Manuale utente

Documentazione per Cerberus Enterprise MDM

Introduzione

Cerberus Enterprise è una soluzione EMM completa, progettata per aiutarti a proteggere e gestire i tuoi dispositivi Android e Apple. Dispone di tutte le funzionalità giuste per una gestione efficace dei dispositivi BYOD e di proprietà dell'azienda in una dashboard pulita e intuitiva, e puoi iniziare in pochi minuti.

Per usare efficacemente Cerberus Enterprise, devi comprendere alcuni concetti chiave su come funziona il sistema.

Il sistema supporta la gestione sia dei dispositivi Android che Apple:

Su Android, Cerberus Enterprise utilizza l'API ufficiale di Google Android Management API per gestire i dispositivi tramite l'app Android Device Policy (ADP). La maggior parte delle impostazioni viene applicata direttamente da ADP. Alcune funzionalità facoltative possono richiedere anche l'app companion Cerberus Enterprise, che estende le possibilità oltre ADP.

Sui dispositivi Apple (iPhone, iPad e Mac), Cerberus Enterprise gestisce i dispositivi tramite Apple MDM (Mobile Device Management). La gestione Apple richiede un certificato APNs e può facoltativamente integrarsi con Apple Business per la registrazione automatizzata e la licenza delle app. Su iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, Cerberus installa anche l'app companion Cerberus Enterprise, che condivide la posizione del dispositivo e riceve notifiche.

Ogni dispositivo può essere registrato nel sistema usando un Token di registrazione o un Profilo di registrazione (registrazione manuale Apple). Il metodo di registrazione è associato a una Policy che contiene le regole da applicare ai dispositivi.

Gli amministratori IT possono cambiare la policy associata a un dispositivo dopo la registrazione. Tuttavia, ogni dispositivo può essere associato a una sola policy alla volta.

Durante il processo di registrazione (provisioning), i componenti di gestione richiesti vengono installati e configurati automaticamente. Su Android, questo in genere include l'app Android Device Policy (e, a seconda della configurazione, l'app companion Cerberus Enterprise). Sui dispositivi Apple, la gestione viene applicata tramite MDM una volta registrato il dispositivo, e iPhone e iPad ricevono poi l'app companion Cerberus Enterprise (questa richiede l'app gratuita nella tua libreria di Apple Business e un token di Apps and Books). Di conseguenza, la policy corrispondente viene applicata automaticamente al dispositivo e tutte le regole associate vengono applicate dal sistema di gestione della piattaforma.

Una policy può essere applicata a molti dispositivi. In questo caso, quando modifichi la policy, tutti i dispositivi associati riceveranno le modifiche.

 

Configurazione

Configurazione

Configurazione di Android Management

Per gestire i dispositivi Android con Cerberus Enterprise, devi prima collegare la tua organizzazione a Google Android Enterprise.

Il processo di configurazione richiede di solito alcuni minuti e necessita di un indirizzo email di lavoro (ad esempio name@enterprise.com) o, in alternativa, di un indirizzo email Google personale.

Cosa succede durante la configurazione

Informazioni importanti

Ti consigliamo di registrarti con un indirizzo email di lavoro, non con un account Gmail personale. Se l'indirizzo email è già associato a un account Google Admin, quell'account esistente viene riutilizzato e collegato a Cerberus Enterprise; in caso contrario, viene creato un nuovo account Google Admin gratuito. Un account Google Admin sblocca l'intero set di funzionalità — ad esempio, la registrazione di dispositivi tramite autenticazione Google con account gestiti dal tuo dominio Google Admin.

Non hai un indirizzo email di lavoro?

Puoi comunque registrarti con un indirizzo email Google personale (ad esempio un account Gmail). In questo caso, Google crea un account Managed Google Play gratuito collegato a Cerberus Enterprise.

Passi successivi

Dopo aver completato la configurazione, crea un Token di registrazione e scegli il metodo di provisioning appropriato per il dispositivo.

Configurazione

Configurazione di Apple Management (APNs)

Per gestire i dispositivi Apple, Cerberus Enterprise richiede il certificato del servizio Apple Push Notification (APNs).

Usa l'Apple ID associato alla tua organizzazione. Il certificato APNs è valido per un anno e deve essere rinnovato ogni anno per continuare a gestire i dispositivi.

Passaggio 1: scarica il file CSR

Nella dashboard, avvia la configurazione di Apple Management e scarica il file di richiesta di firma del certificato (CSR) firmata dal fornitore generato da Cerberus Enterprise.

Passaggio 2: crea il certificato push sul portale Apple

Link del portale: https://identity.apple.com/

Passaggio 3: carica il certificato push

Carica di nuovo in Cerberus Enterprise il certificato push scaricato da Apple per completare la configurazione.

Se il certificato APNs scade, la gestione dei dispositivi Apple smette di funzionare finché il certificato non viene rinnovato.

A partire da 30 giorni prima della scadenza, la dashboard mostra un banner con un'azione Come rinnovare. Rinnova sempre il certificato esistente nel Portale dei certificati push Apple con lo stesso Apple ID: un nuovo certificato ha un argomento diverso e i dispositivi già registrati dovrebbero essere registrati di nuovo.

Passi successivi

Dopo aver configurato APNs, puoi procedere con la registrazione dei dispositivi Apple. Continua con Panoramica sul provisioning Apple.

Panoramica sul provisioning dei dispositivi

Cerberus Enterprise supporta la gestione dei dispositivi sia per Android sia per Apple. Puoi configurare una delle due piattaforme in modo indipendente, a seconda dei dispositivi che devi registrare.

1. Completa la configurazione della piattaforma nella dashboard

Prima di registrare i dispositivi, completa la configurazione della piattaforma nella dashboard di Cerberus Enterprise. Se il tuo account non è ancora configurato, la dashboard ti guiderà nei passaggi necessari.

Configurazione Android (Google Android Enterprise)

Per la procedura completa di configurazione Android, leggi la pagina Configurazione di Android Management.

Configurazione Apple (certificato push APNs)

Per la procedura completa di configurazione Apple, leggi la pagina Configurazione di Apple Management (APNs).

2. Registra i dispositivi

Dopo aver completato la configurazione della piattaforma, scegli il metodo di registrazione adatto al tuo modello di proprietà dei dispositivi e al sistema operativo.

Registrazione Android

Per Android, la registrazione è guidata dai Token di registrazione. Seleziona il metodo appropriato a seconda che il dispositivo sia di proprietà personale o aziendale.

Registrazione Apple

Provisioning dispositivi - Android

Provisioning dispositivi - Android

Dispositivi supportati

In generale, qualsiasi dispositivo con Android 6 o versione successiva e Google Play Services è compatibile con Cerberus Enterprise.

Per un'esperienza utente migliore, ti consigliamo di usare dispositivi che soddisfano i requisiti Android Enterprise Recommended.

Alcune funzioni sono limitate a specifiche versioni di Android o possono comportarsi diversamente tra le versioni del sistema operativo. Per maggiori informazioni su una funzione specifica, vedi la sezione Policy della documentazione.

Cerberus Enterprise supporta sia i dispositivi aziendali sia quelli di proprietà personale, e due modalità di gestione: device owner e profile owner.

I dispositivi di proprietà personale possono essere gestiti tramite un profilo di lavoro. Questo consente una soluzione BYOD mantenendo separati i dati e le app di lavoro dei dipendenti dai dati e dalle app personali, migliorando sicurezza e privacy. Questa opzione è adatta ai dispositivi già di proprietà dei dipendenti che vuoi registrare nella tua organizzazione per uso lavorativo.

I dispositivi aziendali possono anche essere gestiti tramite un profilo di lavoro, ma puoi anche scegliere l'opzione completamente gestito, che consente un controllo più rigoroso sul dispositivo. I dispositivi aziendali con profilo di lavoro sono adatti quando fornisci dispositivi aziendali ai dipendenti per il lavoro, consentendo comunque l'uso personale. I dispositivi completamente gestiti sono più adatti ai dispositivi che devono essere usati solo per il lavoro o ai dispositivi dedicati (COSU, corporate-owned single-use), come i chioschi.

Per maggiori informazioni sul provisioning dei dispositivi, vedi la pagina Panoramica sul provisioning dei dispositivi.


Provisioning dispositivi - Android

Token di registrazione

Cerberus Enterprise usa i token di registrazione per avviare il processo di registrazione (provisioning) dei dispositivi Android. Il token che selezioni definisce la policy iniziale applicata ai dispositivi registrati e influenza quali modalità di provisioning sono consentite.

La scheda dei token di registrazione Android è disponibile solo dopo aver completato la configurazione di Android Management.

Dove trovare i token di registrazione

Nella dashboard, apri Token di registrazione. A seconda della configurazione dell'account, la pagina può mostrare più schede (token Android, registrazione con accesso Google, registrazione manuale Apple e Apple Automated Device Enrollment).

Se il tuo enterprise Android è supportato da un dominio Google gestito (Google Workspace), la dashboard può anche mostrare una scheda Autenticazione con Google Enrollment. Per dettagli su come abilitarla e usarla, vedi Autenticazione con Google enrollment.

Elenco dei token di registrazione (Android)

La scheda dei token Android mostra una tabella con tutti i token. Facendo clic su una riga si apre la pagina dei dettagli del token.

Colonne

Azioni

Crea un nuovo token di registrazione

Nella scheda dei token Android, fai clic su Nuovo token di registrazione per aprire la pagina di creazione del token. Se la licenza è scaduta, il pulsante di creazione è disabilitato.

Opzioni del token

1. Policy

Obbligatorio. La policy applicata automaticamente a tutti i dispositivi registrati con questo token. Seleziona una delle tue policy Android. Se non hai ancora nessuna policy, creane prima una.

2. Utente

Facoltativo. Se impostato, i dispositivi appena registrati vengono associati automaticamente a questo utente.

3. Uso personale

Controlla se l'uso personale è consentito su un dispositivo di cui è stato eseguito il provisioning con questo token di registrazione:

4. Utilizzi consentiti

Seleziona se il token può essere usato più volte (Multiplo) o una sola volta (Una sola volta).

5. Scadenza

Seleziona l'unità di scadenza (Minuti, Ore, Giorni o Mai). Se non è impostata su Mai, inserisci il valore di scadenza. L'intervallo consentito dipende dall'unità selezionata e può arrivare fino a 10.000 giorni.

6. Autenticazione Google

Controlla se l'utente deve autenticarsi con un account Google durante la registrazione del dispositivo:

Quando è selezionato Obbligatorio, appare un campo facoltativo Email dell'account richiesto. Se impostato, l'utente deve autenticarsi con quello specifico account Google durante la registrazione.

Opzioni di provisioning (solo codice QR)

Queste opzioni aggiuntive sono incorporate nel codice QR e vengono applicate durante il provisioning dei dispositivi completamente gestiti registrati tramite scansione del codice QR. Non si applicano ai profili di lavoro né ai dispositivi registrati usando l'URL di registrazione o il token.

Configurazione Wi‑Fi

Usalo per consentire a un dispositivo di connettersi automaticamente al Wi‑Fi durante il provisioning, così può scaricare e inizializzare l'app di gestione. I campi disponibili includono SSID, SSID nascosto, Sicurezza e (se necessario) Passphrase.

Puoi anche configurare un proxy HTTP (Proxy) e, a seconda della modalità, impostare Host/Porta, URI PAC e Host di esclusione proxy.

Altre opzioni

Le opzioni aggiuntive includono Locale, Fuso orario e Salta crittografia.

Dettagli del token di registrazione

Quando apri un token, la pagina dei dettagli mostra la configurazione e le informazioni sull'utilizzo del token:

Per procedure di provisioning dettagliate, segui le guide alla registrazione Android: Dispositivi di proprietà personale, Dispositivi aziendali per uso lavorativo e personale, Dispositivi aziendali per solo uso lavorativo e Zero-touch.

Provisioning dispositivi - Android

Dispositivi di proprietà personale

I dispositivi di proprietà dei dipendenti possono essere configurati con un profilo di lavoro. Un profilo di lavoro offre uno spazio autonomo per le app e i dati di lavoro, separato dalle app e dai dati personali. La maggior parte delle policy di gestione di app, dati e altro si applica solo al profilo di lavoro, mentre le app e i dati personali dei dipendenti restano privati.
Per configurare un profilo di lavoro su un dispositivo di proprietà personale, usa uno dei seguenti metodi di provisioning (assicurati che il token di registrazione abbia Uso personale impostato su Consentito):

Link del token di registrazione

Versione Android
6.0+
Puoi fornire l'URL di registrazione agli utenti finali. Quando un utente finale apre il link dal proprio dispositivo, viene guidato nella configurazione del profilo di lavoro.

Aggiungi profilo di lavoro da "Impostazioni"

Versione Android
6.0+
Per configurare un profilo di lavoro sul proprio dispositivo, un utente può aprire l'app Impostazioni del dispositivo, poi usare la barra di ricerca per trovare e toccare l'opzione Configura il profilo di lavoro.

Se la ricerca non dà risultati, la posizione di questa opzione può variare. Ecco alcune possibilità:

Questi passaggi avviano una procedura guidata di configurazione che scarica Android Device Policy sul dispositivo. Poi all'utente viene chiesto di scansionare un codice QR o inserire manualmente un token di registrazione per completare la configurazione del profilo di lavoro.

Scarica Android Device Policy

Versione Android
6.0+
Per configurare un profilo di lavoro sul proprio dispositivo, un utente può scaricare Android Device Policy dal Google Play Store. Dopo l'installazione dell'app, all'utente viene chiesto di scansionare un codice QR o inserire manualmente un token di registrazione per completare la configurazione del profilo di lavoro.

iPhone e iPad personali

Gli iPhone e gli iPad personali (e i Mac) si registrano con User Enrollment di Apple: l'utente accede con il proprio Managed Apple Account nelle impostazioni del dispositivo e vengono gestite solo le app, gli account e i dati di lavoro. Su iPhone e iPad le app dell'App Store della policy e l'app Cerberus Enterprise vengono installate con una licenza utente di quell'account. La posizione dei dispositivi personali viene raccolta solo se la loro policy attiva Posizione e geofence sui dispositivi personali e l'utente lo consente. Leggi Registrazione con account Apple.

Provisioning dispositivi - Android

Dispositivi aziendali per uso lavorativo e personale

Configurare un dispositivo aziendale con un profilo di lavoro consente di usarlo sia per il lavoro sia per uso personale. Sui dispositivi aziendali con profilo di lavoro:
Per configurare un dispositivo aziendale con un profilo di lavoro, usa uno dei seguenti metodi di provisioning (assicurati che il token di registrazione abbia Uso personale impostato su Consentito):

Metodo con codice QR

Versione Android
8.0+
Su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica, l'utente (in genere un amministratore IT) tocca lo schermo sei volte nello stesso punto. Questo fa sì che il dispositivo chieda all'utente di scansionare un codice QR.
Provisioning dispositivi - Android

Dispositivi aziendali per solo uso lavorativo

La gestione completa del dispositivo è adatta ai dispositivi aziendali destinati esclusivamente al lavoro. Le aziende possono gestire tutte le app sul dispositivo e applicare l'intera gamma di policy e comandi dell'Android Management API.
È anche possibile bloccare un dispositivo (tramite policy) su una singola app o su un piccolo insieme di app per uno scopo o un caso d'uso dedicato. Questo sottoinsieme di dispositivi completamente gestiti è chiamato dispositivi dedicati.
Per configurare la gestione completa su un dispositivo aziendale, usa uno dei seguenti metodi di provisioning (assicurati che il token di registrazione abbia Uso personale impostato su Non consentito):

Metodo con codice QR

Versione Android
7.0+
Su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica, l'utente (in genere un amministratore IT) tocca lo schermo sei volte nello stesso punto. Questo fa sì che il dispositivo chieda all'utente di scansionare un codice QR.

Metodo con identificatore DPC

Versione Android
5.1+
Se Android Device Policy non può essere aggiunto tramite codice QR, un utente o un amministratore IT può seguire questi passaggi per eseguire il provisioning di un dispositivo completamente gestito o dedicato:

1. Segui la procedura guidata di configurazione su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica.
2. Inserisci i dati di accesso Wi-Fi per collegare il dispositivo a internet.
3. Quando ti viene chiesto di accedere, inserisci afw#setup, che scarica Android Device Policy.
4. Scansiona un codice QR o inserisci manualmente un token di registrazione per eseguire il provisioning del dispositivo.
Provisioning dispositivi - Android

Zero-touch

Gli amministratori IT possono eseguire il provisioning di dispositivi aziendali usando il metodo di registrazione zero-touch, descritto in Registrazione zero-touch per gli amministratori IT. Quando un dispositivo viene acceso per la prima volta, viene automaticamente impostato sulle configurazioni definite dall'amministratore IT.

Gli amministratori IT possono preconfigurare i dispositivi acquistati da rivenditori autorizzati e gestirli usando la dashboard di Cerberus Enterprise. Per collegare il tuo account Zero-touch, vai alla sezione Zero-touch nella dashboard, poi segui le istruzioni.

Versione AndroidProfilo di lavoroDispositivo completamente gestitoDispositivo dedicato
8.0+ (Pixel 7.1+)✓✓✓
Provisioning dispositivi - Android

Autenticazione con Google enrollment

L'autenticazione con Google enrollment (detta anche Autenticazione Google per la registrazione) consente agli utenti di autenticarsi con il proprio account Google Workspace durante la registrazione dei dispositivi Android.

Questa funzione è disponibile solo per gli enterprise Android supportati da un dominio Google gestito (Google Workspace).

Dove trovarla

Nella dashboard, apri Token di registrazione e seleziona la scheda Autenticazione con Google Enrollment. La scheda viene mostrata solo quando Android Management è configurato e l'integrazione con Google Workspace è disponibile per il tuo enterprise.

Abilita (o disabilita) l'autenticazione Google

L'autenticazione Google viene abilitata dalla Google Admin console. Dopo aver modificato l'impostazione, torna a Cerberus Enterprise e usa Aggiorna stato per ricaricare la configurazione corrente.

  1. Accedi alla tua Google Admin console con un account amministratore.
  2. Apri Dispositivi.
  3. Vai a Mobile e endpoint → Impostazioni → Integrazioni di terze parti.
  4. Trova l'integrazione Android EMM per Cerberus Enterprise e aprila.
  5. Fai clic su Gestisci provider EMM.
  6. Attiva o disattiva Autentica usando Google per abilitare o disabilitare l'autenticazione Google durante la registrazione.
  7. Fai clic su Salva.
  8. Torna alla dashboard di Cerberus Enterprise e fai clic su Aggiorna stato nella scheda Autenticazione con Google Enrollment.

Token di registrazione per l'autenticazione Google

Quando l'autenticazione Google è abilitata, la dashboard mostra un token di registrazione dedicato usato per questa modalità di registrazione. La pagina può mostrare un codice QR, un valore Token di registrazione e un URL di registrazione (copiabile e inviabile via email).

Opzioni principali

Interazione con le policy

L'impostazione della policy Autenticazione per la configurazione dell'account di lavoro (workAccountSetupConfig.authenticationType) controlla come gli utenti si autenticano durante la configurazione dell'account di lavoro, ma l'impostazione della Google Admin Console Autentica usando Google e il tipo di token di registrazione possono comunque richiedere l'autenticazione.

Per i dispositivi già registrati, questa policy si applica solo se il dispositivo è gestito da un account Managed Google Play (ovvero registrato senza Autenticazione con Google Enrollment).

Alcune azioni (ad esempio la modifica delle opzioni del token) possono essere disabilitate quando la licenza è scaduta.

Registra un dispositivo

Durante la registrazione, all'utente viene chiesto di autenticarsi con il proprio account Google Workspace. Dopo una registrazione riuscita, il dispositivo viene associato all'utente autenticato.

Profilo di lavoro (dispositivi di proprietà personale)

Dispositivi aziendali

Per le procedure generali di provisioning Android (profilo di lavoro vs completamente gestito), vedi le pagine standard sulla registrazione Android in questo manuale.

Provisioning dispositivi - Apple

Provisioning dispositivi - Apple

Panoramica sul provisioning Apple

Cerberus Enterprise supporta la registrazione e la gestione di iPhone, iPad e Mac. Il provisioning Apple richiede un certificato APNs e può essere eseguito con diversi metodi di registrazione.

Prerequisito: configurare Apple Management (APNs)

Prima di registrare qualsiasi dispositivo Apple, completa la configurazione di Apple Management (APNs).

Scegli un metodo di registrazione

Registrazione manuale (profilo di registrazione)

Automated Device Enrollment (ADE)

Registrazione guidata dall'account (accedi con un account aziendale)

Su iPhone e iPad personali registrati con User Enrollment, le app dell'App Store della policy vengono installate con una licenza utente del Managed Apple Account, che Cerberus assegna automaticamente; all'utente viene chiesto di installare ogni app. I Managed Apple Account e il token di Apps and Books devono appartenere alla stessa organizzazione Apple Business. Leggi la pagina App sui dispositivi personali.

App Cerberus Enterprise su iPhone e iPad

Dopo la registrazione, Cerberus installa la sua app Cerberus Enterprise su iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, con o senza policy. L'app condivide la posizione del dispositivo e riceve notifiche e richieste di tracciamento in tempo reale; sui dispositivi personali (User Enrollment) riceve messaggi e condivide la posizione solo se la policy attiva Posizione e geofence sui dispositivi personali e l'utente lo consente. Richiede un passaggio una tantum: aggiungi l'app gratuita alla tua libreria Apple Business (Apps & Books → App Store, cerca "Cerberus Enterprise", Aggiungi per tutte le unità organizzative attuali e future). I dispositivi supervisionati la installano in modo silenzioso; sugli altri dispositivi viene chiesto all'utente di installarla. Se l'utente l'ha già installata dall'App Store, il dispositivo chiede di consentire alla tua organizzazione di gestire l'app, e l'app mantiene i suoi dati e le sue autorizzazioni. Se l'utente rifiuta, usa Riprova nella pagina del dispositivo. L'utente non può eliminare l'app e questa resta installata se il token di Apps and Books scade. I Mac non ricevono l'app.

Puoi usare la registrazione manuale e ADE in parallelo, a seconda del parco dispositivi e del processo di acquisto.

Provisioning dispositivi - Apple

Registrazione manuale Apple (profilo di registrazione)

Cerberus Enterprise supporta la registrazione manuale dei dispositivi Apple tramite un codice QR, un URL di registrazione o un file di profilo di registrazione.

La registrazione manuale è disponibile quando Apple Management (APNs) è configurato. Se non hai ancora completato la configurazione di APNs, leggi Configurazione di Apple Management (APNs).

Token di registrazione

Un token di registrazione ha un proprio URL di registrazione e codice QR e assegna queste impostazioni ai dispositivi che si registrano con esso:

Per creare un token, apri la sezione Registrazione nella dashboard, seleziona la scheda Registrazione manuale Apple (profilo di registrazione) e fai clic su Nuovo token di registrazione. Imposta il nome e le impostazioni, poi fai clic su Crea token: la pagina del token mostra il suo URL di registrazione, il codice QR e il pulsante Scarica profilo di registrazione.

La tabella dei token mostra, per ogni token, il suo Stato (Attivo, Scaduto o Esaurito), la Scadenza, le Registrazioni effettuate rispetto a quelle consentite e l'Ultimo utilizzo, l'ultima volta che un dispositivo si è registrato con esso. Poi ci sono la Policy, l'Utente (passa il mouse sopra per vedere l'email), la Proprietà e la data di creazione (passa il mouse sopra per vedere chi ha creato il token). I token più recenti vengono mostrati per primi e puoi ordinare per qualsiasi colonna. Ordina per Ultimo utilizzo per trovare i token attivi che nessuno usa più ed eliminali, così il loro URL di registrazione smette di funzionare. Una policy o un utente eliminati dopo il salvataggio del token vengono mostrati come Policy eliminata o Utente eliminato con un'icona di avviso: modifica il token per sceglierne un altro.

Le modifiche a un token si applicano alle registrazioni successive: i dispositivi già registrati mantengono la loro policy e il loro utente. Quando un token viene eliminato, scade o raggiunge le registrazioni consentite, il suo URL di registrazione smette di funzionare.

Registrazione senza token

Il pannello Registrazione senza token della stessa scheda contiene l'URL di registrazione della tua organizzazione. I dispositivi registrati con esso non ricevono policy né utente: assegnali dalla pagina del dispositivo.

La policy e l'utente di un dispositivo dipendono da come si registra: la policy e l'utente del token con un token di registrazione; la policy del profilo ADE con Automated Device Enrollment, mantenendo l'utente assegnato nella pagina del dispositivo; nessuna policy e nessun utente con l'URL di registrazione, il codice QR o il profilo senza token (anche se il dispositivo ha un profilo ADE). Un dispositivo che si registra di nuovo non mantiene la policy e l'utente della registrazione precedente: la pagina del dispositivo li mostra solo se la nuova registrazione li assegna. Solo un dispositivo cancellato con Return to Service si registra di nuovo con la sua policy e il suo utente attuali.

Ottieni l'URL di registrazione e il profilo

Come registrare un iPhone o un iPad

iOS/iPadOS 15.0+

Per prima cosa, scarica il profilo di registrazione sul dispositivo usando uno dei seguenti metodi:

Metodo 1: codice QR

Apri l'app Fotocamera sul dispositivo e inquadra il codice QR mostrato accanto all'URL di registrazione, poi tocca il link che appare. Safari apre l'URL di registrazione e chiede di consentire il download di un profilo di configurazione: tocca Consenti.

Metodo 2: URL di registrazione

Invia l'URL di registrazione all'utente (ad esempio con l'azione di invio via email) e aprilo in Safari sul dispositivo, poi tocca Consenti per scaricare il profilo di configurazione.

Metodo 3: file del profilo di registrazione

Scarica il file del profilo di registrazione (enroll.mobileconfig) e invialo al dispositivo, ad esempio come allegato email o con AirDrop, poi aprilo sul dispositivo.

Poi completa la registrazione sul dispositivo:

  1. Sul dispositivo, apri Impostazioni → Profilo scaricato → Installa, poi segui le istruzioni.
  2. Dopo la registrazione, puoi verificare lo stato in Impostazioni → Generali → VPN e gestione dispositivo (o Profili e gestione dispositivo).

Dopo la registrazione, gli iPhone e gli iPad con iOS o iPadOS 18.4 o versioni successive ricevono l'app Cerberus Enterprise. Su un dispositivo registrato manualmente (non supervisionato) all'utente viene chiesto di installarla, oppure di consentire alla tua organizzazione di gestirla se era già installata dall'App Store. Se l'utente rifiuta, usa Riprova nella pagina del dispositivo. L'app deve essere presente una volta nella tua libreria Apple Business (vedi Impostazioni account).

Su iPhone e iPad, un profilo scaricato che non viene installato entro 8 minuti viene rimosso dal dispositivo. In tal caso, scaricalo di nuovo.

Come registrare un Mac

macOS 13.0+

Il codice QR funziona solo su iPhone e iPad. Scarica il profilo di registrazione sul Mac usando uno dei seguenti metodi:

Metodo 1: URL di registrazione

Invia l'URL di registrazione all'utente (ad esempio con l'azione di invio via email) e aprilo in Safari sul Mac, poi consenti il download se richiesto. Se il profilo non si apre da solo, apri il file enroll.mobileconfig scaricato.

Metodo 2: file del profilo di registrazione

Scarica il file del profilo di registrazione (enroll.mobileconfig) e invialo al Mac, ad esempio come allegato email o con AirDrop, poi aprilo sul Mac.

