Manuale utente Documentazione per Cerberus Enterprise MDM Introduzione Cerberus Enterprise è una soluzione EMM completa, progettata per aiutarti a proteggere e gestire i tuoi dispositivi Android e Apple. Dispone di tutte le funzionalità giuste per una gestione efficace dei dispositivi BYOD e di proprietà dell'azienda in una dashboard pulita e intuitiva, e puoi iniziare in pochi minuti. Per usare efficacemente Cerberus Enterprise, devi comprendere alcuni concetti chiave su come funziona il sistema. Il sistema supporta la gestione sia dei dispositivi Android che Apple: Su Android, Cerberus Enterprise utilizza l'API ufficiale di Google Android Management API per gestire i dispositivi tramite l'app Android Device Policy (ADP). La maggior parte delle impostazioni viene applicata direttamente da ADP. Alcune funzionalità facoltative possono richiedere anche l'app companion Cerberus Enterprise, che estende le possibilità oltre ADP. Sui dispositivi Apple (iPhone, iPad e Mac), Cerberus Enterprise gestisce i dispositivi tramite Apple MDM (Mobile Device Management). La gestione Apple richiede un certificato APNs e può facoltativamente integrarsi con Apple Business per la registrazione automatizzata e la licenza delle app. Su iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, Cerberus installa anche l'app companion Cerberus Enterprise, che condivide la posizione del dispositivo e riceve notifiche. Ogni dispositivo può essere registrato nel sistema usando un Token di registrazione o un Profilo di registrazione (registrazione manuale Apple). Il metodo di registrazione è associato a una Policy che contiene le regole da applicare ai dispositivi. Gli amministratori IT possono cambiare la policy associata a un dispositivo dopo la registrazione. Tuttavia, ogni dispositivo può essere associato a una sola policy alla volta. Durante il processo di registrazione (provisioning), i componenti di gestione richiesti vengono installati e configurati automaticamente. Su Android, questo in genere include l'app Android Device Policy (e, a seconda della configurazione, l'app companion Cerberus Enterprise). Sui dispositivi Apple, la gestione viene applicata tramite MDM una volta registrato il dispositivo, e iPhone e iPad ricevono poi l'app companion Cerberus Enterprise (questa richiede l'app gratuita nella tua libreria di Apple Business e un token di Apps and Books). Di conseguenza, la policy corrispondente viene applicata automaticamente al dispositivo e tutte le regole associate vengono applicate dal sistema di gestione della piattaforma. Una policy può essere applicata a molti dispositivi. In questo caso, quando modifichi la policy, tutti i dispositivi associati riceveranno le modifiche.   Configurazione Configurazione di Android Management Per gestire i dispositivi Android con Cerberus Enterprise, devi prima collegare la tua organizzazione a Google Android Enterprise. Il processo di configurazione richiede di solito alcuni minuti e necessita di un indirizzo email di lavoro (ad esempio name@enterprise.com) o, in alternativa, di un indirizzo email Google personale. Cosa succede durante la configurazione Verrai reindirizzato a Google Android Enterprise. Accedi con il tuo indirizzo email di lavoro (o un indirizzo email Google personale). Google crea l'account Android Management per la tua organizzazione. Vieni reindirizzato di nuovo a Cerberus Enterprise per completare la configurazione. Informazioni importanti Ti consigliamo di registrarti con un indirizzo email di lavoro, non con un account Gmail personale. Se l'indirizzo email è già associato a un account Google Admin, quell'account esistente viene riutilizzato e collegato a Cerberus Enterprise; in caso contrario, viene creato un nuovo account Google Admin gratuito. Un account Google Admin sblocca l'intero set di funzionalità — ad esempio, la registrazione di dispositivi tramite autenticazione Google con account gestiti dal tuo dominio Google Admin. Non hai un indirizzo email di lavoro? Puoi comunque registrarti con un indirizzo email Google personale (ad esempio un account Gmail). In questo caso, Google crea un account Managed Google Play gratuito collegato a Cerberus Enterprise. Passi successivi Dopo aver completato la configurazione, crea un Token di registrazione e scegli il metodo di provisioning appropriato per il dispositivo. Configurazione di Apple Management (APNs) Per gestire i dispositivi Apple, Cerberus Enterprise richiede il certificato del servizio Apple Push Notification (APNs). Usa l'Apple ID associato alla tua organizzazione. Il certificato APNs è valido per un anno e deve essere rinnovato ogni anno per continuare a gestire i dispositivi. Passaggio 1: scarica il file CSR Nella dashboard, avvia la configurazione di Apple Management e scarica il file di richiesta di firma del certificato (CSR) firmata dal fornitore generato da Cerberus Enterprise. Passaggio 2: crea il certificato push sul portale Apple Accedi al Portale dei certificati push Apple con il tuo Apple ID. Fai clic su "Crea un certificato". Carica il file CSR del passaggio 1. Scarica il certificato push creato. Link del portale: https://identity.apple.com/ Passaggio 3: carica il certificato push Carica di nuovo in Cerberus Enterprise il certificato push scaricato da Apple per completare la configurazione. Se il certificato APNs scade, la gestione dei dispositivi Apple smette di funzionare finché il certificato non viene rinnovato. A partire da 30 giorni prima della scadenza, la dashboard mostra un banner con un'azione Come rinnovare. Rinnova sempre il certificato esistente nel Portale dei certificati push Apple con lo stesso Apple ID: un nuovo certificato ha un argomento diverso e i dispositivi già registrati dovrebbero essere registrati di nuovo. Passi successivi Dopo aver configurato APNs, puoi procedere con la registrazione dei dispositivi Apple. Continua con Panoramica sul provisioning Apple. Panoramica sul provisioning dei dispositivi Cerberus Enterprise supporta la gestione dei dispositivi sia per Android sia per Apple. Puoi configurare una delle due piattaforme in modo indipendente, a seconda dei dispositivi che devi registrare. 1. Completa la configurazione della piattaforma nella dashboard Prima di registrare i dispositivi, completa la configurazione della piattaforma nella dashboard di Cerberus Enterprise. Se il tuo account non è ancora configurato, la dashboard ti guiderà nei passaggi necessari. Configurazione Android (Google Android Enterprise) Per la procedura completa di configurazione Android, leggi la pagina Configurazione di Android Management. Vai al flusso di registrazione della dashboard e seleziona Configura Android Management. Verrai reindirizzato a Google per accedere con un account di lavoro e autorizzare Android Enterprise. Dopo l'autorizzazione, verrai reindirizzato a Cerberus Enterprise per completare la configurazione. Configurazione Apple (certificato push APNs) Per la procedura completa di configurazione Apple, leggi la pagina Configurazione di Apple Management (APNs). Vai al flusso di registrazione della dashboard e seleziona Configura Apple Management. Scarica il file CSR da Cerberus Enterprise. Crea il certificato APNs nel Apple Push Certificates Portal e scarica il certificato risultante. Carica il certificato scaricato in Cerberus Enterprise per abilitare la gestione dei dispositivi Apple. 2. Registra i dispositivi Dopo aver completato la configurazione della piattaforma, scegli il metodo di registrazione adatto al tuo modello di proprietà dei dispositivi e al sistema operativo. Registrazione Android Per Android, la registrazione è guidata dai Token di registrazione. Seleziona il metodo appropriato a seconda che il dispositivo sia di proprietà personale o aziendale. Di proprietà personale (BYOD / profilo di lavoro): segui questa guida. Aziendale (uso lavorativo e personale / profilo di lavoro): segui questa guida. Aziendale (solo uso lavorativo / completamente gestito o dedicato): segui questa guida. Zero-touch: segui questa guida. Registrazione Apple Per Apple, inizia completando la configurazione APNs descritta sopra, poi segui le guide al provisioning Apple: Panoramica sul provisioning Apple. Provisioning dispositivi - Android Dispositivi supportati In generale, qualsiasi dispositivo con Android 6 o versione successiva e Google Play Services è compatibile con Cerberus Enterprise. Per un'esperienza utente migliore, ti consigliamo di usare dispositivi che soddisfano i requisiti Android Enterprise Recommended. Alcune funzioni sono limitate a specifiche versioni di Android o possono comportarsi diversamente tra le versioni del sistema operativo. Per maggiori informazioni su una funzione specifica, vedi la sezione Policy della documentazione. Cerberus Enterprise supporta sia i dispositivi aziendali sia quelli di proprietà personale, e due modalità di gestione: device owner e profile owner. I dispositivi di proprietà personale possono essere gestiti tramite un profilo di lavoro. Questo consente una soluzione BYOD mantenendo separati i dati e le app di lavoro dei dipendenti dai dati e dalle app personali, migliorando sicurezza e privacy. Questa opzione è adatta ai dispositivi già di proprietà dei dipendenti che vuoi registrare nella tua organizzazione per uso lavorativo. I dispositivi aziendali possono anche essere gestiti tramite un profilo di lavoro, ma puoi anche scegliere l'opzione completamente gestito, che consente un controllo più rigoroso sul dispositivo. I dispositivi aziendali con profilo di lavoro sono adatti quando fornisci dispositivi aziendali ai dipendenti per il lavoro, consentendo comunque l'uso personale. I dispositivi completamente gestiti sono più adatti ai dispositivi che devono essere usati solo per il lavoro o ai dispositivi dedicati (COSU, corporate-owned single-use), come i chioschi. Per maggiori informazioni sul provisioning dei dispositivi, vedi la pagina Panoramica sul provisioning dei dispositivi. Token di registrazione Cerberus Enterprise usa i token di registrazione per avviare il processo di registrazione (provisioning) dei dispositivi Android. Il token che selezioni definisce la policy iniziale applicata ai dispositivi registrati e influenza quali modalità di provisioning sono consentite. La scheda dei token di registrazione Android è disponibile solo dopo aver completato la configurazione di Android Management. Dove trovare i token di registrazione Nella dashboard, apri Token di registrazione. A seconda della configurazione dell'account, la pagina può mostrare più schede (token Android, registrazione con accesso Google, registrazione manuale Apple e Apple Automated Device Enrollment). Se il tuo enterprise Android è supportato da un dominio Google gestito (Google Workspace), la dashboard può anche mostrare una scheda Autenticazione con Google Enrollment. Per dettagli su come abilitarla e usarla, vedi Autenticazione con Google enrollment. Elenco dei token di registrazione (Android) La scheda dei token Android mostra una tabella con tutti i token. Facendo clic su una riga si apre la pagina dei dettagli del token. Colonne Stato: Attivo (i dispositivi possono registrarsi con il token), Scaduto (la data di scadenza è passata) o Esaurito (un token monouso già utilizzato). Policy: la policy assegnata al token (il tooltip mostra l'id della policy). Policy eliminata significa che la policy è stata eliminata dopo la creazione del token. Utente: utente facoltativo preassegnato ai dispositivi registrati con il token. Utente eliminato significa che l'utente è stato eliminato dopo la creazione del token. Registrazioni: quanti dispositivi si sono registrati con il token, mostrate come n / 1 per un token monouso. Uso personale: Consentito / Non consentito / Dispositivo dedicato. Creato: quando il token è stato creato. La tabella mostra per primi i token più recenti. Scadenza: data/ora di scadenza o Mai. Codice di registrazione: il codice del token, quello che digiti sul dispositivo quando lo registri senza un codice QR. Azioni Ogni riga ha un'azione di eliminazione (Elimina token di registrazione). L'eliminazione è disabilitata quando la licenza è scaduta. La tabella supporta la selezione di più righe: puoi abilitare la modalità di selezione, selezionare più token ed eliminarli con Elimina token selezionati. Usa l'azione di aggiornamento per ricaricare l'elenco. La tabella è paginata (10/25/50 elementi per pagina). Crea un nuovo token di registrazione Nella scheda dei token Android, fai clic su Nuovo token di registrazione per aprire la pagina di creazione del token. Se la licenza è scaduta, il pulsante di creazione è disabilitato. Opzioni del token 1. Policy Obbligatorio. La policy applicata automaticamente a tutti i dispositivi registrati con questo token. Seleziona una delle tue policy Android. Se non hai ancora nessuna policy, creane prima una. 2. Utente Facoltativo. Se impostato, i dispositivi appena registrati vengono associati automaticamente a questo utente. 3. Uso personale Controlla se l'uso personale è consentito su un dispositivo di cui è stato eseguito il provisioning con questo token di registrazione: Consentito: adatto ai dispositivi di proprietà personale (profilo di lavoro) e ai dispositivi aziendali per uso lavorativo e personale. Non consentito: adatto ai dispositivi aziendali per solo uso lavorativo (completamente gestiti). Dispositivo dedicato: adatto ai dispositivi kiosk/dedicati (il dispositivo non è associato a un singolo utente). 4. Utilizzi consentiti Seleziona se il token può essere usato più volte (Multiplo) o una sola volta (Una sola volta). 5. Scadenza Seleziona l'unità di scadenza (Minuti, Ore, Giorni o Mai). Se non è impostata su Mai, inserisci il valore di scadenza. L'intervallo consentito dipende dall'unità selezionata e può arrivare fino a 10.000 giorni. 6. Autenticazione Google Controlla se l'utente deve autenticarsi con un account Google durante la registrazione del dispositivo: Non specificato: viene usata l'impostazione di autenticazione Google a livello di enterprise per determinare se l'utente deve autenticarsi con Google durante la registrazione. Facoltativo: l'utente può scegliere di saltare l'autenticazione Google durante la registrazione. Obbligatorio: l'utente deve autenticarsi con un account Google per procedere con la registrazione. Quando è selezionato Obbligatorio, appare un campo facoltativo Email dell'account richiesto. Se impostato, l'utente deve autenticarsi con quello specifico account Google durante la registrazione. Opzioni di provisioning (solo codice QR) Queste opzioni aggiuntive sono incorporate nel codice QR e vengono applicate durante il provisioning dei dispositivi completamente gestiti registrati tramite scansione del codice QR. Non si applicano ai profili di lavoro né ai dispositivi registrati usando l'URL di registrazione o il token. Configurazione Wi‑Fi Usalo per consentire a un dispositivo di connettersi automaticamente al Wi‑Fi durante il provisioning, così può scaricare e inizializzare l'app di gestione. I campi disponibili includono SSID, SSID nascosto, Sicurezza e (se necessario) Passphrase. Puoi anche configurare un proxy HTTP (Proxy) e, a seconda della modalità, impostare Host/Porta, URI PAC e Host di esclusione proxy. Altre opzioni Le opzioni aggiuntive includono Locale, Fuso orario e Salta crittografia. Dettagli del token di registrazione Quando apri un token, la pagina dei dettagli mostra la configurazione e le informazioni sull'utilizzo del token: Stato, Scadenza, Utilizzo, Uso personale, Utilizzi consentiti e (se impostata) Autenticazione Google con l'email dell'account richiesto facoltativa. Token: il valore grezzo del token di registrazione (copiabile). URL di registrazione: un URL di registrazione di Google Android Enterprise (copiabile e inviabile via email). Codice QR: mostrato sul lato destro della pagina, usato per registrare dispositivi completamente gestiti. Per procedure di provisioning dettagliate, segui le guide alla registrazione Android: Dispositivi di proprietà personale, Dispositivi aziendali per uso lavorativo e personale, Dispositivi aziendali per solo uso lavorativo e Zero-touch. Dispositivi di proprietà personale I dispositivi di proprietà dei dipendenti possono essere configurati con un profilo di lavoro. Un profilo di lavoro offre uno spazio autonomo per le app e i dati di lavoro, separato dalle app e dai dati personali. La maggior parte delle policy di gestione di app, dati e altro si applica solo al profilo di lavoro, mentre le app e i dati personali dei dipendenti restano privati.Per configurare un profilo di lavoro su un dispositivo di proprietà personale, usa uno dei seguenti metodi di provisioning (assicurati che il token di registrazione abbia Uso personale impostato su Consentito): Link del token di registrazione Versione Android 6.0+Puoi fornire l'URL di registrazione agli utenti finali. Quando un utente finale apre il link dal proprio dispositivo, viene guidato nella configurazione del profilo di lavoro. Aggiungi profilo di lavoro da "Impostazioni" Versione Android 6.0+Per configurare un profilo di lavoro sul proprio dispositivo, un utente può aprire l'app Impostazioni del dispositivo, poi usare la barra di ricerca per trovare e toccare l'opzione Configura il profilo di lavoro. Se la ricerca non dà risultati, la posizione di questa opzione può variare. Ecco alcune possibilità: Impostazioni -> Servizi e preferenze Google -> Tutti i servizi -> Configura il profilo di lavoro. Impostazioni -> Google -> Configura e ripristina -> Configura il profilo di lavoro. Questi passaggi avviano una procedura guidata di configurazione che scarica Android Device Policy sul dispositivo. Poi all'utente viene chiesto di scansionare un codice QR o inserire manualmente un token di registrazione per completare la configurazione del profilo di lavoro. Scarica Android Device Policy Versione Android 6.0+Per configurare un profilo di lavoro sul proprio dispositivo, un utente può scaricare Android Device Policy dal Google Play Store. Dopo l'installazione dell'app, all'utente viene chiesto di scansionare un codice QR o inserire manualmente un token di registrazione per completare la configurazione del profilo di lavoro. iPhone e iPad personali Gli iPhone e gli iPad personali (e i Mac) si registrano con User Enrollment di Apple: l'utente accede con il proprio Managed Apple Account nelle impostazioni del dispositivo e vengono gestite solo le app, gli account e i dati di lavoro. Su iPhone e iPad le app dell'App Store della policy e l'app Cerberus Enterprise vengono installate con una licenza utente di quell'account. La posizione dei dispositivi personali viene raccolta solo se la loro policy attiva Posizione e geofence sui dispositivi personali e l'utente lo consente. Leggi Registrazione con account Apple. Dispositivi aziendali per uso lavorativo e personale Configurare un dispositivo aziendale con un profilo di lavoro consente di usarlo sia per il lavoro sia per uso personale. Sui dispositivi aziendali con profilo di lavoro: La maggior parte delle policy di gestione di app, dati e altro si applica solo al profilo di lavoro. I profili personali dei dipendenti restano privati. Tuttavia, le aziende possono applicare determinate policy a livello di dispositivo e policy sull'uso personale. Le aziende possono usare Ambito di blocco per applicare azioni di conformità all'intero dispositivo o solo al suo profilo di lavoro. L'annullamento della registrazione e i comandi del dispositivo si applicano all'intero dispositivo.Per configurare un dispositivo aziendale con un profilo di lavoro, usa uno dei seguenti metodi di provisioning (assicurati che il token di registrazione abbia Uso personale impostato su Consentito): Metodo con codice QR Versione Android 8.0+Su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica, l'utente (in genere un amministratore IT) tocca lo schermo sei volte nello stesso punto. Questo fa sì che il dispositivo chieda all'utente di scansionare un codice QR. Dispositivi aziendali per solo uso lavorativo La gestione completa del dispositivo è adatta ai dispositivi aziendali destinati esclusivamente al lavoro. Le aziende possono gestire tutte le app sul dispositivo e applicare l'intera gamma di policy e comandi dell'Android Management API.È anche possibile bloccare un dispositivo (tramite policy) su una singola app o su un piccolo insieme di app per uno scopo o un caso d'uso dedicato. Questo sottoinsieme di dispositivi completamente gestiti è chiamato dispositivi dedicati.Per configurare la gestione completa su un dispositivo aziendale, usa uno dei seguenti metodi di provisioning (assicurati che il token di registrazione abbia Uso personale impostato su Non consentito): Metodo con codice QR Versione Android 7.0+Su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica, l'utente (in genere un amministratore IT) tocca lo schermo sei volte nello stesso punto. Questo fa sì che il dispositivo chieda all'utente di scansionare un codice QR. Metodo con identificatore DPC Versione Android 5.1+Se Android Device Policy non può essere aggiunto tramite codice QR, un utente o un amministratore IT può seguire questi passaggi per eseguire il provisioning di un dispositivo completamente gestito o dedicato: 1. Segui la procedura guidata di configurazione su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica.2. Inserisci i dati di accesso Wi-Fi per collegare il dispositivo a internet.3. Quando ti viene chiesto di accedere, inserisci afw#setup, che scarica Android Device Policy.4. Scansiona un codice QR o inserisci manualmente un token di registrazione per eseguire il provisioning del dispositivo. Zero-touch Gli amministratori IT possono eseguire il provisioning di dispositivi aziendali usando il metodo di registrazione zero-touch, descritto in Registrazione zero-touch per gli amministratori IT. Quando un dispositivo viene acceso per la prima volta, viene automaticamente impostato sulle configurazioni definite dall'amministratore IT. Gli amministratori IT possono preconfigurare i dispositivi acquistati da rivenditori autorizzati e gestirli usando la dashboard di Cerberus Enterprise. Per collegare il tuo account Zero-touch, vai alla sezione Zero-touch nella dashboard, poi segui le istruzioni. Versione Android Profilo di lavoro Dispositivo completamente gestito Dispositivo dedicato 8.0+ (Pixel 7.1+) ✓ ✓ ✓ Autenticazione con Google enrollment L'autenticazione con Google enrollment (detta anche Autenticazione Google per la registrazione) consente agli utenti di autenticarsi con il proprio account Google Workspace durante la registrazione dei dispositivi Android. Questa funzione è disponibile solo per gli enterprise Android supportati da un dominio Google gestito (Google Workspace). Dove trovarla Nella dashboard, apri Token di registrazione e seleziona la scheda Autenticazione con Google Enrollment. La scheda viene mostrata solo quando Android Management è configurato e l'integrazione con Google Workspace è disponibile per il tuo enterprise. Abilita (o disabilita) l'autenticazione Google L'autenticazione Google viene abilitata dalla Google Admin console. Dopo aver modificato l'impostazione, torna a Cerberus Enterprise e usa Aggiorna stato per ricaricare la configurazione corrente. Accedi alla tua Google Admin console con un account amministratore. Apri Dispositivi. Vai a Mobile e endpoint → Impostazioni → Integrazioni di terze parti. Trova l'integrazione Android EMM per Cerberus Enterprise e aprila. Fai clic su Gestisci provider EMM. Attiva o disattiva Autentica usando Google per abilitare o disabilitare l'autenticazione Google durante la registrazione. Fai clic su Salva. Torna alla dashboard di Cerberus Enterprise e fai clic su Aggiorna stato nella scheda Autenticazione con Google Enrollment. Token di registrazione per l'autenticazione Google Quando l'autenticazione Google è abilitata, la dashboard mostra un token di registrazione dedicato usato per questa modalità di registrazione. La pagina può mostrare un codice QR, un valore Token di registrazione e un URL di registrazione (copiabile e inviabile via email). Opzioni principali Consenti uso personale: controlla se il token può registrare dispositivi per uso lavorativo e personale (scenari con profilo di lavoro) o per solo uso lavorativo (scenari completamente gestiti/dedicati). Policy predefinita di fallback: la policy applicata quando l'utente che esegue la registrazione non ha assegnata una policy predefinita specifica per l'autenticazione Google. Interazione con le policy L'impostazione della policy Autenticazione per la configurazione dell'account di lavoro (workAccountSetupConfig.authenticationType) controlla come gli utenti si autenticano durante la configurazione dell'account di lavoro, ma l'impostazione della Google Admin Console Autentica usando Google e il tipo di token di registrazione possono comunque richiedere l'autenticazione. Per i dispositivi già registrati, questa policy si applica solo se il dispositivo è gestito da un account Managed Google Play (ovvero registrato senza Autenticazione con Google Enrollment). Alcune azioni (ad esempio la modifica delle opzioni del token) possono essere disabilitate quando la licenza è scaduta. Registra un dispositivo Durante la registrazione, all'utente viene chiesto di autenticarsi con il proprio account Google Workspace. Dopo una registrazione riuscita, il dispositivo viene associato all'utente autenticato. Profilo di lavoro (dispositivi di proprietà personale) Condividi l'URL di registrazione con l'utente. Quando l'utente lo apre sul proprio dispositivo Android, viene guidato nella configurazione del profilo di lavoro e nell'autenticazione Google. In alternativa, l'utente può partire dalle Impostazioni di Android e scegliere il flusso di configurazione del profilo di lavoro, poi scansionare il codice QR o inserire il token di registrazione quando richiesto. Dispositivi aziendali Metodo con codice QR: su un dispositivo nuovo o ripristinato alle impostazioni di fabbrica, tocca lo schermo più volte nello stesso punto finché non appare la richiesta del codice QR, poi scansiona il codice QR mostrato nella dashboard. Metodo con identificatore DPC (quando la scansione del codice QR non è disponibile): segui la procedura guidata di configurazione, connettiti al Wi‑Fi, poi quando ti viene chiesto di accedere inserisci afw#setup e procedi scansionando il codice QR o inserendo il token di registrazione. Quando richiesto, autenticati con l'account Google Workspace. Per le procedure generali di provisioning Android (profilo di lavoro vs completamente gestito), vedi le pagine standard sulla registrazione Android in questo manuale. Provisioning dispositivi - Apple Panoramica sul provisioning Apple Cerberus Enterprise supporta la registrazione e la gestione di iPhone, iPad e Mac. Il provisioning Apple richiede un certificato APNs e può essere eseguito con diversi metodi di registrazione. Prerequisito: configurare Apple Management (APNs) Prima di registrare qualsiasi dispositivo Apple, completa la configurazione di Apple Management (APNs). Scegli un metodo di registrazione Registrazione manuale (profilo di registrazione) Questo metodo fornisce un URL di registrazione e un file di profilo di configurazione (mobileconfig) che installi sul dispositivo. Leggi la pagina Registrazione manuale Apple. Automated Device Enrollment (ADE) Questo metodo si integra con Apple Business per automatizzare la registrazione dei dispositivi aziendali. Leggi la pagina Apple Automated Device Enrollment (ADE). Registrazione guidata dall'account (accedi con un account aziendale) Gli utenti registrano il proprio iPhone, iPad o Mac accedendo con il loro Managed Apple Account nelle impostazioni del dispositivo: User Enrollment per i dispositivi personali, Device Enrollment per i dispositivi aziendali che non sono in Apple Business. Leggi la pagina Registrazione Apple guidata dall'account. Su iPhone e iPad personali registrati con User Enrollment, le app dell'App Store della policy vengono installate con una licenza utente del Managed Apple Account, che Cerberus assegna automaticamente; all'utente viene chiesto di installare ogni app. I Managed Apple Account e il token di Apps and Books devono appartenere alla stessa organizzazione Apple Business. Leggi la pagina App sui dispositivi personali. App Cerberus Enterprise su iPhone e iPad Dopo la registrazione, Cerberus installa la sua app Cerberus Enterprise su iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, con o senza policy. L'app condivide la posizione del dispositivo e riceve notifiche e richieste di tracciamento in tempo reale; sui dispositivi personali (User Enrollment) riceve messaggi e condivide la posizione solo se la policy attiva Posizione e geofence sui dispositivi personali e l'utente lo consente. Richiede un passaggio una tantum: aggiungi l'app gratuita alla tua libreria Apple Business (Apps & Books → App Store, cerca "Cerberus Enterprise", Aggiungi per tutte le unità organizzative attuali e future). I dispositivi supervisionati la installano in modo silenzioso; sugli altri dispositivi viene chiesto all'utente di installarla. Se l'utente l'ha già installata dall'App Store, il dispositivo chiede di consentire alla tua organizzazione di gestire l'app, e l'app mantiene i suoi dati e le sue autorizzazioni. Se l'utente rifiuta, usa Riprova nella pagina del dispositivo. L'utente non può eliminare l'app e questa resta installata se il token di Apps and Books scade. I Mac non ricevono l'app. Puoi usare la registrazione manuale e ADE in parallelo, a seconda del parco dispositivi e del processo di acquisto. Registrazione manuale Apple (profilo di registrazione) Cerberus Enterprise supporta la registrazione manuale dei dispositivi Apple tramite un codice QR, un URL di registrazione o un file di profilo di registrazione. La registrazione manuale è disponibile quando Apple Management (APNs) è configurato. Se non hai ancora completato la configurazione di APNs, leggi Configurazione di Apple Management (APNs). Gli utenti possono anche registrare il proprio iPhone, iPad o Mac senza un profilo, accedendo con il proprio account di lavoro nelle impostazioni del dispositivo. Leggi Registrazione Apple basata sull'account. Token di registrazione Un token di registrazione ha un proprio URL di registrazione e codice QR e assegna queste impostazioni ai dispositivi che si registrano con esso: Policy: applicata al dispositivo non appena si registra. Utente: assegnato al dispositivo. Senza un utente nel token, il dispositivo non ha un utente. Proprietà: aziendale o personale. Quando non è impostata, i dispositivi supervisionati vengono impostati come aziendali e gli altri come personali. Gli iPhone e gli iPad registrati manualmente non sono supervisionati; i Mac sì, quindi vengono impostati come aziendali. Scadenza: dopo questo giorno l'URL di registrazione smette di funzionare. Un profilo scaricato prima può ancora essere installato. Registrazioni consentite: quanti dispositivi possono registrarsi con il token. Lascia vuoto per nessun limite. Per creare un token, apri la sezione Registrazione nella dashboard, seleziona la scheda Registrazione manuale Apple (profilo di registrazione) e fai clic su Nuovo token di registrazione. Imposta il nome e le impostazioni, poi fai clic su Crea token: la pagina del token mostra il suo URL di registrazione, il codice QR e il pulsante Scarica profilo di registrazione. La tabella dei token mostra, per ogni token, il suo Stato (Attivo, Scaduto o Esaurito), la Scadenza, le Registrazioni effettuate rispetto a quelle consentite e l'Ultimo utilizzo, l'ultima volta che un dispositivo si è registrato con esso. Poi ci sono la Policy, l'Utente (passa il mouse sopra per vedere l'email), la Proprietà e la data di creazione (passa il mouse sopra per vedere chi ha creato il token). I token più recenti vengono mostrati per primi e puoi ordinare per qualsiasi colonna. Ordina per Ultimo utilizzo per trovare i token attivi che nessuno usa più ed eliminali, così il loro URL di registrazione smette di funzionare. Una policy o un utente eliminati dopo il salvataggio del token vengono mostrati come Policy eliminata o Utente eliminato con un'icona di avviso: modifica il token per sceglierne un altro. Le modifiche a un token si applicano alle registrazioni successive: i dispositivi già registrati mantengono la loro policy e il loro utente. Quando un token viene eliminato, scade o raggiunge le registrazioni consentite, il suo URL di registrazione smette di funzionare. Registrazione senza token Il pannello Registrazione senza token della stessa scheda contiene l'URL di registrazione della tua organizzazione. I dispositivi registrati con esso non ricevono policy né utente: assegnali dalla pagina del dispositivo. La policy e l'utente di un dispositivo dipendono da come si registra: la policy e l'utente del token con un token di registrazione; la policy del profilo ADE con Automated Device Enrollment, mantenendo l'utente assegnato nella pagina del dispositivo; nessuna policy e nessun utente con l'URL di registrazione, il codice QR o il profilo senza token (anche se il dispositivo ha un profilo ADE). Un dispositivo che si registra di nuovo non mantiene la policy e l'utente della registrazione precedente: la pagina del dispositivo li mostra solo se la nuova registrazione li assegna. Solo un dispositivo cancellato con Return to Service si registra di nuovo con la sua policy e il suo utente attuali. Ottieni l'URL di registrazione e il profilo Apri il token nella scheda Registrazione manuale Apple (profilo di registrazione) della sezione Registrazione, oppure espandi Registrazione senza token. Copia l'URL di registrazione, oppure usa l'azione di invio via email. Scansiona con la fotocamera di un iPhone o di un iPad il codice QR mostrato accanto all'URL di registrazione: apre lo stesso URL di registrazione sul dispositivo. Su un Mac, usa l'URL di registrazione o il file del profilo. Scarica il profilo di registrazione (file mobileconfig). Come registrare un iPhone o un iPad iOS/iPadOS 15.0+ Per prima cosa, scarica il profilo di registrazione sul dispositivo usando uno dei seguenti metodi: Metodo 1: codice QR Apri l'app Fotocamera sul dispositivo e inquadra il codice QR mostrato accanto all'URL di registrazione, poi tocca il link che appare. Safari apre l'URL di registrazione e chiede di consentire il download di un profilo di configurazione: tocca Consenti. Metodo 2: URL di registrazione Invia l'URL di registrazione all'utente (ad esempio con l'azione di invio via email) e aprilo in Safari sul dispositivo, poi tocca Consenti per scaricare il profilo di configurazione. Metodo 3: file del profilo di registrazione Scarica il file del profilo di registrazione (enroll.mobileconfig) e invialo al dispositivo, ad esempio come allegato email o con AirDrop, poi aprilo sul dispositivo. Poi completa la registrazione sul dispositivo: Sul dispositivo, apri Impostazioni → Profilo scaricato → Installa, poi segui le istruzioni. Dopo la registrazione, puoi verificare lo stato in Impostazioni → Generali → VPN e gestione dispositivo (o Profili e gestione dispositivo). Dopo la registrazione, gli iPhone e gli iPad con iOS o iPadOS 18.4 o versioni successive ricevono l'app Cerberus Enterprise. Su un dispositivo registrato manualmente (non supervisionato) all'utente viene chiesto di installarla, oppure di consentire alla tua organizzazione di gestirla se era già installata dall'App Store. Se l'utente rifiuta, usa Riprova nella pagina del dispositivo. L'app deve essere presente una volta nella tua libreria Apple Business (vedi Impostazioni account). Su iPhone e iPad, un profilo scaricato che non viene installato entro 8 minuti viene rimosso dal dispositivo. In tal caso, scaricalo di nuovo. Come registrare un Mac macOS 13.0+ Il codice QR funziona solo su iPhone e iPad. Scarica il profilo di registrazione sul Mac usando uno dei seguenti metodi: Metodo 1: URL di registrazione Invia l'URL di registrazione all'utente (ad esempio con l'azione di invio via email) e aprilo in Safari sul Mac, poi consenti il download se richiesto. Se il profilo non si apre da solo, apri il file enroll.mobileconfig scaricato. Metodo 2: file del profilo di registrazione Scarica il file del profilo di registrazione (enroll.mobileconfig) e invialo al Mac, ad esempio come allegato email o con AirDrop, poi aprilo sul Mac. L'apertura del profilo lo aggiunge solo ai profili scaricati. Poi completa la registrazione sul Mac, con l'accesso come suo utente principale: Apri Impostazioni di Sistema → Generali → Gestione dispositivo (su macOS 13 e 14: Privacy e sicurezza → Profili). Nella sezione Scaricati, fai doppio clic su Profilo di registrazione, fai clic su Registra (o Installa) e segui le istruzioni. Inserisci il nome e la password di un amministratore del Mac se richiesto. Dopo la registrazione, Profilo di registrazione è elencato nello stesso punto. In Terminale, profiles status -type enrollment mostra MDM enrollment: Yes (User Approved). I Mac registrati manualmente sono supervisionati e l'utente che installa il profilo viene mostrato nel pannello Utenti Mac della pagina del dispositivo. I Mac non ricevono l'app Cerberus Enterprise. Se il profilo non è più nella sezione Scaricati, scaricalo di nuovo. Installa solo profili di registrazione ottenuti dalla tua dashboard di Cerberus Enterprise. Automated Device Enrollment (ADE) di Apple Automated Device Enrollment (ADE) si integra con Apple Business (già Apple Business Manager) per registrare automaticamente gli iPhone, gli iPad e i Mac aziendali quando vengono accesi per la prima volta (o dopo un ripristino delle impostazioni di fabbrica). ADE richiede che Apple Management (APNs) sia configurato prima. Se necessario, leggi Configurazione di Apple Management (APNs). Come registrare automaticamente i dispositivi Aggiungi i dispositivi al tuo account Apple Business e assegnali al servizio di gestione dei dispositivi Cerberus Enterprise: in Apple Business, apri Dispositivi → Inventario, seleziona i dispositivi e fai clic su Assegna gestione dispositivo, oppure assegna automaticamente i nuovi dispositivi da Dispositivi → Servizi di gestione → Assegnazione dispositivo predefinita. Vedi Gestisci i fornitori di dispositivi e Aggiungi dispositivi con Apple Configurator. Dopo aver aggiunto nuovi dispositivi al tuo account Apple Business, sincronizzali in Cerberus Enterprise dalla sezione Dispositivi usando l'azione Sincronizza da Apple Business. I dispositivi sincronizzati usano una licenza solo quando vengono registrati. Crea un profilo ADE nella dashboard da Registrazione → Automated Device Enrollment (ADE) di Apple → Nuovo profilo ADE. Assegna un profilo ADE a un dispositivo dalla pagina dei dettagli del dispositivo usando il campo Profilo ADE. Dopo la registrazione, gli iPhone e gli iPad con iOS o iPadOS 18.4 o versioni successive ricevono l'app Cerberus Enterprise. I dispositivi registrati con ADE sono supervisionati, quindi l'app si installa senza chiedere all'utente; la configurazione non la attende. L'app deve trovarsi una volta nella tua libreria Apple Business (vedi Impostazioni account). I Mac non ricevono l'app. Impostazioni del profilo ADE (panoramica) Un profilo ADE controlla come viene registrato il dispositivo e come si comporta l'Assistente configurazione. In Cerberus Enterprise, un profilo ADE include un nome, una policy iniziale facoltativa, opzioni di registrazione, i riquadri dell'Assistente configurazione da saltare, i contatti per l'assistenza e i certificati attendibili. Nome del profilo Un nome leggibile per il profilo (ad esempio Profilo ADE predefinito). Policy La policy applicata ai dispositivi quando si registrano con Automated Device Enrollment (Assistente configurazione). I dispositivi del profilo registrati con l'URL di registrazione o il codice QR ricevono invece la policy del loro token di registrazione, oppure nessuna policy se non hanno un token. Modificare solo la policy lascia il profilo così com'è. Opzioni di registrazione MDM rimovibile: controlla se il payload MDM può essere rimosso dal dispositivo. Consenti abbinamento: controlla se l'abbinamento è consentito (deprecato da Apple in iOS 13). Avanzamento automatico della configurazione: fa avanzare automaticamente l'Assistente configurazione tra le sue schermate (Mac con macOS 11 o versioni successive e Apple TV). Attendi configurazione dispositivo: l'Assistente configurazione attende che venga applicata la policy del profilo ADE, così gli utenti iniziano con le sue app e impostazioni già presenti. Cerberus Enterprise poi lascia proseguire il dispositivo, al massimo 4 minuti dopo la registrazione. Obbligatorio: impedisce di saltare l'applicazione del profilo durante la configurazione. Multiutente (Shared iPad): configura il dispositivo per Shared iPad. Supervisionato: richiede la supervisione per il dispositivo. Assistente configurazione Reparto, Telefono dell'assistenza e Email dell'assistenza (facoltativi): inviati ad Apple con il profilo. Il dispositivo potrebbe non mostrarli. Riquadri da saltare: l'Assistente configurazione non mostra i riquadri selezionati (ad esempio Account Apple, Siri o Tempo di utilizzo). Ogni dispositivo mostra solo i riquadri del proprio sistema (alcuni, come FileVault o Documenti e scrivania iCloud, esistono solo sui Mac); Salta tutto e Mostra tutto li selezionano o deselezionano tutti. Apple TV: lingua e regione per Apple TV con avanzamento automatico della configurazione. Certificati attendibili: necessari solo se il server usa un certificato di cui i dispositivi non si fidano, ad esempio di una CA privata. Importa prima il certificato nella pagina Certificati. Elenco dei profili ADE L'elenco mostra il nome di ogni profilo, la sua policy, i suoi dispositivi e il suo Id, l'identificatore che Apple assegna al profilo. Un lucchetto dopo il nome indica un profilo obbligatorio la cui gestione gli utenti non possono rimuovere. Nessuna policy o Policy eliminata segnala che i dispositivi registrati con il profilo non ricevono una policy iniziale. La colonna Dispositivi conta i dispositivi registrati del profilo e, accanto, i dispositivi in attesa: assegnati al profilo in Apple Business ma non ancora registrati. I dispositivi rimossi non vengono conteggiati. Modificare un profilo Apple non consente di modificare un profilo ADE. Quando ne modifichi uno (tranne che per la sola policy), Cerberus Enterprise definisce un nuovo profilo con lo stesso nome e lo assegna ai dispositivi del vecchio; il vecchio profilo non è più elencato quando nessun dispositivo lo usa. I dispositivi che hanno già completato l'Assistente configurazione usano il nuovo profilo la prossima volta che vengono cancellati. Un profilo che nessun dispositivo usa, né registrato né in attesa, può essere eliminato dall'elenco dei profili ADE. Apple non consente di eliminare un profilo, quindi resta in Apple Business, inutilizzato. Dopo che a un dispositivo è stato assegnato un profilo ADE, è pronto per essere registrato automaticamente. Registrazione Apple basata sull'account Con la registrazione basata sull'account, gli utenti registrano il proprio iPhone, iPad o Mac accedendo con il loro account di lavoro (un Account Apple gestito, ad esempio name@company.com) nelle impostazioni del dispositivo. Nessun profilo da scaricare e nessun codice QR: Cerberus Enterprise trova l'utente, applica la policy e imposta la proprietà da solo. Due modalità Registrazione utente (dispositivi personali): vengono gestiti solo le app, gli account e i dati di lavoro, in un'area separata del dispositivo. Cerberus non può vedere i dati personali, cancellare il dispositivo, localizzarlo o leggere il suo numero di serie. Il dispositivo viene impostato come personale. Richiede iOS e iPadOS 15 o macOS 14 o versioni successive. Registrazione dispositivo (dispositivi aziendali non presenti in Apple Business): viene gestito l'intero dispositivo, come con una registrazione manuale. Un Mac registrato in questo modo è supervisionato; un iPhone o un iPad no. Il dispositivo viene impostato come aziendale. Richiede iOS e iPadOS 17.1 o macOS 14.1 o versioni successive. Scegli la modalità per iPhone e iPad e, separatamente, per Mac: ad esempio Registrazione utente per iPhone personali e Registrazione dispositivo per Mac. Puoi cambiare la proprietà di un dispositivo in seguito nella pagina del dispositivo. La registrazione basata sull'account è disponibile quando Apple Management (APNs) è configurato. Se non hai ancora completato la configurazione di APNs, leggi Configurazione di Apple Management (APNs). Configura Apple Business Gli utenti accedono con gli Account Apple gestiti, creati in Apple Business. Prima di iniziare: Verifica il tuo dominio (ad esempio company.com) in Apple Business, nei domini della tua organizzazione. Crea gli Account Apple gestiti dei tuoi utenti, oppure collega Apple Business a Google Workspace o Microsoft Entra ID: così l'account di ogni utente è il suo indirizzo email di lavoro e accede con la relativa password. Per la registrazione utente, verifica nelle impostazioni di gestione degli accessi che gli Account Apple gestiti possano accedere su dispositivi personali: quando possono accedere solo su dispositivi supervisionati, la registrazione utente non riesce. Solo per l'opzione Apple Business riportata di seguito: apri Dispositivi → Servizi di gestione → Assegnazione dispositivo predefinita (Modifica) e scegli il servizio di gestione dei dispositivi Cerberus Enterprise per iPhone, iPad e Mac. Mantieni il servizio di gestione dei dispositivi Cerberus Enterprise e il suo token in Apple Business mentre i dispositivi sono registrati con gli Account Apple gestiti: rimuoverli può impedire agli account di funzionare sui dispositivi. Configura Cerberus Enterprise Apri la sezione Registrazione della dashboard e seleziona la scheda Accesso con account Apple. Una checklist in alto mostra cosa manca ancora. Solo gli amministratori possono modificare le impostazioni. Consenti la registrazione accedendo con un account di lavoro: attiva o disattiva la registrazione basata sull'account per l'intera organizzazione. Domini: i domini degli account dei tuoi utenti (ad esempio company.com), fino a 20. Solo gli account di questi domini possono registrarsi, e solo dopo che il dominio è stato verificato (vedi sotto). iPhone e iPad e Mac: Disattivato, Registrazione utente o Registrazione dispositivo per ogni famiglia di dispositivi. Policy di ogni modalità: applicata ai dispositivi non appena si registrano. Senza una policy, i dispositivi si registrano senza. Una policy modificata si applica alle registrazioni successive. Utenti: Solo utenti esistenti (l'indirizzo email di un utente in Cerberus Enterprise deve corrispondere all'account digitato sul dispositivo), oppure Crea un utente per gli account dei domini che non ne hanno uno. L'account digitato sul dispositivo viene confrontato con il campo Account Apple gestito degli utenti, poi con il loro indirizzo email. Il codice viene sempre inviato all'indirizzo email dell'utente. Un Account Apple gestito impostato su un utente può registrarsi anche quando il suo dominio non è verificato in Cerberus, ad esempio un account del dominio riservato org.appleid.com di Apple Business. Con l'individuazione dei servizi di Apple Business gli utenti digitano sempre il proprio Account Apple gestito. Verifica i domini Dopo aver salvato le impostazioni, la sezione Verifica del dominio mostra un record TXT per ogni dominio. Aggiungilo al DNS del dominio, poi fai clic su Verifica. Le modifiche DNS possono richiedere un po' di tempo per diventare visibili. Un dominio verificato resta verificato: puoi rimuovere il record in seguito. Gli utenti di un dominio non verificato non possono registrarsi. Individuazione dei servizi: come i dispositivi trovano Cerberus Enterprise Quando un utente accede, il dispositivo chiede al dominio dell'account (ad esempio https://company.com) quale server lo gestisce. Configura almeno una di queste tre opzioni. La sezione Individuazione dei servizi della scheda mostra l'URL di individuazione della tua organizzazione e il testo esatto da copiare per ogni opzione. Opzione 1: Apple Business (consigliata) Fai clic su Registra in Apple Business: Cerberus Enterprise memorizza il suo URL di individuazione nella tua organizzazione Apple Business e non serve pubblicare nulla sui tuoi domini. Controlla in Apple Business mostra l'URL attualmente presente in Apple Business e Rimuovi da Apple Business lo rimuove. Richiede iOS e iPadOS 18.2 o macOS 15.2 o versioni successive. I dispositivi meno recenti necessitano dell'opzione 2 o 3. Richiede Apple Business collegato in Cerberus Enterprise (token del servizio Automated Device Enrollment) e l'assegnazione dispositivo predefinita descritta sopra. Il dispositivo interroga Apple Business solo quando il tuo dominio non risponde: l'indirizzo https://company.com/.well-known/com.apple.remotemanagement non deve esistere (un errore come "non trovato"). Se il tuo sito web risponde con una pagina web, i dispositivi si fermano lì. Usa Controlla configurazione per vedere cosa risponde. Apple Business mantiene un solo URL di individuazione per organizzazione: registrandolo, ogni Account Apple gestito dell'organizzazione viene inviato a questa organizzazione Cerberus Enterprise. Non registrarlo da due organizzazioni Cerberus Enterprise che usano la stessa organizzazione Apple Business. Opzione 2: Reindirizzamento dal tuo sito web Sul web server di ogni dominio, reindirizza /.well-known/com.apple.remotemanagement all'URL di individuazione della tua organizzazione, mantenendo la stringa di query (contiene l'account digitato dall'utente). Funziona con ogni versione del sistema operativo che supporta la registrazione basata sull'account e la modalità può essere diversa per iPhone e Mac. Copia dalla scheda il testo per Apache o nginx; assomiglia a questo, con la chiave della tua organizzazione: Apache (.htaccess o host virtuale): RewriteEngine On RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA] nginx: location = /.well-known/com.apple.remotemanagement { return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args; } Su altri web server o servizi (IIS, Cloudflare, pannelli di controllo dell'hosting), crea una regola di reindirizzamento (302) dallo stesso percorso all'URL di individuazione con l'opzione che mantiene o inoltra la stringa di query. Opzione 3: File statico sul tuo sito web Se non puoi aggiungere un reindirizzamento, pubblica un file all'indirizzo https://company.com/.well-known/com.apple.remotemanagement (senza estensione di file), servito con Content-Type: application/json. Copia il suo contenuto dalla scheda. Un file statico non può scegliere la modalità per dispositivo: usa la stessa modalità per iPhone, iPad e Mac. Per la registrazione utente assomiglia a questo: {"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]} e per la registrazione dispositivo: {"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]} La modalità del file deve essere anche la modalità impostata nella scheda per la famiglia di dispositivi, altrimenti la registrazione viene rifiutata. Controlla configurazione In Controlla configurazione, scegli un dominio e un dispositivo (iPhone o Mac) e fai clic su Controlla: Cerberus Enterprise chiede al dominio ciò che chiederebbe un dispositivo e mostra la risposta, ogni reindirizzamento e un verdetto. Il dominio che punta a Cerberus Enterprise significa che le opzioni 2 o 3 funzionano; una risposta di errore (come "non trovato") va bene per l'opzione 1; una pagina web o un file che punta altrove blocca i dispositivi. Il controllo avvisa anche quando un reindirizzamento perde la stringa di query o il file non viene servito come application/json. Chiave di registrazione Gli URL di individuazione e registrazione contengono una chiave della tua organizzazione. Se gli URL sono stati pubblicati per errore, fai clic su Rigenera chiave: i vecchi URL smettono subito di funzionare, quindi aggiorna i reindirizzamenti e i file statici sui tuoi siti web. Cerberus Enterprise registra da solo il nuovo URL in Apple Business quando viene usata l'opzione 1. Come si registrano gli utenti iPhone e iPad: apri Impostazioni → Generali → VPN e gestione dispositivo → Accedi all'account di lavoro o della scuola. Mac: Impostazioni di Sistema → Generali → Gestione dispositivo → Accedi (su macOS 14: Privacy e sicurezza → Profili → Accedi). Digita l'Account Apple gestito, oppure l'indirizzo email di lavoro dell'utente in Cerberus (ad esempio name@company.com). Quando l'Account Apple gestito dell'utente è diverso da quello digitato, il dispositivo chiede poi di accedere con quell'account. Si apre una pagina di Cerberus Enterprise: tocca Invia il codice, poi inserisci il codice di 6 cifre ricevuto via email. Il codice scade dopo 10 minuti; dopo 5 codici errati l'utente deve chiudere la pagina e accedere di nuovo. Accedi con la password dell'Account Apple gestito (o con la pagina di accesso dell'azienda quando Apple Business è collegato a Google Workspace o Microsoft Entra ID), poi consenti la gestione del dispositivo. Gli account che non possono registrarsi (dominio non verificato, nessun utente corrispondente quando gli utenti non vengono creati automaticamente, più utenti con lo stesso indirizzo email) vedono "Questo account non è configurato per la registrazione. Contatta il tuo amministratore IT." Gli eventi sono nei log di sistema della dashboard. Dopo la registrazione La pagina del dispositivo mostra l'Account Apple gestito usato per la registrazione e il tipo di registrazione (Registrazione utente o Registrazione dispositivo basata sull'account). Nell'elenco dei dispositivi, i dispositivi con Registrazione utente mostrano "Registrazione utente". Sui dispositivi con Registrazione utente, i comandi e le impostazioni della policy che Apple non consente (cancellazione, posizione, modalità smarrito, aggiornamenti del sistema operativo, molte restrizioni) non vengono offerti o non vengono inviati. Le app dell'App Store della policy usano una licenza utente anziché una licenza dispositivo (vedi App sui dispositivi personali di seguito). Sui dispositivi con Registrazione utente, i web clip compaiono nella schermata Home ma non sono elencati in Impostazioni → Generali → VPN e gestione dispositivo. Il certificato MDM di questi dispositivi non viene rinnovato automaticamente e Return to Service non è disponibile: prima che il certificato MDM scada (un anno dopo la registrazione, vedi la pagina del dispositivo), chiedi all'utente di registrare di nuovo il dispositivo. Per uscire dalla gestione, l'utente esce dall'account di lavoro nello stesso punto delle impostazioni, oppure annulla la registrazione del dispositivo da Cerberus Enterprise. Con la Registrazione utente vengono rimosse solo le app, gli account e i dati di lavoro; i dati personali restano. Un dispositivo che si registra di nuovo appare come un nuovo dispositivo. Subito dopo la registrazione, alcuni profili della policy (certificati, reti Wi-Fi, web clip) possono essere segnalati come non riusciti con un errore sconosciuto e il dispositivo può apparire come Non conforme per un po'. Il dispositivo li riprova da solo e si installano dopo un po', senza bisogno di alcuna azione. Non salvare di nuovo la policy né registrare di nuovo il dispositivo per questo. App sui dispositivi personali Gli iPhone e gli iPad registrati con la Registrazione utente non hanno un numero di serie, quindi Apps and Books non può assegnare loro una licenza dispositivo. Cerberus Enterprise assegna invece una licenza utente alle app dell'App Store della loro policy: la licenza va all'Account Apple gestito con cui è stato effettuato l'accesso sul dispositivo. Nulla cambia nella policy: la stessa policy serve dispositivi aziendali e personali e Cerberus sceglie il tipo di licenza per ogni dispositivo. Automatica: alla prima registrazione Cerberus registra l'Account Apple gestito in Apps and Books, poi chiede ad Apple una licenza per ogni app dell'App Store della policy. Anche le app gratuite necessitano di una licenza; Apple fornisce licenze illimitate. Un'app a pagamento usa una licenza per Account Apple gestito, condivisa da tutti i dispositivi personali di quell'account. Stessa organizzazione: gli Account Apple gestiti e il token Apps and Books di Cerberus Enterprise devono appartenere alla stessa organizzazione Apple Business, e le app devono essere nella libreria della sede del token. Prima la licenza: un'app viene inviata al dispositivo solo dopo che Apple conferma la sua licenza, di solito entro pochi minuti. Fino ad allora il pannello Applicazioni del dispositivo la mostra come In attesa di una licenza utente, con il motivo. Richiesta di installazione: i dispositivi personali non sono mai supervisionati, quindi iOS chiede all'utente prima di installare ogni app, inclusa l'app Cerberus Enterprise, che Cerberus installa anche su questi dispositivi (Installa o Annulla); non è necessario accedere con un Apple Account. Se l'utente annulla, l'app mostra In attesa dell'approvazione dell'installazione da parte dell'utente: usa Richiedi di nuovo nella pagina del dispositivo per mostrare di nuovo la richiesta. Le app installate come Obbligatorie non possono essere eliminate dall'utente. App installate prima della registrazione: Apple non consente all'organizzazione di rilevare un'app che l'utente ha installato personalmente su un dispositivo registrato con la Registrazione utente. Chiedi all'utente di eliminare la propria copia prima della registrazione, oppure eliminala e poi usa Richiedi di nuovo nella pagina del dispositivo: l'organizzazione installa quindi la copia gestita. Uscita dalla gestione: quando il dispositivo annulla la registrazione, iOS rimuove le app gestite e i loro dati. Una licenza viene rilasciata quando nessun altro dispositivo registrato dello stesso Account Apple gestito ne ha bisogno, ad esempio quando l'app esce dalla policy o l'ultimo dispositivo annulla la registrazione; le licenze di cui nessuno ha più bisogno vengono rilasciate dal controllo giornaliero entro un giorno. Quando Apple non riesce ad assegnare una licenza, ad esempio perché un'app a pagamento non ha più licenze disponibili, l'app mostra Licenza utente non riuscita con il messaggio di Apple. Aggiungi licenze in Apple Business, poi usa Richiedi di nuovo nella pagina del dispositivo; Cerberus riprova anche da solo al controllo giornaliero. La riga sopra l'elenco delle app mostra l'Account Apple gestito e lo stato del suo utente Apps and Books; lo stesso stato è nella pagina dell'utente. Le licenze utente vengono usate solo su iPhone e iPad: sui Mac registrati con la Registrazione utente, le app dell'App Store della policy non vengono installate. I libri e gli Account Apple personali non sono supportati. Panoramica delle policy La sezione Policy della dashboard (Dashboard → Policy) elenca tutte le policy del tuo account e ti consente di crearle, copiarle, modificarle ed eliminarle. Elenco delle policy Le policy sono visualizzate in una tabella. Facendo clic su una riga si apre l'editor della policy corrispondente. Colonne Nome: nome della policy. Piattaforma: la piattaforma della policy (Android o Apple). Mostrata solo quando sono configurati sia Android Management sia Apple Management. Dispositivi: numero di dispositivi registrati attualmente assegnati alla policy. I dispositivi con registrazione annullata non vengono conteggiati. Descrizione: descrizione della policy. Una descrizione lunga viene tagliata dopo due righe; puntala per leggere il testo completo. Ultima modifica: quando un amministratore ha creato, salvato o copiato la policy l'ultima volta. Vuoto per le policy non salvate da quando è stata introdotta questa colonna. Id: identificatore interno della policy. Per impostazione predefinita vengono mostrate per prime le policy modificate più di recente; seguono, per nome, le policy mai salvate da quando è stata introdotta la colonna Ultima modifica. Fai clic sull'intestazione di una colonna per ordinare in base a quella colonna. Filtri e ricerca Se sono configurati sia Android Management sia Apple Management, puoi filtrare l'elenco per Tutti, Android o Apple. Puoi attivare Cerca e cercare per nome o descrizione della policy. Aggiornamento e paginazione Usa l'azione di aggiornamento per ricaricare l'elenco. La tabella è paginata (10/25/50 elementi per pagina). Creare una nuova policy In fondo alla pagina Policy puoi creare una nuova policy. A seconda della piattaforma configurata nel tuo account, potresti vedere una o entrambe queste azioni: Crea nuova policy Android Crea nuova Apple policy Se la licenza è scaduta, la creazione delle policy (e le altre azioni di scrittura) è disabilitata. Copiare ed eliminare le policy Ogni riga della policy ha un menu azioni che include Copia policy e Elimina policy. Avvisi sull'eliminazione della policy Quando elimini una policy, la dashboard può mostrare avvisi aggiuntivi a seconda di come viene usata la policy. Se la policy è assegnata a dispositivi registrati, eliminandola annullerai la registrazione dei dispositivi associati e cancellerai le loro app e i loro dati. Se la policy è assegnata a token di registrazione, quei token potrebbero non riuscire più a completare la registrazione. Se la policy è impostata come predefinita per la registrazione con Google Authentication (globalmente o per alcuni utenti), eliminarla può causare il fallimento delle registrazioni. Eliminare più policy L'elenco delle policy supporta la selezione multipla per l'eliminazione in blocco. In modalità di selezione multipla, puoi selezionare più policy ed eliminarle con un'unica azione. L'eliminazione in blocco è attiva solo quando tutte le policy selezionate appartengono alla stessa piattaforma (tutte Android o tutte Apple). Prossimo passo: modificare le impostazioni della policy L'elenco delle policy è il punto di partenza. Per configurare le impostazioni della policy, usa la documentazione dell'editor appropriata: Policy → Android e Policy → Apple. Le policy a cui fanno riferimento i token di registrazione vengono applicate automaticamente durante la registrazione del dispositivo. Policy - Android Riepilogo Le policy Android sono le entità principali del sistema: definiscono le regole applicate e fatte rispettare sui dispositivi gestiti. Puoi sfogliare le tue policy e crearne di nuove dalla sezione Policy della dashboard. Per aprire una policy Android, fai clic sulla riga della policy nella tabella: il sistema apre la pagina Editor delle policy. Una policy può essere associata a un token di registrazione, così verrà applicata automaticamente ai dispositivi durante il processo di provisioning. Puoi anche cambiare la policy assegnata a un dispositivo dopo il provisioning. Ogni dispositivo può essere associato a una sola policy alla volta. Molte opzioni della policy si applicano solo a tipi specifici di dispositivi (completamente gestiti, dedicati, profilo di lavoro) e versioni di Android. Le impostazioni non supportate possono essere ignorate dal dispositivo o segnalate come non conformi. Layout dell'Editor delle policy L'Editor delle policy è organizzato in una serie di sezioni espandibili. In cima alla pagina puoi sempre modificare: Nome (obbligatorio) Id (sola lettura) Descrizione (facoltativa) Le sezioni seguenti corrispondono ai pannelli del Policy Editor (ad esempio: Gestione app, Sicurezza, Rete, Sistema, Utilizzo personale, Policy tra profili e altro). Quando apri una policy salvata, le sezioni con impostazioni modificate sono già aperte e le altre restano chiuse. Usa le pagine dei capitoli di questo manuale per comprendere in dettaglio ogni pannello. Salvataggio, eliminazione e dispositivi associati Usa Salva policy per applicare le modifiche. Il pulsante è disattivato quando non ci sono modifiche in sospeso o quando la licenza è scaduta. Se hai aperto una policy esistente (con un Id), la pagina mostra un'azione Elimina policy e un elenco Dispositivi associati in fondo, così puoi vedere quanti dispositivi stanno attualmente usando la policy. Gestione app In questa sezione puoi impostare policy relative alla disponibilità delle app, all'installazione, agli aggiornamenti e alla gestione delle autorizzazioni. Gli account Managed Google Play vengono creati automaticamente quando i dispositivi vengono sottoposti a provisioning.   1. Modalità Play Store Questa modalità controlla quali app sono disponibili per l'utente nel Play Store e il comportamento del dispositivo quando le app vengono rimosse dalla policy. Whitelist (predefinita): sono disponibili solo le app presenti nella policy e qualsiasi app non presente viene automaticamente disinstallata dal dispositivo. Il Play Store mostrerà solo le app disponibili. Blacklist: tutte le app sono disponibili e qualsiasi app che non deve essere sul dispositivo va contrassegnata esplicitamente come bloccata nella policy delle applicazioni. Il Play Store mostrerà tutte le app, tranne quelle bloccate.   2. Policy delle app non attendibili La policy per le app non attendibili (app provenienti da origini sconosciute) applicata sul dispositivo. Questa opzione controlla l'impostazione di sistema Android che determina se un utente può installare app al di fuori del Play Store (sideloading). Non consentire (predefinito): non consentire l'installazione di app non attendibili sull'intero dispositivo. Solo profilo personale: per i dispositivi con profili di lavoro, consenti l'installazione di app non attendibili solo nel profilo personale del dispositivo. Consenti: consenti l'installazione di app non attendibili sull'intero dispositivo.   3. Google Play Protect Indica se la verifica delle app di Google Play Protect è applicata. Applicata (predefinita): abilita forzatamente la verifica delle app. Scelta dell'utente: consente all'utente di scegliere se abilitare la verifica delle app.   4. Policy delle autorizzazioni predefinita La policy per concedere alle app le richieste di autorizzazione a runtime. Richiedi (predefinito): chiedi all'utente di concedere un'autorizzazione. Concedi: concedi automaticamente un'autorizzazione. Nega: nega automaticamente un'autorizzazione.   5. Funzioni delle app Controlla se le app sui dispositivi completamente gestiti o nei profili di lavoro possono esporre le funzioni delle app. Richiede Android 16 o versioni successive. Consentite (predefinito): le app sui dispositivi completamente gestiti o nei profili di lavoro possono esporre le funzioni delle app. Non consentite: le app sui dispositivi completamente gestiti o nei profili di lavoro non possono esporre le funzioni delle app.   6. Installazione delle app disabilitata Indica se l'installazione delle app da parte dell'utente è disabilitata.   7. Disinstallazione delle app disabilitata Indica se la disinstallazione delle applicazioni da parte dell'utente è disabilitata.   8. Policy delle autorizzazioni Concessioni o dinieghi espliciti di autorizzazioni o gruppi per tutte le app. Questi valori hanno la precedenza sull'impostazione Policy delle autorizzazioni predefinita. Usa Aggiungi policy delle autorizzazioni per creare voci e rimuoverle con l'azione di eliminazione. Ogni voce include: Autorizzazione/gruppo Android: l'autorizzazione o il gruppo Android (obbligatorio), ad esempio android.permission.READ_CALENDAR o android.permission_group.CALENDAR. Policy: Concedi / Nega / Richiedi (usa le stesse opzioni della Policy delle autorizzazioni predefinita).   9. Applicazioni Elenco delle applicazioni che devono essere incluse nella policy. Il comportamento del contenuto dell'elenco dipende dal valore impostato in Modalità Play Store. Se Modalità Play Store è impostata su whitelist, sono disponibili solo le app presenti nella policy e qualsiasi app non presente viene automaticamente disinstallata dal dispositivo. Se Modalità Play Store è impostata su blacklist, tutte le app sono disponibili e qualsiasi app che non deve essere sul dispositivo va contrassegnata esplicitamente come bloccata nella policy delle applicazioni. Per aggiungere una nuova app, fai clic sul pulsante Aggiungi applicazioni (o sull'icona Aggiungi applicazioni), seleziona Da Managed Google Play, quindi scegli l'app dal Play Store e fai clic sul pulsante Seleziona nella scheda dell'app. Per aggiungere un'app non pubblicata su Google Play ma già presente sul dispositivo (ad esempio un'app di sistema o del produttore), fai clic su Aggiungi applicazioni, seleziona Per nome del pacchetto (app preinstallate), digita il nome del pacchetto dell'app (ad es. com.example.app) e fai clic su Aggiungi.L'app viene aggiunta con il tipo di installazione Installazione forzata. Per mostrare l'app nel launcher personalizzato kiosk, il suo Tipo di installazione deve essere Preinstallata o Installazione forzata: con Disponibile l'app non viene mostrata. Le app non disponibili in Managed Google Play sono contrassegnate da un'icona Android nell'elenco delle applicazioni. Non possono essere installate da Google Play, quindi devono essere già presenti sul dispositivo: i dispositivi che non hanno l'app non possono installarla. Tutte le app pubblicate sul Play Store nel tuo Paese sono disponibili per la selezione per impostazione predefinita. Per selezionare le tue app private o web, devi prima caricarle nel sistema. Per maggiori informazioni, leggi la pagina App private. Ogni app può essere configurata con le proprie impostazioni, raccolte visivamente in una scheda: 9.1. Tipo di installazione Il tipo di installazione da eseguire per un'app. Disponibile: l'app è disponibile per l'installazione. Preinstallata: l'app viene installata automaticamente e può essere rimossa dall'utente. Installazione forzata: l'app viene installata automaticamente e non può essere rimossa dall'utente. Bloccata: l'app è bloccata e non può essere installata. Se l'app era installata con una policy precedente, verrà disinstallata. Richiesta per la configurazione: l'app viene installata automaticamente, non può essere rimossa dall'utente e impedisce il completamento della configurazione finché l'installazione non è terminata. Kiosk: l'app viene installata automaticamente in modalità kiosk: è impostata come intent home preferito e inserita nella whitelist per la modalità lock task. La configurazione del dispositivo non sarà completata finché l'app non è installata. Dopo l'installazione, gli utenti non potranno rimuovere l'app. Puoi impostare questo tipo di installazione per una sola app per policy. Quando è presente nella policy, la barra di stato viene disabilitata automaticamente. Per maggiori informazioni, leggi la pagina dedicata Modalità kiosk. 9.2. Vincoli di installazione Definisce una serie di restrizioni per l'installazione dell'app. Quando sono selezionati più vincoli, devono essere soddisfatti tutti perché l'app venga installata. Questa opzione viene mostrata solo quando il Tipo di installazione è Preinstallata o Installazione forzata. Rete senza limiti di traffico: installa l'app solo quando il dispositivo è connesso a una rete senza limiti di traffico (ad es. Wi‑Fi). In carica: installa l'app solo quando il dispositivo è in carica. Inattivo: installa l'app solo quando il dispositivo è inattivo. 