o modo pode ser diferente para iPhone e Mac. Copie o texto para Apache ou nginx da aba; ele se parece com isto, com a chave da sua organização: 
Apache (.htaccess ou host virtual):
RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]
nginx:
location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}
 Em outros servidores ou serviços web (IIS, Cloudflare, painéis de controle de hospedagem), crie uma regra de redirecionamento (302) do mesmo caminho para a URL de descoberta com a opção que mantém ou encaminha a string de consulta. 
Opção 3: Arquivo estático no seu site
 Se você não puder adicionar um redirecionamento, publique um arquivo em https://company.com/.well-known/com.apple.remotemanagement (sem extensão de arquivo), servido com Content-Type: application/json. Copie o conteúdo dele da aba. Um arquivo estático não pode escolher o modo por dispositivo: ele usa o mesmo modo para iPhone, iPad e Mac. Para o User Enrollment, ele se parece com isto: 
{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}
e para o Device Enrollment:
{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}
 O modo do arquivo também deve ser o modo definido na aba para a família de dispositivos; caso contrário, o registro é recusado. 
Verificar configuração
 Em Verificar configuração, escolha um domínio e um dispositivo (iPhone ou Mac) e clique em Verificar: o Cerberus Enterprise pergunta ao domínio o que um dispositivo perguntaria e mostra a resposta, cada redirecionamento e um veredito. O domínio apontando para o Cerberus Enterprise significa que as opções 2 ou 3 funcionam; uma resposta de erro (como "not found") está tudo bem para a opção 1; uma página da web ou um arquivo apontando para outro lugar interrompe os dispositivos. A verificação também avisa quando um redirecionamento descarta a string de consulta ou o arquivo não é servido como application/json. 
Chave de registro
 As URLs de descoberta e registro contêm uma chave da sua organização. Se as URLs foram publicadas por engano, clique em Regenerar chave: as URLs antigas param de funcionar imediatamente, então atualize os redirecionamentos e arquivos estáticos nos seus sites. O Cerberus Enterprise registra a nova URL no Apple Business sozinho quando a opção 1 é usada. 
Como os usuários se registram
 iPhone e iPad: abra Configurações → Geral → VPN & Gerenciamento de Dispositivos → Entrar na Conta de Trabalho ou Escola. Mac: Ajustes do Sistema → Geral → Gerenciamento de Dispositivos → Entrar (no macOS 14: Privacidade e Segurança → Perfis → Entrar). 
Digite a Managed Apple Account, ou o endereço de e-mail de trabalho do usuário no Cerberus (por exemplo name@company.com). Quando a Managed Apple Account do usuário é diferente do que foi digitado, o dispositivo então pede para entrar com essa conta.
 Uma página do Cerberus Enterprise é aberta: toque em Enviar o código e insira o código de 6 dígitos recebido por e-mail. O código expira após 10 minutos; após 5 códigos errados, o usuário precisa fechar a página e entrar novamente. 
 Entre com a senha da Managed Apple Account (ou com a página de entrada da empresa quando o Apple Business está conectado ao Google Workspace ou ao Microsoft Entra ID) e permita o gerenciamento do dispositivo. 
 Contas que não podem se registrar (domínio não verificado, nenhum usuário correspondente quando os usuários não são criados automaticamente, vários usuários com o mesmo endereço de e-mail) veem "Esta conta não está configurada para registro. Contate o administrador de TI." Os eventos ficam nos registros do sistema do painel. 
Após o registro
 A página do dispositivo mostra a Managed Apple Account usada para se registrar e o tipo de registro (User Enrollment ou Account-driven Device Enrollment). Na lista de dispositivos, os dispositivos com User Enrollment mostram "User Enrollment". 
 Nos dispositivos com User Enrollment, os comandos e configurações de política que a Apple não permite (apagar, localização, modo perdido, atualizações de SO, muitas restrições) não são oferecidos ou não são enviados. Os apps da App Store da política usam uma licença de usuário em vez de uma licença de dispositivo (veja Apps em dispositivos pessoais abaixo). 
 Nos dispositivos com User Enrollment, os clipes da web aparecem na Tela de Início, mas não são listados em Ajustes → Geral → VPN e Gerenciamento de Dispositivo. 
 O certificado MDM desses dispositivos não é renovado automaticamente e Return to Service não está disponível: antes de o certificado MDM expirar (um ano após o registro, veja a página do dispositivo), peça ao usuário para registrar o dispositivo novamente. 
 Para sair do gerenciamento, o usuário sai da conta de trabalho no mesmo lugar das configurações, ou você cancela o registro do dispositivo no Cerberus Enterprise. Com o User Enrollment, apenas os apps, contas e dados de trabalho são removidos; os dados pessoais permanecem. Um dispositivo que se registra novamente aparece como um novo dispositivo. 
 Logo após o registro, alguns perfis da política (certificados, redes Wi-Fi, web clips) podem ser informados como com falha com um erro desconhecido, e o dispositivo pode aparecer como Não conforme por um tempo. O dispositivo tenta novamente por conta própria e eles são instalados depois de um tempo, sem necessidade de ação. Não salve a política novamente nem registre o dispositivo novamente por causa disso. 
Apps em dispositivos pessoais
 iPhones e iPads registrados com User Enrollment não têm número de série, então o Apps and Books não pode dar a eles uma licença de dispositivo. O Cerberus Enterprise dá aos apps da App Store da política deles uma licença de usuário: a licença vai para a Managed Apple Account conectada no dispositivo. Nada muda na política: a mesma política atende dispositivos da empresa e pessoais, e o Cerberus escolhe o tipo de licença para cada dispositivo. 
Automático: no primeiro registro, o Cerberus registra a Managed Apple Account no Apps and Books e então pede à Apple uma licença de cada app da App Store da política. Apps gratuitos também precisam de uma licença; a Apple dá licenças ilimitadas para eles. Um app pago usa uma licença por Managed Apple Account, compartilhada por todos os dispositivos pessoais dessa conta. 
Mesma organização: as Managed Apple Accounts e o token do Apps and Books do Cerberus Enterprise devem pertencer à mesma organização do Apple Business, e os apps devem estar na biblioteca do local do token. 
Licença primeiro: um app só é enviado ao dispositivo depois que a Apple confirma a licença dele, geralmente em alguns minutos. Até lá, o painel Aplicativos do dispositivo o mostra como Aguardando uma licença de usuário, com o motivo. 
Aviso de instalação: dispositivos pessoais nunca são supervisionados, então o iOS pergunta ao usuário antes de instalar cada app, incluindo o app Cerberus Enterprise, que o Cerberus também instala nesses dispositivos (Instalar ou Cancelar); não é necessário entrar com uma Conta Apple. Se o usuário cancelar, o app mostra Aguardando a aprovação do usuário para a instalação: use Solicitar novamente na página do dispositivo para mostrar o aviso outra vez. Apps instalados como Obrigatório não podem ser excluídos pelo usuário. 
Apps instalados antes do registro: a Apple não permite que a organização assuma um app que o usuário instalou pessoalmente em um dispositivo registrado com User Enrollment. Peça ao usuário para excluir a cópia dele antes de se registrar, ou exclua-a e use Solicitar novamente na página do dispositivo: a organização então instala a cópia gerenciada. 
Sair do gerenciamento: quando o dispositivo tem o registro cancelado, o iOS remove os apps gerenciados e os dados deles. Uma licença é liberada quando nenhum outro dispositivo registrado da mesma Managed Apple Account precisa dela, por exemplo quando o app sai da política ou o último dispositivo tem o registro cancelado; as licenças que ninguém mais precisa são liberadas pela verificação diária dentro de um dia. 
 Quando a Apple não consegue atribuir uma licença, por exemplo porque um app pago não tem mais licenças, o app mostra Falha na licença de usuário com a mensagem da Apple. Adicione licenças no Apple Business e use Solicitar novamente na página do dispositivo; o Cerberus também tenta novamente sozinho na verificação diária. A linha acima da lista de apps mostra a Managed Apple Account e o status do usuário do Apps and Books dela; o mesmo status fica na página do usuário. 
 As licenças de usuário são usadas somente em iPhones e iPads: em Macs registrados com o Registro de Usuário, os apps da App Store da política não são instalados. Livros e Contas Apple pessoais não são compatíveis.

Visão geral das políticas
A seção Políticas do painel (Painel → Políticas) lista todas as políticas da sua conta e permite criar, copiar, editar e excluir políticas. 
Lista de políticas
 As políticas são exibidas em uma tabela. Clicar em uma linha abre o editor de políticas correspondente. 
Colunas
Nome: nome da política.
Plataforma: a plataforma da política (Android ou Apple). Exibida apenas quando tanto o Android Management quanto o Apple Management estão configurados.
Dispositivos: número de dispositivos registrados atualmente atribuídos à política. Dispositivos com registro cancelado não são contados.
Descrição: descrição da política. Uma descrição longa é cortada após duas linhas; aponte para ela para ler o texto completo.
Última modificação: quando um administrador criou, salvou ou copiou a política pela última vez. Vazio para políticas não salvas desde a introdução desta coluna.
Id: identificador interno da política.
 Por padrão, as políticas modificadas mais recentemente são mostradas primeiro; as políticas nunca salvas desde a introdução da coluna Última modificação vêm em seguida, por nome. Clique no cabeçalho de uma coluna para classificar por ela. 
Filtros e busca
 Se o Android Management e o Apple Management estiverem configurados, você pode filtrar a lista por Todos, Android ou Apple. 
 Você pode ativar Busca e buscar por nome ou descrição da política. 
Atualização e paginação
Use a ação de atualização para recarregar a lista.
A tabela é paginada (10/25/50 itens por página).
Criar uma nova política
 Na parte inferior da página Políticas, você pode criar uma nova política. Dependendo de qual plataforma está configurada na sua conta, você pode ver uma ou ambas as ações: 
Criar nova política Android
Criar nova política da Apple
 Se sua licença estiver expirada, a criação de políticas (e outras ações de gravação) fica desativada. 
Copiar e excluir políticas
 Cada linha de política tem um menu de ações que inclui Copiar política e Excluir política. 
Avisos de exclusão de política
 Ao excluir uma política, o painel pode mostrar avisos adicionais dependendo de como a política é usada. 
 Se a política estiver atribuída a dispositivos registrados, excluí-la cancelará o registro dos dispositivos associados e apagará seus apps e dados. 
 Se a política estiver atribuída a tokens de registro, esses tokens podem não conseguir mais concluir o registro. 
 Se a política estiver definida como padrão para o registro com Google Authentication (globalmente ou para alguns usuários), excluí-la pode fazer com que os registros falhem. 
Excluir várias políticas
 A lista de Políticas oferece suporte à seleção de várias linhas para exclusão em massa. No modo de seleção múltipla, você pode selecionar várias políticas e excluí-las em uma única ação. 
 A exclusão em massa só fica ativada quando todas as políticas selecionadas pertencem à mesma plataforma (todas Android ou todas Apple). 
Próximo: editar configurações da política
 A lista de Políticas é o ponto de entrada. Para configurar as definições da política, consulte a documentação do editor apropriado: Políticas → Android e Políticas → Apple. 
 As políticas referenciadas por tokens de registro são aplicadas automaticamente durante o registro do dispositivo.

Políticas - Android

Resumo
As políticas do Android são as entidades centrais do sistema: elas definem as regras que são aplicadas e impostas nos dispositivos gerenciados.
Você pode navegar pelas suas políticas e criar novas na seção Políticas do painel. Para abrir uma política do Android, clique na linha da política na tabela: o sistema abre a página Editor de políticas.
Uma política pode ser associada a um token de registro, para que seja aplicada automaticamente aos dispositivos durante o processo de provisionamento. Você também pode alterar a política atribuída a um dispositivo após o provisionamento.
Cada dispositivo pode ser associado a apenas uma política por vez.
Muitas opções de política se aplicam apenas a tipos específicos de dispositivo (totalmente gerenciado, dedicado, perfil de trabalho) e versões do Android. Configurações sem suporte podem ser ignoradas pelo dispositivo ou relatadas como fora de conformidade.
Layout do Editor de políticas
O Editor de políticas é organizado como um conjunto de seções expansíveis. No topo da página, você sempre pode editar:
Nome (obrigatório)
Id (somente leitura)
Descrição (opcional)
As seções abaixo correspondem aos painéis do Editor de Política (por exemplo: Gerenciamento de apps, Segurança, Rede, Sistema, Uso pessoal, Políticas entre perfis e muito mais). Quando você abre uma política salva, as seções com configurações alteradas já estão abertas e as demais permanecem fechadas. Use as páginas de capítulo deste manual para entender cada painel em detalhes.
Salvar, excluir e dispositivos associados
Use Salvar política para aplicar suas alterações. O botão fica desativado quando não há edições pendentes ou quando a licença está expirada.
Se você abriu uma política existente (ela tem um Id), a página mostra uma ação Excluir política e uma lista Dispositivos associados na parte inferior, para que você possa ver quantos dispositivos estão usando a política no momento.

Gerenciamento de apps
Nesta seção, você pode definir políticas relacionadas à disponibilidade, instalação e atualização de apps, além do gerenciamento de permissões.
As Contas do Managed Google Play são criadas automaticamente quando os dispositivos são provisionados.
 
1. Modo da Play Store
Este modo controla quais apps estão disponíveis para o usuário na Play Store e o comportamento no dispositivo quando apps são removidos da política.
Lista de permissões (padrão): somente os apps que estão na política ficam disponíveis, e qualquer app que não esteja na política será desinstalado automaticamente do dispositivo. A Play Store mostrará somente os apps disponíveis.
Lista de bloqueio: todos os apps ficam disponíveis, e qualquer app que não deva estar no dispositivo deve ser marcado explicitamente como bloqueado na política de aplicativos. A Play Store mostrará todos os apps, exceto os bloqueados.
 
2. Política de apps não confiáveis
A política para apps não confiáveis (apps de fontes desconhecidas) aplicada no dispositivo. Esta opção controla a configuração do sistema Android que determina se o usuário pode instalar apps de fora da Play Store (sideloading).
Não permitir (padrão): não permitir a instalação de apps não confiáveis em todo o dispositivo.
Somente perfil pessoal: para dispositivos com perfis de trabalho, permitir a instalação de apps não confiáveis somente no perfil pessoal do dispositivo.
Permitir: permitir a instalação de apps não confiáveis em todo o dispositivo.
 
3. Google Play Protect
Indica se a verificação de apps do Google Play Protect é aplicada.
Aplicado (padrão): força a ativação da verificação de apps.
Escolha do usuário: permite que o usuário escolha se deseja ativar a verificação de apps.
 
4. Política de permissões padrão
A política para conceder solicitações de permissões de tempo de execução aos apps.
Perguntar (padrão): solicitar ao usuário que conceda uma permissão.
Conceder: conceder uma permissão automaticamente.
Negar: negar uma permissão automaticamente.
 
5. Funções de app
Controla se os apps em dispositivos totalmente gerenciados ou em perfis de trabalho podem expor funções de app. Requer Android 16 ou superior.
Permitido (padrão): apps em dispositivos totalmente gerenciados ou em perfis de trabalho podem expor funções de app.
Não permitido: apps em dispositivos totalmente gerenciados ou em perfis de trabalho não podem expor funções de app.
 
6. Instalação de apps desativada
Indica se a instalação de apps pelo usuário está desativada.
 
7. Desinstalação de apps desativada
Indica se a desinstalação de aplicativos pelo usuário está desativada.
 
8. Políticas de permissão
Concessões ou negações explícitas de permissões ou grupos para todos os apps. Esses valores substituem a configuração Política de permissões padrão.
Use Adicionar política de permissão para criar entradas e removê-las com a ação de excluir.
Cada entrada inclui:
Permissão/grupo do Android: a permissão ou o grupo do Android (obrigatório), por exemplo android.permission.READ_CALENDAR ou android.permission_group.CALENDAR.
Política: Conceder / Negar / Perguntar (usa as mesmas opções de política de Política de permissões padrão).
 
9. Aplicativos
Lista de aplicativos que devem ser incluídos na política. O comportamento do conteúdo da lista depende do valor definido em Modo da Play Store.
Se o Modo da Play Store estiver definido como lista de permissões, somente os apps que estão na política ficam disponíveis, e qualquer app que não esteja na política será desinstalado automaticamente do dispositivo.
Se o Modo da Play Store estiver definido como lista de bloqueio, todos os apps ficam disponíveis, e qualquer app que não deva estar no dispositivo deve ser marcado explicitamente como bloqueado na política de aplicativos.
Para adicionar um novo app, clique no botão Adicionar aplicativos (ou no ícone Adicionar aplicativos), selecione Do Managed Google Play, escolha o app na Play Store e clique no botão Selecionar no cartão do app.
Para adicionar um app que não está publicado no Google Play mas já está presente no dispositivo (por exemplo, um app de sistema ou do fabricante), clique em Adicionar aplicativos, selecione Por nome do pacote (apps pré-instalados), digite o nome do pacote do app (por exemplo, com.example.app) e clique em Adicionar.O app é adicionado com o tipo de instalação Instalação forçada. Para mostrar o app no launcher personalizado de quiosque, seu Tipo de instalação deve ser Pré-instalado ou Instalação forçada: com Disponível o app não é mostrado.
Os apps que não estão disponíveis no Managed Google Play são marcados com um ícone do Android na lista de aplicativos. Eles não podem ser instalados pelo Google Play, então já devem estar presentes no dispositivo: dispositivos que não têm o app não podem instalá-lo.
Todos os apps publicados na Play Store no seu país ficam disponíveis para seleção por padrão. Para selecionar seus próprios apps privados ou web, você precisa primeiro enviá-los ao sistema. Para mais informações, leia a página Apps privados.
Cada app pode ser configurado com suas próprias definições, que ficam visualmente contidas em um cartão:
9.1. Tipo de instalação
O tipo de instalação a realizar para um app.
Disponível: o app está disponível para instalação.
Pré-instalado: o app é instalado automaticamente e pode ser removido pelo usuário.
Instalação forçada: o app é instalado automaticamente e não pode ser removido pelo usuário.
Bloqueado: o app é bloqueado e não pode ser instalado. Se o app foi instalado segundo uma política anterior, ele será desinstalado.
Obrigatório para a configuração: o app é instalado automaticamente e não pode ser removido pelo usuário; ele impedirá a conclusão da configuração até que a instalação seja concluída.
Quiosque: o app é instalado automaticamente no modo quiosque: ele é definido como a intent inicial preferida e incluído na lista de permissões do modo de tarefa de bloqueio. A configuração do dispositivo não será concluída até que o app seja instalado. Após a instalação, os usuários não poderão remover o app. Você só pode definir este tipo de instalação para um app por política. Quando ele estiver presente na política, a barra de status será desativada automaticamente. Para mais informações, leia a página dedicada ao Modo quiosque.
9.2. Restrições de instalação
Define um conjunto de restrições para a instalação do app. Quando várias restrições são selecionadas, todas devem ser atendidas para que o app seja instalado.
Esta opção é mostrada somente quando o Tipo de instalação é Pré-instalado ou Instalação forçada.
Rede sem limite de dados: instalar o app somente quando o dispositivo estiver conectado a uma rede sem limite de dados (por exemplo, Wi-Fi).
Carregando: instalar o app somente quando o dispositivo estiver carregando.
Ocioso: instalar o app somente quando o dispositivo estiver ocioso.
9.3. Modo de atualização automática
Controla o modo de atualização automática do app.
Padrão: o app é atualizado automaticamente com baixa prioridade para minimizar o impacto sobre o usuário. O app é atualizado quando todas as seguintes restrições são atendidas: (1) o dispositivo não está em uso ativo, (2) o dispositivo está conectado a uma rede sem limite de dados, (3) o dispositivo está carregando. O dispositivo é notificado sobre uma nova atualização em até 24 horas após ela ser publicada pelo desenvolvedor, e depois o app é atualizado na próxima vez em que as restrições acima forem atendidas.
Adiado: o app não é atualizado automaticamente por no máximo 90 dias após ficar desatualizado. Após 90 dias desde que ficou desatualizado, a versão mais recente disponível é instalada automaticamente com baixa prioridade (consulte o modo de atualização automática Padrão). Depois que o app é atualizado, ele não é atualizado automaticamente de novo até 90 dias após ficar desatualizado novamente. O usuário ainda pode atualizar o app manualmente pela Play Store a qualquer momento.
Alta prioridade: o app é atualizado o quanto antes. Nenhuma restrição é aplicada. O dispositivo é notificado imediatamente sobre uma nova atualização assim que ela fica disponível.
9.4. Código de versão mínimo
A versão mínima do app que é executada no dispositivo. Se definida, o dispositivo tenta atualizar o app para pelo menos este código de versão. Se o app não estiver atualizado, o dispositivo conterá um detalhe de não conformidade com o motivo de não conformidade definido como APP_NOT_UPDATED. O app já deve estar publicado no Google Play com um código de versão maior ou igual a este valor. No máximo 20 apps podem especificar um código de versão mínimo por política.
9.5. Escopos delegados
Os escopos delegados ao app pelo Android Device Policy. Você pode conceder a outros apps uma seleção de permissões especiais do Android:
Instalação de certificados: concede acesso à instalação e ao gerenciamento de certificados.
Configurações gerenciadas: concede acesso ao gerenciamento de configurações gerenciadas.
Bloquear desinstalação: concede acesso ao bloqueio de desinstalação.
Permissões: concede acesso à política de permissões e ao estado de concessão de permissões.
Acesso a pacotes: concede acesso ao estado de acesso a pacotes.
App do sistema: concede acesso para ativar apps do sistema.
9.6. Rede preferencial
O serviço de rede preferencial a usar para este app. Se definido, o app usará a fatia de rede empresarial especificada para suas conexões quando disponível. Isso deve corresponder a uma fatia de rede configurada na seção Configuração de fatiamento de rede 5G do painel Celular.
9.7. Política de permissões padrão
A política padrão para todas as permissões solicitadas pelo app. Se especificada, ela substitui a Política de permissões padrão no nível da política, que se aplica a todos os apps. Ela não substitui as Políticas de permissão que se aplicam a todos os apps.
Perguntar (padrão): solicitar ao usuário que conceda uma permissão.
Conceder: conceder uma permissão automaticamente.
Negar: negar uma permissão automaticamente.
9.8. App conectado de trabalho e pessoal
Controla se o app pode se comunicar consigo mesmo entre os perfis de trabalho e pessoal de um dispositivo, sujeito ao consentimento do usuário (Android 11+).
Não permitido (padrão): impede que o app se comunique entre perfis.
Permitido: permite que o app se comunique entre perfis após receber o consentimento do usuário.
9.9. Isenção do bloqueio do Always On VPN
Especifica se o app pode usar a rede quando a VPN não está conectada e o bloqueio ativado está em vigor. Compatível somente com dispositivos que executam Android 10 ou superior.
Aplicado (padrão): o app respeita a configuração de bloqueio do Always On VPN.
Isento: o app está isento da configuração de bloqueio do Always On VPN.
9.10. Widgets do perfil de trabalho
Especifica se o app instalado no perfil de trabalho pode adicionar widgets à tela inicial.
Permitido: o aplicativo pode adicionar widgets à tela inicial.
Não permitido: o aplicativo não pode adicionar widgets à tela inicial.
9.11. Configurações de controle do usuário
Especifica se o controle do usuário é permitido para um determinado app. O controle do usuário inclui ações como forçar a parada e limpar os dados do app (Android 11+). Se extensionConfig estiver ativado para um app, o controle do usuário será desativado independentemente desta configuração. Para apps de quiosque, você pode usar Permitido para permitir o controle do usuário.
Não especificado: usa o comportamento padrão do app para determinar se o controle do usuário é permitido ou não.
Permitido: o controle do usuário é permitido para o app.
Não permitido: o controle do usuário não é permitido para o app.
9.12. Desativado
Indica se o app está desativado. Quando desativado, os dados do app ainda são preservados.
9.13. Permitir provedor de credenciais
Indica se o app pode atuar como provedor de credenciais no Android 14 e superior.
9.14. Configuração gerenciada
Para configurar as definições gerenciadas do app, clique no botão Ativar configuração gerenciada. Se uma configuração gerenciada já estiver definida para o app, você pode modificá-la com o botão Configuração gerenciada ou excluí-la com o botão Remover configuração.
Configuração gerenciada só está disponível para apps que oferecem suporte a essa funcionalidade.
9.15. Políticas de permissão
Concessões ou negações explícitas de permissões para o app. Esses valores substituem a Política de permissões padrão e as Políticas de permissão que se aplicam a todos os apps.
Use Adicionar política de permissão para adicionar uma ou mais regras de permissão ao cartão do app e removê-las com a ação de excluir.
9.16. IDs de faixa
Lista dos IDs das faixas de teste fechado do app às quais um dispositivo pode acessar. Se vários IDs de faixa forem selecionados, os dispositivos recebem a versão mais recente entre todas as faixas acessíveis. Se nenhum ID de faixa for selecionado, os dispositivos só têm acesso à faixa de produção do app.
IDs de faixa só está disponível para apps que têm pelo menos um ID de faixa disponível para sua organização. Para mais detalhes sobre como adicionar sua organização a uma faixa de teste fechado de um app específico, leia aqui. 
 
10. Configurações de aplicativo padrão
Defina apps padrão para os tipos compatíveis. Quando um app padrão é definido para pelo menos um tipo, os usuários ficam impedidos de alterar os apps padrão nesse perfil.
Só é permitida uma configuração de aplicativo padrão por Tipo de aplicativo padrão. A lista de aplicativos padrão não deve conter duplicatas.
10.1. Tipo de aplicativo padrão
Selecione a categoria de app a configurar (por exemplo, Navegador, Discador, SMS, Carteira ou Assistente). A disponibilidade depende da versão do Android e do modo de gerenciamento.
10.2. Escopos de aplicativo padrão
Selecione onde o app padrão deve ser aplicado (Totalmente gerenciado, Perfil de trabalho ou Perfil pessoal). Só podem ser escolhidos escopos compatíveis com o tipo selecionado.
Se nenhum dos escopos selecionados for aplicável ao modo de gerenciamento do dispositivo, o dispositivo relatará um detalhe de não conformidade.
10.3. Aplicativos padrão
Lista de apps que podem ser definidos como padrão para o tipo selecionado. O primeiro app instalado e elegível é definido como padrão.
Se os escopos incluírem Totalmente gerenciado ou Perfil de trabalho, cada app também deve existir na lista Aplicativos com o Tipo de instalação diferente de Bloqueado.
 
11. Seleção de chave privada
Permite mostrar uma interface no dispositivo para o usuário escolher um alias de chave privada se não houver regras correspondentes em Escolher regras de chave privada.
Para dispositivos anteriores ao Android P, definir isso pode deixar as chaves corporativas vulneráveis.
 
12. Escolher regras de chave privada
Controla o acesso dos apps às chaves privadas. A regra determina qual chave privada, se houver, o Android Device Policy concede ao app especificado. O acesso é concedido quando o app chama KeyChain.choosePrivateKeyAlias (ou qualquer sobrecarga) para solicitar um alias de chave privada para um determinado URL, ou, para regras que não são específicas de URL (ou seja, se urlPattern não estiver definido ou estiver definido como a string vazia ou .*) no Android 11 e superior, diretamente, para que o app possa chamar KeyChain.getPrivateKey sem primeiro precisar chamar KeyChain.choosePrivateKeyAlias. Quando um app chama KeyChain.choosePrivateKeyAlias e mais de uma choosePrivateKeyRules corresponde, a última regra correspondente define qual alias de chave retornar.
Use Adicionar regra de chave privada para criar entradas e removê-las com a ação de excluir.
12.1. Alias de chave privada
O alias da chave privada a ser usada.
12.2. Padrão de URL
O padrão de URL a corresponder ao URL da solicitação. Se não definido ou vazio, corresponde a todos os URLs. Isso usa a sintaxe de expressão regular de java.util.regex.Pattern.
12.3. Nomes de pacote
Os nomes de pacote aos quais esta regra se aplica. O hash do certificado de assinatura de cada app é verificado em relação ao hash fornecido pelo Play. Se nenhum nome de pacote for especificado, o alias será fornecido a todos os apps que chamarem KeyChain.choosePrivateKeyAlias ou qualquer sobrecarga (mas não sem chamar KeyChain.choosePrivateKeyAlias, mesmo no Android 11 e superior). Qualquer app com o mesmo UID do Android que um pacote especificado aqui terá acesso quando chamar KeyChain.choosePrivateKeyAlias.
Use Adicionar nome de pacote para adicionar entradas e removê-las com a ação de excluir.
 
Para excluir um app, clique no ícone de lixeira na parte inferior do cartão do app. 
 
 

Modo quiosque
Com o modo quiosque, você pode restringir a funcionalidade de um dispositivo a um único aplicativo ou a vários aplicativos. A escolha entre o modo quiosque de aplicativo único e o de vários aplicativos depende dos objetivos do seu negócio.
No modo quiosque de aplicativo único, um dispositivo é configurado para um único aplicativo e não permite que os usuários finais acessem outros aplicativos no dispositivo. Eles também não podem sair do aplicativo, o que o torna um dispositivo dedicado a esse aplicativo específico. Para ativar esse modo, especifique um aplicativo na seção Gerenciamento de aplicativos com Tipo de instalação definido como Quiosque.
No modo quiosque de vários aplicativos, os dispositivos podem acessar vários aplicativos. Os usuários finais podem navegar entre vários aplicativos por meio de um launcher personalizado. Para ativar esse modo, ative a opção Launcher personalizado de quiosque.
Quando o modo quiosque está ativado, você também pode configurar se os usuários finais podem acessar determinados recursos do sistema, como configurações do sistema e a barra de status.
 
Launcher personalizado de quiosque
Se o launcher personalizado de quiosque está ativado. Isso substitui a tela inicial por um launcher que restringe o dispositivo aos aplicativos instalados pela configuração Gerenciamento de aplicativos. Os aplicativos aparecem em uma única página em ordem alfabética.
 
Ações do botão liga/desliga
Define o comportamento de um dispositivo no modo quiosque quando um usuário pressiona e mantém pressionado o botão liga/desliga.
Disponível (padrão): O menu de energia (por exemplo, Desligar, Reiniciar) é exibido quando um usuário mantém pressionado o botão liga/desliga de um dispositivo no modo quiosque.
Bloqueado: O menu de energia (por exemplo, Desligar, Reiniciar) não é exibido quando um usuário mantém pressionado o botão liga/desliga de um dispositivo no modo quiosque. Observação: isso pode impedir que os usuários desliguem o dispositivo.
 
Avisos de erro do sistema
Especifica se as caixas de diálogo de erro do sistema para aplicativos que travaram ou não respondem são bloqueadas no modo quiosque. Quando bloqueadas, o sistema forçará a parada do aplicativo como se o usuário escolhesse a opção "fechar aplicativo" na interface.
Bloqueado (padrão): Todas as caixas de diálogo de erro do sistema, como falhas e aplicativo sem resposta (ANR), são bloqueadas. Quando bloqueadas, o sistema força a parada do aplicativo como se o usuário fechasse o aplicativo pela interface.
Ativado: Todas as caixas de diálogo de erro do sistema, como falhas e aplicativo sem resposta (ANR), são exibidas.
Navegação do sistema
Especifica quais recursos de navegação estão ativados (por exemplo, botões Início e Visão geral) no modo quiosque.
Desativado (padrão): Os botões Início e Visão geral não estão acessíveis.
Somente Início: Apenas o botão Início está ativado.
Ativado: Os botões Início e Visão geral estão ativados.
 
Barra de status
Especifica se as informações do sistema e as notificações estão desativadas no modo quiosque.
Desativado (padrão): As informações do sistema e as notificações estão desativadas no modo quiosque.
Somente sistema: Apenas as informações do sistema são exibidas na barra de status.
Ativado: As informações do sistema e as notificações são exibidas na barra de status no modo quiosque. Observação: Para que esta política tenha efeito, o botão Início do dispositivo deve estar ativado usando kioskCustomization.systemNavigation.
 
Configurações do dispositivo
Especifica se o aplicativo Configurações é permitido no modo quiosque.
Permitido (padrão): O acesso ao aplicativo Configurações é permitido no modo quiosque.
Bloqueado: O acesso ao aplicativo Configurações não é permitido no modo quiosque.

Segurança
Nesta seção, você pode configurar políticas relacionadas à segurança.
 
Ações para riscos de segurança
Escolha o que fazer quando um dispositivo relata um SecurityRisk nos relatórios de status.
 
Tipos de SecurityRisk com suporte:
Sistema operacional desconhecido: A Play Integrity API detecta que o dispositivo está executando um sistema operacional desconhecido (a verificação basicIntegrity é bem-sucedida, mas ctsProfileMatch falha).
Sistema operacional comprometido: A Play Integrity API detecta que o dispositivo está executando um sistema operacional comprometido (a verificação basicIntegrity falha).
Falha na avaliação com suporte de hardware: A Play Integrity API detecta que o dispositivo não tem uma garantia forte de integridade do sistema, se o rótulo MEETS_STRONG_INTEGRITY não aparecer no campo de integridade do dispositivo.
 