L'apertura del profilo lo aggiunge solo ai profili scaricati. Poi completa la registrazione sul Mac, con l'accesso come suo utente principale:

  1. Apri Impostazioni di Sistema → Generali → Gestione dispositivo (su macOS 13 e 14: Privacy e sicurezza → Profili). Nella sezione Scaricati, fai doppio clic su Profilo di registrazione, fai clic su Registra (o Installa) e segui le istruzioni. Inserisci il nome e la password di un amministratore del Mac se richiesto.
  2. Dopo la registrazione, Profilo di registrazione è elencato nello stesso punto. In Terminale, profiles status -type enrollment mostra MDM enrollment: Yes (User Approved).

I Mac registrati manualmente sono supervisionati e l'utente che installa il profilo viene mostrato nel pannello Utenti Mac della pagina del dispositivo. I Mac non ricevono l'app Cerberus Enterprise. Se il profilo non è più nella sezione Scaricati, scaricalo di nuovo.

Installa solo profili di registrazione ottenuti dalla tua dashboard di Cerberus Enterprise.

Provisioning dispositivi - Apple

Automated Device Enrollment (ADE) di Apple

Automated Device Enrollment (ADE) si integra con Apple Business (già Apple Business Manager) per registrare automaticamente gli iPhone, gli iPad e i Mac aziendali quando vengono accesi per la prima volta (o dopo un ripristino delle impostazioni di fabbrica).

ADE richiede che Apple Management (APNs) sia configurato prima. Se necessario, leggi Configurazione di Apple Management (APNs).

Come registrare automaticamente i dispositivi

  1. Aggiungi i dispositivi al tuo account Apple Business e assegnali al servizio di gestione dei dispositivi Cerberus Enterprise: in Apple Business, apri Dispositivi → Inventario, seleziona i dispositivi e fai clic su Assegna gestione dispositivo, oppure assegna automaticamente i nuovi dispositivi da Dispositivi → Servizi di gestione → Assegnazione dispositivo predefinita. Vedi Gestisci i fornitori di dispositivi e Aggiungi dispositivi con Apple Configurator.
  2. Dopo aver aggiunto nuovi dispositivi al tuo account Apple Business, sincronizzali in Cerberus Enterprise dalla sezione Dispositivi usando l'azione Sincronizza da Apple Business. I dispositivi sincronizzati usano una licenza solo quando vengono registrati.
  3. Crea un profilo ADE nella dashboard da Registrazione → Automated Device Enrollment (ADE) di Apple → Nuovo profilo ADE.
  4. Assegna un profilo ADE a un dispositivo dalla pagina dei dettagli del dispositivo usando il campo Profilo ADE.

Dopo la registrazione, gli iPhone e gli iPad con iOS o iPadOS 18.4 o versioni successive ricevono l'app Cerberus Enterprise. I dispositivi registrati con ADE sono supervisionati, quindi l'app si installa senza chiedere all'utente; la configurazione non la attende. L'app deve trovarsi una volta nella tua libreria Apple Business (vedi Impostazioni account). I Mac non ricevono l'app.

Impostazioni del profilo ADE (panoramica)

Un profilo ADE controlla come viene registrato il dispositivo e come si comporta l'Assistente configurazione. In Cerberus Enterprise, un profilo ADE include un nome, una policy iniziale facoltativa, opzioni di registrazione, i riquadri dell'Assistente configurazione da saltare, i contatti per l'assistenza e i certificati attendibili.

Nome del profilo

Un nome leggibile per il profilo (ad esempio Profilo ADE predefinito).

Policy

La policy applicata ai dispositivi quando si registrano con Automated Device Enrollment (Assistente configurazione). I dispositivi del profilo registrati con l'URL di registrazione o il codice QR ricevono invece la policy del loro token di registrazione, oppure nessuna policy se non hanno un token. Modificare solo la policy lascia il profilo così com'è.

Opzioni di registrazione

Assistente configurazione

Elenco dei profili ADE

L'elenco mostra il nome di ogni profilo, la sua policy, i suoi dispositivi e il suo Id, l'identificatore che Apple assegna al profilo. Un lucchetto dopo il nome indica un profilo obbligatorio la cui gestione gli utenti non possono rimuovere. Nessuna policy o Policy eliminata segnala che i dispositivi registrati con il profilo non ricevono una policy iniziale.

La colonna Dispositivi conta i dispositivi registrati del profilo e, accanto, i dispositivi in attesa: assegnati al profilo in Apple Business ma non ancora registrati. I dispositivi rimossi non vengono conteggiati.

Modificare un profilo

Apple non consente di modificare un profilo ADE. Quando ne modifichi uno (tranne che per la sola policy), Cerberus Enterprise definisce un nuovo profilo con lo stesso nome e lo assegna ai dispositivi del vecchio; il vecchio profilo non è più elencato quando nessun dispositivo lo usa. I dispositivi che hanno già completato l'Assistente configurazione usano il nuovo profilo la prossima volta che vengono cancellati.

Un profilo che nessun dispositivo usa, né registrato né in attesa, può essere eliminato dall'elenco dei profili ADE. Apple non consente di eliminare un profilo, quindi resta in Apple Business, inutilizzato.

Dopo che a un dispositivo è stato assegnato un profilo ADE, è pronto per essere registrato automaticamente.

Provisioning dispositivi - Apple

Registrazione Apple basata sull'account

Con la registrazione basata sull'account, gli utenti registrano il proprio iPhone, iPad o Mac accedendo con il loro account di lavoro (un Account Apple gestito, ad esempio name@company.com) nelle impostazioni del dispositivo. Nessun profilo da scaricare e nessun codice QR: Cerberus Enterprise trova l'utente, applica la policy e imposta la proprietà da solo.

Due modalità

Scegli la modalità per iPhone e iPad e, separatamente, per Mac: ad esempio Registrazione utente per iPhone personali e Registrazione dispositivo per Mac. Puoi cambiare la proprietà di un dispositivo in seguito nella pagina del dispositivo.

La registrazione basata sull'account è disponibile quando Apple Management (APNs) è configurato. Se non hai ancora completato la configurazione di APNs, leggi Configurazione di Apple Management (APNs).

Configura Apple Business

Gli utenti accedono con gli Account Apple gestiti, creati in Apple Business. Prima di iniziare:

  1. Verifica il tuo dominio (ad esempio company.com) in Apple Business, nei domini della tua organizzazione.
  2. Crea gli Account Apple gestiti dei tuoi utenti, oppure collega Apple Business a Google Workspace o Microsoft Entra ID: così l'account di ogni utente è il suo indirizzo email di lavoro e accede con la relativa password.
  3. Per la registrazione utente, verifica nelle impostazioni di gestione degli accessi che gli Account Apple gestiti possano accedere su dispositivi personali: quando possono accedere solo su dispositivi supervisionati, la registrazione utente non riesce.
  4. Solo per l'opzione Apple Business riportata di seguito: apri Dispositivi → Servizi di gestione → Assegnazione dispositivo predefinita (Modifica) e scegli il servizio di gestione dei dispositivi Cerberus Enterprise per iPhone, iPad e Mac.

Mantieni il servizio di gestione dei dispositivi Cerberus Enterprise e il suo token in Apple Business mentre i dispositivi sono registrati con gli Account Apple gestiti: rimuoverli può impedire agli account di funzionare sui dispositivi.

Configura Cerberus Enterprise

Apri la sezione Registrazione della dashboard e seleziona la scheda Accesso con account Apple. Una checklist in alto mostra cosa manca ancora. Solo gli amministratori possono modificare le impostazioni.

L'account digitato sul dispositivo viene confrontato con il campo Account Apple gestito degli utenti, poi con il loro indirizzo email. Il codice viene sempre inviato all'indirizzo email dell'utente. Un Account Apple gestito impostato su un utente può registrarsi anche quando il suo dominio non è verificato in Cerberus, ad esempio un account del dominio riservato org.appleid.com di Apple Business. Con l'individuazione dei servizi di Apple Business gli utenti digitano sempre il proprio Account Apple gestito.

Verifica i domini

Dopo aver salvato le impostazioni, la sezione Verifica del dominio mostra un record TXT per ogni dominio. Aggiungilo al DNS del dominio, poi fai clic su Verifica. Le modifiche DNS possono richiedere un po' di tempo per diventare visibili. Un dominio verificato resta verificato: puoi rimuovere il record in seguito. Gli utenti di un dominio non verificato non possono registrarsi.

Individuazione dei servizi: come i dispositivi trovano Cerberus Enterprise

Quando un utente accede, il dispositivo chiede al dominio dell'account (ad esempio https://company.com) quale server lo gestisce. Configura almeno una di queste tre opzioni. La sezione Individuazione dei servizi della scheda mostra l'URL di individuazione della tua organizzazione e il testo esatto da copiare per ogni opzione.

Opzione 1: Apple Business (consigliata)

Fai clic su Registra in Apple Business: Cerberus Enterprise memorizza il suo URL di individuazione nella tua organizzazione Apple Business e non serve pubblicare nulla sui tuoi domini. Controlla in Apple Business mostra l'URL attualmente presente in Apple Business e Rimuovi da Apple Business lo rimuove.

Apple Business mantiene un solo URL di individuazione per organizzazione: registrandolo, ogni Account Apple gestito dell'organizzazione viene inviato a questa organizzazione Cerberus Enterprise. Non registrarlo da due organizzazioni Cerberus Enterprise che usano la stessa organizzazione Apple Business.

Opzione 2: Reindirizzamento dal tuo sito web

Sul web server di ogni dominio, reindirizza /.well-known/com.apple.remotemanagement all'URL di individuazione della tua organizzazione, mantenendo la stringa di query (contiene l'account digitato dall'utente). Funziona con ogni versione del sistema operativo che supporta la registrazione basata sull'account e la modalità può essere diversa per iPhone e Mac. Copia dalla scheda il testo per Apache o nginx; assomiglia a questo, con la chiave della tua organizzazione:

Apache (.htaccess o host virtuale):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

Su altri web server o servizi (IIS, Cloudflare, pannelli di controllo dell'hosting), crea una regola di reindirizzamento (302) dallo stesso percorso all'URL di individuazione con l'opzione che mantiene o inoltra la stringa di query.

Opzione 3: File statico sul tuo sito web

Se non puoi aggiungere un reindirizzamento, pubblica un file all'indirizzo https://company.com/.well-known/com.apple.remotemanagement (senza estensione di file), servito con Content-Type: application/json. Copia il suo contenuto dalla scheda. Un file statico non può scegliere la modalità per dispositivo: usa la stessa modalità per iPhone, iPad e Mac. Per la registrazione utente assomiglia a questo: 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

e per la registrazione dispositivo:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

La modalità del file deve essere anche la modalità impostata nella scheda per la famiglia di dispositivi, altrimenti la registrazione viene rifiutata.

Controlla configurazione

In Controlla configurazione, scegli un dominio e un dispositivo (iPhone o Mac) e fai clic su Controlla: Cerberus Enterprise chiede al dominio ciò che chiederebbe un dispositivo e mostra la risposta, ogni reindirizzamento e un verdetto. Il dominio che punta a Cerberus Enterprise significa che le opzioni 2 o 3 funzionano; una risposta di errore (come "non trovato") va bene per l'opzione 1; una pagina web o un file che punta altrove blocca i dispositivi. Il controllo avvisa anche quando un reindirizzamento perde la stringa di query o il file non viene servito come application/json.

Chiave di registrazione

Gli URL di individuazione e registrazione contengono una chiave della tua organizzazione. Se gli URL sono stati pubblicati per errore, fai clic su Rigenera chiave: i vecchi URL smettono subito di funzionare, quindi aggiorna i reindirizzamenti e i file statici sui tuoi siti web. Cerberus Enterprise registra da solo il nuovo URL in Apple Business quando viene usata l'opzione 1.

Come si registrano gli utenti

  1. iPhone e iPad: apri Impostazioni → Generali → VPN e gestione dispositivo → Accedi all'account di lavoro o della scuola. Mac: Impostazioni di Sistema → Generali → Gestione dispositivo → Accedi (su macOS 14: Privacy e sicurezza → Profili → Accedi).
  2. Digita l'Account Apple gestito, oppure l'indirizzo email di lavoro dell'utente in Cerberus (ad esempio name@company.com). Quando l'Account Apple gestito dell'utente è diverso da quello digitato, il dispositivo chiede poi di accedere con quell'account.
  3. Si apre una pagina di Cerberus Enterprise: tocca Invia il codice, poi inserisci il codice di 6 cifre ricevuto via email. Il codice scade dopo 10 minuti; dopo 5 codici errati l'utente deve chiudere la pagina e accedere di nuovo.
  4. Accedi con la password dell'Account Apple gestito (o con la pagina di accesso dell'azienda quando Apple Business è collegato a Google Workspace o Microsoft Entra ID), poi consenti la gestione del dispositivo.

Gli account che non possono registrarsi (dominio non verificato, nessun utente corrispondente quando gli utenti non vengono creati automaticamente, più utenti con lo stesso indirizzo email) vedono "Questo account non è configurato per la registrazione. Contatta il tuo amministratore IT." Gli eventi sono nei log di sistema della dashboard.

Dopo la registrazione

Subito dopo la registrazione, alcuni profili della policy (certificati, reti Wi-Fi, web clip) possono essere segnalati come non riusciti con un errore sconosciuto e il dispositivo può apparire come Non conforme per un po'. Il dispositivo li riprova da solo e si installano dopo un po', senza bisogno di alcuna azione. Non salvare di nuovo la policy né registrare di nuovo il dispositivo per questo.

App sui dispositivi personali

Gli iPhone e gli iPad registrati con la Registrazione utente non hanno un numero di serie, quindi Apps and Books non può assegnare loro una licenza dispositivo. Cerberus Enterprise assegna invece una licenza utente alle app dell'App Store della loro policy: la licenza va all'Account Apple gestito con cui è stato effettuato l'accesso sul dispositivo. Nulla cambia nella policy: la stessa policy serve dispositivi aziendali e personali e Cerberus sceglie il tipo di licenza per ogni dispositivo.

Quando Apple non riesce ad assegnare una licenza, ad esempio perché un'app a pagamento non ha più licenze disponibili, l'app mostra Licenza utente non riuscita con il messaggio di Apple. Aggiungi licenze in Apple Business, poi usa Richiedi di nuovo nella pagina del dispositivo; Cerberus riprova anche da solo al controllo giornaliero. La riga sopra l'elenco delle app mostra l'Account Apple gestito e lo stato del suo utente Apps and Books; lo stesso stato è nella pagina dell'utente.

Le licenze utente vengono usate solo su iPhone e iPad: sui Mac registrati con la Registrazione utente, le app dell'App Store della policy non vengono installate. I libri e gli Account Apple personali non sono supportati.

Panoramica delle policy

La sezione Policy della dashboard (Dashboard → Policy) elenca tutte le policy del tuo account e ti consente di crearle, copiarle, modificarle ed eliminarle.

Elenco delle policy

Le policy sono visualizzate in una tabella. Facendo clic su una riga si apre l'editor della policy corrispondente.

Colonne

Per impostazione predefinita vengono mostrate per prime le policy modificate più di recente; seguono, per nome, le policy mai salvate da quando è stata introdotta la colonna Ultima modifica. Fai clic sull'intestazione di una colonna per ordinare in base a quella colonna.

Filtri e ricerca

Aggiornamento e paginazione

Creare una nuova policy

In fondo alla pagina Policy puoi creare una nuova policy. A seconda della piattaforma configurata nel tuo account, potresti vedere una o entrambe queste azioni:

Se la licenza è scaduta, la creazione delle policy (e le altre azioni di scrittura) è disabilitata.

Copiare ed eliminare le policy

Ogni riga della policy ha un menu azioni che include Copia policy e Elimina policy.

Avvisi sull'eliminazione della policy

Quando elimini una policy, la dashboard può mostrare avvisi aggiuntivi a seconda di come viene usata la policy.

Eliminare più policy

L'elenco delle policy supporta la selezione multipla per l'eliminazione in blocco. In modalità di selezione multipla, puoi selezionare più policy ed eliminarle con un'unica azione.

L'eliminazione in blocco è attiva solo quando tutte le policy selezionate appartengono alla stessa piattaforma (tutte Android o tutte Apple).

Prossimo passo: modificare le impostazioni della policy

L'elenco delle policy è il punto di partenza. Per configurare le impostazioni della policy, usa la documentazione dell'editor appropriata: Policy → Android e Policy → Apple.

Le policy a cui fanno riferimento i token di registrazione vengono applicate automaticamente durante la registrazione del dispositivo.

Policy - Android

Policy - Android

Riepilogo

Le policy Android sono le entità principali del sistema: definiscono le regole applicate e fatte rispettare sui dispositivi gestiti.

Puoi sfogliare le tue policy e crearne di nuove dalla sezione Policy della dashboard. Per aprire una policy Android, fai clic sulla riga della policy nella tabella: il sistema apre la pagina Editor delle policy.

Una policy può essere associata a un token di registrazione, così verrà applicata automaticamente ai dispositivi durante il processo di provisioning. Puoi anche cambiare la policy assegnata a un dispositivo dopo il provisioning.

Ogni dispositivo può essere associato a una sola policy alla volta.

Molte opzioni della policy si applicano solo a tipi specifici di dispositivi (completamente gestiti, dedicati, profilo di lavoro) e versioni di Android. Le impostazioni non supportate possono essere ignorate dal dispositivo o segnalate come non conformi.

Layout dell'Editor delle policy

L'Editor delle policy è organizzato in una serie di sezioni espandibili. In cima alla pagina puoi sempre modificare:

Le sezioni seguenti corrispondono ai pannelli del Policy Editor (ad esempio: Gestione app, Sicurezza, Rete, Sistema, Utilizzo personale, Policy tra profili e altro). Quando apri una policy salvata, le sezioni con impostazioni modificate sono già aperte e le altre restano chiuse. Usa le pagine dei capitoli di questo manuale per comprendere in dettaglio ogni pannello.

Salvataggio, eliminazione e dispositivi associati

Usa Salva policy per applicare le modifiche. Il pulsante è disattivato quando non ci sono modifiche in sospeso o quando la licenza è scaduta.

Se hai aperto una policy esistente (con un Id), la pagina mostra un'azione Elimina policy e un elenco Dispositivi associati in fondo, così puoi vedere quanti dispositivi stanno attualmente usando la policy.

Policy - Android

Gestione app

In questa sezione puoi impostare policy relative alla disponibilità delle app, all'installazione, agli aggiornamenti e alla gestione delle autorizzazioni.

Gli account Managed Google Play vengono creati automaticamente quando i dispositivi vengono sottoposti a provisioning.

 

1. Modalità Play Store

Questa modalità controlla quali app sono disponibili per l'utente nel Play Store e il comportamento del dispositivo quando le app vengono rimosse dalla policy.

Whitelist (predefinita): sono disponibili solo le app presenti nella policy e qualsiasi app non presente viene automaticamente disinstallata dal dispositivo. Il Play Store mostrerà solo le app disponibili.

Blacklist: tutte le app sono disponibili e qualsiasi app che non deve essere sul dispositivo va contrassegnata esplicitamente come bloccata nella policy delle applicazioni. Il Play Store mostrerà tutte le app, tranne quelle bloccate.

 

2. Policy delle app non attendibili

La policy per le app non attendibili (app provenienti da origini sconosciute) applicata sul dispositivo. Questa opzione controlla l'impostazione di sistema Android che determina se un utente può installare app al di fuori del Play Store (sideloading).

Non consentire (predefinito): non consentire l'installazione di app non attendibili sull'intero dispositivo.

Solo profilo personale: per i dispositivi con profili di lavoro, consenti l'installazione di app non attendibili solo nel profilo personale del dispositivo.

Consenti: consenti l'installazione di app non attendibili sull'intero dispositivo.

 

3. Google Play Protect

Indica se la verifica delle app di Google Play Protect è applicata.

Applicata (predefinita): abilita forzatamente la verifica delle app.

Scelta dell'utente: consente all'utente di scegliere se abilitare la verifica delle app.

 

4. Policy delle autorizzazioni predefinita

La policy per concedere alle app le richieste di autorizzazione a runtime.

Richiedi (predefinito): chiedi all'utente di concedere un'autorizzazione.

Concedi: concedi automaticamente un'autorizzazione.

Nega: nega automaticamente un'autorizzazione.

 

5. Funzioni delle app

Controlla se le app sui dispositivi completamente gestiti o nei profili di lavoro possono esporre le funzioni delle app. Richiede Android 16 o versioni successive.

Consentite (predefinito): le app sui dispositivi completamente gestiti o nei profili di lavoro possono esporre le funzioni delle app.

Non consentite: le app sui dispositivi completamente gestiti o nei profili di lavoro non possono esporre le funzioni delle app.

 

6. Installazione delle app disabilitata

Indica se l'installazione delle app da parte dell'utente è disabilitata.

 

7. Disinstallazione delle app disabilitata

Indica se la disinstallazione delle applicazioni da parte dell'utente è disabilitata.

 

8. Policy delle autorizzazioni

Concessioni o dinieghi espliciti di autorizzazioni o gruppi per tutte le app. Questi valori hanno la precedenza sull'impostazione Policy delle autorizzazioni predefinita.

Usa Aggiungi policy delle autorizzazioni per creare voci e rimuoverle con l'azione di eliminazione.

Ogni voce include:

Autorizzazione/gruppo Android: l'autorizzazione o il gruppo Android (obbligatorio), ad esempio android.permission.READ_CALENDAR o android.permission_group.CALENDAR.

Policy: Concedi / Nega / Richiedi (usa le stesse opzioni della Policy delle autorizzazioni predefinita).

 

9. Applicazioni

Elenco delle applicazioni che devono essere incluse nella policy. Il comportamento del contenuto dell'elenco dipende dal valore impostato in Modalità Play Store.

Se Modalità Play Store è impostata su whitelist, sono disponibili solo le app presenti nella policy e qualsiasi app non presente viene automaticamente disinstallata dal dispositivo.

Se Modalità Play Store è impostata su blacklist, tutte le app sono disponibili e qualsiasi app che non deve essere sul dispositivo va contrassegnata esplicitamente come bloccata nella policy delle applicazioni.

Per aggiungere una nuova app, fai clic sul pulsante Aggiungi applicazioni (o sull'icona Aggiungi applicazioni), seleziona Da Managed Google Play, quindi scegli l'app dal Play Store e fai clic sul pulsante Seleziona nella scheda dell'app.

Per aggiungere un'app non pubblicata su Google Play ma già presente sul dispositivo (ad esempio un'app di sistema o del produttore), fai clic su Aggiungi applicazioni, seleziona Per nome del pacchetto (app preinstallate), digita il nome del pacchetto dell'app (ad es. com.example.app) e fai clic su Aggiungi.L'app viene aggiunta con il tipo di installazione Installazione forzata. Per mostrare l'app nel launcher personalizzato kiosk, il suo Tipo di installazione deve essere Preinstallata o Installazione forzata: con Disponibile l'app non viene mostrata.

Le app non disponibili in Managed Google Play sono contrassegnate da un'icona Android nell'elenco delle applicazioni. Non possono essere installate da Google Play, quindi devono essere già presenti sul dispositivo: i dispositivi che non hanno l'app non possono installarla.

Tutte le app pubblicate sul Play Store nel tuo Paese sono disponibili per la selezione per impostazione predefinita. Per selezionare le tue app private o web, devi prima caricarle nel sistema. Per maggiori informazioni, leggi la pagina App private.

Ogni app può essere configurata con le proprie impostazioni, raccolte visivamente in una scheda:

9.1. Tipo di installazione

Il tipo di installazione da eseguire per un'app.

Disponibile: l'app è disponibile per l'installazione.

Preinstallata: l'app viene installata automaticamente e può essere rimossa dall'utente.

Installazione forzata: l'app viene installata automaticamente e non può essere rimossa dall'utente.

Bloccata: l'app è bloccata e non può essere installata. Se l'app era installata con una policy precedente, verrà disinstallata.

Richiesta per la configurazione: l'app viene installata automaticamente, non può essere rimossa dall'utente e impedisce il completamento della configurazione finché l'installazione non è terminata.

Kiosk: l'app viene installata automaticamente in modalità kiosk: è impostata come intent home preferito e inserita nella whitelist per la modalità lock task. La configurazione del dispositivo non sarà completata finché l'app non è installata. Dopo l'installazione, gli utenti non potranno rimuovere l'app. Puoi impostare questo tipo di installazione per una sola app per policy. Quando è presente nella policy, la barra di stato viene disabilitata automaticamente. Per maggiori informazioni, leggi la pagina dedicata Modalità kiosk.

9.2. Vincoli di installazione

Definisce una serie di restrizioni per l'installazione dell'app. Quando sono selezionati più vincoli, devono essere soddisfatti tutti perché l'app venga installata.

Questa opzione viene mostrata solo quando il Tipo di installazione è Preinstallata o Installazione forzata.

Rete senza limiti di traffico: installa l'app solo quando il dispositivo è connesso a una rete senza limiti di traffico (ad es. Wi‑Fi).

In carica: installa l'app solo quando il dispositivo è in carica.

Inattivo: installa l'app solo quando il dispositivo è inattivo.

9.3. Modalità di aggiornamento automatico

Controlla la modalità di aggiornamento automatico per l'app.

Predefinita: l'app viene aggiornata automaticamente con bassa priorità per ridurre al minimo l'impatto sull'utente. L'app viene aggiornata quando sono soddisfatti tutti i seguenti vincoli: (1) il dispositivo non è in uso attivo, (2) il dispositivo è connesso a una rete senza limiti di traffico, (3) il dispositivo è in carica. Il dispositivo riceve la notifica di un nuovo aggiornamento entro 24 ore dalla sua pubblicazione da parte dello sviluppatore, dopodiché l'app viene aggiornata la volta successiva in cui i vincoli sopra indicati sono soddisfatti.

Posticipata: l'app non viene aggiornata automaticamente per un massimo di 90 giorni da quando diventa obsoleta. Trascorsi 90 giorni da quando l'app diventa obsoleta, la versione più recente disponibile viene installata automaticamente con bassa priorità (vedi la modalità di aggiornamento automatico Predefinita ). Dopo l'aggiornamento, l'app non viene più aggiornata automaticamente fino a 90 giorni da quando diventa nuovamente obsoleta. L'utente può comunque aggiornare manualmente l'app dal Play Store in qualsiasi momento.

Alta priorità: l'app viene aggiornata il prima possibile. Non vengono applicati vincoli. Il dispositivo riceve immediatamente la notifica di un nuovo aggiornamento non appena diventa disponibile.

9.4. Codice versione minimo

La versione minima dell'app che viene eseguita sul dispositivo. Se impostata, il dispositivo tenta di aggiornare l'app almeno a questo codice versione. Se l'app non è aggiornata, il dispositivo conterrà un dettaglio di non conformità con motivo di non conformità impostato su APP_NOT_UPDATED. L'app deve essere già pubblicata su Google Play con un codice versione maggiore o uguale a questo valore. Al massimo 20 app possono specificare un codice versione minimo per policy.

9.5. Ambiti delegati

Gli ambiti delegati all'app da Android Device Policy. Puoi concedere ad altre app una selezione di autorizzazioni Android speciali:

Installazione dei certificati: concede l'accesso all'installazione e alla gestione dei certificati.

Configurazioni gestite: concede l'accesso alla gestione delle configurazioni gestite.

Blocco disinstallazione: concede l'accesso al blocco della disinstallazione.

Autorizzazioni: concede l'accesso alla policy delle autorizzazioni e allo stato di concessione delle autorizzazioni.

Accesso ai pacchetti: concede l'accesso allo stato di accesso ai pacchetti.