9.3. Modalità di aggiornamento automatico Controlla la modalità di aggiornamento automatico per l'app. Predefinita: l'app viene aggiornata automaticamente con bassa priorità per ridurre al minimo l'impatto sull'utente. L'app viene aggiornata quando sono soddisfatti tutti i seguenti vincoli: (1) il dispositivo non è in uso attivo, (2) il dispositivo è connesso a una rete senza limiti di traffico, (3) il dispositivo è in carica. Il dispositivo riceve la notifica di un nuovo aggiornamento entro 24 ore dalla sua pubblicazione da parte dello sviluppatore, dopodiché l'app viene aggiornata la volta successiva in cui i vincoli sopra indicati sono soddisfatti. Posticipata: l'app non viene aggiornata automaticamente per un massimo di 90 giorni da quando diventa obsoleta. Trascorsi 90 giorni da quando l'app diventa obsoleta, la versione più recente disponibile viene installata automaticamente con bassa priorità (vedi la modalità di aggiornamento automatico Predefinita ). Dopo l'aggiornamento, l'app non viene più aggiornata automaticamente fino a 90 giorni da quando diventa nuovamente obsoleta. L'utente può comunque aggiornare manualmente l'app dal Play Store in qualsiasi momento. Alta priorità: l'app viene aggiornata il prima possibile. Non vengono applicati vincoli. Il dispositivo riceve immediatamente la notifica di un nuovo aggiornamento non appena diventa disponibile. 9.4. Codice versione minimo La versione minima dell'app che viene eseguita sul dispositivo. Se impostata, il dispositivo tenta di aggiornare l'app almeno a questo codice versione. Se l'app non è aggiornata, il dispositivo conterrà un dettaglio di non conformità con motivo di non conformità impostato su APP_NOT_UPDATED. L'app deve essere già pubblicata su Google Play con un codice versione maggiore o uguale a questo valore. Al massimo 20 app possono specificare un codice versione minimo per policy. 9.5. Ambiti delegati Gli ambiti delegati all'app da Android Device Policy. Puoi concedere ad altre app una selezione di autorizzazioni Android speciali: Installazione dei certificati: concede l'accesso all'installazione e alla gestione dei certificati. Configurazioni gestite: concede l'accesso alla gestione delle configurazioni gestite. Blocco disinstallazione: concede l'accesso al blocco della disinstallazione. Autorizzazioni: concede l'accesso alla policy delle autorizzazioni e allo stato di concessione delle autorizzazioni. Accesso ai pacchetti: concede l'accesso allo stato di accesso ai pacchetti. App di sistema: concede l'accesso per abilitare le app di sistema. 9.6. Rete preferenziale Il servizio di rete preferenziale da usare per questa app. Se impostato, l'app utilizzerà la slice di rete aziendale specificata per le sue connessioni, quando disponibile. Deve corrispondere a una slice di rete configurata nella sezione Configurazione del network slicing 5G del pannello Cellulare. 9.7. Policy delle autorizzazioni predefinita La policy predefinita per tutte le autorizzazioni richieste dall'app. Se specificata, sostituisce la Policy delle autorizzazioni predefinita a livello di policy che si applica a tutte le app. Non sostituisce le Policy delle autorizzazioni che si applicano a tutte le app. Richiedi (predefinito): chiedi all'utente di concedere un'autorizzazione. Concedi: concedi automaticamente un'autorizzazione. Nega: nega automaticamente un'autorizzazione. 9.8. App connessa tra lavoro e personale Controlla se l'app può comunicare con se stessa tra i profili di lavoro e personale di un dispositivo, previo consenso dell'utente (Android 11+). Non consentito (predefinito): impedisce all'app di comunicare tra profili. Consentito: consente all'app di comunicare tra profili dopo aver ricevuto il consenso dell'utente. 9.9. Esenzione dal blocco VPN Always On Specifica se all'app è consentito l'accesso alla rete quando la VPN non è connessa e blocco abilitato è attivo. Supportato solo su dispositivi con Android 10 o versioni successive. Applicata (predefinita): l'app rispetta l'impostazione di blocco della VPN always-on. Esente: l'app è esente dall'impostazione di blocco della VPN always-on. 9.10. Widget del profilo di lavoro Specifica se l'app installata nel profilo di lavoro può aggiungere widget alla schermata Home. Consentito: l'applicazione può aggiungere widget alla schermata Home. Non consentito: l'applicazione non può aggiungere widget alla schermata Home. 9.11. Impostazioni di controllo utente Specifica se il controllo utente è consentito per una determinata app. Il controllo utente include azioni dell'utente come l'arresto forzato e la cancellazione dei dati dell'app (Android 11+). Se extensionConfig è abilitato per un'app, il controllo utente non è consentito indipendentemente da questa impostazione. Per le app kiosk, puoi usare Consentito per consentire il controllo utente. Non specificato: usa il comportamento predefinito dell'app per determinare se il controllo utente è consentito o meno. Consentito: il controllo utente è consentito per l'app. Non consentito: il controllo utente non è consentito per l'app. 9.12. Disabilitata Indica se l'app è disabilitata. Quando è disabilitata, i dati dell'app vengono comunque conservati. 9.13. Consenti provider di credenziali Indica se all'app è consentito agire come provider di credenziali su Android 14 e versioni successive. 9.14. Configurazione gestita Per configurare le impostazioni gestite dell'app, fai clic sul pulsante Abilita configurazione gestita. Se per l'app è già impostata una configurazione gestita, puoi modificarla con il pulsante Configurazione gestita oppure eliminarla con il pulsante Rimuovi configurazione. L'opzione Configurazione gestita è disponibile solo per le app che supportano questa funzionalità. 9.15. Policy delle autorizzazioni Concessioni o dinieghi espliciti delle autorizzazioni per l'app. Questi valori hanno la precedenza sulla Policy delle autorizzazioni predefinita e sulle Policy delle autorizzazioni che si applicano a tutte le app. Usa Aggiungi policy delle autorizzazioni per aggiungere una o più regole di autorizzazione per la scheda dell'app e rimuoverle con l'azione di eliminazione. 9.16. ID delle tracce Elenco degli ID delle tracce di test chiuso dell'app a cui un dispositivo può accedere. Se sono selezionati più ID traccia, i dispositivi ricevono la versione più recente tra tutte le tracce accessibili. Se non è selezionato alcun ID traccia, i dispositivi hanno accesso solo alla traccia di produzione dell'app. L'opzione ID delle tracce è disponibile solo per le app che hanno almeno un ID traccia disponibile per la tua organizzazione. Per maggiori dettagli su come aggiungere la tua organizzazione a una traccia di test chiuso per un'app specifica, leggi qui.   10. Impostazioni delle applicazioni predefinite Imposta le app predefinite per i tipi supportati. Quando è impostata un'app predefinita per almeno un tipo, agli utenti viene impedito di modificare le app predefinite in quel profilo. È consentita una sola impostazione di applicazione predefinita per Tipo di applicazione predefinita. L'elenco delle applicazioni predefinite non deve contenere duplicati. 10.1. Tipo di applicazione predefinita Seleziona la categoria di app da configurare (ad esempio Browser, Telefono, SMS, Wallet o Assistente). La disponibilità dipende dalla versione di Android e dalla modalità di gestione. 10.2. Ambiti delle applicazioni predefinite Seleziona dove deve essere applicata l'app predefinita (Completamente gestito, Profilo di lavoro o Profilo personale). È possibile scegliere solo gli ambiti supportati dal tipo selezionato. Se nessuno degli ambiti selezionati è applicabile alla modalità di gestione del dispositivo, il dispositivo segnala un dettaglio di non‑conformità. 10.3. Applicazioni predefinite Elenco delle app che possono essere impostate come predefinite per il tipo selezionato. La prima app installata e idonea viene impostata come predefinita. Se gli ambiti includono Completamente gestito o Profilo di lavoro, ogni app deve essere presente anche nell'elenco Applicazioni con Tipo di installazione diverso da Bloccata.   11. Selezione della chiave privata Consente di mostrare sul dispositivo un'interfaccia per far scegliere all'utente un alias di chiave privata se non ci sono regole corrispondenti in Scegli le regole della chiave privata. Per i dispositivi con versioni precedenti ad Android P, impostare questa opzione può rendere vulnerabili le chiavi aziendali.   12. Scegli le regole della chiave privata Controlla l'accesso delle app alle chiavi private. La regola determina quale chiave privata, se presente, Android Device Policy concede all'app specificata. L'accesso viene concesso quando l'app chiama KeyChain.choosePrivateKeyAlias (o qualsiasi overload) per richiedere un alias di chiave privata per un determinato URL, oppure, per le regole non specifiche per URL (cioè se urlPattern non è impostato, o è impostato sulla stringa vuota o su .*), su Android 11 e versioni successive, direttamente, così che l'app possa chiamare KeyChain.getPrivateKey senza dover prima chiamare KeyChain.choosePrivateKeyAlias. Quando un'app chiama KeyChain.choosePrivateKeyAlias e più di una choosePrivateKeyRules corrisponde, l'ultima regola corrispondente definisce quale alias di chiave restituire. Usa Aggiungi regola chiave privata per creare voci e rimuoverle con l'azione di eliminazione. 12.1. Alias della chiave privata L'alias della chiave privata da usare. 12.2. Pattern URL Il pattern URL da confrontare con l'URL della richiesta. Se non impostato o vuoto, corrisponde a tutti gli URL. Usa la sintassi delle espressioni regolari di java.util.regex.Pattern. 12.3. Nomi dei pacchetti I nomi dei pacchetti a cui si applica questa regola. L'hash del certificato di firma di ogni app viene verificato rispetto all'hash fornito da Play. Se non viene specificato alcun nome di pacchetto, l'alias viene fornito a tutte le app che chiamano KeyChain.choosePrivateKeyAlias o qualsiasi overload (ma non senza chiamare KeyChain.choosePrivateKeyAlias, anche su Android 11 e versioni successive). Qualsiasi app con lo stesso UID Android di un pacchetto specificato qui avrà accesso quando chiama KeyChain.choosePrivateKeyAlias. Usa Aggiungi nome del pacchetto per aggiungere voci e rimuoverle con l'azione di eliminazione.   Per eliminare un'app, fai clic sull'icona del cestino, in fondo alla scheda dell'app.     Modalità chiosco Con la modalità chiosco puoi limitare le funzionalità di un dispositivo a una singola app o a più app. La scelta tra modalità chiosco con app singola e con più app dipende dai tuoi obiettivi aziendali. Nella modalità chiosco con app singola, un dispositivo viene configurato per una singola applicazione e non consente agli utenti finali di accedere ad altre app sul dispositivo. Inoltre non possono uscire dall'app, rendendolo un dispositivo dedicato a quell'app specifica. Per abilitare questa modalità, specifica un'app nella sezione Gestione app con Tipo di installazione impostato su Chiosco. Nella modalità chiosco con più app, i dispositivi possono accedere a più applicazioni. Gli utenti finali possono passare da un'app all'altra tramite un launcher personalizzato. Per abilitare questa modalità, attiva l'opzione Launcher personalizzato per chiosco. Quando la modalità chiosco è abilitata, puoi anche configurare se gli utenti finali possono accedere a determinate funzionalità di sistema, come le impostazioni di sistema e la barra di stato.   Launcher personalizzato per chiosco Indica se il launcher personalizzato per chiosco è abilitato. Sostituisce la schermata Home con un launcher che blocca il dispositivo sulle app installate tramite l'impostazione Gestione app. Le app compaiono su un'unica pagina in ordine alfabetico.   Azioni del pulsante di accensione Imposta il comportamento di un dispositivo in modalità chiosco quando un utente tiene premuto (premere a lungo) il pulsante di accensione. Disponibile (predefinito): Il menu di accensione (ad es. Spegni, Riavvia) viene mostrato quando un utente tiene premuto il pulsante di accensione di un dispositivo in modalità chiosco. Bloccato: Il menu di accensione (ad es. Spegni, Riavvia) non viene mostrato quando un utente tiene premuto il pulsante di accensione di un dispositivo in modalità chiosco. Nota: questo potrebbe impedire agli utenti di spegnere il dispositivo.   Avvisi di errore di sistema Specifica se le finestre di errore di sistema per le app bloccate o che non rispondono vengono bloccate in modalità chiosco. Quando sono bloccate, il sistema forza l'arresto dell'app come se l'utente scegliesse l'opzione "chiudi app" nell'interfaccia. Bloccato (predefinito): Tutte le finestre di errore di sistema, come arresti anomali e app che non risponde (ANR), vengono bloccate. Quando sono bloccate, il sistema forza l'arresto dell'app come se l'utente la chiudesse dall'interfaccia. Attivato: Tutte le finestre di errore di sistema, come arresti anomali e app che non risponde (ANR), vengono visualizzate. Navigazione di sistema Specifica quali funzionalità di navigazione sono abilitate (ad es. pulsanti Home e Panoramica) in modalità chiosco. Disattivato (predefinito): I pulsanti Home e Panoramica non sono accessibili. Solo Home: È abilitato solo il pulsante Home. Attivato: I pulsanti Home e Panoramica sono abilitati.   Barra di stato Specifica se le informazioni di sistema e le notifiche sono disattivate in modalità chiosco. Disattivato (predefinito): Le informazioni di sistema e le notifiche sono disattivate in modalità chiosco. Solo sistema: Sulla barra di stato vengono mostrate solo le informazioni di sistema. Attivato: Le informazioni di sistema e le notifiche vengono mostrate sulla barra di stato in modalità chiosco. Nota: perché questa policy abbia effetto, il pulsante Home del dispositivo deve essere abilitato tramite kioskCustomization.systemNavigation.   Impostazioni del dispositivo Specifica se l'app Impostazioni è consentita in modalità chiosco. Consentito (predefinito): L'accesso all'app Impostazioni è consentito in modalità chiosco. Bloccato: L'accesso all'app Impostazioni non è consentito in modalità chiosco. Sicurezza In questa sezione puoi configurare le policy relative alla sicurezza.   Azioni per i rischi di sicurezza Scegli cosa fare quando un dispositivo segnala un SecurityRisk nei rapporti di stato.   Tipi di SecurityRisk supportati: Sistema operativo sconosciuto: Play Integrity API rileva che il dispositivo esegue un sistema operativo sconosciuto (il controllo basicIntegrity riesce ma ctsProfileMatch fallisce). Sistema operativo compromesso: Play Integrity API rileva che il dispositivo esegue un sistema operativo compromesso (il controllo basicIntegrity fallisce). Valutazione hardware non riuscita: Play Integrity API rileva che il dispositivo non offre una garanzia forte dell'integrità del sistema, se l'etichetta MEETS_STRONG_INTEGRITY non compare nel campo relativo all'integrità del dispositivo.   Azioni disponibili: Cancella i dati aziendali (predefinito): annulla la registrazione e cancella i dati di lavoro (l'intero dispositivo se completamente gestito, o solo il profilo di lavoro per i dispositivi con profilo). Nessuna azione: lascia il dispositivo registrato e non fare nulla automaticamente.   Quando selezioni Cancella i dati aziendali, puoi anche configurare le opzioni di cancellazione: Mantieni la protezione dopo il ripristino di fabbrica: conserva i dati della protezione dopo il ripristino di fabbrica (FRP) durante la cancellazione del dispositivo. Cancella archiviazione esterna: cancella inoltre l'archiviazione esterna del dispositivo (come le schede SD) durante l'esecuzione della cancellazione. Cancella eSIM: per i dispositivi aziendali, rimuove tutte le eSIM dal dispositivo quando il dispositivo viene cancellato. Nei dispositivi di proprietà personale, rimuove le eSIM gestite (eSIM aggiunte tramite il comando ADD_ESIM) sul dispositivo e nessuna eSIM di proprietà personale verrà rimossa.   1. Tempo massimo prima del blocco Tempo massimo (in secondi) di attività dell'utente prima del blocco del dispositivo. Un valore di 0 indica che non esiste alcuna restrizione.   2. Rimani attivo durante la ricarica Le modalità di alimentazione con batteria collegata in cui il dispositivo rimane attivo. Quando usi questa impostazione, si consiglia di svuotare Tempo massimo prima del blocco in modo che il dispositivo non si blocchi mentre rimane attivo. Alimentatore CA: la fonte di alimentazione è un alimentatore CA. Porta USB: la fonte di alimentazione è una porta USB. Caricatore wireless: la fonte di alimentazione è wireless.   3. Blocco schermo disattivato Se impostato su true, disattiva la schermata di blocco per i display principale e/o secondario. Questa policy è supportata solo in modalità di gestione dispositivo dedicata.   4. Requisiti della password Policy sui requisiti della password. Usa Configura i requisiti della password per aggiungere uno o più blocchi di requisiti della password. Usa Cancella tutto per rimuovere tutti i requisiti della password configurati. I requisiti della password possono usare l'ambito Auto (requisito singolo) o ambiti separati Dispositivo/Profilo di lavoro. I requisiti basati sulla complessità devono essere abbinati a requisiti basati sulla qualità per lo stesso ambito. 4.1. Ambito L'ambito a cui si applica il requisito della password. Auto: l'ambito non è specificato. I requisiti della password vengono applicati al profilo di lavoro per i dispositivi con profilo di lavoro e all'intero dispositivo per i dispositivi completamente gestiti o dedicati. Dispositivo: i requisiti della password vengono applicati solo al dispositivo. Profilo di lavoro: i requisiti della password vengono applicati solo al profilo di lavoro. 4.2. Lunghezza cronologia password La lunghezza della cronologia delle password. Dopo aver impostato questo campo, l'utente non potrà inserire una nuova password uguale a una qualsiasi password della cronologia. Un valore di 0 indica che non esiste alcuna restrizione. 4.3. Max password non riuscite prima della cancellazione Numero di password di sblocco del dispositivo errate che possono essere inserite prima che il dispositivo venga cancellato. Un valore di 0 indica che non esiste alcuna restrizione. 4.4. Scadenza password (giorni) Questa impostazione obbliga l'utente ad aggiornare periodicamente la password dopo il numero di giorni specificato. 4.5. Richiedi sblocco con password Il tempo dopo lo sblocco di un dispositivo o profilo di lavoro con una forma di autenticazione forte (password, PIN, sequenza) durante il quale è possibile sbloccarlo con qualsiasi altro metodo di autenticazione (ad es. impronta digitale, agenti attendibili, volto). Trascorso il periodo di tempo specificato, per sbloccare il dispositivo o il profilo di lavoro è possibile usare solo forme di autenticazione forti. Predefinito del dispositivo: il periodo di timeout è impostato sul valore predefinito del dispositivo. Ogni giorno: il periodo di timeout è impostato a 24 ore. 4.6. Qualità della password La qualità della password richiesta. Complessità elevata: definisce la fascia di complessità elevata della password come segue: su Android 12 e versioni successive: PIN senza sequenze ripetute (4444) o ordinate (1234, 4321, 2468), lunghezza minima 8; alfabetica, lunghezza minima 6; alfanumerica, lunghezza minima 6. Complessità media: definisce la fascia di complessità media della password come segue: PIN senza sequenze ripetute (4444) o ordinate (1234, 4321, 2468), lunghezza minima 4; alfabetica, lunghezza minima 4; alfanumerica, lunghezza minima 4. Complessità bassa: definisce la fascia di complessità bassa della password come segue: sequenza; PIN con sequenze ripetute (4444) o ordinate (1234, 4321, 2468). Nessuna: non sono previsti requisiti della password. Debole: il dispositivo deve essere protetto almeno con una tecnologia di riconoscimento biometrico a bassa sicurezza. Ciò include tecnologie in grado di riconoscere l'identità di un individuo approssimativamente equivalenti a un PIN di 3 cifre (rilevamento errato inferiore a 1 su 1.000). Qualsiasi: è richiesta una password, ma non ci sono restrizioni su ciò che deve contenere. Numerica: la password deve contenere caratteri numerici. Numerica complessa: la password deve contenere caratteri numerici senza sequenze ripetute (4444) o ordinate (1234, 4321, 2468). Alfabetica: la password deve contenere caratteri alfabetici (o simboli). Alfanumerica: la password deve contenere sia caratteri numerici sia caratteri alfabetici (o simboli). Complessa: la password deve soddisfare i requisiti minimi specificati in passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols ecc. Ad esempio, se passwordMinimumSymbols è 2, la password deve contenere almeno due simboli. 4.7. Lunghezza minima La lunghezza minima consentita della password. Un valore di 0 indica che non esiste alcuna restrizione. 4.8. Lettere minime Numero minimo di lettere richieste nella password. 4.9. Lettere minuscole minime Numero minimo di lettere minuscole richieste nella password. 4.10. Lettere maiuscole minime Numero minimo di lettere maiuscole richieste nella password. 4.11. Caratteri non alfabetici minimi Numero minimo di caratteri non alfabetici (cifre numeriche o simboli) richiesti nella password. 4.12. Cifre numeriche minime Numero minimo di cifre numeriche richieste nella password. 4.13. Simboli minimi Numero minimo di simboli richiesti nella password. 4.14. Blocco unificato Controlla se è consentito un blocco unificato per il dispositivo e il profilo di lavoro, sui dispositivi con Android 9 e versioni successive e con un profilo di lavoro. Non ha alcun effetto sugli altri dispositivi. Consenti blocco unificato: è consentito un blocco comune per il dispositivo e il profilo di lavoro. Richiedi blocco di lavoro separato: è richiesto un blocco separato per il profilo di lavoro.   5. Ripristino di fabbrica disattivato Indica se il ripristino di fabbrica dalle impostazioni è disattivato. Si applica solo ai dispositivi completamente gestiti.   6. Protezione dal ripristino di fabbrica Indirizzi email degli amministratori del dispositivo per la protezione dal ripristino di fabbrica. Quando il dispositivo subisce un ripristino di fabbrica non autorizzato, richiederà a uno di questi amministratori di accedere con l'email e la password dell'account Google per sbloccare il dispositivo. Se non viene specificato alcun amministratore, il dispositivo non fornirà la protezione dal ripristino di fabbrica. Si applica solo ai dispositivi completamente gestiti. Email degli amministratori: usa Abilita la protezione dal ripristino di fabbrica per iniziare a configurare gli amministratori. Poi usa Aggiungi email amministratore per aggiungere indirizzi e rimuoverli con l'azione di eliminazione.   7. Funzionalità del blocco schermo Funzionalità del blocco schermo (schermata di blocco) che possono essere disattivate. 7.1. Disattiva tutto Disattiva tutte le personalizzazioni attuali e future del blocco schermo. 7.2. Disattiva fotocamera Disattiva la fotocamera sulle schermate di blocco protette (ad es. PIN). 7.3. Disattiva notifiche Disattiva la visualizzazione di tutte le notifiche sulle schermate di blocco protette. 7.4. Disattiva notifiche non oscurate Disattiva le notifiche non oscurate sulle schermate di blocco protette. 7.5. Ignora stato dell'agente attendibile Ignora lo stato dell'agente attendibile sulle schermate di blocco protette. 7.6. Disattiva impronta digitale Disattiva il sensore di impronte digitali sulle schermate di blocco protette. 7.7. Disattiva l'inserimento di testo nelle notifiche Disattiva l'inserimento di testo nelle notifiche sulle schermate di blocco protette. 7.8. Disattiva autenticazione con volto Disattiva l'autenticazione con il volto sulle schermate di blocco protette. 7.9. Disattiva autenticazione con iride Disattiva l'autenticazione con l'iride sulle schermate di blocco protette. 7.10. Disattiva tutta l'autenticazione biometrica Disattiva tutta l'autenticazione biometrica sulle schermate di blocco protette. 7.11. Disattiva tutte le scorciatoie Disattiva tutte le scorciatoie sulla schermata di blocco protetta su Android 14 e versioni successive. Multimedia In questa sezione puoi configurare il comportamento di fotocamera/microfono, l'accesso ai dati USB, la stampa e le restrizioni relative al display.   1. Accesso alla fotocamera Controlla l'uso della fotocamera e se l'utente può accedere all'interruttore di accesso alla fotocamera (Android 12+). In generale, la disattivazione della fotocamera si applica all'intero dispositivo sui dispositivi con gestione completa e solo all'interno del profilo di lavoro sui dispositivi con profilo di lavoro. Scelta utente (predefinita): Comportamento predefinito del dispositivo. Le fotocamere sono disponibili e (Android 12+) l'utente può attivare o disattivare l'accesso alla fotocamera. Disattivato: Tutte le fotocamere sono disattivate (gestione completa: su tutto il dispositivo; profilo di lavoro: solo per le app del profilo di lavoro). L'interruttore di accesso alla fotocamera non ha effetto nell'ambito gestito. Applicato: Le fotocamere sono disponibili. Sui dispositivi con gestione completa con Android 12+, l'utente non può attivare o disattivare l'accesso alla fotocamera. Su altri dispositivi/versioni si comporta come Scelta utente.   2. Accesso al microfono Sui dispositivi con gestione completa, controlla l'uso del microfono e se l'utente può accedere all'interruttore di accesso al microfono (Android 12+). Questa impostazione non ha effetto sui dispositivi senza gestione completa. Scelta utente (predefinita): Comportamento predefinito. Il microfono è disponibile e (Android 12+) l'utente può attivare o disattivare l'accesso al microfono. Disattivato: Il microfono è disattivato (su tutto il dispositivo). L'interruttore di accesso al microfono non ha effetto. Applicato: Il microfono è disponibile. Su Android 12+, l'utente non può attivare o disattivare l'accesso al microfono. Su Android 11 o versioni precedenti si comporta come Scelta utente.   3. Accesso ai dati USB Controlla quali file e/o dati possono essere trasferiti via USB. Supportato solo sui dispositivi di proprietà dell'azienda. Non consentire il trasferimento di file (predefinito): I trasferimenti di file non sono consentiti, ma altre connessioni dati USB (ad es. mouse/tastiera) sono consentite. Non consentire il trasferimento di dati: Tutti i tipi di trasferimento dati USB sono vietati (Android 12+ con USB HAL 1.3+). Se non supportato, il dispositivo passa a Non consentire il trasferimento di file. Consenti il trasferimento di dati: Tutti i tipi di trasferimento dati USB sono consentiti.   4. Stampa Controlla se la stampa è consentita (Android 9+). Consentito (predefinito): La stampa è consentita. Non consentito: La stampa non è consentita (Android 9+).   5. Impostazioni della luminosità dello schermo Controlla la modalità di luminosità dello schermo e (facoltativamente) il valore di luminosità. Modalità di luminosità dello schermo: Scelta utente (predefinita): All'utente è consentito configurare la luminosità dello schermo. Automatico: La luminosità è automatica e l'utente non può modificarla. Puoi comunque impostare un valore di luminosità, usato come parte della regolazione automatica (gestione completa Android 9+; profili di lavoro su dispositivi aziendali con Android 15+). Fissa: La luminosità viene impostata sul valore configurato e l'utente non può modificarla. Il valore di luminosità è obbligatorio (gestione completa Android 9+; profili di lavoro su dispositivi aziendali con Android 15+). Luminosità dello schermo: Valore da 1 a 255 (1 = minimo, 255 = massimo). Un valore pari a 0 indica che non è impostato alcun valore di luminosità.   6. Impostazioni del timeout dello schermo Controlla se l'utente può configurare il timeout dello schermo e, quando è applicato, il valore del timeout. Il campo Modalità timeout schermo consente di scegliere tra il comportamento controllato dall'utente e quello applicato. Scelta utente (predefinita): All'utente è consentito configurare il timeout dello schermo. Applicato: Il timeout dello schermo viene impostato sul valore configurato e l'utente non può modificarlo (gestione completa Android 9+; profili di lavoro su dispositivi aziendali con Android 15+). Timeout dello schermo: Durata del timeout in secondi. Il valore deve essere maggiore di 0. Se è maggiore del Tempo massimo di blocco, il sistema potrebbe limitarlo e segnalare una non conformità.   7. Acquisizione schermo disattivata Indica se l'acquisizione dello schermo è disattivata.   8. Regolazione del volume disattivata Indica se la regolazione del volume principale è disattivata.   9. Montaggio dei supporti fisici disattivato Indica se il montaggio dei supporti esterni fisici è disattivato. Cellulare In questa sezione puoi configurare le policy relative alla rete cellulare.   1. Modalità aereo Controlla se l'utente può attivare o disattivare la modalità aereo. Scelta dell'utente (predefinita): all'utente è consentito attivare o disattivare la modalità aereo. Disabilitata: la modalità aereo è disabilitata. All'utente non è consentito attivarla. Supportato su Android 9 e versioni successive.   2. Cellulare 2G Controlla se l'utente può attivare o disattivare l'impostazione Cellulare 2G. Scelta dell'utente (predefinita): all'utente è consentito attivare o disattivare il cellulare 2G. Disabilitato: il cellulare 2G è disabilitato. All'utente non è consentito attivare il cellulare 2G dalle impostazioni. Supportato su Android 14 e versioni successive.   3. Sostituisci APNs Controlla se gli APNs di sostituzione sono abilitati o disabilitati. Quando sono abilitati, vengono usati solo gli APNs di sostituzione configurati e tutti gli altri APNs sul dispositivo vengono ignorati. Disattivato (predefinito): Tutte le impostazioni APN configurate vengono salvate sul dispositivo, ma sono disattivate e non hanno alcun effetto. Tutti gli altri APN sul dispositivo rimangono in uso. Attivato: Vengono usati solo gli APN di override, tutti gli altri APN vengono ignorati. Questa impostazione può essere configurata solo su dispositivi con gestione completa con Android 10 e versioni successive.   4. Impostazioni APN Configura una o più voci APN. Usa Aggiungi APN per creare una voce e Rimuovi APN per eliminarla. Ogni APN ha campi obbligatori: Tipi di APN: Seleziona uno o più tipi di traffico per questo APN (la disponibilità dipende dalla modalità di gestione e dalla versione di Android). Nome APN: L'identificatore APN fornito dal tuo operatore. Nome visualizzato: Nome descrittivo mostrato nell'interfaccia.   Campi APN facoltativi: Tipo di autenticazione, Nome utente, Password: Configura l'autenticazione dell'operatore (se richiesta). Protocollo e Protocollo di roaming: Configurazione del protocollo IP. Tipi di rete: Limita le tecnologie cellulari che l'APN può usare (ad esempio LTE/5G NR). Indirizzo proxy e Porta proxy: Proxy HTTP per il traffico dati (se applicabile). Indirizzo proxy MMS, Porta proxy MMS, MMSC (URI del centro MMS): Impostazioni relative agli MMS. ID numerico operatore (MCC+MNC) e ID operatore: Campi di identificazione dell'operatore. Impostazione Always On: Indica se la sessione PDU attivata da questo APN deve essere sempre attiva (always-on). Supportato su Android 15 e versioni successive. Tipo MVNO: Tipo di identificatore dell'operatore di rete mobile virtuale. MTU IPv4 e MTU IPv6: Maximum Transmission Unit (unità massima di trasmissione) per le route IPv4/IPv6. Supportato su Android 13 e versioni successive.   5. Configurazione delle trasmissioni cellulari disattivata Indica se la configurazione delle trasmissioni cellulari è disattivata.   6. Configurazione delle reti mobili disattivata Indica se la configurazione delle reti mobili è disattivata.   7. Dati in roaming disattivati Indica se i servizi dati in roaming sono disattivati.   8. Chiamate in uscita disattivate Indica se le chiamate in uscita sono disattivate.   9. SMS disattivati Indica se l'invio e la ricezione di messaggi SMS sono disattivati.   10. Configurazione del network slicing 5G Configura le impostazioni del servizio di rete preferenziale per abilitare il network slicing 5G aziendale. Puoi impostare fino a 5 slice aziendali e assegnare le applicazioni a reti specifiche per ottimizzare l'instradamento del traffico. 10.1. Rete preferenziale predefinita ID della rete preferenziale predefinita per le applicazioni che non sono nell'elenco delle applicazioni o se la Rete preferenziale di un'app non è impostata. Deve esistere una configurazione per l'ID di rete specificato (a meno che non sia impostato su Nessuna rete preferenziale). Nota: le app critiche come com.google.android.apps.work.clouddpc e com.google.android.gms sono escluse da questa impostazione predefinita.   10.2. Configurazioni dei servizi di rete Usa Aggiungi configurazione di rete per creare una configurazione di slice. Puoi aggiungere fino a 5 configurazioni. Ogni configurazione ha: ID rete preferenziale (assegnato automaticamente): L'ID di rete viene assegnato automaticamente e non può essere modificato. Fallback alla connessione predefinita: Indica se è consentito il fallback alla rete predefinita del dispositivo. Se non consentito, le app non possono accedere a internet se lo slice 5G non è disponibile. Reti non corrispondenti: Indica se le app soggette a questa configurazione possono usare reti diverse dal servizio preferenziale. Se impostato su Non consentito, anche Fallback alla connessione predefinita deve essere Non consentito. Richiede Android 14 e versioni successive. Rete In questa sezione puoi configurare le policy relative alla rete. Le configurazioni Wi-Fi possono essere fornite e gestite dal sistema tramite Configurazioni WiFi. A seconda del valore impostato su Configura Wi-Fi, gli utenti possono avere un controllo limitato o nullo sull'aggiunta/modifica delle reti.   Stato radio del dispositivo 1. Stato Wi-Fi Controlla lo stato attuale del Wi-Fi e se l'utente può modificarne lo stato. Scelta utente (predefinita): All'utente è consentito abilitare/disabilitare il Wi-Fi. Attivato: Il Wi-Fi è attivo e all'utente non è consentito disattivarlo (Android 13+). Disattivato: Il Wi-Fi è disattivato e all'utente non è consentito attivarlo (Android 13+).   2. Livello di sicurezza Wi-Fi minimo Il livello di sicurezza minimo richiesto delle reti Wi-Fi a cui il dispositivo può connettersi. Supportato su Android 13 e versioni successive, per i dispositivi con gestione completa e i profili di lavoro sui dispositivi di proprietà dell'azienda. Rete aperta (predefinita): Il dispositivo può connettersi a tutti i tipi di reti Wi-Fi. Rete personale: Non consente le reti Wi-Fi aperte; richiede almeno la sicurezza personale (ad esempio WPA2-PSK). Rete aziendale: Richiede reti EAP aziendali; non consente reti Wi-Fi con un livello di sicurezza inferiore. Rete aziendale a 192 bit: Richiede reti aziendali a 192 bit; opzione più restrittiva.   3. Stato ultra wideband (UWB) Controlla lo stato dell'impostazione ultra wideband e se l'utente può attivarla o disattivarla. Scelta utente (predefinita): All'utente è consentito attivare o disattivare UWB. Disattivato: UWB è disattivato e all'utente non è consentito attivarlo o disattivarlo tramite le impostazioni (Android 14+).   Gestione della connettività del dispositivo 4. Condivisione Bluetooth Controlla se la condivisione Bluetooth è consentita. Consentito: La condivisione Bluetooth è consentita (predefinito sui dispositivi con gestione completa, Android 8+). Non consentito: La condivisione Bluetooth non è consentita (predefinito sui profili di lavoro, Android 8+).   