Ações disponíveis:
Apagar dados corporativos (padrão): Cancela o registro e apaga os dados de trabalho (dispositivo inteiro, se totalmente gerenciado, ou apenas o perfil de trabalho, quando o dispositivo tiver um perfil de trabalho).
Nenhuma ação: Mantenha o dispositivo registrado e não faça nada automaticamente.
 
Quando você seleciona Apagar dados corporativos, também pode configurar opções de exclusão:
Preservar a proteção contra restauração de fábrica: Preserva os dados da Proteção contra restauração de fábrica (FRP) ao apagar o dispositivo.
Apagar o armazenamento externo: Apaga também o armazenamento externo do dispositivo (como cartões SD) ao realizar a exclusão.
Apagar eSIMs: Para dispositivos corporativos, isso remove todas as eSIMs do dispositivo quando ele é apagado. Em dispositivos de propriedade pessoal, isso removerá as eSIMs gerenciadas (eSIMs adicionadas pelo comando ADD_ESIM) dos dispositivos, e nenhuma eSIM de propriedade pessoal será removida.
 
1. Tempo máximo para bloquear
Tempo máximo (em segundos) de atividade do usuário até o dispositivo bloquear. Um valor de 0 significa que não há restrição.
 
2. Permanecer ligado durante o carregamento
Os modos de bateria conectada nos quais o dispositivo permanece ligado. Ao usar esta configuração, recomenda-se limpar o Tempo máximo para bloquear para que o dispositivo não se bloqueie enquanto permanecer ligado.
Carregador CA: A fonte de energia é um carregador CA.
Porta USB: A fonte de energia é uma porta USB.
Carregador sem fio: A fonte de energia é sem fio.
 
3. Bloqueio de tela desativado
Se verdadeiro, desativa a tela de bloqueio para as telas principal e/ou secundárias. Esta política tem suporte apenas no modo de gerenciamento de dispositivo dedicado.
 
4. Requisitos de senha
Políticas de requisitos de senha.
Use Configurar requisitos de senha para adicionar um ou mais blocos de requisitos de senha. Use Limpar tudo para remover todos os requisitos de senha configurados.
Os requisitos de senha podem usar o escopo Automático (requisito único) ou escopos separados de Dispositivo/Perfil de trabalho. Requisitos baseados em complexidade devem estar associados a requisitos baseados em qualidade para o mesmo escopo.
4.1. Escopo
O escopo ao qual o requisito de senha se aplica.
Automático: O escopo não é especificado. Os requisitos de senha são aplicados ao perfil de trabalho para dispositivos com perfil de trabalho e ao dispositivo inteiro para dispositivos totalmente gerenciados ou dedicados.
Dispositivo: Os requisitos de senha são aplicados apenas ao dispositivo.
Perfil de trabalho: Os requisitos de senha são aplicados apenas ao perfil de trabalho.
4.2. Comprimento do histórico de senhas
O comprimento do histórico de senhas. Após definir este campo, o usuário não poderá inserir uma nova senha igual a qualquer senha do histórico. Um valor de 0 significa que não há restrição.
4.3. Máximo de senhas incorretas para apagar
Número de senhas incorretas de desbloqueio do dispositivo que podem ser inseridas antes de o dispositivo ser apagado. Um valor de 0 significa que não há restrição.
4.4. Tempo limite de expiração da senha (dias)
Esta configuração força o usuário a atualizar periodicamente a senha após o número de dias especificado.
4.5. Exigir desbloqueio por senha
O período após o dispositivo ou perfil de trabalho ser desbloqueado usando uma forma forte de autenticação (senha, PIN, padrão) em que ele pode ser desbloqueado usando qualquer outro método de autenticação (por exemplo, impressão digital, agentes de confiança, rosto). Após o período especificado, apenas formas fortes de autenticação poderão ser usadas para desbloquear o dispositivo ou o perfil de trabalho.
Padrão do dispositivo: O período de tempo limite é definido como o padrão do dispositivo.
Todos os dias: O período de tempo limite é definido como 24 horas.
4.6. Qualidade da senha
A qualidade de senha exigida.
Complexidade alta: Define a faixa de alta complexidade de senha como: No Android 12 e superior: PIN sem sequências repetidas (4444) ou ordenadas (1234, 4321, 2468), comprimento mínimo de 8; alfabética, comprimento mínimo de 6; alfanumérica, comprimento mínimo de 6.
Complexidade média: Define a faixa de média complexidade de senha como: PIN sem sequências repetidas (4444) ou ordenadas (1234, 4321, 2468), comprimento mínimo de 4; alfabética, comprimento mínimo de 4; alfanumérica, comprimento mínimo de 4.
Complexidade baixa: Define a faixa de baixa complexidade de senha como: padrão; PIN com sequências repetidas (4444) ou ordenadas (1234, 4321, 2468).
Nenhum: Não há requisitos de senha.
Fraca: O dispositivo deve estar protegido no mínimo com uma tecnologia de reconhecimento biométrico de baixa segurança. Isso inclui tecnologias capazes de reconhecer a identidade de um indivíduo que sejam aproximadamente equivalentes a um PIN de 3 dígitos (detecção falsa inferior a 1 em 1.000).
Qualquer: Uma senha é obrigatória, mas não há restrições sobre o que ela deve conter.
Numérica: A senha deve conter caracteres numéricos.
Numérica complexa: A senha deve conter caracteres numéricos sem sequências repetidas (4444) ou ordenadas (1234, 4321, 2468).
Alfabética: A senha deve conter caracteres alfabéticos (ou símbolos).
Alfanumérica: A senha deve conter caracteres numéricos e alfabéticos (ou símbolos).
Complexa: A senha deve atender aos requisitos mínimos especificados em passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols etc. Por exemplo, se passwordMinimumSymbols for 2, a senha deve conter pelo menos dois símbolos.
4.7. Comprimento mínimo
O comprimento mínimo permitido da senha. Um valor de 0 significa que não há restrição.
4.8. Mínimo de letras
Número mínimo de letras exigido na senha.
4.9. Mínimo de letras minúsculas
Número mínimo de letras minúsculas exigido na senha.
4.10. Mínimo de letras maiúsculas
Número mínimo de letras maiúsculas exigido na senha.
4.11. Mínimo de caracteres não alfabéticos
Número mínimo de caracteres não alfabéticos (dígitos numéricos ou símbolos) exigido na senha.
4.12. Mínimo de dígitos numéricos
Número mínimo de dígitos numéricos exigido na senha.
4.13. Mínimo de símbolos
Número mínimo de símbolos exigido na senha.
4.14. Bloqueio unificado
Controla se um bloqueio unificado é permitido para o dispositivo e o perfil de trabalho, em dispositivos com Android 9 ou superior que tenham perfil de trabalho. Isso não tem efeito em outros dispositivos.
Permitir bloqueio unificado: É permitido um bloqueio comum para o dispositivo e o perfil de trabalho.
Exigir bloqueio de trabalho separado: É exigido um bloqueio separado para o perfil de trabalho.
 
5. Restauração de fábrica desativada
Se a restauração de fábrica pelas configurações está desativada. Aplica-se apenas a dispositivos totalmente gerenciados.
 
6. Proteção contra restauração de fábrica
Endereços de e-mail dos administradores do dispositivo para a proteção contra restauração de fábrica. Quando o dispositivo passar por uma restauração de fábrica não autorizada, será necessário que um desses administradores entre com o e-mail e a senha da conta do Google para desbloquear o dispositivo. Se nenhum administrador for especificado, o dispositivo não oferecerá proteção contra restauração de fábrica. Aplica-se apenas a dispositivos totalmente gerenciados.
E-mails dos administradores: use Ativar a Proteção contra restauração de fábrica para começar a configurar os administradores. Depois, use Adicionar e-mail do administrador para adicionar endereços e remova-os com a ação de excluir.
 
7. Recursos do bloqueio de tela
Recursos do bloqueio de tela (tela de bloqueio) que podem ser desativados.
7.1. Desativar tudo
Desativa todas as personalizações atuais e futuras do bloqueio de tela.
7.2. Desativar câmera
Desativa a câmera nas telas de bloqueio seguras (por exemplo, PIN).
7.3. Desativar notificações
Desativa a exibição de todas as notificações nas telas de bloqueio seguras.
7.4. Desativar notificações não ocultadas
Desativa as notificações não ocultadas nas telas de bloqueio seguras.
7.5. Ignorar o estado do agente de confiança
Ignora o estado do agente de confiança nas telas de bloqueio seguras.
7.6. Desativar impressão digital
Desativa o sensor de impressão digital nas telas de bloqueio seguras.
7.7. Desativar entrada de texto nas notificações
Desativa a entrada de texto nas notificações das telas de bloqueio seguras.
7.8. Desativar autenticação facial
Desativa a autenticação facial nas telas de bloqueio seguras.
7.9. Desativar autenticação por íris
Desativa a autenticação por íris nas telas de bloqueio seguras.
7.10. Desativar toda a autenticação biométrica
Desativa toda a autenticação biométrica nas telas de bloqueio seguras.
7.11. Desativar todos os atalhos
Desativa todos os atalhos na tela de bloqueio segura no Android 14 e superior.

Multimídia
Nesta seção, você pode configurar o comportamento da câmera/microfone, o acesso a dados via USB, a impressão e as restrições relacionadas à tela.
 
1. Acesso à câmera
Controla o uso da câmera e se o usuário pode acessar a chave de acesso à câmera (Android 12+). Em geral, desativar a câmera se aplica a todo o dispositivo em dispositivos totalmente gerenciados e apenas dentro do perfil de trabalho em dispositivos com perfil de trabalho.
Escolha do usuário (padrão): Comportamento padrão do dispositivo. As câmeras estão disponíveis e (Android 12+) o usuário pode alternar o acesso à câmera.
Desativado: Todas as câmeras são desativadas (totalmente gerenciado: todo o dispositivo; perfil de trabalho: somente para aplicativos do perfil de trabalho). A chave de acesso à câmera não tem efeito no escopo gerenciado.
Aplicado: As câmeras estão disponíveis. Em dispositivos totalmente gerenciados com Android 12+, o usuário não pode alternar o acesso à câmera. Em outros dispositivos/versões, isso se comporta como Escolha do usuário.
 
2. Acesso ao microfone
Em dispositivos totalmente gerenciados, controla o uso do microfone e se o usuário pode acessar a chave de acesso ao microfone (Android 12+). Esta configuração não tem efeito em dispositivos que não são totalmente gerenciados.
Escolha do usuário (padrão): Comportamento padrão. O microfone está disponível e (Android 12+) o usuário pode alternar o acesso ao microfone.
Desativado: O microfone está desativado (em todo o dispositivo). A chave de acesso ao microfone não tem efeito.
Aplicado: O microfone está disponível. No Android 12+, o usuário não pode alternar o acesso ao microfone. No Android 11 ou anterior, isso se comporta como Escolha do usuário.
 
3. Acesso a dados via USB
Controla quais arquivos e/ou dados podem ser transferidos via USB. Compatível apenas com dispositivos corporativos.
Não permitir transferência de arquivos (padrão): As transferências de arquivos são proibidas, mas outras conexões de dados USB (por exemplo, mouse/teclado) são permitidas.
Não permitir transferência de dados: Todos os tipos de transferência de dados USB são proibidos (Android 12+ com USB HAL 1.3+). Se não houver suporte, o dispositivo usará Não permitir transferência de arquivos como alternativa.
Permitir transferência de dados: Todos os tipos de transferência de dados USB são permitidos.
 
4. Impressão
Controla se a impressão é permitida (Android 9+).
Permitido (padrão): A impressão é permitida.
Não permitido: A impressão não é permitida (Android 9+).
 
5. Configurações de brilho da tela
Controla o modo de brilho da tela e (opcionalmente) o valor de brilho.
Modo de brilho da tela:
Escolha do usuário (padrão): O usuário pode configurar o brilho da tela.
Automático: O brilho é automático e o usuário não pode alterá-lo. Você ainda pode definir um valor de brilho, que é usado como parte do ajuste automático (totalmente gerenciado no Android 9+; perfis de trabalho em dispositivos corporativos com Android 15+).
Fixo: O brilho é definido com o valor configurado e o usuário não pode alterá-lo. O valor de brilho é obrigatório (totalmente gerenciado no Android 9+; perfis de trabalho em dispositivos corporativos com Android 15+).
Brilho da tela:
Valor de 1 a 255 (1 = mais baixo, 255 = mais alto). Um valor 0 significa que nenhum valor de brilho está definido.
 
6. Configurações de tempo limite da tela
Controla se o usuário pode configurar o tempo limite da tela e, quando aplicado, o valor do tempo limite.
O campo Modo de tempo limite da tela seleciona entre o comportamento controlado pelo usuário e o comportamento aplicado.
Escolha do usuário (padrão): O usuário pode configurar o tempo limite da tela.
Aplicado: O tempo limite da tela é definido com o valor configurado e o usuário não pode alterá-lo (totalmente gerenciado no Android 9+; perfis de trabalho em dispositivos corporativos com Android 15+).
Tempo limite da tela:
Duração do tempo limite em segundos. O valor deve ser maior que 0. Se for maior que Tempo máximo para bloquear, o sistema poderá limitá-lo e relatar não conformidade.
 
7. Captura de tela desativada
Se a captura de tela está desativada.
 
8. Ajuste de volume desativado
Se o ajuste do volume principal está desativado.
 
9. Montagem de mídia física desativada
Se a montagem de mídia física externa está desativada.

Celular
Nesta seção, você pode configurar políticas relacionadas à rede celular.
 
1. Modo avião
Controla se o usuário pode ativar ou desativar o modo avião.
Escolha do usuário (padrão): o usuário pode ativar ou desativar o modo avião.
Desativado: o modo avião fica desativado. O usuário não pode ativar o modo avião. Compatível com Android 9 e superior.
 
2. 2G celular
Controla se o usuário pode ativar ou desativar a configuração de 2G celular.
Escolha do usuário (padrão): o usuário pode ativar ou desativar o 2G celular.
Desativado: o 2G celular fica desativado. O usuário não pode ativar o 2G celular pelas configurações. Compatível com Android 14 e superior.
 
3. Substituir APNs
Controla se os APNs de substituição estão ativados ou desativados. Quando ativados, somente os APNs de substituição configurados são usados, e todos os outros APNs no dispositivo são ignorados.
Desativado (padrão): Todas as configurações de APN definidas são salvas no dispositivo, mas ficam desativadas e não têm efeito. Todos os outros APNs no dispositivo continuam em uso.
Ativado: Somente os APNs de substituição são usados; todos os outros APNs são ignorados. Esta configuração só pode ser definida em dispositivos totalmente gerenciados com Android 10 ou superior.
 
4. Configurações de APN
Configure uma ou mais entradas de APN. Use Adicionar APN para criar uma entrada e Remover APN para excluí-la.
Cada APN tem campos obrigatórios:
Tipos de APN: Selecione um ou mais tipos de tráfego para este APN (a disponibilidade depende do modo de gerenciamento e da versão do Android).
Nome do APN: O identificador do APN fornecido pela sua operadora.
Nome de exibição: Nome amigável mostrado na interface.
 
Campos opcionais de APN:
Tipo de autenticação, Nome de usuário, Senha: Configure a autenticação da operadora (se necessário).
Protocolo e Protocolo de roaming: Configuração do protocolo IP.
Tipos de rede: Restrinja as tecnologias celulares que o APN pode usar (por exemplo, LTE/5G NR).
Endereço do proxy e Porta do proxy: Proxy HTTP para tráfego de dados (se aplicável).
Endereço do proxy MMS, Porta do proxy MMS, MMSC (URI do centro de MMS): Configurações relacionadas a MMS.
ID numérico da operadora (MCC+MNC) e ID da operadora: Campos de identificação da operadora.
Configuração sempre ativa: Se a sessão PDU ativada por este APN deve permanecer sempre ativa. Compatível com Android 15 ou superior.
Tipo de MVNO: Tipo de identificador da operadora de rede virtual móvel.
MTU IPv4 e MTU IPv6: Unidade máxima de transmissão para rotas IPv4/IPv6. Compatível com Android 13 ou superior.
 
5. Configuração de transmissão celular desativada
Se a configuração de transmissão celular está desativada.
 
6. Configuração de redes móveis desativada
Se a configuração de redes móveis está desativada.
 
7. Dados em roaming desativados
Se os serviços de dados em roaming estão desativados.
 
8. Chamadas de saída desativadas
Se as chamadas de saída estão desativadas.
 
9. SMS desativados
Se o envio e o recebimento de mensagens SMS estão desativados.
 
10. Configuração de fatiamento de rede 5G
Configure os serviços de rede preferencial para ativar o fatiamento de rede 5G corporativo. Você pode configurar até 5 fatias corporativas e atribuir aplicativos a redes específicas para otimizar o roteamento de tráfego.
10.1. Rede preferencial padrão
ID da rede preferencial padrão para aplicativos que não estão na lista de aplicativos, ou se a Rede preferencial de um aplicativo não estiver definida. É preciso ter uma configuração para o ID de rede especificado (a menos que esteja definido como Nenhuma rede preferencial).
Observação: aplicativos críticos como com.google.android.apps.work.clouddpc e com.google.android.gms são excluídos desta configuração padrão.
 
10.2. Configurações de serviço de rede
Use Adicionar configuração de rede para criar uma configuração de fatia. Você pode adicionar até 5 configurações. Cada configuração tem:
ID da rede preferencial (atribuído automaticamente): O ID da rede é atribuído automaticamente e não pode ser alterado.
Recorrer à conexão padrão: Se o fallback para a rede padrão de todo o dispositivo é permitido. Se não for permitido, os aplicativos não poderão acessar a internet caso a fatia 5G não esteja disponível.
Redes não correspondentes: Se os aplicativos sujeitos a esta configuração podem usar redes diferentes do serviço preferencial. Se definido como Não permitido, Recorrer à conexão padrão também deve ser Não permitido. Requer Android 14 ou superior.

Rede
Nesta seção, você pode configurar políticas relacionadas a rede.
As configurações de Wi‑Fi podem ser provisionadas e gerenciadas pelo sistema por meio de Configurações de WiFi. Dependendo do valor definido em Configurar Wi‑Fi, os usuários podem ter controle limitado ou nenhum controle sobre adicionar/modificar redes.
 
Estado do rádio do dispositivo
1. Estado do Wi‑Fi
Controla o estado atual do Wi‑Fi e se o usuário pode alterar esse estado.
Escolha do usuário (padrão): O usuário pode ativar/desativar o Wi‑Fi.
Ativado: O Wi‑Fi está ligado e o usuário não pode desativá-lo (Android 13+).
Desativado: O Wi‑Fi está desligado e o usuário não pode ativá-lo (Android 13+).
 
2. Nível mínimo de segurança do Wi‑Fi
O nível mínimo de segurança exigido das redes Wi‑Fi às quais o dispositivo pode se conectar. Compatível com Android 13 ou superior, para dispositivos totalmente gerenciados e perfis de trabalho em dispositivos corporativos.
Rede aberta (padrão): O dispositivo pode se conectar a todos os tipos de redes Wi‑Fi.
Rede pessoal: Não permite redes Wi‑Fi abertas; exige pelo menos segurança pessoal (por exemplo, WPA2‑PSK).
Rede corporativa: Exige redes EAP corporativas; não permite redes Wi‑Fi abaixo deste nível de segurança.
Rede corporativa de 192 bits: Exige redes corporativas de 192 bits; opção mais restritiva.
 
3. Estado da banda ultralarga (UWB)
Controla o estado da configuração de banda ultralarga e se o usuário pode ativá-la ou desativá-la.
Escolha do usuário (padrão): O usuário pode ativar ou desativar o UWB.
Desativado: O UWB está desativado e o usuário não pode ativá-lo pelas configurações (Android 14+).
 
Gerenciamento de conectividade do dispositivo
4. Compartilhamento por Bluetooth
Controla se o compartilhamento por Bluetooth é permitido.
Permitido: O compartilhamento por Bluetooth é permitido (padrão em dispositivos totalmente gerenciados, Android 8+).
Não permitido: O compartilhamento por Bluetooth não é permitido (padrão em perfis de trabalho, Android 8+).
 
5. Configurar Wi‑Fi
Controla os privilégios de configuração do Wi‑Fi. Dependendo da opção selecionada, o usuário tem controle total, limitado ou nenhum controle na configuração de redes Wi‑Fi.
Permitir configurar o Wi‑Fi (padrão): O usuário pode configurar o Wi‑Fi.
Não permitir adicionar configuração de Wi‑Fi: Não é permitido adicionar novas configurações de Wi‑Fi. O usuário pode alternar entre redes já configuradas (Android 13+; totalmente gerenciado e perfis de trabalho corporativos).
Não permitir configurar o Wi‑Fi: Não permite configurar redes Wi‑Fi. Em dispositivos totalmente gerenciados, isso remove as redes configuradas pelo usuário e mantém apenas as redes configuradas via Configurações de WiFi. Em perfis de trabalho corporativos, as redes existentes não são afetadas, mas os usuários não podem adicionar/remover/modificar redes Wi‑Fi.
Quando a configuração do Wi‑Fi está desativada e o dispositivo não consegue se conectar na inicialização, o sistema pode mostrar o mecanismo de escape de rede para permitir que o usuário se conecte temporariamente e atualize a política.
 
6. Configurações de Wi‑Fi Direct
Controla a configuração e o uso das configurações de Wi‑Fi Direct. Compatível com dispositivos corporativos com Android 13 ou superior.
Permitir (padrão): O usuário pode usar o Wi‑Fi Direct.
Não permitir: O usuário não pode usar o Wi‑Fi Direct.
 
7. Configurações de ancoragem
Controla as configurações de ancoragem. Com base no valor definido, o usuário fica parcial ou totalmente impedido de usar diferentes formas de ancoragem.
Permitir toda ancoragem (padrão): Permite a configuração e o uso de todas as formas de ancoragem.
Não permitir ancoragem Wi‑Fi: Impede o usuário de usar ancoragem Wi‑Fi (dispositivos corporativos com Android 13+).
Não permitir toda ancoragem: Não permite nenhuma forma de ancoragem (totalmente gerenciado + perfis de trabalho corporativos).
 
8. Política de SSID do Wi‑Fi
Restrições sobre a quais SSIDs de Wi‑Fi o dispositivo pode se conectar (isso não afeta quais redes podem ser configuradas no dispositivo). Compatível com dispositivos corporativos com Android 13 ou superior.
Lista de bloqueio de SSID (padrão): O dispositivo não pode se conectar a nenhuma rede Wi‑Fi cujo SSID esteja listado, mas pode se conectar a outras redes.
Lista de permissões de SSID: O dispositivo pode se conectar apenas aos SSIDs listados. A lista de SSIDs não pode estar vazia.
Use Adicionar SSID para adicionar entradas. Dependendo do tipo de política selecionado, a lista é interpretada como SSIDs permitidos ou negados.
Na interface do Editor de Políticas, a lista de SSIDs é rotulada como SSIDs de Wi‑Fi permitidos para listas de permissões e SSIDs de Wi‑Fi negados para listas de bloqueio.
 
9. Configurações de roaming do Wi‑Fi
Configure o modo de roaming do Wi‑Fi por SSID. Use Adicionar configuração de roaming Wi‑Fi para criar entradas.
Cada entrada inclui:
SSID: O SSID ao qual a configuração de roaming se aplica (obrigatório).
Modo de roaming do Wi‑Fi: Padrão / Desativado / Agressivo. Desativado e Agressivo exigem Android 15+ e são compatíveis apenas com dispositivos totalmente gerenciados e perfis de trabalho em dispositivos corporativos.
 
Restrições de rede
10. Bluetooth desativado
Se o Bluetooth está desativado. Prefira esta configuração em vez de Configuração de Bluetooth desativada, pois a configuração de Bluetooth desativada pode ser contornada pelo usuário.
 
11. Compartilhamento de contatos por Bluetooth desativado
Se o compartilhamento de contatos por Bluetooth está desativado.
 
12. Configuração de Bluetooth desativada
Se a configuração do Bluetooth está desativada.
 
13. Redefinição de rede desativada
Se a redefinição das configurações de rede está desativada.
 
14. Beam de saída desativado
Se o uso de NFC para transmitir dados de aplicativos está desativado.
 
VPN
15. Aplicativo de VPN Always On
Especifique um nome de pacote de VPN Always On para garantir que os dados dos aplicativos gerenciados especificados sempre passem por uma VPN configurada.
Observação: este recurso exige a implantação de um cliente VPN compatível com os recursos Always On e VPN por aplicativo.
 
16. Bloqueio de VPN
Não permite o uso da rede quando a VPN não está conectada.
 
17. Configuração de VPN desativada
Se a configuração da VPN está desativada.
 
Proxy e serviços de rede
18. Serviço de rede preferencial
Controla se o serviço de rede preferencial está ativado no perfil de trabalho. Por exemplo, uma organização pode ter um acordo com uma operadora para que os dados de trabalho sejam enviados por um serviço de rede da operadora dedicado ao uso corporativo (por exemplo, uma fatia corporativa em redes 5G). Isso não tem efeito em dispositivos totalmente gerenciados.
Desativado: O serviço de rede preferencial está desativado no perfil de trabalho.
Ativado: O serviço de rede preferencial está ativado no perfil de trabalho.
Se você usar fatiamento de rede corporativo, configure também Configuração de fatiamento de rede 5G no painel de política Celular e atribua aplicativos a uma fatia usando a configuração Rede preferencial deles.
 
19. Proxy global recomendado
O proxy HTTP global independente de rede. Normalmente, os proxies devem ser configurados por rede nas configurações de WiFi. Um proxy global pode ser útil para configurações incomuns, como filtragem interna geral. O proxy global é apenas uma recomendação e alguns aplicativos podem ignorá-lo.
Desativado
Proxy direto
Configuração automática de proxy (PAC)
19.1. Host
O host do proxy direto.
19.2. Porta
A porta do proxy direto.
19.3. URI do PAC
O URI do script PAC usado para configurar o proxy.
19.4. Hosts excluídos
Para um proxy direto, os hosts para os quais o proxy é ignorado. Os nomes de host podem conter curingas, como *.example.com.
Use Adicionar host excluído para adicionar entradas (disponível apenas para proxy direto).
 
Configurações de Wi-Fi
Defina configurações de rede Wi‑Fi que o sistema aplicará nos dispositivos. Use Adicionar configuração de Wi‑Fi para criar uma entrada e remova-a com a ação de excluir.
20. Campos de configuração de Wi‑Fi
Cada configuração inclui:
Nome da configuração: Obrigatório.
SSID: Obrigatório.
Conexão automática: Se a rede deve ser conectada automaticamente quando estiver ao alcance.
Transição rápida: Se o cliente deve tentar usar a Transição rápida (IEEE 802.11r-2008) com a rede.
SSID oculto: Se o SSID será transmitido.
Modo de randomização de MAC: Hardware ou Automático (Android 13+).
 
20.1. Segurança
Opções de segurança de Wi‑Fi:
WEP‑PSK: WEP (Chave pré-compartilhada).
WPA‑PSK: WPA/WPA2/WPA3-Personal (Chave pré-compartilhada).
WPA‑EAP: WPA/WPA2/WPA3-Enterprise (Extensible Authentication Protocol).
Modo de 192 bits do WPA3: Rede WPA‑EAP que permite apenas o modo de 192 bits do WPA3.
20.2. Frase secreta (Chave pré‑compartilhada)
Exibido quando a Segurança é WEP‑PSK ou WPA‑PSK. A frase secreta é obrigatória.
20.3. Método EAP (Enterprise)
Exibido quando a Segurança é WPA‑EAP ou Modo de 192 bits do WPA3. Selecione um método externo EAP:
EAP‑TLS
EAP‑TTLS
PEAP
EAP‑SIM
EAP‑AKA
20.4. Autenticação da fase 2
Exibido para métodos externos de tunelamento (EAP‑TTLS e PEAP).
MSCHAPv2
PAP
20.5. Credenciais EAP dos usuários
Quando ativado, o sistema aplica automaticamente as credenciais EAP nos dispositivos por usuário. Você pode configurar as credenciais do usuário na seção Usuários.
20.6. Certificado do cliente
Para EAP‑TLS, você pode atribuir um certificado de cliente usado para autenticação Wi‑Fi. Para mais informações, leia a página Gerenciamento de certificados.
Se um certificado já estiver atribuído, você pode usar Abrir certificado para visualizá-lo ou Alterar certificado para selecionar outro.
Como alternativa, você pode especificar o Alias do par de chaves do certificado do cliente, que faz referência a um certificado de cliente armazenado no chaveiro do Android e permitido para autenticação Wi‑Fi.
Se tanto Certificado do cliente quanto Alias do par de chaves do certificado do cliente estiverem definidos, o alias do par de chaves será ignorado.
20.7. Identidade
Identidade do usuário. Para protocolos externos de tunelamento (PEAP, EAP‑TTLS), ela é usada para autenticar dentro do túnel, e a Identidade anônima é usada para a identidade EAP fora do túnel. Para protocolos externos sem tunelamento, ela é usada para a identidade EAP.
20.8. Identidade anônima
Apenas para protocolos de tunelamento, indica a identidade do usuário apresentada ao protocolo externo.
20.9. Senha
Senha do usuário. Se não especificada, o padrão é solicitar ao usuário.
20.10. Certificados de CA do servidor
Lista de certificados de CA a serem usados para verificar a cadeia de certificados do host. Pelo menos um certificado de CA deve corresponder. Para mais informações, leia a página Gerenciamento de certificados.
Use Adicionar certificado de CA do servidor para adicionar entradas e remova-as com a ação de excluir.
20.11. Correspondências de sufixo de domínio
Uma lista de restrições para o nome de domínio do servidor. As entradas são usadas como requisitos de correspondência de sufixo em relação ao(s) nome(s) DNS do nome alternativo da entidade de um certificado de servidor de autenticação.
 

Sistema
Nesta seção, você pode configurar políticas relacionadas ao sistema.
 
1. Nível mínimo de API
O nível mínimo de API do Android permitido.
 
2. Política de criptografia
Se a criptografia está ativada.
Padrão: Este valor é ignorado, ou seja, nenhuma criptografia é exigida.
Ativada sem senha: Criptografia exigida, mas nenhuma senha é necessária para inicializar.
Ativada com senha: Criptografia exigida com senha necessária para inicializar.
 
3. Data e hora automáticas
Se a data, a hora e o fuso horário automáticos estão ativados em um dispositivo corporativo.
Escolha do usuário (padrão): A data, a hora e o fuso horário automáticos ficam a critério do usuário.
Aplicado: Aplica data, hora e fuso horário automáticos no dispositivo.
 
4. Configurações do desenvolvedor
Controla o acesso às configurações do desenvolvedor: opções do desenvolvedor e inicialização segura.
Desativado (padrão): desativa todas as configurações do desenvolvedor e impede que o usuário acesse.
Permitido: permite todas as configurações do desenvolvedor. O usuário pode acessar e, opcionalmente, configurar as configurações.
 
5. Modo Common Criteria
Controla o Modo Common Criteria — padrões de segurança definidos no Common Criteria for Information Technology Security Evaluation (CC). Ativar o Modo Common Criteria aumenta determinados componentes de segurança em um dispositivo (por exemplo: criptografia AES-GCM de Bluetooth Long Term Keys, validação adicional de alguns certificados de rede e verificações de integridade da política criptográfica). O Modo Common Criteria é compatível apenas com dispositivos de propriedade da empresa que executam Android 11 ou superior. Aviso: o Modo Common Criteria impõe um modelo de segurança rígido, normalmente necessário apenas para organizações altamente sensíveis. O uso padrão do dispositivo pode ser afetado; ative-o somente se necessário.
Desativado (padrão): desativa o Modo Common Criteria.
Ativado: ativa o Modo Common Criteria.
 
6. Memory Tagging Extension (MTE)
Controla o Memory Tagging Extension (MTE) no dispositivo.
Escolha do usuário (padrão): o usuário pode escolher ativar ou desativar o MTE no dispositivo (se o dispositivo for compatível).
Imposto: o MTE está ativado e o usuário não tem permissão para alterá-lo (Android 14+; compatível com dispositivos totalmente gerenciados e perfis de trabalho em dispositivos de propriedade da empresa).
Desativado: o MTE está desativado e o usuário não tem permissão para alterá-lo (Android 14+; compatível apenas com dispositivos totalmente gerenciados).
 