App di sistema: concede l'accesso per abilitare le app di sistema.

9.6. Rete preferenziale

Il servizio di rete preferenziale da usare per questa app. Se impostato, l'app utilizzerà la slice di rete aziendale specificata per le sue connessioni, quando disponibile. Deve corrispondere a una slice di rete configurata nella sezione Configurazione del network slicing 5G del pannello Cellulare.

9.7. Policy delle autorizzazioni predefinita

La policy predefinita per tutte le autorizzazioni richieste dall'app. Se specificata, sostituisce la Policy delle autorizzazioni predefinita a livello di policy che si applica a tutte le app. Non sostituisce le Policy delle autorizzazioni che si applicano a tutte le app.

Richiedi (predefinito): chiedi all'utente di concedere un'autorizzazione.

Concedi: concedi automaticamente un'autorizzazione.

Nega: nega automaticamente un'autorizzazione.

9.8. App connessa tra lavoro e personale

Controlla se l'app può comunicare con se stessa tra i profili di lavoro e personale di un dispositivo, previo consenso dell'utente (Android 11+).

Non consentito (predefinito): impedisce all'app di comunicare tra profili.

Consentito: consente all'app di comunicare tra profili dopo aver ricevuto il consenso dell'utente.

9.9. Esenzione dal blocco VPN Always On

Specifica se all'app è consentito l'accesso alla rete quando la VPN non è connessa e blocco abilitato è attivo. Supportato solo su dispositivi con Android 10 o versioni successive.

Applicata (predefinita): l'app rispetta l'impostazione di blocco della VPN always-on.

Esente: l'app è esente dall'impostazione di blocco della VPN always-on.

9.10. Widget del profilo di lavoro

Specifica se l'app installata nel profilo di lavoro può aggiungere widget alla schermata Home.

Consentito: l'applicazione può aggiungere widget alla schermata Home.

Non consentito: l'applicazione non può aggiungere widget alla schermata Home.

9.11. Impostazioni di controllo utente

Specifica se il controllo utente è consentito per una determinata app. Il controllo utente include azioni dell'utente come l'arresto forzato e la cancellazione dei dati dell'app (Android 11+). Se extensionConfig è abilitato per un'app, il controllo utente non è consentito indipendentemente da questa impostazione. Per le app kiosk, puoi usare Consentito per consentire il controllo utente.

Non specificato: usa il comportamento predefinito dell'app per determinare se il controllo utente è consentito o meno.

Consentito: il controllo utente è consentito per l'app.

Non consentito: il controllo utente non è consentito per l'app.

9.12. Disabilitata

Indica se l'app è disabilitata. Quando è disabilitata, i dati dell'app vengono comunque conservati.

9.13. Consenti provider di credenziali

Indica se all'app è consentito agire come provider di credenziali su Android 14 e versioni successive.

9.14. Configurazione gestita

Per configurare le impostazioni gestite dell'app, fai clic sul pulsante Abilita configurazione gestita. Se per l'app è già impostata una configurazione gestita, puoi modificarla con il pulsante Configurazione gestita oppure eliminarla con il pulsante Rimuovi configurazione.

L'opzione Configurazione gestita è disponibile solo per le app che supportano questa funzionalità.

9.15. Policy delle autorizzazioni

Concessioni o dinieghi espliciti delle autorizzazioni per l'app. Questi valori hanno la precedenza sulla Policy delle autorizzazioni predefinita e sulle Policy delle autorizzazioni che si applicano a tutte le app.

Usa Aggiungi policy delle autorizzazioni per aggiungere una o più regole di autorizzazione per la scheda dell'app e rimuoverle con l'azione di eliminazione.

9.16. ID delle tracce

Elenco degli ID delle tracce di test chiuso dell'app a cui un dispositivo può accedere. Se sono selezionati più ID traccia, i dispositivi ricevono la versione più recente tra tutte le tracce accessibili. Se non è selezionato alcun ID traccia, i dispositivi hanno accesso solo alla traccia di produzione dell'app.

L'opzione ID delle tracce è disponibile solo per le app che hanno almeno un ID traccia disponibile per la tua organizzazione. Per maggiori dettagli su come aggiungere la tua organizzazione a una traccia di test chiuso per un'app specifica, leggi qui.

 

10. Impostazioni delle applicazioni predefinite

Imposta le app predefinite per i tipi supportati. Quando è impostata un'app predefinita per almeno un tipo, agli utenti viene impedito di modificare le app predefinite in quel profilo.

È consentita una sola impostazione di applicazione predefinita per Tipo di applicazione predefinita. L'elenco delle applicazioni predefinite non deve contenere duplicati.

10.1. Tipo di applicazione predefinita

Seleziona la categoria di app da configurare (ad esempio Browser, Telefono, SMS, Wallet o Assistente). La disponibilità dipende dalla versione di Android e dalla modalità di gestione.

10.2. Ambiti delle applicazioni predefinite

Seleziona dove deve essere applicata l'app predefinita (Completamente gestito, Profilo di lavoro o Profilo personale). È possibile scegliere solo gli ambiti supportati dal tipo selezionato.

Se nessuno degli ambiti selezionati è applicabile alla modalità di gestione del dispositivo, il dispositivo segnala un dettaglio di non‑conformità.

10.3. Applicazioni predefinite

Elenco delle app che possono essere impostate come predefinite per il tipo selezionato. La prima app installata e idonea viene impostata come predefinita.

Se gli ambiti includono Completamente gestito o Profilo di lavoro, ogni app deve essere presente anche nell'elenco Applicazioni con Tipo di installazione diverso da Bloccata.

 

11. Selezione della chiave privata

Consente di mostrare sul dispositivo un'interfaccia per far scegliere all'utente un alias di chiave privata se non ci sono regole corrispondenti in Scegli le regole della chiave privata.

Per i dispositivi con versioni precedenti ad Android P, impostare questa opzione può rendere vulnerabili le chiavi aziendali.

 

12. Scegli le regole della chiave privata

Controlla l'accesso delle app alle chiavi private. La regola determina quale chiave privata, se presente, Android Device Policy concede all'app specificata. L'accesso viene concesso quando l'app chiama KeyChain.choosePrivateKeyAlias (o qualsiasi overload) per richiedere un alias di chiave privata per un determinato URL, oppure, per le regole non specifiche per URL (cioè se urlPattern non è impostato, o è impostato sulla stringa vuota o su .*), su Android 11 e versioni successive, direttamente, così che l'app possa chiamare KeyChain.getPrivateKey senza dover prima chiamare KeyChain.choosePrivateKeyAlias. Quando un'app chiama KeyChain.choosePrivateKeyAlias e più di una choosePrivateKeyRules corrisponde, l'ultima regola corrispondente definisce quale alias di chiave restituire.

Usa Aggiungi regola chiave privata per creare voci e rimuoverle con l'azione di eliminazione.

12.1. Alias della chiave privata

L'alias della chiave privata da usare.

12.2. Pattern URL

Il pattern URL da confrontare con l'URL della richiesta. Se non impostato o vuoto, corrisponde a tutti gli URL. Usa la sintassi delle espressioni regolari di java.util.regex.Pattern.

12.3. Nomi dei pacchetti

I nomi dei pacchetti a cui si applica questa regola. L'hash del certificato di firma di ogni app viene verificato rispetto all'hash fornito da Play. Se non viene specificato alcun nome di pacchetto, l'alias viene fornito a tutte le app che chiamano KeyChain.choosePrivateKeyAlias o qualsiasi overload (ma non senza chiamare KeyChain.choosePrivateKeyAlias, anche su Android 11 e versioni successive). Qualsiasi app con lo stesso UID Android di un pacchetto specificato qui avrà accesso quando chiama KeyChain.choosePrivateKeyAlias.

Usa Aggiungi nome del pacchetto per aggiungere voci e rimuoverle con l'azione di eliminazione.

 

Per eliminare un'app, fai clic sull'icona del cestino, in fondo alla scheda dell'app.

 

 

Policy - Android

Modalità chiosco

Con la modalità chiosco puoi limitare le funzionalità di un dispositivo a una singola app o a più app. La scelta tra modalità chiosco con app singola e con più app dipende dai tuoi obiettivi aziendali.

Nella modalità chiosco con app singola, un dispositivo viene configurato per una singola applicazione e non consente agli utenti finali di accedere ad altre app sul dispositivo. Inoltre non possono uscire dall'app, rendendolo un dispositivo dedicato a quell'app specifica. Per abilitare questa modalità, specifica un'app nella sezione Gestione app con Tipo di installazione impostato su Chiosco.

Nella modalità chiosco con più app, i dispositivi possono accedere a più applicazioni. Gli utenti finali possono passare da un'app all'altra tramite un launcher personalizzato. Per abilitare questa modalità, attiva l'opzione Launcher personalizzato per chiosco.

Quando la modalità chiosco è abilitata, puoi anche configurare se gli utenti finali possono accedere a determinate funzionalità di sistema, come le impostazioni di sistema e la barra di stato.

 

Launcher personalizzato per chiosco

Indica se il launcher personalizzato per chiosco è abilitato. Sostituisce la schermata Home con un launcher che blocca il dispositivo sulle app installate tramite l'impostazione Gestione app. Le app compaiono su un'unica pagina in ordine alfabetico.

 

Azioni del pulsante di accensione

Imposta il comportamento di un dispositivo in modalità chiosco quando un utente tiene premuto (premere a lungo) il pulsante di accensione.

Disponibile (predefinito): Il menu di accensione (ad es. Spegni, Riavvia) viene mostrato quando un utente tiene premuto il pulsante di accensione di un dispositivo in modalità chiosco.

Bloccato: Il menu di accensione (ad es. Spegni, Riavvia) non viene mostrato quando un utente tiene premuto il pulsante di accensione di un dispositivo in modalità chiosco. Nota: questo potrebbe impedire agli utenti di spegnere il dispositivo.

 

Avvisi di errore di sistema

Specifica se le finestre di errore di sistema per le app bloccate o che non rispondono vengono bloccate in modalità chiosco. Quando sono bloccate, il sistema forza l'arresto dell'app come se l'utente scegliesse l'opzione "chiudi app" nell'interfaccia.

Bloccato (predefinito): Tutte le finestre di errore di sistema, come arresti anomali e app che non risponde (ANR), vengono bloccate. Quando sono bloccate, il sistema forza l'arresto dell'app come se l'utente la chiudesse dall'interfaccia.

Attivato: Tutte le finestre di errore di sistema, come arresti anomali e app che non risponde (ANR), vengono visualizzate.

Navigazione di sistema

Specifica quali funzionalità di navigazione sono abilitate (ad es. pulsanti Home e Panoramica) in modalità chiosco.

Disattivato (predefinito): I pulsanti Home e Panoramica non sono accessibili.

Solo Home: È abilitato solo il pulsante Home.

Attivato: I pulsanti Home e Panoramica sono abilitati.

 

Barra di stato

Specifica se le informazioni di sistema e le notifiche sono disattivate in modalità chiosco.

Disattivato (predefinito): Le informazioni di sistema e le notifiche sono disattivate in modalità chiosco.

Solo sistema: Sulla barra di stato vengono mostrate solo le informazioni di sistema.

Attivato: Le informazioni di sistema e le notifiche vengono mostrate sulla barra di stato in modalità chiosco. Nota: perché questa policy abbia effetto, il pulsante Home del dispositivo deve essere abilitato tramite kioskCustomization.systemNavigation.

 

Impostazioni del dispositivo

Specifica se l'app Impostazioni è consentita in modalità chiosco.

Consentito (predefinito): L'accesso all'app Impostazioni è consentito in modalità chiosco.

Bloccato: L'accesso all'app Impostazioni non è consentito in modalità chiosco.

Policy - Android

Sicurezza

In questa sezione puoi configurare le policy relative alla sicurezza.

 

Azioni per i rischi di sicurezza

Scegli cosa fare quando un dispositivo segnala un SecurityRisk nei rapporti di stato.

 

Tipi di SecurityRisk supportati:

Sistema operativo sconosciuto: Play Integrity API rileva che il dispositivo esegue un sistema operativo sconosciuto (il controllo basicIntegrity riesce ma ctsProfileMatch fallisce).

Sistema operativo compromesso: Play Integrity API rileva che il dispositivo esegue un sistema operativo compromesso (il controllo basicIntegrity fallisce).

Valutazione hardware non riuscita: Play Integrity API rileva che il dispositivo non offre una garanzia forte dell'integrità del sistema, se l'etichetta MEETS_STRONG_INTEGRITY non compare nel campo relativo all'integrità del dispositivo.

 

Azioni disponibili:

Cancella i dati aziendali (predefinito): annulla la registrazione e cancella i dati di lavoro (l'intero dispositivo se completamente gestito, o solo il profilo di lavoro per i dispositivi con profilo).

Nessuna azione: lascia il dispositivo registrato e non fare nulla automaticamente.

 

Quando selezioni Cancella i dati aziendali, puoi anche configurare le opzioni di cancellazione:

Mantieni la protezione dopo il ripristino di fabbrica: conserva i dati della protezione dopo il ripristino di fabbrica (FRP) durante la cancellazione del dispositivo.

Cancella archiviazione esterna: cancella inoltre l'archiviazione esterna del dispositivo (come le schede SD) durante l'esecuzione della cancellazione.

Cancella eSIM: per i dispositivi aziendali, rimuove tutte le eSIM dal dispositivo quando il dispositivo viene cancellato. Nei dispositivi di proprietà personale, rimuove le eSIM gestite (eSIM aggiunte tramite il comando ADD_ESIM) sul dispositivo e nessuna eSIM di proprietà personale verrà rimossa.

 

1. Tempo massimo prima del blocco

Tempo massimo (in secondi) di attività dell'utente prima del blocco del dispositivo. Un valore di 0 indica che non esiste alcuna restrizione.

 

2. Rimani attivo durante la ricarica

Le modalità di alimentazione con batteria collegata in cui il dispositivo rimane attivo. Quando usi questa impostazione, si consiglia di svuotare Tempo massimo prima del blocco in modo che il dispositivo non si blocchi mentre rimane attivo.

Alimentatore CA: la fonte di alimentazione è un alimentatore CA.

Porta USB: la fonte di alimentazione è una porta USB.

Caricatore wireless: la fonte di alimentazione è wireless.

 

3. Blocco schermo disattivato

Se impostato su true, disattiva la schermata di blocco per i display principale e/o secondario. Questa policy è supportata solo in modalità di gestione dispositivo dedicata.

 

4. Requisiti della password

Policy sui requisiti della password.

Usa Configura i requisiti della password per aggiungere uno o più blocchi di requisiti della password. Usa Cancella tutto per rimuovere tutti i requisiti della password configurati.

I requisiti della password possono usare l'ambito Auto (requisito singolo) o ambiti separati Dispositivo/Profilo di lavoro. I requisiti basati sulla complessità devono essere abbinati a requisiti basati sulla qualità per lo stesso ambito.

4.1. Ambito

L'ambito a cui si applica il requisito della password.

Auto: l'ambito non è specificato. I requisiti della password vengono applicati al profilo di lavoro per i dispositivi con profilo di lavoro e all'intero dispositivo per i dispositivi completamente gestiti o dedicati.

Dispositivo: i requisiti della password vengono applicati solo al dispositivo.

Profilo di lavoro: i requisiti della password vengono applicati solo al profilo di lavoro.

4.2. Lunghezza cronologia password

La lunghezza della cronologia delle password. Dopo aver impostato questo campo, l'utente non potrà inserire una nuova password uguale a una qualsiasi password della cronologia. Un valore di 0 indica che non esiste alcuna restrizione.

4.3. Max password non riuscite prima della cancellazione

Numero di password di sblocco del dispositivo errate che possono essere inserite prima che il dispositivo venga cancellato. Un valore di 0 indica che non esiste alcuna restrizione.

4.4. Scadenza password (giorni)

Questa impostazione obbliga l'utente ad aggiornare periodicamente la password dopo il numero di giorni specificato.

4.5. Richiedi sblocco con password

Il tempo dopo lo sblocco di un dispositivo o profilo di lavoro con una forma di autenticazione forte (password, PIN, sequenza) durante il quale è possibile sbloccarlo con qualsiasi altro metodo di autenticazione (ad es. impronta digitale, agenti attendibili, volto). Trascorso il periodo di tempo specificato, per sbloccare il dispositivo o il profilo di lavoro è possibile usare solo forme di autenticazione forti.

Predefinito del dispositivo: il periodo di timeout è impostato sul valore predefinito del dispositivo.

Ogni giorno: il periodo di timeout è impostato a 24 ore.

4.6. Qualità della password

La qualità della password richiesta.

Complessità elevata: definisce la fascia di complessità elevata della password come segue: su Android 12 e versioni successive: PIN senza sequenze ripetute (4444) o ordinate (1234, 4321, 2468), lunghezza minima 8; alfabetica, lunghezza minima 6; alfanumerica, lunghezza minima 6.

Complessità media: definisce la fascia di complessità media della password come segue: PIN senza sequenze ripetute (4444) o ordinate (1234, 4321, 2468), lunghezza minima 4; alfabetica, lunghezza minima 4; alfanumerica, lunghezza minima 4.

Complessità bassa: definisce la fascia di complessità bassa della password come segue: sequenza; PIN con sequenze ripetute (4444) o ordinate (1234, 4321, 2468).

Nessuna: non sono previsti requisiti della password.

Debole: il dispositivo deve essere protetto almeno con una tecnologia di riconoscimento biometrico a bassa sicurezza. Ciò include tecnologie in grado di riconoscere l'identità di un individuo approssimativamente equivalenti a un PIN di 3 cifre (rilevamento errato inferiore a 1 su 1.000).

Qualsiasi: è richiesta una password, ma non ci sono restrizioni su ciò che deve contenere.

Numerica: la password deve contenere caratteri numerici.

Numerica complessa: la password deve contenere caratteri numerici senza sequenze ripetute (4444) o ordinate (1234, 4321, 2468).

Alfabetica: la password deve contenere caratteri alfabetici (o simboli).

Alfanumerica: la password deve contenere sia caratteri numerici sia caratteri alfabetici (o simboli).

Complessa: la password deve soddisfare i requisiti minimi specificati in passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols ecc. Ad esempio, se passwordMinimumSymbols è 2, la password deve contenere almeno due simboli.

4.7. Lunghezza minima

La lunghezza minima consentita della password. Un valore di 0 indica che non esiste alcuna restrizione.

4.8. Lettere minime

Numero minimo di lettere richieste nella password.

4.9. Lettere minuscole minime

Numero minimo di lettere minuscole richieste nella password.

4.10. Lettere maiuscole minime

Numero minimo di lettere maiuscole richieste nella password.

4.11. Caratteri non alfabetici minimi

Numero minimo di caratteri non alfabetici (cifre numeriche o simboli) richiesti nella password.

4.12. Cifre numeriche minime

Numero minimo di cifre numeriche richieste nella password.

4.13. Simboli minimi

Numero minimo di simboli richiesti nella password.

4.14. Blocco unificato

Controlla se è consentito un blocco unificato per il dispositivo e il profilo di lavoro, sui dispositivi con Android 9 e versioni successive e con un profilo di lavoro. Non ha alcun effetto sugli altri dispositivi.

Consenti blocco unificato: è consentito un blocco comune per il dispositivo e il profilo di lavoro.

Richiedi blocco di lavoro separato: è richiesto un blocco separato per il profilo di lavoro.

 

5. Ripristino di fabbrica disattivato

Indica se il ripristino di fabbrica dalle impostazioni è disattivato. Si applica solo ai dispositivi completamente gestiti.

 

6. Protezione dal ripristino di fabbrica

Indirizzi email degli amministratori del dispositivo per la protezione dal ripristino di fabbrica. Quando il dispositivo subisce un ripristino di fabbrica non autorizzato, richiederà a uno di questi amministratori di accedere con l'email e la password dell'account Google per sbloccare il dispositivo. Se non viene specificato alcun amministratore, il dispositivo non fornirà la protezione dal ripristino di fabbrica. Si applica solo ai dispositivi completamente gestiti.

Email degli amministratori: usa Abilita la protezione dal ripristino di fabbrica per iniziare a configurare gli amministratori. Poi usa Aggiungi email amministratore per aggiungere indirizzi e rimuoverli con l'azione di eliminazione.

 

7. Funzionalità del blocco schermo

Funzionalità del blocco schermo (schermata di blocco) che possono essere disattivate.

7.1. Disattiva tutto

Disattiva tutte le personalizzazioni attuali e future del blocco schermo.

7.2. Disattiva fotocamera

Disattiva la fotocamera sulle schermate di blocco protette (ad es. PIN).

7.3. Disattiva notifiche

Disattiva la visualizzazione di tutte le notifiche sulle schermate di blocco protette.

7.4. Disattiva notifiche non oscurate

Disattiva le notifiche non oscurate sulle schermate di blocco protette.

7.5. Ignora stato dell'agente attendibile

Ignora lo stato dell'agente attendibile sulle schermate di blocco protette.

7.6. Disattiva impronta digitale

Disattiva il sensore di impronte digitali sulle schermate di blocco protette.

7.7. Disattiva l'inserimento di testo nelle notifiche

Disattiva l'inserimento di testo nelle notifiche sulle schermate di blocco protette.

7.8. Disattiva autenticazione con volto

Disattiva l'autenticazione con il volto sulle schermate di blocco protette.

7.9. Disattiva autenticazione con iride

Disattiva l'autenticazione con l'iride sulle schermate di blocco protette.

7.10. Disattiva tutta l'autenticazione biometrica

Disattiva tutta l'autenticazione biometrica sulle schermate di blocco protette.

7.11. Disattiva tutte le scorciatoie

Disattiva tutte le scorciatoie sulla schermata di blocco protetta su Android 14 e versioni successive.

Policy - Android

Multimedia

In questa sezione puoi configurare il comportamento di fotocamera/microfono, l'accesso ai dati USB, la stampa e le restrizioni relative al display.

 

1. Accesso alla fotocamera

Controlla l'uso della fotocamera e se l'utente può accedere all'interruttore di accesso alla fotocamera (Android 12+). In generale, la disattivazione della fotocamera si applica all'intero dispositivo sui dispositivi con gestione completa e solo all'interno del profilo di lavoro sui dispositivi con profilo di lavoro.

Scelta utente (predefinita): Comportamento predefinito del dispositivo. Le fotocamere sono disponibili e (Android 12+) l'utente può attivare o disattivare l'accesso alla fotocamera.

Disattivato: Tutte le fotocamere sono disattivate (gestione completa: su tutto il dispositivo; profilo di lavoro: solo per le app del profilo di lavoro). L'interruttore di accesso alla fotocamera non ha effetto nell'ambito gestito.

Applicato: Le fotocamere sono disponibili. Sui dispositivi con gestione completa con Android 12+, l'utente non può attivare o disattivare l'accesso alla fotocamera. Su altri dispositivi/versioni si comporta come Scelta utente.

 

2. Accesso al microfono

Sui dispositivi con gestione completa, controlla l'uso del microfono e se l'utente può accedere all'interruttore di accesso al microfono (Android 12+). Questa impostazione non ha effetto sui dispositivi senza gestione completa.

Scelta utente (predefinita): Comportamento predefinito. Il microfono è disponibile e (Android 12+) l'utente può attivare o disattivare l'accesso al microfono.

Disattivato: Il microfono è disattivato (su tutto il dispositivo). L'interruttore di accesso al microfono non ha effetto.

Applicato: Il microfono è disponibile. Su Android 12+, l'utente non può attivare o disattivare l'accesso al microfono. Su Android 11 o versioni precedenti si comporta come Scelta utente.

 

3. Accesso ai dati USB

Controlla quali file e/o dati possono essere trasferiti via USB. Supportato solo sui dispositivi di proprietà dell'azienda.

Non consentire il trasferimento di file (predefinito): I trasferimenti di file non sono consentiti, ma altre connessioni dati USB (ad es. mouse/tastiera) sono consentite.

Non consentire il trasferimento di dati: Tutti i tipi di trasferimento dati USB sono vietati (Android 12+ con USB HAL 1.3+). Se non supportato, il dispositivo passa a Non consentire il trasferimento di file.

Consenti il trasferimento di dati: Tutti i tipi di trasferimento dati USB sono consentiti.

 

4. Stampa

Controlla se la stampa è consentita (Android 9+).

Consentito (predefinito): La stampa è consentita.

Non consentito: La stampa non è consentita (Android 9+).

 

5. Impostazioni della luminosità dello schermo

Controlla la modalità di luminosità dello schermo e (facoltativamente) il valore di luminosità.

Modalità di luminosità dello schermo:

Scelta utente (predefinita): All'utente è consentito configurare la luminosità dello schermo.

Automatico: La luminosità è automatica e l'utente non può modificarla. Puoi comunque impostare un valore di luminosità, usato come parte della regolazione automatica (gestione completa Android 9+; profili di lavoro su dispositivi aziendali con Android 15+).

Fissa: La luminosità viene impostata sul valore configurato e l'utente non può modificarla. Il valore di luminosità è obbligatorio (gestione completa Android 9+; profili di lavoro su dispositivi aziendali con Android 15+).

Luminosità dello schermo:

Valore da 1 a 255 (1 = minimo, 255 = massimo). Un valore pari a 0 indica che non è impostato alcun valore di luminosità.

 

6. Impostazioni del timeout dello schermo

Controlla se l'utente può configurare il timeout dello schermo e, quando è applicato, il valore del timeout.

Il campo Modalità timeout schermo consente di scegliere tra il comportamento controllato dall'utente e quello applicato.

Scelta utente (predefinita): All'utente è consentito configurare il timeout dello schermo.

Applicato: Il timeout dello schermo viene impostato sul valore configurato e l'utente non può modificarlo (gestione completa Android 9+; profili di lavoro su dispositivi aziendali con Android 15+).

Timeout dello schermo:

Durata del timeout in secondi. Il valore deve essere maggiore di 0. Se è maggiore del Tempo massimo di blocco, il sistema potrebbe limitarlo e segnalare una non conformità.

 

7. Acquisizione schermo disattivata

Indica se l'acquisizione dello schermo è disattivata.

 

8. Regolazione del volume disattivata

Indica se la regolazione del volume principale è disattivata.

 

9. Montaggio dei supporti fisici disattivato

Indica se il montaggio dei supporti esterni fisici è disattivato.

Policy - Android

Cellulare

In questa sezione puoi configurare le policy relative alla rete cellulare.

 

1. Modalità aereo

Controlla se l'utente può attivare o disattivare la modalità aereo.

Scelta dell'utente (predefinita): all'utente è consentito attivare o disattivare la modalità aereo.

Disabilitata: la modalità aereo è disabilitata. All'utente non è consentito attivarla. Supportato su Android 9 e versioni successive.

 

2. Cellulare 2G

Controlla se l'utente può attivare o disattivare l'impostazione Cellulare 2G.

Scelta dell'utente (predefinita): all'utente è consentito attivare o disattivare il cellulare 2G.

Disabilitato: il cellulare 2G è disabilitato. All'utente non è consentito attivare il cellulare 2G dalle impostazioni. Supportato su Android 14 e versioni successive.

 

3. Sostituisci APNs

Controlla se gli APNs di sostituzione sono abilitati o disabilitati. Quando sono abilitati, vengono usati solo gli APNs di sostituzione configurati e tutti gli altri APNs sul dispositivo vengono ignorati.

Disattivato (predefinito): Tutte le impostazioni APN configurate vengono salvate sul dispositivo, ma sono disattivate e non hanno alcun effetto. Tutti gli altri APN sul dispositivo rimangono in uso.