5. Configura Wi-Fi Controlla i privilegi di configurazione del Wi-Fi. A seconda dell'opzione selezionata, l'utente ha il controllo completo, limitato o nullo sulla configurazione delle reti Wi-Fi. Consenti la configurazione del Wi-Fi (predefinito): All'utente è consentito configurare il Wi-Fi. Non consentire l'aggiunta di configurazioni Wi-Fi: L'aggiunta di nuove configurazioni Wi-Fi non è consentita. L'utente può passare da una rete già configurata all'altra (Android 13+; gestione completa e profili di lavoro su dispositivi aziendali). Non consentire la configurazione del Wi-Fi: Non consente di configurare le reti Wi-Fi. Per i dispositivi con gestione completa, rimuove le reti configurate dall'utente e mantiene solo le reti configurate tramite Configurazioni WiFi. Per i profili di lavoro sui dispositivi aziendali, le reti esistenti non sono interessate, ma gli utenti non possono aggiungere/rimuovere/modificare le reti Wi-Fi. Quando la configurazione del Wi-Fi è disattivata e il dispositivo non riesce a connettersi all'avvio, il sistema può mostrare la procedura di emergenza per la rete per consentire all'utente di connettersi temporaneamente e aggiornare la policy.   6. Impostazioni Wi-Fi Direct Controlla la configurazione e l'uso delle impostazioni Wi-Fi Direct. Supportato sui dispositivi di proprietà dell'azienda con Android 13 e versioni successive. Consenti (predefinito): All'utente è consentito usare Wi-Fi Direct. Non consentire: All'utente non è consentito usare Wi-Fi Direct.   7. Impostazioni di tethering Controlla le impostazioni di tethering. In base al valore impostato, all'utente è parzialmente o completamente vietato usare diverse forme di tethering. Consenti tutto il tethering (predefinito): Consente la configurazione e l'uso di tutte le forme di tethering. Non consentire il tethering Wi-Fi: Vieta all'utente di usare il tethering Wi-Fi (dispositivi aziendali Android 13+). Non consentire alcun tethering: Vieta tutte le forme di tethering (gestione completa + profili di lavoro su dispositivi aziendali).   8. Policy SSID Wi-Fi Restrizioni sugli SSID Wi-Fi a cui il dispositivo può connettersi (questo non influisce sulle reti che possono essere configurate sul dispositivo). Supportato sui dispositivi di proprietà dell'azienda con Android 13 e versioni successive. Lista di blocco SSID (predefinita): Il dispositivo non può connettersi a nessuna rete Wi-Fi il cui SSID è elencato, ma può connettersi ad altre reti. Lista di consentiti SSID: Il dispositivo può connettersi solo agli SSID elencati. L'elenco degli SSID non deve essere vuoto. Usa Aggiungi SSID per aggiungere voci. A seconda del tipo di policy selezionato, l'elenco viene interpretato come SSID consentiti o non consentiti. Nell'interfaccia dell'editor delle policy, l'elenco degli SSID è etichettato come SSID Wi-Fi consentiti per le liste di consentiti e SSID Wi-Fi non consentiti per le liste di blocco.   9. Impostazioni di roaming Wi-Fi Configura la modalità di roaming Wi-Fi per SSID. Usa Aggiungi impostazione di roaming Wi-Fi per creare voci. Ogni voce include: SSID: L'SSID a cui si applica l'impostazione di roaming (obbligatorio). Modalità di roaming Wi-Fi: Predefinita / Disattivata / Aggressiva. Disattivata e Aggressiva richiedono Android 15+ e sono supportate solo sui dispositivi con gestione completa e sui profili di lavoro dei dispositivi aziendali.   Restrizioni di rete 10. Bluetooth disattivato Indica se il Bluetooth è disattivato. Preferisci questa impostazione a Configurazione Bluetooth disattivata, perché la configurazione Bluetooth disattivata può essere aggirata dall'utente.   11. Condivisione contatti Bluetooth disattivata Indica se la condivisione dei contatti Bluetooth è disattivata.   12. Configurazione Bluetooth disattivata Indica se la configurazione del Bluetooth è disattivata.   13. Ripristino rete disattivato Indica se il ripristino delle impostazioni di rete è disattivato.   14. Beam in uscita disattivato Indica se l'uso di NFC per inviare dati dalle app tramite beam è disattivato.   VPN 15. App VPN Always On Specifica un nome pacchetto VPN Always On per assicurarti che i dati delle app gestite specificate passino sempre attraverso una VPN configurata. Nota: questa funzionalità richiede la distribuzione di un client VPN che supporti sia la funzionalità Always On sia quella VPN per app.   16. Blocco VPN Impedisce la connessione di rete quando la VPN non è connessa.   17. Configurazione VPN disattivata Indica se la configurazione della VPN è disattivata.   Proxy e servizi di rete 18. Servizio di rete preferenziale Controlla se il servizio di rete preferenziale è abilitato sul profilo di lavoro. Ad esempio, un'organizzazione può avere un accordo con un operatore affinché i dati di lavoro vengano inviati tramite un servizio di rete dell'operatore dedicato all'uso aziendale (ad esempio, uno slice aziendale sulle reti 5G). Questo non ha effetto sui dispositivi con gestione completa. Disattivato: Il servizio di rete preferenziale è disattivato sul profilo di lavoro. Attivato: Il servizio di rete preferenziale è abilitato sul profilo di lavoro. Se usi il network slicing aziendale, configura anche Configurazione del network slicing 5G nel pannello della policy Cellulare e assegna le app a uno slice tramite la loro impostazione Rete preferenziale.   19. Proxy globale consigliato Il proxy HTTP globale indipendente dalla rete. In genere, i proxy dovrebbero essere configurati per rete nelle configurazioni WiFi. Un proxy globale può essere utile per configurazioni particolari come il filtraggio interno generale. Il proxy globale è solo un consiglio e alcune app potrebbero ignorarlo. Disattivato Proxy diretto Configurazione automatica del proxy (PAC) 19.1. Host L'host del proxy diretto. 19.2. Porta La porta del proxy diretto. 19.3. URI PAC L'URI dello script PAC usato per configurare il proxy. 19.4. Host esclusi Per un proxy diretto, gli host per cui il proxy viene ignorato. I nomi host possono contenere caratteri jolly come *.example.com. Usa Aggiungi host escluso per aggiungere voci (disponibile solo per il proxy diretto).   Configurazioni Wi-Fi Definisci le configurazioni di rete Wi‑Fi che il sistema applicherà sui dispositivi. Usa Aggiungi configurazione Wi‑Fi per creare una voce e rimuoverla con l'azione di eliminazione. 20. Campi della configurazione Wi‑Fi Ogni configurazione include: Nome configurazione: obbligatorio. SSID: obbligatorio. Connessione automatica: indica se connettersi automaticamente alla rete quando è nel raggio d'azione. Transizione rapida: indica se il client deve tentare di usare la transizione rapida (IEEE 802.11r-2008) con la rete. SSID nascosto: indica se l'SSID verrà trasmesso. Modalità di randomizzazione MAC: Hardware o Automatica (Android 13+).   20.1. Sicurezza Opzioni di sicurezza Wi‑Fi: WEP‑PSK: WEP (chiave precondivisa). WPA‑PSK: WPA/WPA2/WPA3-Personal (chiave precondivisa). WPA‑EAP: WPA/WPA2/WPA3-Enterprise (Extensible Authentication Protocol). Modalità WPA3 a 192 bit: rete WPA‑EAP che consente solo la modalità WPA3 a 192 bit. 20.2. Passphrase (chiave precondivisa) Visualizzato quando la sicurezza è WEP‑PSK o WPA‑PSK. La passphrase è obbligatoria. 20.3. Metodo EAP (Enterprise) Visualizzato quando la sicurezza è WPA‑EAP o Modalità WPA3 a 192 bit. Seleziona un metodo EAP esterno: EAP‑TLS EAP‑TTLS PEAP EAP‑SIM EAP‑AKA 20.4. Autenticazione fase 2 Visualizzato per i metodi esterni con tunneling (EAP‑TTLS e PEAP). MSCHAPv2 PAP 20.5. Credenziali EAP dagli utenti Se attivato, il sistema applica automaticamente le credenziali EAP sui dispositivi per singolo utente. Puoi configurare le credenziali degli utenti nella sezione Utenti. 20.6. Certificato client Per EAP‑TLS, puoi assegnare un certificato client usato per l'autenticazione Wi‑Fi. Per ulteriori informazioni leggi la pagina Gestione dei certificati. Se è già assegnato un certificato, puoi usare Apri certificato per visualizzarlo o Cambia certificato per selezionarne uno diverso. In alternativa, puoi specificare Alias coppia di chiavi del certificato client, che fa riferimento a un certificato client archiviato nel keychain di Android e consentito per l'autenticazione Wi‑Fi. Se sono impostati sia Certificato client sia Alias coppia di chiavi del certificato client, l'alias della coppia di chiavi viene ignorato. 20.7. Identità Identità dell'utente. Per i protocolli esterni con tunneling (PEAP, EAP‑TTLS), viene usata per l'autenticazione all'interno del tunnel, mentre Identità anonima viene usata per l'identità EAP all'esterno del tunnel. Per i protocolli esterni senza tunneling, viene usata per l'identità EAP. 20.8. Identità anonima Solo per i protocolli con tunneling, indica l'identità dell'utente presentata al protocollo esterno. 20.9. Password Password dell'utente. Se non specificata, per impostazione predefinita viene richiesta all'utente. 20.10. Certificati CA del server Elenco dei certificati CA da usare per verificare la catena di certificati dell'host. Almeno un certificato CA deve corrispondere. Per ulteriori informazioni leggi la pagina Gestione dei certificati. Usa Aggiungi certificato CA del server per aggiungere voci e rimuoverle con l'azione di eliminazione. 20.11. Corrispondenze dei suffissi di dominio Un elenco di vincoli per il nome di dominio del server. Le voci vengono usate come requisiti di corrispondenza dei suffissi rispetto ai nomi DNS del nome alternativo del soggetto di un certificato del server di autenticazione.   Sistema In questa sezione puoi configurare le policy relative al sistema.   1. Livello API minimo Il livello API Android minimo consentito.   2. Policy di crittografia Indica se la crittografia è attivata. Predefinito: questo valore viene ignorato, ovvero non è richiesta alcuna crittografia. Attivata senza password: crittografia richiesta ma nessuna password necessaria per l'avvio. Attivata con password: crittografia richiesta con password necessaria per l'avvio.   3. Data e ora automatiche Indica se data, ora e fuso orario automatici sono attivati su un dispositivo aziendale. Scelta dell'utente (predefinito): data, ora e fuso orario automatici sono lasciati alla scelta dell'utente. Applicati: applica data, ora e fuso orario automatici sul dispositivo.   4. Impostazioni sviluppatore Controlla l'accesso alle impostazioni sviluppatore: opzioni sviluppatore e avvio sicuro. Disattivato (predefinito): disattiva tutte le impostazioni sviluppatore e impedisce all'utente di accedervi. Consentito: consente tutte le impostazioni sviluppatore. L'utente può accedervi e configurarle facoltativamente.   5. Modalità Common Criteria Controlla la modalità Common Criteria—standard di sicurezza definiti nel Common Criteria for Information Technology Security Evaluation (CC). L'attivazione della modalità Common Criteria incrementa alcuni componenti di sicurezza su un dispositivo (ad esempio: crittografia AES-GCM delle chiavi a lungo termine Bluetooth, convalida aggiuntiva per alcuni certificati di rete e controlli di integrità delle policy crittografiche). La modalità Common Criteria è supportata solo su dispositivi aziendali con Android 11 o versioni successive. Avviso: la modalità Common Criteria applica un modello di sicurezza rigoroso, in genere richiesto solo da organizzazioni altamente sensibili. L'uso standard del dispositivo potrebbe esserne influenzato; attivala solo se necessario. Disattivato (predefinito): disattiva la modalità Common Criteria. Attivato: attiva la modalità Common Criteria.   6. Memory Tagging Extension (MTE) Controlla Memory Tagging Extension (MTE) sul dispositivo. Scelta dell'utente (predefinito): l'utente può scegliere di attivare o disattivare MTE sul dispositivo (se supportato dal dispositivo). Applicato: MTE è attivato e l'utente non può modificarlo (Android 14+; supportato su dispositivi completamente gestiti e profili di lavoro su dispositivi aziendali). Disattivato: MTE è disattivato e l'utente non può modificarlo (Android 14+; supportato solo su dispositivi completamente gestiti).   7. Protezione dei contenuti Controlla se la protezione dei contenuti (che analizza le app ingannevoli) è attivata. È supportata su Android 15 e versioni successive. Disattivato (predefinito): la protezione dei contenuti è disattivata e l'utente non può modificarlo. Applicato: la protezione dei contenuti è attivata e l'utente non può modificarlo (Android 15+). Scelta dell'utente: la protezione dei contenuti non è controllata dalla policy; l'utente può scegliere (Android 15+).   8. Contenuti Assist Controlla se AssistContent può essere inviato a un'app con privilegi, ad esempio un'app assistente (come Circle to Search). AssistContent include screenshot e informazioni su un'app, come il nome del pacchetto. È supportato su Android 15 e versioni successive. Consentito (predefinito): il contenuto Assist può essere inviato a un'app con privilegi (Android 15+). Non consentito: il contenuto Assist è bloccato e non può essere inviato a un'app con privilegi (Android 15+).   9. Creazione finestre disattivata Indica se la creazione di finestre diverse da quelle delle app è disattivata. Questa opzione impedisce la visualizzazione delle seguenti interfacce di sistema: toast e snackbar, attività telefoniche (come le chiamate in arrivo) e attività telefoniche prioritarie (come le chiamate in corso), avvisi di sistema, errori di sistema e overlay di sistema.   10. Connessione di rete di emergenza Indica se la connessione di rete di emergenza è attivata. Se all'avvio non è possibile stabilire una connessione di rete, la connessione di emergenza chiede all'utente di connettersi temporaneamente a una rete per aggiornare la policy del dispositivo. Dopo l'applicazione della policy, la rete temporanea viene dimenticata e il dispositivo continua l'avvio. Ciò evita di restare senza connessione di rete se l'ultima policy non contiene una rete adatta e il dispositivo si avvia in un'app in modalità lock task, o se l'utente non può in altro modo raggiungere le impostazioni del dispositivo.   11. Attività predefinite Un elenco di attività predefinite per gestire gli intent che corrispondono a un determinato filtro di intent. Ad esempio, questa funzionalità consente agli amministratori IT di scegliere quale app browser apre automaticamente i link web o quale app launcher viene usata quando si tocca il pulsante Home. Usa Aggiungi attività predefinita per creare voci. All'interno di una voce, usa Aggiungi azione e Aggiungi categoria per creare il filtro di intent. 11.1. Attività ricevente L'attività che deve essere il gestore predefinito degli intent. Deve essere il nome di un componente Android, ad es. com.android.enterprise.app/.MainActivity. In alternativa, il valore può essere il nome del pacchetto di un'app, il che fa sì che Android Device Policy scelga un'attività appropriata dall'app per gestire l'intent. 11.2. Azione Le azioni degli intent da confrontare nel filtro. Se il filtro include delle azioni, l'azione di un intent deve essere uno di quei valori perché corrisponda. Se non sono incluse azioni, l'azione dell'intent viene ignorata. 11.3. Categoria Le categorie degli intent da confrontare nel filtro. Un intent include le categorie che richiede; tutte devono essere incluse nel filtro perché la corrispondenza avvenga. In altre parole, aggiungere una categoria al filtro non influisce sulla corrispondenza, a meno che quella categoria non sia specificata nell'intent.   12. Metodi di input consentiti Specifica i metodi di input consentiti. Tutti consentiti: nessuna restrizione applicata. Tutti i metodi di input sono consentiti. Solo quelli di sistema: sono consentiti solo i metodi di input preinstallati del sistema. Solo quelli di sistema e forniti: sono consentiti solo i metodi di input forniti e quelli preinstallati del sistema. 12.1. Metodi di input consentiti Nomi dei pacchetti dei metodi di input consentiti. Si applica solo quando Metodi di input consentiti è impostato su Solo quelli di sistema e forniti. Usa Aggiungi metodo di input per aggiungere voci e rimuoverle con l'azione di eliminazione.   13. Servizi di accessibilità consentiti Specifica i servizi di accessibilità consentiti. Tutti consentiti: è possibile usare qualsiasi servizio di accessibilità. Solo quelli di sistema: è possibile usare solo i servizi di accessibilità preinstallati del sistema. Solo quelli di sistema e forniti: è possibile usare solo i servizi di accessibilità forniti e quelli preinstallati del sistema. 13.1. Servizi di accessibilità consentiti Servizi di accessibilità consentiti. Si applica solo quando Servizi di accessibilità consentiti è impostato su Solo quelli di sistema e forniti. Usa Aggiungi servizio di accessibilità per aggiungere voci e rimuoverle con l'azione di eliminazione.   14. Policy di aggiornamento del sistema Configurazione per la gestione degli aggiornamenti del sistema. Predefinito: segui il comportamento di aggiornamento predefinito del dispositivo, che in genere richiede che l'utente accetti gli aggiornamenti del sistema. Automatico: installa automaticamente non appena un aggiornamento è disponibile. A intervalli: installa automaticamente entro una finestra di manutenzione giornaliera. Questo configura anche le app Play per l'aggiornamento entro la finestra. È fortemente consigliato per i dispositivi kiosk, perché è l'unico modo in cui Play può aggiornare le app fissate in modo persistente in primo piano. Posticipa: posticipa l'installazione automatica fino a un massimo di 30 giorni.   14.1. Finestra di manutenzione (solo A intervalli) Quando Policy di aggiornamento del sistema è impostato su A intervalli, puoi definire la finestra di manutenzione giornaliera usando i campi da e a.   14.2. Periodi di blocco degli aggiornamenti del sistema Un periodo di tempo che si ripete ogni anno in cui gli aggiornamenti di sistema over-the-air (OTA) vengono posticipati per bloccare la versione del sistema operativo in esecuzione su un dispositivo. Per evitare di bloccare il dispositivo a tempo indefinito, ogni periodo di blocco deve essere separato da almeno 60 giorni. Ogni periodo di blocco non deve superare i 90 giorni. Usa Aggiungi periodo di blocco degli aggiornamenti del sistema per creare voci.   15. Provider di credenziali predefiniti Controlla quali app possono agire come provider di credenziali su Android 14 e versioni successive. Non consentito (predefinito): le app con credentialProviderPolicy non specificato non possono agire come provider di credenziali. Non consentito tranne per il sistema: le app con credentialProviderPolicy non specificato non possono agire come provider di credenziali, fatta eccezione per i provider di credenziali predefiniti dell'OEM. Posizione e geofence Questo pannello raggruppa le impostazioni della policy Android che controllano la segnalazione della posizione del dispositivo, l'applicazione forzata della posizione e la definizione dei geofence. Usalo quando vuoi che Cerberus Enterprise raccolga la posizione dei dispositivi o rilevi quando i dispositivi entrano o escono dalle aree configurate. Segnalazione della posizione Segnala posizione Abilita la segnalazione della posizione geografica del dispositivo. I dati sulla posizione raccolti tramite questa impostazione vengono usati dalla mappa delle posizioni della dashboard, dalla cronologia delle posizioni nella panoramica del dispositivo e dall'elaborazione dei geofence. La cronologia posizioni e gli eventi geofence vengono conservati per 90 giorni e i dati più vecchi vengono eliminati automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, così il dispositivo resta sulle mappe. Sui dispositivi non completamente gestiti, i dati sulla posizione possono comunque dipendere dall'app Cerberus Enterprise che dispone delle autorizzazioni di posizione richieste e dall'attivazione dei servizi di localizzazione sul dispositivo. Sui dispositivi Apple personali (User Enrollment), la posizione e i geofence sono disattivati per impostazione predefinita: sono disponibili solo quando la policy Apple ha Posizione e geofence sui dispositivi personali attivo e solo se l'utente consente la posizione per l'app Cerberus Enterprise. Modalità posizione Controlla l'impostazione della posizione del dispositivo sui dispositivi di proprietà dell'azienda. Scelta utente: i servizi di localizzazione non sono limitati dalla policy. Applicato: i servizi di localizzazione sono abilitati sul dispositivo. Disattivato: i servizi di localizzazione sono disattivati sul dispositivo. Condivisione posizione disattivata Disattiva la condivisione della posizione per le app di lavoro. Sui dispositivi con profilo proprietario, questo influisce sul profilo di lavoro. Sui dispositivi con gestione completa, disattiva la posizione per l'intero dispositivo e sostituisce la modalità posizione del dispositivo. Comportamento automatico con geofence attivi I geofence attivi richiedono che la segnalazione della posizione funzioni. Quando almeno un geofence è attivo, Cerberus Enterprise mantiene automaticamente coerenti le impostazioni della posizione correlate. Segnala posizione viene attivato forzatamente finché esistono geofence attivi. Modalità posizione viene impostata forzatamente su Applicato. Condivisione posizione disattivata viene disattivata forzatamente. Se provi a disattivare Segnala posizione mentre uno o più geofence sono attivi, Cerberus Enterprise mostra una finestra di conferma. Se continui, tutti i geofence attivi nella policy vengono disattivati. Elenco dei geofence Una policy può contenere fino a 10 geofence. I nomi dei geofence devono essere univoci all'interno della policy. Usa Aggiungi geofence per creare una nuova voce. Ogni geofence contiene questi campi principali: Nome: obbligatorio e univoco. Latitudine e Longitudine: il centro dell'area. Raggio (m): obbligatorio, da 200 a 10000 metri. Descrizione: note facoltative per gli amministratori. Segnala ingresso e Segnala uscita: scegli quali eventi di transizione devono essere generati. Attivo: abilita o disattiva il geofence senza eliminarlo. Almeno una tra Segnala ingresso e Segnala uscita deve rimanere abilitata per ogni geofence. In precedenza il raggio minimo era 100 metri. I geofence esistenti con raggio inferiore a 200 metri continuano a funzionare e vengono mantenuti così come sono quando salvi la policy, anche se li sposti o li rinomini. Se ne modifichi il raggio, deve essere di almeno 200 metri. Strumenti di modifica della mappa Ogni scheda geofence include un'anteprima della mappa dell'area. Puoi modificare la geometria dalla mappa o dai campi numerici. Fai clic sulla mappa per spostare il centro del geofence quando la modifica dell'area è sbloccata. Usa il pulsante Posizione attuale per centrare la mappa sulla posizione attuale del browser. Usa il pulsante Ricentra mappa per ripristinare l'area di visualizzazione preferita per quel geofence. Usa il pulsante di blocco per evitare modifiche accidentali alla geometria del geofence. Dove compaiono i dati dei geofence Le transizioni dei geofence possono essere esaminate nella pagina Panoramica dispositivo di Android, nella scheda Geofence del pannello della posizione. Quella scheda mostra le transizioni su una mappa dedicata insieme agli strumenti di filtro e all'elenco delle transizioni. Gestione utenti Aggiunta utenti disattivata Indica se l'aggiunta di nuovi utenti e profili è disattivata. Per i dispositivi in cui managementMode è DEVICE_OWNER, questo campo viene ignorato e l'utente non può mai aggiungere o rimuovere utenti.   Modifica account disattivata Indica se l'aggiunta o la rimozione di account è disattivata.   Configurazione credenziali utente disattivata Indica se la configurazione delle credenziali utente è disattivata.   Rimozione utenti disattivata Indica se la rimozione di altri utenti è disattivata.   Impostazione icona utente disattivata Indica se la modifica dell'icona utente è disattivata.   Impostazione sfondo disattivata Indica se la modifica dello sfondo è disattivata.   Autenticazione durante la configurazione dell'account di lavoro Controlla come gli utenti si autenticano durante la configurazione dell'account di lavoro. Questa opzione è disponibile solo per le aziende Android supportate da un dominio Google gestito (Google Workspace). Durante la configurazione/registrazione del dispositivo, questa policy influenza se è richiesto l'accesso a un account di lavoro, ma l'impostazione Autenticati con Google della Google Admin Console e il tipo di token di registrazione possono comunque richiedere l'autenticazione. Per i dispositivi già registrati, questa policy si applica solo se il dispositivo è gestito da un account Managed Google Play (ovvero registrato senza Autenticati con Google Enrollment). Per maggiori dettagli e per la risoluzione dei problemi, consulta Autenticati con Google Enrollment.   Tipi di account bloccati Tipi di account che l'utente non può gestire. Questa opzione impedisce agli utenti del dispositivo di aggiungere account non approvati. Usa Aggiungi tipo di account bloccato per aggiungere uno o più tipi di account. Ogni voce ha un campo Tipo di account (obbligatorio). Inserisci una stringa come com.google. Rimuovi una voce usando l'azione di eliminazione. Uso personale Quando esegui il provisioning di un dispositivo aziendale per uso lavorativo e personale, puoi specificare alcune regole per limitare il modo in cui l'utente può usare il dispositivo per uso personale, al di fuori del profilo di lavoro. Questa sezione si applica solo ai dispositivi aziendali con profilo di lavoro. Non ha alcun effetto sui dispositivi completamente gestiti o di proprietà personale. 1. Fotocamera disattivata Indica se la fotocamera è disattivata.   2. Cattura schermo disattivata Indica se la cattura schermo è disattivata.   3. Giorni massimi con lavoro disattivato Controlla per quanto tempo il profilo di lavoro può rimanere disattivato.   4. Condivisione Bluetooth Controlla se la condivisione Bluetooth è consentita nel profilo personale di un dispositivo aziendale con profilo di lavoro.   5. Spazio privato Controlla se è consentito uno spazio privato sul dispositivo.   6. Modalità Play Store Questa modalità controlla quali app sono consentite o bloccate all'utente nel Play Store del profilo personale. Blocklist (predefinita): tutte le app sono disponibili e qualsiasi app che non deve essere sul dispositivo va contrassegnata esplicitamente come Bloccata nella sezione Applicazioni. Allowlist: solo le app specificate esplicitamente nella sezione Applicazioni con Tipo di installazione impostato su Disponibile possono essere installate nel profilo personale.   7. Applicazioni Elenco delle applicazioni che devono essere consentite o bloccate nel profilo personale. Il comportamento del contenuto dell'elenco dipende dal valore impostato in Modalità Play Store. Per aggiungere una nuova app dal Play Store, fai clic sull'icona +. 7.1. Tipo di installazione Tipi di comportamento di installazione che può avere un'applicazione del profilo personale. Bloccata: l'app è bloccata e non può essere installata nel profilo personale. Disponibile: l'app può essere installata nel profilo personale.   8. Tipi di account bloccati Tipi di account che non possono essere gestiti dall'utente. Questa opzione impedisce agli utenti del dispositivo di aggiungere account non approvati nel proprio profilo personale. Policy tra profili Si applica solo ai dispositivi con profilo personale e di lavoro. Copia/incolla tra profili Indica se il testo copiato da un profilo (personale o di lavoro) può essere incollato nell'altro profilo. Non consentito (predefinito): Impedisce agli utenti di incollare nel profilo personale il testo copiato dal profilo di lavoro. Il testo copiato dal profilo personale può essere incollato nel profilo di lavoro. Consentito: Il testo copiato in uno dei due profili può essere incollato nell'altro profilo.   Condivisione dei dati tra profili Indica se i dati di un profilo (personale o di lavoro) possono essere condivisi con le app dell'altro profilo. Controlla in particolare la condivisione semplice dei dati tramite intent. La gestione degli altri canali di comunicazione tra profili, come la ricerca dei contatti, il copia/incolla, o le app di lavoro e personali collegate, viene configurata separatamente. Non consentito: Impedisce la condivisione dei dati sia dal profilo personale al profilo di lavoro sia dal profilo di lavoro al profilo personale. Da lavoro a personale non consentito (predefinito): Impedisce agli utenti di condividere dati dal profilo di lavoro alle app del profilo personale. I dati personali possono essere condivisi con le app di lavoro. Consentito: I dati di uno dei due profili possono essere condivisi con l'altro profilo.   Widget del profilo di lavoro predefiniti Comportamento predefinito dei widget del profilo di lavoro. Se un'app specifica non definisce una policy per i widget, segue il valore predefinito impostato qui.   Funzioni delle app tra profili Controlla se le app del profilo personale possono richiamare le funzioni delle app del profilo di lavoro. Richiede Android 16 o versioni successive. Questa impostazione dipende dall'opzione Funzioni delle app a livello di policy (nella sezione Gestione app). Se Funzioni delle app è impostato su Non consentito, l'API rifiuterà Funzioni delle app tra profili impostato su Consentito.   Contatti di lavoro nel profilo personale Indica se i contatti memorizzati nel profilo di lavoro possono essere mostrati nelle ricerche dei contatti e nelle chiamate in arrivo del profilo personale. Consentito (predefinito): Consente ai contatti del profilo di lavoro di comparire nel profilo personale. Non consentito: Impedisce alle app personali di accedere ai contatti del profilo di lavoro e di cercare i contatti di lavoro. Non consentito tranne per il sistema: Impedisce alla maggior parte delle app personali di accedere ai contatti del profilo di lavoro, tranne che per le app Dialer, Messaggi e Contatti predefinite dell'OEM (Android 14+). Quando Contatti di lavoro nel profilo personale è configurato, puoi facoltativamente definire un elenco di voci Nome pacchetto esente. A seconda della modalità selezionata, queste esenzioni funzionano come allowlist o blocklist per le app personali. Rapporti di stato In questa sezione puoi configurare quali dati devono essere recuperati dal dispositivo. I dati di stato possono essere visualizzati nella pagina della dashboard Stato dispositivo.   Rapporti delle applicazioni Indica se i rapporti delle app sono attivati. (Informazioni segnalate su un'app installata.) Questa opzione è richiesta dal sistema (per l'integrazione con l'app companion) ed è sempre attivata; non può essere disattivata.   Includi app rimosse Indica se le app rimosse sono incluse nei rapporti delle applicazioni.   Impostazioni del dispositivo Indica se il reporting delle impostazioni del dispositivo è attivato. (Informazioni sulle impostazioni di sicurezza del dispositivo.)   Informazioni software Indica se il reporting delle informazioni software è attivato. (Informazioni sul software del dispositivo.)   Informazioni sulla memoria Indica se il reporting della memoria è attivato. (Un evento relativo alle misurazioni di memoria e archiviazione.)   Informazioni di rete Indica se il reporting delle informazioni di rete è attivato. (Informazioni di rete del dispositivo.)   Informazioni sul display Indica se il reporting dei display è attivato. I dati dei rapporti non sono disponibili per i dispositivi di proprietà personale con profili di lavoro. (Informazioni sul display del dispositivo.)   Eventi di gestione dell'alimentazione Indica se il reporting degli eventi di gestione dell'alimentazione è attivato. I dati dei rapporti non sono disponibili per i dispositivi di proprietà personale con profili di lavoro.   Stato dell'hardware Indica se il reporting dello stato dell'hardware è attivato. I dati dei rapporti non sono disponibili per i dispositivi di proprietà personale con profili di lavoro.   Proprietà di sistema Indica se il reporting delle proprietà di sistema è attivato.   Modalità Common Criteria Indica se il reporting della modalità Common Criteria è attivato. Varie 1. Gioco easter egg disattivato Indica se il gioco easter egg nelle Impostazioni è disattivato.   2. Salta i suggerimenti al primo utilizzo Flag per saltare i suggerimenti al primo utilizzo. L'amministratore aziendale può abilitare la raccomandazione di sistema affinché le app saltino il tutorial per l'utente e gli altri suggerimenti introduttivi al primo avvio.   3. Messaggio di supporto breve Un messaggio mostrato all'utente nella schermata delle impostazioni ovunque l'amministratore abbia disattivato una funzionalità. Se il messaggio supera i 200 caratteri, potrebbe essere troncato.   4. Messaggio di supporto lungo Un messaggio mostrato all'utente nella schermata delle impostazioni degli amministratori del dispositivo.   5. Informazioni del proprietario nella schermata di blocco Le informazioni sul proprietario del dispositivo da mostrare nella schermata di blocco.   6. Azioni di configurazione Azioni da eseguire durante il processo di configurazione. Durante la registrazione, puoi richiedere all'utente di aprire una o più app necessarie per la configurazione del dispositivo. Usa Aggiungi azione di configurazione per creare voci e rimuoverle con l'azione di eliminazione. 6.1. Avvia app Nome del pacchetto dell'app da avviare 6.2. Titolo Fornisce un messaggio per l'utente per spiegargli perché l'app deve essere avviata. 6.3. Descrizione Fornisce un messaggio per l'utente per spiegargli perché l'app deve essere avviata.   