7. Proteção de conteúdo
Controla se a proteção de conteúdo (que verifica apps enganosos) está ativada. Isso é compatível com Android 15 e superior.
Desativado (padrão): a proteção de conteúdo está desativada e o usuário não pode alterar isso.
Imposto: a proteção de conteúdo está ativada e o usuário não pode alterar isso (Android 15+).
Escolha do usuário: a proteção de conteúdo não é controlada pela política; o usuário pode escolher (Android 15+).
 
8. Conteúdo do Assist
Controla se o AssistContent pode ser enviado a um app privilegiado, como um app assistente (por exemplo, Circle to Search). O AssistContent inclui capturas de tela e informações sobre um app, como o nome do pacote. Isso é compatível com Android 15 e superior.
Permitido (padrão): o conteúdo do Assist pode ser enviado a um app privilegiado (Android 15+).
Não permitido: o conteúdo do Assist é bloqueado e não pode ser enviado a um app privilegiado (Android 15+).
 
9. Criação de janelas desativada
Se a criação de janelas além das janelas de apps está desativada. Esta opção impede a exibição das seguintes interfaces do sistema: toasts e snackbars, atividades do telefone (como chamadas recebidas) e atividades prioritárias do telefone (como chamadas em andamento), alertas do sistema, erros do sistema e sobreposições do sistema.
 
10. Válvula de escape de rede
Se a válvula de escape de rede está ativada. Se não for possível estabelecer uma conexão de rede na inicialização, a válvula de escape solicita que o usuário se conecte temporariamente a uma rede para atualizar a política do dispositivo. Após a aplicação da política, a rede temporária será esquecida e o dispositivo continuará a inicialização. Isso evita ficar sem conexão de rede quando não houver uma rede adequada na última política e o dispositivo iniciar em um app no modo de tarefa bloqueada, ou quando o usuário não conseguir acessar as configurações do dispositivo.
 
11. Atividades padrão
Uma lista de atividades padrão para processar intents que correspondem a um filtro de intent específico. Por exemplo, este recurso permite que os administradores de TI escolham qual app de navegador abre automaticamente links da web ou qual app launcher é usado ao tocar no botão home.
Use Adicionar atividade padrão para criar entradas. Dentro de uma entrada, use Adicionar ação e Adicionar categoria para montar o filtro de intent.
11.1. Atividade receptora
A atividade que deve ser o manipulador de intent padrão. Deve ser um nome de componente Android, por exemplo, com.android.enterprise.app/.MainActivity. Como alternativa, o valor pode ser o nome do pacote de um app, o que faz o Android Device Policy escolher uma atividade apropriada do app para processar o intent.
11.2. Ação
As ações de intent a serem correspondidas no filtro. Se alguma ação estiver incluída no filtro, a ação de um intent deverá ser um desses valores para haver correspondência. Se nenhuma ação estiver incluída, a ação do intent será ignorada.
11.3. Categoria
As categorias de intent a serem correspondidas no filtro. Um intent inclui as categorias de que precisa, e todas elas devem estar incluídas no filtro para haver correspondência. Em outras palavras, adicionar uma categoria ao filtro não afeta a correspondência, a menos que essa categoria seja especificada no intent.
 
12. Métodos de entrada permitidos
Especifica os métodos de entrada permitidos.
Todos permitidos: nenhuma restrição aplicada. Todos os métodos de entrada são permitidos.
Apenas do sistema: apenas os métodos de entrada integrados do sistema são permitidos.
Apenas do sistema e fornecidos: apenas os métodos de entrada fornecidos e os integrados do sistema são permitidos.
12.1. Métodos de entrada permitidos
Nomes de pacote de métodos de entrada permitidos. Aplica-se apenas quando Métodos de entrada permitidos está definido como Apenas do sistema e fornecidos.
Use Adicionar método de entrada para adicionar entradas e removê-las com a ação de excluir.
 
13. Serviços de acessibilidade permitidos
Especifica os serviços de acessibilidade permitidos.
Todos permitidos: qualquer serviço de acessibilidade pode ser usado.
Apenas do sistema: apenas os serviços de acessibilidade integrados do sistema podem ser usados.
Apenas do sistema e fornecidos: apenas os serviços de acessibilidade fornecidos e os integrados do sistema podem ser usados.
13.1. Serviços de acessibilidade permitidos
Serviços de acessibilidade permitidos. Aplica-se apenas quando Serviços de acessibilidade permitidos está definido como Apenas do sistema e fornecidos.
Use Adicionar serviço de acessibilidade para adicionar entradas e removê-las com a ação de excluir.
 
14. Política de atualização do sistema
Configuração para gerenciar atualizações do sistema.
Padrão: segue o comportamento padrão de atualização do dispositivo, que normalmente exige que o usuário aceite as atualizações do sistema.
Automático: instala automaticamente assim que uma atualização estiver disponível.
Em janela: instala automaticamente dentro de uma janela de manutenção diária. Isso também configura os apps do Play para serem atualizados dentro da janela. Essa opção é altamente recomendada para dispositivos do tipo quiosque, pois é a única forma de o Play atualizar apps fixados permanentemente em primeiro plano.
Adiar: adia a instalação automática por até no máximo 30 dias.
 
14.1. Janela de manutenção (somente Em janela)
Quando Política de atualização do sistema está definida como Em janela, você pode definir a janela de manutenção diária usando os campos de e até.
 
14.2. Períodos de congelamento de atualizações do sistema
Um período repetido anualmente em que as atualizações do sistema via over-the-air (OTA) são adiadas para congelar a versão do sistema operacional em execução em um dispositivo. Para evitar o congelamento indefinido do dispositivo, cada período de congelamento deve ser separado por pelo menos 60 dias. Cada período de congelamento não pode exceder 90 dias.
Use Adicionar período de congelamento de atualizações do sistema para criar entradas.
 
15. Provedores de credenciais padrão
Controla quais apps podem atuar como provedores de credenciais no Android 14 e superior.
Não permitido (padrão): apps com credentialProviderPolicy não especificado não podem atuar como provedor de credenciais.
Não permitido, exceto sistema: apps com credentialProviderPolicy não especificado não podem atuar como provedor de credenciais, exceto os provedores de credenciais padrão do OEM.

Localização e geocercas
Este painel agrupa as configurações de política do Android que controlam o relatório de localização do dispositivo, a aplicação de localização e as definições de cerca geográfica. Use-o quando quiser que o Cerberus Enterprise colete as localizações dos dispositivos ou detecte quando eles entram ou saem de áreas configuradas. 
Relatório de localização
Relatar localização
 Ativa o relatório de geolocalização do dispositivo. Os dados de localização coletados por esta configuração são usados pelo mapa de localização do painel, pelo histórico de localização na visão geral do dispositivo e pelo processamento de cercas geográficas. 
 O histórico de localização e os eventos de geocerca são mantidos por 90 dias e os dados mais antigos são excluídos automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então ele continua nos mapas. 
 Em dispositivos que não são totalmente gerenciados, os dados de localização ainda podem depender de o app Cerberus Enterprise ter as permissões de localização necessárias e de os serviços de localização estarem habilitados no dispositivo. 
 Em dispositivos Apple pessoais (Registro de Usuário), a localização e as cercas geográficas ficam desativadas por padrão: só estão disponíveis quando a política da Apple tem Localização e cercas geográficas em dispositivos pessoais ativado e apenas se o usuário permitir a localização para o aplicativo Cerberus Enterprise. 
Modo de localização
 Controla a configuração de localização do dispositivo em dispositivos corporativos. 
Escolha do usuário: os serviços de localização não são restritos pela política.
Aplicado: os serviços de localização são ativados no dispositivo.
Desativado: os serviços de localização são desativados no dispositivo.
Compartilhamento de localização desativado
 Desativa o compartilhamento de localização para aplicativos de trabalho. Em dispositivos com proprietário de perfil, isso afeta o perfil de trabalho. Em dispositivos totalmente gerenciados, desativa a localização de todo o dispositivo e substitui o modo de localização do dispositivo. 
Comportamento automático com cercas geográficas ativas
 As cercas geográficas ativas exigem que o relatório de localização funcione. Quando pelo menos uma cerca geográfica está ativa, o Cerberus Enterprise mantém automaticamente a consistência das configurações de localização relacionadas. 
Relatar localização fica forçado como ativado enquanto existirem cercas geográficas ativas.
Modo de localização é forçado para Aplicado.
Compartilhamento de localização desativado fica forçado como desativado.
 Se você tentar desativar Relatar localização enquanto uma ou mais cercas geográficas estiverem ativas, o Cerberus Enterprise exibirá uma caixa de diálogo de confirmação. Se você continuar, todas as cercas geográficas ativas na política serão desativadas. 
Lista de cercas geográficas
 Uma política pode conter até 10 cercas geográficas. Os nomes das cercas geográficas devem ser exclusivos dentro da política. 
 Use Adicionar cerca geográfica para criar uma nova entrada. Cada cerca geográfica contém estes campos principais: 
Nome: obrigatório e exclusivo.
Latitude e Longitude: o centro da área.
Raio (m): obrigatório, de 200 a 10000 metros.
Descrição: observações opcionais para administradores.
Relatar entrada e Relatar saída: escolha quais eventos de transição devem ser gerados.
Ativa: ativa ou desativa a cerca geográfica sem excluí-la.
 Pelo menos uma das opções Relatar entrada ou Relatar saída deve permanecer ativada para cada cerca geográfica. 
 O raio mínimo era de 100 metros anteriormente. As cercas geográficas existentes menores que 200 metros continuam funcionando e são mantidas como estão quando você salva a política, mesmo se você as mover ou renomear. Se você alterar o raio delas, ele deve ser de pelo menos 200 metros. 
Ferramentas de edição do mapa
 Cada cartão de cerca geográfica inclui uma prévia do mapa da área. Você pode editar a geometria pelo mapa ou pelos campos numéricos. 
Clique no mapa para mover o centro da cerca geográfica quando a edição da área estiver desbloqueada.
Use o botão Localização atual para centralizar o mapa na posição atual do seu navegador.
Use o botão Recentralizar mapa para restaurar a visualização preferida dessa cerca geográfica.
Use o botão de bloqueio para evitar alterações acidentais na geometria da cerca geográfica.
Onde os dados de cerca geográfica aparecem
 As transições de cerca geográfica podem ser revisadas na página Visão geral do dispositivo do Android, na aba Cerca geográfica do painel de localização. Essa aba mostra as transições em um mapa dedicado, junto com ferramentas de filtragem e a lista de transições.

Gerenciamento de usuários
Adição de usuário desativada
Se a adição de novos usuários e perfis está desativada. Para dispositivos em que managementMode é DEVICE_OWNER, este campo é ignorado e o usuário nunca tem permissão para adicionar ou remover usuários.
 
Modificação de contas desativada
Se a adição ou remoção de contas está desativada.
 
Configuração de credenciais do usuário desativada
Se a configuração de credenciais do usuário está desativada.
 
Remoção de usuário desativada
Se a remoção de outros usuários está desativada.
 
Definição do ícone do usuário desativada
Se a alteração do ícone do usuário está desativada.
 
Definição do papel de parede desativada
Se a alteração do papel de parede está desativada.
 
Autenticação na configuração da conta de trabalho
Controla como os usuários se autenticam durante a configuração da conta de trabalho. Esta opção está disponível apenas para empresas Android com um domínio gerenciado do Google (Google Workspace).
Durante a configuração/registro do dispositivo, esta política influencia se é necessário entrar com uma conta de trabalho, mas a configuração Autenticar usando o Google do Google Admin Console e o tipo de token de registro ainda podem exigir autenticação.
Para dispositivos já registrados, esta política só se aplica se o dispositivo for gerenciado por uma conta do Managed Google Play (ou seja, registrado sem Autenticar usando o registro do Google).
Para mais detalhes e solução de problemas, consulte Autenticar usando o registro do Google.
 
Tipos de conta bloqueados
Tipos de conta que não podem ser gerenciados pelo usuário. Esta opção impede que os usuários do dispositivo adicionem contas não aprovadas.
Use Adicionar tipo de conta bloqueado para adicionar um ou mais tipos de conta.
Cada entrada tem um campo Tipo de conta (obrigatório). Insira uma string como com.google. Remova uma entrada usando a ação de excluir.

Uso pessoal
Ao provisionar um dispositivo corporativo para uso profissional e pessoal, você pode especificar algumas regras para limitar como o usuário pode operar o dispositivo para uso pessoal, fora do perfil de trabalho.
Esta seção se aplica apenas a dispositivos corporativos com perfil de trabalho. Ela não terá efeito em dispositivos totalmente gerenciados ou de propriedade pessoal.
1. Câmera desativada
Se a câmera está desativada.
 
2. Captura de tela desativada
Se a captura de tela está desativada.
 
3. Máximo de dias com o trabalho desligado
Controla por quanto tempo o perfil de trabalho pode permanecer desligado.
 
4. Compartilhamento via Bluetooth
Controla se o compartilhamento via Bluetooth é permitido no perfil pessoal de um dispositivo corporativo com perfil de trabalho.
 
5. Espaço privado
Controla se um espaço privado é permitido no dispositivo.
 
6. Modo da Play Store
Este modo controla quais apps são permitidos ou bloqueados para o usuário na Play Store do perfil pessoal.
Lista de bloqueio (padrão): Todos os apps estão disponíveis e qualquer app que não deva estar no dispositivo deve ser marcado explicitamente como Bloqueado na seção Aplicativos.
Lista de permissões: Apenas apps especificados explicitamente na seção Aplicativos com Tipo de instalação definido como Disponível podem ser instalados no perfil pessoal.
 
7. Aplicativos
Lista de aplicativos que devem ser permitidos ou bloqueados no perfil pessoal. O comportamento do conteúdo da lista depende do valor definido em Modo da Play Store.
Para adicionar um novo app da Play Store, clique no ícone +.
7.1. Tipo de instalação
Tipos de comportamentos de instalação que um aplicativo do perfil pessoal pode ter.
Bloqueado: O app está bloqueado e não pode ser instalado no perfil pessoal.
Disponível: O app está disponível para instalação no perfil pessoal.
 
8. Tipos de conta bloqueados
Tipos de conta que não podem ser gerenciados pelo usuário. Esta opção impede que os usuários do dispositivo adicionem contas não aprovadas no perfil pessoal.

Políticas entre perfis
Aplica-se apenas a dispositivos com perfis pessoal e de trabalho.
Copiar/colar entre perfis
Se o texto copiado de um perfil (pessoal ou de trabalho) pode ser colado no outro perfil.
Não permitido (padrão): Impede que os usuários colem no perfil pessoal textos copiados do perfil de trabalho. Textos copiados do perfil pessoal podem ser colados no perfil de trabalho.
Permitido: O texto copiado em qualquer um dos perfis pode ser colado no outro perfil.
 
Compartilhamento de dados entre perfis
Se os dados de um perfil (pessoal ou de trabalho) podem ser compartilhados com aplicativos no outro perfil. Controla especificamente o compartilhamento simples de dados via intents. O gerenciamento de outros canais de comunicação entre perfis, como busca de contatos, copiar/colar, 
ou aplicativos de trabalho e pessoais conectados, é configurado separadamente.
Não permitido: Impede o compartilhamento de dados tanto do perfil pessoal para o perfil de trabalho quanto do perfil de trabalho para o perfil pessoal.
Trabalho para pessoal não permitido (padrão): Impede que os usuários compartilhem dados do perfil de trabalho com aplicativos no perfil pessoal. Dados pessoais podem ser compartilhados com aplicativos de trabalho.
Permitido: Os dados de qualquer um dos perfis podem ser compartilhados com o outro perfil.
 
Padrão de widgets do perfil de trabalho
Comportamento padrão dos widgets do perfil de trabalho. Se um aplicativo específico não definir uma política de widgets, ele seguirá o padrão definido aqui.
 
Funções de aplicativos entre perfis
Controla se os aplicativos do perfil pessoal podem invocar funções de aplicativos do perfil de trabalho. Isso requer Android 16 ou superior.
Esta configuração depende da opção Funções de aplicativos no nível da política (na seção Gerenciamento de aplicativos). Se Funções de aplicativos estiver definida como Não permitido, a API rejeitará Funções de aplicativos entre perfis definidas como Permitido.
 
Contatos de trabalho no perfil pessoal
Se os contatos armazenados no perfil de trabalho podem ser exibidos nas pesquisas de contatos e nas chamadas recebidas do perfil pessoal.
Permitido (padrão): Permite que os contatos do perfil de trabalho apareçam no perfil pessoal.
Não permitido: Impede que os aplicativos pessoais acessem os contatos do perfil de trabalho e pesquisem contatos de trabalho.
Não permitido, exceto sistema: Impede a maioria dos aplicativos pessoais de acessar os contatos do perfil de trabalho, exceto os aplicativos Discador, Mensagens e Contatos padrão do OEM (Android 14+).
Quando Contatos de trabalho no perfil pessoal está configurado, você pode definir opcionalmente uma lista de entradas de Nome de pacote isento. Dependendo do modo selecionado, essas isenções funcionam como lista de permissões ou lista de bloqueio para aplicativos pessoais.

Relatórios de status
Nesta seção, você pode configurar quais dados devem ser recuperados do dispositivo. Os dados de status podem ser visualizados na página do painel Status do dispositivo.
 
Relatórios de aplicativos
Se os relatórios de apps estão ativados. (Informações relatadas sobre um app instalado.)
Esta opção é exigida pelo sistema (para integração com o app complementar) e está sempre ativada; não pode ser desativada.
 
Incluir apps removidos
Se os apps removidos são incluídos nos relatórios de aplicativos.
 
Configurações do dispositivo
Se o relatório de configurações do dispositivo está ativado. (Informações sobre configurações do dispositivo relacionadas à segurança.)
 
Informações de software
Se o relatório de informações de software está ativado. (Informações sobre o software do dispositivo.)
 
Informações de memória
Se o relatório de memória está ativado. (Um evento relacionado a medições de memória e armazenamento.)
 
Informações de rede
Se o relatório de informações de rede está ativado. (Informações de rede do dispositivo.)
 
Informações de tela
Se o relatório de telas está ativado. Os dados do relatório não estão disponíveis para dispositivos de propriedade pessoal com perfis de trabalho. (Informações de tela do dispositivo.)
 
Eventos de gerenciamento de energia
Se o relatório de eventos de gerenciamento de energia está ativado. Os dados do relatório não estão disponíveis para dispositivos de propriedade pessoal com perfis de trabalho.
 
Status de hardware
Se o relatório de status de hardware está ativado. Os dados do relatório não estão disponíveis para dispositivos de propriedade pessoal com perfis de trabalho.
 
Propriedades do sistema
Se o relatório de propriedades do sistema está ativado.
 
Modo Common Criteria
Se o relatório do Modo Common Criteria está ativado.

Diversos
1. Jogo easter egg desativado
Se o jogo easter egg nas Configurações está desativado.
 
2. Ignorar dicas de primeiro uso
Sinalizador para ignorar dicas no primeiro uso. O administrador corporativo pode ativar a recomendação do sistema para que os aplicativos ignorem o tutorial do usuário e outras dicas introdutórias na primeira inicialização.
 
3. Mensagem de suporte curta
Uma mensagem exibida ao usuário na tela de configurações sempre que uma funcionalidade tiver sido desativada pelo administrador. Se a mensagem tiver mais de 200 caracteres, ela poderá ser truncada.
 
4. Mensagem de suporte longa
Uma mensagem exibida ao usuário na tela de configurações dos administradores do dispositivo.
 
5. Informações do proprietário na tela de bloqueio
As informações do proprietário do dispositivo a serem exibidas na tela de bloqueio.
 
6. Ações de configuração
Ações a executar durante o processo de configuração. Durante o registro, você pode exigir que o usuário abra um ou mais aplicativos necessários para a configuração do dispositivo.
Use Adicionar ação de configuração para criar entradas e remova-as com a ação de exclusão.
6.1. Iniciar aplicativo
Nome do pacote do aplicativo a ser iniciado
6.2. Título
Fornece uma mensagem para o usuário, a fim de explicar por que o aplicativo precisa ser iniciado.
6.3. Descrição
Fornece uma mensagem para o usuário, a fim de explicar por que o aplicativo precisa ser iniciado.
 
7. Visibilidade do nome de exibição da empresa
Controla se o nome de exibição da empresa é visível no dispositivo (por exemplo, como mensagem na tela de bloqueio em dispositivos corporativos).
Visível (padrão): O nome de exibição da empresa é visível no dispositivo (compatível com perfis de trabalho no Android 7+ e dispositivos totalmente gerenciados no Android 8+).
Oculto: O nome de exibição da empresa fica oculto no dispositivo.

Regras de conformidade
Se um dispositivo ou perfil de trabalho não estiver em conformidade com qualquer uma das configurações de política listadas abaixo, o Android Device Policy bloqueará imediatamente o uso do dispositivo ou perfil de trabalho por padrão:
Requisitos de senha
Política de criptografia
Bloqueio de tela desativado
Métodos de entrada permitidos
Serviços de acessibilidade permitidos
Se o dispositivo ou o perfil de trabalho continuar não conforme após 10 dias, o Android Device Policy fará a redefinição de fábrica do dispositivo ou excluirá o perfil de trabalho.
Nesta seção, você pode substituir as regras padrão de aplicação de conformidade ou adicionar novas regras.
Regras
Lista de regras que definem o comportamento quando uma política específica não pode ser aplicada a um dispositivo.
Use Adicionar regra para criar uma nova regra. Cada cartão de regra pode ser removido usando a ação de excluir.
Nome da configuração
A política de nível superior a ser aplicada. Por exemplo, Aplicativos ou Requisitos de senha.
Obrigatório. O valor deve corresponder a um nome de política de nível superior com suporte; caso contrário, o campo será marcado como inválido.
Bloquear após dias
Número de dias em que a política fica fora de conformidade antes de o dispositivo ou perfil de trabalho ser bloqueado. Para bloquear o acesso imediatamente, defina como 0. Bloquear após dias deve ser menor que Apagar após dias. Aplicável apenas a dispositivos corporativos.
Intervalo permitido: 0–300.
Escopo do bloqueio
Especifica o escopo da ação de bloqueio. Aplicável apenas a dispositivos corporativos.
Padrão (nova regra): Perfil de trabalho.
Perfil de trabalho: A ação de bloqueio é aplicada apenas aos apps do perfil de trabalho. Os apps do perfil pessoal não são afetados.
Dispositivo inteiro: A ação de bloqueio é aplicada ao dispositivo inteiro, incluindo os apps do perfil pessoal.
Apagar após dias
Número de dias em que a política fica fora de conformidade antes de o dispositivo ou perfil de trabalho ser apagado. 
Apagar após dias deve ser maior que Bloquear após dias. Aplicável apenas a dispositivos corporativos.
Obrigatório. Padrão (nova regra): 1.
Intervalo permitido: 1–300.
Preservar a proteção contra restauração de fábrica
Se os dados de proteção contra restauração de fábrica são preservados no dispositivo. Esta configuração não se aplica a perfis de trabalho.
Padrão (nova regra): ativado.

Políticas - Apple

Políticas da Apple
As políticas da Apple definem configurações de gerenciamento que o Cerberus Enterprise aplica aos dispositivos Apple via MDM. Essas configurações são definidas no painel, no editor de políticas da Apple. 
Antes de começar
 O gerenciamento de dispositivos Apple exige que o Apple Management (APNs) esteja configurado. Se necessário, leia a página Configuração do Apple Management (APNs). 
Abrir o Editor de Políticas da Apple
 No painel, abra Políticas e clique em Criar nova política da Apple. Para editar uma política da Apple existente, clique na linha dela na tabela de políticas. 
Layout do editor
 O Editor de Políticas da Apple é organizado como um conjunto de seções expansíveis. No topo da página, você sempre pode editar: 
Nome (obrigatório)
Id (somente leitura)
Descrição (opcional)
Seções da política
 As seções abaixo correspondem aos painéis disponíveis no momento no Editor de Política da Apple. Quando você abre uma política salva, as seções com configurações alteradas já estão abertas e as demais permanecem fechadas: 
Gerenciamento de apps: configure restrições relacionadas a apps, apps gerenciados e as configurações do app Cerberus Enterprise.
Quiosque e Tela de Início: Modo de App Único, apps permitidos e bloqueados, layout da Tela de Início, web clips, configurações de notificação e mensagem da Tela de Bloqueio.
Segurança: controle recursos como Desbloqueio Automático e desbloqueio biométrico.
Configurações de senha: configure requisitos de senha e regras relacionadas.
Multimídia: permitir/não permitir a câmera e recursos relacionados.
Celular: controla configurações relacionadas a celular (configurações de dados celulares dos apps, eSIM, mudanças de plano) e o APN celular.
Rede: redes Wi-Fi (também 802.1X empresarial), VPNs, certificados, proxy global, DNS criptografado e filtro de conteúdo da web, e restrições de conectividade como AirDrop e Bluetooth.
Sistema e interface do usuário: restringe recursos do sistema como Handoff, o nome do dispositivo e o protetor de tela.
Atualizações de software: exigir uma versão do SO até um prazo e controlar como as atualizações são baixadas e instaladas.
macOS: firewall, Gatekeeper, protetor de tela e bloqueio, armazenamento externo e de rede, Compartilhamento de Tela, permissões de privacidade e itens de login dos Macs.
Apps e serviços da Apple: restringe apps e serviços da Apple como iMessage, Game Center e Buscar.
Siri e Apple Intelligence: restringe Siri, ditado e os recursos do Apple Intelligence.
iCloud: permitir ou não serviços específicos do iCloud (backup, sincronização do chaveiro, retransmissão privada etc.).
Localização e geocercas: áreas onde iPhones e iPads com o app Cerberus Enterprise informam quando entram ou saem, para regras de evento.
Contas: restringir a modificação de contas e configurar contas de Mail, Exchange, Google, calendário, contatos e diretório.
Regras de conformidade: requisitos (senha, versão mínima do SO, supervisão, FileVault) que tornam os dispositivos não conformes, com bloqueio opcional.
 Muitas opções no Editor de Políticas da Apple incluem uma dica que documenta os requisitos e as versões de SO compatíveis. 
Salvar, excluir e dispositivos associados
 Use Salvar política para aplicar suas alterações. O botão fica desativado quando não há edições pendentes ou quando a licença está expirada. 
 Ao editar uma política existente, a página também mostra a ação Excluir política. O editor pode mostrar uma lista de Dispositivos associados na parte inferior, para que você veja quantos dispositivos estão usando a política no momento. 
Próximas páginas
 Apps & perfis: configure apps instalados e perfis de configuração. 
 Quiosque e Tela de Início: Modo de App Único, apps permitidos, layout da Tela de Início e web clips. 
 Senha: configure requisitos de senha e opções de segurança relacionadas. 
 Restrições: defina recursos permitidos e limitações no nível do SO. 
 Rede: redes Wi-Fi, VPNs, certificados e restrições de conectividade. 
 Atualizações de software: atualizações de SO obrigatórias e configurações de atualização de software. 
 macOS: firewall, Gatekeeper, bloqueio de tela, armazenamento, permissões de privacidade e itens de login dos Macs. 
 Localização e geocercas: áreas que iPhones e iPads informam ao entrar e sair, e o que elas precisam para funcionar. 
 Contas: contas de mail, Exchange, Google, calendário, contatos e diretório. 
 Regras de conformidade: requisitos para os dispositivos e bloqueio de dispositivos não conformes.