Attivato: Vengono usati solo gli APN di override, tutti gli altri APN vengono ignorati. Questa impostazione può essere configurata solo su dispositivi con gestione completa con Android 10 e versioni successive.

 

4. Impostazioni APN

Configura una o più voci APN. Usa Aggiungi APN per creare una voce e Rimuovi APN per eliminarla.

Ogni APN ha campi obbligatori:

Tipi di APN: Seleziona uno o più tipi di traffico per questo APN (la disponibilità dipende dalla modalità di gestione e dalla versione di Android).

Nome APN: L'identificatore APN fornito dal tuo operatore.

Nome visualizzato: Nome descrittivo mostrato nell'interfaccia.

 

Campi APN facoltativi:

Tipo di autenticazione, Nome utente, Password: Configura l'autenticazione dell'operatore (se richiesta).

Protocollo e Protocollo di roaming: Configurazione del protocollo IP.

Tipi di rete: Limita le tecnologie cellulari che l'APN può usare (ad esempio LTE/5G NR).

Indirizzo proxy e Porta proxy: Proxy HTTP per il traffico dati (se applicabile).

Indirizzo proxy MMS, Porta proxy MMS, MMSC (URI del centro MMS): Impostazioni relative agli MMS.

ID numerico operatore (MCC+MNC) e ID operatore: Campi di identificazione dell'operatore.

Impostazione Always On: Indica se la sessione PDU attivata da questo APN deve essere sempre attiva (always-on). Supportato su Android 15 e versioni successive.

Tipo MVNO: Tipo di identificatore dell'operatore di rete mobile virtuale.

MTU IPv4 e MTU IPv6: Maximum Transmission Unit (unità massima di trasmissione) per le route IPv4/IPv6. Supportato su Android 13 e versioni successive.

 

5. Configurazione delle trasmissioni cellulari disattivata

Indica se la configurazione delle trasmissioni cellulari è disattivata.

 

6. Configurazione delle reti mobili disattivata

Indica se la configurazione delle reti mobili è disattivata.

 

7. Dati in roaming disattivati

Indica se i servizi dati in roaming sono disattivati.

 

8. Chiamate in uscita disattivate

Indica se le chiamate in uscita sono disattivate.

 

9. SMS disattivati

Indica se l'invio e la ricezione di messaggi SMS sono disattivati.

 

10. Configurazione del network slicing 5G

Configura le impostazioni del servizio di rete preferenziale per abilitare il network slicing 5G aziendale. Puoi impostare fino a 5 slice aziendali e assegnare le applicazioni a reti specifiche per ottimizzare l'instradamento del traffico.

10.1. Rete preferenziale predefinita

ID della rete preferenziale predefinita per le applicazioni che non sono nell'elenco delle applicazioni o se la Rete preferenziale di un'app non è impostata. Deve esistere una configurazione per l'ID di rete specificato (a meno che non sia impostato su Nessuna rete preferenziale).

Nota: le app critiche come com.google.android.apps.work.clouddpc e com.google.android.gms sono escluse da questa impostazione predefinita.

 

10.2. Configurazioni dei servizi di rete

Usa Aggiungi configurazione di rete per creare una configurazione di slice. Puoi aggiungere fino a 5 configurazioni. Ogni configurazione ha:

ID rete preferenziale (assegnato automaticamente): L'ID di rete viene assegnato automaticamente e non può essere modificato.

Fallback alla connessione predefinita: Indica se è consentito il fallback alla rete predefinita del dispositivo. Se non consentito, le app non possono accedere a internet se lo slice 5G non è disponibile.

Reti non corrispondenti: Indica se le app soggette a questa configurazione possono usare reti diverse dal servizio preferenziale. Se impostato su Non consentito, anche Fallback alla connessione predefinita deve essere Non consentito. Richiede Android 14 e versioni successive.

Policy - Android

Rete

In questa sezione puoi configurare le policy relative alla rete.

Le configurazioni Wi-Fi possono essere fornite e gestite dal sistema tramite Configurazioni WiFi. A seconda del valore impostato su Configura Wi-Fi, gli utenti possono avere un controllo limitato o nullo sull'aggiunta/modifica delle reti.

 

Stato radio del dispositivo

1. Stato Wi-Fi

Controlla lo stato attuale del Wi-Fi e se l'utente può modificarne lo stato.

Scelta utente (predefinita): All'utente è consentito abilitare/disabilitare il Wi-Fi.

Attivato: Il Wi-Fi è attivo e all'utente non è consentito disattivarlo (Android 13+).

Disattivato: Il Wi-Fi è disattivato e all'utente non è consentito attivarlo (Android 13+).

 

2. Livello di sicurezza Wi-Fi minimo

Il livello di sicurezza minimo richiesto delle reti Wi-Fi a cui il dispositivo può connettersi. Supportato su Android 13 e versioni successive, per i dispositivi con gestione completa e i profili di lavoro sui dispositivi di proprietà dell'azienda.

Rete aperta (predefinita): Il dispositivo può connettersi a tutti i tipi di reti Wi-Fi.

Rete personale: Non consente le reti Wi-Fi aperte; richiede almeno la sicurezza personale (ad esempio WPA2-PSK).

Rete aziendale: Richiede reti EAP aziendali; non consente reti Wi-Fi con un livello di sicurezza inferiore.

Rete aziendale a 192 bit: Richiede reti aziendali a 192 bit; opzione più restrittiva.

 

3. Stato ultra wideband (UWB)

Controlla lo stato dell'impostazione ultra wideband e se l'utente può attivarla o disattivarla.

Scelta utente (predefinita): All'utente è consentito attivare o disattivare UWB.

Disattivato: UWB è disattivato e all'utente non è consentito attivarlo o disattivarlo tramite le impostazioni (Android 14+).

 

Gestione della connettività del dispositivo

4. Condivisione Bluetooth

Controlla se la condivisione Bluetooth è consentita.

Consentito: La condivisione Bluetooth è consentita (predefinito sui dispositivi con gestione completa, Android 8+).

Non consentito: La condivisione Bluetooth non è consentita (predefinito sui profili di lavoro, Android 8+).

 

5. Configura Wi-Fi

Controlla i privilegi di configurazione del Wi-Fi. A seconda dell'opzione selezionata, l'utente ha il controllo completo, limitato o nullo sulla configurazione delle reti Wi-Fi.

Consenti la configurazione del Wi-Fi (predefinito): All'utente è consentito configurare il Wi-Fi.

Non consentire l'aggiunta di configurazioni Wi-Fi: L'aggiunta di nuove configurazioni Wi-Fi non è consentita. L'utente può passare da una rete già configurata all'altra (Android 13+; gestione completa e profili di lavoro su dispositivi aziendali).

Non consentire la configurazione del Wi-Fi: Non consente di configurare le reti Wi-Fi. Per i dispositivi con gestione completa, rimuove le reti configurate dall'utente e mantiene solo le reti configurate tramite Configurazioni WiFi. Per i profili di lavoro sui dispositivi aziendali, le reti esistenti non sono interessate, ma gli utenti non possono aggiungere/rimuovere/modificare le reti Wi-Fi.

Quando la configurazione del Wi-Fi è disattivata e il dispositivo non riesce a connettersi all'avvio, il sistema può mostrare la procedura di emergenza per la rete per consentire all'utente di connettersi temporaneamente e aggiornare la policy.

 

6. Impostazioni Wi-Fi Direct

Controlla la configurazione e l'uso delle impostazioni Wi-Fi Direct. Supportato sui dispositivi di proprietà dell'azienda con Android 13 e versioni successive.

Consenti (predefinito): All'utente è consentito usare Wi-Fi Direct.

Non consentire: All'utente non è consentito usare Wi-Fi Direct.

 

7. Impostazioni di tethering

Controlla le impostazioni di tethering. In base al valore impostato, all'utente è parzialmente o completamente vietato usare diverse forme di tethering.

Consenti tutto il tethering (predefinito): Consente la configurazione e l'uso di tutte le forme di tethering.

Non consentire il tethering Wi-Fi: Vieta all'utente di usare il tethering Wi-Fi (dispositivi aziendali Android 13+).

Non consentire alcun tethering: Vieta tutte le forme di tethering (gestione completa + profili di lavoro su dispositivi aziendali).

 

8. Policy SSID Wi-Fi

Restrizioni sugli SSID Wi-Fi a cui il dispositivo può connettersi (questo non influisce sulle reti che possono essere configurate sul dispositivo). Supportato sui dispositivi di proprietà dell'azienda con Android 13 e versioni successive.

Lista di blocco SSID (predefinita): Il dispositivo non può connettersi a nessuna rete Wi-Fi il cui SSID è elencato, ma può connettersi ad altre reti.

Lista di consentiti SSID: Il dispositivo può connettersi solo agli SSID elencati. L'elenco degli SSID non deve essere vuoto.

Usa Aggiungi SSID per aggiungere voci. A seconda del tipo di policy selezionato, l'elenco viene interpretato come SSID consentiti o non consentiti.

Nell'interfaccia dell'editor delle policy, l'elenco degli SSID è etichettato come SSID Wi-Fi consentiti per le liste di consentiti e SSID Wi-Fi non consentiti per le liste di blocco.

 

9. Impostazioni di roaming Wi-Fi

Configura la modalità di roaming Wi-Fi per SSID. Usa Aggiungi impostazione di roaming Wi-Fi per creare voci.

Ogni voce include:

SSID: L'SSID a cui si applica l'impostazione di roaming (obbligatorio).

Modalità di roaming Wi-Fi: Predefinita / Disattivata / Aggressiva. Disattivata e Aggressiva richiedono Android 15+ e sono supportate solo sui dispositivi con gestione completa e sui profili di lavoro dei dispositivi aziendali.

 

Restrizioni di rete

10. Bluetooth disattivato

Indica se il Bluetooth è disattivato. Preferisci questa impostazione a Configurazione Bluetooth disattivata, perché la configurazione Bluetooth disattivata può essere aggirata dall'utente.

 

11. Condivisione contatti Bluetooth disattivata

Indica se la condivisione dei contatti Bluetooth è disattivata.

 

12. Configurazione Bluetooth disattivata

Indica se la configurazione del Bluetooth è disattivata.

 

13. Ripristino rete disattivato

Indica se il ripristino delle impostazioni di rete è disattivato.

 

14. Beam in uscita disattivato

Indica se l'uso di NFC per inviare dati dalle app tramite beam è disattivato.

 

VPN

15. App VPN Always On

Specifica un nome pacchetto VPN Always On per assicurarti che i dati delle app gestite specificate passino sempre attraverso una VPN configurata.

Nota: questa funzionalità richiede la distribuzione di un client VPN che supporti sia la funzionalità Always On sia quella VPN per app.

 

16. Blocco VPN

Impedisce la connessione di rete quando la VPN non è connessa.

 

17. Configurazione VPN disattivata

Indica se la configurazione della VPN è disattivata.

 

Proxy e servizi di rete

18. Servizio di rete preferenziale

Controlla se il servizio di rete preferenziale è abilitato sul profilo di lavoro. Ad esempio, un'organizzazione può avere un accordo con un operatore affinché i dati di lavoro vengano inviati tramite un servizio di rete dell'operatore dedicato all'uso aziendale (ad esempio, uno slice aziendale sulle reti 5G). Questo non ha effetto sui dispositivi con gestione completa.

Disattivato: Il servizio di rete preferenziale è disattivato sul profilo di lavoro.

Attivato: Il servizio di rete preferenziale è abilitato sul profilo di lavoro.

Se usi il network slicing aziendale, configura anche Configurazione del network slicing 5G nel pannello della policy Cellulare e assegna le app a uno slice tramite la loro impostazione Rete preferenziale.

 

Il proxy HTTP globale indipendente dalla rete. In genere, i proxy dovrebbero essere configurati per rete nelle configurazioni WiFi. Un proxy globale può essere utile per configurazioni particolari come il filtraggio interno generale. Il proxy globale è solo un consiglio e alcune app potrebbero ignorarlo.

Disattivato

Proxy diretto

Configurazione automatica del proxy (PAC)

19.1. Host

L'host del proxy diretto.

19.2. Porta

La porta del proxy diretto.

19.3. URI PAC

L'URI dello script PAC usato per configurare il proxy.

19.4. Host esclusi

Per un proxy diretto, gli host per cui il proxy viene ignorato. I nomi host possono contenere caratteri jolly come *.example.com.

Usa Aggiungi host escluso per aggiungere voci (disponibile solo per il proxy diretto).

 

Configurazioni Wi-Fi

Definisci le configurazioni di rete Wi‑Fi che il sistema applicherà sui dispositivi. Usa Aggiungi configurazione Wi‑Fi per creare una voce e rimuoverla con l'azione di eliminazione.

20. Campi della configurazione Wi‑Fi

Ogni configurazione include:

Nome configurazione: obbligatorio.

SSID: obbligatorio.

Connessione automatica: indica se connettersi automaticamente alla rete quando è nel raggio d'azione.

Transizione rapida: indica se il client deve tentare di usare la transizione rapida (IEEE 802.11r-2008) con la rete.

SSID nascosto: indica se l'SSID verrà trasmesso.

Modalità di randomizzazione MAC: Hardware o Automatica (Android 13+).

 

20.1. Sicurezza

Opzioni di sicurezza Wi‑Fi:

WEP‑PSK: WEP (chiave precondivisa).

WPA‑PSK: WPA/WPA2/WPA3-Personal (chiave precondivisa).

WPA‑EAP: WPA/WPA2/WPA3-Enterprise (Extensible Authentication Protocol).

Modalità WPA3 a 192 bit: rete WPA‑EAP che consente solo la modalità WPA3 a 192 bit.

20.2. Passphrase (chiave precondivisa)

Visualizzato quando la sicurezza è WEP‑PSK o WPA‑PSK. La passphrase è obbligatoria.

20.3. Metodo EAP (Enterprise)

Visualizzato quando la sicurezza è WPA‑EAP o Modalità WPA3 a 192 bit. Seleziona un metodo EAP esterno:

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. Autenticazione fase 2

Visualizzato per i metodi esterni con tunneling (EAP‑TTLS e PEAP).

MSCHAPv2

PAP

20.5. Credenziali EAP dagli utenti

Se attivato, il sistema applica automaticamente le credenziali EAP sui dispositivi per singolo utente. Puoi configurare le credenziali degli utenti nella sezione Utenti.

20.6. Certificato client

Per EAP‑TLS, puoi assegnare un certificato client usato per l'autenticazione Wi‑Fi. Per ulteriori informazioni leggi la pagina Gestione dei certificati.

Se è già assegnato un certificato, puoi usare Apri certificato per visualizzarlo o Cambia certificato per selezionarne uno diverso.

In alternativa, puoi specificare Alias coppia di chiavi del certificato client, che fa riferimento a un certificato client archiviato nel keychain di Android e consentito per l'autenticazione Wi‑Fi.

Se sono impostati sia Certificato client sia Alias coppia di chiavi del certificato client, l'alias della coppia di chiavi viene ignorato.

20.7. Identità

Identità dell'utente. Per i protocolli esterni con tunneling (PEAP, EAP‑TTLS), viene usata per l'autenticazione all'interno del tunnel, mentre Identità anonima viene usata per l'identità EAP all'esterno del tunnel. Per i protocolli esterni senza tunneling, viene usata per l'identità EAP.

20.8. Identità anonima

Solo per i protocolli con tunneling, indica l'identità dell'utente presentata al protocollo esterno.

20.9. Password

Password dell'utente. Se non specificata, per impostazione predefinita viene richiesta all'utente.

20.10. Certificati CA del server

Elenco dei certificati CA da usare per verificare la catena di certificati dell'host. Almeno un certificato CA deve corrispondere. Per ulteriori informazioni leggi la pagina Gestione dei certificati.

Usa Aggiungi certificato CA del server per aggiungere voci e rimuoverle con l'azione di eliminazione.

20.11. Corrispondenze dei suffissi di dominio

Un elenco di vincoli per il nome di dominio del server. Le voci vengono usate come requisiti di corrispondenza dei suffissi rispetto ai nomi DNS del nome alternativo del soggetto di un certificato del server di autenticazione.

 

Policy - Android

Sistema

In questa sezione puoi configurare le policy relative al sistema.

 

1. Livello API minimo

Il livello API Android minimo consentito.

 

2. Policy di crittografia

Indica se la crittografia è attivata.

Predefinito: questo valore viene ignorato, ovvero non è richiesta alcuna crittografia.

Attivata senza password: crittografia richiesta ma nessuna password necessaria per l'avvio.

Attivata con password: crittografia richiesta con password necessaria per l'avvio.

 

3. Data e ora automatiche

Indica se data, ora e fuso orario automatici sono attivati su un dispositivo aziendale.

Scelta dell'utente (predefinito): data, ora e fuso orario automatici sono lasciati alla scelta dell'utente.

Applicati: applica data, ora e fuso orario automatici sul dispositivo.

 

4. Impostazioni sviluppatore

Controlla l'accesso alle impostazioni sviluppatore: opzioni sviluppatore e avvio sicuro.

Disattivato (predefinito): disattiva tutte le impostazioni sviluppatore e impedisce all'utente di accedervi.

Consentito: consente tutte le impostazioni sviluppatore. L'utente può accedervi e configurarle facoltativamente.

 

5. Modalità Common Criteria

Controlla la modalità Common Criteria—standard di sicurezza definiti nel Common Criteria for Information Technology Security Evaluation (CC). L'attivazione della modalità Common Criteria incrementa alcuni componenti di sicurezza su un dispositivo (ad esempio: crittografia AES-GCM delle chiavi a lungo termine Bluetooth, convalida aggiuntiva per alcuni certificati di rete e controlli di integrità delle policy crittografiche). La modalità Common Criteria è supportata solo su dispositivi aziendali con Android 11 o versioni successive. Avviso: la modalità Common Criteria applica un modello di sicurezza rigoroso, in genere richiesto solo da organizzazioni altamente sensibili. L'uso standard del dispositivo potrebbe esserne influenzato; attivala solo se necessario.

Disattivato (predefinito): disattiva la modalità Common Criteria.

Attivato: attiva la modalità Common Criteria.

 

6. Memory Tagging Extension (MTE)

Controlla Memory Tagging Extension (MTE) sul dispositivo.

Scelta dell'utente (predefinito): l'utente può scegliere di attivare o disattivare MTE sul dispositivo (se supportato dal dispositivo).

Applicato: MTE è attivato e l'utente non può modificarlo (Android 14+; supportato su dispositivi completamente gestiti e profili di lavoro su dispositivi aziendali).

Disattivato: MTE è disattivato e l'utente non può modificarlo (Android 14+; supportato solo su dispositivi completamente gestiti).

 

7. Protezione dei contenuti

Controlla se la protezione dei contenuti (che analizza le app ingannevoli) è attivata. È supportata su Android 15 e versioni successive.

Disattivato (predefinito): la protezione dei contenuti è disattivata e l'utente non può modificarlo.

Applicato: la protezione dei contenuti è attivata e l'utente non può modificarlo (Android 15+).

Scelta dell'utente: la protezione dei contenuti non è controllata dalla policy; l'utente può scegliere (Android 15+).

 

8. Contenuti Assist

Controlla se AssistContent può essere inviato a un'app con privilegi, ad esempio un'app assistente (come Circle to Search). AssistContent include screenshot e informazioni su un'app, come il nome del pacchetto. È supportato su Android 15 e versioni successive.

Consentito (predefinito): il contenuto Assist può essere inviato a un'app con privilegi (Android 15+).

Non consentito: il contenuto Assist è bloccato e non può essere inviato a un'app con privilegi (Android 15+).

 

9. Creazione finestre disattivata

Indica se la creazione di finestre diverse da quelle delle app è disattivata. Questa opzione impedisce la visualizzazione delle seguenti interfacce di sistema: toast e snackbar, attività telefoniche (come le chiamate in arrivo) e attività telefoniche prioritarie (come le chiamate in corso), avvisi di sistema, errori di sistema e overlay di sistema.

 

10. Connessione di rete di emergenza

Indica se la connessione di rete di emergenza è attivata. Se all'avvio non è possibile stabilire una connessione di rete, la connessione di emergenza chiede all'utente di connettersi temporaneamente a una rete per aggiornare la policy del dispositivo. Dopo l'applicazione della policy, la rete temporanea viene dimenticata e il dispositivo continua l'avvio. Ciò evita di restare senza connessione di rete se l'ultima policy non contiene una rete adatta e il dispositivo si avvia in un'app in modalità lock task, o se l'utente non può in altro modo raggiungere le impostazioni del dispositivo.

 

11. Attività predefinite

Un elenco di attività predefinite per gestire gli intent che corrispondono a un determinato filtro di intent. Ad esempio, questa funzionalità consente agli amministratori IT di scegliere quale app browser apre automaticamente i link web o quale app launcher viene usata quando si tocca il pulsante Home.

Usa Aggiungi attività predefinita per creare voci. All'interno di una voce, usa Aggiungi azione e Aggiungi categoria per creare il filtro di intent.

11.1. Attività ricevente

L'attività che deve essere il gestore predefinito degli intent. Deve essere il nome di un componente Android, ad es. com.android.enterprise.app/.MainActivity. In alternativa, il valore può essere il nome del pacchetto di un'app, il che fa sì che Android Device Policy scelga un'attività appropriata dall'app per gestire l'intent.

11.2. Azione

Le azioni degli intent da confrontare nel filtro. Se il filtro include delle azioni, l'azione di un intent deve essere uno di quei valori perché corrisponda. Se non sono incluse azioni, l'azione dell'intent viene ignorata.

11.3. Categoria

Le categorie degli intent da confrontare nel filtro. Un intent include le categorie che richiede; tutte devono essere incluse nel filtro perché la corrispondenza avvenga. In altre parole, aggiungere una categoria al filtro non influisce sulla corrispondenza, a meno che quella categoria non sia specificata nell'intent.

 

12. Metodi di input consentiti

Specifica i metodi di input consentiti.

Tutti consentiti: nessuna restrizione applicata. Tutti i metodi di input sono consentiti.

Solo quelli di sistema: sono consentiti solo i metodi di input preinstallati del sistema.

Solo quelli di sistema e forniti: sono consentiti solo i metodi di input forniti e quelli preinstallati del sistema.

12.1. Metodi di input consentiti

Nomi dei pacchetti dei metodi di input consentiti. Si applica solo quando Metodi di input consentiti è impostato su Solo quelli di sistema e forniti.

Usa Aggiungi metodo di input per aggiungere voci e rimuoverle con l'azione di eliminazione.

 

13. Servizi di accessibilità consentiti

Specifica i servizi di accessibilità consentiti.

Tutti consentiti: è possibile usare qualsiasi servizio di accessibilità.

Solo quelli di sistema: è possibile usare solo i servizi di accessibilità preinstallati del sistema.

Solo quelli di sistema e forniti: è possibile usare solo i servizi di accessibilità forniti e quelli preinstallati del sistema.

13.1. Servizi di accessibilità consentiti

Servizi di accessibilità consentiti. Si applica solo quando Servizi di accessibilità consentiti è impostato su Solo quelli di sistema e forniti.

Usa Aggiungi servizio di accessibilità per aggiungere voci e rimuoverle con l'azione di eliminazione.

 

14. Policy di aggiornamento del sistema

Configurazione per la gestione degli aggiornamenti del sistema.

Predefinito: segui il comportamento di aggiornamento predefinito del dispositivo, che in genere richiede che l'utente accetti gli aggiornamenti del sistema.

Automatico: installa automaticamente non appena un aggiornamento è disponibile.

A intervalli: installa automaticamente entro una finestra di manutenzione giornaliera. Questo configura anche le app Play per l'aggiornamento entro la finestra. È fortemente consigliato per i dispositivi kiosk, perché è l'unico modo in cui Play può aggiornare le app fissate in modo persistente in primo piano.

Posticipa: posticipa l'installazione automatica fino a un massimo di 30 giorni.

 

14.1. Finestra di manutenzione (solo A intervalli)

Quando Policy di aggiornamento del sistema è impostato su A intervalli, puoi definire la finestra di manutenzione giornaliera usando i campi da e a.

 

14.2. Periodi di blocco degli aggiornamenti del sistema

Un periodo di tempo che si ripete ogni anno in cui gli aggiornamenti di sistema over-the-air (OTA) vengono posticipati per bloccare la versione del sistema operativo in esecuzione su un dispositivo. Per evitare di bloccare il dispositivo a tempo indefinito, ogni periodo di blocco deve essere separato da almeno 60 giorni. Ogni periodo di blocco non deve superare i 90 giorni.

Usa Aggiungi periodo di blocco degli aggiornamenti del sistema per creare voci.

 

15. Provider di credenziali predefiniti

Controlla quali app possono agire come provider di credenziali su Android 14 e versioni successive.

Non consentito (predefinito): le app con credentialProviderPolicy non specificato non possono agire come provider di credenziali.

Non consentito tranne per il sistema: le app con credentialProviderPolicy non specificato non possono agire come provider di credenziali, fatta eccezione per i provider di credenziali predefiniti dell'OEM.

Policy - Android

Posizione e geofence

Questo pannello raggruppa le impostazioni della policy Android che controllano la segnalazione della posizione del dispositivo, l'applicazione forzata della posizione e la definizione dei geofence. Usalo quando vuoi che Cerberus Enterprise raccolga la posizione dei dispositivi o rilevi quando i dispositivi entrano o escono dalle aree configurate.

Segnalazione della posizione

Segnala posizione

Abilita la segnalazione della posizione geografica del dispositivo. I dati sulla posizione raccolti tramite questa impostazione vengono usati dalla mappa delle posizioni della dashboard, dalla cronologia delle posizioni nella panoramica del dispositivo e dall'elaborazione dei geofence.

La cronologia posizioni e gli eventi geofence vengono conservati per 90 giorni e i dati più vecchi vengono eliminati automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, così il dispositivo resta sulle mappe.

Sui dispositivi non completamente gestiti, i dati sulla posizione possono comunque dipendere dall'app Cerberus Enterprise che dispone delle autorizzazioni di posizione richieste e dall'attivazione dei servizi di localizzazione sul dispositivo.

Sui dispositivi Apple personali (User Enrollment), la posizione e i geofence sono disattivati per impostazione predefinita: sono disponibili solo quando la policy Apple ha Posizione e geofence sui dispositivi personali attivo e solo se l'utente consente la posizione per l'app Cerberus Enterprise.

Modalità posizione

Controlla l'impostazione della posizione del dispositivo sui dispositivi di proprietà dell'azienda.

Condivisione posizione disattivata

Disattiva la condivisione della posizione per le app di lavoro. Sui dispositivi con profilo proprietario, questo influisce sul profilo di lavoro. Sui dispositivi con gestione completa, disattiva la posizione per l'intero dispositivo e sostituisce la modalità posizione del dispositivo.

Comportamento automatico con geofence attivi

I geofence attivi richiedono che la segnalazione della posizione funzioni. Quando almeno un geofence è attivo, Cerberus Enterprise mantiene automaticamente coerenti le impostazioni della posizione correlate.

Se provi a disattivare Segnala posizione mentre uno o più geofence sono attivi, Cerberus Enterprise mostra una finestra di conferma. Se continui, tutti i geofence attivi nella policy vengono disattivati.

Elenco dei geofence

Una policy può contenere fino a 10 geofence. I nomi dei geofence devono essere univoci all'interno della policy.

Usa Aggiungi geofence per creare una nuova voce. Ogni geofence contiene questi campi principali:

Almeno una tra Segnala ingresso e Segnala uscita deve rimanere abilitata per ogni geofence.