7. Visibilità del nome visualizzato dell'azienda Controlla se il nome visualizzato dell'azienda è visibile sul dispositivo (ad esempio come messaggio nella schermata di blocco sui dispositivi di proprietà dell'azienda). Visibile (predefinito): Il nome visualizzato dell'azienda è visibile sul dispositivo (supportato sui profili di lavoro con Android 7+ e sui dispositivi con gestione completa con Android 8+). Nascosto: Il nome visualizzato dell'azienda è nascosto sul dispositivo. Regole di conformità Se un dispositivo o un profilo di lavoro non rispetta una delle impostazioni della policy elencate di seguito, Android Device Policy blocca immediatamente l'uso del dispositivo o del profilo di lavoro per impostazione predefinita: Requisiti della password Policy di crittografia Blocco schermo disattivato Metodi di input consentiti Servizi di accessibilità consentiti Se il dispositivo o il profilo di lavoro rimane non conforme dopo 10 giorni, Android Device Policy eseguirà un ripristino alle impostazioni di fabbrica del dispositivo o eliminerà il profilo di lavoro. In questa sezione puoi sostituire le regole di applicazione della conformità predefinite o aggiungerne di nuove. Regole Elenco di regole che definiscono il comportamento quando una determinata policy non può essere applicata a un dispositivo. Usa Aggiungi regola per creare una nuova regola. Ogni scheda regola può essere rimossa con l'azione di eliminazione. Nome impostazione La policy di primo livello da applicare. Ad esempio Applicazioni o Requisiti della password. Obbligatorio. Il valore deve corrispondere a un nome di policy di primo livello supportato; in caso contrario il campo viene contrassegnato come non valido. Blocca dopo giorni Numero di giorni di non conformità della policy prima che il dispositivo o il profilo di lavoro venga bloccato. Per bloccare l'accesso immediatamente, imposta 0. Blocca dopo giorni deve essere inferiore a Cancella dati dopo giorni. Si applica solo ai dispositivi aziendali. Intervallo consentito: 0–300. Ambito del blocco Specifica l'ambito dell'azione di blocco. Si applica solo ai dispositivi aziendali. Predefinito (nuova regola): Profilo di lavoro. Profilo di lavoro: l'azione di blocco viene applicata solo alle app nel profilo di lavoro. Le app nel profilo personale non sono interessate. Intero dispositivo: l'azione di blocco viene applicata all'intero dispositivo, incluse le app nel profilo personale. Cancella dati dopo giorni Numero di giorni di non conformità della policy prima che il dispositivo o il profilo di lavoro venga cancellato. Cancella dati dopo giorni deve essere maggiore di Blocca dopo giorni. Si applica solo ai dispositivi aziendali. Obbligatorio. Predefinito (nuova regola): 1. Intervallo consentito: 1–300. Mantieni la protezione dopo il ripristino di fabbrica Indica se i dati di protezione dopo il ripristino di fabbrica vengono conservati sul dispositivo. Questa impostazione non si applica ai profili di lavoro. Predefinito (nuova regola): attivato. Policy - Apple Apple policy Le Apple policy definiscono le impostazioni di gestione che Cerberus Enterprise applica ai dispositivi Apple tramite MDM. Queste impostazioni si configurano dalla dashboard nell'Apple policy editor. Prima di iniziare La gestione dei dispositivi Apple richiede la configurazione di Apple Management (APNs). Se necessario, leggi la pagina Configurazione di Apple Management (APNs). Apri l'Apple Policy Editor Nella dashboard, apri Policy e fai clic su Crea nuova Apple policy. Per modificare una Apple policy esistente, fai clic sulla sua riga nella tabella delle policy. Struttura dell'editor L'Apple Policy Editor è organizzato in una serie di sezioni espandibili. In cima alla pagina puoi sempre modificare: Nome (obbligatorio) Id (sola lettura) Descrizione (facoltativo) Sezioni della policy Le sezioni seguenti corrispondono ai pannelli attualmente disponibili nell'Apple Policy Editor. Quando apri una policy salvata, le sezioni con impostazioni modificate sono già aperte e le altre restano chiuse: Gestione app: configura le limitazioni relative alle app, le app gestite e le impostazioni dell'app Cerberus Enterprise. Kiosk e schermata Home: Modalità app singola, app consentite e bloccate, layout della schermata Home, web clip, impostazioni delle notifiche e messaggio della schermata di blocco. Sicurezza: controlla funzioni come lo sblocco automatico e lo sblocco biometrico. Impostazioni del codice di accesso: configura i requisiti del codice di accesso e le regole correlate. Multimedia: consenti/nega la fotocamera e le funzioni correlate. Cellulare: controlla le impostazioni relative alla rete cellulare (impostazioni dei dati cellulare per le app, eSIM, modifiche del piano) e l'APN cellulare. Rete: reti Wi-Fi (anche enterprise 802.1X), VPN, certificati, proxy globale, DNS crittografato e filtro dei contenuti web, e restrizioni di connettività come AirDrop e Bluetooth. Sistema e interfaccia utente: limita funzionalità di sistema come Handoff, il nome del dispositivo e il salvaschermo. Aggiornamenti software: richiedi una versione del sistema entro una scadenza e controlla come vengono scaricati e installati gli aggiornamenti. macOS: firewall, Gatekeeper, salvaschermo e blocco, archivi esterni e di rete, Condivisione schermo, autorizzazioni per la privacy e oggetti di login dei Mac. App e servizi Apple: limita app e servizi Apple come iMessage, Game Center e Dov'è. Siri e Apple Intelligence: limita Siri, la dettatura e le funzionalità di Apple Intelligence. iCloud: consenti o nega specifici servizi iCloud (backup, sincronizzazione del portachiavi, inoltro privato, ecc.). Posizione e geofence: aree in cui gli iPhone e gli iPad con l'app Cerberus Enterprise segnalano l'ingresso o l'uscita, per le regole degli eventi. Account: limita la modifica degli account e configura gli account Mail, Exchange, Google, calendario, contatti e directory. Regole di conformità: requisiti (codice di accesso, versione minima del sistema, supervisione, FileVault) che rendono i dispositivi non conformi, con blocco facoltativo. Molte opzioni dell'Apple Policy Editor includono un tooltip che documenta i requisiti e le versioni del sistema supportate. Salvataggio, eliminazione e dispositivi associati Usa Salva policy per applicare le modifiche. Il pulsante è disattivato quando non ci sono modifiche in sospeso o quando la licenza è scaduta. Quando modifichi una policy esistente, la pagina mostra anche un'azione Elimina policy. L'editor può mostrare in fondo un elenco Dispositivi associati, così puoi vedere quanti dispositivi stanno attualmente usando la policy. Pagine successive App e profili: configura le app installate e i profili di configurazione. Kiosk e schermata Home: Modalità app singola, app consentite, layout della schermata Home e web clip. Codice di accesso: configura i requisiti del codice di accesso e le opzioni di sicurezza correlate. Limitazioni: definisci le funzioni consentite e le limitazioni a livello di sistema. Rete: reti Wi-Fi, VPN, certificati e restrizioni di connettività. Aggiornamenti software: aggiornamenti del sistema richiesti e impostazioni degli aggiornamenti software. macOS: firewall, Gatekeeper, blocco schermo, archivi, autorizzazioni per la privacy e oggetti di login dei Mac. Posizione e geofence: aree di cui gli iPhone e gli iPad segnalano l'ingresso e l'uscita, e cosa serve perché funzionino. Account: account di posta, Exchange, Google, calendario, contatti e directory. Regole di conformità: requisiti per i dispositivi e blocco dei dispositivi non conformi. App e profili Questa sezione descrive come configurare applicazioni gestite e payload degli account per i dispositivi Apple. Gestione delle app Il pannello Gestione delle app contiene sia le restrizioni generali relative alle app sia un elenco delle app gestite. Restrizioni generali delle app Consenti App Clip Consenti installazione delle app Consenti rimozione delle app Consenti download automatici delle app Consenti di nascondere le app Consenti di bloccare le app Consenti acquisti in-app Consenti modifica del browser predefinito Consenti attendibilità delle app aziendali App gestite Usa Aggiungi applicazione per aggiungere un'app alla policy. Ogni app gestita viene visualizzata come una scheda. Puoi espandere la scheda per modificarne le impostazioni e rimuovere l'app usando l'azione di eliminazione. ID App Store: l'identificatore App Store dell'app gestita. Bundle ID: l'identificatore del bundle dell'app. Comportamento di installazione: controlla se l'app deve rimanere installata o può essere installata/rimossa dall'utente. Assegnazione: il tipo di licenza, scelto da Cerberus per ogni dispositivo: una licenza dispositivo sui dispositivi aziendali, una licenza utente del Managed Apple Account su iPhone e iPad personali (registrazione utente). Il campo non può essere modificato. Licenza VPP: tipo di licenza VPP usato per l'installazione tramite l'App Store. L'elenco di selezione delle app mostra le licenze disponibili e totali di ogni app. Le app gratuite mostrano Illimitate: Apple concede loro licenze illimitate. Un'app può essere aggiunta a una policy una sola volta: un'app con lo stesso ID App Store o bundle ID di un'app già presente nella policy viene rifiutata, e lo stesso vale per una policy che elenca due volte la stessa app al momento del salvataggio. L'elenco di selezione delle app mostra le app della tua libreria di Apple Business. Per aggiungere un'app, in Apple Business apri Apps & Services → Apps & Books → App Store, cerca l'app e fai clic su View. Per un'app gratuita, fai clic su Add, seleziona All current and future (o l'unità organizzativa del tuo token di Apps and Books) in Organizational Units, fai clic su Add, poi su Review e conferma. Per un'app a pagamento, fai clic sul suo prezzo, scegli Managed Licenses come License Type (i codici di riscatto non possono essere usati da Cerberus Enterprise), seleziona l'Organizational Unit del tuo token di Apps and Books, inserisci il numero di Licenses (fino a 1.000 per ordine), poi Review e acquista. Prima deve essere impostato un metodo di pagamento in Settings → Payments & Billing → Apps & Services → Payment Methods. Le app compaiono quindi nell'elenco di selezione delle app. App sui dispositivi personali (registrazione utente) Gli iPhone e iPad personali registrati con la registrazione utente non hanno un numero di serie, quindi ricevono le app dell'App Store della policy con una licenza utente del Managed Apple Account con cui è stato effettuato l'accesso sul dispositivo. Cerberus registra l'account con Apps and Books e assegna le licenze autonomamente, comprese le app gratuite. I Managed Apple Account e il token di Apps and Books devono appartenere alla stessa organizzazione di Apple Business. Un'app a pagamento usa una licenza per account, condivisa da tutti i dispositivi personali di quell'account. In attesa di una licenza utente: l'app viene inviata al dispositivo solo dopo che Apple ne conferma la licenza, di solito entro pochi minuti. Il pannello Applicazioni del dispositivo mostra il motivo. Licenza utente non riuscita: Apple non è riuscita ad assegnare la licenza, ad esempio perché un'app a pagamento non ha più licenze. Aggiungi licenze in Apple Business, poi usa Richiedi di nuovo; Cerberus riprova anche autonomamente ogni giorno. Richiesta di installazione: iOS chiede all'utente prima di installare ogni app. Se l'utente annulla, l'app mostra In attesa dell'approvazione dell'installazione da parte dell'utente; Richiedi di nuovo mostra di nuovo la richiesta. Rilascio: rimuovere l'app dalla policy o annullare la registrazione dell'ultimo dispositivo personale dell'account rimuove l'app e rilascia la sua licenza, a meno che un altro dispositivo registrato dello stesso account ne abbia ancora bisogno. Per i dettagli, consulta Registrazione basata sull'account Apple. Configurazione gestita Una configurazione gestita fornisce a un'app le sue impostazioni (ad esempio un indirizzo del server o un nome account), come documentate dal fornitore dell'app. Apri l'app nella policy e fai clic su Aggiungi configurazione gestita. Viene inviata a iPhone e iPad con iOS o iPadOS 18.4 o versioni successive e ai Mac con macOS 27 o versioni successive; non viene ancora inviata ad Apple Vision Pro. L'app deve supportare la configurazione gestita: un'app che non la legge la ignora. Il pannello dell'app mostra il numero di chiavi accanto al nome dell'app. Chiavi: ogni riga ha una chiave, un tipo e un valore. I tipi sono Testo, Intero, Numero decimale, Booleano, Data, Elenco di testo ed Elenco di interi. Le chiavi distinguono maiuscole e minuscole e devono essere univoche. Aggiungi chiave aggiunge una riga; Rimuovi configurazione rimuove tutte le chiavi. Variabili: i valori Testo ed Elenco di testo possono contenere $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$, sostituite con i valori di ogni dispositivo e del suo utente. Una variabile senza valore (ad esempio $EMAIL$ su un dispositivo senza utente) viene lasciata vuota e i log di sistema lo indicano. Quando i dettagli di un utente cambiano, i dispositivi ricevono i nuovi valori; per gli utenti sincronizzati da Google Directory i valori vengono aggiornati alla successiva modifica della policy o del dispositivo. Importa una configurazione: apri o incolla il file che il fornitore dell'app pubblica per MDM, poi fai clic su Leggi. Un file spec AppConfig (specfile.xml) elenca ogni chiave supportata dall'app con la sua descrizione, tipo, valore predefinito e valori consentiti: seleziona le chiavi da importare (quelle con un valore predefinito sono già selezionate) e compila le altre dopo l'importazione. Compare un avviso quando il file spec è per un'altra app. Una property list (un'intera property list o solo il suo ) viene importata così com'è. Poi scegli se sostituire le chiavi attuali o aggiungerle. I dizionari annidati, i valori di tipo data e gli elenchi con tipi misti o sconosciuti non sono supportati e vengono elencati come ignorati. Apple non pubblica le chiavi di configurazione delle app, quindi chiedi il file al fornitore quando non è nella sua documentazione. Copia come plist copia la configurazione come la riceve il dispositivo, prima che le variabili vengano sostituite. Limiti: fino a 200 chiavi per app; chiavi fino a 255 caratteri; valori di testo fino a 4.096 caratteri; elenchi fino a 200 elementi di massimo 1.024 caratteri ciascuno; date tra il 1970 e il 9999; 64 KB per app in totale. Non per le password: la configurazione viene inviata solo al dispositivo per cui è costruita e i log mostrano solo nomi e tipi delle chiavi, ma gli amministratori della dashboard possono leggere i valori e l'indirizzo da cui il dispositivo la scarica cambia con i valori, quindi un valore facile da indovinare (un booleano o un numero piccolo) potrebbe essere dedotto. Non inserire password o altri segreti in una configurazione gestita. Stato: quando il dispositivo segnala che l'app non ha accettato la sua configurazione, il pannello Applicazioni del dispositivo mostra Configurazione non accettata accanto all'app. Questo non rende il dispositivo non conforme. Una configurazione che il dispositivo non riesce a scaricare, invece, lo rende non conforme. Opzioni delle app Ogni app della policy (App Store e app personalizzate) ha queste opzioni. Predefinito del dispositivo lascia la scelta al dispositivo. I dispositivi che non supportano un'opzione non la ricevono; l'app viene comunque installata. Aggiornamenti automatici: impostazione dell'App Store, Sempre o Mai. iOS, iPadOS, macOS e visionOS 26 o versioni successive. Per le app personalizzate, l'impostazione dell'App Store si comporta come Mai. Download tramite rete cellulare: impostazione dell'App Store, Sempre o Mai, per installazioni e aggiornamenti automatici. Solo iPhone e iPad supervisionati con iOS o iPadOS 26 o versioni successive. Esegui il backup dei dati dell'app: indica se i dati dell'app sono inclusi nei backup del dispositivo. Non su Mac. L'utente può nascondere l'app e L'utente può bloccare l'app: iOS e iPadOS 18.1 o versioni successive, applicato sui dispositivi supervisionati. Non consentire il blocco impedisce anche di nascondere. Le restrizioni Consenti di nascondere le app e Consenti di bloccare le app si applicano a tutte le app. Blocca il dispositivo dopo le transazioni Tap to Pay che richiedono il PIN del cliente: solo iPhone. Domini associati: i domini a cui è associata l'app (ad esempio per i link universali o la compilazione automatica delle password), fino a 50. Inserisci nomi host semplici come www.example.com, senza applinks:, caratteri jolly o ?mode=. Non su Mac. Verifica i domini direttamente: il dispositivo controlla direttamente il file di associazione del sito dei domini invece che tramite i server di Apple. Attivalo solo per i domini interni che non sono raggiungibili da Internet. Rimozione: le app installate come Obbligatorie non possono essere rimosse dall'utente. App del Mac App Store L'elenco di selezione delle app mostra le piattaforme di ogni app (iPhone/iPad, Mac, Apple TV, Vision); un'app disponibile solo per Mac mostra l'icona Mac. Un'app disponibile solo per Mac si applica ai Mac quando la aggiungi. Un'app dell'App Store senza versione per Mac non viene inviata ai Mac: la policy mostra "Questa app non ha una versione per Mac: non viene inviata ai Mac" sotto Si applica a. I Mac ricevono le app dell'App Store tramite il loro ID App Store, quindi le app con un bundle ID diverso su Mac vengono installate correttamente. App Cerberus Enterprise Cerberus installa la sua app Cerberus Enterprise su ogni iPhone e iPad con iOS o iPadOS 18.4 o versioni successive, con o senza policy. L'app condivide la posizione del dispositivo e riceve notifiche e richieste di tracciamento in tempo reale. Viene installata come Obbligatoria, con una licenza dispositivo di Apps and Books (una licenza utente sui dispositivi personali), quindi l'utente non può eliminarla. Configurazione una tantum: aggiungi una volta l'app gratuita alla tua libreria. In Apple Business, apri Apps & Services → Apps & Books → App Store, cerca "Cerberus Enterprise", fai clic su View, poi su Add, seleziona All current and future in Organizational Units, fai clic su Add, poi su Review e conferma. Se l'app mostra Manage, è già nella tua libreria: aprila e verifica che le sue unità organizzative siano All current and future units. Fino ad allora la dashboard mostra un banner e i dispositivi mostrano l'app come non installata. Vedi Impostazioni account Non nelle policy: l'app non può essere aggiunta a una policy. È disabilitata nell'elenco di selezione delle app e rifiutata come app personalizzata (stesso bundle ID). Una policy che la elenca già vede rimuovere la voce quando la apri: salva la policy per confermare. Non installata su: dispositivi con iOS o iPadOS precedente alla 18.4. L'installazione su iPad condiviso è supportata, ma le funzionalità dell'app non sono verificate su tali dispositivi. Dispositivi personali: su iPhone e iPad registrati con User Enrollment, anche l'app viene installata, con una richiesta di installazione e una licenza utente del Managed Apple Account. Riceve messaggi dalla tua organizzazione e non accede alla posizione a meno che la policy attivi Posizione e geofence sui dispositivi personali e l'utente lo consenta. Mantenuta installata: se il token di Apps and Books scade o l'app esce dalla tua libreria, l'app resta sui dispositivi e la pagina del dispositivo indica che Apps and Books richiede attenzione. Viene rimossa solo se l'app è ancora assente dalla tua libreria dopo 24 ore. App personalizzate Le app personalizzate sono le tue app per iPhone e iPad (file .ipa), distribuite senza l'App Store. In Xcode, esporta l'app per la distribuzione Enterprise (Apple Developer Enterprise Program: si installa su ogni dispositivo) o Ad Hoc (si installa solo sui dispositivi registrati nel suo profilo di provisioning). Le build dell'App Store non possono essere caricate. Fai clic su Aggiungi app personalizzata per aprire le app personalizzate della tua organizzazione. Carica app aggiunge un file .ipa (fino a 2 GB). Seleziona un'app e fai clic su Aggiungi alla policy. L'elenco mostra la versione, il tipo di firma, il numero di dispositivi nel profilo delle app ad hoc e la data di scadenza del profilo di provisioning. Nuova versione: carica un'app con lo stesso bundle ID. Sostituisce la versione precedente e i dispositivi delle policy che la usano aggiornano l'app. Requisiti: iPhone e iPad con iOS 17.2 o versioni successive. I dispositivi che non possono installare l'app non la ricevono: un'app solo per iPad su un iPhone, un iOS precedente a quello richiesto dall'app, un dispositivo non presente nel profilo di un'app ad hoc o un profilo di provisioning scaduto. Scadenza: quando il profilo di provisioning scade, l'app non si apre più. Carica una versione firmata con un nuovo profilo prima della data di scadenza. Bundle ID riservato: un'app personalizzata con il bundle ID dell'app Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) non può essere aggiunta a una policy, perché Cerberus installa quell'app autonomamente. Elimina: rimuovi prima l’app dalle sue policy; i dispositivi la rimuoveranno poi. Pacchetti Mac Anche le app personalizzate accettano pacchetti di installazione per Mac (file .pkg). Il pacchetto deve essere un pacchetto di distribuzione creato con productbuild (un pacchetto componente creato solo con pkgbuild viene rifiutato) e firmato con un certificato Developer ID Installer. Si consiglia di notarizzarlo e di applicare il ticket (notarytool e stapler). I pacchetti non firmati, i pacchetti modificati dopo la firma e i pacchetti firmati con altri certificati vengono rifiutati. Carica il file .pkg con Carica app e aggiungilo alla policy: compare in Pacchetti Mac. iPhone e iPad lo ignorano. I Mac con macOS 26 o versioni successive (supervisionati, il che include i Mac registrati manualmente, ma non la registrazione utente) ricevono il pacchetto come dichiarazione: il Mac lo scarica, lo installa, riprova e lo aggiorna da solo e ne segnala lo stato. I Mac meno recenti, e i pacchetti installati come app gestite, lo ricevono con un comando MDM, su qualsiasi versione di macOS. Un Mac aggiornato a macOS 26 passa da solo alla dichiarazione; può installare di nuovo ogni pacchetto una volta. Lo stesso può accadere quando un Mac passa a un’altra policy che contiene lo stesso pacchetto. Nuova versione: carica un pacchetto con lo stesso identificatore di pacchetto. Sostituisce la versione precedente e i Mac delle policy che lo usano installano quella nuova. Mac saltati: Mac con una versione di macOS precedente a quella consentita dal pacchetto e Mac Intel per pacchetti creati solo per Apple silicon. La pagina del dispositivo mostra il pacchetto come Saltato, con il motivo; la versione installata in precedenza resta sul Mac. Installa: Obbligatorio (predefinito) installa il pacchetto sul Mac; Facoltativo rende il pacchetto disponibile sul Mac senza installarlo. macOS 26 non mostra i pacchetti facoltativi all’utente in Impostazioni di Sistema o nell’App Store (testato su macOS 26.3), quindi un’app o uno script sul Mac deve installarli; scegli Facoltativo solo se ne disponi. Si applica ai Mac con macOS 26 o versioni successive; i Mac meno recenti installano sempre il pacchetto. L’opzione non è disponibile per i pacchetti installati come app gestite. Rimuovi i file del pacchetto quando esce dalla policy (macOS 27 o versioni successive): quando il pacchetto viene rimosso dalla policy, i Mac con macOS 27 o versioni successive eliminano i file che ha installato. È disattivato per impostazione predefinita. Sui Mac meno recenti i file restano. Non disponibile per i pacchetti installati come app gestite. Installa come app gestita: attivalo per un pacchetto della policy per installare la sua app come app gestita (macOS 11 o versioni successive, non con la registrazione utente). macOS segnala quindi quando l’installazione non riesce e MDM può rimuovere l’app. L’app deve essere installata direttamente nella cartella Applicazioni, firmata con un certificato Developer ID Application e notarizzata; su macOS da 11 a 13 il pacchetto deve contenere solo quell’app (nessun altro file o script). Le app personalizzate mostrano quali pacchetti sono idonei. Quando l’opzione non può essere applicata su un Mac, il pacchetto viene installato lì come al solito e la pagina del dispositivo ne spiega il motivo. Opzioni di rimozione di un’app gestita: Rimuovi l’app quando il pacchetto viene rimosso dalla policy (attivato per impostazione predefinita) e Rimuovi l’app quando il Mac esce dalla gestione. La rimozione di un’app elimina anche i suoi dati. Se l’utente aveva già installato la stessa app, quella copia diventa gestita e viene rimossa anch’essa. Rimozione: il comando MDM non può disinstallare un pacchetto. Per un pacchetto installato come app gestita, rimuoverlo dalla policy rimuove l’app (quando l’opzione è attiva); gli altri suoi file e la ricevuta del pacchetto restano. I pacchetti con Rimuovi i file del pacchetto attivo vengono rimossi dai Mac con macOS 27 o versioni successive. Altri pacchetti: rimuoverli dalla policy interrompe solo le nuove installazioni, i file restano sui Mac. Un Mac saltato (ad esempio dopo una nuova versione che richiede un macOS più recente) mantiene l’app finché il pacchetto è nella policy; rimuovendo poi il pacchetto dalla policy viene rimossa anche l’app. Rimuovi i file rimasti sul Mac (ad esempio con il disinstallatore del pacchetto) ed esegui sudo pkgutil --forget per dimenticare la ricevuta del pacchetto. Stato sul dispositivo: il pannello Applicazioni del Mac mostra ogni pacchetto della policy come In coda, Accettato (il Mac ha accettato il comando), Scaricato, Installato (solo per i pacchetti che contengono app, quando le app vengono trovate sul Mac) o Non riuscito (con l’errore). macOS non segnala l’installazione di un pacchetto inviato con il comando, quindi Scaricato è l’ultimo stato per i pacchetti senza app. Un pacchetto installato come app gestita diventa Non riuscito anche quando macOS segnala che l’app non è stata installata o è stata rimossa dal Mac. Installa di nuovo invia di nuovo il pacchetto al Mac. Stato con la dichiarazione: i pacchetti consegnati come dichiarazione mostrano il chip Dichiarazione e lo stato segnalato dal Mac: In coda, Disponibile (un pacchetto facoltativo che l’utente non ha installato), In attesa dell’utente, Download in corso, Installazione in corso, Installato o Non riuscito (con il motivo, ad esempio un download o un’installazione non riusciti, o una dichiarazione rifiutata dal Mac). Il chip File rimossi con la policy contrassegna i pacchetti i cui file vengono rimossi da un Mac con macOS 27 quando escono dalla policy. Installa di nuovo compare solo dopo un errore e chiede al Mac di riprovare; non viene offerto quando il Mac ha rifiutato la dichiarazione. Account Il pannello Account ti consente di configurare gli account applicati ai dispositivi gestiti. Include anche un’opzione di restrizione per la modifica degli account. Restrizione Consenti la modifica degli account: se disattivato, gli utenti non possono modificare account come gli account Apple e gli account internet. Aggiungi account Usa Aggiungi account Google o Aggiungi account di posta per aggiungere i payload degli account alla policy. Ogni account compare come una scheda con i suoi campi di configurazione. Credenziali dell’account fornite dagli utenti Sia le schede degli account Google sia quelle degli account di posta forniscono un’opzione Credenziali dell’account fornite dagli utenti. Se attivata, il sistema applica le credenziali dell’account per singolo utente. Se disattivata, inserisci l’identità dell’account nella policy. Campi dell’account Google Nome visibile: il nome mostrato all’utente per l’account. Indirizzo email Google: l’indirizzo email dell’utente. Nome completo: il nome completo dell’utente. Campi dell’account di posta Gli account di posta includono i campi di identità e la configurazione dei server in entrata e in uscita. I nomi host sono obbligatori. Nome visibile: il nome mostrato all’utente per l’account di posta. Indirizzo email: l’indirizzo email dell’utente. Nome completo: il nome completo dell’utente. Server in entrata Tipo di server: protocollo di posta (ad esempio IMAP o POP). Metodo di autenticazione: metodo di autenticazione per il server. Prefisso del percorso IMAP: mostrato solo quando il Tipo di server è IMAP. Nome host: obbligatorio. Porta: porta del server (1–65535). Server in uscita Metodo di autenticazione Nome host: obbligatorio. Porta: porta del server (1–65535). Opzioni S/MIME Per gli account di posta, puoi anche configurare il comportamento di cifratura e firma S/MIME. Cifratura Cifratura S/MIME Identità modificabile dall’utente Interruttore per singolo messaggio attivo Modificabile dall’utente Firma Firma S/MIME Identità modificabile dall’utente Modificabile dall’utente Le opzioni degli account e delle restrizioni includono tooltip nella dashboard che documentano i prerequisiti e le versioni del sistema operativo supportate. Chiosco e schermata Home La sezione Chiosco e schermata Home dell’Editor delle policy Apple blocca i dispositivi su una sola app, sceglie quali app possono essere aperte, dispone la schermata Home e aggiunge icone di siti web. Ogni impostazione viene installata sui dispositivi come profilo di configurazione. Apple applica la maggior parte di queste impostazioni solo agli iPhone e agli iPad supervisionati (dispositivi registrati con Automated Device Enrollment o preparati con Apple Configurator). Gli altri dispositivi non le ricevono. Le web clip funzionano anche su iPhone e iPad non supervisionati. I Mac non ricevono nessuna di queste impostazioni. Scelta delle app Le app sono identificate dal loro bundle ID. Digita il nome di un’app per sceglierla tra le app Apple integrate e le app della policy, oppure digita un bundle ID qualsiasi, ad esempio com.example.app. Modalità app singola Il dispositivo esegue solo l’app scelta: gli utenti non possono tornare alla schermata Home né aprire altre app. Installa prima l’app con la policy. Il dispositivo esce dalla modalità app singola quando disattivi l’impostazione o rimuovi l’app. Opzioni: disattiva il touchscreen, la rotazione, i pulsanti del volume, l’interruttore Suoneria/Silenzioso, il pulsante laterale o il blocco automatico e attiva funzioni di accessibilità come VoiceOver o Zoom. Funzioni di accessibilità che l’utente può attivare: funzioni che l’utente può attivare con un triplo clic del pulsante laterale. App consentite e bloccate App bloccate: i dispositivi nascondono queste app e non le aprono. com.apple.webapp blocca tutte le web clip. Impostazioni e, su iPhone, Telefono non possono essere bloccati. Consenti solo alcune app: i dispositivi mostrano solo queste app. Lascia vuoto l’elenco per consentire tutte le app. App della policy aggiunge le app installate dalla policy; com.apple.webapp consente tutte le web clip. App che possono avviare la modalità app singola: app che possono bloccare il dispositivo su se stesse mentre ne hanno bisogno, ad esempio durante un esame. Con Consenti solo alcune app, ogni app che non è nell'elenco scompare dai dispositivi, incluse le app della policy. Impostazioni e, su iPhone, Telefono restano sempre. Layout della schermata Home Disponi il Dock e le pagine della schermata Home. Aggiungi app, cartelle di app e le web clip della policy, scegliendo dove con Aggiungi a, e trascina le icone per spostarle tra il Dock e le pagine. Fai clic su una cartella per modificarne il nome e le app. Gli utenti non possono spostare le icone né rimuovere app dalla schermata Home. Le app che non sono nel layout vanno nelle pagine successive a quelle definite. Un iPhone mostra quattro icone nel Dock. Gli utenti possono comunque eliminare le app non obbligatorie nella schermata di archiviazione delle Impostazioni. Per impedirlo, disattiva Consenti rimozione app in Gestione app. Web clip Una web clip è un’icona sulla schermata Home che apre un sito web. Imposta l’etichetta e l’URL e, facoltativamente, un’immagine (PNG o JPEG, ritagliata in un quadrato). Gli utenti possono rimuoverla: disattiva per mantenere l’icona sui dispositivi. Schermo intero: il sito web si apre come web app, senza la barra degli indirizzi di Safari. Resta a schermo intero sugli altri siti web apre nella web app anche i link ad altri siti web. Apri con questa app: un’app che apre l’URL al posto di Safari. Impostazioni delle notifiche Scegli in che modo i dispositivi mostrano le notifiche di alcune app: se sono consentite, dove compaiono (schermata di blocco, Centro notifiche, CarPlay), i badge, i suoni, gli avvisi critici, lo stile dei banner, il raggruppamento e le anteprime. Gli utenti non possono modificare queste impostazioni. Messaggio della schermata di blocco Un messaggio mostrato in fondo alla schermata di blocco, ad esempio chi chiamare se il dispositivo viene trovato, e un’etichetta di inventario. Entrambi possono contenere le variabili $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$: una variabile senza valore per il dispositivo viene lasciata vuota. Codice La sezione Impostazioni del codice di accesso controlla i requisiti del codice di accesso del dispositivo e le regole di sicurezza correlate (ad esempio lunghezza minima e complessità). Su un Mac (macOS 13 o versione successiva, non con la Registrazione utente) le regole si applicano alla password di accesso degli utenti. Opzioni Nell’Editor delle policy Apple, le opzioni del codice di accesso vengono configurate con una combinazione di interruttori e campi numerici. Molti campi includono tooltip che indicano le versioni del sistema operativo supportate e i requisiti di supervisione. Interruttori del codice di accesso Cambia alla prossima autenticazione: forza la reimpostazione del passcode alla prossima autenticazione dell'utente. Richiedi passcode alfanumerico: richiedi almeno un carattere alfabetico e un numero. Richiedi passcode complesso: richiedi un passcode “complesso” (nessun pattern ripetitivo/sequenziale e almeno un carattere non alfanumerico). Richiedi passcode: richiedi un passcode senza ulteriori requisiti di lunghezza/qualità. Nota: impostare altre chiavi del passcode richiede implicitamente un passcode. Campi numerici Reimpostazione tentativi non riusciti (minuti): minuti prima che il contatore dei tentativi non riusciti venga reimpostato (richiede Numero massimo di tentativi non riusciti). Numero massimo di tentativi non riusciti: tentativi non riusciti consentiti prima che un iPhone o un iPad venga cancellato, o un Mac venga bloccato (intervallo: 2–11). Periodo di tolleranza massimo (minuti): per quanto tempo il dispositivo può restare sbloccato senza richiedere il passcode (0 = nessuno). Inattività massima (minuti): tempo di inattività prima che il dispositivo si blocchi (intervallo: 0–15). Durata massima del passcode (giorni): durata massima del passcode prima di una modifica forzata (intervallo: 0–730). Caratteri complessi minimi: numero minimo di caratteri “complessi” (intervallo: 0–4). Lunghezza minima: lunghezza minima del passcode (intervallo: 0–16). Limite riutilizzo passcode: lunghezza della cronologia dei passcode per evitare il riutilizzo di passcode precedenti (intervallo: 1–50). Restrizioni Le sezioni Restrizioni controllano quali funzioni del sistema operativo sono consentite sui dispositivi Apple gestiti. Nell’Editor delle policy Apple, queste opzioni sono presentate come pannelli raggruppati con più interruttori. Le opzioni dei pannelli Gestione app e Rete sono descritte nelle pagine App e profili e Rete delle policy Apple. Molte restrizioni sono supportate solo su versioni specifiche del sistema operativo e possono richiedere dispositivi supervisionati. Usa i tooltip nella dashboard per i requisiti ufficiali. Sui dispositivi con registrazione utente (dispositivi personali registrati effettuando l’accesso con un account di lavoro), le restrizioni che Apple non consente in quel contesto non vengono inviate. Se nessuna delle restrizioni della policy si applica, questi dispositivi non ricevono alcun profilo di restrizioni. L’editor delle policy mostra quante restrizioni non si applicano ai dispositivi con registrazione utente. Sicurezza Consenti lo sblocco automatico Consenti l’impronta digitale per lo sblocco Consenti la modifica dell’impronta digitale Consenti cancellazione contenuti e impostazioni Consenti abilitazione delle restrizioni Consenti installazione dei profili da parte degli utenti Consenti associazione con host Consenti invio dati diagnostici Consenti modifica dell'invio di dati diagnostici Consenti pubblicità personalizzata Apple Consenti modifica di Remote Management Multimedia Consenti fotocamera Consenti modifica condivisione file Consenti accesso alle unità USB in File Consenti registrazione delle chiamate Consenti AirPrint Consenti memorizzazione credenziali AirPrint Consenti rilevamento iBeacon per AirPrint Cellulare Consenti modifica dati cellulare delle app Consenti modifica piano cellulare Consenti modifica eSIM Consenti trasferimenti eSIM in uscita Mantieni l'eSIM quando il dispositivo viene cancellato Consenti recupero in background durante il roaming APN cellulare APN cellulare imposta il nome del punto di accesso (APN) fornito dal tuo operatore, ad esempio per una rete mobile privata o aziendale. Imposta il nome del punto di accesso e, se l’operatore li richiede, l’autenticazione (PAP o CHAP), il nome utente (sono consentite variabili come $EMAIL$), la password, le versioni IP (anche in roaming), un server proxy con la sua porta e XLAT464. Attiva Collega APN solo se l’operatore ti fornisce un APN separato per connettersi alla rete. Lo ricevono solo iPhone e iPad cellulari, anche senza supervisione. I dispositivi registrati con la registrazione utente (dispositivi personali) non lo ricevono. Si applica solo alla SIM usata per i dati cellulare. Un dispositivo che ha già installato un profilo APN in un altro modo non lo installa. La password è protetta come le altre password di rete: il profilo viene inviato solo al dispositivo per cui è stato creato e la password non viene scritta nei log. Un APN errato lascia i dispositivi senza dati cellulare: prova prima le impostazioni su un dispositivo di test con una SIM dell’operatore. Sistema e interfaccia utente