Apps e perfis
Esta seção documenta como configurar aplicativos gerenciados e payloads de conta para dispositivos Apple. 
Gerenciamento de apps
 O painel Gerenciamento de apps contém tanto restrições gerais relacionadas a apps quanto uma lista de apps gerenciados. 
Restrições gerais de apps
Permitir App Clips
Permitir instalação de apps
Permitir remoção de apps
Permitir downloads automáticos de apps
Permitir que apps sejam ocultados
Permitir que apps sejam bloqueados
Permitir compras dentro do app
Permitir alteração do navegador padrão
Permitir confiança em apps empresariais
Apps gerenciados
 Use Adicionar aplicativo para adicionar um app à política. Cada app gerenciado é exibido como um cartão. Você pode expandir o cartão para editar suas configurações e remover o app usando a ação de exclusão. 
App Store ID: o identificador na App Store do app gerenciado.
Bundle ID: o identificador do bundle do app.
Comportamento de instalação: controla se o app deve permanecer instalado ou se pode ser instalado/removido pelo usuário. 
Atribuição: o tipo de licença, escolhido pelo Cerberus para cada dispositivo: uma licença de dispositivo em dispositivos da empresa, uma licença de usuário da Conta Apple Gerenciada em iPhones e iPads pessoais (Registro de Usuário). O campo não pode ser alterado.
Licença VPP: tipo de licença VPP usado para instalação pela App Store.
 A lista de seleção de apps mostra as licenças disponíveis e totais de cada app. Apps gratuitos mostram Ilimitadas: a Apple concede licenças ilimitadas para eles. Um app pode ser adicionado a uma política apenas uma vez: um app com o mesmo App Store ID ou bundle ID de um app que já está na política é recusado, assim como uma política que lista o mesmo app duas vezes ao ser salva. 
 A lista de seleção de apps mostra os apps da sua biblioteca do Apple Business. Para adicionar um app, no Apple Business, abra Apps & Services → Apps & Books → App Store, pesquise o app e clique em View. Para um app gratuito, clique em Add, selecione All current and future (ou a unidade organizacional do seu token do Apps and Books) em Organizational Units, clique em Add, depois Review e confirme. Para um app pago, clique no preço, escolha Managed Licenses como License Type (códigos de resgate não podem ser usados pelo Cerberus Enterprise), selecione a Organizational Unit do seu token do Apps and Books, informe o número de Licenses (até 1.000 por pedido), depois Review e compre. Um método de pagamento deve ser configurado primeiro em Settings → Payments & Billing → Apps & Services → Payment Methods. Os apps então aparecem na lista de seleção de apps. 
Apps em dispositivos pessoais (Registro de Usuário)
 iPhones e iPads pessoais registrados com o Registro de Usuário não têm número de série, então recebem os apps da App Store da política com uma licença de usuário da Conta Apple Gerenciada conectada no dispositivo. O Cerberus registra a conta no Apps and Books e atribui as licenças por conta própria, incluindo apps gratuitos. As Contas Apple Gerenciadas e o token do Apps and Books devem pertencer à mesma organização do Apple Business. Um app pago usa uma licença por conta, compartilhada por todos os dispositivos pessoais dessa conta. 
Aguardando uma licença de usuário: o app só é enviado ao dispositivo depois que a Apple confirma a licença, geralmente em poucos minutos. O painel Aplicativos do dispositivo mostra o motivo.
Falha na licença de usuário: a Apple não conseguiu atribuir a licença, por exemplo porque um app pago não tem mais licenças disponíveis. Adicione licenças no Apple Business e use Solicitar novamente; o Cerberus também tenta novamente sozinho todos os dias.
Solicitação de instalação: o iOS pergunta ao usuário antes de instalar cada app. Se o usuário cancelar, o app mostra Aguardando o usuário aprovar a instalação; Solicitar novamente exibe a solicitação de novo.
Liberação: remover o app da política, ou cancelar o registro do último dispositivo pessoal da conta, remove o app e libera sua licença, a menos que outro dispositivo registrado da mesma conta ainda precise dele.
 Para os detalhes, consulte Registro orientado por conta da Apple. 
Configuração gerenciada
 Uma configuração gerenciada fornece a um app suas configurações (por exemplo, um endereço de servidor ou um nome de conta), da forma como o fornecedor do app as documenta. Abra o app na política e clique em Adicionar configuração gerenciada. Ela é enviada a iPhones e iPads com iOS ou iPadOS 18.4 ou posterior e a Macs com macOS 27 ou posterior; ainda não é enviada ao Apple Vision Pro. O app precisa oferecer suporte a configuração gerenciada: um app que não a lê a ignora. O painel do app mostra o número de chaves ao lado do nome do app. 
Chaves: cada linha tem uma chave, um tipo e um valor. Os tipos são Texto, Inteiro, Número decimal, Booleano, Data, Lista de texto e Lista de inteiros. As chaves diferenciam maiúsculas de minúsculas e devem ser exclusivas. Adicionar chave adiciona uma linha; Remover configuração remove todas as chaves.
Variáveis: valores de Texto e Lista de texto podem conter $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$, substituídos pelos valores de cada dispositivo e do seu usuário. Uma variável sem valor (por exemplo, $EMAIL$ em um dispositivo sem usuário) é deixada vazia, e os logs do sistema registram isso. Quando os dados de um usuário mudam, os dispositivos recebem os novos valores; para usuários sincronizados do Google Directory, os valores são atualizados na próxima alteração da política ou do dispositivo.
Importar uma configuração: abra ou cole o arquivo que o fornecedor do app publica para MDM e clique em Ler. Um specfile do AppConfig (specfile.xml) lista todas as chaves compatíveis com o app, com descrição, tipo, valor padrão e valores permitidos: selecione as chaves a importar (aquelas com valor padrão já vêm selecionadas) e preencha as demais após a importação. Um aviso aparece quando o specfile é de outro app. Uma property list (uma property list inteira ou apenas seu <dict>) é importada como está. Depois, escolha se deseja substituir as chaves atuais ou adicionar a elas. Dicionários aninhados, valores de dados e listas com tipos mistos ou desconhecidos não são suportados e são listados como ignorados. A Apple não publica as chaves de configuração dos apps, então peça o arquivo ao fornecedor quando ele não estiver na documentação. Copiar como plist copia a configuração conforme o dispositivo a recebe, antes da substituição das variáveis.
Limites: até 200 chaves por app; chaves de até 255 caracteres; valores de texto de até 4.096 caracteres; listas de até 200 itens de até 1.024 caracteres cada; datas entre 1970 e 9999; 64 KB por app no total.
Não use para senhas: a configuração é enviada apenas ao dispositivo para o qual foi criada e os logs mostram apenas nomes e tipos de chaves, mas os administradores do painel podem ler os valores, e o endereço do qual o dispositivo a baixa muda com os valores, então um valor fácil de adivinhar (um booleano ou um número pequeno) pode ser inferido a partir dele. Não coloque senhas ou outros segredos em uma configuração gerenciada.
Status: quando o dispositivo informa que o app não aceitou sua configuração, o painel Aplicativos do dispositivo mostra Configuração não aceita ao lado do app. Isso não torna o dispositivo não conforme. Uma configuração que o dispositivo não consegue baixar torna o dispositivo não conforme.
Opções de apps
 Cada app da política (da App Store e apps personalizados) tem estas opções. Padrão do dispositivo deixa a escolha para o dispositivo. Dispositivos que não suportam uma opção não a recebem; o app ainda é instalado. 
Atualizações automáticas: configuração da App Store, Sempre ou Nunca. iOS, iPadOS, macOS e visionOS 26 ou posterior. Para apps personalizados, a configuração da App Store se comporta como Nunca.
Downloads via celular: configuração da App Store, Sempre ou Nunca, para instalações e atualizações automáticas. Somente iPhones e iPads supervisionados com iOS ou iPadOS 26 ou posterior.
Fazer backup dos dados do app: se os dados do app são incluídos nos backups do dispositivo. Não no Mac.
O usuário pode ocultar o app e O usuário pode bloquear o app: iOS e iPadOS 18.1 ou posterior, aplicado em dispositivos supervisionados. Não permitir o bloqueio também impede o ocultamento. As restrições Permitir que apps sejam ocultados e Permitir que apps sejam bloqueados se aplicam a todos os apps.
Bloquear o dispositivo após transações Tap to Pay que exigem o PIN do cliente: somente iPhone.
Domínios associados: os domínios aos quais o app está associado (por exemplo, para links universais ou preenchimento automático de senhas), até 50. Informe nomes de host simples como www.example.com, sem applinks:, curingas ou ?mode=. Não no Mac.
Verificar os domínios diretamente: o dispositivo verifica o arquivo de associação de site dos domínios diretamente, em vez de pelos servidores da Apple. Ative apenas para domínios internos que não podem ser acessados pela internet.
Remoção: apps instalados como Obrigatório não podem ser removidos pelo usuário.
Apps da Mac App Store
 A lista de seleção de apps mostra as plataformas de cada app (iPhone/iPad, Mac, Apple TV, Vision); um app que existe apenas para Mac mostra seu ícone de Mac. Um app que existe apenas para Mac se aplica a Macs quando você o adiciona. Um app da App Store sem versão para Mac não é enviado a Macs: a política mostra "Este app não tem versão para Mac: ele não é enviado a Macs" em Aplica-se a. Os Macs recebem apps da App Store pelo App Store ID, então apps com um bundle ID diferente no Mac são instalados corretamente. 
App Cerberus Enterprise
 O Cerberus instala seu app Cerberus Enterprise em todos os iPhones e iPads com iOS ou iPadOS 18.4 ou posterior, com ou sem política. O app compartilha a localização do dispositivo e recebe notificações e solicitações de rastreamento ao vivo. Ele é instalado como Obrigatório, com uma licença de dispositivo do Apps and Books (uma licença de usuário em dispositivos pessoais), então o usuário não pode excluí-lo. 
Configuração única: adicione o app gratuito à sua biblioteca uma vez. No Apple Business, abra Apps & Services → Apps & Books → App Store, pesquise por "Cerberus Enterprise", clique em View, depois Add, selecione All current and future em Organizational Units, clique em Add, depois Review e confirme. Se o app mostrar Manage, ele já está na sua biblioteca: abra-o e verifique se suas unidades organizacionais são All current and future units. Até lá, o painel mostra um banner e os dispositivos mostram o app como não instalado. Consulte Account settings.
Não disponível em políticas: o app não pode ser adicionado a uma política. Ele fica desativado na lista de seleção de apps e é recusado como app personalizado (mesmo bundle ID). Uma política que já o lista tem a entrada removida quando você a abre: salve a política para confirmar.
Não instalado em: dispositivos com iOS ou iPadOS anterior ao 18.4. O iPad Compartilhado é compatível com a instalação, mas os recursos do app não são verificados nele.
Dispositivos pessoais: em iPhones e iPads registrados com User Enrollment, o app também é instalado, com um aviso de instalação e uma licença de usuário da Conta Apple Gerenciada. Ele recebe mensagens da sua organização e não acessa a localização, a menos que a política ative Localização e geocercas em dispositivos pessoais e o usuário permita.
Mantido instalado: se o token do Apps and Books expirar ou o app sair da sua biblioteca, o app permanece nos dispositivos e a página do dispositivo informa que o Apps and Books precisa de atenção. Ele só é removido se o app ainda estiver ausente da sua biblioteca 24 horas depois.
Apps personalizados
 Apps personalizados são os seus próprios apps para iPhone e iPad (arquivos .ipa), distribuídos sem a App Store. No Xcode, exporte o app para distribuição Enterprise (Apple Developer Enterprise Program: ele é instalado em todos os dispositivos) ou distribuição Ad Hoc (ele é instalado apenas nos dispositivos registrados no seu perfil de provisionamento). Builds da App Store não podem ser enviados. 
 Clique em Adicionar app personalizado para abrir os apps personalizados da sua organização. Enviar app adiciona um arquivo .ipa (até 2 GB). Selecione um app e clique em Adicionar à política. A lista mostra a versão, o tipo de assinatura, o número de dispositivos no perfil de apps ad hoc e a data de expiração do perfil de provisionamento. 
Nova versão: envie um app com o mesmo bundle ID. Ele substitui a versão anterior, e os dispositivos das políticas que o usam atualizam o app.
Requisitos: iPhone e iPad com iOS 17.2 ou posterior. Dispositivos que não podem instalar o app não o recebem: um app exclusivo para iPad em um iPhone, um iOS mais antigo do que o app exige, um dispositivo que não está no perfil de um app ad hoc ou um perfil de provisionamento expirado.
Expiração: quando o perfil de provisionamento expira, o app deixa de abrir. Envie uma versão assinada com um novo perfil antes da data de expiração.
Bundle ID reservado: um app personalizado com o bundle ID do app Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) não pode ser adicionado a uma política, porque o Cerberus instala esse app por conta própria.
Excluir: remova o app das políticas dele primeiro; depois, os dispositivos o removem.
Pacotes do Mac
 Os apps personalizados também aceitam pacotes de instalação do Mac (arquivos .pkg). O pacote deve ser um pacote de distribuição criado com productbuild (um pacote de componente criado apenas com pkgbuild é recusado) e assinado com um certificado Developer ID Installer. Recomenda-se notarizá-lo e grampear o tíquete (notarytool e stapler). Pacotes não assinados, pacotes alterados depois da assinatura e pacotes assinados com outros certificados são recusados. 
 Envie o arquivo .pkg com Upload app e adicione-o à política: ele aparece em Pacotes do Mac. iPhones e iPads o ignoram. 
 Macs com macOS 26 ou posterior (supervisionados, o que inclui Macs registrados manualmente, mas não o Registro do Usuário) recebem o pacote como uma declaração: o Mac baixa, instala, tenta novamente e atualiza o pacote sozinho e informa o estado. Macs mais antigos, e pacotes instalados como apps gerenciados, o recebem com um comando MDM, em qualquer versão do macOS. Um Mac atualizado para o macOS 26 passa para a declaração sozinho; ele pode instalar cada pacote mais uma vez. O mesmo pode acontecer quando um Mac passa para outra política que tem o mesmo pacote. 
Nova versão: envie um pacote com o mesmo identificador de pacote. Ela substitui a versão anterior, e os Macs das políticas que a usam instalam a nova.
Macs ignorados: Macs com um macOS mais antigo do que o permitido pelo pacote, e Macs Intel para pacotes criados apenas para Apple silicon. A página do dispositivo mostra o pacote como Ignorado, com o motivo; a versão instalada antes permanece no Mac.
Instalação: Obrigatório (padrão) instala o pacote no Mac; Opcional deixa o pacote disponível no Mac sem instalá-lo. O macOS 26 não mostra pacotes opcionais ao usuário em Ajustes do Sistema nem na App Store (testado no macOS 26.3), então um app ou um script no Mac precisa instalá-los; escolha Opcional apenas se você tiver um. A opção se aplica a Macs com macOS 26 ou posterior; Macs mais antigos sempre instalam o pacote. A escolha não está disponível para pacotes instalados como apps gerenciados.
Remover os arquivos do pacote quando ele sai da política (macOS 27 ou posterior): quando o pacote é removido da política, Macs com macOS 27 ou posterior excluem os arquivos que ele instalou. Fica desativado por padrão. Em Macs mais antigos, os arquivos permanecem. Não disponível para pacotes instalados como apps gerenciados.
Instalar como app gerenciado: ative esta opção para um pacote da política instalar o app dele como app gerenciado (macOS 11 ou posterior, não com registro do usuário). O macOS então informa quando a instalação falha, e o MDM pode remover o app. O app deve ser instalado diretamente na pasta Aplicativos, assinado com um certificado Developer ID Application e notarizado; no macOS 11 a 13, o pacote deve conter apenas esse app (nenhum outro arquivo ou script). Os apps personalizados mostram quais pacotes são elegíveis. Quando a opção não pode ser aplicada em um Mac, o pacote é instalado lá como de costume e a página do dispositivo explica o motivo.
Opções de remoção de um app gerenciado: Remover o app quando o pacote for removido da política (ativado por padrão) e Remover o app quando o Mac sair do gerenciamento. Remover um app também exclui os dados dele. Se o usuário já tiver instalado o mesmo app, essa cópia passa a ser gerenciada e também é removida.
Remoção: o comando MDM não pode desinstalar um pacote. Para um pacote instalado como app gerenciado, removê-lo da política remove o app (quando a opção está ativada); os outros arquivos dele e o recibo do pacote permanecem. Pacotes com Remover os arquivos do pacote ativado são removidos de Macs com macOS 27 ou posterior. Outros pacotes: removê-los da política apenas interrompe novas instalações, os arquivos permanecem nos Macs. Um Mac ignorado (por exemplo, após uma nova versão que exige um macOS mais recente) mantém o app enquanto o pacote estiver na política; remover o pacote da política então também o remove. Remova os arquivos restantes no Mac (por exemplo, com o próprio desinstalador do pacote) e execute 
sudo pkgutil --forget <identifier> para esquecer o recibo do pacote.
Estado no dispositivo: o painel Aplicativos do Mac mostra cada pacote da política como Na fila, Aceito (o Mac aceitou o comando), Baixado, Instalado (somente para pacotes que contêm apps, quando os apps são encontrados no Mac) ou Falhou (com o erro). O macOS não informa a instalação de um pacote enviado com o comando, então Baixado é o último estado para pacotes sem apps. Um pacote instalado como app gerenciado também passa a Falhou quando o macOS informa que o app não pôde ser instalado ou foi removido do Mac. Instalar novamente envia o pacote ao Mac outra vez.
Estado com a declaração: pacotes entregues como uma declaração mostram o chip Declaração e o estado informado pelo Mac: Na fila, Disponível (um pacote opcional que o usuário não instalou), Aguardando o usuário, Baixando, Instalando, Instalado ou Falhou (com o motivo, por exemplo um download ou uma instalação com falha, ou uma declaração que o Mac rejeitou). O chip Arquivos removidos com a política marca os pacotes cujos arquivos um Mac com macOS 27 remove quando eles saem da política. Instalar novamente aparece apenas após uma falha e pede que o Mac tente de novo; ele não é oferecido quando o Mac rejeitou a declaração.
Contas
 O painel Contas permite configurar contas que são aplicadas a dispositivos gerenciados. Ele também inclui um alternador de restrição para modificação de contas. 
Restrição
Permitir modificação de contas: quando desativado, os usuários não podem modificar contas como Contas Apple e contas de internet. 
Adicionar contas
 Use Adicionar conta do Google ou Adicionar conta de e-mail para adicionar payloads de conta à política. Cada conta aparece como um cartão com os campos de configuração. 
Credenciais de conta dos usuários
 Os cartões de conta do Google e de e-mail oferecem um alternador Credenciais de conta dos usuários. Quando ativado, o sistema aplica as credenciais de conta por usuário. Quando desativado, você insere a identidade da conta na política. 
Campos da conta do Google
Nome visível: o nome mostrado ao usuário para a conta.
Endereço de e-mail do Google: o endereço de e-mail do usuário.
Nome completo: o nome completo do usuário.
Campos da conta de e-mail
 As contas de e-mail incluem campos de identidade e a configuração dos servidores de entrada e saída. Os nomes de host são obrigatórios. 
Nome visível: o nome mostrado ao usuário para a conta de e-mail.
Endereço de e-mail: o endereço de e-mail do usuário.
Nome completo: o nome completo do usuário.
Servidor de entrada
Tipo de servidor: protocolo de e-mail (por exemplo, IMAP ou POP).
Método de autenticação: método de autenticação do servidor.
Prefixo de caminho IMAP: mostrado somente quando o Tipo de servidor é IMAP.
Nome do host: obrigatório.
Porta: porta do servidor (1–65535).
Servidor de saída
Método de autenticação
Nome do host: obrigatório.
Porta: porta do servidor (1–65535).
Opções de S/MIME
 Para contas de e-mail, você também pode configurar o comportamento de criptografia e assinatura S/MIME. 
Criptografia
Criptografia S/MIME
Identidade substituível pelo usuário
Alternador por mensagem ativado
Substituível pelo usuário
Assinatura
Assinatura S/MIME
Identidade substituível pelo usuário
Substituível pelo usuário
 As opções de conta e restrição incluem dicas no painel que documentam os pré-requisitos e as versões de sistema operacional suportadas.

Quiosque e Tela de Início
A seção Quiosque e Tela de Início do Editor de Política da Apple bloqueia os dispositivos em um app, escolhe quais apps podem ser abertos, organiza a Tela de Início e adiciona ícones de sites. Cada configuração é instalada nos dispositivos como um perfil de configuração. 
 A Apple aplica a maioria dessas configurações somente a iPhone e iPad supervisionados (dispositivos registrados com Automated Device Enrollment ou preparados com o Apple Configurator). Outros dispositivos não as recebem. Os clipes da web também funcionam em iPhone e iPad não supervisionados. Macs não recebem nenhuma dessas configurações. 
Escolher apps
 Os apps são identificados pelo ID do pacote. Digite o nome de um app para escolhê-lo entre os apps integrados da Apple e os apps da política, ou digite qualquer ID de pacote, por exemplo 
com.example.app. 
Modo de App Único
 O dispositivo executa somente o app escolhido: os usuários não podem voltar à Tela de Início nem abrir outros apps. Instale o app com a política primeiro. O dispositivo sai do Modo de App Único quando você desativa a configuração ou remove o app. 
Opções: desative a tela de toque, a rotação, os botões de volume, a chave Silencioso/Toque, o botão lateral ou o Bloqueio Automático, e ative recursos de acessibilidade como VoiceOver ou Zoom.
Recursos de acessibilidade que o usuário pode ativar: recursos que o usuário pode ativar com um clique triplo no botão lateral.
Apps permitidos e bloqueados
Apps bloqueados: os dispositivos ocultam esses apps e não os abrem. 
com.apple.webapp bloqueia todos os web clips. Ajustes e, no iPhone, Telefone não podem ser bloqueados.
Permitir somente alguns apps: os dispositivos mostram somente esses apps. Deixe a lista vazia para permitir todos os apps. Apps da política adiciona os apps instalados pela política; 
com.apple.webapp permite todos os clipes da web.
Apps que podem iniciar o Modo de App Único: apps que podem bloquear o dispositivo neles mesmos enquanto precisam, por exemplo durante uma prova.
 Com Permitir apenas alguns apps, todo app que não estiver na lista desaparece dos dispositivos, incluindo os apps da política. Ajustes e, no iPhone, Telefone sempre permanecem. 
Layout da Tela de Início
 Organize o Dock e as páginas da Tela de Início. Adicione apps, pastas de apps e os clipes da web da política, escolhendo onde com Adicionar a, e arraste os ícones para movê-los entre o Dock e as páginas. Clique em uma pasta para alterar o nome e os apps dela. 
 Os usuários não podem mover os ícones nem remover apps da Tela de Início. Apps que não estão no layout vão para as páginas após as que você definiu. Um iPhone mostra quatro ícones no Dock. Os usuários ainda podem excluir apps que não sejam Obrigatórios na tela de armazenamento dos Ajustes. Para impedir isso, desative Permitir remoção de apps em Gerenciamento de apps. 
Clipes da web
 Um clipe da web é um ícone na Tela de Início que abre um site. Defina o rótulo e a URL, e opcionalmente uma imagem (PNG ou JPEG, cortada em um quadrado). 
Os usuários podem removê-lo: desative para manter o ícone nos dispositivos.
Tela cheia: o site abre como um web app, sem a barra de endereço do Safari. Permanecer em tela cheia em outros sites também abre os links para outros sites no web app.
Abrir com este app: um app que abre a URL em vez do Safari.
Configurações de notificações
 Escolha como os dispositivos mostram as notificações de alguns apps: se são permitidas, onde aparecem (Tela Bloqueada, Central de Notificações, CarPlay), badges, sons, alertas críticos, estilo de banner, agrupamento e prévias. Os usuários não podem alterar essas configurações. 
Mensagem da Tela Bloqueada
 Uma mensagem mostrada na parte inferior da Tela Bloqueada, por exemplo quem chamar se o dispositivo for encontrado, e uma etiqueta de patrimônio. Ambas podem conter as variáveis $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$: uma variável sem valor para o dispositivo fica vazia.

Código de acesso
A seção Configurações de código de acesso controla os requisitos de código de acesso do dispositivo e as regras de segurança relacionadas (por exemplo, comprimento mínimo e complexidade). Em um Mac (macOS 13 ou posterior, não com o Registro de Usuário), as regras se aplicam à senha de login dos usuários. 
Opções
 No Editor de Política da Apple, as opções de código de acesso são configuradas com uma combinação de alternadores e campos numéricos. Muitos campos incluem dicas que indicam as versões de SO suportadas e os requisitos de supervisão. 
Alternadores de código de acesso
Alterar na próxima autenticação: força a redefinição do código de acesso na próxima vez que o usuário se autenticar.
Exigir código de acesso alfanumérico: exige pelo menos um caractere alfabético e um número. 
Exigir código de acesso complexo: exige um código de acesso “complexo” (sem padrões repetidos/sequenciais e pelo menos um caractere não alfanumérico). 
Exigir código de acesso: exige um código de acesso sem requisitos adicionais de comprimento/qualidade. Observação: definir outras chaves de código de acesso implicitamente exige um código de acesso. 
Campos numéricos
Redefinição de tentativas com falha (minutos): minutos antes de o contador de tentativas com falha ser redefinido (requer Máximo de tentativas com falha).
Máximo de tentativas com falha: tentativas com falha permitidas antes de um iPhone ou iPad ser apagado, ou um Mac ser bloqueado (intervalo: 2–11).
Período de carência máximo (minutos): por quanto tempo o dispositivo pode ficar desbloqueado sem exigir o código de acesso (0 = nenhum).
Inatividade máxima (minutos): tempo ocioso antes de o dispositivo ser bloqueado (intervalo: 0–15).
Idade máxima do código de acesso (dias): idade máxima do código de acesso antes de uma alteração forçada (intervalo: 0–730).
Mínimo de caracteres complexos: número mínimo de caracteres “complexos” (intervalo: 0–4).
Comprimento mínimo: comprimento mínimo do código de acesso (intervalo: 0–16).
Limite de reutilização de código de acesso: tamanho do histórico de códigos de acesso para impedir a reutilização de códigos antigos (intervalo: 1–50).

Restrições
As seções Restrições controlam quais recursos do SO são permitidos em dispositivos Apple gerenciados. No Editor de Política da Apple, essas opções são exibidas como painéis agrupados com vários alternadores. 
 Os alternadores dos painéis Gerenciamento de apps e Rede são descritos nas páginas Apps e perfis e Rede das políticas Apple. 
 Muitas restrições são suportadas somente em versões específicas do SO e podem exigir dispositivos supervisionados. Use as dicas no painel para obter os requisitos oficiais. 
 Em dispositivos com Registro do Usuário (dispositivos pessoais registrados ao entrar com uma conta de trabalho), as restrições que a Apple não permite neles não são enviadas. Se nenhuma das restrições da política se aplicar, esses dispositivos não recebem perfil de restrições. O editor de política mostra quantas restrições não se aplicam a dispositivos com Registro do Usuário. 
Segurança
Permitir desbloqueio automático
Permitir impressão digital para desbloquear
Permitir modificação da impressão digital
Permitir apagar conteúdo e ajustes
Permitir ativação de restrições
Permitir instalação de perfis pelos usuários
Permitir emparelhamento com host
Permitir envio de diagnósticos
Permitir alteração do envio de diagnósticos
Permitir publicidade personalizada da Apple
Permitir alteração do Gerenciamento Remoto
Multimídia
Permitir câmera
Permitir modificação do Compartilhamento de Arquivos
Permitir acesso a unidades USB no app Arquivos
Permitir gravação de chamadas
Permitir AirPrint
Permitir armazenamento de credenciais do AirPrint
Permitir descoberta de iBeacon para AirPrint
Celular
Permitir modificação de dados celulares por app
Permitir modificação de plano celular
Permitir modificação do eSIM
Permitir transferências de saída do eSIM
Manter o eSIM quando o dispositivo for apagado
Permitir busca em segundo plano durante roaming
APN de celular
APN de celular define o nome do ponto de acesso (APN) que sua operadora forneceu, por exemplo para uma rede móvel privada ou corporativa. Defina o nome do ponto de acesso e, se a operadora pedir, a autenticação (PAP ou CHAP), o nome de usuário (variáveis como $EMAIL$ são permitidas), a senha, as versões de IP (também em roaming), um servidor proxy com a porta e o XLAT464. Ative APN de conexão somente se a operadora fornecer um APN separado para conectar à rede. 
Somente iPhone e iPad com celular o recebem, também sem supervisão. Dispositivos registrados com o Registro do Usuário (dispositivos pessoais) não o recebem.
Ele se aplica somente ao SIM usado para dados celulares. Um dispositivo que já tem um perfil de APN instalado de outra forma não o instala.
A senha é protegida como as outras senhas de rede: o perfil é enviado somente ao dispositivo para o qual foi criado e a senha não é gravada nos registros.
 Um APN errado deixa os dispositivos sem dados celulares: teste as configurações em um dispositivo de teste com um SIM da operadora primeiro. 
Sistema e interface do usuário
Permitir Handoff
Permitir correção automática
Permitir escurecimento automático
Permitir protetor de tela automático
Permitir teclado QuickPath
Permitir consulta de definições
Permitir alteração do nome do dispositivo
Permitir repouso do dispositivo
Permitir Espelhamento do iPhone
Permitir widgets do iPhone no Mac
Permitir atalhos de teclado
Apps e serviços da Apple
Permitir iMessage
Permitir Game Center
Permitir adicionar amigos no Game Center
Permitir Buscar dispositivo
Permitir Buscar amigos
Permitir alteração de Buscar amigos
Permitir Livraria
Permitir conteúdo erótico da Livraria
Permitir backup de livros corporativos
Permitir sincronização de metadados de livros corporativos
Permitir iTunes Store
Permitir conteúdo explícito
Siri e Apple Intelligence
Permitir Siri
Permitir conteúdo gerado pelo usuário no Siri
Permitir Siri com o dispositivo bloqueado
Permitir ditado
Permitir integrações de inteligência externas
Permitir login em inteligência externa
Permitir Genmoji
Permitir Image Playground
Permitir Image Wand
iCloud
Permitir catálogo de endereços do iCloud
Permitir backup do iCloud
Permitir favoritos do iCloud
Permitir calendário do iCloud
Permitir Área de Trabalho e Documentos do iCloud
Permitir sincronização de documentos do iCloud
Permitir Freeform do iCloud
Permitir sincronização do chaveiro do iCloud
Permitir Mail do iCloud
Permitir Notas do iCloud
Permitir Biblioteca de Fotos do iCloud
Permitir Retransmissão Privada do iCloud
Permitir Lembretes do iCloud
Contas (restrição)
 O painel Contas contém tanto uma restrição quanto (opcionalmente) a configuração de contas. O botão de restrição controla se o usuário pode modificar as contas do sistema. 
Permitir modificação de conta

Rede
A seção Rede do Editor de Política da Apple configura redes Wi-Fi e VPNs nos dispositivos, instala certificados e restringe recursos de conectividade como AirDrop e Bluetooth. Cada rede Wi-Fi, VPN e certificado é instalado como seu próprio perfil de configuração, que você pode ver no dispositivo em Configurações > Geral > VPN & Gerenciamento de Dispositivos (Mac: Ajustes do Sistema > Geral > Gerenciamento de Dispositivos, ou Privacidade e Segurança > Perfis no macOS 13 e 14) e no painel Perfis, certificados e segurança da página do dispositivo. 
 Os certificados são obtidos na página Certificados: importe-os lá primeiro. A política apenas se refere a eles, então um certificado nunca é copiado na política. 
Restrições
Permitir AirDrop
Permitir solicitações recebidas do AirPlay
Permitir modificação do Bluetooth
Permitir modificação do Compartilhamento Bluetooth
Permitir acesso a unidades de rede no app Arquivos
Permitir modificação do Compartilhamento de Internet
Permitir cache de conteúdo
Permitir compartilhamento de arquivos do iTunes
Redes Wi-Fi
Clique em Adicionar rede Wi-Fi e preencha:
Nome da rede (SSID): o nome da rede, com até 32 caracteres.
Segurança: nenhuma (rede aberta), WEP, WPA ou WPA2, WPA2 ou WPA3, somente WPA3, ou qualquer uma.
Senha: a senha de uma rede pessoal.
Entrar automaticamente e Rede oculta (para redes que não transmitem o nome).
Proxy: nenhum, manual (servidor e porta) ou automático (uma URL de arquivo PAC, ou vazio para encontrar as configurações na rede com WPAD).
Nome do perfil (opcional) e Aplica-se a, para limitar a rede a alguns tipos de dispositivo.
Redes corporativas (802.1X)
 Ative Corporativa (802.1X) quando os usuários se autenticam com as próprias credenciais ou um certificado em vez de uma senha compartilhada. 
Autenticação: PEAP, TTLS (com a autenticação interna dele, por exemplo MSCHAPv2) ou TLS (somente certificado).
Credenciais do usuário do dispositivo: cada dispositivo usa a identidade EAP, a identidade anônima e a senha do usuário dele, definidas na página Usuários. Dispositivos sem um usuário não recebem a rede.
Identidade, Identidade anônima e Senha: iguais para todos os dispositivos. A identidade pode conter as variáveis $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$. Deixe a senha vazia para permitir que o usuário a digite no dispositivo.
Certificado de identidade: o certificado de cliente que o dispositivo apresenta (obrigatório para TLS). Consulte as opções de certificado abaixo.
Certificados confiáveis: os certificados da CA que emitiram o certificado do seu servidor RADIUS. Eles são instalados com a rede.
Nomes de servidor confiáveis: os nomes dos certificados do servidor RADIUS que os dispositivos aceitam, por exemplo radius.example.com ou *.example.com.
VPN
 Clique em Adicionar VPN para configurar uma VPN IKEv2 ou Cisco IPSec, integrada ao iOS, iPadOS e macOS (não é necessário um app de VPN). 
Tipo e Servidor. Para IKEv2, também o Identificador remoto (a identidade do servidor, vazio significa o endereço do servidor) e o Identificador local, que pode conter as variáveis $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$.
Autenticação do dispositivo: um certificado (da página Certificados, o certificado do usuário do dispositivo, ou solicitado a um servidor SCEP), um segredo compartilhado (com o nome do grupo opcional para IPSec), ou nenhuma para servidores IKEv2 que verificam apenas o nome de usuário e a senha.
Certificados confiáveis: os certificados da CA do seu servidor VPN, instalados com a VPN. Para IKEv2, você também pode definir o emissor e o nome esperados do certificado do servidor.
Nome de usuário e senha: o usuário também se autentica com um nome de usuário (variáveis permitidas) e uma senha (EAP para IKEv2, XAuth para IPSec). Deixe a senha vazia para permitir que o usuário a digite no dispositivo.
Nome da VPN (mostrado em Ajustes) e Aplica-se a.
Conexão
O usuário se conecta em Ajustes: a VPN é instalada e o usuário a ativa quando precisar.
Sob demanda: o dispositivo conecta a VPN automaticamente. Com exceto em Wi-Fi confiável, a VPN não é usada nas redes Wi-Fi que você listar, por exemplo a rede do escritório.
Sempre ativa (IKEv2, somente iPhone e iPad supervisionados): todo o tráfego passa pela VPN em celular e Wi-Fi e o usuário não pode desativá-la. Outros dispositivos não recebem esta VPN. Se a VPN usar um nome de usuário, a senha deve ser definida na política.
VPN por app: somente alguns apps usam a VPN. Escolha a VPN de cada app na seção Gerenciamento de apps (campo VPN do app, não disponível no Mac), e opcionalmente liste domínios do Safari que a usam.
 Teste uma VPN sempre ativa ou sob demanda em um dispositivo de teste primeiro: se o servidor não puder ser alcançado, o dispositivo pode ficar sem conexão. 
Proxy global, DNS criptografado e filtro de conteúdo da web
Essas configurações se aplicam a todo o tráfego do dispositivo. Ative-as com o alternador correspondente.
Proxy HTTP global (iPhone e iPad supervisionados, Mac): todo o tráfego HTTP passa pelo proxy, em todas as redes. Defina o servidor e a porta (com um nome de usuário e senha opcionais) ou uma configuração automática (URL de arquivo PAC, ou vazio para encontrá-la na rede). Permitir páginas de login de Wi-Fi permite que o usuário entre em redes Wi-Fi públicas sem o proxy.
DNS criptografado: o dispositivo resolve nomes com o seu servidor DNS por DNS over HTTPS (URL do servidor) ou DNS over TLS (nome do servidor), opcionalmente somente para alguns domínios. Em dispositivos supervisionados, você pode impedir que o usuário o desative.
Filtro de conteúdo da web (iPhone e iPad supervisionados): o filtro integrado ao iOS limita sites adultos, com listas de sites sempre permitidos ou sempre bloqueados, ou permite somente uma lista de sites, mostrada como favoritos no Safari.
 Um proxy ou servidor DNS errado pode deixar os dispositivos sem conexão: teste as configurações em um dispositivo de teste primeiro. 
Certificados
 Clique em Adicionar certificado para instalar um certificado de forma independente: uma autoridade de certificação em que o Safari e os apps devem confiar, ou uma identidade usada por apps. Os certificados de uma rede Wi-Fi ou de uma VPN não precisam ser adicionados aqui. 
Opções de certificado
Um certificado da página Certificados: o mesmo certificado em todos os dispositivos. Clique em Escolher um certificado para escolhê-lo.
O certificado do usuário do dispositivo: cada dispositivo recebe o certificado de cliente vinculado ao usuário dele. Dispositivos cujo usuário não tem um certificado não o recebem. Quando você vincula outro certificado ao usuário, os dispositivos são atualizados.
Solicitado a um servidor SCEP: cada dispositivo solicita o próprio certificado ao seu servidor SCEP (por exemplo Microsoft NDES), então a chave privada nunca sai do dispositivo. Defina a URL do servidor, o desafio se o servidor exigir, o assunto (por exemplo CN=$EMAIL$), os nomes alternativos, o tamanho da chave e o uso da chave.
 Certificados de cliente (.p12) protegidos com a antiga criptografia RC2 não podem ser instalados em dispositivos Apple. Exporte-os novamente com criptografia 3DES ou AES antes de importá-los. 
Segurança
 Perfis que contêm senhas ou chaves privadas são enviados somente ao dispositivo para o qual foram criados: o dispositivo deve assinar a solicitação com o certificado de gerenciamento dele. Senhas e certificados não são gravados nos registros.