In precedenza il raggio minimo era 100 metri. I geofence esistenti con raggio inferiore a 200 metri continuano a funzionare e vengono mantenuti così come sono quando salvi la policy, anche se li sposti o li rinomini. Se ne modifichi il raggio, deve essere di almeno 200 metri.

Strumenti di modifica della mappa

Ogni scheda geofence include un'anteprima della mappa dell'area. Puoi modificare la geometria dalla mappa o dai campi numerici.

Dove compaiono i dati dei geofence

Le transizioni dei geofence possono essere esaminate nella pagina Panoramica dispositivo di Android, nella scheda Geofence del pannello della posizione. Quella scheda mostra le transizioni su una mappa dedicata insieme agli strumenti di filtro e all'elenco delle transizioni.

Policy - Android

Gestione utenti

Aggiunta utenti disattivata

Indica se l'aggiunta di nuovi utenti e profili è disattivata. Per i dispositivi in cui managementMode è DEVICE_OWNER, questo campo viene ignorato e l'utente non può mai aggiungere o rimuovere utenti.

 

Modifica account disattivata

Indica se l'aggiunta o la rimozione di account è disattivata.

 

Configurazione credenziali utente disattivata

Indica se la configurazione delle credenziali utente è disattivata.

 

Rimozione utenti disattivata

Indica se la rimozione di altri utenti è disattivata.

 

Impostazione icona utente disattivata

Indica se la modifica dell'icona utente è disattivata.

 

Impostazione sfondo disattivata

Indica se la modifica dello sfondo è disattivata.

 

Autenticazione durante la configurazione dell'account di lavoro

Controlla come gli utenti si autenticano durante la configurazione dell'account di lavoro. Questa opzione è disponibile solo per le aziende Android supportate da un dominio Google gestito (Google Workspace).

Durante la configurazione/registrazione del dispositivo, questa policy influenza se è richiesto l'accesso a un account di lavoro, ma l'impostazione Autenticati con Google della Google Admin Console e il tipo di token di registrazione possono comunque richiedere l'autenticazione.

Per i dispositivi già registrati, questa policy si applica solo se il dispositivo è gestito da un account Managed Google Play (ovvero registrato senza Autenticati con Google Enrollment).

Per maggiori dettagli e per la risoluzione dei problemi, consulta Autenticati con Google Enrollment.

 

Tipi di account bloccati

Tipi di account che l'utente non può gestire. Questa opzione impedisce agli utenti del dispositivo di aggiungere account non approvati.

Usa Aggiungi tipo di account bloccato per aggiungere uno o più tipi di account.

Ogni voce ha un campo Tipo di account (obbligatorio). Inserisci una stringa come com.google. Rimuovi una voce usando l'azione di eliminazione.

Policy - Android

Uso personale

Quando esegui il provisioning di un dispositivo aziendale per uso lavorativo e personale, puoi specificare alcune regole per limitare il modo in cui l'utente può usare il dispositivo per uso personale, al di fuori del profilo di lavoro.

Questa sezione si applica solo ai dispositivi aziendali con profilo di lavoro. Non ha alcun effetto sui dispositivi completamente gestiti o di proprietà personale.

1. Fotocamera disattivata

Indica se la fotocamera è disattivata.

 

2. Cattura schermo disattivata

Indica se la cattura schermo è disattivata.

 

3. Giorni massimi con lavoro disattivato

Controlla per quanto tempo il profilo di lavoro può rimanere disattivato.

 

4. Condivisione Bluetooth

Controlla se la condivisione Bluetooth è consentita nel profilo personale di un dispositivo aziendale con profilo di lavoro.

 

5. Spazio privato

Controlla se è consentito uno spazio privato sul dispositivo.

 

6. Modalità Play Store

Questa modalità controlla quali app sono consentite o bloccate all'utente nel Play Store del profilo personale.

Blocklist (predefinita): tutte le app sono disponibili e qualsiasi app che non deve essere sul dispositivo va contrassegnata esplicitamente come Bloccata nella sezione Applicazioni.

Allowlist: solo le app specificate esplicitamente nella sezione Applicazioni con Tipo di installazione impostato su Disponibile possono essere installate nel profilo personale.

 

7. Applicazioni

Elenco delle applicazioni che devono essere consentite o bloccate nel profilo personale. Il comportamento del contenuto dell'elenco dipende dal valore impostato in Modalità Play Store.

Per aggiungere una nuova app dal Play Store, fai clic sull'icona +.

7.1. Tipo di installazione

Tipi di comportamento di installazione che può avere un'applicazione del profilo personale.

Bloccata: l'app è bloccata e non può essere installata nel profilo personale.

Disponibile: l'app può essere installata nel profilo personale.

 

8. Tipi di account bloccati

Tipi di account che non possono essere gestiti dall'utente. Questa opzione impedisce agli utenti del dispositivo di aggiungere account non approvati nel proprio profilo personale.

Policy - Android

Policy tra profili

Si applica solo ai dispositivi con profilo personale e di lavoro.

Copia/incolla tra profili

Indica se il testo copiato da un profilo (personale o di lavoro) può essere incollato nell'altro profilo.

Non consentito (predefinito): Impedisce agli utenti di incollare nel profilo personale il testo copiato dal profilo di lavoro. Il testo copiato dal profilo personale può essere incollato nel profilo di lavoro.

Consentito: Il testo copiato in uno dei due profili può essere incollato nell'altro profilo.

 

Condivisione dei dati tra profili

Indica se i dati di un profilo (personale o di lavoro) possono essere condivisi con le app dell'altro profilo. Controlla in particolare la condivisione semplice dei dati tramite intent. La gestione degli altri canali di comunicazione tra profili, come la ricerca dei contatti, il copia/incolla,
o le app di lavoro e personali collegate, viene configurata separatamente.

Non consentito: Impedisce la condivisione dei dati sia dal profilo personale al profilo di lavoro sia dal profilo di lavoro al profilo personale.

Da lavoro a personale non consentito (predefinito): Impedisce agli utenti di condividere dati dal profilo di lavoro alle app del profilo personale. I dati personali possono essere condivisi con le app di lavoro.

Consentito: I dati di uno dei due profili possono essere condivisi con l'altro profilo.

 

Widget del profilo di lavoro predefiniti

Comportamento predefinito dei widget del profilo di lavoro. Se un'app specifica non definisce una policy per i widget, segue il valore predefinito impostato qui.

 

Funzioni delle app tra profili

Controlla se le app del profilo personale possono richiamare le funzioni delle app del profilo di lavoro. Richiede Android 16 o versioni successive.

Questa impostazione dipende dall'opzione Funzioni delle app a livello di policy (nella sezione Gestione app). Se Funzioni delle app è impostato su Non consentito, l'API rifiuterà Funzioni delle app tra profili impostato su Consentito.

 

Contatti di lavoro nel profilo personale

Indica se i contatti memorizzati nel profilo di lavoro possono essere mostrati nelle ricerche dei contatti e nelle chiamate in arrivo del profilo personale.

Consentito (predefinito): Consente ai contatti del profilo di lavoro di comparire nel profilo personale.

Non consentito: Impedisce alle app personali di accedere ai contatti del profilo di lavoro e di cercare i contatti di lavoro.

Non consentito tranne per il sistema: Impedisce alla maggior parte delle app personali di accedere ai contatti del profilo di lavoro, tranne che per le app Dialer, Messaggi e Contatti predefinite dell'OEM (Android 14+).

Quando Contatti di lavoro nel profilo personale è configurato, puoi facoltativamente definire un elenco di voci Nome pacchetto esente. A seconda della modalità selezionata, queste esenzioni funzionano come allowlist o blocklist per le app personali.

Policy - Android

Rapporti di stato

In questa sezione puoi configurare quali dati devono essere recuperati dal dispositivo. I dati di stato possono essere visualizzati nella pagina della dashboard Stato dispositivo.

 

Rapporti delle applicazioni

Indica se i rapporti delle app sono attivati. (Informazioni segnalate su un'app installata.)

Questa opzione è richiesta dal sistema (per l'integrazione con l'app companion) ed è sempre attivata; non può essere disattivata.

 

Includi app rimosse

Indica se le app rimosse sono incluse nei rapporti delle applicazioni.

 

Impostazioni del dispositivo

Indica se il reporting delle impostazioni del dispositivo è attivato. (Informazioni sulle impostazioni di sicurezza del dispositivo.)

 

Informazioni software

Indica se il reporting delle informazioni software è attivato. (Informazioni sul software del dispositivo.)

 

Informazioni sulla memoria

Indica se il reporting della memoria è attivato. (Un evento relativo alle misurazioni di memoria e archiviazione.)

 

Informazioni di rete

Indica se il reporting delle informazioni di rete è attivato. (Informazioni di rete del dispositivo.)

 

Informazioni sul display

Indica se il reporting dei display è attivato. I dati dei rapporti non sono disponibili per i dispositivi di proprietà personale con profili di lavoro. (Informazioni sul display del dispositivo.)

 

Eventi di gestione dell'alimentazione

Indica se il reporting degli eventi di gestione dell'alimentazione è attivato. I dati dei rapporti non sono disponibili per i dispositivi di proprietà personale con profili di lavoro.

 

Stato dell'hardware

Indica se il reporting dello stato dell'hardware è attivato. I dati dei rapporti non sono disponibili per i dispositivi di proprietà personale con profili di lavoro.

 

Proprietà di sistema

Indica se il reporting delle proprietà di sistema è attivato.

 

Modalità Common Criteria

Indica se il reporting della modalità Common Criteria è attivato.

Policy - Android

Varie

1. Gioco easter egg disattivato

Indica se il gioco easter egg nelle Impostazioni è disattivato.

 

2. Salta i suggerimenti al primo utilizzo

Flag per saltare i suggerimenti al primo utilizzo. L'amministratore aziendale può abilitare la raccomandazione di sistema affinché le app saltino il tutorial per l'utente e gli altri suggerimenti introduttivi al primo avvio.

 

3. Messaggio di supporto breve

Un messaggio mostrato all'utente nella schermata delle impostazioni ovunque l'amministratore abbia disattivato una funzionalità. Se il messaggio supera i 200 caratteri, potrebbe essere troncato.

 

4. Messaggio di supporto lungo

Un messaggio mostrato all'utente nella schermata delle impostazioni degli amministratori del dispositivo.

 

5. Informazioni del proprietario nella schermata di blocco

Le informazioni sul proprietario del dispositivo da mostrare nella schermata di blocco.

 

6. Azioni di configurazione

Azioni da eseguire durante il processo di configurazione. Durante la registrazione, puoi richiedere all'utente di aprire una o più app necessarie per la configurazione del dispositivo.

Usa Aggiungi azione di configurazione per creare voci e rimuoverle con l'azione di eliminazione.

6.1. Avvia app

Nome del pacchetto dell'app da avviare

6.2. Titolo

Fornisce un messaggio per l'utente per spiegargli perché l'app deve essere avviata.

6.3. Descrizione

Fornisce un messaggio per l'utente per spiegargli perché l'app deve essere avviata.

 

7. Visibilità del nome visualizzato dell'azienda

Controlla se il nome visualizzato dell'azienda è visibile sul dispositivo (ad esempio come messaggio nella schermata di blocco sui dispositivi di proprietà dell'azienda).

Visibile (predefinito): Il nome visualizzato dell'azienda è visibile sul dispositivo (supportato sui profili di lavoro con Android 7+ e sui dispositivi con gestione completa con Android 8+).

Nascosto: Il nome visualizzato dell'azienda è nascosto sul dispositivo.

Policy - Android

Regole di conformità

Se un dispositivo o un profilo di lavoro non rispetta una delle impostazioni della policy elencate di seguito, Android Device Policy blocca immediatamente l'uso del dispositivo o del profilo di lavoro per impostazione predefinita:

Se il dispositivo o il profilo di lavoro rimane non conforme dopo 10 giorni, Android Device Policy eseguirà un ripristino alle impostazioni di fabbrica del dispositivo o eliminerà il profilo di lavoro.

In questa sezione puoi sostituire le regole di applicazione della conformità predefinite o aggiungerne di nuove.

Regole

Elenco di regole che definiscono il comportamento quando una determinata policy non può essere applicata a un dispositivo.

Usa Aggiungi regola per creare una nuova regola. Ogni scheda regola può essere rimossa con l'azione di eliminazione.

Nome impostazione

La policy di primo livello da applicare. Ad esempio Applicazioni o Requisiti della password.

Obbligatorio. Il valore deve corrispondere a un nome di policy di primo livello supportato; in caso contrario il campo viene contrassegnato come non valido.

Blocca dopo giorni

Numero di giorni di non conformità della policy prima che il dispositivo o il profilo di lavoro venga bloccato. Per bloccare l'accesso immediatamente, imposta 0. Blocca dopo giorni deve essere inferiore a Cancella dati dopo giorni. Si applica solo ai dispositivi aziendali.

Intervallo consentito: 0–300.

Ambito del blocco

Specifica l'ambito dell'azione di blocco. Si applica solo ai dispositivi aziendali.

Predefinito (nuova regola): Profilo di lavoro.

Profilo di lavoro: l'azione di blocco viene applicata solo alle app nel profilo di lavoro. Le app nel profilo personale non sono interessate.

Intero dispositivo: l'azione di blocco viene applicata all'intero dispositivo, incluse le app nel profilo personale.

Cancella dati dopo giorni

Numero di giorni di non conformità della policy prima che il dispositivo o il profilo di lavoro venga cancellato.
Cancella dati dopo giorni deve essere maggiore di Blocca dopo giorni. Si applica solo ai dispositivi aziendali.

Obbligatorio. Predefinito (nuova regola): 1.

Intervallo consentito: 1–300.

Mantieni la protezione dopo il ripristino di fabbrica

Indica se i dati di protezione dopo il ripristino di fabbrica vengono conservati sul dispositivo. Questa impostazione non si applica ai profili di lavoro.

Predefinito (nuova regola): attivato.

Policy - Apple

Policy - Apple

Apple policy

Le Apple policy definiscono le impostazioni di gestione che Cerberus Enterprise applica ai dispositivi Apple tramite MDM. Queste impostazioni si configurano dalla dashboard nell'Apple policy editor.

Prima di iniziare

La gestione dei dispositivi Apple richiede la configurazione di Apple Management (APNs). Se necessario, leggi la pagina Configurazione di Apple Management (APNs).

Apri l'Apple Policy Editor

Nella dashboard, apri Policy e fai clic su Crea nuova Apple policy. Per modificare una Apple policy esistente, fai clic sulla sua riga nella tabella delle policy.

Struttura dell'editor

L'Apple Policy Editor è organizzato in una serie di sezioni espandibili. In cima alla pagina puoi sempre modificare:

Sezioni della policy

Le sezioni seguenti corrispondono ai pannelli attualmente disponibili nell'Apple Policy Editor. Quando apri una policy salvata, le sezioni con impostazioni modificate sono già aperte e le altre restano chiuse:

Molte opzioni dell'Apple Policy Editor includono un tooltip che documenta i requisiti e le versioni del sistema supportate.

Salvataggio, eliminazione e dispositivi associati

Usa Salva policy per applicare le modifiche. Il pulsante è disattivato quando non ci sono modifiche in sospeso o quando la licenza è scaduta.

Quando modifichi una policy esistente, la pagina mostra anche un'azione Elimina policy. L'editor può mostrare in fondo un elenco Dispositivi associati, così puoi vedere quanti dispositivi stanno attualmente usando la policy.

Pagine successive

Policy - Apple

App e profili

Questa sezione descrive come configurare applicazioni gestite e payload degli account per i dispositivi Apple.

Gestione delle app

Il pannello Gestione delle app contiene sia le restrizioni generali relative alle app sia un elenco delle app gestite.

Restrizioni generali delle app

App gestite

Usa Aggiungi applicazione per aggiungere un'app alla policy. Ogni app gestita viene visualizzata come una scheda. Puoi espandere la scheda per modificarne le impostazioni e rimuovere l'app usando l'azione di eliminazione.

L'elenco di selezione delle app mostra le licenze disponibili e totali di ogni app. Le app gratuite mostrano Illimitate: Apple concede loro licenze illimitate. Un'app può essere aggiunta a una policy una sola volta: un'app con lo stesso ID App Store o bundle ID di un'app già presente nella policy viene rifiutata, e lo stesso vale per una policy che elenca due volte la stessa app al momento del salvataggio.

L'elenco di selezione delle app mostra le app della tua libreria di Apple Business. Per aggiungere un'app, in Apple Business apri Apps & Services → Apps & Books → App Store, cerca l'app e fai clic su View. Per un'app gratuita, fai clic su Add, seleziona All current and future (o l'unità organizzativa del tuo token di Apps and Books) in Organizational Units, fai clic su Add, poi su Review e conferma. Per un'app a pagamento, fai clic sul suo prezzo, scegli Managed Licenses come License Type (i codici di riscatto non possono essere usati da Cerberus Enterprise), seleziona l'Organizational Unit del tuo token di Apps and Books, inserisci il numero di Licenses (fino a 1.000 per ordine), poi Review e acquista. Prima deve essere impostato un metodo di pagamento in Settings → Payments & Billing → Apps & Services → Payment Methods. Le app compaiono quindi nell'elenco di selezione delle app.

App sui dispositivi personali (registrazione utente)

Gli iPhone e iPad personali registrati con la registrazione utente non hanno un numero di serie, quindi ricevono le app dell'App Store della policy con una licenza utente del Managed Apple Account con cui è stato effettuato l'accesso sul dispositivo. Cerberus registra l'account con Apps and Books e assegna le licenze autonomamente, comprese le app gratuite. I Managed Apple Account e il token di Apps and Books devono appartenere alla stessa organizzazione di Apple Business. Un'app a pagamento usa una licenza per account, condivisa da tutti i dispositivi personali di quell'account.

Per i dettagli, consulta Registrazione basata sull'account Apple.

Configurazione gestita

Una configurazione gestita fornisce a un'app le sue impostazioni (ad esempio un indirizzo del server o un nome account), come documentate dal fornitore dell'app. Apri l'app nella policy e fai clic su Aggiungi configurazione gestita. Viene inviata a iPhone e iPad con iOS o iPadOS 18.4 o versioni successive e ai Mac con macOS 27 o versioni successive; non viene ancora inviata ad Apple Vision Pro. L'app deve supportare la configurazione gestita: un'app che non la legge la ignora. Il pannello dell'app mostra il numero di chiavi accanto al nome dell'app.

Opzioni delle app

Ogni app della policy (App Store e app personalizzate) ha queste opzioni. Predefinito del dispositivo lascia la scelta al dispositivo. I dispositivi che non supportano un'opzione non la ricevono; l'app viene comunque installata.

App del Mac App Store

L'elenco di selezione delle app mostra le piattaforme di ogni app (iPhone/iPad, Mac, Apple TV, Vision); un'app disponibile solo per Mac mostra l'icona Mac. Un'app disponibile solo per Mac si applica ai Mac quando la aggiungi. Un'app dell'App Store senza versione per Mac non viene inviata ai Mac: la policy mostra "Questa app non ha una versione per Mac: non viene inviata ai Mac" sotto Si applica a. I Mac ricevono le app dell'App Store tramite il loro ID App Store, quindi le app con un bundle ID diverso su Mac vengono installate correttamente.

App Cerberus Enterprise

Cerberus installa la sua app Cerberus Enterprise su ogni iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, con o senza policy. L'app condivide la posizione del dispositivo e riceve notifiche e richieste di tracciamento in tempo reale. Viene installata come Obbligatoria, con una licenza dispositivo di Apps and Books (una licenza utente sui dispositivi personali), quindi l'utente non può eliminarla.

App personalizzate

Le app personalizzate sono le tue app per iPhone e iPad (file .ipa), distribuite senza l'App Store. In Xcode, esporta l'app per la distribuzione Enterprise (Apple Developer Enterprise Program: si installa su ogni dispositivo) o Ad Hoc (si installa solo sui dispositivi registrati nel suo profilo di provisioning). Le build dell'App Store non possono essere caricate.

Fai clic su Aggiungi app personalizzata per aprire le app personalizzate della tua organizzazione. Carica app aggiunge un file .ipa (fino a 2 GB). Seleziona un'app e fai clic su Aggiungi alla policy. L'elenco mostra la versione, il tipo di firma, il numero di dispositivi nel profilo delle app ad hoc e la data di scadenza del profilo di provisioning.

Pacchetti Mac

Anche le app personalizzate accettano pacchetti di installazione per Mac (file .pkg). Il pacchetto deve essere un pacchetto di distribuzione creato con productbuild (un pacchetto componente creato solo con pkgbuild viene rifiutato) e firmato con un certificato Developer ID Installer. Si consiglia di notarizzarlo e di applicare il ticket (notarytool e stapler). I pacchetti non firmati, i pacchetti modificati dopo la firma e i pacchetti firmati con altri certificati vengono rifiutati.

Carica il file .pkg con Carica app e aggiungilo alla policy: compare in Pacchetti Mac. iPhone e iPad lo ignorano.

I Mac con macOS 26 o versioni successive (supervisionati, il che include i Mac registrati manualmente, ma non la registrazione utente) ricevono il pacchetto come dichiarazione: il Mac lo scarica, lo installa, riprova e lo aggiorna da solo e ne segnala lo stato. I Mac meno recenti, e i pacchetti installati come app gestite, lo ricevono con un comando MDM, su qualsiasi versione di macOS. Un Mac aggiornato a macOS 26 passa da solo alla dichiarazione; può installare di nuovo ogni pacchetto una volta. Lo stesso può accadere quando un Mac passa a un’altra policy che contiene lo stesso pacchetto.

Account

Il pannello Account ti consente di configurare gli account applicati ai dispositivi gestiti. Include anche un’opzione di restrizione per la modifica degli account.

Restrizione

Aggiungi account

Usa Aggiungi account Google o Aggiungi account di posta per aggiungere i payload degli account alla policy. Ogni account compare come una scheda con i suoi campi di configurazione.

Credenziali dell’account fornite dagli utenti

Sia le schede degli account Google sia quelle degli account di posta forniscono un’opzione Credenziali dell’account fornite dagli utenti. Se attivata, il sistema applica le credenziali dell’account per singolo utente. Se disattivata, inserisci l’identità dell’account nella policy.

Campi dell’account Google

Campi dell’account di posta

Gli account di posta includono i campi di identità e la configurazione dei server in entrata e in uscita. I nomi host sono obbligatori.

Server in entrata

Server in uscita

Opzioni S/MIME

Per gli account di posta, puoi anche configurare il comportamento di cifratura e firma S/MIME.

Cifratura

Firma

Le opzioni degli account e delle restrizioni includono tooltip nella dashboard che documentano i prerequisiti e le versioni del sistema operativo supportate.

Policy - Apple

Chiosco e schermata Home

La sezione Chiosco e schermata Home dell’Editor delle policy Apple blocca i dispositivi su una sola app, sceglie quali app possono essere aperte, dispone la schermata Home e aggiunge icone di siti web. Ogni impostazione viene installata sui dispositivi come profilo di configurazione.

Apple applica la maggior parte di queste impostazioni solo agli iPhone e agli iPad supervisionati (dispositivi registrati con Automated Device Enrollment o preparati con Apple Configurator). Gli altri dispositivi non le ricevono. Le web clip funzionano anche su iPhone e iPad non supervisionati. I Mac non ricevono nessuna di queste impostazioni.

Scelta delle app

Le app sono identificate dal loro bundle ID. Digita il nome di un’app per sceglierla tra le app Apple integrate e le app della policy, oppure digita un bundle ID qualsiasi, ad esempio com.example.app.

Modalità app singola

Il dispositivo esegue solo l’app scelta: gli utenti non possono tornare alla schermata Home né aprire altre app. Installa prima l’app con la policy. Il dispositivo esce dalla modalità app singola quando disattivi l’impostazione o rimuovi l’app.

App consentite e bloccate

Con Consenti solo alcune app, ogni app che non è nell'elenco scompare dai dispositivi, incluse le app della policy. Impostazioni e, su iPhone, Telefono restano sempre.

Layout della schermata Home

Disponi il Dock e le pagine della schermata Home. Aggiungi app, cartelle di app e le web clip della policy, scegliendo dove con Aggiungi a, e trascina le icone per spostarle tra il Dock e le pagine. Fai clic su una cartella per modificarne il nome e le app.

Gli utenti non possono spostare le icone né rimuovere app dalla schermata Home. Le app che non sono nel layout vanno nelle pagine successive a quelle definite. Un iPhone mostra quattro icone nel Dock. Gli utenti possono comunque eliminare le app non obbligatorie nella schermata di archiviazione delle Impostazioni. Per impedirlo, disattiva Consenti rimozione app in Gestione app.

Web clip

Una web clip è un’icona sulla schermata Home che apre un sito web. Imposta l’etichetta e l’URL e, facoltativamente, un’immagine (PNG o JPEG, ritagliata in un quadrato).

Impostazioni delle notifiche

Scegli in che modo i dispositivi mostrano le notifiche di alcune app: se sono consentite, dove compaiono (schermata di blocco, Centro notifiche, CarPlay), i badge, i suoni, gli avvisi critici, lo stile dei banner, il raggruppamento e le anteprime. Gli utenti non possono modificare queste impostazioni.

Messaggio della schermata di blocco

Un messaggio mostrato in fondo alla schermata di blocco, ad esempio chi chiamare se il dispositivo viene trovato, e un’etichetta di inventario. Entrambi possono contenere le variabili $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$: una variabile senza valore per il dispositivo viene lasciata vuota.

Policy - Apple

Codice

La sezione Impostazioni del codice di accesso controlla i requisiti del codice di accesso del dispositivo e le regole di sicurezza correlate (ad esempio lunghezza minima e complessità). Su un Mac (macOS 13 o versione successiva, non con la Registrazione utente) le regole si applicano alla password di accesso degli utenti.

Opzioni

Nell’Editor delle policy Apple, le opzioni del codice di accesso vengono configurate con una combinazione di interruttori e campi numerici. Molti campi includono tooltip che indicano le versioni del sistema operativo supportate e i requisiti di supervisione.

Interruttori del codice di accesso

Campi numerici

Policy - Apple

Restrizioni

Le sezioni Restrizioni controllano quali funzioni del sistema operativo sono consentite sui dispositivi Apple gestiti. Nell’Editor delle policy Apple, queste opzioni sono presentate come pannelli raggruppati con più interruttori.

Le opzioni dei pannelli Gestione app e Rete sono descritte nelle pagine App e profili e Rete delle policy Apple.

Molte restrizioni sono supportate solo su versioni specifiche del sistema operativo e possono richiedere dispositivi supervisionati. Usa i tooltip nella dashboard per i requisiti ufficiali.

Sui dispositivi con registrazione utente (dispositivi personali registrati effettuando l’accesso con un account di lavoro), le restrizioni che Apple non consente in quel contesto non vengono inviate. Se nessuna delle restrizioni della policy si applica, questi dispositivi non ricevono alcun profilo di restrizioni. L’editor delle policy mostra quante restrizioni non si applicano ai dispositivi con registrazione utente.

Sicurezza

Multimedia

Cellulare

APN cellulare

APN cellulare imposta il nome del punto di accesso (APN) fornito dal tuo operatore, ad esempio per una rete mobile privata o aziendale. Imposta il nome del punto di accesso e, se l’operatore li richiede, l’autenticazione (PAP o CHAP), il nome utente (sono consentite variabili come $EMAIL$), la password, le versioni IP (anche in roaming), un server proxy con la sua porta e XLAT464. Attiva Collega APN solo se l’operatore ti fornisce un APN separato per connettersi alla rete.