Consenti Handoff Consenti correzione automatica Consenti oscuramento automatico Consenti salvaschermo automatico Consenti tastiera QuickPath Consenti ricerca delle definizioni Consenti modifica del nome del dispositivo Consenti sospensione del dispositivo Consenti iPhone Mirroring Consenti widget iPhone su Mac Consenti scorciatoie da tastiera App e servizi Apple Consenti iMessage Consenti Game Center Consenti aggiunta di amici in Game Center Consenti Dov'è dispositivo Consenti Dov'è amici Consenti modifica di Dov'è amici Consenti Book Store Consenti contenuti erotici in Book Store Consenti backup dei libri aziendali Consenti sincronizzazione dei metadati dei libri aziendali Consenti iTunes Store Consenti contenuti espliciti Siri e Apple Intelligence Consenti Siri Consenti contenuti generati dagli utenti in Siri Consenti Siri quando il dispositivo è bloccato Consenti dettatura Consenti integrazioni con intelligenze esterne Consenti accesso alle intelligenze esterne Consenti Genmoji Consenti Image Playground Consenti Image Wand iCloud Consenti la rubrica iCloud Consenti il backup iCloud Consenti i segnalibri iCloud Consenti il calendario iCloud Consenti Scrivania e Documenti iCloud Consenti la sincronizzazione dei documenti iCloud Consenti Freeform iCloud Consenti la sincronizzazione del portachiavi iCloud Consenti Mail iCloud Consenti Note iCloud Consenti Libreria foto iCloud Consenti Inoltro privato iCloud Consenti Promemoria iCloud Account (limitazione) Il pannello Account contiene sia una limitazione sia (facoltativamente) la configurazione degli account. L'interruttore della limitazione controlla se l'utente può modificare gli account di sistema. Consenti modifica account Rete La sezione Rete dell'Apple Policy Editor configura reti Wi-Fi e VPN sui dispositivi, installa certificati e limita funzionalità di connettività come AirDrop e Bluetooth. Ogni rete Wi-Fi, VPN e certificato viene installato come profilo di configurazione separato, che puoi vedere sul dispositivo in Impostazioni > Generali > VPN e gestione dispositivo (Mac: Impostazioni di Sistema > Generali > Gestione dispositivo, oppure Privacy e sicurezza > Profili su macOS 13 e 14) e nel pannello Profili, certificati e sicurezza della pagina del dispositivo. I certificati vengono presi dalla pagina Certificati: importali prima lì. La policy vi fa solo riferimento, quindi un certificato non viene mai copiato nella policy. Restrizioni Consenti AirDrop Consenti richieste AirPlay in entrata Consenti modifica Bluetooth Consenti modifica condivisione Bluetooth Consenti accesso alle unità di rete in File Consenti modifica condivisione Internet Consenti cache dei contenuti Consenti condivisione file di iTunes Reti Wi-Fi Fai clic su Aggiungi rete Wi-Fi e compila: Nome della rete (SSID): il nome della rete, fino a 32 caratteri. Sicurezza: nessuna (rete aperta), WEP, WPA o WPA2, WPA2 o WPA3, solo WPA3 oppure qualsiasi. Password: la password di una rete personale. Unisciti automaticamente e Rete nascosta (per le reti che non trasmettono il proprio nome). Proxy: nessuno, manuale (server e porta) o automatico (l’URL di un file PAC, oppure vuoto per trovare le impostazioni sulla rete con WPAD). Nome del profilo (facoltativo) e Si applica a, per limitare la rete ad alcuni tipi di dispositivi. Reti aziendali (802.1X) Attiva Aziendale (802.1X) quando gli utenti si autenticano con le proprie credenziali o un certificato invece di una password condivisa. Autenticazione: PEAP, TTLS (con la sua autenticazione interna, ad esempio MSCHAPv2) o TLS (solo certificato). Credenziali dell’utente del dispositivo: ogni dispositivo usa l’identità EAP, l’identità anonima e la password del suo utente, impostate nella pagina Utenti. I dispositivi senza utente non ricevono la rete. Identità, Identità anonima e Password: le stesse per ogni dispositivo. L’identità può contenere le variabili $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$. Lascia vuota la password per consentire all’utente di digitarla sul dispositivo. Certificato di identità: il certificato client che il dispositivo presenta (obbligatorio per TLS). Vedi le opzioni dei certificati di seguito. Certificati attendibili: i certificati CA che hanno emesso il certificato del tuo server RADIUS. Vengono installati con la rete. Nomi dei server attendibili: i nomi dei certificati del server RADIUS che i dispositivi accettano, ad esempio radius.example.com o *.example.com. VPN Fai clic su Aggiungi VPN per configurare una VPN IKEv2 o Cisco IPSec, integrata in iOS, iPadOS e macOS (non serve un’app VPN). Tipo e Server. Per IKEv2 anche l’Identificatore remoto (l’identità del server, vuoto significa l’indirizzo del server) e l’Identificatore locale, che può contenere le variabili $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$. Autenticazione del dispositivo: un certificato (dalla pagina Certificati, il certificato dell’utente del dispositivo o richiesto a un server SCEP), un segreto condiviso (con il nome del gruppo facoltativo per IPSec) oppure nessuna per i server IKEv2 che controllano solo nome utente e password. Certificati attendibili: i certificati CA del tuo server VPN, installati con la VPN. Per IKEv2 puoi anche impostare l’emittente e il nome attesi del certificato del server. Nome utente e password: l’utente si autentica anche con un nome utente (variabili consentite) e una password (EAP per IKEv2, XAuth per IPSec). Lascia vuota la password per consentire all’utente di digitarla sul dispositivo. Nome VPN (mostrato in Impostazioni) e Si applica a. Connessione L’utente si connette in Impostazioni: la VPN viene installata e l’utente la attiva quando serve. Su richiesta: il dispositivo connette automaticamente la VPN. Con tranne che su Wi-Fi attendibili la VPN non viene usata sulle reti Wi-Fi che elenchi, ad esempio la rete dell’ufficio. Sempre attiva (IKEv2, solo iPhone e iPad supervisionati): tutto il traffico passa attraverso la VPN su rete cellulare e Wi-Fi e l’utente non può disattivarla. Gli altri dispositivi non ricevono questa VPN. Se la VPN usa un nome utente, la password deve essere impostata nella policy. VPN per app: solo alcune app usano la VPN. Scegli la VPN per ogni app nella sezione Gestione app (campo VPN dell’app, non disponibile su Mac) e, facoltativamente, elenca i domini Safari che la usano. Prova prima una VPN Sempre attiva o su richiesta su un dispositivo di test: se il server non è raggiungibile, il dispositivo potrebbe non avere alcuna connessione. Proxy globale, DNS cifrato e filtro dei contenuti web Queste impostazioni si applicano a tutto il traffico del dispositivo. Attivale con il rispettivo interruttore. Proxy HTTP globale (iPhone e iPad supervisionati, Mac): tutto il traffico HTTP passa attraverso il proxy, su ogni rete. Imposta il server e la porta (con nome utente e password facoltativi) oppure una configurazione automatica (URL del file PAC, oppure vuoto per trovarlo sulla rete). Consenti le pagine di accesso Wi-Fi permette all’utente di accedere alle reti Wi-Fi pubbliche senza il proxy. DNS cifrato: il dispositivo risolve i nomi con il tuo server DNS tramite DNS over HTTPS (URL del server) o DNS over TLS (nome del server), facoltativamente solo per alcuni domini. Sui dispositivi supervisionati puoi impedire all’utente di disattivarlo. Filtro dei contenuti web (iPhone e iPad supervisionati): il filtro integrato in iOS limita i siti web per adulti, con elenchi di siti web sempre consentiti o sempre bloccati, oppure consente solo un elenco di siti web, mostrati come segnalibri in Safari. Un proxy o un server DNS errato può lasciare i dispositivi senza connessione: prova prima le impostazioni su un dispositivo di test. Certificati Fai clic su Aggiungi certificato per installare un certificato da solo: un’autorità di certificazione a cui Safari e le app devono fidarsi, oppure un’identità usata dalle app. I certificati di una rete Wi-Fi o di una VPN non devono essere aggiunti qui. Opzioni dei certificati Un certificato della pagina Certificati: lo stesso certificato su ogni dispositivo. Fai clic su Scegli un certificato per selezionarlo. Il certificato dell’utente del dispositivo: ogni dispositivo riceve il certificato client collegato al suo utente. I dispositivi il cui utente non ha un certificato non lo ricevono. Quando colleghi un altro certificato all’utente, i dispositivi vengono aggiornati. Richiesto a un server SCEP: ogni dispositivo richiede il proprio certificato al tuo server SCEP (ad esempio Microsoft NDES), così la chiave privata non lascia mai il dispositivo. Imposta l’URL del server, la challenge se il server la richiede, il soggetto (ad esempio CN=$EMAIL$), i nomi alternativi, la dimensione della chiave e l’utilizzo della chiave. I certificati client (.p12) protetti con la vecchia crittografia RC2 non possono essere installati sui dispositivi Apple. Esportali di nuovo con crittografia 3DES o AES prima di importarli. Sicurezza I profili che contengono password o chiavi private vengono inviati solo al dispositivo per cui sono stati creati: il dispositivo deve firmare la sua richiesta con il suo certificato di gestione. Le password e i certificati non vengono scritti nei log. Aggiornamenti software La sezione Aggiornamenti software dell'Apple Policy Editor mantiene i dispositivi aggiornati: può richiedere una versione specifica del sistema entro una scadenza e controllare come i dispositivi scaricano e installano gli aggiornamenti. Aggiornamenti del sistema richiesti Fai clic su Aggiungi aggiornamento richiesto per richiedere una versione del sistema. Il dispositivo scarica l'aggiornamento, comunica all'utente la scadenza e lo installa alla scadenza se l'utente non l'ha già fatto. I dispositivi che eseguono già quella versione o una successiva lo ignorano. Richiede iOS e iPadOS 17 o macOS 14. Si applica a (obbligatorio): iPhone e iPad, oppure Mac. Ogni sistema ha i propri numeri di versione, quindi aggiungi un aggiornamento richiesto per ciascuno. Versione del sistema: la versione da installare, ad esempio 18.5 o 15.4.1. Build (facoltativo): una build specifica, ad esempio una beta o un Miglioramento della sicurezza in background. Installa entro: la scadenza, nell'ora locale di ciascun dispositivo. Una data passata fa sì che i dispositivi installino l'aggiornamento il prima possibile. URL dei dettagli (facoltativo): una pagina web sull'aggiornamento, mostrata all'utente. Il dispositivo segnala l'avanzamento dell'aggiornamento (download, installazione, errori) nel pannello Stato dispositivo della pagina del dispositivo. Impostazioni degli aggiornamenti software Attiva Impostazioni degli aggiornamenti software per iPhone e iPad o Impostazioni degli aggiornamenti software per Mac per controllare gli aggiornamenti su quei dispositivi. Quando un interruttore è disattivato, i dispositivi mantengono le proprie impostazioni. Richiede iOS e iPadOS 18 o macOS 15: i dispositivi meno recenti ignorano queste impostazioni. Posticipa aggiornamenti: i nuovi aggiornamenti vengono mostrati all'utente solo dopo il numero di giorni indicato (da 1 a 90). Su un Mac puoi impostare periodi diversi per gli aggiornamenti major, gli aggiornamenti minor e gli altri aggiornamenti di sistema. Aggiornamenti mostrati all'utente (iPhone e iPad): quando è disponibile più di un aggiornamento, mostrali tutti, solo l'aggiornamento minor più vecchio o solo il più recente. Gli utenti standard possono installare gli aggiornamenti (Mac): gli utenti senza diritti di amministratore possono installare gli aggiornamenti di macOS. Notifica all'utente gli aggiornamenti richiesti: mostra le notifiche sugli aggiornamenti richiesti e la loro scadenza. Download automatico, Installazione automatica e Aggiornamenti di sicurezza automatici: lascia decidere all'utente (impostazione predefinita di Apple) oppure mantienili sempre attivi o sempre disattivati. Miglioramenti della sicurezza in background: offri all'utente le correzioni di sicurezza rapide di Apple e scegli se l'utente può rimuoverle. Programmi beta: consenti all'utente di partecipare ai programmi beta di Apple, oppure rimuovi il dispositivo e bloccali (su iPhone e iPad, solo dispositivi supervisionati). Installare un aggiornamento dalla pagina del dispositivo Il pannello Stato dispositivo di un dispositivo elenca gli aggiornamenti disponibili. Usa Verifica aggiornamenti per chiedere al dispositivo l'elenco e Installa per installarne uno subito o per scaricarlo e lasciare che lo installi l'utente. Funziona su iPhone e iPad supervisionati e sui Mac. Apple rimuove questi comandi in iOS, iPadOS e macOS 27: su quelle versioni usa gli aggiornamenti richiesti della policy. macOS La sezione macOS dell’Editor delle policy Apple gestisce le impostazioni di sicurezza, privacy e accesso dei Mac: FileVault, firewall, Gatekeeper, salvaschermo e blocco, archiviazione esterna e di rete, Condivisione schermo, autorizzazioni per la privacy, elementi di accesso e le estensioni di sistema e del kernel autorizzate a caricarsi. Installa anche i file di configurazione dei servizi di sistema e delle attività in background. Gli altri dispositivi della policy non ricevono queste impostazioni. Attiva un’impostazione per gestirla; finché è disattivata, gli utenti mantengono le proprie scelte. La maggior parte delle impostazioni viene installata sul Mac come profili di configurazione, visibili in Impostazioni di Sistema > Generali > Gestione dispositivo. FileVault, le autorizzazioni per la privacy, gli elementi di accesso e le impostazioni delle estensioni richiedono un MDM approvato dall’utente: su un Mac registrato con l’URL di registrazione o il codice QR, l’utente approva il profilo di registrazione in Impostazioni di Sistema. La pagina del dispositivo lo mostra nel campo MDM approvato dall’utente. Quando l’utente lo approva in seguito, il Mac riceve automaticamente queste impostazioni. FileVault FileVault cifra il disco del Mac. Con questa impostazione attiva, agli utenti viene chiesto di attivare FileVault con la loro password e il Mac invia la sua chiave di recupero personale a Cerberus Enterprise, cifrata con una chiave che appartiene solo alla tua organizzazione. La chiave viene mostrata e modificata dal campo FileVault della pagina del dispositivo (vedi Comandi dispositivo). L’impostazione richiede macOS 13 o versioni successive e un MDM approvato dall’utente; senza un MDM approvato dall’utente al Mac non viene chiesto di attivare FileVault, ma se un utente lo attiva, la sua chiave viene memorizzata. Richiesto all’accesso: al prossimo accesso, dopo un certo numero di rinvii (all’utente viene chiesto di nuovo a ogni accesso e alla disconnessione) oppure solo quando l’utente si disconnette. Non chiedere alla disconnessione: all’utente viene chiesto solo all’accesso. Non può essere combinato con "Chiesto solo alla disconnessione". Mostra la chiave di recupero all’utente: disattivato per impostazione predefinita, quindi solo gli amministratori conoscono la chiave, dalla pagina del dispositivo. Impedisci la disattivazione di FileVault: attivato per impostazione predefinita. Rimuovi la chiave dalla memoria in standby: l’utente digita di nuovo la password quando il Mac si riattiva dallo standby. Dove viene conservata la chiave: testo mostrato all’utente nella finestra di accesso, ad esempio chi chiamare per recuperare il Mac (predefinito "Cerberus Enterprise"). Un Mac già cifrato quando ha ricevuto l’impostazione mantiene la chiave attuale, che Cerberus Enterprise non riceve: la chiave viene memorizzata solo dopo che l’utente disattiva e riattiva FileVault (con "Impedisci la disattivazione di FileVault" disattivato). Disattivare l’impostazione o rimuovere il Mac dalla gestione non disattiva FileVault e la chiave memorizzata continua a funzionare. L’impostazione non può essere salvata quando il server non è configurato per memorizzare le chiavi di recupero. Firewall Attiva il firewall: quando è disattivato, il firewall resta spento e gli utenti non possono attivarlo. Blocca tutte le connessioni in entrata: solo i servizi di rete di base (DHCP, Bonjour, IPSec) possono ricevere connessioni. Modalità invisibile: il Mac non risponde alle richieste ping e alle connessioni verso porte chiuse. Consenti al software integrato e Consenti alle app firmate scaricate di ricevere connessioni senza chiedere all’utente (macOS 12.3 o versioni successive). Regole per app specifiche: consenti o blocca le connessioni in entrata di un’app, tramite bundle ID. Gatekeeper Gatekeeper controlla le app prima che si aprano. Scegli se i Mac aprono solo app dell’App Store o anche app di sviluppatori identificati. Con Gatekeeper disattivato, qualsiasi app può essere aperta, anche quelle non firmate o danneggiate. Su macOS 15 o versioni successive puoi anche scegliere se agli utenti viene chiesto di inviare ad Apple il malware bloccato. Salvaschermo e blocco Avvia il salvaschermo dopo un periodo di inattività e chiedi la password quando il salvaschermo si avvia o il display va in standby, subito o dopo un ritardo. Un’impostazione lasciata su Non gestita resta una scelta dell’utente. Archiviazione esterna e di rete Consenti, imposta come sola lettura o blocca l’archiviazione esterna (unità USB, schede SD, dischi esterni) e l’archiviazione di rete (condivisioni file) dei Mac. Richiede macOS 15 o versioni successive. Condivisione schermo Limiti per le persone che si connettono a questi Mac con la Condivisione schermo: copia di file da o verso il Mac, connessioni ad alte prestazioni e numero di display virtuali. Attivare la Condivisione schermo resta una scelta dell’utente. Richiede macOS 14 o versioni successive. Autorizzazioni per la privacy Concedi o nega alle app l’accesso che gli utenti altrimenti consentirebbero in Impostazioni di Sistema > Privacy e sicurezza, ad esempio Accesso completo al disco per un’app di backup, oppure nega la fotocamera a un’app. Per ogni autorizzazione scegli: Autorizzazione: Accesso completo al disco, Accessibilità, Automazione, le cartelle, i contatti, i calendari, le foto, la fotocamera, il microfono, la registrazione dello schermo e le altre di Privacy e sicurezza. Accesso: consenti o nega. La fotocamera, il microfono, la registrazione dello schermo e il monitoraggio dell’input non possono essere consentiti da un profilo, ma solo negati; per la registrazione dello schermo e il monitoraggio dell’input puoi consentire agli utenti di autorizzarli anche senza diritti di amministratore. App: il bundle ID di un’app o il percorso di un programma (ad esempio uno strumento da riga di comando). Requisito del codice: identifica l’app tramite la sua firma. Ottienilo nel Terminale con codesign -dr - /Applications/Example.app e copia il testo dopo designated =>. Automazione richiede anche l’app controllata (ad esempio il Finder) e il suo requisito del codice. Elementi di accesso e in background Gli elementi di accesso e gli elementi in background che corrispondono alle regole sono gestiti: vengono eseguiti senza chiedere e gli utenti non possono disattivarli in Impostazioni di Sistema > Generali > Elementi di accesso. Una regola corrisponde al team ID dello sviluppatore di un’app, al suo bundle ID o all’etichetta di un launch daemon o agent (anche tramite la loro prima parte). Richiede macOS 13 o versioni successive. Estensioni di sistema Le estensioni di sistema sono il modo moderno con cui le app estendono macOS: filtri di rete e VPN, agenti di sicurezza degli endpoint e driver. Con questa impostazione attiva, le estensioni di sistema dei team di sviluppatori elencati si caricano senza chiedere all’utente. Richiede macOS 10.15 o versioni successive e un MDM approvato dall’utente. Team ID: il team ID di 10 caratteri dello sviluppatore (ad esempio nei dettagli "Firmato da" dell’app o con codesign -dv). Ogni team può comparire una sola volta. Consenti: tutte le estensioni del team o solo le estensioni con i bundle ID elencati. Tipi: limita il team a driver, estensioni di rete o di sicurezza degli endpoint. Se non ne viene scelto nessuno, sono consentiti tutti i tipi. Rimozione (solo per le estensioni elencate): l’app può rimuovere la sua estensione senza un amministratore (macOS 12 e versioni successive), l’estensione non può essere disattivata o rimossa mentre la Protezione integrità sistema è attiva oppure non può essere rimossa in Impostazioni di Sistema e nel Finder (macOS 15 e versioni successive). I Mac con una versione precedente di macOS consentono comunque l’estensione, senza l’opzione di rimozione. Gli utenti possono approvare altre estensioni di sistema: attivato per impostazione predefinita. Quando è disattivato, possono caricarsi solo le estensioni consentite da un profilo; se un profilo sul Mac lo disattiva, è disattivato. Su macOS 11.3 e versioni successive, rimuovere questa impostazione disattiva le estensioni di sistema che consentiva, ad esempio un agente di sicurezza o un filtro di rete. Questo accade quando l’impostazione viene disattivata, quando la policy viene eliminata e quando il Mac passa a una policy che non la contiene. L’editor chiede conferma prima di disattivare l’impostazione. Estensioni del kernel (legacy) Le estensioni del kernel sono il modo più vecchio e deprecato di estendere macOS: preferisci le estensioni di sistema quando il fornitore le offre. Le estensioni del kernel dei team elencati (tutte le estensioni di un team o solo i bundle ID elencati) si caricano senza chiedere all’utente, dopo un riavvio. Richiede macOS 10.13.2 o versioni successive e un MDM approvato dall’utente. Gli utenti possono approvare altre estensioni del kernel: disattivato per impostazione predefinita, quindi solo i team elencati possono caricare estensioni del kernel. Anche gli utenti standard possono approvarle: con le approvazioni degli utenti attive, anche gli utenti senza diritti di amministratore possono approvarle (macOS 11 e versioni successive). Sui Mac con Apple silicon, un profilo da solo non basta: qualcuno deve avviare il Mac in recoveryOS, scegliere Sicurezza ridotta in Utility Sicurezza avvio e consentire la gestione utente delle estensioni del kernel da sviluppatori identificati. Il Mac può anche richiedere un Bootstrap Token depositato in Cerberus Enterprise per approvarle (vedi il campo Bootstrap Token della pagina del dispositivo). File Mac I file di configurazione dei servizi e le attività in background usano file che carichi nei File Mac della tua organizzazione: archivi zip e property list (.plist) fino a 20 MB. Caricali, controlla dove sono usati o eliminali con il pulsante File Mac della sezione macOS oppure con Scegli file in un’impostazione. Un file usato da una policy non può essere eliminato. Per modificare un file, carica la nuova versione e sceglila nella policy: i Mac la scaricano di nuovo. File di configurazione dei servizi Installa i file di configurazione di un servizio di sistema da un archivio zip. I servizi integrati sono il server SSH (sshd), sudo, PAM, la stampa (CUPS), il server web Apache, bash, zsh, l’accesso con smart card e l’autorizzazione. Puoi anche usare un tuo servizio, con un identificatore DNS inverso come com.example.service: trova i file con la libreria dei file di configurazione gestiti di macOS. Ogni servizio può avere un’impostazione. Richiede macOS 14 o versioni successive. Un servizio integrato usa solo i file dell’archivio e ignora i propri file, ad esempio /etc/ssh per sshd: inserisci l’intera configurazione nell’archivio, in cartelle che partono dalla radice del disco (ad esempio etc/ssh/sshd_config). I file sono di sola lettura sul Mac e vengono rimossi con l’impostazione. Prova prima l’archivio su un Mac: una configurazione sudo o PAM errata può impedire agli utenti di accedere o di usare i diritti di amministratore. Attività in background Programmi e script eseguiti in background, avviati da launchd. Gli utenti non possono disattivarli e vengono rimossi con l’impostazione. Richiede macOS 15 o versioni successive. Per ogni attività scegli: Identificatore dell’attività: un identificatore DNS inverso, come com.example.task, diverso per ogni attività. Programmi e script (facoltativo): un archivio zip che il Mac scompatta in /var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/ seguito dall’identificatore dell’attività. Mantieni il permesso di esecuzione dei file e non inserirvi property list. Property list di launchd: i job che avviano i programmi, caricati come daemon (per l’intero sistema, come root) o come agent (in ogni sessione utente). Fai riferimento ai programmi con il loro percorso nella cartella precedente. Un’attività richiede i programmi o almeno una property list. Quando i file cambiano, i Mac riavviano l’attività. Posizione e geofence La sezione Posizione e geofence dell'Apple Policy Editor definisce aree, ad esempio un sito o un magazzino. Gli iPhone e gli iPad con l'app Cerberus Enterprise segnalano quando entrano o escono da una di queste aree e le regole degli eventi possono reagire: inviare un'email, bloccare o disabilitare il dispositivo oppure abilitarlo di nuovo. I Mac non usano i geofence. Campi geofence Usa Aggiungi geofence per creare una nuova voce. Una policy può contenere fino a 10 geofence e i loro nomi devono essere univoci all’interno della policy. Ogni geofence contiene questi campi: Nome: obbligatorio e univoco. Latitudine e Longitudine: il centro dell’area. Puoi anche fare clic sulla mappa per impostarlo. Raggio (m): obbligatorio, da 200 a 10000 metri. Descrizione: note facoltative per gli amministratori. Segnala ingresso e Segnala uscita: scegli quali eventi vengono generati. Almeno uno deve restare attivo. Attivo: attiva o disattiva il geofence senza eliminarlo. Ogni geofence ha un’anteprima della mappa. Il centro e il raggio di un geofence salvato sono bloccati: usa il pulsante di blocco sulla mappa per modificarli. Gli altri pulsanti centrano la mappa sull’area o sulla tua posizione attuale. Quando salvi la policy, Cerberus Enterprise chiede agli iPhone e agli iPad della policy di ricevere i nuovi geofence. In genere servono alcuni minuti, ma iOS può ritardare l’operazione, ad esempio con il Risparmio energia attivo o senza connessione di rete. La pagina del dispositivo mostra quando l’app non ha ancora applicato i geofence più recenti. Requisiti I geofence funzionano su iPhone e iPad con l’app Cerberus Enterprise. I Mac li ignorano. Sul dispositivo: l’app Cerberus Enterprise è installata (la installa Cerberus) e l’utente l’ha aperta almeno una volta; l’accesso alla posizione per l’app è impostato su Sempre; Posizione precisa è attiva per l’app; Aggiorna app in background è attivo. Posizione e geofence sui dispositivi personali, in cima alla sezione, è disattivato per impostazione predefinita. Finché è disattivato, Cerberus non raccoglie la posizione dei dispositivi personali (registrazione utente), i loro eventi geofence non vengono generati e la loro pagina del dispositivo non offre Localizza o il tracciamento in tempo reale. Quando lo attivi, i dispositivi personali della policy condividono la loro posizione e i loro eventi geofence come i dispositivi aziendali, ma solo se l’utente consente la posizione per l’app Cerberus Enterprise; l’app lo spiega all’utente prima che iOS chieda. La tua organizzazione è responsabile di informare gli utenti e di rispettare le norme locali sulla posizione dei dipendenti. La modalità smarrito e la richiesta di posizione MDM non sono mai disponibili sui dispositivi personali (Apple non lo consente). Con il Risparmio energia attivo i geofence continuano a funzionare, ma iOS segnala l’uscita da un’area più tardi e con una posizione meno precisa e può ritardare di ore la ricezione dei nuovi geofence dopo una modifica della policy, finché l’app non viene eseguita di nuovo (ad esempio al passaggio successivo o quando l’utente la apre). Come arrivano gli eventi iOS monitora le aree per l’app e la risveglia quando il dispositivo attraversa un confine, anche quando l’app non è aperta. Gli eventi possono arrivare alcuni minuti dopo l’attraversamento e un’area piccola o una visita breve possono essere perse: iOS richiede che il dispositivo si allontani dal confine per una certa distanza e rimanga lì per un po’. Se l’app non può essere eseguita, ad esempio dopo un riavvio prima che il dispositivo venga sbloccato, anche il server rileva l’attraversamento, più tardi, dalle posizioni inviate dall’app. Ogni attraversamento attiva le regole di evento una volta, sia che lo rilevi l’app sia che lo rilevi il server. Quando l’app non contatta il server per diverse ore, il server chiede a iOS di risvegliarla in modo che possa controllare di nuovo i suoi geofence. iOS non garantisce queste richieste. Pagina del dispositivo Nella pagina del dispositivo, la scheda Geofence del pannello Mappa posizione mostra le transizioni del dispositivo. Quando la policy ha geofence attivi, una riga di stato indica se il geofencing funziona sul dispositivo o perché non può funzionare: l’app non ha contattato il server o deve essere aggiornata, l’accesso alla posizione non è impostato su Sempre, oppure Posizione precisa o Aggiorna app in background sono disattivati, il Risparmio energia era attivo quando l’app ha segnalato per l’ultima volta le sue impostazioni oppure l’app non ha ancora applicato i geofence più recenti. Le transizioni geofence e le posizioni vengono conservate per 90 giorni e i dati più vecchi vengono eliminati automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, così il dispositivo resta sulle mappe. Limitazioni Copiare una policy non copia i suoi geofence: aggiungili di nuovo nella copia. Gli eventi geofence su iPhone e iPad non sono garantiti: iOS decide quando l’app può essere eseguita. Per reagire agli eventi geofence, crea una regola di evento per Il dispositivo entra in un geofence o Il dispositivo esce da un geofence. Vedi Regole di evento. Account La sezione Account dell'editor delle policy Apple aggiunge account di posta, Exchange, Google, calendario, contatti e directory a iPhone, iPad e Mac. Fai clic su Aggiungi account e scegli il tipo. La sezione contiene anche la restrizione Consenti modifica account (dispositivi supervisionati). Su un Mac (macOS 13 o versioni successive) gli account vengono installati nella sessione degli utenti registrati nella gestione, di solito l'utente che ha registrato il Mac, quando hanno effettuato l'accesso. La pagina del dispositivo elenca questi utenti in Utenti Mac, con lo stato dei loro account. Gli account che prendono l'indirizzo email dall'utente del dispositivo usano l'utente assegnato al Mac in Cerberus Enterprise. Impostazioni comuni Nome ed email dell'utente del dispositivo (Mail, Exchange, Google): ogni dispositivo usa il nome e l'indirizzo email del suo utente, impostati nella pagina Utenti (per Google, l'account Google dell'utente). I dispositivi senza utente, o il cui utente non ha un indirizzo email, non ricevono l'account. Altrimenti, imposta un indirizzo email e un nome completo fissi. Nome account (facoltativo): il nome dell'account in Impostazioni e nelle app. Nome utente e Password (facoltativi): il nome utente può contenere le variabili $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ e $UDID$. Lascia vuota la password per consentire all'utente di digitarla sul dispositivo, oppure lascia vuoti entrambi per consentire all'utente di digitarli. Si applica a: limita l'account ad alcuni tipi di dispositivo. Tipi di account Account di posta: server in entrata IMAP o POP e server in uscita, con le relative porte e autenticazione. Il server in uscita può usare lo stesso nome utente e la stessa password di quello in entrata. Account Exchange (Exchange ActiveSync): il server, oppure vuoto per ricavarlo dall'indirizzo email. Scegli i servizi (posta, contatti, calendari, promemoria, note) e se l'utente può modificarli. Con l'autenticazione moderna (OAuth) l'utente accede tramite la pagina del tuo provider di identità, ad esempio Microsoft 365. Un certificato di autenticazione (iOS 17 o versioni successive) autentica il dispositivo con un certificato. Account Google: l'utente accede all'account Google con l'indirizzo email indicato. Account calendario (CalDAV) e Account contatti (CardDAV): il server, la porta e il percorso. Directory (LDAP): il server e la porta, e le ricerche (base di ricerca, ambito e descrizione) usate per cercare i contatti. Calendario sottoscritto: l'URL del calendario (https, http o webcal). S/MIME Gli account di posta ed Exchange possono firmare e crittografare i messaggi con S/MIME (iOS 17 o versioni successive). Per ciascuno, scegli il certificato: uno della pagina Certificati, il certificato dell'utente del dispositivo oppure richiesto a un server SCEP. Puoi consentire all'utente di disattivarlo, scegliere un altro certificato e, per la crittografia, mostrare un interruttore per ogni messaggio. Sicurezza Le password e i certificati non fanno parte delle impostazioni inviate ai dispositivi: ogni dispositivo scarica le proprie credenziali da Cerberus Enterprise, firmando la richiesta con il proprio certificato di gestione. Non vengono scritti nei log. Regole di conformità La sezione Regole di conformità dell’Editor delle policy Apple stabilisce i requisiti per i dispositivi della policy. Un dispositivo che infrange una regola è subito non conforme: la pagina del dispositivo ne mostra il motivo in Perché il dispositivo non è conforme e l’elenco dei dispositivi lo mostra come non conforme. Un dispositivo è inoltre non conforme quando un’impostazione della policy non può essere applicata su di esso. Regole Codice di accesso: il dispositivo ha un codice di accesso e rispetta le impostazioni del codice di accesso della policy. Versione minima del sistema operativo: per iPhone e iPad o per Mac. Per aggiornare i dispositivi, aggiungi un aggiornamento obbligatorio in Aggiornamenti software. Dispositivo supervisionato: i dispositivi registrati con il profilo di registrazione o con la registrazione utente non sono supervisionati. FileVault attivo (Mac): il disco del Mac è cifrato con FileVault. Gli altri dispositivi non sono interessati. Una regola viene controllata quando il dispositivo invia il suo stato, quando la policy viene salvata e ogni ora. Un dispositivo il cui stato è sconosciuto (ad esempio un Mac che non ha ancora segnalato FileVault) non infrange la regola. Blocco del dispositivo Attiva Blocca il dispositivo se è ancora non conforme e imposta dopo quanti giorni (0 blocca subito). Gli iPhone e gli iPad supervisionati entrano in modalità smarrito con il messaggio che hai impostato. Gli altri dispositivi vengono bloccati una volta; un Mac si riavvia e chiede un PIN, mostrato nei dettagli del comando nella cronologia dei comandi. Sblocca: quando il dispositivo torna conforme, la modalità smarrito viene disattivata automaticamente. Disattivare tu stesso la modalità smarrito: il dispositivo non viene bloccato di nuovo finché non torna conforme e infrange di nuovo una regola. Usalo per consentire all’utente di sistemare il dispositivo. Per ricevere una notifica o reagire in altri modi, crea una regola di evento per Il dispositivo diventa non conforme: riceve anche i motivi. Stato Dispositivo Panoramica dispositivo Apri un dispositivo da Dashboard → Dispositivi facendo clic sulla riga del dispositivo. Il titolo della pagina mostra il Modello del dispositivo (quando disponibile) e l'Id interno. Dati storici e registrazione corrente Quando un dispositivo ha più registrazioni, Cerberus Enterprise può mostrare un record storico di sola lettura. In tal caso, la pagina visualizza un banner Dati storici e un pulsante per tornare ai dati della registrazione corrente. Campi principali La sezione superiore riassume l'identità del dispositivo, l'assegnazione e lo stato di gestione. Alcuni campi sono specifici della