Atualizações de software
A seção Atualizações de software do Editor de Políticas da Apple mantém os dispositivos atualizados: ela pode exigir uma versão específica do sistema operacional até um prazo e controlar como os dispositivos baixam e instalam atualizações. 
Atualizações de SO obrigatórias
 Clique em Adicionar atualização obrigatória para exigir uma versão do SO. O dispositivo baixa a atualização, informa o usuário sobre o prazo e a instala no prazo se o usuário ainda não a tiver feito. Dispositivos que já executam essa versão ou uma posterior a ignoram. Requer iOS e iPadOS 17 ou macOS 14. 
Aplica-se a (obrigatório): iPhone e iPad, ou Mac. Cada SO tem seus próprios números de versão, então adicione uma atualização obrigatória para cada um.
Versão do SO: a versão a instalar, por exemplo 18.5 ou 15.4.1.
Build (opcional): uma build específica, por exemplo um beta ou uma Melhoria de Segurança em Segundo Plano.
Instalar até: o prazo, no horário local de cada dispositivo. Uma data no passado faz os dispositivos instalarem a atualização o quanto antes.
URL de detalhes (opcional): uma página da web sobre a atualização, exibida ao usuário.
 O dispositivo relata o progresso da atualização (download, instalação, falhas) no painel Status do dispositivo da página do dispositivo. 
Configurações de atualização de software
 Ative Configurações de atualização de software para iPhone e iPad ou Configurações de atualização de software para Mac para controlar as atualizações nesses dispositivos. Quando um botão está desativado, os dispositivos mantêm suas próprias configurações. Requer iOS e iPadOS 18 ou macOS 15: dispositivos mais antigos ignoram essas configurações. 
Adiar atualizações: as novas atualizações são mostradas ao usuário somente após o número de dias informado (1 a 90). Em um Mac, você pode definir períodos diferentes para atualizações principais, secundárias e outras atualizações do sistema.
Atualizações mostradas ao usuário (iPhone e iPad): quando mais de uma atualização estiver disponível, mostrar todas, somente a atualização secundária mais antiga ou somente a mais recente.
Usuários padrão podem instalar atualizações (Mac): usuários sem direitos de administrador podem instalar atualizações do macOS.
Notificar o usuário sobre atualizações obrigatórias: mostrar as notificações sobre as atualizações obrigatórias e seu prazo.
Download automático, Instalação automática e Atualizações de segurança automáticas: deixe o usuário decidir (padrão da Apple) ou mantenha-as sempre ativadas ou sempre desativadas.
Melhorias de Segurança em Segundo Plano: ofereça as correções de segurança rápidas da Apple ao usuário e escolha se ele pode removê-las.
Programas beta: permita que o usuário participe dos programas beta da Apple ou remova o dispositivo deles e os bloqueie (no iPhone e iPad, somente dispositivos supervisionados).
Instalar uma atualização na página do dispositivo
 O painel Status do dispositivo de um dispositivo lista as atualizações disponíveis para ele. Use Verificar atualizações para solicitar a lista ao dispositivo e Instalar para instalar uma agora ou baixá-la e deixar o usuário instalá-la. Isso funciona em iPhones e iPads supervisionados e em Macs. A Apple remove esses comandos no iOS, iPadOS e macOS 27: nessas versões, use as atualizações obrigatórias da política.

macOS
A seção macOS do Editor de Política da Apple gerencia as configurações de segurança, privacidade e login dos Macs: FileVault, firewall, Gatekeeper, protetor de tela e bloqueio, armazenamento externo e de rede, Compartilhamento de Tela, permissões de privacidade, itens de login e as extensões de sistema e de kernel permitidas para carregar. Ela também instala arquivos de configuração de serviços do sistema e tarefas em segundo plano. Os outros dispositivos da política não recebem essas configurações. Ative uma configuração para gerenciá-la; enquanto estiver desativada, os usuários mantêm as próprias escolhas. 
 A maioria das configurações é instalada no Mac como perfis de configuração, visíveis em Ajustes do Sistema > Geral > Gerenciamento de Dispositivos. FileVault, permissões de privacidade, itens de login e as configurações de extensões precisam de MDM aprovado pelo usuário: em um Mac registrado com a URL de registro ou o código QR, o usuário aprova o perfil de registro em Ajustes do Sistema. A página do dispositivo mostra isso no campo MDM aprovado pelo usuário. Quando o usuário aprova depois, o Mac recebe essas configurações automaticamente. 
FileVault
 O FileVault criptografa o disco do Mac. Com esta configuração ativada, os usuários são solicitados a ativar o FileVault com a senha deles, e o Mac envia a chave de recuperação pessoal ao Cerberus Enterprise, criptografada com uma chave que pertence somente à sua organização. A chave é mostrada e alterada no campo FileVault da página do dispositivo (consulte Comandos do dispositivo). A configuração precisa do macOS 13 ou posterior e de MDM aprovado pelo usuário; sem MDM aprovado pelo usuário, o Mac não é solicitado a ativar o FileVault, mas, se um usuário o ativar, a chave dele é armazenada. 
Obrigatório no login: no próximo login, após um número de pulos (o usuário é solicitado de novo a cada login e no logout), ou somente quando o usuário faz logout.
Não perguntar no logout: o usuário é solicitado somente no login. Não pode ser combinado com "Solicitado somente no logout".
Mostrar a chave de recuperação ao usuário: desativado por padrão, então somente os administradores conhecem a chave, na página do dispositivo.
Impedir a desativação do FileVault: ativado por padrão.
Remover a chave da memória em espera: o usuário digita a senha de novo quando o Mac desperta da espera.
Onde a chave é mantida: texto mostrado ao usuário na janela de login, por exemplo quem chamar para recuperar o Mac (padrão "Cerberus Enterprise").
 Um Mac que já estava criptografado quando recebeu a configuração mantém a chave atual, que o Cerberus Enterprise não recebe: a chave é armazenada somente depois que o usuário desativa e ativa o FileVault de novo (com "Impedir a desativação do FileVault" desativado). Desativar a configuração, ou remover o Mac do gerenciamento, não desativa o FileVault, e a chave armazenada continua funcionando. A configuração não pode ser salva quando o servidor não está configurado para armazenar chaves de recuperação. 
Firewall
Ativar o firewall: quando está desativado, o firewall permanece desativado e os usuários não podem ativá-lo.
Bloquear todas as conexões de entrada: somente os serviços de rede básicos (DHCP, Bonjour, IPSec) podem receber conexões.
Modo furtivo: o Mac não responde a solicitações de ping nem a conexões para portas fechadas.
Permitir software integrado e Permitir apps assinados baixados para receber conexões sem perguntar ao usuário (macOS 12.3 ou posterior).
Regras para apps específicos: permita ou bloqueie as conexões de entrada de um app, pelo ID do pacote.
Gatekeeper
 O Gatekeeper verifica os apps antes de abri-los. Escolha se os Macs abrem somente apps da App Store, ou também os apps de desenvolvedores identificados. Com o Gatekeeper desativado, qualquer app pode ser aberto, inclusive apps não assinados ou danificados. No macOS 15 ou posterior, você também pode escolher se os usuários são solicitados a enviar malware bloqueado à Apple. 
Protetor de tela e bloqueio
 Inicie o protetor de tela após um tempo de inatividade e peça a senha quando o protetor de tela iniciar ou a tela entrar em repouso, imediatamente ou após um atraso. Uma configuração deixada como Não gerenciada permanece a escolha do usuário. 
Armazenamento externo e de rede
 Permita, torne somente leitura ou bloqueie o armazenamento externo (unidades USB, cartões SD, discos externos) e o armazenamento de rede (compartilhamentos de arquivos) dos Macs. Precisa do macOS 15 ou posterior. 
Compartilhamento de Tela
 Limites das pessoas que se conectam a esses Macs com o Compartilhamento de Tela: copiar arquivos de ou para o Mac, conexões de alto desempenho e o número de telas virtuais. Ativar o Compartilhamento de Tela continua sendo uma escolha do usuário. Precisa do macOS 14 ou posterior. 
Permissões de privacidade
 Conceda ou negue aos apps o acesso que os usuários normalmente permitiriam em Ajustes do Sistema > Privacidade e Segurança, por exemplo Acesso Total ao Disco para um app de backup, ou negue a câmera a um app. Para cada permissão, escolha: 
Permissão: Acesso Total ao Disco, Acessibilidade, Automação, as pastas, contatos, calendários, fotos, câmera, microfone, gravação de tela e as outras de Privacidade e Segurança.
Acesso: permitir ou negar. A câmera, o microfone, a gravação de tela e o monitoramento de entrada não podem ser permitidos por um perfil, apenas negados; para gravação de tela e monitoramento de entrada, você pode permitir que os usuários os autorizem também sem direitos de administrador.
App: o ID do pacote de um app, ou o caminho de um programa (por exemplo, uma ferramenta de linha de comando).
Requisito de código: identifica o app pela assinatura. Obtenha-o no Terminal com 
codesign -dr - /Applications/Example.app e copie o texto após 
designated =>.
Automação também precisa do app controlado (por exemplo, o Finder) e do requisito de código dele.
Itens de login e em segundo plano
 Os itens de login e itens em segundo plano que correspondem às regras são gerenciados: eles são executados sem perguntar, e os usuários não podem desativá-los em Ajustes do Sistema > Geral > Itens de Login. Uma regra corresponde ao ID da equipe de desenvolvedor de um app, ao ID do pacote dele ou ao rótulo de um daemon ou agente de inicialização (também pela primeira parte deles). Precisa do macOS 13 ou posterior. 
Extensões do sistema
 As extensões do sistema são a forma moderna de os apps estenderem o macOS: filtros de rede e VPNs, agentes e drivers de segurança de endpoint. Com esta configuração ativada, as extensões do sistema das equipes de desenvolvedor listadas carregam sem perguntar ao usuário. Precisa do macOS 10.15 ou posterior e de MDM aprovado pelo usuário. 
ID da equipe: o ID de equipe de 10 caracteres do desenvolvedor (por exemplo, nos detalhes "Assinado por" do app, ou com 
codesign -dv). Cada equipe pode aparecer somente uma vez.
Permitir: todas as extensões da equipe, ou somente as extensões com os IDs de pacote listados.
Tipos: limita a equipe a extensões de driver, de rede ou de segurança de endpoint. Sem nenhum selecionado, todos os tipos são permitidos.
Remoção (somente para extensões listadas): o app pode remover a extensão dele sem um administrador (macOS 12 ou posterior), a extensão não pode ser desativada nem removida enquanto a Proteção de Integridade do Sistema estiver ativada, ou ela não pode ser removida em Ajustes do Sistema e no Finder (macOS 15 ou posterior). Macs com um macOS mais antigo ainda permitem a extensão, sem a opção de remoção.
Os usuários podem aprovar outras extensões do sistema: ativado por padrão. Quando desativado, somente as extensões permitidas por um perfil podem carregar; se qualquer perfil no Mac o desativar, ele fica desativado.
 No macOS 11.3 ou posterior, remover esta configuração desativa as extensões do sistema que ela permitia, por exemplo um agente de segurança ou um filtro de rede. Isso acontece quando a configuração é desativada, quando a política é excluída e quando o Mac passa para uma política sem ela. O editor pede confirmação antes de desativar a configuração. 
Extensões de kernel (legado)
 As extensões de kernel são a forma mais antiga e obsoleta de estender o macOS: prefira as extensões do sistema quando o fornecedor as oferecer. As extensões de kernel das equipes listadas (todas as extensões de uma equipe, ou somente os IDs de pacote listados) carregam sem perguntar ao usuário, após uma reinicialização. Precisa do macOS 10.13.2 ou posterior e de MDM aprovado pelo usuário. 
Os usuários podem aprovar outras extensões de kernel: desativado por padrão, então somente as equipes listadas podem carregar extensões de kernel.
Usuários padrão também podem aprová-las: com as aprovações do usuário ativadas, os usuários sem direitos de administrador também podem aprová-las (macOS 11 ou posterior).
 Em Macs com Apple silicon, um perfil sozinho não basta: alguém precisa iniciar o Mac no recoveryOS, escolher Segurança Reduzida no Utilitário de Segurança de Inicialização e permitir o gerenciamento de extensões de kernel pelo usuário a partir de desenvolvedores identificados. O Mac também pode precisar de um Bootstrap Token guardado no Cerberus Enterprise para aprová-las (consulte o campo Bootstrap Token da página do dispositivo). 
Arquivos do Mac
 Os arquivos de configuração de serviço e as tarefas em segundo plano usam arquivos que você envia para os Arquivos do Mac da sua organização: arquivos zip e listas de propriedades (.plist) de até 20 MB. Envie, verifique onde são usados ou exclua-os com o botão Arquivos do Mac da seção macOS, ou com Escolher arquivo em uma configuração. Um arquivo usado por uma política não pode ser excluído. Para alterar um arquivo, envie a nova versão e escolha-a na política: os Macs a baixam novamente. 
Arquivos de configuração de serviço
 Instala os arquivos de configuração de um serviço do sistema a partir de um arquivo zip. Os serviços integrados são o servidor SSH (sshd), o sudo, o PAM, a impressão (CUPS), o servidor web Apache, o bash, o zsh, o login com cartão inteligente e a autorização. Você também pode usar seu próprio serviço, com um identificador de DNS reverso como 
com.example.service: ele encontra os arquivos com a biblioteca de arquivos de configuração gerenciados do macOS. Cada serviço pode ter uma configuração. Precisa do macOS 14 ou posterior. 
 Um serviço integrado usa somente os arquivos do arquivo zip e ignora os próprios arquivos dele, por exemplo /etc/ssh para o sshd: coloque toda a configuração no arquivo zip, em pastas que começam na raiz do disco (por exemplo 
etc/ssh/sshd_config). Os arquivos são somente leitura no Mac, e são removidos com a configuração. Teste o arquivo zip em um Mac primeiro: uma configuração errada de sudo ou PAM pode impedir os usuários de entrar ou de usar direitos de administrador. 
Tarefas em segundo plano
 Programas e scripts que são executados em segundo plano, iniciados pelo launchd. Os usuários não podem desativá-los, e eles são removidos com a configuração. Precisa do macOS 15 ou posterior. Para cada tarefa, escolha: 
Identificador da tarefa: um identificador de DNS reverso, como 
com.example.task, diferente para cada tarefa.
Programas e scripts (opcional): um arquivo zip que o Mac descompacta em 
/var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/ seguido do identificador da tarefa. Mantenha a permissão de execução dos arquivos e não coloque listas de propriedades nele.
Listas de propriedades do launchd: os trabalhos que iniciam os programas, carregados como um daemon (para todo o sistema, como root) ou como um agente (em cada sessão do usuário). Refira-se aos programas pelo caminho deles na pasta acima.
 Uma tarefa precisa dos programas ou de pelo menos uma lista de propriedades. Quando os arquivos mudam, os Macs reiniciam a tarefa.

Localização e geocercas
A seção Localização e geocercas do Editor de Política da Apple define áreas, por exemplo um local ou um depósito. iPhones e iPads com o app Cerberus Enterprise informam quando entram ou saem de uma dessas áreas, e as regras de evento podem reagir a isso: enviar um e-mail, bloquear ou desativar o dispositivo, ou ativá-lo novamente. Macs não usam geocercas. 
Campos da geocerca
 Use Adicionar geocerca para criar uma nova entrada. Uma política pode conter até 10 geocercas, e os nomes delas devem ser exclusivos dentro da política. Cada geocerca contém estes campos: 
Nome: obrigatório e exclusivo.
Latitude e Longitude: o centro da área. Você também pode clicar no mapa para defini-lo.
Raio (m): obrigatório, de 200 a 10000 metros.
Descrição: notas opcionais para administradores.
Informar entrada e Informar saída: escolha quais eventos são gerados. Pelo menos um deve permanecer ativado.
Ativa: ativa ou desativa a geocerca sem excluí-la.
 Cada geocerca tem uma prévia no mapa. O centro e o raio de uma geocerca salva ficam bloqueados: use o botão de cadeado no mapa para alterá-los. Os outros botões centralizam o mapa na área ou na sua localização atual. 
 Quando você salva a política, o Cerberus Enterprise pede que os iPhones e iPads da política obtenham as novas geocercas. Isso geralmente leva alguns minutos, mas o iOS pode atrasar, por exemplo no Modo de Pouca Energia ou sem conexão de rede. A página do dispositivo mostra quando o app ainda não aplicou as geocercas mais recentes. 
Requisitos
 As geocercas funcionam em iPhones e iPads com o app Cerberus Enterprise. Macs as ignoram. No dispositivo: 
o app Cerberus Enterprise está instalado (o Cerberus o instala) e o usuário o abriu pelo menos uma vez;
o acesso à localização do app está definido como Sempre;
Localização Precisa está ativada para o app;
Atualização em Segundo Plano está ativada.
Localização e geocercas em dispositivos pessoais, no topo da seção, fica desativado por padrão. Enquanto estiver desativado, o Cerberus não coleta a localização de dispositivos pessoais (Registro do Usuário), os eventos de geocerca deles não são gerados e a página do dispositivo deles não oferece Localizar nem rastreamento ao vivo. Quando você o ativa, os dispositivos pessoais da política compartilham a localização e os eventos de geocerca como os dispositivos da empresa, mas somente se o usuário permitir a localização para o app Cerberus Enterprise; o app explica isso ao usuário antes de o iOS perguntar. Sua organização é responsável por informar os usuários e por seguir as regras locais sobre a localização de funcionários. O Modo Perdido e a solicitação de localização do MDM nunca estão disponíveis em dispositivos pessoais (a Apple não os permite). 
 No Modo de Pouca Energia, as geocercas continuam funcionando, mas o iOS informa a saída de uma área mais tarde e com uma localização menos precisa, e pode atrasar em horas a obtenção de novas geocercas depois de uma alteração na política, até o app ser executado novamente (por exemplo, na próxima travessia ou quando o usuário o abre). 
Como os eventos chegam
 O iOS monitora as áreas para o app e o desperta quando o dispositivo cruza uma fronteira, também quando o app não está aberto. Os eventos podem chegar alguns minutos depois da travessia, e uma área pequena ou uma visita curta podem passar despercebidas: o iOS precisa que o dispositivo se afaste da fronteira e permaneça lá por algum tempo. 
 Se o app não puder ser executado, por exemplo após uma reinicialização antes de o dispositivo ser desbloqueado, o servidor também detecta a travessia a partir das localizações que o app envia, mais tarde. Cada travessia dispara as regras de evento uma vez, seja o app ou o servidor a detectar. 
 Quando o app não entra em contato com o servidor por várias horas, o servidor pede ao iOS que o desperte para que ele possa verificar as geocercas novamente. O iOS não garante essas solicitações. 
Página do dispositivo
 Na página do dispositivo, a aba Geocerca do painel Mapa de localização mostra as transições do dispositivo. Quando a política tem geocercas ativas, uma linha de status informa se a geocerca funciona no dispositivo, ou por que não funciona: o app não entrou em contato com o servidor ou precisa ser atualizado, o acesso à localização não é Sempre, Localização Precisa ou Atualização em Segundo Plano está desativada, o Modo de Pouca Energia estava ativado quando o app informou suas configurações pela última vez, ou o app ainda não aplicou as geocercas mais recentes. 
 As transições de geocerca e as localizações são mantidas por 90 dias e os dados mais antigos são excluídos automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então ele continua nos mapas. 
Limitações
Copiar uma política não copia as geocercas dela: adicione-as novamente na cópia.
Os eventos de geocerca em iPhones e iPads dependem do melhor esforço: o iOS decide quando o app pode ser executado.
 Para reagir a eventos de geocerca, crie uma regra de evento para Dispositivo entra em uma geocerca ou Dispositivo sai de uma geocerca. Consulte Regras de evento.

Contas
A seção Contas do Editor de políticas da Apple adiciona contas de e-mail, Exchange, Google, calendário, contatos e diretório ao iPhone, iPad e Mac. Clique em Adicionar conta e escolha o tipo. A seção também contém a restrição Permitir modificação da conta (dispositivos supervisionados). 
 Em um Mac (macOS 13 ou posterior), as contas são instaladas na sessão dos usuários registrados no gerenciamento, geralmente o usuário que registrou o Mac, quando ele está conectado. A página do dispositivo lista esses usuários em Usuários do Mac, com o estado das contas deles. As contas que usam o endereço de e-mail do usuário do dispositivo usam o usuário atribuído ao Mac no Cerberus Enterprise. 
Configurações comuns
Nome e e-mail do usuário do dispositivo (Mail, Exchange, Google): cada dispositivo usa o nome e o endereço de e-mail do seu usuário, definidos na página Usuários (para Google, a conta Google do usuário). Dispositivos sem usuário, ou cujo usuário não tem endereço de e-mail, não recebem a conta. Caso contrário, defina um endereço de e-mail e um nome completo fixos.
Nome da conta (opcional): o nome da conta em Configurações e nos apps.
Nome de usuário e Senha (opcional): o nome de usuário pode conter as variáveis $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$. Deixe a senha vazia para o usuário digitá-la no dispositivo, ou deixe ambos vazios para o usuário digitá-los.
Aplica-se a: limita a conta a alguns tipos de dispositivo.
Tipos de conta
Conta de e-mail: servidor de entrada IMAP ou POP e servidor de saída, com suas portas e autenticação. O servidor de saída pode usar o mesmo nome de usuário e senha do servidor de entrada.
Conta Exchange (Exchange ActiveSync): o servidor, ou vazio para encontrá-lo a partir do endereço de e-mail. Escolha os serviços (e-mail, contatos, calendários, lembretes, notas) e se o usuário pode alterá-los. Com Autenticação moderna (OAuth), o usuário entra pela página do seu provedor de identidade, por exemplo Microsoft 365. Um Certificado de autenticação (iOS 17 ou posterior) autentica o dispositivo com um certificado.
Conta Google: o usuário entra na conta Google com o endereço de e-mail informado.
Conta de calendário (CalDAV) e Conta de contatos (CardDAV): o servidor, a porta e o caminho.
Diretório (LDAP): o servidor e a porta, e as pesquisas (base de pesquisa, escopo e descrição) usadas para procurar contatos.
Calendário assinado: a URL do calendário (https, http ou webcal).
S/MIME
 As contas Mail e Exchange podem assinar e criptografar mensagens com S/MIME (iOS 17 ou posterior). Para cada uma, escolha o certificado: um da página Certificados, o certificado do usuário do dispositivo ou solicitado a um servidor SCEP. Você pode permitir que o usuário o desative, escolha outro certificado e, para criptografia, exiba um interruptor para cada mensagem. 
Segurança
 Senhas e certificados não fazem parte das configurações enviadas aos dispositivos: cada dispositivo baixa suas próprias credenciais do Cerberus Enterprise, assinando a solicitação com seu certificado de gerenciamento. Eles não são gravados nos logs.

Regras de conformidade
A seção Regras de conformidade do Editor de Política da Apple define requisitos para os dispositivos da política. Um dispositivo que viola uma regra fica sem conformidade imediatamente: a página do dispositivo mostra o motivo, em Por que o dispositivo está sem conformidade, e a lista de dispositivos o mostra como sem conformidade. Um dispositivo também fica sem conformidade quando uma configuração da política não pode ser aplicada nele. 
Regras
Código de acesso: o dispositivo tem um código de acesso e ele atende às configurações de código de acesso da política.
Versão mínima do SO: para iPhone e iPad, ou para Mac. Para atualizar os dispositivos, adicione uma atualização obrigatória em Atualizações de software.
Dispositivo supervisionado: dispositivos registrados com o perfil de registro ou com o Registro do Usuário não são supervisionados.
FileVault ativado (Mac): o disco do Mac está criptografado com FileVault. Outros dispositivos não são afetados.
 Uma regra é verificada quando o dispositivo envia seu status, quando a política é salva e a cada hora. Um dispositivo cujo status é desconhecido (por exemplo, um Mac que ainda não informou o FileVault) não viola a regra. 
Bloquear o dispositivo
 Ative Bloquear o dispositivo se ele continuar sem conformidade e defina depois de quantos dias (0 bloqueia imediatamente). iPhones e iPads supervisionados entram no modo perdido com a mensagem que você definir. Os outros dispositivos são bloqueados uma vez; um Mac reinicia e pede um PIN, mostrado nos detalhes do comando no histórico de comandos. 
Desbloquear: quando o dispositivo volta a estar em conformidade, o modo perdido é desativado automaticamente.
Desativar o modo perdido por conta própria: o dispositivo não é bloqueado novamente até voltar a estar em conformidade e violar uma regra de novo. Use isso para permitir que o usuário corrija o dispositivo.
 Para ser notificado, ou reagir de outras maneiras, crie uma regra de evento para Dispositivo fica sem conformidade: ela também recebe os motivos.

Status do Dispositivo

Visão geral do dispositivo
Abra um dispositivo em Painel → Dispositivos clicando na linha do dispositivo. O título da página mostra o Modelo do dispositivo (quando disponível) e o Id interno. 
Dados históricos versus registro atual
 Quando um dispositivo tem vários registros, o Cerberus Enterprise pode mostrar um registro histórico somente leitura. Nesse caso, a página exibe um banner Dados históricos e um botão para voltar aos dados do registro atual. 
Campos superiores
 A seção superior resume a identidade, a atribuição e o estado de gerenciamento do dispositivo. Alguns campos são específicos da plataforma e aparecem apenas para dispositivos Android ou Apple. 
Id e Modelo: identificadores somente leitura.
Usuário: mostra o usuário atribuído atualmente (se houver). No menu do usuário, você pode Abrir usuário ou Alterar usuário, ou atribuir um usuário quando nenhum está definido. 
Modo de gerenciamento e Propriedade: exibidos com dicas na interface.
Estado: estado atual do dispositivo (com ícone e detalhes na dica). Um dispositivo no modo perdido mostra Perdido tanto no Android quanto no Apple, e um banner no topo da página informa o que fazer em seguida.
Perfil ADE (somente Apple): mostra o perfil de Automated Device Enrollment atribuído (se houver) e permite abri-lo ou alterá-lo. 
Política: mostra a política atribuída e permite abri-la ou alterá-la, ou atribuir uma quando nenhuma está definida. 
Status de conformidade da política (quando uma política é atribuída): indica se o dispositivo está em conformidade.
Versão da política (quando uma política é atribuída): indica se o dispositivo tem a versão mais recente da política aplicada.
app Cerberus Enterprise (somente iPhone e iPad): o estado do app Cerberus Enterprise que o Cerberus instala no dispositivo. Indisponível (iOS ou iPadOS anterior ao 18.4, nenhum número de série em um dispositivo corporativo ou nenhuma Conta Apple Gerenciada em um dispositivo pessoal); Ainda indisponível em dispositivos pessoais; Aguardando informações do dispositivo; Aguardando a licença de usuário da Conta Apple Gerenciada (dispositivos pessoais, enquanto a Apple confirma a licença); Não instalado (o app não está na sua biblioteca do Apple Business ou o Apps and Books não está configurado, com um link para Configurações da conta); Instalado · o Apps and Books precisa de atenção (o token expirou ou o app saiu da sua biblioteca: o app permanece instalado); Configuração indisponível; Instalando… (se o dispositivo não enviar um relatório de status por 30 minutos, a dica sugere verificar se ele está on-line e reiniciá-lo, o que normalmente inicia a instalação novamente); Aguardando a aprovação do usuário; O usuário recusou e Falha na instalação (ambos com Tentar novamente, que pergunta ao dispositivo outra vez); Instalado · aguardando o app iniciar (o app ainda não foi aberto); Instalado · configuração não aceita; e, depois que o app se registra, sua versão, seu último contato e se as notificações estão ativadas. 
Registrado em e Último relatório de status: carimbos de data e hora do registro e do último status informado.
Registro cancelado em: mostrado quando o registro do dispositivo foi cancelado.
 Alguns dados e painéis estão disponíveis somente quando a categoria correspondente está habilitada na política do dispositivo. Para mais informações, leia as páginas Relatórios de status e Localização e geocercas. 
Painéis
 A página do dispositivo é organizada em seções expansíveis. Dependendo da plataforma e do estado, você pode ver um ou mais dos seguintes painéis: 
Mapa de localização: um painel com abas com o histórico de Localização do dispositivo atual e, em dispositivos Android, iPhones e iPads, uma aba Cerca geográfica para transições de cerca geográfica.
Gerenciamento de SIMs: EID do dispositivo e SIMs e eSIMs instalados. No Android também os comandos eSIM e o histórico deles; em iPhones e iPads com celular da empresa também roaming de dados, Ponto de Acesso Pessoal e Atualizar planos celulares. Consulte a página dedicada de Gerenciamento de SIMs.
Comandos: envie comandos ao dispositivo e veja o histórico de comandos (específico da plataforma).
Postura de segurança: o estado de segurança do dispositivo e seus riscos. No Android, também o veredito do Play Integrity. Até o dispositivo informar, aparece Não especificado, ou Ainda não informado em um dispositivo Android que não enviou nenhum dado de segurança.
Por que o dispositivo não está conforme: exibido somente quando o dispositivo não está conforme, com um ícone de alerta vermelho; abra para ver os motivos. No Android, ele lista as configurações da política que estão fora de conformidade; no Apple, também informa se uma regra de conformidade bloqueou o dispositivo.
Status do dispositivo (somente Apple): versão do SO, progresso da atualização de software, código de acesso, FileVault, bateria e contas informados pelo dispositivo, e as atualizações de SO disponíveis para ele. Consulte a página Comandos.
Aplicativos (Android): apps instalados e seus feedbacks e relatórios de erros.
Aplicativos (somente Apple): os apps instalados pela política, os apps instalados com comandos e os apps instalados pelo usuário, com o estado de instalação, os erros e as ações deles (tentar novamente, remover). Em Macs ele também lista os pacotes instalados pela política, com o estado deles e Instalar novamente; os pacotes instalados como apps gerenciados têm um chip Gerenciado, e uma observação informa quando um pacote foi instalado sem gerenciamento e por quê, ou quando o app dele não foi encontrado uma hora após o download. Em iPhones e iPads, o app Cerberus Enterprise tem o chip Instalado pelo Cerberus; ele não é listado no filtro Política. Um app cuja configuração gerenciada o dispositivo não aceitou tem o chip Configuração não aceita. Em iPhones e iPads pessoais (User Enrollment), uma linha mostra a Managed Apple Account cujos usuários licenciam os apps da App Store, os apps que aguardam a licença deles mostram Aguardando uma licença de usuário ou Falha na licença de usuário, um app cuja solicitação de instalação o usuário cancelou mostra Aguardando aprovação do usuário para a instalação, e Solicitar novamente pede a licença à Apple novamente ou mostra a solicitação de novo. Consulte a página Comandos.
Perfis, certificados e segurança (somente Apple): perfis de configuração, certificados e status de segurança informados pelo dispositivo.
Alterações no inventário (somente Apple): uma linha do tempo dos apps, perfis e certificados instalados, removidos ou atualizados no dispositivo, pesquisável e filtrada por tipo e alteração. Consulte a página Comandos.
Usuários do iPad Compartilhado e Usuários do Mac (somente Apple): os usuários de um iPad Compartilhado e os usuários de um Mac. Consulte a página Comandos.
Relatórios de status: dados adicionais informados pelo dispositivo, exibidos como uma árvore de categorias e valores.
Histórico de registro: registros anteriores para este mesmo dispositivo físico, mostrados como uma lista.
Abas do painel de localização
 O painel Mapa de localização usa abas para manter o histórico de localização e as transições de geocerca separados. 
Localização: mostra filtros de histórico, uma pesquisa por intervalo de datas, marcadores de localização, o círculo de precisão e os controles de rastreamento ao vivo do dispositivo atual.
Cerca geográfica (Android, iPhone e iPad): mostra o histórico de transições de cerca geográfica em um mapa dedicado, com filtros de período, uma opção de cerca geográfica arquivada e uma lista lateral de transições. Em iPhones e iPads, uma linha de status também informa quando o geofencing não pode funcionar no dispositivo.
 Para o comportamento completo dessas abas, consulte Mapa de localização. 
Ações
 Na parte inferior da página, você pode atualizar os dados e executar ações dependendo da plataforma, do estado do dispositivo e do status da licença. 
Atualizar dados: recarrega o registro do dispositivo.
Desativar dispositivo / Ativar dispositivo (somente Android): disponível nos estados compatíveis.
Cancelar registro do dispositivo: remove o gerenciamento do dispositivo. O comportamento exato depende da plataforma e da propriedade (por exemplo, o Android pode apagar um perfil de trabalho ou redefinir para o padrão de fábrica). 
Excluir dispositivo: disponível quando o dispositivo já teve o registro cancelado e o registro dele pode ser removido.