Un APN errato lascia i dispositivi senza dati cellulare: prova prima le impostazioni su un dispositivo di test con una SIM dell’operatore.

Sistema e interfaccia utente

App e servizi Apple

Siri e Apple Intelligence

iCloud

Account (limitazione)

Il pannello Account contiene sia una limitazione sia (facoltativamente) la configurazione degli account. L'interruttore della limitazione controlla se l'utente può modificare gli account di sistema.

Policy - Apple

Rete

La sezione Rete dell'Apple Policy Editor configura reti Wi-Fi e VPN sui dispositivi, installa certificati e limita funzionalità di connettività come AirDrop e Bluetooth. Ogni rete Wi-Fi, VPN e certificato viene installato come profilo di configurazione separato, che puoi vedere sul dispositivo in Impostazioni > Generali > VPN e gestione dispositivo (Mac: Impostazioni di Sistema > Generali > Gestione dispositivo, oppure Privacy e sicurezza > Profili su macOS 13 e 14) e nel pannello Profili, certificati e sicurezza della pagina del dispositivo.

I certificati vengono presi dalla pagina Certificati: importali prima lì. La policy vi fa solo riferimento, quindi un certificato non viene mai copiato nella policy.

Restrizioni

Reti Wi-Fi

Fai clic su Aggiungi rete Wi-Fi e compila:

Reti aziendali (802.1X)

Attiva Aziendale (802.1X) quando gli utenti si autenticano con le proprie credenziali o un certificato invece di una password condivisa.

VPN

Fai clic su Aggiungi VPN per configurare una VPN IKEv2 o Cisco IPSec, integrata in iOS, iPadOS e macOS (non serve un’app VPN).

Connessione

Prova prima una VPN Sempre attiva o su richiesta su un dispositivo di test: se il server non è raggiungibile, il dispositivo potrebbe non avere alcuna connessione.

Proxy globale, DNS cifrato e filtro dei contenuti web

Queste impostazioni si applicano a tutto il traffico del dispositivo. Attivale con il rispettivo interruttore.

Un proxy o un server DNS errato può lasciare i dispositivi senza connessione: prova prima le impostazioni su un dispositivo di test.

Certificati

Fai clic su Aggiungi certificato per installare un certificato da solo: un’autorità di certificazione a cui Safari e le app devono fidarsi, oppure un’identità usata dalle app. I certificati di una rete Wi-Fi o di una VPN non devono essere aggiunti qui.

Opzioni dei certificati

I certificati client (.p12) protetti con la vecchia crittografia RC2 non possono essere installati sui dispositivi Apple. Esportali di nuovo con crittografia 3DES o AES prima di importarli.

Sicurezza

I profili che contengono password o chiavi private vengono inviati solo al dispositivo per cui sono stati creati: il dispositivo deve firmare la sua richiesta con il suo certificato di gestione. Le password e i certificati non vengono scritti nei log.

Policy - Apple

Aggiornamenti software

La sezione Aggiornamenti software dell'Apple Policy Editor mantiene i dispositivi aggiornati: può richiedere una versione specifica del sistema entro una scadenza e controllare come i dispositivi scaricano e installano gli aggiornamenti.

Aggiornamenti del sistema richiesti

Fai clic su Aggiungi aggiornamento richiesto per richiedere una versione del sistema. Il dispositivo scarica l'aggiornamento, comunica all'utente la scadenza e lo installa alla scadenza se l'utente non l'ha già fatto. I dispositivi che eseguono già quella versione o una successiva lo ignorano. Richiede iOS e iPadOS 17 o macOS 14.

Il dispositivo segnala l'avanzamento dell'aggiornamento (download, installazione, errori) nel pannello Stato dispositivo della pagina del dispositivo.

Impostazioni degli aggiornamenti software

Attiva Impostazioni degli aggiornamenti software per iPhone e iPad o Impostazioni degli aggiornamenti software per Mac per controllare gli aggiornamenti su quei dispositivi. Quando un interruttore è disattivato, i dispositivi mantengono le proprie impostazioni. Richiede iOS e iPadOS 18 o macOS 15: i dispositivi meno recenti ignorano queste impostazioni.

Installare un aggiornamento dalla pagina del dispositivo

Il pannello Stato dispositivo di un dispositivo elenca gli aggiornamenti disponibili. Usa Verifica aggiornamenti per chiedere al dispositivo l'elenco e Installa per installarne uno subito o per scaricarlo e lasciare che lo installi l'utente. Funziona su iPhone e iPad supervisionati e sui Mac. Apple rimuove questi comandi in iOS, iPadOS e macOS 27: su quelle versioni usa gli aggiornamenti richiesti della policy.

Policy - Apple

macOS

La sezione macOS dell’Editor delle policy Apple gestisce le impostazioni di sicurezza, privacy e accesso dei Mac: FileVault, firewall, Gatekeeper, salvaschermo e blocco, archiviazione esterna e di rete, Condivisione schermo, autorizzazioni per la privacy, elementi di accesso e le estensioni di sistema e del kernel autorizzate a caricarsi. Installa anche i file di configurazione dei servizi di sistema e delle attività in background. Gli altri dispositivi della policy non ricevono queste impostazioni. Attiva un’impostazione per gestirla; finché è disattivata, gli utenti mantengono le proprie scelte.

La maggior parte delle impostazioni viene installata sul Mac come profili di configurazione, visibili in Impostazioni di Sistema > Generali > Gestione dispositivo. FileVault, le autorizzazioni per la privacy, gli elementi di accesso e le impostazioni delle estensioni richiedono un MDM approvato dall’utente: su un Mac registrato con l’URL di registrazione o il codice QR, l’utente approva il profilo di registrazione in Impostazioni di Sistema. La pagina del dispositivo lo mostra nel campo MDM approvato dall’utente. Quando l’utente lo approva in seguito, il Mac riceve automaticamente queste impostazioni.

FileVault

FileVault cifra il disco del Mac. Con questa impostazione attiva, agli utenti viene chiesto di attivare FileVault con la loro password e il Mac invia la sua chiave di recupero personale a Cerberus Enterprise, cifrata con una chiave che appartiene solo alla tua organizzazione. La chiave viene mostrata e modificata dal campo FileVault della pagina del dispositivo (vedi Comandi dispositivo). L’impostazione richiede macOS 13 o versioni successive e un MDM approvato dall’utente; senza un MDM approvato dall’utente al Mac non viene chiesto di attivare FileVault, ma se un utente lo attiva, la sua chiave viene memorizzata.

Un Mac già cifrato quando ha ricevuto l’impostazione mantiene la chiave attuale, che Cerberus Enterprise non riceve: la chiave viene memorizzata solo dopo che l’utente disattiva e riattiva FileVault (con "Impedisci la disattivazione di FileVault" disattivato). Disattivare l’impostazione o rimuovere il Mac dalla gestione non disattiva FileVault e la chiave memorizzata continua a funzionare. L’impostazione non può essere salvata quando il server non è configurato per memorizzare le chiavi di recupero.

Firewall

Gatekeeper

Gatekeeper controlla le app prima che si aprano. Scegli se i Mac aprono solo app dell’App Store o anche app di sviluppatori identificati. Con Gatekeeper disattivato, qualsiasi app può essere aperta, anche quelle non firmate o danneggiate. Su macOS 15 o versioni successive puoi anche scegliere se agli utenti viene chiesto di inviare ad Apple il malware bloccato.

Salvaschermo e blocco

Avvia il salvaschermo dopo un periodo di inattività e chiedi la password quando il salvaschermo si avvia o il display va in standby, subito o dopo un ritardo. Un’impostazione lasciata su Non gestita resta una scelta dell’utente.

Archiviazione esterna e di rete

Consenti, imposta come sola lettura o blocca l’archiviazione esterna (unità USB, schede SD, dischi esterni) e l’archiviazione di rete (condivisioni file) dei Mac. Richiede macOS 15 o versioni successive.

Condivisione schermo

Limiti per le persone che si connettono a questi Mac con la Condivisione schermo: copia di file da o verso il Mac, connessioni ad alte prestazioni e numero di display virtuali. Attivare la Condivisione schermo resta una scelta dell’utente. Richiede macOS 14 o versioni successive.

Autorizzazioni per la privacy

Concedi o nega alle app l’accesso che gli utenti altrimenti consentirebbero in Impostazioni di Sistema > Privacy e sicurezza, ad esempio Accesso completo al disco per un’app di backup, oppure nega la fotocamera a un’app. Per ogni autorizzazione scegli:

Elementi di accesso e in background

Gli elementi di accesso e gli elementi in background che corrispondono alle regole sono gestiti: vengono eseguiti senza chiedere e gli utenti non possono disattivarli in Impostazioni di Sistema > Generali > Elementi di accesso. Una regola corrisponde al team ID dello sviluppatore di un’app, al suo bundle ID o all’etichetta di un launch daemon o agent (anche tramite la loro prima parte). Richiede macOS 13 o versioni successive.

Estensioni di sistema

Le estensioni di sistema sono il modo moderno con cui le app estendono macOS: filtri di rete e VPN, agenti di sicurezza degli endpoint e driver. Con questa impostazione attiva, le estensioni di sistema dei team di sviluppatori elencati si caricano senza chiedere all’utente. Richiede macOS 10.15 o versioni successive e un MDM approvato dall’utente.

Su macOS 11.3 e versioni successive, rimuovere questa impostazione disattiva le estensioni di sistema che consentiva, ad esempio un agente di sicurezza o un filtro di rete. Questo accade quando l’impostazione viene disattivata, quando la policy viene eliminata e quando il Mac passa a una policy che non la contiene. L’editor chiede conferma prima di disattivare l’impostazione.

Estensioni del kernel (legacy)

Le estensioni del kernel sono il modo più vecchio e deprecato di estendere macOS: preferisci le estensioni di sistema quando il fornitore le offre. Le estensioni del kernel dei team elencati (tutte le estensioni di un team o solo i bundle ID elencati) si caricano senza chiedere all’utente, dopo un riavvio. Richiede macOS 10.13.2 o versioni successive e un MDM approvato dall’utente.

Sui Mac con Apple silicon, un profilo da solo non basta: qualcuno deve avviare il Mac in recoveryOS, scegliere Sicurezza ridotta in Utility Sicurezza avvio e consentire la gestione utente delle estensioni del kernel da sviluppatori identificati. Il Mac può anche richiedere un Bootstrap Token depositato in Cerberus Enterprise per approvarle (vedi il campo Bootstrap Token della pagina del dispositivo).

File Mac

I file di configurazione dei servizi e le attività in background usano file che carichi nei File Mac della tua organizzazione: archivi zip e property list (.plist) fino a 20 MB. Caricali, controlla dove sono usati o eliminali con il pulsante File Mac della sezione macOS oppure con Scegli file in un’impostazione. Un file usato da una policy non può essere eliminato. Per modificare un file, carica la nuova versione e sceglila nella policy: i Mac la scaricano di nuovo.

File di configurazione dei servizi

Installa i file di configurazione di un servizio di sistema da un archivio zip. I servizi integrati sono il server SSH (sshd), sudo, PAM, la stampa (CUPS), il server web Apache, bash, zsh, l’accesso con smart card e l’autorizzazione. Puoi anche usare un tuo servizio, con un identificatore DNS inverso come com.example.service: trova i file con la libreria dei file di configurazione gestiti di macOS. Ogni servizio può avere un’impostazione. Richiede macOS 14 o versioni successive.

Un servizio integrato usa solo i file dell’archivio e ignora i propri file, ad esempio /etc/ssh per sshd: inserisci l’intera configurazione nell’archivio, in cartelle che partono dalla radice del disco (ad esempio etc/ssh/sshd_config). I file sono di sola lettura sul Mac e vengono rimossi con l’impostazione. Prova prima l’archivio su un Mac: una configurazione sudo o PAM errata può impedire agli utenti di accedere o di usare i diritti di amministratore.

Attività in background

Programmi e script eseguiti in background, avviati da launchd. Gli utenti non possono disattivarli e vengono rimossi con l’impostazione. Richiede macOS 15 o versioni successive. Per ogni attività scegli:

Un’attività richiede i programmi o almeno una property list. Quando i file cambiano, i Mac riavviano l’attività.

Policy - Apple

Posizione e geofence

La sezione Posizione e geofence dell'Apple Policy Editor definisce aree, ad esempio un sito o un magazzino. Gli iPhone e gli iPad con l'app Cerberus Enterprise segnalano quando entrano o escono da una di queste aree e le regole degli eventi possono reagire: inviare un'email, bloccare o disabilitare il dispositivo oppure abilitarlo di nuovo. I Mac non usano i geofence.

Campi geofence

Usa Aggiungi geofence per creare una nuova voce. Una policy può contenere fino a 10 geofence e i loro nomi devono essere univoci all’interno della policy. Ogni geofence contiene questi campi:

Ogni geofence ha un’anteprima della mappa. Il centro e il raggio di un geofence salvato sono bloccati: usa il pulsante di blocco sulla mappa per modificarli. Gli altri pulsanti centrano la mappa sull’area o sulla tua posizione attuale.

Quando salvi la policy, Cerberus Enterprise chiede agli iPhone e agli iPad della policy di ricevere i nuovi geofence. In genere servono alcuni minuti, ma iOS può ritardare l’operazione, ad esempio con il Risparmio energia attivo o senza connessione di rete. La pagina del dispositivo mostra quando l’app non ha ancora applicato i geofence più recenti.

Requisiti

I geofence funzionano su iPhone e iPad con l’app Cerberus Enterprise. I Mac li ignorano. Sul dispositivo:

Posizione e geofence sui dispositivi personali, in cima alla sezione, è disattivato per impostazione predefinita. Finché è disattivato, Cerberus non raccoglie la posizione dei dispositivi personali (registrazione utente), i loro eventi geofence non vengono generati e la loro pagina del dispositivo non offre Localizza o il tracciamento in tempo reale. Quando lo attivi, i dispositivi personali della policy condividono la loro posizione e i loro eventi geofence come i dispositivi aziendali, ma solo se l’utente consente la posizione per l’app Cerberus Enterprise; l’app lo spiega all’utente prima che iOS chieda. La tua organizzazione è responsabile di informare gli utenti e di rispettare le norme locali sulla posizione dei dipendenti. La modalità smarrito e la richiesta di posizione MDM non sono mai disponibili sui dispositivi personali (Apple non lo consente).

Con il Risparmio energia attivo i geofence continuano a funzionare, ma iOS segnala l’uscita da un’area più tardi e con una posizione meno precisa e può ritardare di ore la ricezione dei nuovi geofence dopo una modifica della policy, finché l’app non viene eseguita di nuovo (ad esempio al passaggio successivo o quando l’utente la apre).

Come arrivano gli eventi

iOS monitora le aree per l’app e la risveglia quando il dispositivo attraversa un confine, anche quando l’app non è aperta. Gli eventi possono arrivare alcuni minuti dopo l’attraversamento e un’area piccola o una visita breve possono essere perse: iOS richiede che il dispositivo si allontani dal confine per una certa distanza e rimanga lì per un po’.

Se l’app non può essere eseguita, ad esempio dopo un riavvio prima che il dispositivo venga sbloccato, anche il server rileva l’attraversamento, più tardi, dalle posizioni inviate dall’app. Ogni attraversamento attiva le regole di evento una volta, sia che lo rilevi l’app sia che lo rilevi il server.

Quando l’app non contatta il server per diverse ore, il server chiede a iOS di risvegliarla in modo che possa controllare di nuovo i suoi geofence. iOS non garantisce queste richieste.

Pagina del dispositivo

Nella pagina del dispositivo, la scheda Geofence del pannello Mappa posizione mostra le transizioni del dispositivo. Quando la policy ha geofence attivi, una riga di stato indica se il geofencing funziona sul dispositivo o perché non può funzionare: l’app non ha contattato il server o deve essere aggiornata, l’accesso alla posizione non è impostato su Sempre, oppure Posizione precisa o Aggiorna app in background sono disattivati, il Risparmio energia era attivo quando l’app ha segnalato per l’ultima volta le sue impostazioni oppure l’app non ha ancora applicato i geofence più recenti.

Le transizioni geofence e le posizioni vengono conservate per 90 giorni e i dati più vecchi vengono eliminati automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, così il dispositivo resta sulle mappe.

Limitazioni

Per reagire agli eventi geofence, crea una regola di evento per Il dispositivo entra in un geofence o Il dispositivo esce da un geofence. Vedi Regole di evento.

Policy - Apple

Account

La sezione Account dell'editor delle policy Apple aggiunge account di posta, Exchange, Google, calendario, contatti e directory a iPhone, iPad e Mac. Fai clic su Aggiungi account e scegli il tipo. La sezione contiene anche la restrizione Consenti modifica account (dispositivi supervisionati).

Su un Mac (macOS 13 o versioni successive) gli account vengono installati nella sessione degli utenti registrati nella gestione, di solito l'utente che ha registrato il Mac, quando hanno effettuato l'accesso. La pagina del dispositivo elenca questi utenti in Utenti Mac, con lo stato dei loro account. Gli account che prendono l'indirizzo email dall'utente del dispositivo usano l'utente assegnato al Mac in Cerberus Enterprise.

Impostazioni comuni

Tipi di account

S/MIME

Gli account di posta ed Exchange possono firmare e crittografare i messaggi con S/MIME (iOS 17 o versioni successive). Per ciascuno, scegli il certificato: uno della pagina Certificati, il certificato dell'utente del dispositivo oppure richiesto a un server SCEP. Puoi consentire all'utente di disattivarlo, scegliere un altro certificato e, per la crittografia, mostrare un interruttore per ogni messaggio.

Sicurezza

Le password e i certificati non fanno parte delle impostazioni inviate ai dispositivi: ogni dispositivo scarica le proprie credenziali da Cerberus Enterprise, firmando la richiesta con il proprio certificato di gestione. Non vengono scritti nei log.

Policy - Apple

Regole di conformità

La sezione Regole di conformità dell’Editor delle policy Apple stabilisce i requisiti per i dispositivi della policy. Un dispositivo che infrange una regola è subito non conforme: la pagina del dispositivo ne mostra il motivo in Perché il dispositivo non è conforme e l’elenco dei dispositivi lo mostra come non conforme. Un dispositivo è inoltre non conforme quando un’impostazione della policy non può essere applicata su di esso.

Regole

Una regola viene controllata quando il dispositivo invia il suo stato, quando la policy viene salvata e ogni ora. Un dispositivo il cui stato è sconosciuto (ad esempio un Mac che non ha ancora segnalato FileVault) non infrange la regola.

Blocco del dispositivo

Attiva Blocca il dispositivo se è ancora non conforme e imposta dopo quanti giorni (0 blocca subito). Gli iPhone e gli iPad supervisionati entrano in modalità smarrito con il messaggio che hai impostato. Gli altri dispositivi vengono bloccati una volta; un Mac si riavvia e chiede un PIN, mostrato nei dettagli del comando nella cronologia dei comandi.

Per ricevere una notifica o reagire in altri modi, crea una regola di evento per Il dispositivo diventa non conforme: riceve anche i motivi.

Stato Dispositivo

Stato Dispositivo

Panoramica dispositivo

Apri un dispositivo da Dashboard → Dispositivi facendo clic sulla riga del dispositivo. Il titolo della pagina mostra il Modello del dispositivo (quando disponibile) e l'Id interno.

Dati storici e registrazione corrente

Quando un dispositivo ha più registrazioni, Cerberus Enterprise può mostrare un record storico di sola lettura. In tal caso, la pagina visualizza un banner Dati storici e un pulsante per tornare ai dati della registrazione corrente.

Campi principali

La sezione superiore riassume l'identità del dispositivo, l'assegnazione e lo stato di gestione. Alcuni campi sono specifici della piattaforma e compaiono solo per dispositivi Android o Apple.

Alcuni dati e pannelli sono disponibili solo quando la categoria corrispondente è abilitata nella policy del dispositivo. Per maggiori informazioni leggi le pagine Segnalazione dello stato e Posizione e geofence.

Pannelli

La pagina del dispositivo è organizzata in sezioni espandibili. A seconda della piattaforma e dello stato, potresti vedere uno o più dei seguenti pannelli:

Schede del pannello Posizione

Il pannello Mappa delle posizioni usa schede per tenere separati la cronologia delle posizioni e i passaggi dei geofence.

Per il comportamento completo di queste schede, vedi Mappa posizioni.

Azioni

In fondo alla pagina puoi aggiornare i dati ed eseguire azioni a seconda della piattaforma, dello stato del dispositivo e dello stato della licenza.

Stato Dispositivo

Mappa delle posizioni

Questa pagina descrive gli strumenti di posizione specifici del dispositivo disponibili in Panoramica dispositivo. Il pannello contiene una scheda Posizione per la cronologia delle posizioni e, sui dispositivi Android, iPhone e iPad, una scheda Geofence per le transizioni dei geofence.

Prerequisiti

Su Android, i dati di posizione del dispositivo vengono mostrati solo quando la segnalazione della posizione è abilitata nella policy del dispositivo. Per abilitarla, apri la policy e attiva Posizione e geofence → Segnala posizione. Per maggiori dettagli, consulta Posizione e geofence.

Su iPhone e iPad, la posizione proviene dall'app Cerberus Enterprise, una volta che l'utente la consente, oppure dal comando Localizza dispositivo mentre il dispositivo è in modalità smarrito. I Mac e gli altri dispositivi Apple non segnalano la loro posizione.

Sui dispositivi non completamente gestiti, i dati sulla posizione possono comunque dipendere dall'app Cerberus Enterprise che dispone delle autorizzazioni di posizione richieste e dall'attivazione dei servizi di localizzazione sul dispositivo.

Sui dispositivi personali (User Enrollment), posizione e geofence sono disponibili solo quando nella policy Apple è attiva l'opzione Posizione e geofence sui dispositivi personali e solo se l'utente consente la posizione per l'app Cerberus Enterprise. In caso contrario la pagina del dispositivo non mostra le azioni di posizione o il tracciamento in tempo reale. La modalità smarrito non è mai disponibile sui dispositivi personali.

Per la mappa globale multi-dispositivo disponibile dalla dashboard, vedi Mappa delle posizioni della dashboard.

Stato di caricamento e assenza di dati

Scheda Posizione

Apri la scheda Posizione per esaminare la cronologia di un singolo dispositivo. I filtri disponibili includono l'ultima posizione nota, intervalli recenti della cronologia, un intervallo di date personalizzato e il tracciamento in tempo reale.

Le posizioni vengono conservate per 90 giorni: quelle più vecchie vengono eliminate automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, così il dispositivo resta sulle mappe anche quando non invia dati da molto tempo. Per i dispositivi rimossi e le registrazioni passate, le posizioni più vecchie di 90 giorni vengono eliminate tutte. Per questo motivo l'intervallo di date di Cerca non può iniziare più di 90 giorni fa.

Dettagli del marcatore

Quando fai clic su un marcatore di posizione, si apre una finestra informativa con:

Cerchio di precisione

Quando la finestra informativa è aperta, intorno al marker viene visualizzato un cerchio di precisione. Il raggio del cerchio corrisponde alla precisione riportata (in metri). Chiudendo la finestra informativa il cerchio scompare.

Tracciamento in tempo reale

Nella vista della cronologia del dispositivo, selezionando il filtro Live viene avviata una richiesta di tracciamento in tempo reale per quello specifico dispositivo. Cerberus Enterprise chiede conferma prima di avviare la richiesta.

Scheda Geofence

Su dispositivi Android, iPhone e iPad, la seconda scheda mostra le transizioni geofence generate dai geofence definiti nella policy assegnata.

Su iPhone e iPad, quando la policy ha geofence attivi, una riga di stato nella parte superiore della scheda indica se il geofencing funziona sul dispositivo. Ti dice quando non può funzionare: l'app Cerberus Enterprise non ha contattato il server o deve essere aggiornata, l'accesso alla posizione non è impostato su Sempre, Posizione precisa o Aggiorna app in background è disattivato, Risparmio energetico era attivo quando l'app ha segnalato le sue impostazioni l'ultima volta (gli eventi geofence e le modifiche possono quindi subire ritardi di ore), oppure l'app non ha ancora applicato gli ultimi geofence. Quando tutto funziona, mostra quanti geofence sta monitorando l'app.

Dettagli della transizione geofence

Selezionando una transizione si aprono i suoi dettagli sulla mappa e viene evidenziata la voce corrispondente nell'elenco. Quando disponibili, Cerberus Enterprise mostra anche le coordinate del dispositivo e la precisione riportata per quella transizione.

Stato Dispositivo

Gestione SIM

La pagina del dispositivo fornisce un pannello Gestione SIM. Sui dispositivi Android gestisce le SIM e i profili eSIM installati sul dispositivo, aggiunge o rimuove profili eSIM e mostra la cronologia dei comandi eSIM inviati al dispositivo. Su iPhone e iPad cellulari aziendali mostra le SIM e i piani eSIM segnalati dal dispositivo e consente al dispositivo di scaricare i piani eSIM preparati dall'operatore: vedi iPhone e iPad di seguito.

Le informazioni sulla SIM vengono riportate dai dispositivi con gestione completa quando la segnalazione Informazioni di rete è abilitata nella policy del dispositivo (questa opzione è sempre abilitata da Cerberus Enterprise). Vedi la pagina Segnalazione stato.

EID del dispositivo

L'EID (eUICC Identifier) identifica l'hardware eSIM del dispositivo. Gli operatori lo usano per associare i profili eSIM al dispositivo, quindi recuperarlo è di solito il primo passo di un flusso di provisioning eSIM.

L'invio di una richiesta EID mostra prima una finestra di conferma, perché l'utente vedrà una notifica sul dispositivo.

SIM installate

La tabella SIM installate elenca le SIM attualmente note per il dispositivo, comprese le SIM fisiche e i profili eSIM. Sui dispositivi personali, i profili eSIM installati con il comando Aggiungi eSIM vengono mostrati anche quando il dispositivo non riporta informazioni sulla SIM.

Le eSIM con un comando di rimozione in corso o eseguito (non fallito) mostrano uno stato di attivazione temporaneo Rimozione in corso. La voce scompare dall'elenco quando il dispositivo riporta l'elenco SIM aggiornato. Mentre una rimozione è in corso, il pulsante di rimozione non è disponibile, per evitare di inviare due volte lo stesso comando.

Rimuovi eSIM

Usa il pulsante di rimozione accanto a una eSIM installata per rimuovere il suo profilo dal dispositivo. Una finestra di conferma ti chiede di confermare l'ICCID della eSIM da rimuovere prima che il comando venga inviato. La rimozione di una eSIM è supportata su Android 15 e versioni successive.

Aggiungi eSIM

La sezione Aggiungi eSIM installa un nuovo profilo eSIM sul dispositivo (supportato su Android 15 e versioni successive). Richiede:

Cronologia dei comandi

Sotto la sezione Aggiungi eSIM, il pannello mostra la cronologia dei comandi eSIM inviati al dispositivo: Aggiungi eSIM, Rimuovi eSIM e Richiedi EID. La tabella è ordinabile e supporta la paginazione. Alcune righe possono essere espanse per visualizzare i parametri del comando (ad esempio il codice di attivazione o l'ICCID) e lo stato di esecuzione, inclusi i dettagli dell'errore eSIM quando un'operazione non riesce sul dispositivo.