piattaforma e compaiono solo per dispositivi Android o Apple. Id e Modello: identificatori di sola lettura. Utente: mostra l'utente attualmente assegnato (se presente). Dal menu utente puoi Apri utente o Cambia utente, oppure assegnare un utente quando non ce n'è uno impostato. Modalità di gestione e Proprietà: visualizzati con tooltip nell'interfaccia. Stato: stato attuale del dispositivo (con icona e dettagli nel tooltip). Un dispositivo in modalità smarrito mostra Smarrito sia su Android sia su Apple, e un banner nella parte superiore della pagina indica cosa fare successivamente. Profilo ADE (solo Apple): mostra il profilo di registrazione automatica dei dispositivi assegnato (se presente) e ti consente di aprirlo o modificarlo. Policy: mostra la policy assegnata e ti consente di aprirla o modificarla, oppure di assegnarne una quando non ce n'è nessuna impostata. Stato di conformità della policy (quando è assegnata una policy): indica se il dispositivo è conforme. Versione della policy (quando è assegnata una policy): indica se sul dispositivo è applicata l'ultima versione della policy. App Cerberus Enterprise (solo iPhone e iPad): lo stato dell'app Cerberus Enterprise che Cerberus installa sul dispositivo. Non disponibile (iOS o iPadOS precedente alla 18.4, nessun numero di serie su un dispositivo aziendale o nessun Managed Apple Account su un dispositivo personale); Non ancora disponibile sui dispositivi personali; In attesa delle informazioni sul dispositivo; In attesa della licenza utente del Managed Apple Account (dispositivi personali, mentre Apple conferma la licenza); Non installata (l'app non è nella tua libreria Apple Business o Apps and Books non è configurato, con un collegamento a Impostazioni account); Installata · Apps and Books richiede attenzione (il token è scaduto o l'app ha lasciato la tua libreria: l'app resta installata); Configurazione non disponibile; Installazione… (se il dispositivo non invia rapporti di stato per 30 minuti, il tooltip suggerisce di verificare che sia online e di riavviarlo, cosa che di solito riavvia l'installazione); In attesa dell'approvazione dell'utente; L'utente ha rifiutato e Installazione non riuscita (entrambi con Riprova, che interroga di nuovo il dispositivo); Installata · in attesa dell'avvio dell'app (l'app non è ancora stata aperta); Installata · configurazione non accettata; e, una volta registrata l'app, la sua versione, l'ultimo contatto e se le notifiche sono attive. Registrato il e Ultima segnalazione di stato: timestamp per la registrazione e l'ultimo stato riportato. Registrazione annullata il: mostrato quando la registrazione del dispositivo è stata annullata. Alcuni dati e pannelli sono disponibili solo quando la categoria corrispondente è abilitata nella policy del dispositivo. Per maggiori informazioni leggi le pagine Segnalazione dello stato e Posizione e geofence. Pannelli La pagina del dispositivo è organizzata in sezioni espandibili. A seconda della piattaforma e dello stato, potresti vedere uno o più dei seguenti pannelli: Mappa posizioni: un pannello a schede con la cronologia Posizione del dispositivo corrente e, su dispositivi Android, iPhone e iPad, una scheda Geofence per le transizioni geofence. Gestione SIM: EID del dispositivo e SIM ed eSIM installate. Su Android anche i comandi eSIM e la loro cronologia; su iPhone e iPad aziendali con cellulare anche roaming dati, Hotspot personale e Aggiorna piani cellulari. Vedi la pagina dedicata Gestione SIM. Comandi: invia comandi al dispositivo e visualizza la cronologia dei comandi (specifico della piattaforma). Postura di sicurezza: lo stato di sicurezza del dispositivo e i suoi rischi. Su Android anche il verdetto di Play Integrity. Finché il dispositivo non lo segnala, indica Non specificato, oppure Non ancora segnalato su un dispositivo Android che non ha inviato alcun dato di sicurezza. Perché il dispositivo non è conforme: mostrato solo quando il dispositivo non è conforme, con un'icona di avviso rossa; aprilo per vedere i motivi. Su Android elenca le impostazioni della policy non conformi; su Apple indica anche se una regola di conformità ha bloccato il dispositivo. Stato del dispositivo (solo Apple): versione del sistema operativo, avanzamento dell'aggiornamento software, codice di accesso, FileVault, batteria e account riportati dal dispositivo, e gli aggiornamenti del sistema operativo disponibili. Vedi la pagina Comandi. Applicazioni (Android): app installate e relativi feedback e segnalazioni di errore. Applicazioni (solo Apple): le app installate dalla policy, le app installate con i comandi e le app installate dall'utente, con il loro stato di installazione, errori e azioni (riprova, rimuovi). Su Mac elenca anche i pacchetti installati dalla policy, con il loro stato e Installa di nuovo; i pacchetti installati come app gestite hanno un'etichetta Gestita, e una nota indica quando un pacchetto è stato installato non gestito e perché, oppure quando la sua app non è stata trovata un'ora dopo il download. Su iPhone e iPad l'app Cerberus Enterprise ha l'etichetta Installata da Cerberus; non è elencata sotto il filtro Policy. Un'app la cui configurazione gestita non è stata accettata dal dispositivo ha l'etichetta Configurazione non accettata. Su iPhone e iPad personali (registrazione utente) una riga mostra l'Account Apple gestito le cui licenze utente usano le app dell'App Store; le app in attesa della licenza mostrano In attesa di una licenza utente o Licenza utente non riuscita, un'app la cui richiesta di installazione è stata annullata dall'utente mostra In attesa dell'approvazione dell'installazione da parte dell'utente, e Richiedi di nuovo chiede di nuovo ad Apple la licenza o mostra di nuovo la richiesta. Vedi la pagina Comandi. Profili, certificati e sicurezza (solo Apple): profili di configurazione, certificati e stato di sicurezza riportati dal dispositivo. Modifiche all'inventario (solo Apple): una cronologia delle app, dei profili e dei certificati installati, rimossi o aggiornati sul dispositivo, con ricerca e filtri per tipo e modifica. Vedi la pagina Comandi. Utenti di iPad condiviso e Utenti Mac (solo Apple): gli utenti di un iPad condiviso e gli utenti di un Mac. Consulta la pagina Comandi. Report di stato: dati aggiuntivi riportati dal dispositivo, visualizzati come un albero di categorie e valori. Cronologia delle registrazioni: registrazioni precedenti per lo stesso dispositivo fisico, mostrate come elenco. Schede del pannello Posizione Il pannello Mappa delle posizioni usa schede per tenere separati la cronologia delle posizioni e i passaggi dei geofence. Posizione: mostra filtri della cronologia, una ricerca per intervallo di date, i marker delle posizioni, il cerchio di precisione e i controlli del tracciamento in tempo reale per il dispositivo corrente. Geofence (Android, iPhone e iPad): mostra la cronologia delle transizioni geofence su una mappa dedicata, con filtri per periodo, un interruttore facoltativo per i geofence archiviati e un elenco laterale delle transizioni. Su iPhone e iPad una riga di stato indica anche quando il geofencing non può funzionare sul dispositivo. Per il comportamento completo di queste schede, vedi Mappa posizioni. Azioni In fondo alla pagina puoi aggiornare i dati ed eseguire azioni a seconda della piattaforma, dello stato del dispositivo e dello stato della licenza. Aggiorna dati: ricarica il record del dispositivo. Disabilita dispositivo / Abilita dispositivo (solo Android): disponibile negli stati supportati. Annulla registrazione dispositivo: rimuove la gestione dal dispositivo. Il comportamento esatto dipende dalla piattaforma e dalla proprietà (ad esempio, Android può cancellare un profilo di lavoro o ripristinare le impostazioni di fabbrica). Elimina dispositivo: disponibile quando il dispositivo ha già annullato la registrazione e il suo record può essere rimosso. Mappa delle posizioni Questa pagina descrive gli strumenti di posizione specifici del dispositivo disponibili in Panoramica dispositivo. Il pannello contiene una scheda Posizione per la cronologia delle posizioni e, sui dispositivi Android, iPhone e iPad, una scheda Geofence per le transizioni dei geofence. Prerequisiti Su Android, i dati di posizione del dispositivo vengono mostrati solo quando la segnalazione della posizione è abilitata nella policy del dispositivo. Per abilitarla, apri la policy e attiva Posizione e geofence → Segnala posizione. Per maggiori dettagli, consulta Posizione e geofence. Su iPhone e iPad, la posizione proviene dall'app Cerberus Enterprise, una volta che l'utente la consente, oppure dal comando Localizza dispositivo mentre il dispositivo è in modalità smarrito. I Mac e gli altri dispositivi Apple non segnalano la loro posizione. Sui dispositivi non completamente gestiti, i dati sulla posizione possono comunque dipendere dall'app Cerberus Enterprise che dispone delle autorizzazioni di posizione richieste e dall'attivazione dei servizi di localizzazione sul dispositivo. Sui dispositivi personali (User Enrollment), posizione e geofence sono disponibili solo quando nella policy Apple è attiva l'opzione Posizione e geofence sui dispositivi personali e solo se l'utente consente la posizione per l'app Cerberus Enterprise. In caso contrario la pagina del dispositivo non mostra le azioni di posizione o il tracciamento in tempo reale. La modalità smarrito non è mai disponibile sui dispositivi personali. Per la mappa globale multi-dispositivo disponibile dalla dashboard, vedi Mappa delle posizioni della dashboard. Stato di caricamento e assenza di dati Mentre i dati sulla posizione vengono caricati, il pannello mostra un overlay di caricamento sulla mappa. Se il dispositivo non ha dati di posizione disponibili, il pannello mostra un messaggio che indica Nessun dato di posizione disponibile. Su Android aggiunge un promemoria per abilitare la segnalazione della posizione nella policy assegnata, quando è disattivata. Su Apple indica da dove proviene la posizione o che questo tipo di dispositivo non la segnala. Se è attivo un filtro per data e nessun campione corrisponde, il pannello mostra Nessun dato disponibile nell'intervallo di date selezionato. Scheda Posizione Apri la scheda Posizione per esaminare la cronologia di un singolo dispositivo. I filtri disponibili includono l'ultima posizione nota, intervalli recenti della cronologia, un intervallo di date personalizzato e il tracciamento in tempo reale. Ultima: mostra l'ultima posizione nota. Oggi, Ultimi 7 giorni e Ultimi 30 giorni: mostrano le posizioni registrate per il periodo selezionato. Cerca: ti consente di scegliere un intervallo di date personalizzato. Live: avvia o interrompe il tracciamento in tempo reale per il dispositivo corrente. Le posizioni vengono conservate per 90 giorni: quelle più vecchie vengono eliminate automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, così il dispositivo resta sulle mappe anche quando non invia dati da molto tempo. Per i dispositivi rimossi e le registrazioni passate, le posizioni più vecchie di 90 giorni vengono eliminate tutte. Per questo motivo l'intervallo di date di Cerca non può iniziare più di 90 giorni fa. Dettagli del marcatore Quando fai clic su un marcatore di posizione, si apre una finestra informativa con: Il timestamp del record di posizione. La precisione riportata (in metri). La velocità riportata, quando il dispositivo la fornisce. La direzione o il rilevamento riportati, quando il dispositivo li fornisce. Cerchio di precisione Quando la finestra informativa è aperta, intorno al marker viene visualizzato un cerchio di precisione. Il raggio del cerchio corrisponde alla precisione riportata (in metri). Chiudendo la finestra informativa il cerchio scompare. Tracciamento in tempo reale Nella vista della cronologia del dispositivo, selezionando il filtro Live viene avviata una richiesta di tracciamento in tempo reale per quello specifico dispositivo. Cerberus Enterprise chiede conferma prima di avviare la richiesta. Il tracciamento in tempo reale dura fino a 15 minuti. Mentre il tracciamento in tempo reale è attivo, i dispositivi Android mostrano una notifica e iPhone e iPad mostrano l'indicatore di posizione. Mentre il tracciamento in tempo reale è attivo, il pannello continua ad aggiornare l'ultima posizione e l'indicatore live rimane visibile. Selezionando di nuovo il filtro live puoi interrompere il tracciamento in tempo reale prima che scada il timeout. Su iPhone e iPad, il tracciamento in tempo reale funziona tramite l'app Cerberus Enterprise, con l'accesso alla posizione impostato su Sempre. La richiesta normalmente riattiva l'app anche quando non è aperta, e l'app invia poi le posizioni per tutta la sessione. iOS non garantisce queste richieste: può ritardarle o non recapitarle, ad esempio in Risparmio energetico o senza connessione di rete. Se non arriva nessuna posizione entro 2 minuti, la dashboard annulla la richiesta: chiedi all'utente di aprire l'app una volta, poi riprova. Scheda Geofence Su dispositivi Android, iPhone e iPad, la seconda scheda mostra le transizioni geofence generate dai geofence definiti nella policy assegnata. La mappa mostra le aree geofence attuali insieme ai punti di transizione registrati. L'elenco delle transizioni a destra ti consente di esaminare gli eventi di ingresso e uscita. I filtri disponibili sono Oggi, Ultimi 7 giorni, Ultimi 30 giorni e una ricerca personalizzata per intervallo di date. Includi archiviati mostra anche le transizioni relative a vecchie definizioni di geofence non più presenti nella policy corrente. Le transizioni geofence vengono conservate per 90 giorni e quelle più vecchie vengono eliminate automaticamente ogni notte, quindi la ricerca per intervallo di date personalizzato non può iniziare più di 90 giorni fa. Su iPhone e iPad, quando la policy ha geofence attivi, una riga di stato nella parte superiore della scheda indica se il geofencing funziona sul dispositivo. Ti dice quando non può funzionare: l'app Cerberus Enterprise non ha contattato il server o deve essere aggiornata, l'accesso alla posizione non è impostato su Sempre, Posizione precisa o Aggiorna app in background è disattivato, Risparmio energetico era attivo quando l'app ha segnalato le sue impostazioni l'ultima volta (gli eventi geofence e le modifiche possono quindi subire ritardi di ore), oppure l'app non ha ancora applicato gli ultimi geofence. Quando tutto funziona, mostra quanti geofence sta monitorando l'app. Dettagli della transizione geofence Selezionando una transizione si aprono i suoi dettagli sulla mappa e viene evidenziata la voce corrispondente nell'elenco. Quando disponibili, Cerberus Enterprise mostra anche le coordinate del dispositivo e la precisione riportata per quella transizione. Gestione SIM La pagina del dispositivo fornisce un pannello Gestione SIM. Sui dispositivi Android gestisce le SIM e i profili eSIM installati sul dispositivo, aggiunge o rimuove profili eSIM e mostra la cronologia dei comandi eSIM inviati al dispositivo. Su iPhone e iPad cellulari aziendali mostra le SIM e i piani eSIM segnalati dal dispositivo e consente al dispositivo di scaricare i piani eSIM preparati dall'operatore: vedi iPhone e iPad di seguito. Le informazioni sulla SIM vengono riportate dai dispositivi con gestione completa quando la segnalazione Informazioni di rete è abilitata nella policy del dispositivo (questa opzione è sempre abilitata da Cerberus Enterprise). Vedi la pagina Segnalazione stato. EID del dispositivo L'EID (eUICC Identifier) identifica l'hardware eSIM del dispositivo. Gli operatori lo usano per associare i profili eSIM al dispositivo, quindi recuperarlo è di solito il primo passo di un flusso di provisioning eSIM. Dispositivi aziendali (Android 13 e versioni successive): l'EID viene riportato automaticamente con lo stato del dispositivo e non è richiesta alcuna interazione dell'utente. Dispositivi personali (Android 13 e versioni successive): usa il pulsante Richiedi EID. L'utente vedrà una notifica sul dispositivo che chiede di condividere l'EID e potrà approvare o rifiutare la richiesta. L'EID viene mostrato solo se l'utente approva. Mentre la richiesta è in sospeso, il pulsante resta disabilitato. L'invio di una richiesta EID mostra prima una finestra di conferma, perché l'utente vedrà una notifica sul dispositivo. SIM installate La tabella SIM installate elenca le SIM attualmente note per il dispositivo, comprese le SIM fisiche e i profili eSIM. Sui dispositivi personali, i profili eSIM installati con il comando Aggiungi eSIM vengono mostrati anche quando il dispositivo non riporta informazioni sulla SIM. Operatore: il nome dell'operatore associato alla SIM (quando riportato). Numero di telefono: il numero di telefono associato alla SIM (quando riportato). ICCID: l'identificatore della carta a circuito integrato della SIM. Stato di attivazione: indica se l'eSIM è attivata o meno. Riportato solo per le eSIM su Android 15 e versioni successive. Modalità di configurazione: indica se l'eSIM è stata configurata da un amministratore o dall'utente. Riportato solo per le eSIM su Android 15 e versioni successive. Tipo di SIM: mostra se il dispositivo segnala la voce come eSIM. Le eSIM con un comando di rimozione in corso o eseguito (non fallito) mostrano uno stato di attivazione temporaneo Rimozione in corso. La voce scompare dall'elenco quando il dispositivo riporta l'elenco SIM aggiornato. Mentre una rimozione è in corso, il pulsante di rimozione non è disponibile, per evitare di inviare due volte lo stesso comando. Rimuovi eSIM Usa il pulsante di rimozione accanto a una eSIM installata per rimuovere il suo profilo dal dispositivo. Una finestra di conferma ti chiede di confermare l'ICCID della eSIM da rimuovere prima che il comando venga inviato. La rimozione di una eSIM è supportata su Android 15 e versioni successive. Aggiungi eSIM La sezione Aggiungi eSIM installa un nuovo profilo eSIM sul dispositivo (supportato su Android 15 e versioni successive). Richiede: Validità: per quanto tempo il comando è valido se non può essere eseguito immediatamente. Codice di attivazione: il codice di attivazione del profilo eSIM, fornito dall'operatore. Puoi inserire il codice completo oppure solo l'indirizzo SM-DP+ per consentire al dispositivo di individuare un profilo che l'operatore ha già collegato al suo EID. Stato di attivazione: indica se il profilo eSIM deve essere attivato automaticamente dopo il download o lasciato non attivato per l'attivazione manuale da parte dell'utente. Cronologia dei comandi Sotto la sezione Aggiungi eSIM, il pannello mostra la cronologia dei comandi eSIM inviati al dispositivo: Aggiungi eSIM, Rimuovi eSIM e Richiedi EID. La tabella è ordinabile e supporta la paginazione. Alcune righe possono essere espanse per visualizzare i parametri del comando (ad esempio il codice di attivazione o l'ICCID) e lo stato di esecuzione, inclusi i dettagli dell'errore eSIM quando un'operazione non riesce sul dispositivo. Data di creazione Comando Validità Stato Errore: mostra lo stato di errore eSIM (ad esempio Utente ha negato, Codice di attivazione non valido o ICCID non trovato) quando l'esecuzione del comando lo riporta. Data di esecuzione Cancella le eSIM durante la cancellazione e l'annullamento della registrazione Quando cancelli il dispositivo dal pannello Comandi, il flag Cancella eSIM controlla se i profili eSIM vengono rimossi con la cancellazione. Sui dispositivi personali con profilo di lavoro questo flag è abilitato per impostazione predefinita (le eSIM gestite vengono rimosse, le eSIM personali non sono interessate). Lo stesso flag è disponibile nella finestra di conferma Annulla registrazione dispositivo. iPhone e iPad Il pannello viene mostrato per iPhone e per iPad che hanno riportato dati cellulare (un iPad solo Wi-Fi non ne ha), solo quando il dispositivo è aziendale e non è una registrazione utente. Le informazioni cellulari vengono richieste al dispositivo insieme alle informazioni del dispositivo: alla registrazione, ogni giorno, con Aggiorna informazioni dispositivo, quando la proprietà diventa aziendale e pochi minuti dopo Aggiorna piani cellulari. EID del dispositivo: l'EID riportato con le SIM, con un pulsante per copiarlo per l'operatore. Se il dispositivo non lo riporta, l'utente lo trova in Impostazioni > Generali > Info. Riportato, Roaming dati, Hotspot personale e Firmware modem: quando il dispositivo ha risposto e lo stato riportato. Il roaming dati e l'Hotspot personale possono essere modificati con Impostazioni dispositivo nel pannello Comandi, che mostra anche lo stato corrente. SIM: una riga per ogni SIM o piano eSIM (i dispositivi dual SIM ne hanno due), con lo slot riportato dal dispositivo, la sua etichetta e il suo tipo (eSIM quando il dispositivo riporta l'EID insieme ad essa, Scheda SIM altrimenti), l'operatore (l'operatore di origine in un tooltip quando il dispositivo è in roaming su un'altra rete), il numero di telefono, l'ICCID, l'EID, l'IMEI, la SIM usata per i dati e per le chiamate e il roaming. Uno slot eSIM senza piano viene mostrato in grigio come Nessun piano. Questo dispositivo non ha riportato SIM significa che il dispositivo ha risposto senza alcuna SIM; Nessuna informazione cellulare ancora significa che non ha ancora risposto: usa Aggiorna informazioni dispositivo. I numeri di telefono, l'ICCID, l'IMEI e l'EID identificano la persona e la linea: non vengono mai richiesti ai dispositivi personali o alle registrazioni utente. Quando un dispositivo diventa personale, le informazioni vengono rimosse subito e nascoste nei risultati dei vecchi comandi di informazioni dispositivo nella cronologia dei comandi. Non vengono esportate e non vengono scritte nei log di sistema. Aggiorna piani cellulari iPhone e iPad non possono installare una eSIM da un codice di attivazione. L'operatore associa (riserva) il piano eSIM all'EID del dispositivo sul proprio server eSIM (SM-DP+) e ti fornisce l'indirizzo di quel server; Aggiorna piani cellulari chiede quindi al dispositivo di scaricare i piani in attesa. Il pulsante Aggiorna piani cellulari del pannello seleziona il comando nel pannello Comandi, dove inserisci URL del server eSIM dell'operatore: Un indirizzo https://, inviato così com'è. Gli indirizzi con http://, un nome utente o una password, oppure una parte con # non vengono accettati. Un nome host, ad esempio smdp.carrier.example, inviato come https://smdp.carrier.example. Un codice di attivazione LPA (LPA:1$server$code, il testo di un codice QR eSIM): viene usato solo il server, perché il comando non può trasportare il codice. Il piano deve essere associato all'EID del dispositivo dall'operatore, altrimenti il dispositivo non trova nulla da scaricare. Il dispositivo installa e attiva il piano senza chiedere conferma all'utente, anche quando non è supervisionato. Il successo nella cronologia dei comandi significa che il dispositivo ha accettato la richiesta, non che un piano è stato installato: l'installazione può richiedere fino a tre minuti e Cerberus Enterprise richiede di nuovo le SIM al dispositivo circa tre minuti dopo, così il nuovo piano appare nel pannello. Gli errori 36001 (il dispositivo non è riuscito a raggiungere il proprio sistema cellulare), 36002 (nessun supporto eSIM) e 36003 (sistema cellulare occupato, riprova più tardi) sono spiegati nei log di sistema. Un piano scaricato una volta non può essere scaricato di nuovo: se l'installazione non riesce, contatta l'operatore. Il comando è disponibile anche per più dispositivi contemporaneamente nel menu Azioni dispositivo Apple della pagina Dispositivi. Cosa non consente Apple Aggiungi eSIM da un codice di attivazione: non è possibile, usa Aggiorna piani cellulari con un piano associato all'EID. Rimuovi eSIM: una eSIM non può essere rimossa da remoto una alla volta. Cancellando il dispositivo con Mantieni il piano dati eSIM disattivato si rimuovono tutte le eSIM. Per fermare un singolo piano, chiedi all'operatore di disattivarlo: il piano resta sul dispositivo ma non può connettersi. Richiedi EID: non necessario, l'EID arriva con le SIM dei dispositivi aziendali. Mac non dispongono di gestione cellulare o eSIM. Comandi La pagina del dispositivo fornisce un pannello Comandi per inviare comandi remoti a un dispositivo gestito. I comandi disponibili dipendono dalla piattaforma (Android o Apple) e dallo stato del dispositivo. I comandi possono essere inviati solo a un dispositivo attualmente registrato. Su un dispositivo con registrazione annullata, su un dispositivo ADE non ancora registrato e sul record storico di una registrazione passata, il pannello mostra solo la cronologia dei comandi. Se il dispositivo non è attualmente online, il comando verrà recapitato ed eseguito non appena il dispositivo si connette a Internet. Per i comandi Android puoi impostare il parametro Validità per stabilire per quanto tempo un comando non recapitato rimane valido. Comandi Android (AMAPI) Per i dispositivi Android, il pannello Comandi include un campo Validità (valore + unità) e un selettore Comando. Alcuni comandi richiedono parametri aggiuntivi, che appaiono dinamicamente quando selezioni il comando. Parametri comuni Validità: per quanto tempo il comando è valido se non può essere eseguito immediatamente. Comando: scegli quale azione inviare al dispositivo. Comandi senza campi aggiuntivi Blocca dispositivo: blocca il dispositivo. Riavvia dispositivo: riavvia il dispositivo. Richiede Android 7.0 o versioni successive. Disattiva modalità smarrito: rimuove il dispositivo dalla modalità smarrito. Rinuncia alla proprietà: rimuove il profilo di lavoro e tutte le policy da un dispositivo aziendale con Android 8.0 o versioni successive e lo lascia per uso personale. Le app e i dati del profilo personale vengono conservati. Il dispositivo viene eliminato dal server dopo che conferma il comando. Questa operazione non può essere annullata. Comandi con campi aggiuntivi Reimposta password: richiede Nuova password e Conferma nuova password. Gli interruttori facoltativi includono Blocca ora, Richiedi inserimento e Non chiedere le credenziali all'avvio. Cancella dati app: richiede il Nome del pacchetto di destinazione. Attiva modalità smarrito: richiede un Messaggio modalità smarrito e supporta campi di contatto facoltativi (indirizzo, organizzazione, numero di telefono, email). Quando il dispositivo lo segnala, il suo stato diventa Smarrito, la pagina del dispositivo mostra un banner e questo comando viene nascosto finché la modalità smarrito non viene disattivata. Cancella dispositivo: supporta un Messaggio motivo cancellazione (mostrato agli utenti sui dispositivi personali) e flag di cancellazione facoltativi, tra cui Cancella eSIM. I comandi eSIM (Aggiungi eSIM, Rimuovi eSIM, Richiedi EID) sono disponibili nel pannello dedicato Gestione SIM. Cronologia dei comandi Sotto i controlli di invio, la dashboard mostra una tabella della cronologia dei comandi. La tabella è ordinabile e supporta la paginazione. Alcune righe possono essere espanse per visualizzare parametri aggiuntivi o dettagli di esecuzione. Colonne della cronologia Android Data di creazione Comando Validità Stato Errore Data di esecuzione Comandi Apple (MDM) Per i dispositivi Apple, il pannello Comandi fornisce un selettore Comando. Alcuni comandi richiedono input aggiuntivi. Come per Android, di seguito viene mostrata una tabella della cronologia dei comandi. Comandi con campi aggiuntivi Installa app: richiede il Bundle ID dell'applicazione. Invia notifica: richiede un Messaggio di notifica (lunghezza massima 200 caratteri). Su iPhone e iPad, Invia notifica e il tracciamento in tempo reale raggiungono il dispositivo tramite l'app Cerberus Enterprise: sono disabilitati finché l'app non viene installata e non si è registrata per le notifiche (vedi il campo App Cerberus Enterprise). L'avvio del tracciamento in tempo reale mostra "Richiesta di tracciamento in tempo reale inviata al dispositivo": il tracciamento inizia quando il dispositivo invia la sua prima posizione. iOS può ritardare la richiesta o non recapitarla, ad esempio in Risparmio energetico o senza connessione di rete: se non arriva nessuna posizione entro 2 minuti, chiedi all'utente di aprire l'app una volta. Quando una richiesta non riesce, il messaggio ne indica il motivo, ad esempio l'app non si è ancora registrata, manca la chiave di notifica del server o il token di notifica del dispositivo non è più valido. Azioni sul dispositivo Sono elencati solo i comandi supportati dal dispositivo: alcuni richiedono un iPhone o iPad supervisionato, altri non sono disponibili su un Mac. Quelli più invasivi richiedono una conferma. Blocca dispositivo: blocca lo schermo, con un messaggio e un numero di telefono facoltativi. Un Mac viene riavviato e bloccato con un PIN a sei cifre, mostrato una volta dopo l'invio del comando e nei dettagli del comando. iPhone mostra il titolo "iPhone smarrito" sopra il tuo messaggio, anche se questo comando non attiva la modalità smarrito. Attiva modalità smarrito (iPhone e iPad supervisionati): blocca il dispositivo e mostra sulla schermata di blocco il tuo messaggio, il numero di telefono e la nota. Mentre la modalità smarrito è attiva, la pagina mostra un banner e i comandi Localizza dispositivo (la posizione appare sulla Mappa delle posizioni), Riproduci suono e Disattiva modalità smarrito. Il dispositivo comunica a chi lo tiene in mano che è stato localizzato: dopo Localizza dispositivo, la schermata di blocco mostra iPhone localizzato con l'ora e il nome del server che ha ricevuto la posizione, e un pulsante Continua. iOS mostra questo avviso e non può essere disattivato. Cancella codice di accesso: rimuove il codice di accesso di un iPhone o iPad, ad esempio quando l'utente lo ha dimenticato. Se la policy richiede un codice di accesso, all'utente viene chiesto di impostarne uno nuovo. Aggiorna informazioni dispositivo: chiede al dispositivo le sue informazioni (supervisione, versione del sistema operativo, stato di sicurezza, certificato MDM) e il suo inventario. Impostazioni dispositivo: apre una finestra per modificare il nome del dispositivo, il nome host di un Mac, Bluetooth, roaming dati, Hotspot personale, fuso orario, sfondo, se il blocco attivazione è consentito e, su un iPad condiviso, le relative impostazioni (vedi sotto). Vengono inviate solo le impostazioni che modifichi; quelle non supportate dal dispositivo sono disattivate con il motivo. Un dispositivo può confermare il roaming dati o l'Hotspot personale senza applicarli (ad esempio quando il piano SIM non include l'Hotspot personale), quindi Cerberus Enterprise li rilegge circa 30 secondi dopo e scrive un avviso nei registri di sistema se non sono cambiati. Riavvia dispositivo e Spegni dispositivo: riavvia o spegne subito il dispositivo, dopo una conferma. Cancella dispositivo: cancella tutti i contenuti e le impostazioni e rimuove il dispositivo dalla gestione. Su iPhone e iPad puoi mantenere il piano dati eSIM e saltare la configurazione di prossimità; un Mac riceve un PIN a sei cifre. Return to Service (opzione di Cancella dispositivo, iPhone e iPad con iOS 17 o versioni successive): dopo la cancellazione il dispositivo si configura di nuovo da solo, senza che nessuno lo tocchi, e si registra di nuovo con la sua policy, il suo utente e la sua proprietà attuali. Scegli una rete Wi-Fi della policy del dispositivo per la configurazione, a meno che il dispositivo disponga di Ethernet o dati cellulare: possono essere usate solo reti personali (con password, senza certificati), perché il dispositivo non ha ancora un utente o un certificato. Activation Lock deve essere disattivato. Aggiorna piani cellulari (iPhone e iPad cellulare, iOS 13 o versioni successive, non User Enrollment): inserisci l'URL del server eSIM del gestore fornito dal gestore (un indirizzo https://, un nome host o un codice di attivazione LPA, di cui viene usato solo il server) e il dispositivo scarica i piani eSIM che il gestore ha associato al suo EID. L'EID del dispositivo è mostrato sotto il campo per inviarlo al gestore. Consulta la pagina Gestione SIM. Mantieni il piano dati eSIM disattivato rimuove tutte le eSIM con la cancellazione. La restrizione della policy Mantieni l'eSIM quando il dispositivo viene cancellato (dispositivi supervisionati, iOS 17.2 o versioni successive) si applica alle cancellazioni avviate sul dispositivo (troppi tentativi di codice di accesso non riusciti, Cancella tutti i contenuti e le impostazioni): Apple non documenta il suo effetto su questo comando. Disconnetti utente (iPad condiviso): disconnette l'utente corrente e torna alla schermata di accesso. I dati non ancora sincronizzati con iCloud rimangono sull'iPad. iPad condiviso Un iPad condiviso è usato da più persone, ciascuna con il proprio Managed Apple Account, oppure da ospiti con sessioni temporanee. Viene configurato con un profilo ADE che abilita iPad condiviso (vedi la pagina Apple Automated Device Enrollment) e il suo campo Tipo di registrazione mostra iPad condiviso. Utenti iPad condiviso: gli utenti dell'iPad, con l'utente connesso, lo spazio che utilizzano e se alcuni dati non sono ancora sincronizzati con iCloud. Usa Aggiorna per chiedere di nuovo l'elenco all'iPad. Un utente può essere eliminato con i suoi dati, tranne l'utente connesso (disconnettilo prima); Elimina tutti gli utenti richiede iPadOS 14 o versioni successive. Quando i dati non sono ancora sincronizzati, la conferma avvisa che andranno persi. Impostazioni dispositivo: lo spazio per ciascun utente, il numero previsto di utenti, il tempo di inattività dopo il quale utenti e sessioni ospite vengono disconnessi, solo sessioni ospite, i domini Managed Apple Account suggeriti nella schermata di accesso, per quanti giorni un utente può accedere senza verificare la password online e il salto della configurazione di lingua e regione per i nuovi utenti. I campi vuoti mantengono il valore corrente; le impostazioni che richiedono un iPadOS più recente sono disabilitate. Utenti Mac Su un Mac, il pannello Utenti Mac elenca gli utenti registrati nella gestione, di solito l'utente che ha registrato il Mac. Gli account della policy vengono installati nelle loro sessioni. Per ogni utente mostra quando è stato registrato, l'ultimo report della sua sessione e lo stato degli account: Aggiornato, In attesa dell'utente (il Mac li installa quando l'utente è connesso), Non applicato con i motivi riportati dal Mac oppure Nessun account quando la policy non ne ha. Usa Ricarica per leggere di nuovo l'elenco. Activation Lock Il campo Activation Lock mostra se Activation Lock è attivo. Quando è attivo, un dispositivo cancellato può essere configurato di nuovo solo con l'Apple Account dell'utente o con il codice di bypass del dispositivo. I dispositivi supervisionati attivano Activation Lock solo se è consentito in Impostazioni dispositivo. Cerberus Enterprise chiede ai dispositivi supervisionati il loro codice di bypass e lo memorizza: usa Mostra codice di bypass nel menu del campo per visualizzarlo (solo gli amministratori possono farlo e ogni visualizzazione viene registrata nel log di sistema), poi inseriscilo come password nella schermata Activation Lock del dispositivo, lasciando vuoto l'Apple Account. Recovery Lock e password del firmware (Mac) Un Mac con Apple silicon mostra il campo Recovery Lock, un Mac basato su Intel il campo Password del firmware. Entrambi proteggono il Mac all'avvio: con Recovery Lock, recoveryOS chiede la password; con una password del firmware, il Mac la chiede per avviarsi da un altro disco o dal ripristino. Il campo mostra se il Mac segnala una password e, nel suo tooltip, quando Cerberus Enterprise l'ha memorizzata e quando è stata verificata l'ultima