Mapa de localização
Esta página documenta as ferramentas de localização específicas do dispositivo disponíveis em Visão geral do dispositivo. O painel contém uma guia Localização para o histórico de posições e, em dispositivos Android, iPhones e iPads, uma guia Geocerca para transições de geocerca. 
Pré-requisitos
 No Android, os dados de localização do dispositivo são mostrados somente quando o relatório de localização está habilitado na política do dispositivo. Para habilitá-lo, abra a política e ative Localização e geocercas → Relatório de localização. Para mais detalhes, consulte Localização e geocercas. 
 Em iPhones e iPads, a localização vem do app Cerberus Enterprise, depois que o usuário permite, ou do comando Localizar dispositivo enquanto o dispositivo está no modo perdido. Macs e outros dispositivos Apple não informam a localização. 
 Em dispositivos que não são totalmente gerenciados, os dados de localização ainda podem depender de o app Cerberus Enterprise ter as permissões de localização necessárias e de os serviços de localização estarem habilitados no dispositivo. 
 Em dispositivos pessoais (User Enrollment), a localização e as geocercas estão disponíveis somente quando a política Apple tem Localização e geocercas em dispositivos pessoais ativado, e apenas se o usuário permitir a localização para o app Cerberus Enterprise. Caso contrário, a página do dispositivo deles não mostra as ações de localização nem o rastreamento ao vivo. O Modo Perdido nunca está disponível em dispositivos pessoais. 
 Para o mapa global de vários dispositivos disponível no painel, consulte Mapa de localização do painel. 
Estado de carregamento e sem dados
Enquanto os dados de localização estão carregando, o painel mostra uma sobreposição de carregamento no mapa.
 Se o dispositivo não tiver dados de localização disponíveis, o painel mostra uma mensagem informando Nenhum dado de localização disponível. No Android, ele acrescenta um lembrete para ativar o relatório de localização na política atribuída, quando estiver desligado. No Apple, ele informa de onde vem a localização ou que esse tipo de dispositivo não a informa. 
Se um filtro de data estiver ativo e nenhuma amostra corresponder a ele, o painel mostra Nenhum dado disponível no intervalo de datas selecionado.
Guia Localização
 Abra a guia Localização para inspecionar o histórico de um único dispositivo. Os filtros disponíveis incluem a última localização conhecida, intervalos de histórico recentes, um intervalo de datas personalizado e o rastreamento ao vivo. 
Última: mostra a última localização conhecida.
Hoje, Últimos 7 dias e Últimos 30 dias: mostram as localizações registradas no período selecionado.
Pesquisar: permite escolher um intervalo de datas personalizado.
Ao vivo: inicia ou interrompe o rastreamento ao vivo do dispositivo atual.
 As localizações são mantidas por 90 dias: as mais antigas são excluídas automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então o dispositivo continua nos mapas mesmo quando não envia dados há muito tempo. Para dispositivos removidos e registros anteriores, todas as localizações com mais de 90 dias são excluídas. Por esse motivo, o intervalo de datas em Pesquisar não pode começar mais de 90 dias atrás. 
Detalhes do marcador
 Quando você clica em um marcador de localização, uma janela de informações é aberta com: 
O carimbo de data e hora do registro de localização.
A precisão informada (em metros).
A velocidade informada, quando o dispositivo a fornece.
A direção ou o rumo informado, quando o dispositivo o fornece.
Círculo de precisão
 Quando a janela de informações está aberta, um círculo de precisão é exibido ao redor do marcador. O raio do círculo corresponde à precisão informada (em metros). Fechar a janela de informações oculta o círculo. 
Rastreamento ao vivo
 Na visualização do histórico do dispositivo, selecionar o filtro Ao vivo inicia uma solicitação de rastreamento em tempo real para esse dispositivo específico. O Cerberus Enterprise pede confirmação antes de iniciar a solicitação. 
O rastreamento ao vivo funciona por até 15 minutos.
Enquanto o rastreamento ao vivo está ativo, os dispositivos Android mostram uma notificação, e iPhones e iPads mostram o indicador de localização.
Enquanto o rastreamento ao vivo está ativo, o painel continua atualizando a localização mais recente e o indicador ao vivo permanece visível.
Selecionar o filtro Ao vivo novamente permite interromper o rastreamento ao vivo antes do fim do tempo limite.
No iPhone e iPad, o rastreamento ao vivo funciona pelo app Cerberus Enterprise, com o acesso à localização definido como Sempre. A solicitação normalmente ativa o app mesmo quando ele não está aberto, e o app então envia localizações durante toda a sessão. O iOS não garante essas solicitações: ele pode atrasá-las ou não entregá-las, por exemplo no Modo de Pouca Energia ou sem conexão de rede. Se nenhuma localização chegar em 2 minutos, o painel cancela a solicitação: peça ao usuário para abrir o app uma vez e tente novamente.
Aba Cerca geográfica
 Em dispositivos Android, iPhones e iPads, a segunda aba mostra transições de cerca geográfica geradas a partir das cercas geográficas definidas na política atribuída. 
O mapa mostra as áreas de cerca geográfica atuais junto com os pontos de transição registrados.
A lista de transições à direita permite inspecionar eventos de entrada e de saída.
Os filtros disponíveis são Hoje, Últimos 7 dias, Últimos 30 dias e uma pesquisa personalizada por intervalo de datas.
Incluir arquivados também mostra transições relacionadas a definições antigas de cerca geográfica que não estão mais presentes na política atual.
As transições de geocerca são mantidas por 90 dias e as mais antigas são excluídas automaticamente todas as noites, então a pesquisa por intervalo de datas personalizado não pode começar mais de 90 dias atrás.
 Em iPhones e iPads, quando a política tem cercas geográficas ativas, uma linha de status na parte superior da aba mostra se o geofencing funciona no dispositivo. Ela informa quando ele não pode funcionar: o app Cerberus Enterprise não contatou o servidor ou precisa ser atualizado, o acesso à localização não está definido como Sempre, Localização Precisa ou Atualização em Segundo Plano está desativado, Modo de Pouca Energia estava ativado quando o app relatou suas configurações pela última vez (os eventos e as mudanças de cerca geográfica podem então ser atrasados por horas), ou o app ainda não aplicou as cercas geográficas mais recentes. Quando tudo funciona, ele mostra quantas cercas geográficas o app monitora. 
Detalhes da transição de cerca geográfica
 Selecionar uma transição abre os detalhes dela no mapa e destaca a entrada correspondente na lista. Quando disponível, o Cerberus Enterprise também mostra as coordenadas do dispositivo e a precisão informada para essa transição.

Gerenciamento de SIMs
A página do dispositivo oferece um painel Gerenciamento de SIMs. Em dispositivos Android, ele gerencia os SIMs e perfis eSIM instalados no dispositivo, adiciona ou remove perfis eSIM e mostra o histórico dos comandos eSIM enviados ao dispositivo. Em iPhones corporativos e iPads com celular, ele mostra os SIMs e planos eSIM informados pelo dispositivo e permite que o dispositivo baixe os planos eSIM preparados pela operadora: consulte iPhone e iPad abaixo. 
 As informações de SIM são informadas por dispositivos totalmente gerenciados quando o relatório de Informações de rede está habilitado na política do dispositivo (esta opção é sempre habilitada pelo Cerberus Enterprise). Consulte a página Relatórios de status. 
EID do dispositivo
 O EID (eUICC Identifier) identifica o hardware eSIM do dispositivo. As operadoras o usam para vincular perfis eSIM ao dispositivo, então obtê-lo geralmente é a primeira etapa de um fluxo de provisionamento de eSIM. 
Dispositivos da empresa (Android 13 e superior): o EID é informado automaticamente com o status do dispositivo e nenhuma interação do usuário é necessária. 
Dispositivos pessoais (Android 13 e superior): use o botão Solicitar EID. O usuário verá uma notificação no dispositivo pedindo para compartilhar o EID e poderá aprovar ou recusar a solicitação. O EID é mostrado apenas se o usuário aprovar. Enquanto a solicitação estiver pendente, o botão permanece desativado. 
 Enviar uma solicitação de EID mostra primeiro uma caixa de diálogo de confirmação, porque o usuário verá uma notificação no dispositivo. 
SIMs instalados
 A tabela SIMs instalados lista os SIMs atualmente conhecidos para o dispositivo, incluindo SIMs físicos e perfis eSIM. Em dispositivos pessoais, os perfis eSIM instalados com o comando Adicionar eSIM são mostrados mesmo quando o dispositivo não informa informações de SIM. 
Operadora: o nome da operadora associado ao SIM (quando informado).
Número de telefone: o número de telefone associado ao SIM (quando informado).
ICCID: o Identificador de Cartão de Circuito Integrado do SIM.
Estado de ativação: se o eSIM está ativado ou não. Informado apenas para eSIMs no Android 15 e superior. 
Modo de configuração: se o eSIM foi configurado por um administrador ou pelo usuário. Informado apenas para eSIMs no Android 15 e superior. 
Tipo de SIM: mostra se o dispositivo informa a entrada como um eSIM.
 eSIMs com um comando de remoção em andamento ou executado (não falho) mostram um estado de ativação temporário Removendo. A entrada desaparece da lista quando o dispositivo informa a lista de SIMs atualizada. Enquanto uma remoção está em andamento, o botão de remover não fica disponível, para evitar enviar o mesmo comando duas vezes. 
Remover eSIM
 Use o botão de remover ao lado de um eSIM instalado para remover o perfil dele do dispositivo. Uma caixa de diálogo de confirmação pede que você confirme o ICCID do eSIM a ser removido antes de o comando ser enviado. A remoção de um eSIM é compatível com o Android 15 e superior. 
Adicionar eSIM
 A seção Adicionar eSIM instala um novo perfil eSIM no dispositivo (compatível com o Android 15 e superior). Ela requer: 
Validade: por quanto tempo o comando é válido se não puder ser executado imediatamente.
Código de ativação: o código de ativação do perfil eSIM, fornecido pela operadora. Você pode inserir o código completo ou apenas o endereço SM-DP+ para permitir que o dispositivo descubra um perfil que a operadora já vinculou ao EID dele.
Estado de ativação: se o perfil eSIM deve ser ativado automaticamente após o download ou deixado não ativado para ativação manual pelo usuário.
Histórico de comandos
 Abaixo da seção Adicionar eSIM, o painel mostra o histórico dos comandos eSIM enviados ao dispositivo: Adicionar eSIM, Remover eSIM e Solicitar EID. A tabela é classificável e compatível com paginação. Algumas linhas podem ser expandidas para ver os parâmetros do comando (por exemplo, o código de ativação ou o ICCID) e o status de execução, incluindo os detalhes do erro de eSIM quando uma operação falha no dispositivo. 
Data de criação
Comando
Validade
Status
Erro: mostra o status de erro do eSIM (por exemplo Usuário recusou, Código de ativação inválido ou ICCID não encontrado) quando a execução do comando o informa.
Data de execução
Apagar eSIMs ao apagar e ao cancelar o registro
 Quando você apaga o dispositivo no painel Comandos, a opção Apagar eSIMs controla se os perfis eSIM são removidos junto com o apagamento. Em dispositivos pessoais com perfil de trabalho, essa opção fica habilitada por padrão (os eSIMs gerenciados são removidos; os eSIMs pessoais não são afetados). A mesma opção está disponível na caixa de diálogo de confirmação de Cancelar registro do dispositivo. 
iPhone e iPad
 O painel é mostrado para iPhones e para iPads que informaram dados celulares (um iPad somente Wi-Fi não tem nenhum), apenas quando o dispositivo pertence à empresa e não é um User Enrollment. As informações celulares são solicitadas ao dispositivo junto com as informações do dispositivo: no registro, todos os dias, com Atualizar informações do dispositivo, quando a propriedade dele passa a ser da empresa e alguns minutos após Atualizar planos celulares. 
EID do dispositivo: o EID informado com os SIMs, com um botão para copiá-lo para a operadora. Se o dispositivo não o informar, o usuário o encontra em Ajustes > Geral > Sobre.
Informado, Roaming de dados, Ponto de Acesso Pessoal e Firmware do modem: quando o dispositivo respondeu e o estado que ele informou. O roaming de dados e o Ponto de Acesso Pessoal podem ser alterados com Configurações do dispositivo no painel Comandos, que também mostra o estado atual.
SIMs: uma linha por SIM ou plano eSIM (dispositivos com dois SIMs têm duas), com o slot conforme informado pelo dispositivo, seu rótulo e seu tipo (eSIM quando o dispositivo informa o EID com ele, cartão SIM caso contrário), a operadora (a operadora de origem em uma dica quando o dispositivo está em roaming em outra rede), número de telefone, ICCID, EID, IMEI, o SIM usado para dados e para chamadas, e roaming. Um slot eSIM sem plano é mostrado esmaecido como Sem plano.
Este dispositivo não informou nenhum SIM significa que o dispositivo respondeu sem nenhum SIM; Ainda não há informações celulares significa que ele ainda não respondeu: use Atualizar informações do dispositivo.
 Números de telefone, ICCID, IMEI e EID identificam a pessoa e a linha: eles nunca são solicitados a dispositivos pessoais ou User Enrollments. Quando um dispositivo passa a ser pessoal, as informações são removidas imediatamente e ocultadas nos resultados dos antigos comandos de informações do dispositivo no histórico de comandos. Elas não são exportadas nem gravadas nos registros do sistema. 
Atualizar planos celulares
 iPhones e iPads não podem instalar um eSIM a partir de um código de ativação. A operadora vincula (reserva) o plano eSIM ao EID do dispositivo no servidor eSIM dela (SM-DP+) e fornece o endereço desse servidor; Atualizar planos celulares então pede ao dispositivo que baixe os planos que o aguardam. O botão Atualizar planos celulares do painel seleciona o comando no painel Comandos, onde você insere a URL do servidor eSIM da operadora: 
Um endereço https://, enviado como está. Endereços com http://, um nome de usuário ou senha, ou uma parte # não são aceitos.
Um nome de host, por exemplo smdp.carrier.example, enviado como https://smdp.carrier.example.
Um código de ativação LPA (LPA:1$server$code, o texto de um QR code de eSIM): apenas o servidor é usado, porque o comando não pode transportar o código. O plano deve estar vinculado ao EID do dispositivo pela operadora; caso contrário, o dispositivo não encontra nada para baixar.
 O dispositivo instala e ativa o plano sem perguntar ao usuário, também quando não é supervisionado. Sucesso no histórico de comandos significa que o dispositivo aceitou a solicitação, não que um plano foi instalado: a instalação pode levar até três minutos, e o Cerberus Enterprise solicita novamente os SIMs do dispositivo cerca de três minutos depois, para que o novo plano apareça no painel. Os erros 36001 (o dispositivo não conseguiu acessar o sistema celular), 36002 (sem suporte a eSIM) e 36003 (sistema celular ocupado, tente novamente mais tarde) são explicados nos registros do sistema. Um plano baixado uma vez não pode ser baixado novamente: se a instalação falhar, entre em contato com a operadora. O comando também está disponível para vários dispositivos ao mesmo tempo no menu Ações para dispositivos Apple da página Dispositivos. 
O que a Apple não permite
Adicionar eSIM a partir de um código de ativação: não é possível, use Atualizar planos celulares com um plano vinculado ao EID.
Remover eSIM: um eSIM não pode ser removido remotamente um de cada vez. Apagar o dispositivo com Manter o plano de dados eSIM desativado remove todos os eSIMs. Para interromper um único plano, peça à operadora para desativá-lo: o plano permanece no dispositivo, mas não consegue se conectar.
Solicitar EID: não é necessário, o EID vem com os SIMs dos dispositivos da empresa.
Macs não têm gerenciamento de celular ou eSIM.

Comandos
A página do dispositivo oferece um painel Comandos para enviar comandos remotos a um dispositivo gerenciado. Os comandos disponíveis dependem da plataforma (Android ou Apple) e do estado do dispositivo. 
 Os comandos só podem ser enviados a um dispositivo registrado no momento. Em um dispositivo com registro cancelado, em um dispositivo ADE que ainda não foi registrado e no histórico de um registro anterior, o painel mostra apenas o histórico de comandos. 
 Se o dispositivo não estiver online no momento, o comando será entregue e executado assim que o dispositivo se conectar à Internet. Para comandos Android, você pode definir o parâmetro Validade para determinar por quanto tempo um comando não entregue permanece válido. 
Comandos Android (AMAPI)
 Para dispositivos Android, o painel Comandos inclui um campo Validade (valor + unidade) e um seletor Comando. Alguns comandos exigem parâmetros adicionais, que aparecem dinamicamente quando você seleciona o comando. 
Parâmetros comuns
Validade: por quanto tempo o comando é válido se não puder ser executado imediatamente.
Comando: escolha qual ação enviar ao dispositivo.
Comandos sem campos adicionais
Bloquear dispositivo: bloqueia o dispositivo.
Reiniciar dispositivo: reinicia o dispositivo. Requer Android 7.0 ou posterior.
Desativar modo perdido: tira o dispositivo do modo perdido.
Renunciar à propriedade: remove o perfil de trabalho e todas as políticas de um dispositivo corporativo com Android 8.0 ou posterior e o deixa para uso pessoal. Os apps e dados do perfil pessoal são mantidos. O dispositivo é excluído do servidor depois que confirma o comando. Isso não pode ser desfeito.
Comandos com campos adicionais
Redefinir senha: requer Nova senha e Confirmar nova senha. Opções opcionais incluem Bloquear agora, Exigir entrada e Não pedir credenciais na inicialização. 
Limpar dados do app: requer o Nome do pacote de destino.
Ativar modo perdido: requer uma Mensagem do modo perdido e oferece suporte a campos de contato opcionais (endereço, organização, número de telefone, e-mail). Quando o dispositivo informa, seu estado passa a ser Perdido, a página do dispositivo mostra um banner e este comando fica oculto até o modo perdido ser desativado. 
Apagar dispositivo: oferece suporte a uma Mensagem de motivo da limpeza (exibida aos usuários em dispositivos pessoais) e a flags de limpeza opcionais, incluindo Apagar eSIMs. 
 Os comandos de eSIM (Adicionar eSIM, Remover eSIM, Solicitar EID) estão disponíveis no painel dedicado Gerenciamento de SIMs. 
Histórico de comandos
 Abaixo dos controles de envio, o painel mostra uma tabela de histórico de comandos. A tabela é classificável e oferece suporte a paginação. Algumas linhas podem ser expandidas para ver parâmetros adicionais ou detalhes de execução. 
Colunas do histórico Android
Data de criação
Comando
Validade
Status
Erro
Data de execução
Comandos Apple (MDM)
 Para dispositivos Apple, o painel Comandos oferece um seletor Comando. Alguns comandos exigem entradas adicionais. Assim como no Android, uma tabela de histórico de comandos é exibida abaixo. 
Comandos com campos adicionais
Instalar app: requer o Bundle ID do aplicativo.
Enviar notificação: requer uma Mensagem de notificação (comprimento máximo de 200 caracteres). 
 Em iPhones e iPads, Enviar notificação e o rastreamento ao vivo chegam ao dispositivo pelo app Cerberus Enterprise: eles ficam desativados até o app ser instalado e ter se registrado para notificações (consulte o campo app Cerberus Enterprise). Iniciar o rastreamento ao vivo mostra “Solicitação de rastreamento ao vivo enviada ao dispositivo”: o rastreamento começa quando o dispositivo envia sua primeira localização. O iOS pode atrasar a solicitação ou não entregá-la, por exemplo no Modo de Baixo Consumo ou sem conexão de rede: se nenhuma localização chegar em 2 minutos, peça ao usuário para abrir o app uma vez. Quando uma solicitação falha, a mensagem informa o motivo, por exemplo o app ainda não se registrou, a chave de notificação do servidor está ausente ou o token de notificação do dispositivo não é mais válido. 
Ações do dispositivo
 Somente os comandos compatíveis com o dispositivo são listados: alguns exigem um iPhone ou iPad supervisionado, outros não estão disponíveis em um Mac. Os comandos disruptivos pedem confirmação. 
Bloquear dispositivo: bloqueia a tela, com mensagem e número de telefone opcionais. Um Mac é reiniciado e bloqueado com um PIN de seis dígitos, exibido uma vez após o envio do comando e nos detalhes do comando. O iPhone mostra o título “iPhone Perdido” acima da sua mensagem, embora este comando não ative o modo perdido.
Ativar modo perdido (iPhone e iPad supervisionados): bloqueia o dispositivo e mostra sua mensagem, número de telefone e nota de rodapé na Tela Bloqueada. Enquanto o modo perdido está ativo, a página mostra um banner e os comandos Localizar dispositivo (a localização aparece no Mapa de localização), Reproduzir som e Desativar modo perdido.
O dispositivo informa a quem o estiver segurando que foi localizado: após Localizar dispositivo, a Tela Bloqueada mostra iPhone Localizado com o horário e o nome do servidor que recebeu a localização, e um botão Continuar. O iOS mostra este aviso e ele não pode ser desativado.
Limpar código de acesso: remove o código de acesso de um iPhone ou iPad, por exemplo quando o usuário o esqueceu. Se a política exigir um código de acesso, o usuário será solicitado a definir um novo.
Atualizar informações do dispositivo: solicita ao dispositivo suas informações (supervisão, versão do sistema, status de segurança, certificado MDM) e seu inventário.
Configurações do dispositivo: abre uma janela para alterar o nome do dispositivo, o nome do host de um Mac, Bluetooth, roaming de dados, Acesso Pessoal, fuso horário, papel de parede, se o Bloqueio de Ativação é permitido e, em um iPad Compartilhado, suas configurações (veja abaixo). Apenas as configurações que você alterar são enviadas; as que o dispositivo não oferece suporte ficam desativadas com o motivo. Um dispositivo pode confirmar o roaming de dados ou o Acesso Pessoal sem aplicá-los (por exemplo, quando o plano do SIM não tem Acesso Pessoal), então o Cerberus Enterprise os lê novamente cerca de 30 segundos depois e grava um aviso nos logs do sistema se não tiverem mudado.
Reiniciar dispositivo e Desligar dispositivo: reiniciam ou desligam o dispositivo imediatamente, após uma confirmação.
Apagar dispositivo: apaga todo o conteúdo e as configurações e remove o dispositivo do gerenciamento. Em iPhone e iPad, você pode manter o plano de dados eSIM e ignorar a configuração por proximidade; um Mac recebe um PIN de seis dígitos.
Retornar ao serviço (opção de Apagar dispositivo, iPhone e iPad com iOS 17 ou posterior): após a limpeza, o dispositivo se configura novamente, sem que ninguém o toque, e se registra de novo com a política, o usuário e a propriedade atuais. Escolha uma rede Wi-Fi da política do dispositivo para a configuração, a menos que o dispositivo tenha Ethernet ou dados celulares: somente redes pessoais (com senha, sem certificados) podem ser usadas, porque o dispositivo ainda não tem usuário nem certificado. O Bloqueio de Ativação deve estar desativado.
Atualizar planos celulares (iPhone e iPad celular, iOS 13 ou posterior, exceto User Enrollment): insira a URL do servidor eSIM da operadora fornecida pela operadora (um endereço https://, um nome de host ou um código de ativação LPA, do qual apenas o servidor é usado) e o dispositivo baixa os planos eSIM que a operadora vinculou ao EID dele. O EID do dispositivo é exibido abaixo do campo para enviá-lo à operadora. Consulte a página Gerenciamento de SIMs.
Manter o plano de dados eSIM desativado remove todos os eSIMs com a limpeza. A restrição de política Manter o eSIM quando o dispositivo for apagado (dispositivos supervisionados, iOS 17.2 ou posterior) se aplica a limpezas iniciadas no próprio dispositivo (muitas tentativas de código de acesso com falha, Apagar Todo o Conteúdo e Ajustes): a Apple não documenta seu efeito neste comando.
Sair do usuário (iPad Compartilhado): desconecta o usuário atual e volta à tela de login. Os dados ainda não sincronizados com o iCloud permanecem no iPad.
iPad Compartilhado
 Um iPad Compartilhado é usado por várias pessoas, cada uma com sua própria Conta Apple Gerenciada, ou por convidados com sessões temporárias. Ele é configurado com um perfil ADE que habilita o iPad Compartilhado (consulte a página Apple Automated Device Enrollment), e seu campo Tipo de registro mostra iPad Compartilhado. 
Usuários do iPad Compartilhado: os usuários do iPad, com o usuário conectado, o armazenamento que usam e se alguns dados ainda não foram sincronizados com o iCloud. Use Atualizar para solicitar a lista ao iPad novamente. Um usuário pode ser excluído com seus dados, exceto o usuário conectado (desconecte-o primeiro); Excluir todos os usuários requer iPadOS 14 ou posterior. Quando os dados ainda não foram sincronizados, a confirmação avisa que eles serão perdidos.
Configurações do dispositivo: o armazenamento de cada usuário, o número esperado de usuários, o tempo de inatividade após o qual usuários e sessões de convidado são desconectados, somente sessões de convidado, os domínios de Conta Apple Gerenciada sugeridos na tela de login, por quantos dias um usuário pode entrar sem verificar a senha online e a opção de ignorar a configuração de idioma e região para novos usuários. Campos vazios mantêm o valor atual; as configurações que exigem um iPadOS mais recente ficam desativadas.
Usuários do Mac
 Em um Mac, o painel Usuários do Mac lista os usuários registrados no gerenciamento, normalmente o usuário que registrou o Mac. As contas da política são instaladas nas sessões deles. Para cada usuário, ele mostra quando foi registrado, o último relatório da sessão e o estado das contas: Atualizado, Aguardando o usuário (o Mac as instala quando o usuário está conectado), Não aplicado com os motivos informados pelo Mac, ou Sem contas quando a política não tem nenhuma. Use Recarregar para ler a lista novamente. 
Bloqueio de Ativação
 O campo Bloqueio de Ativação mostra se o Bloqueio de Ativação está ativado. Quando está ativado, um dispositivo apagado só pode ser configurado novamente com a Conta Apple do usuário ou com o código de desvio do dispositivo. Dispositivos supervisionados ativam o Bloqueio de Ativação somente se ele for permitido em Configurações do dispositivo. O Cerberus Enterprise solicita o código de desvio aos dispositivos supervisionados e o armazena: use Mostrar código de desvio no menu do campo para vê-lo (somente administradores podem, e cada visualização é registrada no log do sistema); depois insira-o como senha na tela de Bloqueio de Ativação do dispositivo, deixando a Conta Apple vazia. 
Bloqueio de Recuperação e senha de firmware (Mac)
 Um Mac com Apple silicon mostra o campo Bloqueio de Recuperação, e um Mac com processador Intel mostra o campo Senha de firmware. Ambos protegem o Mac na inicialização: com o Bloqueio de Recuperação, o recoveryOS solicita a senha; com uma senha de firmware, o Mac a solicita para iniciar de outro disco ou da recuperação. O campo mostra se o Mac informa uma senha e, na dica, quando o Cerberus Enterprise a armazenou e quando ela foi verificada pela última vez. 
Definir ou alterar senha: o Cerberus Enterprise gera uma senha de 20 letras que ficam nas mesmas teclas em qualquer layout de teclado, ou um administrador digita uma (8 a 64 caracteres sem acentos; outros perfis só podem gerar uma, porque não conseguem ver as senhas armazenadas). A senha é armazenada criptografada antes de ser enviada e substitui a armazenada somente quando o Mac confirma. Se o Mac já tiver uma senha definida fora do Cerberus Enterprise, digite-a como senha atual: ela é usada uma vez e não é armazenada.
Verificar senha: pergunta ao Mac se a senha armazenada está correta. O resultado fica na dica e no log do sistema.
Mostrar senha: somente administradores podem ver a senha armazenada, e cada visualização é registrada no log do sistema. As senhas geradas são exibidas em grupos de quatro letras: digite-as sem espaços.
Limpar senha: remove a senha do Mac.
 Um Mac com processador Intel reinicia para aplicar uma alteração de senha de firmware: até lá, a senha anterior ainda é necessária (Mostrar senha a exibe), e outra alteração não pode ser enviada. A Apple também aceita apenas um comando de senha de firmware a cada 30 segundos. As senhas ficam ocultas no histórico de comandos. 
 Quando um Mac sai do gerenciamento (registro cancelado, removido pelo usuário ou apagado), o macOS remove o Bloqueio de Recuperação por conta própria, e o Cerberus Enterprise descarta a senha de Bloqueio de Recuperação armazenada; ele faz o mesmo quando o Mac informa que não tem Bloqueio de Recuperação, por exemplo após se registrar novamente. Quando você cancela o registro de um Mac (ou exclui a política dele), uma senha de firmware armazenada é limpa primeiro, o Mac reinicia e então sai do gerenciamento. Se a limpeza falhar, o Mac sai do gerenciamento mesmo assim, e a senha permanece armazenada para que você ainda possa vê-la. Um Mac removido do gerenciamento pelo usuário, ou apagado, mantém sua senha de firmware: o Cerberus Enterprise também a mantém. Excluir o registro do dispositivo apaga a senha armazenada, por isso você precisa confirmar antes: anote a senha, porque sem ela somente a Apple pode removê-la. 
FileVault (Mac)
 O campo FileVault mostra se o disco do Mac está criptografado e, na sua dica, se o Cerberus Enterprise armazena a chave de recuperação pessoal dele. Um Mac envia a chave quando o FileVault é ativado depois que ele recebe a configuração de FileVault da política dele (consulte a página macOS das políticas Apple). 
Mostrar chave de recuperação: somente administradores podem ver a chave, e cada visualização é registrada no log do sistema. Use-a na janela de login do Mac para redefinir a senha do usuário, ou na recuperação para desbloquear o disco. Ela permanece disponível depois que o Mac sai do gerenciamento; excluir o registro do dispositivo a apaga.
Alterar chave de recuperação: o Mac substitui sua chave de recuperação pessoal e envia a nova, criptografada; a chave antiga deixa de funcionar. Isso só é possível quando a chave armazenada pode ser lida: o Mac é desbloqueado com ela, e nenhuma senha de usuário é necessária. A chave armazenada fica oculta no histórico de comandos e é removida do servidor quando o Mac responde (ou após 7 dias sem resposta).
Bootstrap Token (Mac)
 Um Mac com macOS 10.15 ou posterior envia seu Bootstrap Token ao servidor de gerenciamento quando um usuário com um token seguro entra. O servidor o mantém e o devolve somente a esse Mac, que o usa para conceder um token seguro a novos usuários e, em um Mac com Apple silicon, para instalar atualizações de software e aprovar extensões de kernel sem pedir uma senha de administrador. Ninguém pode ver o token, no painel nem em outro lugar. O campo Bootstrap Token mostra o estado dele: 
Escrowado: o servidor tem o token; a dica mostra quando o Mac o enviou.
Armazenado anteriormente: o token armazenado foi enviado antes do último registro ou da última renovação do certificado MDM do Mac. Após uma renovação, isso é esperado: o token é mantido e o Mac não o envia novamente. Após um novo registro, ele pode não ser mais válido: execute 
sudo profiles install -type bootstraptoken no Terminal do Mac.
Não escrowado: o Mac ainda não enviou um token. Para enviá-lo agora, um administrador do Mac executa 
sudo profiles install -type bootstraptoken no Terminal (
sudo profiles status -type bootstraptoken mostra se ele está escrowado).
 A dica também informa se o Mac permite o token para autenticação. Macs configurados com o Automated Device Enrollment o permitem automaticamente; em outros Macs com Apple silicon, um usuário pode permiti-lo no Utilitário de Segurança de Inicialização no recoveryOS. Macs Intel não podem usar o token para autenticação (Não suportado), mas um token escrowado ainda concede um token seguro a novos usuários. Cada vez que um Mac envia, remove ou solicita seu token, isso é registrado no log do sistema. 
Status do dispositivo e atualizações do sistema
 O painel Status do dispositivo mostra o que o dispositivo informa sobre si mesmo: a versão e a compilação do sistema, o progresso de uma atualização de software (versão pendente, prazo, o que a iniciou, falhas), se um código de acesso está definido e em conformidade com a política, o FileVault em um Mac, a saúde da bateria e as contas configuradas no dispositivo. 
 A lista Atualizações disponíveis mostra as atualizações de SO que o dispositivo pode instalar, coletadas no registro e semanalmente. Use Verificar atualizações para solicitá-las agora e Instalar para instalar uma atualização imediatamente (o dispositivo reinicia, após uma confirmação) ou apenas baixá-la e deixar o usuário instalá-la. Isso funciona em iPhones e iPads supervisionados e em Macs, até iOS, iPadOS e macOS 26: em versões posteriores e para atualizar muitos dispositivos, use as atualizações obrigatórias da política (consulte a página Atualizações de software das políticas Apple). 
 Um Mac com Apple silicon instala uma atualização sem pedir uma senha de administrador somente quando permite seu Bootstrap Token para autenticação e o token está escrowado (consulte Bootstrap Token acima). Caso contrário, a confirmação informa que um usuário pode precisar inserir uma senha de administrador antes de a atualização ser instalada. 
Aplicativos e inventário
 O painel Aplicativos lista todos os apps do dispositivo em uma única tabela. O estado de instalação dos apps instalados pela política ou por um comando é informado ao vivo pelo dispositivo; versões, tamanhos e os apps instalados pelo usuário vêm da última lista de apps, coletada no registro e semanalmente. Use Perguntar ao dispositivo para solicitá-la agora. 
Gerenciamento: Política para apps instalados pela política do dispositivo, Gerenciado para apps instalados com um comando como Instalar app, Não gerenciado para os instalados pelo usuário. O app Cerberus Enterprise tem o selo Instalado pelo Cerberus.
Precisa de atenção: apps que falharam na instalação, foram recusados ou removidos pelo usuário, ou aguardam o usuário. Abra uma linha para ver o erro; apps de política que falharam podem ser instalados novamente com o botão de tentar de novo. Apps integrados e apps da App Store que o dispositivo informa como não validados não são contados.
Remover app: apps gerenciados podem ser removidos, com os dados deles. Para remover um app instalado pela política, remova-o da política. A política também envia este comando automaticamente quando um pacote de Mac instalado como app gerenciado é removido da política.
 O painel Perfis, certificados e segurança mostra os perfis de configuração, os certificados e o status de segurança (código de acesso, criptografia, FileVault e firewall em um Mac) informados pelo dispositivo. 
 Em dispositivos de propriedade pessoal, os apps instalados pelo usuário não são coletados, e somente os perfis e certificados gerenciados pelo Cerberus Enterprise são listados. 
 O painel Alterações no inventário mostra o que mudou entre duas listas enviadas pelo dispositivo: apps instalados, removidos ou atualizados (com a versão antiga e a nova), perfis instalados, removidos ou atualizados, e certificados adicionados ou removidos. Uma alteração é detectada quando o dispositivo envia uma nova lista, semanalmente para apps e perfis, diariamente para certificados, ou quando você usa Perguntar ao dispositivo: a data exibida é quando ela foi detectada, e a alteração ocorreu entre a lista anterior e essa. A primeira lista de um dispositivo, e a primeira após um novo registro ou uma mudança de propriedade, é registrada apenas como ponto de partida. Pesquise por nome ou identificador e filtre por tipo e alteração. As alterações são mantidas por 365 dias. 
 Quando uma atualização do sistema substitui muitos apps Apple de uma vez, eles são exibidos como uma única linha (por exemplo, "23 apps Apple atualizados") que você pode expandir. A renovação do certificado MDM é exibida como Certificado MDM renovado. Em dispositivos de propriedade pessoal, somente as alterações dos itens gerenciados pelo Cerberus Enterprise são exibidas. 
Colunas do histórico Apple
Data de criação
Comando
Status: Enviado (aguardando o dispositivo; entregue assim que ele se conectar), Sucesso, Respondido (abra a linha para ver o resultado), Aguardando o dispositivo (o dispositivo não pode executar o comando no momento), Falhou (abra a linha para ver o motivo) ou Cancelado (a fila de comandos do dispositivo foi limpa, por exemplo quando ele se registrou novamente). 
Data de execução
Atualizar
 Use a ação de atualização no painel Comandos para recarregar o histórico de comandos.