Cancella le eSIM durante la cancellazione e l'annullamento della registrazione

Quando cancelli il dispositivo dal pannello Comandi, il flag Cancella eSIM controlla se i profili eSIM vengono rimossi con la cancellazione. Sui dispositivi personali con profilo di lavoro questo flag è abilitato per impostazione predefinita (le eSIM gestite vengono rimosse, le eSIM personali non sono interessate). Lo stesso flag è disponibile nella finestra di conferma Annulla registrazione dispositivo.

iPhone e iPad

Il pannello viene mostrato per iPhone e per iPad che hanno riportato dati cellulare (un iPad solo Wi-Fi non ne ha), solo quando il dispositivo è aziendale e non è una registrazione utente. Le informazioni cellulari vengono richieste al dispositivo insieme alle informazioni del dispositivo: alla registrazione, ogni giorno, con Aggiorna informazioni dispositivo, quando la proprietà diventa aziendale e pochi minuti dopo Aggiorna piani cellulari.

I numeri di telefono, l'ICCID, l'IMEI e l'EID identificano la persona e la linea: non vengono mai richiesti ai dispositivi personali o alle registrazioni utente. Quando un dispositivo diventa personale, le informazioni vengono rimosse subito e nascoste nei risultati dei vecchi comandi di informazioni dispositivo nella cronologia dei comandi. Non vengono esportate e non vengono scritte nei log di sistema.

Aggiorna piani cellulari

iPhone e iPad non possono installare una eSIM da un codice di attivazione. L'operatore associa (riserva) il piano eSIM all'EID del dispositivo sul proprio server eSIM (SM-DP+) e ti fornisce l'indirizzo di quel server; Aggiorna piani cellulari chiede quindi al dispositivo di scaricare i piani in attesa. Il pulsante Aggiorna piani cellulari del pannello seleziona il comando nel pannello Comandi, dove inserisci URL del server eSIM dell'operatore:

Il dispositivo installa e attiva il piano senza chiedere conferma all'utente, anche quando non è supervisionato. Il successo nella cronologia dei comandi significa che il dispositivo ha accettato la richiesta, non che un piano è stato installato: l'installazione può richiedere fino a tre minuti e Cerberus Enterprise richiede di nuovo le SIM al dispositivo circa tre minuti dopo, così il nuovo piano appare nel pannello. Gli errori 36001 (il dispositivo non è riuscito a raggiungere il proprio sistema cellulare), 36002 (nessun supporto eSIM) e 36003 (sistema cellulare occupato, riprova più tardi) sono spiegati nei log di sistema. Un piano scaricato una volta non può essere scaricato di nuovo: se l'installazione non riesce, contatta l'operatore. Il comando è disponibile anche per più dispositivi contemporaneamente nel menu Azioni dispositivo Apple della pagina Dispositivi.

Cosa non consente Apple

Stato Dispositivo

Comandi

La pagina del dispositivo fornisce un pannello Comandi per inviare comandi remoti a un dispositivo gestito. I comandi disponibili dipendono dalla piattaforma (Android o Apple) e dallo stato del dispositivo.

I comandi possono essere inviati solo a un dispositivo attualmente registrato. Su un dispositivo con registrazione annullata, su un dispositivo ADE non ancora registrato e sul record storico di una registrazione passata, il pannello mostra solo la cronologia dei comandi.

Se il dispositivo non è attualmente online, il comando verrà recapitato ed eseguito non appena il dispositivo si connette a Internet. Per i comandi Android puoi impostare il parametro Validità per stabilire per quanto tempo un comando non recapitato rimane valido.

Comandi Android (AMAPI)

Per i dispositivi Android, il pannello Comandi include un campo Validità (valore + unità) e un selettore Comando. Alcuni comandi richiedono parametri aggiuntivi, che appaiono dinamicamente quando selezioni il comando.

Parametri comuni

Comandi senza campi aggiuntivi

Comandi con campi aggiuntivi

I comandi eSIM (Aggiungi eSIM, Rimuovi eSIM, Richiedi EID) sono disponibili nel pannello dedicato Gestione SIM.

Cronologia dei comandi

Sotto i controlli di invio, la dashboard mostra una tabella della cronologia dei comandi. La tabella è ordinabile e supporta la paginazione. Alcune righe possono essere espanse per visualizzare parametri aggiuntivi o dettagli di esecuzione.

Colonne della cronologia Android

Comandi Apple (MDM)

Per i dispositivi Apple, il pannello Comandi fornisce un selettore Comando. Alcuni comandi richiedono input aggiuntivi. Come per Android, di seguito viene mostrata una tabella della cronologia dei comandi.

Comandi con campi aggiuntivi

Su iPhone e iPad, Invia notifica e il tracciamento in tempo reale raggiungono il dispositivo tramite l'app Cerberus Enterprise: sono disabilitati finché l'app non viene installata e non si è registrata per le notifiche (vedi il campo App Cerberus Enterprise). L'avvio del tracciamento in tempo reale mostra "Richiesta di tracciamento in tempo reale inviata al dispositivo": il tracciamento inizia quando il dispositivo invia la sua prima posizione. iOS può ritardare la richiesta o non recapitarla, ad esempio in Risparmio energetico o senza connessione di rete: se non arriva nessuna posizione entro 2 minuti, chiedi all'utente di aprire l'app una volta. Quando una richiesta non riesce, il messaggio ne indica il motivo, ad esempio l'app non si è ancora registrata, manca la chiave di notifica del server o il token di notifica del dispositivo non è più valido.

Azioni sul dispositivo

Sono elencati solo i comandi supportati dal dispositivo: alcuni richiedono un iPhone o iPad supervisionato, altri non sono disponibili su un Mac. Quelli più invasivi richiedono una conferma.

iPad condiviso

Un iPad condiviso è usato da più persone, ciascuna con il proprio Managed Apple Account, oppure da ospiti con sessioni temporanee. Viene configurato con un profilo ADE che abilita iPad condiviso (vedi la pagina Apple Automated Device Enrollment) e il suo campo Tipo di registrazione mostra iPad condiviso.

Utenti Mac

Su un Mac, il pannello Utenti Mac elenca gli utenti registrati nella gestione, di solito l'utente che ha registrato il Mac. Gli account della policy vengono installati nelle loro sessioni. Per ogni utente mostra quando è stato registrato, l'ultimo report della sua sessione e lo stato degli account: Aggiornato, In attesa dell'utente (il Mac li installa quando l'utente è connesso), Non applicato con i motivi riportati dal Mac oppure Nessun account quando la policy non ne ha. Usa Ricarica per leggere di nuovo l'elenco.

Activation Lock

Il campo Activation Lock mostra se Activation Lock è attivo. Quando è attivo, un dispositivo cancellato può essere configurato di nuovo solo con l'Apple Account dell'utente o con il codice di bypass del dispositivo. I dispositivi supervisionati attivano Activation Lock solo se è consentito in Impostazioni dispositivo. Cerberus Enterprise chiede ai dispositivi supervisionati il loro codice di bypass e lo memorizza: usa Mostra codice di bypass nel menu del campo per visualizzarlo (solo gli amministratori possono farlo e ogni visualizzazione viene registrata nel log di sistema), poi inseriscilo come password nella schermata Activation Lock del dispositivo, lasciando vuoto l'Apple Account.

Recovery Lock e password del firmware (Mac)

Un Mac con Apple silicon mostra il campo Recovery Lock, un Mac basato su Intel il campo Password del firmware. Entrambi proteggono il Mac all'avvio: con Recovery Lock, recoveryOS chiede la password; con una password del firmware, il Mac la chiede per avviarsi da un altro disco o dal ripristino. Il campo mostra se il Mac segnala una password e, nel suo tooltip, quando Cerberus Enterprise l'ha memorizzata e quando è stata verificata l'ultima volta.

Un Mac basato su Intel si riavvia per applicare una modifica della password del firmware: fino ad allora serve ancora la password precedente (Mostra password la elenca) e non può essere inviata un'altra modifica. Apple accetta inoltre un solo comando per la password del firmware ogni 30 secondi. Le password sono nascoste nella cronologia dei comandi.

Quando un Mac esce dalla gestione (registrazione annullata, rimosso dall'utente o cancellato), macOS rimuove Recovery Lock da solo e Cerberus Enterprise elimina la password Recovery Lock memorizzata; fa lo stesso quando il Mac segnala di non avere Recovery Lock, ad esempio dopo essersi registrato di nuovo. Quando annulli la registrazione di un Mac (o elimini la sua policy), una password del firmware memorizzata viene prima cancellata, il Mac si riavvia e poi esce dalla gestione. Se la cancellazione non riesce, il Mac esce comunque dalla gestione e la password rimane memorizzata, così puoi ancora vederla. Un Mac rimosso dalla gestione dall'utente, o cancellato, mantiene la sua password del firmware: anche Cerberus Enterprise la mantiene. Eliminare il record del dispositivo elimina la password memorizzata, quindi ti viene chiesto di confermare prima: annota la password, perché senza di essa solo Apple può rimuoverla.

FileVault (Mac)

Il campo FileVault mostra se il disco del Mac è crittografato e, nel suo tooltip, se Cerberus Enterprise memorizza la sua chiave di recupero personale. Un Mac invia la chiave quando FileVault viene attivato dopo aver ricevuto l'impostazione FileVault della sua policy (vedi la pagina macOS delle policy Apple).

Bootstrap Token (Mac)

Un Mac con macOS 10.15 o versioni successive invia il suo Bootstrap Token al server di gestione quando un utente con un token sicuro effettua l'accesso. Il server lo conserva e lo restituisce solo a quel Mac, che lo usa per assegnare un token sicuro ai nuovi utenti e, su un Mac con Apple silicon, per installare aggiornamenti software e approvare estensioni del kernel senza chiedere una password di amministratore. Nessuno può vedere il token, nella dashboard o altrove. Il campo Bootstrap Token mostra il suo stato:

Il tooltip indica anche se il Mac consente il token per l'autenticazione. I Mac configurati con Automated Device Enrollment lo consentono automaticamente; su altri Mac con Apple silicon un utente può consentirlo in Startup Security Utility in recoveryOS. I Mac Intel non possono usare il token per l'autenticazione (Non supportato), ma un token escrowed assegna comunque un token sicuro ai nuovi utenti. Ogni volta che un Mac invia, rimuove o richiede il suo token, l'operazione viene registrata nel log di sistema.

Stato del dispositivo e aggiornamenti del sistema operativo

Il pannello Stato del dispositivo mostra ciò che il dispositivo segnala su se stesso: la versione e la build del sistema operativo, l'avanzamento di un aggiornamento software (versione in attesa, scadenza, cosa lo ha avviato, errori), se è impostato un codice di accesso e se è conforme alla policy, FileVault su un Mac, la salute della batteria e gli account configurati sul dispositivo.

L'elenco Aggiornamenti disponibili mostra gli aggiornamenti del sistema operativo che il dispositivo può installare, raccolti alla registrazione e ogni settimana. Usa Verifica aggiornamenti per richiederli subito e Installa per installare subito un aggiornamento (il dispositivo si riavvia, dopo una conferma) oppure solo scaricarlo e lasciare che l'utente lo installi. Funziona su iPhone e iPad supervisionati e sui Mac, fino a iOS, iPadOS e macOS 26: nelle versioni successive e per aggiornare molti dispositivi, usa gli aggiornamenti richiesti della policy (vedi la pagina Aggiornamenti software delle policy Apple).

Un Mac con Apple silicon installa un aggiornamento senza chiedere una password di amministratore solo quando consente il suo Bootstrap Token per l'autenticazione e il token è escrowed (vedi Bootstrap Token sopra). In caso contrario la conferma indica che un utente potrebbe dover inserire una password di amministratore prima che l'aggiornamento venga installato.

Applicazioni e inventario

Il pannello Applicazioni elenca ogni app del dispositivo in un'unica tabella. Lo stato di installazione delle app installate dalla policy o con un comando viene segnalato in tempo reale dal dispositivo; versioni, dimensioni e app installate dall'utente provengono dall'ultimo elenco di app, raccolto alla registrazione e ogni settimana. Usa Chiedi al dispositivo per richiederlo subito.

Il pannello Profili, certificati e sicurezza mostra i profili di configurazione, i certificati e lo stato di sicurezza (codice di accesso, crittografia, FileVault e firewall su un Mac) segnalati dal dispositivo.

Sui dispositivi di proprietà personale le app installate dall'utente non vengono raccolte e sono elencati solo i profili e i certificati gestiti da Cerberus Enterprise.

Il pannello Modifiche all'inventario mostra cosa è cambiato tra due elenchi inviati dal dispositivo: app installate, rimosse o aggiornate (con la vecchia e la nuova versione), profili installati, rimossi o aggiornati e certificati aggiunti o rimossi. Una modifica viene rilevata quando il dispositivo invia un nuovo elenco, ogni settimana per app e profili, ogni giorno per i certificati, oppure quando usi Chiedi al dispositivo: la data mostrata è quella in cui è stata rilevata, la modifica è avvenuta tra l'elenco precedente e quello. Il primo elenco di un dispositivo, e il primo dopo una nuova registrazione o un cambio di proprietà, viene solo registrato come punto di partenza. Cerca per nome o identificatore e filtra per tipo e modifica. Le modifiche vengono conservate per 365 giorni.

Quando un aggiornamento del sistema operativo sostituisce molte app Apple contemporaneamente, vengono mostrate come un'unica riga (ad esempio "23 app Apple aggiornate") che puoi espandere. Il rinnovo del certificato MDM è mostrato come Certificato MDM rinnovato. Sui dispositivi di proprietà personale sono mostrate solo le modifiche degli elementi gestiti da Cerberus Enterprise.

Colonne della cronologia Apple

Aggiorna

Usa l'azione di aggiornamento nel pannello Comandi per ricaricare la cronologia dei comandi.

Mappa delle posizioni della dashboard

La mappa delle posizioni della dashboard offre una visualizzazione globale dell'ultima posizione nota dei dispositivi che inviano dati sulla posizione. Aprila da Dashboard per esaminare più dispositivi sulla stessa mappa Google.

Prerequisiti

Un dispositivo appare su questa mappa solo quando la segnalazione della posizione è abilitata nella policy assegnata. Per abilitarla, apri la policy e attiva Posizione e geofence → Segnala posizione. Per maggiori dettagli, consulta Posizione e geofence.

Sui dispositivi non completamente gestiti, i dati sulla posizione possono comunque dipendere dall'app Cerberus Enterprise che dispone delle autorizzazioni di posizione richieste e dall'attivazione dei servizi di localizzazione sul dispositivo.

I dispositivi personali (User Enrollment) condividono la loro posizione solo quando nella loro policy Apple è attiva l'opzione Posizione e geofence sui dispositivi personali e l'utente consente la posizione per l'app Cerberus Enterprise. In caso contrario Cerberus non raccoglie la loro posizione e il tracciamento in tempo reale non è disponibile per loro.

Per la cronologia per dispositivo e le transizioni dei geofence disponibili nell'editor del dispositivo, vedi Mappa delle posizioni.

La cronologia posizioni viene conservata per 90 giorni e le posizioni più vecchie vengono eliminate automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, quindi i dispositivi che non inviano dati da molto tempo vengono comunque mostrati sulla mappa.

Stato di caricamento e assenza di dati

Marcatori e cluster

Ogni dispositivo con dati sulla posizione disponibili è mostrato come marcatore. Quando molti dispositivi sono vicini, i marcatori vengono raggruppati automaticamente per mantenere la mappa leggibile.

I dispositivi attualmente in tracciamento in tempo reale sono evidenziati con un marcatore animato, così sono più facili da individuare sulla mappa.

Controlli della mappa

Quando la mappa contiene posizioni dei dispositivi, Cerberus Enterprise mostra pulsanti di azione nell'angolo in alto a destra della mappa.

Dettagli del marcatore

Facendo clic su un marcatore si apre una finestra informativa con:

L'identificatore del dispositivo nella finestra informativa è un link che apre la pagina Panoramica dispositivo corrispondente.

Azioni della finestra informativa

Ogni finestra informativa include anche pulsanti di azione per il dispositivo selezionato.

Cerchio di precisione

Quando viene selezionato un marcatore, la mappa mostra un cerchio di precisione attorno alla posizione. Il raggio del cerchio corrisponde alla precisione segnalata.

Comportamento del tracciamento in tempo reale

Avviare il tracciamento in tempo reale da una finestra informativa invia una richiesta di tracciamento in tempo reale a quel dispositivo. Cerberus Enterprise aggiorna quindi automaticamente la mappa mentre la sessione è attiva.

App private

Da questa sezione della dashboard puoi caricare le tue app Android private o creare web app da distribuire sui tuoi dispositivi.

Gli unici dettagli che devi fornire sono il titolo dell'app e l'APK. Le app private vengono approvate automaticamente per la tua organizzazione e in genere sono pronte per la distribuzione entro 10 minuti. Puoi caricare un totale di 15 app private al giorno. Tieni presente che anche le web app contano in questo totale.

La prima volta che pubblichi un'app privata, dovrai fornire un indirizzo email per ricevere le notifiche dal Play Console relative alle tue app e al tuo account sviluppatore Google Play. Inoltre, Managed Play crea automaticamente un account Play Developer per conto della tua organizzazione. Non devi pagare una quota di registrazione per questo account.

App private pubblicate dall'iframe:

Per maggiori dettagli visita la pagina Assistenza di Managed Google Play

Gestione dei certificati

La dashboard include una sezione Certificati per importare, visualizzare ed eliminare i certificati. Facendo clic su una riga di certificato si apre l'editor del certificato.

Elenco dei certificati

I certificati sono visualizzati in una tabella ordinabile e paginata. L'elenco include sia certificati client sia Autorità di certificazione (CA).

Filtri

Nella parte superiore della pagina puoi abilitare i filtri usando l'elenco di chip. Alcuni filtri si escludono a vicenda.

Colonne della tabella

Azioni

Importa certificati

Per importare i certificati, fai clic su Importa certificato e seleziona uno o più file. I formati supportati sono mostrati nel tooltip del pulsante di importazione.

Client

Formato supportato: PKCS#12 codificato in Base64 (.p12 / .pfx).

I certificati client identificano un utente o un dispositivo sulla rete dell'enterprise. I certificati client possono essere associati a un utente specifico.

Ogni certificato client può essere facoltativamente assegnato a un utente specifico: questo consente di distribuire la stessa configurazione Wi‑Fi EAP su molti dispositivi. Puoi farlo nella sezione configurazione di rete della policy, usando l'opzione Credenziali EAP dagli utenti.

In alternativa, puoi assegnare un certificato a un utente dalla pagina Utenti.

Sui dispositivi Apple, i certificati vengono installati con la sezione Rete della policy Apple, dove puoi anche scegliere Il certificato dell'utente del dispositivo. Consulta la pagina Rete delle policy Apple.

Autorità di certificazione (CA)

Formati supportati: X.509 codificato in Base64 (.crt / .pem / .cer / .der).

I certificati CA identificano un'Autorità di certificazione e indicano al dispositivo che qualsiasi certificato emesso dalla CA deve essere considerato attendibile. La dashboard verifica che un certificato X.509 importato sia una CA.

Editor del certificato

Quando apri un certificato, l'editor mostra i suoi campi principali e un pannello Informazioni sul certificato in sola lettura.

Campi principali

Associazione utente (certificati client)

Per i certificati Client, l'editor mostra un campo Utente. Se è assegnato un utente, un menu ti consente di Apri utente, Cambia utente o Disassocia utente. Se non è assegnato alcun utente, puoi assegnarne uno usando il pulsante di azione utente.

Elimina certificato

L'azione di eliminazione è disabilitata quando il certificato è attualmente associato a un utente o usato nelle policy. Può anche essere disabilitata quando la licenza è scaduta.

Regole eventi

Le regole eventi ti consentono di automatizzare le reazioni agli eventi supportati dei dispositivi. Apri Dashboard → Regole eventi per creare regole che monitorano eventi di registrazione, annullamento della registrazione, non conformità e geofence (dispositivi Android e Apple; gli eventi geofence provengono da dispositivi Android, iPhone e iPad), poi attivano automaticamente una o più azioni.

Cosa può fare una regola eventi

Ogni regola combina un soggetto, un evento e una o due azioni. I soggetti supportati sono Tutti i dispositivi, Dispositivo specifico e Policy.

Una regola può contenere solo un'azione email, solo un'azione sul dispositivo oppure un'azione sul dispositivo più un'azione email. Se entrambe le azioni sono configurate, Cerberus Enterprise esegue prima l'azione sul dispositivo e poi l'azione email.

Regole di piattaforma e compatibilità

Gli eventi e le azioni disponibili dipendono dal soggetto selezionato e dalla piattaforma applicabile a quel soggetto.

Elenco regole

L'elenco delle regole di evento è la pagina di gestione principale per questa funzionalità. Include una tabella ricercabile con nome della regola, soggetto, evento, azioni, piattaforma, stato di attivazione e ora di aggiornamento.

Editor delle regole

L'editor è suddiviso nelle sezioni Generale, Ambito, Trigger e Azioni. In fondo alla pagina, una barra delle azioni fissa mantiene visibili i pulsanti principali mentre scorri.

Generale

Ambito

L'ambito definisce quali dispositivi può corrispondere la regola. L'editor mostra anche la piattaforma risolta e, quando disponibile, il contesto della policy effettiva.

Trigger

La sezione Trigger filtra automaticamente gli eventi disponibili in base all'ambito e alla piattaforma selezionati.

Trigger geofence

Le regole di ingresso e uscita dai geofence funzionano per i dispositivi Android, iPhone e iPad, e una regola per un dispositivo o una policy richiede un contesto policy valido. Per le definizioni dei geofence, consulta Posizione e geofence (Android) e Posizione e geofence (Apple).

Azioni

La sezione delle azioni consente di scegliere un'azione facoltativa sul dispositivo e una notifica email facoltativa. L'interfaccia nasconde automaticamente le combinazioni non supportate. La notifica email è attiva per impostazione predefinita, anche quando scegli un'azione sul dispositivo: disattivala se vuoi solo l'azione sul dispositivo.

Destinatari email

Le azioni email includono sempre gli utenti aziendali con il ruolo ADMIN. Se l'azienda è gestita tramite multi-tenancy, puoi estendere i destinatari per includere i gestori MT.

Comportamento di esecuzione

Le regole di evento vengono eseguite immediatamente quando Cerberus Enterprise riceve un evento supportato dalle integrazioni backend. Le regole disabilitate vengono saltate automaticamente.

Le esecuzioni riuscite, saltate e non riuscite vengono registrate nel registro di sistema con messaggi leggibili, incluso il motivo quando una regola o un'azione sul dispositivo è stata saltata.

Il log di sistema conserva gli eventi di stato e di posizione dei dispositivi, e le esecuzioni delle regole riuscite o saltate, per 90 giorni. Gli altri eventi, come le azioni degli amministratori, gli accessi, gli avvisi e gli errori (incluse le esecuzioni delle regole non riuscite), vengono conservati per 12 mesi. Le voci più vecchie vengono eliminate automaticamente ogni notte.

Dispositivi

Dispositivi

Dispositivi

La sezione Dispositivi della dashboard (Dashboard → Dispositivi) elenca tutti i dispositivi registrati nel tuo account. Da questa pagina puoi filtrare l'elenco, aprire la scheda di un dispositivo ed eseguire azioni sul dispositivo come disabilitarlo o annullarne la registrazione.

Filtri

Nella parte superiore della pagina puoi abilitare uno o più filtri usando l'elenco di chip. I chip selezionati rappresentano i filtri attualmente attivi.

I filtri dipendono dalle piattaforme configurate nel tuo account: i filtri per i dispositivi Apple o Android compaiono solo quando quella piattaforma è configurata, mentre i filtri Android e Apple compaiono solo quando lo sono entrambe.

Filtri disponibili

Cerca

Quando abiliti il filtro Cerca, appare un campo di testo con l'etichetta Id, modello, utente, seriale o sistema operativo: cerca l'id del dispositivo, il modello, il nome utente, il numero di serie e la versione del sistema operativo. L'elenco viene aggiornato automaticamente quando smetti di digitare.

Tabella dei dispositivi

I dispositivi sono visualizzati in una tabella ordinabile e paginata. Facendo clic su una riga si apre l'editor del dispositivo.

Colonne

Aggiornamento e paginazione

Azioni sui dispositivi

Ogni riga di dispositivo può offrire azioni, a seconda della piattaforma e dello stato del dispositivo. Alcune azioni sono disabilitate quando la licenza è scaduta o terminata.

Azioni per dispositivo

Selezione di più righe

Puoi abilitare la selezione di più righe dalla barra delle azioni sotto la tabella. Quando è abilitata, puoi selezionare più righe e applicare azioni collettive (disabilita, abilita, annulla registrazione o elimina), a seconda dei dispositivi selezionati.

Per i dispositivi Apple, il menu Azioni dispositivi Apple blocca, riavvia, spegne, aggiorna le informazioni o cancella tutti i dispositivi selezionati. Un'azione è disponibile quando ogni dispositivo selezionato è un dispositivo Apple registrato che la supporta. I PIN dei Mac bloccati o cancellati vengono mostrati una volta dopo l'invio del comando. L'annullamento della registrazione dei dispositivi Apple rimuove il loro profilo di registrazione e le impostazioni della policy, senza cancellarli.

Aggiorna piani cellulari chiede agli iPhone e agli iPad selezionati di scaricare i piani eSIM che l'operatore ha associato ai loro EID, da un unico server eSIM dell'operatore inserito in una finestra per tutti. A differenza delle altre azioni, viene inviata solo ai dispositivi selezionati che la supportano: Mac, User Enrollment, dispositivi con una versione precedente di iOS e iPad che non hanno mai segnalato dati cellulare vengono saltati e elencati nel risultato. Vedi la pagina Gestione SIM.

Sincronizzazione con Apple Business

Se Apple Management è configurato ed è presente un token di Automated Device Enrollment, la pagina può mostrare l'azione Sincronizza da Apple Business per importare i dispositivi da Apple Business. Un messaggio indica quanti dispositivi sono stati aggiunti. Quando ne vengono aggiunti alcuni, l'elenco passa al filtro Tutti, perché i dispositivi non ancora registrati non vengono mostrati dal filtro Registrati.

Registra un dispositivo

Usa Registra un dispositivo per aprire la sezione Token di registrazione e iniziare a registrare un nuovo dispositivo.

Utenti

Utenti

Utenti

La sezione Utenti della dashboard (Dashboard → Utenti) elenca tutti gli utenti configurati nel tuo account. Da questa pagina puoi cercare utenti, aprire l'editor utente, creare nuovi utenti ed eliminare gli utenti che non sono attualmente associati a dispositivi.

Cerca

In cima alla pagina c'è un campo di ricerca con l'etichetta Cerca e il segnaposto Nome, nome utente o email. L'elenco si aggiorna automaticamente quando smetti di digitare.

Tabella utenti

Gli utenti sono visualizzati in una tabella ordinabile e paginata. Facendo clic su una riga si apre l'editor utente.

Colonne

Aggiornamento e paginazione

Azioni utente

Crea nuovo utente

Usa Crea nuovo utente per aprire la finestra di creazione dell'utente. Questa azione è disattivata quando la tua licenza è scaduta.

Sincronizza da Google Workspace

Se la sincronizzazione della directory di Google Workspace è disponibile per il tuo account, la pagina mostra Sincronizza da Google Workspace. Quando avvii una sincronizzazione, viene mostrato un indicatore di avanzamento mentre la richiesta è in corso.

Elimina un utente

Puoi eliminare un utente solo quando non è associato a nessun dispositivo (la colonna Dispositivi deve essere 0). L'azione di eliminazione è disattivata quando la tua licenza è scaduta o terminata.

Selezione multipla ed eliminazione in blocco

Dalla barra delle azioni sotto la tabella puoi attivare la selezione multipla. In questa modalità puoi selezionare più utenti ed eliminarli in blocco.

Certificati Wi‑Fi ed EAP

La colonna Certificato WiFi mostra il nome del certificato attualmente assegnato a un utente. I certificati utente sono in genere usati per le configurazioni Wi‑Fi EAP (ad esempio EAP‑TLS). Per l'assegnazione e la gestione dei certificati, vedi Gestione certificati.

Utenti

Editor utente

L'editor utente è disponibile da Dashboard → Utenti facendo clic su una riga utente. Ti consente di modificare i dettagli dell'utente, configurare le credenziali Wi‑Fi EAP per singolo utente e visualizzare i dispositivi associati all'utente.

Dettagli utente

La sezione superiore contiene i campi principali dell'utente. Alcuni campi sono obbligatori e l'editor mostra errori di convalida quando mancano o non sono validi.

Policy predefinita di autenticazione Google

Negli ambienti Google Workspace con l'autenticazione Google attivata, l'editor può mostrare Policy predefinita di autenticazione Google. È la policy applicata ai dispositivi registrati tramite l'autenticazione Google da questo utente.

Credenziali Wi‑Fi EAP

La sezione Credenziali Wi‑Fi EAP serve a configurare le credenziali per singolo utente che vengono installate automaticamente sui dispositivi dell'utente quando la policy assegnata contiene una configurazione Wi‑Fi EAP che le richiede. La configurazione Wi‑Fi EAP fa parte della configurazione di rete della policy Android.

Certificato client

Puoi assegnare facoltativamente un certificato client a un utente. Quando un certificato è assegnato, viene mostrato nel campo Certificato client e un menu fornisce le azioni. Quando non è assegnato alcun certificato, il campo mostra Nessun certificato assegnato e puoi assegnarne uno.

Per l'importazione e la gestione dei certificati, vedi Gestione certificati.

Identità, identità anonima e password

Dispositivi associati

La sezione Dispositivi associati mostra l'elenco dei dispositivi attualmente collegati all'utente. Se l'utente ha uno o più dispositivi associati, non può essere eliminato.

Salva ed elimina

Avviso modifiche non salvate

Se hai modifiche non salvate e provi a lasciare la pagina, la dashboard ti chiede se vuoi eliminare le modifiche.

Account

Account

Impostazioni

La pagina Impostazioni (Dashboard → Impostazioni) riepiloga le informazioni sull'account e sulla licenza e offre azioni per gestire la fatturazione, la configurazione delle piattaforme (Android Management e Apple Management) e le integrazioni opzionali con directory/token.

Banner della licenza (in scadenza / scaduta)

Quando la tua licenza è in scadenza, scaduta o terminata, nella parte superiore della pagina viene mostrato un banner ben visibile. A seconda dello stato dell'abbonamento, offre un'azione Gestisci fatturazione (portale clienti Stripe) oppure un'azione Acquista licenza.

Quando la licenza è scaduta, l'account può solo annullare la registrazione dei dispositivi. Dopo il periodo di tolleranza, l'account può essere annullato e la registrazione dei dispositivi può essere annullata automaticamente.

Banner dei certificati e dei token Apple (in scadenza / scaduti)

Il certificato push Apple (APNs), il token Apple Business (Automated Device Enrollment) e il token Apps and Books (ex VPP) devono essere rinnovati ogni anno. A partire da 30 giorni prima della scadenza, nella parte superiore della dashboard viene mostrato un banner per ogni certificato o token in scadenza o scaduto, con la data di scadenza o la funzione che ha smesso di funzionare. L'azione Come rinnovare apre questa pagina con le istruzioni di rinnovo corrispondenti espanse.

Un banner viene mostrato anche quando il certificato MDM di alcuni dispositivi Apple scade entro 14 giorni e il rinnovo automatico non è stato completato o è scaduto: quei dispositivi devono essere registrati di nuovo. L'azione Mostra dispositivi apre l'elenco dei dispositivi con il filtro Certificato MDM in scadenza.

Quando il certificato push Apple scade, i dispositivi Apple non possono ricevere comandi o aggiornamenti delle policy. Quando il token Apple Business scade, Automated Device Enrollment smette di funzionare. Quando il token Apps and Books scade, le app non possono essere distribuite.

Banner dell'app Cerberus Enterprise

Cerberus installa la sua app gratuita Cerberus Enterprise su iPhone e iPad (iOS e iPadOS 18.4 o versioni successive) con una licenza dispositivo Apps and Books. Un banner viene mostrato nella parte superiore della dashboard quando l'app non è nella tua libreria Apple Business, quando il token Apps and Books manca o è scaduto oppure quando alcuni iPhone e iPad sono ancora in attesa dell'app (con il loro numero). Come aggiungerla apre questa pagina alla riga App Cerberus Enterprise con i passaggi; Come configurarla (mostrato quando il token Apps and Books manca o è scaduto) apre le istruzioni del token Apps and Books.

Accesso gestore enterprise

La scheda Accesso gestore enterprise viene mostrata solo per le enterprise gestite da un account multi-tenancy (ad esempio un provider di servizi gestiti). Ti permette di vedere quali account gestore possono operare sulla tua enterprise e di controllarne l'accesso.

La scheda mostra:

Concedere e revocare l'accesso

Usa Concedi per consentire a un account gestore di entrare nella tua enterprise e gestirla, e Revoca per rimuovere tale accesso. Ogni azione richiede una conferma. Un gestore il cui accesso è revocato non può più operare sull'enterprise, anche se vi sta lavorando in quel momento.

Revocare l'accesso al gestore principale revoca anche l'accesso a tutti i suoi sotto-account. Quando questo si applica, la finestra di conferma elenca i sotto-account che perderanno l'accesso.

Informazioni sull'account

La scheda Informazioni sull'account mostra campi in sola lettura:

Cambia password

Se non hai effettuato l'accesso con Google, Apple o Microsoft, la scheda mostra anche un'azione Cambia password. Questa apre una finestra per continuare con la procedura di cambio password.

Puoi anche cambiare la password in qualsiasi momento dal menu utente nella barra degli strumenti in alto, usando Cambia password. È utile per gli account multi-tenancy, che possono cambiare la password senza entrare in un'enterprise.

Se un amministratore ha creato il tuo account o reimpostato la tua password, accedi con una password temporanea e devi scegliere una nuova password prima di continuare.

Informazioni sulla licenza

La scheda Informazioni sulla licenza mostra lo stato attuale della licenza e il limite di dispositivi. Offre anche azioni per contattare il reparto commerciale e per gestire la fatturazione o acquistare una licenza.

Android Management

La scheda Android Management mostra lo stato di Android Management per la tua enterprise. Se Android Management non è ancora configurato, la scheda fornisce un'azione Configura Android Management che apre la procedura di configurazione.

Stato configurato

Quando Android Management è configurato, la scheda può mostrare:

Associazione Android enterprise

Android Management può essere associato a un account Managed Google Play oppure a un dominio Google gestito. Il campo Tipo di associazione mostra quale opzione è attualmente associata alla tua enterprise.

Un account Managed Google Play è un account Android Enterprise leggero. È adatto a gestire dispositivi e app Android tramite Cerberus Enterprise, ma è separato da un'organizzazione Google Workspace o Cloud Identity. Non offre l'esperienza di amministrazione centralizzata di Google disponibile con un dominio Google gestito.

Un dominio Google gestito associa Android Enterprise all'identità Google della tua organizzazione. Gli amministratori IT possono gestire prodotti Google come Google Workspace, Cloud Identity e Gemini dalla Google Admin console, continuando a gestire app e policy Android in Cerberus Enterprise. Questo offre un approccio più snello e integrato alla gestione Android e abilita i flussi di registrazione e gestione utenti basati su Google Workspace.

Quando l'enterprise usa un account Managed Google Play, la scheda Impostazioni fornisce Passa al dominio Google gestito e un'azione informativa. L'aggiornamento apre la procedura guidata di Google per spostare l'Android enterprise esistente in un dominio gestito.

Durante l'aggiornamento, Google può associare un account Google Admin esistente collegato al tuo indirizzo email di lavoro o creare automaticamente un nuovo account Google Admin gratuito. Usa un indirizzo email di lavoro come nome@enterprise.com per continuare la configurazione guidata di Google.

Apple Device Management

La scheda Apple Device Management mostra lo stato della gestione dei dispositivi Apple (MDM) per la tua enterprise. Se la gestione Apple non è ancora configurata, la scheda fornisce un'azione Configura Apple Management che apre la procedura di configurazione.

Stato configurato

Quando la gestione Apple è configurata, la scheda può mostrare:

La gestione Apple richiede la configurazione del certificato APNs. Se necessario, consulta Apple Management setup (APNs).

Preferenze e privacy

La scheda Preferenze e privacy contiene un interruttore per le preferenze di marketing e link ai Termini di servizio e all'Informativa sulla privacy. Usa Salva preferenze per applicare le modifiche (durante il salvataggio viene mostrato un indicatore di avanzamento).

Invia feedback

Quando gli abbonamenti sono abilitati per l'account, la pagina può mostrare una scheda Invia feedback con link a: Proponi una funzionalità e piattaforme di recensione esterne.

Istruzioni di configurazione e rinnovo inline

In fondo alla pagina, la dashboard può mostrare pannelli di istruzioni espandibili in base allo stato attuale (ad esempio quando un certificato/token manca o è in scadenza).

Rinnova il certificato push Apple (APNs)

Quando il certificato APNs è in scadenza o scaduto, la pagina mostra un pannello con i passaggi per scaricare una CSR, rinnovare il certificato sul portale Apple e caricare il nuovo certificato in Cerberus Enterprise.

Finché un certificato o un token è ancora valido, il pulsante di caricamento accanto apre gli stessi passaggi. Usalo quando hai scaricato un nuovo token Apple Business o Apps and Books, perché quello vecchio smette di funzionare, oppure per rinnovare in anticipo il certificato push Apple. Rinnova sempre il certificato push Apple attuale: uno diverso viene rifiutato finché i dispositivi Apple sono registrati, perché non potrebbero più essere raggiunti.

Sincronizza con Apple Business

Quando il token Apple Business manca, è scaduto o in scadenza, la pagina mostra un pannello con i passaggi per scaricare un token da Apple Business e caricarlo in Cerberus Enterprise. Per una nuova connessione, genera il certificato a chiave pubblica in Cerberus Enterprise, quindi in Apple Business apri Devices → Management Services, fai clic su Add sotto Device Management Services, scegli Connect external device management e fai clic su Continue; inserisci un Service Name (ad esempio Cerberus Enterprise), carica il certificato con Upload Certificate, fai clic su Next, poi su Download Service Token e infine su Done. Per rinnovare il token, seleziona il servizio Cerberus Enterprise in Management Services, fai clic sul pulsante … (altro) in alto a destra e scegli Download Token.

I dispositivi vengono registrati con Cerberus Enterprise solo quando sono assegnati al suo servizio in Apple Business: apri Devices → Management Services → Default Device Assignment per assegnare automaticamente i nuovi dispositivi (per tipo di dispositivo), oppure Devices → Inventory, seleziona i dispositivi e fai clic su Assign Device Management.

Sincronizza con Apple Apps and Books (VPP)

Quando il token Apps and Books manca, è scaduto o in scadenza, la pagina mostra un pannello con i passaggi per scaricare un token di contenuti da Apple Business e caricarlo in Cerberus Enterprise: in Apple Business, apri il menu dell'organizzazione in alto a destra (il nome della tua organizzazione) → Settings → Organizational Units, seleziona l'unità organizzativa (l'unità predefinita è la tua organizzazione) e fai clic su Download nella sezione Content Token. Il token scade dopo un anno, o prima se cambia la password dell'Apple Account che lo ha scaricato.

L'ultimo passaggio della configurazione di Apps and Books aggiunge l'app gratuita Cerberus Enterprise alla tua libreria Apple Business, così Cerberus può installarla sui tuoi iPhone e iPad.

Sincronizza con Google Workspace

Quando la sincronizzazione della directory Google Workspace non è configurata, la pagina mostra un pannello che spiega l'integrazione e fornisce un pulsante di autorizzazione. Elenca anche l'ambito Google OAuth richiesto: https://www.googleapis.com/auth/admin.directory.user.readonly.

Per la configurazione iniziale di Android, vedi Android Management setup.

Multi-tenancy

Multi-tenancy

Panoramica sul multi-tenancy

La sezione Multi-tenancy è disponibile per gli account MSP e gestori aziendali che gestiscono più aziende clienti da un unico accesso. Questo capitolo spiega il modello di ambito aziendale, il cambio azienda, l'amministrazione delle aziende gestite e i sotto-account.

Per richiedere un account multi-tenancy, contatta enterprise@cerberusapp.com.

Concetti chiave

Modello di navigazione

Quando non è selezionato alcun contesto aziendale, la navigazione laterale mostra le aree multi-tenancy come Aziende e, per gli account principali, Sotto-account. Dopo aver scelto un'azienda, la dashboard passa alla navigazione standard per singola azienda (Home, Utenti, Dispositivi, Registrazione, Policy e altro).

Proprietà e delega

Ogni azienda gestita ha un proprietario. Il proprietario può sempre accedere a quell'azienda. Gli account gestore non proprietari possono accedere a un'azienda solo quando è stata concessa la delega.

Gli amministratori aziendali gestiscono l'accesso dalla scheda Accesso gestore aziendale nella pagina Impostazioni.

Lo stato di proprietà e delega è mostrato direttamente sulle schede azienda per rendere esplicito l'ambito di accesso prima di entrare in un'azienda.

Azioni su licenze e fatturazione

Le viste multi-tenancy mostrano lo stato delle licenze, i limiti dei dispositivi e le azioni di fatturazione aziendale. A seconda dello stato dell'abbonamento aziendale e delle tue autorizzazioni, la scheda può mostrare Gestisci fatturazione o Acquista licenza.

Per le aziende create da un account multi-tenancy, le licenze sono gestite dagli utenti multi-tenancy. L'account principale può sempre gestire le licenze, mentre i sotto-account possono gestirle solo quando l'account principale abilita Può gestire la licenza per quel sotto-account.

Pagine di questo capitolo

Multi-tenancy

Aziende gestite

La pagina Aziende (Dashboard → Aziende) è il centro di controllo per l'accesso alle aziende gestite. Elenca tutte le aziende visibili al tuo account multi-tenancy e ti consente di filtrare, esaminare proprietà/delega, accedere a un contesto aziendale e creare nuove aziende gestite (solo account principali).

Ricerca e filtri

Schede azienda

Ogni scheda azienda mostra metadati di gestione chiave:

Aziende selezionate di recente

Le aziende a cui hai avuto accesso di recente vengono fissate in una sezione Selezionate di recente per velocizzare i cambi di contesto ripetuti.

Azioni azienda

Chi può gestire le licenze

Per le aziende create da un account multi-tenancy, la gestione delle licenze è controllata dagli utenti multi-tenancy. L'account principale può sempre gestire la fatturazione e le azioni sulle licenze per queste aziende.

I sotto-account possono gestire la fatturazione e le azioni sulle licenze solo se l'account principale concede l'autorizzazione Può gestire la licenza nella pagina Sotto-account.

Crea azienda gestita

Gli account multi-tenancy principali possono espandere Crea azienda gestita dall'area azioni in basso.

Il nuovo utente amministratore deve scegliere una nuova password la prima volta che accede con la password temporanea.

Modalità di proprietà

Quota aziende

Se l'account raggiunge la quota aziende configurata, la creazione viene bloccata e il modulo mostra un messaggio di contatto per l'assistenza con il numero attuale e massimo di aziende.

Quando viene raggiunta la quota aziende, non puoi creare altre aziende gestite finché il tuo limite non viene aumentato.

Multi-tenancy

Cambio azienda

Il selettore azienda nella barra degli strumenti superiore consente agli utenti multi-tenancy di passare tra le aziende delegate senza disconnettersi. È disponibile quando è possibile selezionare almeno un contesto aziendale.

Comportamento del selettore

Esci dall'azienda

Il menu del selettore include Esci dall'azienda, che cancella il contesto aziendale corrente e ti riporta allo spazio di lavoro globale multi-tenancy.

Regole di reimpostazione del contesto

Cambiare azienda o uscire dall'azienda reimposta l'ambito della dashboard. Le pagine e i dati specifici dell'azienda si aggiornano per il contesto appena selezionato e la visibilità del menu si adatta alla presenza o meno di un'azienda selezionata.

L'azienda selezionata si applica a tutte le schede del browser aperte. Se cambi o esci da un'azienda in una scheda, le altre schede ricaricano la dashboard alla loro azione successiva, così non operano mai su un'azienda diversa da quella mostrata.

Usa il selettore per cambi rapidi del contesto operativo, ma verifica il nome dell'azienda selezionata prima di eseguire azioni sensibili come aggiornamenti delle policy o comandi sui dispositivi.

Multi-tenancy

Sotto-account

La pagina Sotto-account (Dashboard → Sotto-account) è disponibile per gli account multi-tenancy principali. Ti consente di creare utenti gestori delegati, assegnare aziende gestite, controllare le autorizzazioni di fatturazione e mantenere le credenziali dei sotto-account.

Elenco sotto-account

Ogni scheda sotto-account mostra controlli di identità e gestione:

Assegnazione aziende gestite

Le assegnazioni aziendali vengono modificate tramite il campo a selezione multipla Aziende gestite. Quando chiudi il selettore dopo le modifiche, la dashboard chiede conferma prima di salvare gli aggiornamenti.

Assegnare un'azienda la rende disponibile al sotto-account, ma il sotto-account può accedervi solo dopo che l'accesso è stato concesso. Rimuovere un'azienda dalle assegnazioni rimuove anche l'accesso del sotto-account a essa.

Autorizzazione alla gestione delle licenze

L'interruttore Può gestire la licenza controlla se un sotto-account può accedere alle azioni di gestione di fatturazione e licenze dell'azienda.

Per le aziende create dall'account multi-tenancy, l'account principale ha sempre i diritti di gestione delle licenze. I sotto-account ricevono i diritti di gestione delle licenze solo quando questo interruttore è abilitato dall'account principale.

Reimpostazione password

Reimposta password genera una nuova password temporanea e, dopo la conferma, la invia al sotto-account via email.

Quando accede con una password temporanea, dopo una reimpostazione o per un sotto-account appena creato, l'utente deve scegliere una nuova password prima di continuare.

Elimina sotto-account

L'eliminazione di un sotto-account richiede conferma e rimuove definitivamente l'accesso delegato per quell'account.

Crea sotto-account

Usa il pannello azioni in basso Crea sotto-account per aggiungere un nuovo gestore delegato.

Approfondimenti

Ecco alcuni articoli che approfondiscono come MDM può aiutare la tua attività:

Che cos'è la modalità Kiosk? Una guida per bloccare i dispositivi Android e Apple per l'azienda

La modalità Kiosk trasforma telefoni e tablet standard in strumenti aziendali mirati. Cerberus Enterprise aiuta le organizzazioni a bloccare i dispositivi su un'unica app o su un piccolo insieme di app approvate per casi d'uso come POS al dettaglio, check-in per gli ospiti e navigazione della flotta, mantenendo al contempo questi dispositivi specializzati più facili da proteggere, supportare e gestire su larga scala.

Come scegliere la soluzione MDM giusta: una checklist in 7 punti per le piccole imprese

Scegliere MDM in una fase avanzata del processo di acquisto è più facile quando il confronto resta pratico. Questa checklist aiuta le piccole imprese a valutare i fornitori in base ai sette criteri che di solito contano di più nelle implementazioni reali: sicurezza, supporto per Android e Apple, facilità d'uso per team snelli, scalabilità, limiti della privacy, costo totale di proprietà e supportabilità quotidiana.

Creare un'aula digitale sicura e mirata: una guida a MDM per le scuole K-12

I dispositivi gestiti dalla scuola funzionano meglio quando restano incentrati sull'apprendimento. Cerberus Enterprise aiuta le organizzazioni K-12 a mantenere i dispositivi degli studenti focalizzati tramite app gestite, restrizioni in stile kiosk, configurazioni standardizzate per dispositivi condivisi o in prestito e azioni di ripristino remoto che riducono smarrimenti, derive e interruzioni in aula.

Dotare i tuoi tecnici sul campo: come MDM aumenta l'efficienza e la sicurezza sul posto

I tecnici sul campo dipendono dai dispositivi mobili per orari, note di servizio, riferimenti tecnici, cronologia dei clienti e aggiornamenti sui lavori mentre operano sul posto. Cerberus Enterprise aiuta a mantenere questi dispositivi pronti tramite app gestite, modelli di dispositivi standardizzati, comandi di supporto remoto e visibilità basata sulla posizione che può migliorare il coordinamento degli interventi rafforzando al contempo la sicurezza sul campo.

Oltre la mappa: usare MDM per una gestione della flotta più intelligente e più sicurezza per i conducenti

Le operazioni della flotta si affidano ai dispositivi mobili per navigazione, invio di interventi, messaggistica, registrazione e attività sul campo. Cerberus Enterprise aiuta a mantenere questi dispositivi concentrati sui flussi di lavoro approvati tramite app gestite, controlli kiosk e per dispositivi dedicati, policy di comunicazione sicura, risoluzione remota dei problemi e supervisione basata sulla posizione che può ridurre i tempi di inattività e favorire operazioni di guida più sicure.

Come geofence, tracciamento in tempo reale e mappe delle posizioni migliorano le operazioni aziendali

Le funzionalità basate sulla posizione di Cerberus Enterprise aiutano le organizzazioni a passare dalla semplice visibilità dei dispositivi a un controllo operativo più pratico. La segnalazione periodica della posizione, il tracciamento in tempo reale, le transizioni dei geofence e le mappe interattive possono supportare logistica, servizi sul campo, sanità, vendita al dettaglio, edilizia e altri team distribuiti che necessitano di una migliore comprensione di dove si svolge il lavoro e di quando i dispositivi entrano o escono da aree importanti.

Come il multi-tenancy aiuta gli MSP a scalare i servizi MDM e creare nuovi flussi di ricavi

Il multi-tenancy consente agli MSP, ai rivenditori e alle organizzazioni multi-azienda di gestire più aziende da un singolo account Cerberus Enterprise mantenendo separati ogni ambiente. Questo modello riduce gli attriti operativi, migliora la scalabilità dei servizi e supporta l'accesso delegato tramite sotto-account e un'amministrazione esplicita controllata dal cliente. Crea inoltre maggiori opportunità di business per i fornitori che vogliono combinare la licenza software con onboarding, supporto, conformità e servizi di mobilità gestita.

Migliorare l'operatività aziendale con le soluzioni MDM

Mobile Device Management centralizza il controllo dei dispositivi aziendali, semplificando registrazione, configurazione e manutenzione. Il provisioning automatizzato e le operazioni in blocco riducono il lavoro IT manuale e garantiscono policy coerenti su tutti i dispositivi. Funzionalità di sicurezza come crittografia, monitoraggio della conformità e cancellazione remota proteggono i dati aziendali. Nel complesso, MDM migliora la produttività riducendo i costi di supporto e la complessità operativa.

Sicurezza avanzata nella gestione di Android Enterprise

Android Enterprise utilizza un profilo di lavoro per isolare le app e i dati aziendali dai contenuti personali sullo stesso dispositivo. Questa containerizzazione crea ambienti crittografati separati, gestiti in modo indipendente dagli amministratori IT. Le policy di sicurezza possono controllare la condivisione dei dati aziendali senza influire sulle app personali. L'architettura protegge i dati aziendali anche se le applicazioni personali vengono compromesse.

MDM per Apple iPhone e registrazione automatizzata

Il framework MDM di Apple consente la gestione centralizzata degli iPhone negli ambienti aziendali. In combinazione con Apple Business Manager, i dispositivi possono registrarsi e configurarsi automaticamente alla prima attivazione. Gli amministratori possono distribuire e configurare silenziosamente le app aziendali, applicare le impostazioni di sicurezza e monitorare la conformità. Questa automazione garantisce una configurazione coerente dei dispositivi e riduce gli errori di installazione.

Capire Mobile Device Management

Mobile Device Management fornisce una piattaforma centralizzata per monitorare, proteggere e controllare i dispositivi mobili che accedono ai sistemi aziendali. Le capacità principali includono l'applicazione delle policy di sicurezza, la gestione delle applicazioni e il blocco o la cancellazione remota dei dispositivi smarriti. MDM aiuta a proteggere i dati aziendali mantenendo la conformità dei dispositivi. Consente alle organizzazioni di qualsiasi dimensione di gestire in modo sicuro una forza lavoro mobile in crescita.

Modelli di distribuzione dei dispositivi aziendali

Le organizzazioni possono adottare diversi modelli di proprietà dei dispositivi, come BYOD, CYOD, COPE, COBO e COSU. Ogni modello bilancia in modo diverso costi, flessibilità per gli utenti e controllo della sicurezza. BYOD privilegia la comodità dell'utente, mentre COBO e COSU massimizzano il controllo aziendale e la sicurezza. La scelta del modello corretto dipende dai requisiti normativi, dalle esigenze della forza lavoro e dalla capacità di gestione IT.

MDM vs. EMM vs. UEM

MDM si concentra sulla gestione e sulla protezione dei dispositivi mobili tramite l'applicazione delle policy, il controllo della configurazione e la gestione remota. EMM amplia questo ambito includendo la gestione di applicazioni e contenuti, mentre UEM cerca di gestire tutti gli endpoint, inclusi laptop e desktop. Per molte PMI, le suite EMM o UEM complete aggiungono complessità non necessaria. In pratica, solide capacità MDM soddisfano spesso la maggior parte dei requisiti di gestione mobile.

MDM sui telefoni personali e privacy dei dipendenti

I moderni sistemi MDM usano la containerizzazione per separare i dati di lavoro da quelli personali sui dispositivi di proprietà dei dipendenti. I datori di lavoro possono gestire e monitorare solo l'ambiente di lavoro, incluse le app aziendali e le informazioni sulla conformità dei dispositivi. I dati personali come foto, messaggi e cronologia di navigazione restano inaccessibili all'azienda. Questa separazione tecnica consente programmi BYOD sicuri preservando la privacy dei dipendenti.

ROI e valore aziendale di MDM

MDM dovrebbe essere valutato come un investimento strategico anziché come una semplice spesa per la sicurezza. Genera rendimenti finanziari grazie alla riduzione della perdita di dispositivi, ai minori costi di supporto IT e a una maggiore efficienza operativa. La gestione automatizzata aumenta anche la produttività dei dipendenti e riduce i tempi di inattività. Inoltre, una sicurezza più solida riduce il rischio e l'impatto finanziario delle violazioni dei dati.

Gestione dei dispositivi conforme a HIPAA

Le organizzazioni sanitarie devono proteggere i dati elettronici dei pazienti in base ai requisiti di sicurezza HIPAA. MDM aiuta ad applicare crittografia, controlli di autenticazione, trasmissione sicura dei dati e log di audit dettagliati. Consente inoltre la cancellazione remota e l'applicazione centralizzata delle policy per i dispositivi che accedono ai sistemi medici. Questi controlli riducono i rischi di conformità consentendo flussi di lavoro mobili negli ambienti sanitari.

MDM per le operazioni e la sicurezza nel commercio al dettaglio

Le organizzazioni del commercio al dettaglio si affidano ai dispositivi mobili per sistemi POS, gestione dell'inventario e operazioni in negozio. MDM garantisce che questi dispositivi restino sicuri, aggiornati e conformi a standard come PCI-DSS. La gestione centralizzata riduce i tempi di inattività e semplifica la distribuzione dei dispositivi in più sedi. Il risultato è una maggiore efficienza operativa e un minor rischio di incidenti di sicurezza legati ai pagamenti.