Mapa de localização do painel
O mapa de localização do painel oferece uma visão global da última posição conhecida dos dispositivos que estão reportando dados de localização. Abra-o em Painel para revisar vários dispositivos no mesmo mapa do Google. 
Pré-requisitos
 Um dispositivo aparece neste mapa somente quando o relatório de localização está habilitado na política atribuída a ele. Para habilitá-lo, abra a política e ative Localização e geocercas → Relatório de localização. Para mais detalhes, consulte Localização e geocercas. 
 Em dispositivos que não são totalmente gerenciados, os dados de localização ainda podem depender de o app Cerberus Enterprise ter as permissões de localização necessárias e de os serviços de localização estarem habilitados no dispositivo. 
 Dispositivos pessoais (User Enrollment) compartilham a localização somente quando a política Apple deles tem Localização e geocercas em dispositivos pessoais ativado e o usuário permite a localização para o app Cerberus Enterprise. Caso contrário, o Cerberus não coleta a localização deles, e o rastreamento ao vivo não está disponível para eles. 
 Para o histórico por dispositivo e as transições de geocerca disponíveis no editor de dispositivo, consulte Mapa de localização. 
 O histórico de localização é mantido por 90 dias e as localizações mais antigas são excluídas automaticamente todas as noites. A última localização de cada dispositivo registrado é sempre mantida, então os dispositivos que não enviam dados há muito tempo continuam aparecendo no mapa. 
Estado de carregamento e sem dados
Enquanto os dados de localização estão carregando, o mapa mostra uma sobreposição de carregamento.
Se nenhum dispositivo tiver dados de localização disponíveis no momento, a página mostra uma mensagem Nenhum dado de localização disponível.
Marcadores e agrupamentos
 Cada dispositivo com dados de localização disponíveis é exibido como um marcador. Quando muitos dispositivos estão próximos, os marcadores são agrupados automaticamente para manter o mapa legível. 
 Os dispositivos que estão em rastreamento ao vivo no momento são destacados com um marcador animado para que sejam mais fáceis de identificar no mapa. 
Controles do mapa
 Quando o mapa contém localizações de dispositivos, o Cerberus Enterprise mostra botões de ação no canto superior direito do mapa. 
Localização atual: usa a localização do seu navegador para mover o mapa até a sua posição atual e ajustar a área de precisão reportada.
Recentralizar mapa: ajusta o mapa novamente ao redor dos marcadores de dispositivos exibidos no momento.
Pílula de rastreamento ao vivo Rastreados: aparece quando um ou mais dispositivos estão sendo rastreados ao vivo e mostra quantos estão ativos no momento.
Parar todo o rastreamento ao vivo: o botão de ícone dentro da pílula de rastreamento ao vivo interrompe o rastreamento de todos os dispositivos rastreados no momento após confirmação.
Detalhes do marcador
 Clicar em um marcador abre uma janela de informações com: 
O Modelo e o ID interno do dispositivo.
O carimbo de data e hora da última localização reportada.
A precisão reportada em metros.
A velocidade reportada, quando disponível.
O rumo ou direção reportado, quando disponível.
 O identificador do dispositivo na janela de informações é um link que abre a página Visão geral do dispositivo correspondente. 
Ações da janela de informações
 Cada janela de informações também inclui botões de ação para o dispositivo selecionado. 
Link do dispositivo: o nome e o ID do dispositivo no topo da janela de informações abrem a página de visão geral do dispositivo correspondente.
Aproximar: centraliza o mapa no dispositivo selecionado e ajusta o círculo de precisão reportado mais proximamente ao redor dele.
Ao vivo: inicia o rastreamento ao vivo desse dispositivo. Se o rastreamento ao vivo já estiver ativo, o mesmo botão o interrompe após confirmação.
Rastreamento ao vivo ativo: quando presente, esta linha de status indica que o dispositivo selecionado já está sendo rastreado em tempo real.
Círculo de precisão
 Quando um marcador é selecionado, o mapa exibe um círculo de precisão ao redor da localização. O raio do círculo corresponde à precisão reportada. 
Comportamento do rastreamento ao vivo
 Iniciar o rastreamento ao vivo em uma janela de informações envia uma solicitação de rastreamento em tempo real para esse dispositivo. O Cerberus Enterprise então atualiza o mapa automaticamente enquanto a sessão estiver ativa. 
Cada sessão de rastreamento ao vivo dura até 15 minutos.
Enquanto o rastreamento ao vivo está ativo, os dispositivos Android mostram uma notificação, e os iPhones e iPads mostram o indicador de localização.
O rastreamento ao vivo pode ser interrompido na janela de informações do dispositivo selecionado ou no botão global Parar todo o rastreamento ao vivo do mapa.
Em iPhone e iPad, o rastreamento ao vivo funciona pelo app Cerberus Enterprise, com o acesso à localização definido como Sempre. A solicitação normalmente desperta o app mesmo quando ele não está aberto, e o app então envia as localizações durante toda a sessão. O iOS não garante essas solicitações: ele pode atrasá-las ou não entregá-las, por exemplo no Modo de Pouca Energia ou sem conexão de rede. Se nenhuma localização chegar em até 2 minutos, o painel cancela a solicitação: peça ao usuário para abrir o app uma vez e tente novamente.

Apps privados
Nesta seção do painel, você pode enviar seus próprios apps Android privados ou criar web apps para distribuir nos seus dispositivos.
Os únicos detalhes que você precisa fornecer são o título e o APK do app. Os apps privados são aprovados automaticamente para sua organização e normalmente ficam prontos para distribuição em até 10 minutos. Você pode enviar um total de 15 apps privados por dia. Observe que os web apps também contam para esse total.
Na primeira vez que você publicar um app privado, precisará fornecer um endereço de e-mail para receber notificações do Play Console sobre seus apps e sua conta de desenvolvedor do Google Play. Além disso, o Play gerenciado cria automaticamente uma conta de desenvolvedor do Play em nome da sua organização. Você não precisa pagar uma taxa de registro para essa conta.
Apps privados publicados a partir do iframe:
Não estão sujeitos às mesmas verificações que os outros apps. Por isso, não podem ser convertidos em apps públicos.
Não são transferíveis. Você não pode transferir a propriedade de um app para uma conta de desenvolvedor do Play diferente.
Para mais detalhes, visite a Ajuda do Managed Google Play

Gerenciamento de certificados
O painel inclui uma seção Certificados para importar, visualizar e excluir certificados. Clicar em uma linha de certificado abre o editor de certificado. 
Lista de certificados
 Os certificados são exibidos em uma tabela classificável e paginada. A lista inclui certificados de cliente e Autoridades de Certificação (CA). 
Filtros
 No topo da página, você pode habilitar filtros usando a lista de chips. Alguns filtros são mutuamente exclusivos. 
Todos: mostra todos os certificados.
Cliente: mostra apenas certificados de cliente.
Autoridade de Certificação (CA): mostra apenas certificados de CA.
Pesquisar: mostra um campo de texto (rótulo Nome ou nome do arquivo) para pesquisar pelo nome do certificado ou pelo nome do arquivo importado.
Sem usuário: mostra certificados de cliente não associados a nenhum usuário.
Colunas da tabela
Nome
Tipo
Expiração
Usuário (exibido para certificados de cliente)
Nome do arquivo importado
Data de importação
Ações
Abrir certificado: clique em uma linha para abrir o editor de certificado.
Excluir certificado: disponível apenas quando o certificado não está associado a usuários/políticas e não é usado por dispositivos. A ação também pode ser desativada quando a licença está expirada.
Seleção de várias linhas: você pode habilitar a seleção de várias linhas para excluir vários certificados de uma vez. Somente certificados que podem ser excluídos podem ser selecionados.
Atualizar: recarrega a lista de certificados.
Importar certificados
 Para importar certificados, clique em Importar certificado e selecione um ou mais arquivos. Os formatos suportados são mostrados na dica do botão de importação. 
Clientes
Formato suportado: PKCS#12 codificado em Base64 (.p12 / .pfx).
 Os certificados de cliente identificam um usuário ou um dispositivo na rede da empresa. Os certificados de cliente podem ser associados a um usuário específico. 
 Cada certificado de cliente pode ser atribuído opcionalmente a um usuário específico: isso permite implantar a mesma configuração de Wi‑Fi EAP em muitos dispositivos. Você pode fazer isso na seção configuração de rede da política, usando a opção credenciais EAP dos usuários. 
Como alternativa, você pode atribuir um certificado a um usuário na página Usuários.
 Em dispositivos Apple, os certificados são instalados com a seção Rede da política Apple, onde você também pode escolher O certificado do usuário do dispositivo. Consulte a página Rede das políticas Apple. 
Autoridades de Certificação (CA)
Formatos suportados: X.509 codificado em Base64 (.crt / .pem / .cer / .der).
 Os certificados de CA identificam uma Autoridade de Certificação e indicam ao dispositivo que todos os certificados emitidos pela CA devem ser confiáveis. O painel valida se um certificado X.509 importado é uma CA. 
Editor de certificado
 Quando você abre um certificado, o editor mostra os campos principais e um painel Informações do certificado somente leitura. 
Campos principais
Nome (obrigatório)
ID (somente leitura)
Tipo (somente leitura)
Expiração (somente leitura)
Data de importação (somente leitura)
Nome do arquivo importado (somente leitura)
Associação de usuário (certificados de cliente)
 Para certificados Cliente, o editor mostra um campo Usuário. Se um usuário estiver atribuído, um menu permite Abrir usuário, Alterar usuário ou Desassociar usuário. Se nenhum usuário estiver atribuído, você pode atribuir um usando o botão de ação de usuário. 
Excluir certificado
 A ação de exclusão fica desativada quando o certificado está associado a um usuário ou é usado em políticas. Ela também pode ser desativada quando a licença está expirada.

Regras de eventos
As regras de evento permitem automatizar reações a eventos de dispositivo compatíveis. Abra Painel → Regras de evento para criar regras que monitoram eventos de registro, cancelamento de registro, não conformidade e geocerca (dispositivos Android e Apple; eventos de geocerca vêm de dispositivos Android, iPhones e iPads) e então acionam uma ou mais ações automaticamente. 
O que uma regra de evento pode fazer
 Cada regra combina um assunto, um evento e uma ou duas ações. Os assuntos compatíveis são Todos os dispositivos, Dispositivo específico e Política. 
Eventos: dispositivo registrado, registro de dispositivo cancelado, dispositivo fica em não conformidade, entrada em cerca geográfica, saída de cerca geográfica.
Ações de dispositivo: desabilitar dispositivo, habilitar dispositivo, bloquear dispositivo.
Ação de e-mail: enviar um e-mail de notificação aos administradores e, quando habilitado, aos gerentes delegados.
 Uma regra pode conter apenas uma ação de e-mail, apenas uma ação de dispositivo ou uma ação de dispositivo mais uma ação de e-mail. Se ambas as ações estiverem configuradas, o Cerberus Enterprise executa primeiro a ação de dispositivo e depois a ação de e-mail. 
Regras de plataforma e compatibilidade
 Os eventos e as ações disponíveis dependem do assunto selecionado e da plataforma aplicável a esse assunto. 
Android oferece suporte a eventos de registro, cancelamento de registro, não conformidade e geofence.
Apple oferece suporte a eventos de registro, cancelamento de registro, não conformidade e geofence. Os eventos de geofence vêm de iPhones e iPads com o app Cerberus Enterprise.
Desativar dispositivo está disponível tanto no Android quanto na Apple. Em iPhones e iPads supervisionados, ele ativa o modo perdido; outros dispositivos Apple são bloqueados (um Mac com um PIN de seis dígitos, mostrado no histórico de comandos do dispositivo). O modo perdido é desativado na página do dispositivo.
Ativar dispositivo é oferecido apenas para eventos de geofence, no Android e na Apple. Em iPhones e iPads, ele desativa o modo perdido.
Desativar dispositivo e Ativar dispositivo deixam de fora um dispositivo Android no modo perdido: somente o comando Desativar modo perdido o tira do modo perdido. As outras ações da regra ainda são executadas, e o log do sistema informa por que a ação de dispositivo foi deixada de fora.
Bloquear dispositivo e Enviar e-mail estão disponíveis tanto no Android quanto na Apple, quando o evento selecionado oferece suporte a eles. Um Mac é bloqueado com um PIN de seis dígitos, mostrado no histórico de comandos do dispositivo.
Dispositivo com registro cancelado oferece suporte apenas a e-mail.
Lista de regras
 A lista de regras de eventos é a página de gerenciamento principal deste recurso. Ela inclui uma tabela pesquisável com nome da regra, assunto, evento, ações, plataforma, estado de ativação e hora de atualização. 
Use os chips de filtro para alternar entre todas as regras, regras ativadas, regras desativadas e pesquisa de texto.
Use o botão Atualizar para recarregar a exibição atual da tabela.
Use o interruptor de ativação em cada linha para ativar ou desativar temporariamente uma regra.
Use o modo de seleção de várias linhas para excluir várias regras juntas.
Use Criar regra de evento para abrir o editor de uma nova regra.
Editor de regras
 O editor é dividido em seções Geral, Escopo, Gatilho e Ações. Na parte inferior da página, uma barra de ações fixa mantém os botões principais visíveis enquanto você rola. 
Geral
Nome: obrigatório, até 150 caracteres.
Descrição: opcional, até 2000 caracteres.
Regra ativada: salva a regra no estado ativado ou desativado.
Escopo
 O escopo define quais dispositivos a regra pode corresponder. O editor também mostra a plataforma resolvida e, quando disponível, o contexto efetivo da política. 
Todos os dispositivos: a regra pode corresponder a todos os dispositivos suportados na empresa.
Dispositivo específico: selecione um dispositivo gerenciado na caixa de diálogo de seleção.
Política: selecione um modelo de política na caixa de diálogo de seleção.
Gatilho
 A seção de gatilho filtra automaticamente os eventos disponíveis com base no escopo e na plataforma selecionados. 
Gatilhos de geofence
 As regras de entrada e saída de geocerca funcionam para dispositivos Android, iPhones e iPads, e uma regra para um dispositivo ou uma política exige um contexto de política válido. Para as definições de geocerca, consulte Localização e geocercas (Android) e Localização e geocercas (Apple). 
Se o assunto for Todos os dispositivos, a regra se aplica sempre a Qualquer geofence.
Se o assunto for um dispositivo ou uma política, você pode escolher Qualquer geofence ou um Geofence específico.
A lista de geofences específicos é carregada a partir do contexto efetivo da política do dispositivo ou da política selecionada.
As regras de geofence para todos os dispositivos salvas antes de os geofences estarem disponíveis no iPhone e no iPad ainda se aplicam apenas a dispositivos Android. Abra e salve-as novamente para aplicá-las também a dispositivos Apple.
Ações
 A seção de ações permite escolher uma ação de dispositivo opcional e uma notificação por e-mail opcional. A interface oculta combinações sem suporte automaticamente. A notificação por e-mail fica ativada por padrão, também quando você escolhe uma ação de dispositivo: desative-a se quiser apenas a ação de dispositivo. 
Se nenhuma ação de dispositivo estiver disponível para o evento e o escopo selecionados, você ainda pode salvar uma regra somente de e-mail.
Se o e-mail estiver desativado para o evento e a plataforma selecionados, o botão de e-mail fica indisponível.
Uma regra sem nenhuma ação é inválida e não pode ser salva.
Destinatários de e-mail
 As ações de e-mail sempre incluem usuários da empresa com a função ADMIN. Se a empresa for gerenciada por multilocação, você pode ampliar os destinatários para incluir gerentes de MT. 
Somente gerentes principais: inclui administradores da empresa e os contatos dos principais gerentes de MT.
Gerentes principais e gerentes de subcontas: também adiciona os gerentes de subcontas atribuídos.
A lista de pré-visualização mostra os endereços de e-mail reais que serão usados quando a regra for executada.
Somente gerentes delegados com acesso concedido à empresa são incluídos na lista final de destinatários.
Comportamento de execução
 As regras de eventos são executadas imediatamente quando o Cerberus Enterprise recebe um evento suportado das integrações de backend. As regras desativadas são ignoradas automaticamente. 
 Execuções bem-sucedidas, ignoradas e com falha são registradas no log do sistema com mensagens legíveis, incluindo o motivo quando uma regra ou uma ação de dispositivo foi ignorada. 
 O log do sistema mantém os eventos de status e de localização dos dispositivos, e as execuções de regras bem-sucedidas ou ignoradas, por 90 dias. Os outros eventos, como ações de administradores, logins, avisos e erros (incluindo as execuções de regras com falha), são mantidos por 12 meses. As entradas mais antigas são excluídas automaticamente todas as noites.

Dispositivos

Dispositivos
A seção Dispositivos do painel (Painel → Dispositivos) lista todos os dispositivos registrados na sua conta. Nesta página, você pode filtrar a lista, abrir o registro de um dispositivo e executar ações de dispositivo, como desabilitar ou cancelar o registro. 
Filtros
 No topo da página, você pode ativar um ou mais filtros usando a lista de chips. Os chips selecionados representam os filtros ativos no momento. 
 Os filtros dependem das plataformas configuradas na sua conta: filtros para dispositivos Apple ou Android aparecem somente quando essa plataforma está configurada, e os filtros Android e Apple aparecem somente quando ambas estão. 
Filtros disponíveis
Todos: mostrar todos os dispositivos.
Registrados: mostra dispositivos registrados, independentemente do estado (por exemplo, Ativo, Perdido ou Desativado). Dispositivos com registro cancelado e dispositivos ADE que ainda não foram registrados não são exibidos. É selecionado quando a página abre: escolha Todos para ver dispositivos com registro cancelado e dispositivos sincronizados do Apple Business que ainda não foram registrados.
Não conforme: mostra dispositivos que não estão em conformidade com a política.
Inseguro: mostrar dispositivos com postura não segura.
Erro em apps: mostrar dispositivos Android cujos apps enviaram feedback de erro e dispositivos Apple com apps gerenciados que precisam de atenção (falha na instalação, recusa ou remoção pelo usuário ou aguardando o usuário).
Perdido: mostra dispositivos no modo perdido, no Android e no Apple. O estado deles é exibido como Perdido.
Status não atualizado: mostrar dispositivos que não relataram status nas últimas 72 horas.
Política não atualizada: mostrar dispositivos que têm alterações de política pendentes.
Certificado MDM perto de expirar: mostrar dispositivos Apple cujo certificado MDM expirou ou expira em até 14 dias.
Android: mostrar somente dispositivos Android.
Apple: mostrar somente dispositivos Apple.
iPhone, iPad, Mac: mostrar somente esses dispositivos Apple. Você pode selecionar mais de um.
Da empresa: mostrar somente dispositivos da empresa.
De propriedade pessoal: mostrar somente dispositivos de propriedade pessoal.
Proprietário do dispositivo: mostrar somente dispositivos Android totalmente gerenciados.
Proprietário do perfil: mostrar somente dispositivos Android com perfil de trabalho.
Supervisionado / Não supervisionado: mostrar dispositivos Apple que são supervisionados ou que não são.
Pesquisar: ativar um campo de pesquisa de texto.
Pesquisar
 Quando você ativa o filtro Pesquisar, aparece um campo de texto com o rótulo Id, modelo, usuário, número de série ou SO: ele pesquisa o id, o modelo, o nome de usuário, o número de série e a versão do SO do dispositivo. A lista é atualizada automaticamente depois que você para de digitar. 
Tabela de dispositivos
 Os dispositivos são exibidos em uma tabela classificável e paginada. Clicar em uma linha abre o editor do dispositivo. 
Colunas
Modelo: modelo do dispositivo.
Usuário: usuário associado (nome, e-mail ou id, dependendo da disponibilidade).
Estado: estado do dispositivo (com detalhes na dica).
Conformidade: indicador de status de conformidade.
Segurança: postura de segurança (com detalhes na dica). Em dispositivos Apple: Em risco sem código de acesso e, em Macs, com FileVault ou inicialização segura desativados; Potencialmente comprometido em Macs com a Proteção da Integridade do Sistema ou o volume do sistema assinado desativados. A página do dispositivo lista os riscos. A Apple não informa iPhones e iPads com jailbreak ao gerenciamento de dispositivos.
Erro em apps: indicador de erro em apps.
Último relatório de status: carimbo de data/hora do relatório de status mais recente (quando disponível).
Política: política atribuída no momento.
SO: sistema operacional e versão (por exemplo, iOS 17.7 ou Android 14). A classificação ordena por sistema e depois por versão.
Propriedade: da empresa ou de propriedade pessoal (com detalhes na dica).
Modo de gerenciamento: modo de gerenciamento (com detalhes na dica).
Id: identificador interno do dispositivo.
Atualização e paginação
Use a ação de atualização para recarregar a lista.
A tabela é paginada (10/25/50 itens por página).
Ações de dispositivo
 Cada linha de dispositivo pode oferecer ações, dependendo da plataforma e do estado do dispositivo. Algumas ações ficam desabilitadas quando sua licença está expirada ou encerrada. 
Ações por dispositivo
Desabilitar dispositivo / Habilitar dispositivo: disponível para dispositivos Android em estados compatíveis.
Cancelar registro do dispositivo: remove o gerenciamento. No Android, isso pode apagar o perfil de trabalho ou redefinir para as configurações de fábrica (dependendo da propriedade); na Apple, isso remove as configurações de política.
Excluir dispositivo: disponível para dispositivos que já tiveram o registro cancelado (remove o registro do sistema). Um Mac cuja senha de firmware ainda está armazenada no Cerberus Enterprise só é excluído após uma confirmação, porque a senha é excluída junto com ele.
Seleção de várias linhas
 Você pode ativar a seleção de várias linhas na barra de ações abaixo da tabela. Quando ativada, você pode selecionar várias linhas e aplicar ações em massa (desabilitar, habilitar, cancelar o registro ou excluir), dependendo dos dispositivos selecionados. 
 Para dispositivos Apple, o menu Ações de dispositivos Apple bloqueia, reinicia, desliga, atualiza as informações ou apaga todos os dispositivos selecionados. Uma ação fica disponível quando todos os dispositivos selecionados são dispositivos Apple registrados que a oferecem suporte. Os PINs dos Macs que forem bloqueados ou apagados são exibidos uma única vez após o envio do comando. Cancelar o registro de dispositivos Apple remove o perfil de registro e as configurações de política deles, sem apagá-los. 
Atualizar planos celulares solicita que os iPhones e iPads selecionados baixem os planos de eSIM que a operadora vinculou aos seus EIDs, a partir de um servidor de eSIM da operadora informado em uma janela para todos eles. Diferentemente das outras ações, ela é enviada apenas aos dispositivos selecionados que a oferecem suporte: Macs, Registros de Usuário, dispositivos com uma versão mais antiga do iOS e iPads que nunca relataram dados celulares são ignorados e listados no resultado. Consulte a página Gerenciamento de SIMs. 
Sincronização com o Apple Business
 Se o Apple Management estiver configurado e um token do Automated Device Enrollment estiver presente, a página pode mostrar a ação Sincronizar do Apple Business para importar dispositivos do Apple Business. Uma mensagem informa quantos dispositivos foram adicionados. Quando alguns foram adicionados, a lista muda para o filtro Todos, porque dispositivos que ainda não foram registrados não são exibidos pelo filtro Registrados. 
Registrar um dispositivo
 Use Registrar um dispositivo para abrir a seção Tokens de registro e começar a registrar um novo dispositivo.

Usuários

Usuários
A seção Usuários do painel (Painel → Usuários) lista todos os usuários configurados na sua conta. Nesta página, você pode pesquisar usuários, abrir o editor de usuário, criar novos usuários e excluir usuários que não estão associados a dispositivos no momento. 
Pesquisar
 No topo da página há um campo de pesquisa com o rótulo Pesquisar e o texto de exemplo Nome, nome de usuário ou e-mail. A lista é atualizada automaticamente depois que você para de digitar. 
Tabela de usuários
 Os usuários são exibidos em uma tabela classificável e paginada. Clicar em uma linha abre o editor de usuário. 
Colunas
Nome: nome e sobrenome do usuário. A tabela é classificada por nome por padrão.
E-mail: endereço de e-mail do usuário.
Nome de usuário: nome de usuário (geralmente um nome de usuário do diretório).
Dispositivos: número de dispositivos atualmente associados ao usuário, excluindo dispositivos com registro cancelado. Inclui dispositivos Apple atribuídos ao usuário que ainda não foram registrados.
Última atividade do dispositivo: o relatório de status mais recente enviado por qualquer um dos dispositivos do usuário. Fica vazio quando o usuário não tem dispositivos. Classifique por esta coluna para encontrar usuários inativos.
Certificado WiFi: nome do certificado Wi‑Fi atribuído ao usuário, com um ícone. Fica vazio quando o usuário não tem certificado.
Id: identificador interno do usuário.
Atualização e paginação
A ação de atualização recarrega a lista.
A tabela é paginada (10/25/50 itens por página).
Ações do usuário
Criar novo usuário
 Use Criar novo usuário para abrir a caixa de diálogo de criação de usuário. Esta ação fica desabilitada quando sua licença está expirada. 
Sincronizar do Google Workspace
 Se a sincronização de diretório do Google Workspace estiver disponível para sua conta, a página mostrará Sincronizar do Google Workspace. Quando você inicia uma sincronização, um indicador de progresso é exibido enquanto a solicitação está em andamento. 
Excluir um usuário
 Você só pode excluir um usuário quando ele não está associado a nenhum dispositivo (a coluna Dispositivos deve ser 0). A ação de excluir fica desabilitada quando sua licença está expirada ou encerrada. 
Seleção de várias linhas e exclusão em massa
 Na barra de ações abaixo da tabela, você pode habilitar a seleção de várias linhas. Nesse modo, você pode selecionar vários usuários e excluí-los em massa. 
Elegibilidade: apenas usuários com Dispositivos = 0 podem ser selecionados para exclusão.
Selecionar tudo: a caixa de seleção Todos seleciona todas as linhas elegíveis na página atual.
Excluir em massa: Excluir usuários selecionados fica desabilitado quando nenhuma linha está selecionada ou quando sua licença está expirada ou encerrada. 
Certificados Wi‑Fi e EAP
 A coluna Certificado WiFi mostra o nome do certificado atribuído atualmente a um usuário. Os certificados de usuário são normalmente usados para configurações de Wi‑Fi EAP (por exemplo, EAP‑TLS). Para atribuição e gerenciamento de certificados, consulte Gerenciamento de certificados.

Editor de usuário
O editor de usuário está disponível em Painel → Usuários ao clicar na linha de um usuário. Ele permite editar os detalhes do usuário, configurar credenciais de Wi‑Fi EAP por usuário e ver os dispositivos associados ao usuário. 
Detalhes do usuário
 A seção superior contém os campos principais do usuário. Alguns campos são obrigatórios e o editor mostra erros de validação quando estão ausentes ou são inválidos. 
Id: identificador somente leitura.
Nome: obrigatório.
Sobrenome: obrigatório.
Nome de usuário: obrigatório.
E-mail: obrigatório e deve ser um endereço de e-mail válido.
Número de telefone: opcional.
Conta do Google: opcional e deve ser um endereço de e-mail válido quando informado.
Apps and Books (somente leitura, exibido no campo Managed Apple Account depois que o usuário registra um iPhone ou iPad pessoal com User Enrollment): o status do usuário do Apps and Books que o Cerberus criou para a Managed Apple Account para atribuir licenças de apps aos dispositivos pessoais do usuário: associado, registrado, aguardando a Apple, sendo criado, com falha ou retirado. Um usuário que permanece registrado ainda pode receber licenças; com falha normalmente significa que a conta não está na mesma organização do Apple Business que o token do Apps and Books. 
Política padrão de autenticação do Google
 Em ambientes do Google Workspace com a autenticação do Google ativada, o editor pode exibir Política padrão de autenticação do Google. Esta é a política aplicada aos dispositivos registrados usando a autenticação do Google por este usuário. 
Alterar política: abre a caixa de diálogo de seleção de política.
Abrir política: abre a política selecionada no editor de políticas (quando uma política está definida).
 Depois de selecionar uma nova política padrão, você precisa salvar o usuário para aplicar a alteração. O editor exibe uma notificação lembrando você de salvar. 
Credenciais de Wi‑Fi EAP
 A seção Credenciais de Wi‑Fi EAP é usada para configurar credenciais por usuário que são instaladas automaticamente nos dispositivos do usuário quando a política atribuída a ele contém uma configuração de Wi‑Fi EAP que as exige. A configuração de Wi‑Fi EAP faz parte da configuração de rede da política do Android. 
Certificado do cliente
 Opcionalmente, você pode atribuir um certificado de cliente a um usuário. Quando um certificado é atribuído, ele é exibido no campo Certificado do cliente e um menu oferece ações. Quando nenhum certificado é atribuído, o campo mostra Nenhum certificado atribuído e você pode atribuir um. 
Atribuir certificado: abre a caixa de diálogo de seleção de certificado.
Abrir certificado: abre o editor de certificados.
Alterar certificado: seleciona um certificado de cliente diferente.
Desassociar certificado: remove o certificado do usuário. O sistema também remove o certificado de todos os dispositivos associados a este usuário. 
 Para importação e gerenciamento de certificados, consulte Gerenciamento de certificados. 
Identidade, identidade anônima e senha
Identidade: identidade do usuário. Para protocolos externos de tunelamento (PEAP, EAP‑TTLS), ela é usada dentro do túnel. 
Identidade anônima: usada para protocolos externos de tunelamento como a identidade apresentada fora do túnel. Quando não especificada, assume por padrão uma string vazia. 
Senha: a senha do usuário para os métodos EAP que a exigem. Se não for especificada, o dispositivo pode solicitar ao usuário. Uma ação de mostrar/ocultar alterna a visibilidade da senha. 
Dispositivos associados
 A seção Dispositivos associados mostra a lista de dispositivos vinculados atualmente ao usuário. Se o usuário tiver um ou mais dispositivos associados, ele não poderá ser excluído. 
Salvar e excluir
Salvar usuário: habilitado apenas quando o formulário é válido, há alterações pendentes e a licença está ativa. Um indicador de progresso é exibido durante o salvamento. 
Excluir usuário: desabilitado quando o usuário está associado a dispositivos ou quando a licença está expirada/encerrada. Quando a exclusão é permitida, uma caixa de diálogo de confirmação é exibida. Se o usuário estiver atribuído a tokens de registro, a caixa de diálogo avisa que os dispositivos registrados com esses tokens não serão mais atribuídos a um usuário. Excluir o usuário também libera as licenças de apps do usuário do Apps and Books correspondente e o encerra na Apple. 
Aviso de alterações não salvas
 Se você tiver alterações não salvas e tentar sair da página, o painel perguntará se você deseja descartar as alterações.

Conta

Configurações
A página Configurações (Painel → Configurações) resume as informações da conta e da licença e oferece ações para gerenciar cobrança, configuração de plataformas (Android Management e Apple Management) e integrações opcionais de diretório/token. 
Banner de licença (perto de expirar / expirada)
 Quando sua licença estiver perto de expirar, expirada ou encerrada, um banner em destaque é exibido no topo da página. Dependendo do estado da sua assinatura, ele oferece uma ação Gerenciar cobrança (portal do cliente Stripe) ou Comprar licença. 
 Quando a licença está expirada, a conta fica limitada apenas ao cancelamento do registro de dispositivos. Após o período de carência, a conta pode ser cancelada e o registro dos dispositivos pode ser cancelado automaticamente. 
Banners de certificados e tokens da Apple (perto de expirar / expirados)
 O Apple Push Certificate (APNs), o token do Apple Business (Automated Device Enrollment) e o token do Apps and Books (antigo VPP) precisam ser renovados todos os anos. A partir de 30 dias antes da expiração, um banner é exibido no topo do painel para cada certificado ou token que esteja perto de expirar ou expirado, com a data de expiração ou o recurso que parou de funcionar. A ação Como renovar abre esta página com as instruções de renovação correspondentes expandidas. 
 Um banner também é exibido quando o certificado MDM de alguns dispositivos Apple expira em até 14 dias e a renovação automática não foi concluída ou expirou: esses dispositivos precisam ser registrados novamente. A ação Mostrar dispositivos abre a lista de dispositivos com o filtro Certificado MDM perto de expirar. 
 Quando o Apple Push Certificate expira, os dispositivos Apple não conseguem receber comandos nem atualizações de política. Quando o token do Apple Business expira, o Automated Device Enrollment deixa de funcionar. Quando o token do Apps and Books expira, os apps não podem ser distribuídos. 
Banner do app Cerberus Enterprise
 O Cerberus instala seu app gratuito Cerberus Enterprise em iPhones e iPads (iOS e iPadOS 18.4 ou posterior) com uma licença de dispositivo do Apps and Books. Um banner é exibido no topo do painel quando o app não está na sua biblioteca do Apple Business, quando o token do Apps and Books está ausente ou expirado, ou quando alguns iPhones e iPads ainda estão aguardando o app (com o respectivo número). Como adicioná-lo abre esta página na linha app Cerberus Enterprise com as etapas; Como configurá-lo (exibido quando o token do Apps and Books está ausente ou expirado) abre as instruções do token do Apps and Books. 
Acesso do gerente da empresa
 O cartão Acesso do gerente da empresa é exibido apenas para empresas gerenciadas por uma conta multi-tenancy (por exemplo, um provedor de serviços gerenciados). Ele permite ver quais contas de gerente podem operar na sua empresa e controlar o acesso delas. 
O cartão mostra:
O proprietário da empresa. O proprietário sempre tem acesso, e o acesso dele não pode ser revogado.
Cada conta de gerente da conta multi-tenancy, identificada como Gerente principal ou Subconta, com o nome, o nome de usuário e o status de acesso (Concedido, Revogado ou Não concedido).
Conceder e revogar acesso
 Use Conceder para permitir que uma conta de gerente entre e gerencie sua empresa, e Revogar para remover esse acesso. Cada ação pede confirmação. Um gerente cujo acesso foi revogado não pode mais operar na empresa, mesmo que esteja trabalhando nela no momento. 
Como administrador da empresa, você pode conceder ou revogar acesso para qualquer conta de gerente listada.
O gerente principal pode conceder ou revogar acesso para as próprias subcontas, mas somente enquanto o próprio acesso estiver concedido. Ele não pode conceder acesso a si mesmo nem revogar o próprio acesso.
 Revogar o acesso do Gerente principal também revoga o acesso de todas as suas subcontas. Quando isso se aplica, a caixa de diálogo de confirmação lista as subcontas que perderão o acesso. 
Informações da conta
O cartão Informações da conta mostra campos somente leitura:
Nome de usuário
Nome da empresa
ID da empresa
Alterar senha
 Se você não entrar com Google, Apple ou Microsoft, o cartão também mostra uma ação Alterar senha. Isso abre uma caixa de diálogo para continuar o fluxo de alteração de senha. 
 Você também pode alterar sua senha a qualquer momento no menu do usuário da barra de ferramentas superior, usando Alterar senha. Isso é útil para contas multi-tenancy, que podem alterar a senha sem entrar em uma empresa. 
 Se um administrador criou sua conta ou redefiniu sua senha, você entra com uma senha temporária e precisa escolher uma nova senha antes de continuar. 
Informações da licença
 O cartão Informações da licença mostra o estado atual da licença e o limite de dispositivos. Ele também oferece ações para falar com vendas e para gerenciar a cobrança ou comprar uma licença. 
Status da licença: exibido como Ativa ou Expirada (com um selo de ícone e uma dica).
Teste grátis: exibido quando a conta está no modo de teste.
Dispositivos licenciados: número máximo de dispositivos permitidos pela licença. O link precisa de mais dispositivos? abre uma mensagem para contatar o suporte. Os dispositivos registrados contam, independentemente do estado (por exemplo, Ativo, Perdido ou Desativado). Os dispositivos com registro cancelado não contam, nem os dispositivos sincronizados do Apple Business até serem registrados. Quando o limite é atingido, um novo dispositivo não é adicionado e seu registro é removido: o evento fica no log do sistema, e os administradores da conta recebem um e-mail. Em dispositivos Apple, a remoção leva cerca de um minuto, e um dispositivo já contado pode ser registrado novamente, assim como um apagado com o Return to Service. 
Próxima renovação agendada: exibida para assinaturas ativas que são renovadas automaticamente. Caso contrário, o cartão mostra a Data de expiração. 
Android Management
 O cartão Android Management mostra o status do Android Management da sua empresa. Se o Android Management ainda não estiver configurado, o cartão oferece uma ação Configurar Android Management que abre o fluxo de configuração. 
Estado configurado
Quando o Android Management está configurado, o cartão pode mostrar:
ID de gerenciamento
Tipo de vinculação: identifica se a empresa usa uma conta do Managed Google Play ou um domínio gerenciado do Google. 
Sincronizado com o Google Workspace (selo exibido quando a sincronização de diretório está ativa)
Sincronizar com o Google Workspace (exibido quando a sincronização de diretório não está configurada; abre o painel de instruções na parte inferior da página) 
Vinculação do Android Enterprise
 O Android Management pode ser associado a uma conta do Managed Google Play ou a um domínio gerenciado do Google. O campo Tipo de vinculação mostra qual opção está associada à sua empresa no momento. 
 Uma conta do Managed Google Play é uma conta leve do Android Enterprise. Ela é adequada para gerenciar dispositivos e apps Android pelo Cerberus Enterprise, mas é separada de uma organização do Google Workspace ou do Cloud Identity. Ela não oferece a experiência central de administração do Google disponível com um domínio gerenciado do Google. 
 Um domínio gerenciado do Google associa o Android Enterprise à identidade Google da sua organização. Administradores de TI podem gerenciar produtos do Google, como Google Workspace, Cloud Identity e Gemini, no Google Admin console, enquanto continuam gerenciando apps e políticas Android no Cerberus Enterprise. Isso oferece uma abordagem mais integrada e simplificada ao gerenciamento do Android e permite fluxos de registro e gerenciamento de usuários baseados no Google Workspace. 
 Quando a empresa usa uma conta do Managed Google Play, o cartão Configurações oferece Fazer upgrade para domínio gerenciado do Google e uma ação de informação. O upgrade abre o processo guiado do Google para mover a empresa Android existente para um domínio gerenciado. 
 Durante o upgrade, o Google pode vincular uma conta do Google Admin existente associada ao seu endereço de e-mail corporativo ou criar automaticamente uma nova conta gratuita do Google Admin. Use um endereço de e-mail corporativo como name@enterprise.com para continuar no processo guiado do Google. 
Apple Device Management
 O cartão Apple Device Management mostra o status do gerenciamento de dispositivos Apple (MDM) da sua empresa. Se o gerenciamento Apple ainda não estiver configurado, o cartão oferece uma ação Configurar Apple Management que abre o fluxo de configuração. 
Estado configurado
Quando o gerenciamento Apple está configurado, o cartão pode mostrar:
ID Apple
Expiração do Apple Push Certificate: mostra a data de expiração e um selo de ícone. Se o certificado estiver perto de expirar/expirado, o selo é clicável e abre as instruções de renovação. 
Expiração do token do Apple Business: mostra a expiração do token do Apple Business usado para o Automated Device Enrollment (com um selo clicável quando é necessária uma ação). 
Token do Apps and Books: mostra o nome da organização e a expiração do token de conteúdo do Apple Apps and Books, antigo Volume Purchase Program (VPP) (com um selo clicável quando é necessária uma ação). 
App Cerberus Enterprise: no cartão do token do Apps and Books, mostra se o app está na sua biblioteca do Apple Business: Na sua biblioteca (licenças ilimitadas), Fora da sua biblioteca ou Não disponível: o token do Apps and Books expirou, e quantos iPhones e iPads estão aguardando por ele. Quando o app está ausente, a linha lista as etapas para adicioná-lo (no Apple Business, abra Apps & Services → Apps & Books → App Store, procure por "Cerberus Enterprise", clique em View, depois em Add, selecione All current and future em Organizational Units, clique em Add e depois em Review e confirme). Verificar novamente lê a biblioteca outra vez (no máximo a cada 5 minutos); os dispositivos que aguardam o app então o recebem. 
Apple Business: link para o portal do Apple Business, exibido quando um token do Apple Business está presente. 
Sincronizar com o Apple Business e Sincronizar com o Apple Apps and Books: exibidos quando os tokens estão ausentes. 
 O gerenciamento Apple exige a configuração do certificado APNs. Se necessário, consulte Configuração do Apple Management (APNs). 
Preferências e privacidade
 O cartão Preferências e privacidade contém um botão de preferência de marketing e links para os Termos de Serviço e a Política de Privacidade. Use Salvar preferências para aplicar as alterações (um indicador de progresso é exibido durante o salvamento). 
Enviar feedback
 Quando as assinaturas estão habilitadas para a conta, a página pode mostrar um cartão Enviar feedback com links para: Fazer uma solicitação de recurso e plataformas externas de avaliação. 
Instruções de configuração e renovação em linha
 Na parte inferior da página, o painel pode mostrar painéis de instruções expansíveis dependendo do estado atual (por exemplo, quando um certificado/token está ausente ou perto de expirar). 
Renovar o Apple Push Certificate (APNs)
 Quando o certificado APNs está perto de expirar ou expirado, a página mostra um painel com etapas para baixar uma CSR, renovar o certificado no portal da Apple e enviar o novo certificado para o Cerberus Enterprise. 
 Enquanto um certificado ou token ainda for válido, o botão de upload ao lado dele abre as mesmas etapas. Use-o quando você baixou um novo token do Apple Business ou do Apps and Books, porque o antigo deixa de funcionar, ou para renovar o Apple Push Certificate antes do tempo. Sempre renove o Apple Push Certificate atual: um diferente é recusado enquanto houver dispositivos Apple registrados, porque eles não poderiam mais ser acessados. 
Sincronizar com o Apple Business
 Quando o token do Apple Business está ausente, expirado ou perto de expirar, a página mostra um painel com as etapas para baixar um token do Apple Business e enviá-lo para o Cerberus Enterprise. Para uma nova conexão, gere o certificado de chave pública no Cerberus Enterprise e, no Apple Business, abra Devices → Management Services, clique em Add em Device Management Services, escolha Connect external device management e clique em Continue; insira um Service Name (por exemplo, Cerberus Enterprise), envie o certificado com Upload Certificate, clique em Next, depois em Download Service Token e Done. Para renovar o token, selecione o serviço Cerberus Enterprise em Management Services, clique no botão … (mais) no canto superior direito e escolha Download Token. 
 Os dispositivos só são registrados no Cerberus Enterprise quando são atribuídos ao serviço dele no Apple Business: abra Devices → Management Services → Default Device Assignment para atribuir novos dispositivos automaticamente (por tipo de dispositivo), ou Devices → Inventory, selecione os dispositivos e clique em Assign Device Management. 
Sincronizar com o Apple Apps and Books (VPP)
 Quando o token do Apps and Books está ausente, expirado ou perto de expirar, a página mostra um painel com as etapas para baixar um token de conteúdo do Apple Business e enviá-lo para o Cerberus Enterprise: no Apple Business, abra o menu da organização no canto superior direito (o nome da sua organização) → Settings → Organizational Units, selecione a unidade organizacional (a unidade padrão é a sua organização) e clique em Download na seção Content Token. O token expira após um ano, ou antes, quando a senha da Conta Apple que o baixou for alterada. 
 A última etapa da configuração do Apps and Books adiciona o app gratuito Cerberus Enterprise à sua biblioteca do Apple Business, para que o Cerberus possa instalá-lo nos seus iPhones e iPads. 
Sincronizar com o Google Workspace
 Quando a sincronização de diretório do Google Workspace não está configurada, a página mostra um painel que explica a integração e fornece um botão de autorização. Ele também lista o escopo OAuth do Google necessário: https://www.googleapis.com/auth/admin.directory.user.readonly. 
 Para a configuração inicial do Android, consulte Configuração do Android Management.

Multitenância

Visão geral da multilocação
A seção Multilocação está disponível para contas de MSP e de gerente de empresa que gerenciam várias empresas clientes a partir de um único login. Este capítulo explica o modelo de escopo de empresa, a troca de empresa, a administração de empresas gerenciadas e as subcontas. 
 Para solicitar uma conta de multilocação, entre em contato com enterprise@cerberusapp.com. 
Conceitos principais
Conta principal de multilocação: a conta de gerente principal que pode acessar o espaço de trabalho global de multilocação.
Subconta: uma conta de gerente delegado criada pela conta principal, com atribuições de empresas selecionáveis.
Contexto de empresa selecionado: a empresa ativa atualmente aberta no painel para as operações do dia a dia.
Delegação: permissão concedida por um proprietário de empresa que permite que uma conta de gerente entre e gerencie essa empresa.
Modelo de navegação
 Quando nenhum contexto de empresa está selecionado, a navegação lateral mostra áreas de multilocação, como Empresas e, para contas principais, Subcontas. Depois de entrar em uma empresa, o painel muda para a navegação padrão de empresa única (Início, Usuários, Dispositivos, Registro, Políticas e muito mais). 
Propriedade e delegação
 Cada empresa gerenciada tem um proprietário. O proprietário sempre pode acessar essa empresa. Contas de gerente que não são proprietárias só podem acessar uma empresa quando a delegação é concedida. 
Quando uma empresa tem seu próprio usuário administrador, esse administrador é o proprietário e decide quais contas de gerente podem acessar a empresa.
Quando uma empresa não tem um usuário administrador próprio, a conta principal de multilocação é a proprietária.
Em empresas de propriedade de um administrador cliente, a conta principal pode conceder ou revogar o acesso de suas próprias subcontas enquanto o próprio acesso estiver concedido, mas não pode conceder acesso a si mesma.
Se o administrador da empresa revogar o acesso da conta principal, o acesso de suas subcontas também será revogado.
Remover uma empresa das atribuições de uma subconta também remove o acesso dessa subconta à empresa. Se você atribuí-la novamente mais tarde, o acesso precisará ser concedido de novo.
 Os administradores da empresa gerenciam o acesso no cartão Acesso do gerente da empresa na página Configurações. 
 O estado de propriedade e de delegação é mostrado diretamente nos cartões de empresa para deixar explícito o escopo de acesso antes de entrar em uma empresa. 
Ações de licença e cobrança
 As visualizações de multilocação expõem o status da licença, os limites de dispositivos e as ações de cobrança da empresa. Dependendo do estado da assinatura da empresa e das suas permissões, o cartão pode mostrar Gerenciar cobrança ou Comprar licença. 
 Para empresas criadas por uma conta de multilocação, o licenciamento é gerenciado pelos usuários de multilocação. A conta principal sempre pode gerenciar o licenciamento, enquanto as subcontas só podem gerenciá-lo quando a conta principal ativa Pode gerenciar licença para essa subconta. 
Páginas deste capítulo
Empresas gerenciadas: pesquisa, filtros, detalhes dos cartões e criação de empresas.
Troca de empresa: comportamento do seletor superior e transições de escopo.
Subcontas: operadores delegados, atribuições e gerenciamento de credenciais.

Empresas gerenciadas
A página Empresas (Painel → Empresas) é o centro de controle do acesso às empresas gerenciadas. Ela lista todas as empresas visíveis para a sua conta de multilocação e permite filtrar, inspecionar a propriedade/delegação, entrar em um contexto de empresa e criar novas empresas gerenciadas (somente contas principais). 
Pesquisa e filtros
Pesquisar empresa: filtra por nome ou ID da empresa.
Delegação: Todas, Delegadas ou Não delegadas.
Status da licença: Todas, Válidas, Perto de expirar, Expiradas ou Encerradas.
Cartões de empresa
Cada cartão de empresa mostra metadados importantes de gerenciamento:
Status da licença com selo de ícone e dica contextual.
Dispositivos licenciados (limite de dispositivos da empresa).
Próxima renovação agendada ou Data de expiração, dependendo do estado da assinatura.
Estado de Delegação (Proprietário, Concedida ou Não concedida).
Proprietário: nome de exibição e nome de usuário.
Empresas selecionadas recentemente
 As empresas que você acessou recentemente ficam fixadas em uma seção Selecionadas recentemente para acelerar a troca repetida de contexto. 
Ações da empresa
Entrar na empresa: abre o contexto da empresa selecionada quando a delegação/propriedade permite o acesso.
Gerenciar cobrança: abre o gerenciamento de cobrança da empresa quando disponível e permitido.
Comprar licença: abre o fluxo de compra da empresa quando a cobrança não está ativa.
Quem pode gerenciar licenças
 Para empresas criadas por uma conta de multilocação, o gerenciamento de licenças é controlado pelos usuários de multilocação. A conta principal sempre pode gerenciar a cobrança e as ações de licença dessas empresas. 
 As subcontas podem gerenciar a cobrança e as ações de licença somente se a conta principal conceder a permissão Pode gerenciar licença na página Subcontas. 
Criar empresa gerenciada
 Contas principais de multilocação podem expandir Criar empresa gerenciada na área de ações na parte inferior. 
Nome da empresa é obrigatório.
Criar usuário administrador por empresa controla o modo de propriedade.
Quando ativado, Nome de usuário do administrador (formato de e-mail) e Nome do administrador são obrigatórios.
Antes da criação, uma caixa de diálogo de confirmação resume a operação e, quando aplicável, avisa que credenciais temporárias são enviadas por e-mail ao novo usuário administrador.
 O novo usuário administrador deve escolher uma nova senha na primeira vez que entrar com a senha temporária. 
Modo de propriedade
Administrador por empresa ativado: o novo usuário administrador é proprietário da empresa e pode delegar o gerenciamento à sua conta de multilocação.
Administrador por empresa desativado: a empresa é de propriedade direta da sua conta de multilocação.
Cota de empresas
 Se a conta atingir a cota de empresas configurada, a criação é bloqueada e o formulário exibe uma mensagem de contato de suporte com a contagem atual e máxima de empresas. 
 Quando a cota de empresas é atingida, você não pode criar empresas gerenciadas adicionais até que seu limite seja aumentado.

Troca de empresa
O seletor de empresas na barra de ferramentas superior permite que usuários de multilocação alternem entre empresas delegadas sem sair da conta. Ele fica disponível quando pelo menos um contexto de empresa pode ser selecionado. 
Comportamento do seletor
O gatilho mostra o nome da empresa atual (ou o ID da empresa, se não houver nome disponível).
O menu lista as empresas delegadas/acessíveis e marca a empresa atual como já selecionada.
Durante a troca, as ações do seletor são temporariamente desativadas para evitar mudanças simultâneas de escopo.
Sair da empresa
 O menu do seletor inclui Sair da empresa, que limpa o contexto da empresa atual e retorna você ao espaço de trabalho global de multilocação. 
Regras de redefinição de contexto
 Trocar de empresa ou sair da empresa redefine o escopo do painel. As páginas e os dados específicos da empresa são atualizados para o contexto recém-selecionado, e a visibilidade do menu se adapta ao fato de uma empresa estar selecionada no momento. 
 A empresa selecionada se aplica a todas as abas do navegador que você tem abertas. Se você trocar ou sair de uma empresa em uma aba, as outras abas recarregam o painel na próxima ação, para que nunca operem em uma empresa diferente da que está sendo exibida. 
 Use o seletor para mudanças rápidas de contexto operacional, mas verifique o nome da empresa selecionada antes de executar ações sensíveis, como atualizações de política ou comandos de dispositivo.

Subcontas
A página Subcontas (Painel → Subcontas) está disponível para contas principais de multilocação. Ela permite criar usuários gerentes delegados, atribuir empresas gerenciadas, controlar permissões de cobrança e manter credenciais de subcontas. 
Lista de subcontas
Cada cartão de subconta mostra a identidade e os controles de gerenciamento:
Nome e nome de usuário/e-mail.
Atribuição de múltipla seleção de Empresas gerenciadas.
Interruptor da permissão Pode gerenciar licença.
Ações de Redefinir senha e Excluir.
Atribuição de empresas gerenciadas
 As atribuições de empresas são editadas por meio do campo de múltipla seleção Empresas gerenciadas. Quando você fecha o seletor após as alterações, o painel pede confirmação antes de salvar as atualizações. 
 Atribuir uma empresa a torna disponível para a subconta, mas a subconta só pode entrar nela depois que o acesso for concedido. Remover uma empresa das atribuições também remove o acesso da subconta a ela. 
Permissão de gerenciamento de licenças
 O interruptor Pode gerenciar licença controla se uma subconta pode acessar as ações de cobrança/licenciamento da empresa. 
 Para empresas criadas pela conta de multilocação, a conta principal sempre tem direitos de gerenciamento de licenças. As subcontas recebem direitos de gerenciamento de licenças apenas quando esse interruptor é ativado pela conta principal. 
Redefinição de senha
Redefinir senha gera uma nova senha temporária e a envia à subconta por e-mail após a confirmação. 
 Ao entrar com uma senha temporária, seja após uma redefinição ou para uma subconta recém-criada, o usuário deve escolher uma nova senha antes de continuar. 
Excluir subconta
 Excluir uma subconta requer confirmação e remove permanentemente o acesso delegado dessa conta. 
Criar subconta
 Use o painel de ações na parte inferior Criar subconta para adicionar um novo gerente delegado. 
E-mail: obrigatório e validado no formato de e-mail.
Nome: nome de exibição obrigatório.
Pode gerenciar licença: permissão inicial de cobrança opcional.
Antes da criação, uma caixa de diálogo de confirmação avisa que um e-mail com senha temporária é enviado ao endereço fornecido.

Insights
Veja alguns artigos que exploram como o MDM pode ajudar sua empresa:
O que é o modo quiosque? Um guia para bloquear dispositivos Android & Apple para empresas
O modo quiosque transforma celulares e tablets comuns em ferramentas de negócios focadas. O Cerberus Enterprise ajuda as organizações a bloquear dispositivos em um único app ou em um pequeno conjunto aprovado de apps para casos de uso como PDV no varejo, check-in de visitantes e navegação de frotas, mantendo esses dispositivos especializados mais fáceis de proteger, manter e gerenciar em escala.
Como escolher a solução de MDM certa: uma lista de verificação de 7 pontos para pequenas empresas
Escolher o MDM no final do processo de compra fica mais fácil quando a comparação se mantém prática. Esta lista de verificação ajuda pequenas empresas a avaliar fornecedores segundo os sete critérios que costumam ser mais importantes em implantações reais: segurança, suporte a Android e Apple, facilidade de uso para equipes enxutas, escalabilidade, limites de privacidade, custo total de propriedade e suporte no dia a dia.
Criando uma sala de aula digital segura e focada: um guia de MDM para escolas de educação básica
Dispositivos gerenciados pela escola funcionam melhor quando permanecem focados no aprendizado. O Cerberus Enterprise ajuda organizações de educação básica a manter os dispositivos dos alunos focados por meio de apps gerenciados, restrições no estilo quiosque, configurações padronizadas de dispositivos compartilhados ou emprestados e ações de recuperação remota que reduzem perdas, desvios e interrupções na sala de aula.
Equipando seus técnicos de campo: como o MDM aumenta a eficiência e a segurança no local
Técnicos de campo dependem de dispositivos móveis para agendas, notas de serviço, referências técnicas, histórico do cliente e atualizações de trabalho enquanto atuam no local. O Cerberus Enterprise ajuda a manter esses dispositivos prontos por meio de apps gerenciados, modelos padronizados de dispositivos, comandos de suporte remoto e visibilidade baseada em localização que pode melhorar a coordenação do despacho e reforçar a segurança em campo.
Além do mapa: usando o MDM para um gerenciamento de frotas mais inteligente e a segurança dos motoristas
As operações de frota dependem de dispositivos móveis para navegação, despacho, mensagens, registro e execução em campo. O Cerberus Enterprise ajuda a manter esses dispositivos focados em fluxos de trabalho aprovados por meio de apps gerenciados, controles de quiosque e de dispositivo dedicado, políticas de comunicação segura, solução remota de problemas e supervisão baseada em localização que pode reduzir o tempo de inatividade e apoiar operações de direção mais seguras.
Como geofences, rastreamento em tempo real e mapas de localização melhoram as operações empresariais
Os recursos baseados em localização do Cerberus Enterprise ajudam as organizações a passar da simples visibilidade dos dispositivos para um controle operacional mais prático. Relatórios periódicos de localização, rastreamento em tempo real, transições de geofence e mapas interativos podem apoiar logística, serviço de campo, saúde, varejo, construção e outras equipes distribuídas que precisam de melhor visão sobre onde o trabalho acontece e quando os dispositivos entram ou saem de áreas importantes.
Como a multilocação ajuda os MSPs a escalar serviços de MDM e criar novas fontes de receita
A multilocação permite que MSPs, revendedores e organizações multicompanhia gerenciem várias empresas a partir de uma única conta do Cerberus Enterprise, mantendo cada ambiente separado. Esse modelo reduz o atrito operacional, melhora a escalabilidade do serviço e oferece suporte ao acesso delegado por meio de subcontas e de uma administração explícita controlada pelo cliente. Ele também cria oportunidades de negócios mais fortes para provedores que desejam combinar licenciamento de software com integração inicial, suporte, conformidade e serviços de mobilidade gerenciada.
Aprimorando a operabilidade empresarial com soluções de MDM
O Mobile Device Management centraliza o controle dos dispositivos da empresa, simplificando o registro, a configuração e a manutenção. O provisionamento automatizado e as operações em massa reduzem o trabalho manual de TI e garantem políticas consistentes em todos os dispositivos. Recursos de segurança como criptografia, monitoramento de conformidade e apagamento remoto protegem os dados corporativos. No geral, o MDM melhora a produtividade enquanto reduz os custos de suporte e a complexidade operacional.
Segurança avançada no gerenciamento do Android Enterprise
O Android Enterprise usa um perfil de trabalho para isolar apps e dados corporativos do conteúdo pessoal no mesmo dispositivo. Essa conteinerização cria ambientes criptografados separados, gerenciados de forma independente pelos administradores de TI. As políticas de segurança podem controlar o compartilhamento de dados corporativos sem afetar os apps pessoais. A arquitetura protege os dados empresariais mesmo que os aplicativos pessoais sejam comprometidos.
MDM para Apple iPhone e registro automatizado
A estrutura de MDM da Apple possibilita o gerenciamento centralizado de iPhones em ambientes corporativos. Combinada com o Apple Business Manager, os dispositivos podem se registrar e se configurar automaticamente na primeira ativação. Os administradores podem implantar e configurar apps corporativos silenciosamente, aplicar configurações de segurança e monitorar a conformidade. Essa automação garante uma configuração consistente dos dispositivos e reduz erros de instalação.
Entendendo o Mobile Device Management
O Mobile Device Management oferece uma plataforma centralizada para monitorar, proteger e controlar dispositivos móveis que acessam sistemas corporativos. Os principais recursos incluem a aplicação de políticas de segurança, o gerenciamento de aplicativos e o bloqueio ou apagamento remoto de dispositivos perdidos. O MDM ajuda a proteger os dados corporativos enquanto mantém a conformidade dos dispositivos. Ele permite que organizações de qualquer porte gerenciem com segurança uma força de trabalho móvel crescente.
Modelos de implantação de dispositivos empresariais
As organizações podem adotar vários modelos de propriedade de dispositivos, como BYOD, CYOD, COPE, COBO e COSU. Cada modelo equilibra custo, flexibilidade do usuário e controle de segurança de forma diferente. O BYOD prioriza a conveniência do usuário, enquanto o COBO e o COSU maximizam o controle e a segurança corporativos. A escolha do modelo correto depende de requisitos regulatórios, necessidades da força de trabalho e capacidade de gerenciamento de TI.
MDM vs. EMM vs. UEM
O MDM se concentra em gerenciar e proteger dispositivos móveis por meio da aplicação de políticas, do controle de configuração e do gerenciamento remoto. O EMM amplia esse escopo para incluir o gerenciamento de aplicativos e conteúdo, enquanto o UEM tenta gerenciar todos os endpoints, incluindo notebooks e desktops. Para muitas PMEs, suítes completas de EMM ou UEM adicionam complexidade desnecessária. Na prática, recursos robustos de MDM costumam atender à maioria dos requisitos de gerenciamento móvel.
MDM em celulares pessoais e a privacidade dos funcionários
Os sistemas modernos de MDM usam conteinerização para separar dados de trabalho e pessoais em dispositivos de propriedade dos funcionários. Os empregadores só podem gerenciar e monitorar o ambiente de trabalho, incluindo apps corporativos e informações de conformidade do dispositivo. Dados pessoais como fotos, mensagens e histórico de navegação permanecem inacessíveis à empresa. Essa separação técnica possibilita programas de BYOD seguros e preserva a privacidade dos funcionários.
ROI do MDM e valor para os negócios
O MDM deve ser avaliado como um investimento estratégico, e não como uma simples despesa de segurança. Ele gera retorno financeiro por meio da redução da perda de dispositivos, de custos menores de suporte de TI e de maior eficiência operacional. O gerenciamento automatizado também aumenta a produtividade dos funcionários e reduz o tempo de inatividade. Além disso, uma segurança mais forte reduz o risco e o impacto financeiro de violações de dados.
Gerenciamento de dispositivos em conformidade com a HIPAA
As organizações de saúde devem proteger os dados eletrônicos dos pacientes de acordo com os requisitos de segurança da HIPAA. O MDM ajuda a aplicar criptografia, controles de autenticação, transmissão segura de dados e registros de auditoria detalhados. Ele também possibilita o apagamento remoto e a aplicação centralizada de políticas para dispositivos que acessam sistemas médicos. Esses controles reduzem os riscos de conformidade e viabilizam fluxos de trabalho móveis em ambientes de saúde.
MDM para operações e segurança no varejo
As organizações do varejo dependem de dispositivos móveis para sistemas de PDV, gerenciamento de estoque e operações na loja. O MDM garante que esses dispositivos permaneçam seguros, atualizados e em conformidade com padrões como PCI-DSS. O gerenciamento centralizado reduz o tempo de inatividade e simplifica a implantação de dispositivos em várias unidades. O resultado é maior eficiência operacional e menor risco de incidentes de segurança relacionados a pagamentos.