volta. Imposta o cambia password: Cerberus Enterprise genera una password di 20 lettere che si trovano sugli stessi tasti con qualsiasi layout di tastiera, oppure un amministratore ne digita una (da 8 a 64 caratteri senza accenti; gli altri ruoli possono solo generarne una, perché non possono vedere le password memorizzate). La password viene memorizzata crittografata prima di essere inviata e sostituisce quella memorizzata solo quando il Mac la conferma. Se il Mac ha già una password impostata al di fuori di Cerberus Enterprise, digitarla come password corrente: viene usata una sola volta e non memorizzata. Verifica password: chiede al Mac se la password memorizzata è corretta. Il risultato è nel tooltip e nel log di sistema. Mostra password: solo gli amministratori possono vedere la password memorizzata e ogni visualizzazione viene registrata nel log di sistema. Le password generate sono mostrate in gruppi di quattro lettere: digitale senza spazi. Cancella password: rimuove la password dal Mac. Un Mac basato su Intel si riavvia per applicare una modifica della password del firmware: fino ad allora serve ancora la password precedente (Mostra password la elenca) e non può essere inviata un'altra modifica. Apple accetta inoltre un solo comando per la password del firmware ogni 30 secondi. Le password sono nascoste nella cronologia dei comandi. Quando un Mac esce dalla gestione (registrazione annullata, rimosso dall'utente o cancellato), macOS rimuove Recovery Lock da solo e Cerberus Enterprise elimina la password Recovery Lock memorizzata; fa lo stesso quando il Mac segnala di non avere Recovery Lock, ad esempio dopo essersi registrato di nuovo. Quando annulli la registrazione di un Mac (o elimini la sua policy), una password del firmware memorizzata viene prima cancellata, il Mac si riavvia e poi esce dalla gestione. Se la cancellazione non riesce, il Mac esce comunque dalla gestione e la password rimane memorizzata, così puoi ancora vederla. Un Mac rimosso dalla gestione dall'utente, o cancellato, mantiene la sua password del firmware: anche Cerberus Enterprise la mantiene. Eliminare il record del dispositivo elimina la password memorizzata, quindi ti viene chiesto di confermare prima: annota la password, perché senza di essa solo Apple può rimuoverla. FileVault (Mac) Il campo FileVault mostra se il disco del Mac è crittografato e, nel suo tooltip, se Cerberus Enterprise memorizza la sua chiave di recupero personale. Un Mac invia la chiave quando FileVault viene attivato dopo aver ricevuto l'impostazione FileVault della sua policy (vedi la pagina macOS delle policy Apple). Mostra chiave di recupero: solo gli amministratori possono vedere la chiave e ogni visualizzazione viene registrata nel log di sistema. Usala nella finestra di accesso del Mac per reimpostare la password dell'utente, oppure in modalità di ripristino per sbloccare il disco. Rimane disponibile dopo che il Mac esce dalla gestione; eliminando il record del dispositivo viene eliminata. Cambia chiave di recupero: il Mac sostituisce la sua chiave di recupero personale e invia quella nuova, crittografata; la vecchia chiave smette di funzionare. È possibile solo quando la chiave memorizzata può essere letta: il Mac viene sbloccato con essa e non serve la password di un utente. La chiave memorizzata è nascosta nella cronologia dei comandi e viene rimossa dal server quando il Mac risponde (o dopo 7 giorni senza risposta). Bootstrap Token (Mac) Un Mac con macOS 10.15 o versioni successive invia il suo Bootstrap Token al server di gestione quando un utente con un token sicuro effettua l'accesso. Il server lo conserva e lo restituisce solo a quel Mac, che lo usa per assegnare un token sicuro ai nuovi utenti e, su un Mac con Apple silicon, per installare aggiornamenti software e approvare estensioni del kernel senza chiedere una password di amministratore. Nessuno può vedere il token, nella dashboard o altrove. Il campo Bootstrap Token mostra il suo stato: Escrowed: il server ha il token; il tooltip mostra quando il Mac lo ha inviato. Escrowed in precedenza: il token memorizzato è stato inviato prima dell'ultima registrazione o del rinnovo del certificato MDM del Mac. Dopo un rinnovo è previsto: il token viene mantenuto e il Mac non lo invia di nuovo. Dopo una nuova registrazione potrebbe non essere più valido: esegui sudo profiles install -type bootstraptoken nel Terminale del Mac. Not escrowed: il Mac non ha ancora inviato un token. Per inviarlo ora, un amministratore del Mac esegue sudo profiles install -type bootstraptoken nel Terminale ( sudo profiles status -type bootstraptoken mostra se è escrowed). Il tooltip indica anche se il Mac consente il token per l'autenticazione. I Mac configurati con Automated Device Enrollment lo consentono automaticamente; su altri Mac con Apple silicon un utente può consentirlo in Startup Security Utility in recoveryOS. I Mac Intel non possono usare il token per l'autenticazione (Non supportato), ma un token escrowed assegna comunque un token sicuro ai nuovi utenti. Ogni volta che un Mac invia, rimuove o richiede il suo token, l'operazione viene registrata nel log di sistema. Stato del dispositivo e aggiornamenti del sistema operativo Il pannello Stato del dispositivo mostra ciò che il dispositivo segnala su se stesso: la versione e la build del sistema operativo, l'avanzamento di un aggiornamento software (versione in attesa, scadenza, cosa lo ha avviato, errori), se è impostato un codice di accesso e se è conforme alla policy, FileVault su un Mac, la salute della batteria e gli account configurati sul dispositivo. L'elenco Aggiornamenti disponibili mostra gli aggiornamenti del sistema operativo che il dispositivo può installare, raccolti alla registrazione e ogni settimana. Usa Verifica aggiornamenti per richiederli subito e Installa per installare subito un aggiornamento (il dispositivo si riavvia, dopo una conferma) oppure solo scaricarlo e lasciare che l'utente lo installi. Funziona su iPhone e iPad supervisionati e sui Mac, fino a iOS, iPadOS e macOS 26: nelle versioni successive e per aggiornare molti dispositivi, usa gli aggiornamenti richiesti della policy (vedi la pagina Aggiornamenti software delle policy Apple). Un Mac con Apple silicon installa un aggiornamento senza chiedere una password di amministratore solo quando consente il suo Bootstrap Token per l'autenticazione e il token è escrowed (vedi Bootstrap Token sopra). In caso contrario la conferma indica che un utente potrebbe dover inserire una password di amministratore prima che l'aggiornamento venga installato. Applicazioni e inventario Il pannello Applicazioni elenca ogni app del dispositivo in un'unica tabella. Lo stato di installazione delle app installate dalla policy o con un comando viene segnalato in tempo reale dal dispositivo; versioni, dimensioni e app installate dall'utente provengono dall'ultimo elenco di app, raccolto alla registrazione e ogni settimana. Usa Chiedi al dispositivo per richiederlo subito. Gestione: Policy per le app installate dalla policy del dispositivo, Gestita per le app installate con un comando come Installa app, Non gestita per quelle installate dall'utente. L'app Cerberus Enterprise ha il chip Installata da Cerberus. Richiede attenzione: app la cui installazione non è riuscita, che sono state rifiutate o rimosse dall'utente oppure che attendono l'utente. Apri una riga per vedere l'errore; le app della policy non riuscite possono essere installate di nuovo con il pulsante di nuovo tentativo. Le app integrate e le app dell'App Store che il dispositivo segnala come non convalidate non vengono conteggiate. Rimuovi app: le app gestite possono essere rimosse, con i loro dati. Per rimuovere un'app installata dalla policy, rimuovila dalla policy. La policy invia questo comando anche da sola quando un pacchetto Mac installato come app gestita viene rimosso dalla policy. Il pannello Profili, certificati e sicurezza mostra i profili di configurazione, i certificati e lo stato di sicurezza (codice di accesso, crittografia, FileVault e firewall su un Mac) segnalati dal dispositivo. Sui dispositivi di proprietà personale le app installate dall'utente non vengono raccolte e sono elencati solo i profili e i certificati gestiti da Cerberus Enterprise. Il pannello Modifiche all'inventario mostra cosa è cambiato tra due elenchi inviati dal dispositivo: app installate, rimosse o aggiornate (con la vecchia e la nuova versione), profili installati, rimossi o aggiornati e certificati aggiunti o rimossi. Una modifica viene rilevata quando il dispositivo invia un nuovo elenco, ogni settimana per app e profili, ogni giorno per i certificati, oppure quando usi Chiedi al dispositivo: la data mostrata è quella in cui è stata rilevata, la modifica è avvenuta tra l'elenco precedente e quello. Il primo elenco di un dispositivo, e il primo dopo una nuova registrazione o un cambio di proprietà, viene solo registrato come punto di partenza. Cerca per nome o identificatore e filtra per tipo e modifica. Le modifiche vengono conservate per 365 giorni. Quando un aggiornamento del sistema operativo sostituisce molte app Apple contemporaneamente, vengono mostrate come un'unica riga (ad esempio "23 app Apple aggiornate") che puoi espandere. Il rinnovo del certificato MDM è mostrato come Certificato MDM rinnovato. Sui dispositivi di proprietà personale sono mostrate solo le modifiche degli elementi gestiti da Cerberus Enterprise. Colonne della cronologia Apple Data di creazione Comando Stato: Inviato (in attesa del dispositivo, consegnato non appena si connette), Riuscito, Risposto (apri la riga per vedere il risultato), In attesa del dispositivo (il dispositivo non può eseguire il comando in questo momento), Non riuscito (apri la riga per vedere il motivo) o Annullato (la coda dei comandi del dispositivo è stata svuotata, ad esempio quando si è registrato di nuovo). Data di esecuzione Aggiorna Usa l'azione di aggiornamento nel pannello Comandi per ricaricare la cronologia dei comandi. Mappa delle posizioni della dashboard La mappa delle posizioni della dashboard offre una visualizzazione globale dell'ultima posizione nota dei dispositivi che inviano dati sulla posizione. Aprila da Dashboard per esaminare più dispositivi sulla stessa mappa Google. Prerequisiti Un dispositivo appare su questa mappa solo quando la segnalazione della posizione è abilitata nella policy assegnata. Per abilitarla, apri la policy e attiva Posizione e geofence → Segnala posizione. Per maggiori dettagli, consulta Posizione e geofence. Sui dispositivi non completamente gestiti, i dati sulla posizione possono comunque dipendere dall'app Cerberus Enterprise che dispone delle autorizzazioni di posizione richieste e dall'attivazione dei servizi di localizzazione sul dispositivo. I dispositivi personali (User Enrollment) condividono la loro posizione solo quando nella loro policy Apple è attiva l'opzione Posizione e geofence sui dispositivi personali e l'utente consente la posizione per l'app Cerberus Enterprise. In caso contrario Cerberus non raccoglie la loro posizione e il tracciamento in tempo reale non è disponibile per loro. Per la cronologia per dispositivo e le transizioni dei geofence disponibili nell'editor del dispositivo, vedi Mappa delle posizioni. La cronologia posizioni viene conservata per 90 giorni e le posizioni più vecchie vengono eliminate automaticamente ogni notte. L'ultima posizione di ogni dispositivo registrato viene sempre conservata, quindi i dispositivi che non inviano dati da molto tempo vengono comunque mostrati sulla mappa. Stato di caricamento e assenza di dati Mentre i dati sulla posizione vengono caricati, la mappa mostra un overlay di caricamento. Se al momento nessun dispositivo ha dati sulla posizione disponibili, la pagina mostra il messaggio Nessun dato sulla posizione disponibile. Marcatori e cluster Ogni dispositivo con dati sulla posizione disponibili è mostrato come marcatore. Quando molti dispositivi sono vicini, i marcatori vengono raggruppati automaticamente per mantenere la mappa leggibile. I dispositivi attualmente in tracciamento in tempo reale sono evidenziati con un marcatore animato, così sono più facili da individuare sulla mappa. Controlli della mappa Quando la mappa contiene posizioni dei dispositivi, Cerberus Enterprise mostra pulsanti di azione nell'angolo in alto a destra della mappa. Posizione attuale: usa la posizione del browser per spostare la mappa sulla tua posizione attuale e adattare l'area di precisione indicata. Ricentra mappa: adatta di nuovo la mappa attorno ai marcatori dei dispositivi attualmente visualizzati. Tracciati: indicatore di tracciamento in tempo reale che appare quando uno o più dispositivi sono tracciati in tempo reale e mostra quanti sono attualmente attivi. Interrompi tutto il tracciamento in tempo reale: il pulsante icona nell'indicatore di tracciamento in tempo reale interrompe il tracciamento di tutti i dispositivi attualmente tracciati dopo la conferma. Dettagli del marcatore Facendo clic su un marcatore si apre una finestra informativa con: Il Modello del dispositivo e l'ID interno. Il timestamp dell'ultima posizione segnalata. La precisione segnalata in metri. La velocità segnalata, quando disponibile. La direzione o rotta segnalata, quando disponibile. L'identificatore del dispositivo nella finestra informativa è un link che apre la pagina Panoramica dispositivo corrispondente. Azioni della finestra informativa Ogni finestra informativa include anche pulsanti di azione per il dispositivo selezionato. Link dispositivo: il nome e l'ID del dispositivo nella parte superiore della finestra informativa aprono la pagina Panoramica dispositivo corrispondente. Ingrandisci: centra la mappa sul dispositivo selezionato e adatta più strettamente attorno ad esso il cerchio di precisione segnalato. Live: avvia il tracciamento in tempo reale per quel dispositivo. Se il tracciamento in tempo reale è già attivo, lo stesso pulsante lo interrompe dopo la conferma. Tracciamento in tempo reale attivo: quando presente, questa riga di stato indica che il dispositivo selezionato è già tracciato in tempo reale. Cerchio di precisione Quando viene selezionato un marcatore, la mappa mostra un cerchio di precisione attorno alla posizione. Il raggio del cerchio corrisponde alla precisione segnalata. Comportamento del tracciamento in tempo reale Avviare il tracciamento in tempo reale da una finestra informativa invia una richiesta di tracciamento in tempo reale a quel dispositivo. Cerberus Enterprise aggiorna quindi automaticamente la mappa mentre la sessione è attiva. Ogni sessione di tracciamento in tempo reale dura al massimo 15 minuti. Mentre il tracciamento in tempo reale è attivo, i dispositivi Android mostrano una notifica e iPhone e iPad mostrano l'indicatore di posizione. Il tracciamento in tempo reale può essere interrotto dalla finestra informativa del dispositivo selezionato oppure dal pulsante globale Interrompi tutto il tracciamento in tempo reale sulla mappa. Su iPhone e iPad, il tracciamento in tempo reale avviene tramite l'app Cerberus Enterprise, con l'accesso alla posizione impostato su Always. La richiesta in genere riattiva l'app anche quando non è aperta, e l'app invia poi le posizioni per tutta la sessione. iOS non garantisce queste richieste: può ritardarle o non recapitarle, ad esempio in Risparmio energetico o senza connessione di rete. Se nessuna posizione arriva entro 2 minuti, la dashboard annulla la richiesta: chiedi all'utente di aprire l'app una volta, poi riprova. App private Da questa sezione della dashboard puoi caricare le tue app Android private o creare web app da distribuire sui tuoi dispositivi. Gli unici dettagli che devi fornire sono il titolo dell'app e l'APK. Le app private vengono approvate automaticamente per la tua organizzazione e in genere sono pronte per la distribuzione entro 10 minuti. Puoi caricare un totale di 15 app private al giorno. Tieni presente che anche le web app contano in questo totale. La prima volta che pubblichi un'app privata, dovrai fornire un indirizzo email per ricevere le notifiche dal Play Console relative alle tue app e al tuo account sviluppatore Google Play. Inoltre, Managed Play crea automaticamente un account Play Developer per conto della tua organizzazione. Non devi pagare una quota di registrazione per questo account. App private pubblicate dall'iframe: Non sono soggette agli stessi controlli delle altre app. Di conseguenza, non possono essere convertite in app pubbliche. Non sono trasferibili. Non puoi trasferire la proprietà di un'app a un altro account Play Developer. Per maggiori dettagli visita la pagina Assistenza di Managed Google Play Gestione dei certificati La dashboard include una sezione Certificati per importare, visualizzare ed eliminare i certificati. Facendo clic su una riga di certificato si apre l'editor del certificato. Elenco dei certificati I certificati sono visualizzati in una tabella ordinabile e paginata. L'elenco include sia certificati client sia Autorità di certificazione (CA). Filtri Nella parte superiore della pagina puoi abilitare i filtri usando l'elenco di chip. Alcuni filtri si escludono a vicenda. Tutti: mostra tutti i certificati. Client: mostra solo i certificati client. Autorità di certificazione (CA): mostra solo i certificati CA. Cerca: mostra un campo di testo (etichetta Nome o nome file) per cercare per nome del certificato o nome del file importato. Senza utente: mostra i certificati client non associati ad alcun utente. Colonne della tabella Nome Tipo Scadenza Utente (mostrato per i certificati client) Nome file importato Data di importazione Azioni Apri certificato: fai clic su una riga per aprire l'editor del certificato. Elimina certificato: disponibile solo quando il certificato non è associato a utenti/policy e non è usato dai dispositivi. L'azione può anche essere disabilitata quando la licenza è scaduta. Selezione multipla: puoi abilitare la selezione di più righe per eliminare più certificati contemporaneamente. È possibile selezionare solo i certificati eliminabili. Aggiorna: ricarica l'elenco dei certificati. Importa certificati Per importare i certificati, fai clic su Importa certificato e seleziona uno o più file. I formati supportati sono mostrati nel tooltip del pulsante di importazione. Client Formato supportato: PKCS#12 codificato in Base64 (.p12 / .pfx). I certificati client identificano un utente o un dispositivo sulla rete dell'enterprise. I certificati client possono essere associati a un utente specifico. Ogni certificato client può essere facoltativamente assegnato a un utente specifico: questo consente di distribuire la stessa configurazione Wi‑Fi EAP su molti dispositivi. Puoi farlo nella sezione configurazione di rete della policy, usando l'opzione Credenziali EAP dagli utenti. In alternativa, puoi assegnare un certificato a un utente dalla pagina Utenti. Sui dispositivi Apple, i certificati vengono installati con la sezione Rete della policy Apple, dove puoi anche scegliere Il certificato dell'utente del dispositivo. Consulta la pagina Rete delle policy Apple. Autorità di certificazione (CA) Formati supportati: X.509 codificato in Base64 (.crt / .pem / .cer / .der). I certificati CA identificano un'Autorità di certificazione e indicano al dispositivo che qualsiasi certificato emesso dalla CA deve essere considerato attendibile. La dashboard verifica che un certificato X.509 importato sia una CA. Editor del certificato Quando apri un certificato, l'editor mostra i suoi campi principali e un pannello Informazioni sul certificato in sola lettura. Campi principali Nome (obbligatorio) ID (sola lettura) Tipo (sola lettura) Scadenza (sola lettura) Data di importazione (sola lettura) Nome file importato (sola lettura) Associazione utente (certificati client) Per i certificati Client, l'editor mostra un campo Utente. Se è assegnato un utente, un menu ti consente di Apri utente, Cambia utente o Disassocia utente. Se non è assegnato alcun utente, puoi assegnarne uno usando il pulsante di azione utente. Elimina certificato L'azione di eliminazione è disabilitata quando il certificato è attualmente associato a un utente o usato nelle policy. Può anche essere disabilitata quando la licenza è scaduta. Regole eventi Le regole eventi ti consentono di automatizzare le reazioni agli eventi supportati dei dispositivi. Apri Dashboard → Regole eventi per creare regole che monitorano eventi di registrazione, annullamento della registrazione, non conformità e geofence (dispositivi Android e Apple; gli eventi geofence provengono da dispositivi Android, iPhone e iPad), poi attivano automaticamente una o più azioni. Cosa può fare una regola eventi Ogni regola combina un soggetto, un evento e una o due azioni. I soggetti supportati sono Tutti i dispositivi, Dispositivo specifico e Policy. Eventi: dispositivo registrato, dispositivo annullato dalla registrazione, dispositivo diventato non conforme, ingresso in geofence, uscita dal geofence. Azioni sui dispositivi: disabilita dispositivo, abilita dispositivo, blocca dispositivo. Azione email: invia un'email di notifica agli amministratori e, quando abilitato, ai responsabili delegati. Una regola può contenere solo un'azione email, solo un'azione sul dispositivo oppure un'azione sul dispositivo più un'azione email. Se entrambe le azioni sono configurate, Cerberus Enterprise esegue prima l'azione sul dispositivo e poi l'azione email. Regole di piattaforma e compatibilità Gli eventi e le azioni disponibili dipendono dal soggetto selezionato e dalla piattaforma applicabile a quel soggetto. Android supporta eventi di registrazione, annullamento della registrazione, non conformità e geofence. Apple supporta eventi di registrazione, annullamento della registrazione, non conformità e geofence. Gli eventi geofence provengono da iPhone e iPad con l'app Cerberus Enterprise. Disabilita dispositivo è disponibile sia su Android che su Apple. Su iPhone e iPad supervisionati attiva la modalità smarrito; gli altri dispositivi Apple vengono invece bloccati (un Mac con un PIN a sei cifre, mostrato nella cronologia dei comandi del dispositivo). La modalità smarrito si disattiva dalla pagina del dispositivo. Abilita dispositivo è offerto solo per gli eventi geofence, su Android e Apple. Su iPhone e iPad disattiva la modalità smarrito. Disabilita dispositivo e Abilita dispositivo escludono un dispositivo Android in modalità smarrito: solo il comando Disattiva modalità smarrito lo rimuove dalla modalità smarrito. Le altre azioni della regola vengono comunque eseguite e il registro di sistema indica perché l'azione sul dispositivo è stata esclusa. Blocca dispositivo e Invia email sono disponibili sia su Android che su Apple, quando l'evento selezionato li supporta. Un Mac viene bloccato con un PIN a sei cifre, mostrato nella cronologia dei comandi del dispositivo. Registrazione del dispositivo annullata supporta solo l'email. Elenco regole L'elenco delle regole di evento è la pagina di gestione principale per questa funzionalità. Include una tabella ricercabile con nome della regola, soggetto, evento, azioni, piattaforma, stato di attivazione e ora di aggiornamento. Usa i chip di filtro per passare tra tutte le regole, le regole abilitate, le regole disabilitate e la ricerca testuale. Usa il pulsante Aggiorna per ricaricare la vista attuale della tabella. Usa l'interruttore di attivazione in ogni riga per abilitare o disabilitare temporaneamente una regola. Usa la modalità di selezione multipla delle righe per eliminare più regole insieme. Usa Crea regola di evento per aprire l'editor di una nuova regola. Editor delle regole L'editor è suddiviso nelle sezioni Generale, Ambito, Trigger e Azioni. In fondo alla pagina, una barra delle azioni fissa mantiene visibili i pulsanti principali mentre scorri. Generale Nome: obbligatorio, fino a 150 caratteri. Descrizione: facoltativa, fino a 2000 caratteri. Regola abilitata: salva la regola in stato abilitato o disabilitato. Ambito L'ambito definisce quali dispositivi può corrispondere la regola. L'editor mostra anche la piattaforma risolta e, quando disponibile, il contesto della policy effettiva. Tutti i dispositivi: la regola può corrispondere a tutti i dispositivi supportati nell'azienda. Dispositivo specifico: seleziona un dispositivo gestito dalla finestra di selezione. Policy: seleziona un modello di policy dalla finestra di selezione. Trigger La sezione Trigger filtra automaticamente gli eventi disponibili in base all'ambito e alla piattaforma selezionati. Trigger geofence Le regole di ingresso e uscita dai geofence funzionano per i dispositivi Android, iPhone e iPad, e una regola per un dispositivo o una policy richiede un contesto policy valido. Per le definizioni dei geofence, consulta Posizione e geofence (Android) e Posizione e geofence (Apple). Se il soggetto è Tutti i dispositivi, la regola si applica sempre a Qualsiasi geofence. Se il soggetto è un dispositivo o una policy, puoi scegliere Qualsiasi geofence o un geofence specifico. L'elenco dei geofence specifici viene caricato dal contesto della policy effettiva del dispositivo o della policy selezionati. Le regole geofence per tutti i dispositivi salvate prima che i geofence fossero disponibili su iPhone e iPad si applicano ancora solo ai dispositivi Android. Aprile e salvale di nuovo per applicarle anche ai dispositivi Apple. Azioni La sezione delle azioni consente di scegliere un'azione facoltativa sul dispositivo e una notifica email facoltativa. L'interfaccia nasconde automaticamente le combinazioni non supportate. La notifica email è attiva per impostazione predefinita, anche quando scegli un'azione sul dispositivo: disattivala se vuoi solo l'azione sul dispositivo. Se non è disponibile alcuna azione dispositivo per l'evento e l'ambito selezionati, puoi comunque salvare una regola solo email. Se l'email è disabilitata per l'evento e la piattaforma selezionati, l'interruttore email non è disponibile. Una regola senza alcuna azione non è valida e non può essere salvata. Destinatari email Le azioni email includono sempre gli utenti aziendali con il ruolo ADMIN. Se l'azienda è gestita tramite multi-tenancy, puoi estendere i destinatari per includere i gestori MT. Solo gestori principali: include gli amministratori aziendali e i contatti dei gestori MT principali. Gestori principali e gestori dei sotto-account: aggiunge anche i gestori dei sotto-account assegnati. L'elenco di anteprima mostra gli indirizzi email effettivi che verranno usati quando la regola viene eseguita. Solo i gestori delegati con accesso concesso all'azienda vengono inclusi nell'elenco finale dei destinatari. Comportamento di esecuzione Le regole di evento vengono eseguite immediatamente quando Cerberus Enterprise riceve un evento supportato dalle integrazioni backend. Le regole disabilitate vengono saltate automaticamente. Le esecuzioni riuscite, saltate e non riuscite vengono registrate nel registro di sistema con messaggi leggibili, incluso il motivo quando una regola o un'azione sul dispositivo è stata saltata. Il log di sistema conserva gli eventi di stato e di posizione dei dispositivi, e le esecuzioni delle regole riuscite o saltate, per 90 giorni. Gli altri eventi, come le azioni degli amministratori, gli accessi, gli avvisi e gli errori (incluse le esecuzioni delle regole non riuscite), vengono conservati per 12 mesi. Le voci più vecchie vengono eliminate automaticamente ogni notte. Dispositivi Dispositivi La sezione Dispositivi della dashboard (Dashboard → Dispositivi) elenca tutti i dispositivi registrati nel tuo account. Da questa pagina puoi filtrare l'elenco, aprire la scheda di un dispositivo ed eseguire azioni sul dispositivo come disabilitarlo o annullarne la registrazione. Filtri Nella parte superiore della pagina puoi abilitare uno o più filtri usando l'elenco di chip. I chip selezionati rappresentano i filtri attualmente attivi. I filtri dipendono dalle piattaforme configurate nel tuo account: i filtri per i dispositivi Apple o Android compaiono solo quando quella piattaforma è configurata, mentre i filtri Android e Apple compaiono solo quando lo sono entrambe. Filtri disponibili Tutti: mostra tutti i dispositivi. Registrati: mostra i dispositivi registrati, qualunque sia il loro stato (ad esempio Attivo, Smarrito o Disabilitato). I dispositivi con registrazione annullata e i dispositivi ADE non ancora registrati non vengono mostrati. È selezionato all'apertura della pagina: scegli Tutti per vedere i dispositivi con registrazione annullata e i dispositivi sincronizzati da Apple Business non ancora registrati. Non conforme: mostra i dispositivi non conformi alla policy. Non sicuri: mostra i dispositivi con una postura non sicura. Errore app: mostra i dispositivi Android le cui app hanno inviato segnalazioni di errore, e i dispositivi Apple con app gestite che richiedono attenzione (installazione non riuscita, rifiutate o rimosse dall'utente oppure in attesa dell'utente). Smarrito: mostra i dispositivi in modalità smarrito, su Android e Apple. Il loro stato viene mostrato come Smarrito. Stato non aggiornato: mostra i dispositivi che non hanno inviato uno stato nelle ultime 72 ore. Policy non aggiornata: mostra i dispositivi con modifiche alla policy in sospeso. Certificato MDM in scadenza: mostra i dispositivi Apple il cui certificato MDM è scaduto o scade entro 14 giorni. Android: mostra solo i dispositivi Android. Apple: mostra solo i dispositivi Apple. iPhone, iPad, Mac: mostra solo questi dispositivi Apple. Puoi selezionarne più di uno. Aziendali: mostra solo i dispositivi aziendali. Di proprietà personale: mostra solo i dispositivi di proprietà personale. Device owner: mostra solo i dispositivi Android completamente gestiti. Profile owner: mostra solo i dispositivi Android con profilo di lavoro. Supervisionati / Non supervisionati: mostra i dispositivi Apple supervisionati o non supervisionati. Cerca: abilita un campo di ricerca testuale. Cerca Quando abiliti il filtro Cerca, appare un campo di testo con l'etichetta Id, modello, utente, seriale o sistema operativo: cerca l'id del dispositivo, il modello, il nome utente, il numero di serie e la versione del sistema operativo. L'elenco viene aggiornato automaticamente quando smetti di digitare. Tabella dei dispositivi I dispositivi sono visualizzati in una tabella ordinabile e paginata. Facendo clic su una riga si apre l'editor del dispositivo. Colonne Modello: modello del dispositivo. Utente: utente associato (nome, email o id a seconda della disponibilità). Stato: stato del dispositivo (con dettagli nel tooltip). Conformità: indicatore dello stato di conformità. Sicurezza: postura di sicurezza (con dettagli nel tooltip). Sui dispositivi Apple: A rischio senza codice di accesso e sui Mac con FileVault o avvio sicuro disattivato; Potenzialmente compromessi sui Mac con System Integrity Protection o volume di sistema firmato disattivato. La pagina del dispositivo elenca i rischi. Apple non segnala gli iPhone e gli iPad con jailbreak alla gestione dei dispositivi. Errore app: indicatore di errore delle app. Ultimo report di stato: data e ora del report di stato più recente (quando disponibili). Policy: policy attualmente assegnata. SO: sistema operativo e versione (ad esempio iOS 17.7 o Android 14). L'ordinamento ordina prima per sistema, poi per versione. Proprietà: aziendale o di proprietà personale (con dettagli nel tooltip). Modalità di gestione: modalità di gestione (con dettagli nel tooltip). Id: identificatore interno del dispositivo. Aggiornamento e paginazione Usa l'azione di aggiornamento per ricaricare l'elenco. La tabella è paginata (10/25/50 elementi per pagina). Azioni sui dispositivi Ogni riga di dispositivo può offrire azioni, a seconda della piattaforma e dello stato del dispositivo. Alcune azioni sono disabilitate quando la licenza è scaduta o terminata. Azioni per dispositivo Disabilita dispositivo / Abilita dispositivo: disponibile per i dispositivi Android negli stati supportati. Annulla registrazione dispositivo: rimuove la gestione. Su Android può cancellare il profilo di lavoro o ripristinare le impostazioni di fabbrica (a seconda della proprietà); su Apple rimuove le impostazioni della policy. Elimina dispositivo: disponibile per i dispositivi già annullati dalla registrazione (rimuove il record dal sistema). Un Mac la cui password firmware è ancora memorizzata in Cerberus Enterprise viene eliminato solo dopo una conferma, perché la password viene eliminata insieme ad esso. Selezione di più righe Puoi abilitare la selezione di più righe dalla barra delle azioni sotto la tabella. Quando è abilitata, puoi selezionare più righe e applicare azioni collettive (disabilita, abilita, annulla registrazione o elimina), a seconda dei dispositivi selezionati. Per i dispositivi Apple, il menu Azioni dispositivi Apple blocca, riavvia, spegne, aggiorna le informazioni o cancella tutti i dispositivi selezionati. Un'azione è disponibile quando ogni dispositivo selezionato è un dispositivo Apple registrato che la supporta. I PIN dei Mac bloccati o cancellati vengono mostrati una volta dopo l'invio del comando. L'annullamento della registrazione dei dispositivi Apple rimuove il loro profilo di registrazione e le impostazioni della policy, senza cancellarli. Aggiorna piani cellulari chiede agli iPhone e agli iPad selezionati di scaricare i piani eSIM che l'operatore ha associato ai loro EID, da un unico server eSIM dell'operatore inserito in una finestra per tutti. A differenza delle altre azioni, viene inviata solo ai dispositivi selezionati che la supportano: Mac, User Enrollment, dispositivi con una versione precedente di iOS e iPad che non hanno mai segnalato dati cellulare vengono saltati e elencati nel risultato. Vedi la pagina Gestione SIM. Sincronizzazione con Apple Business Se Apple Management è configurato ed è presente un token di Automated Device Enrollment, la pagina può mostrare l'azione Sincronizza da Apple Business per importare i dispositivi da Apple Business. Un messaggio indica quanti dispositivi sono stati aggiunti. Quando ne vengono aggiunti alcuni, l'elenco passa al filtro Tutti, perché i dispositivi non ancora registrati non vengono mostrati dal filtro Registrati. Registra un dispositivo Usa Registra un dispositivo per aprire la sezione Token di registrazione e iniziare a registrare un nuovo dispositivo. Utenti Utenti La sezione Utenti della dashboard (Dashboard → Utenti) elenca tutti gli utenti configurati nel tuo account. Da questa pagina puoi cercare utenti, aprire l'editor utente, creare nuovi utenti ed eliminare gli utenti che non sono attualmente associati a dispositivi. Cerca In cima alla pagina c'è un campo di ricerca con l'etichetta Cerca e il segnaposto Nome, nome utente o email. L'elenco si aggiorna automaticamente quando smetti di digitare. Tabella utenti Gli utenti sono visualizzati in una tabella ordinabile e paginata. Facendo clic su una riga si apre l'editor utente. Colonne Nome: nome e cognome dell'utente. La tabella è ordinata per nome per impostazione predefinita. Email: indirizzo email dell'utente. Nome utente: nome utente (spesso un nome utente della directory). Dispositivi: numero di dispositivi attualmente associati all'utente, esclusi quelli con registrazione annullata. Include i dispositivi Apple assegnati all'utente che non si sono ancora registrati. Ultima attività del dispositivo: il report di stato più recente inviato da uno qualsiasi dei dispositivi dell'utente. È vuoto quando l'utente non ha dispositivi. Ordina per questa colonna per trovare gli utenti inattivi. Certificato WiFi: nome del certificato Wi‑Fi assegnato all'utente, con un'icona. È vuoto quando l'utente non ha un certificato. Id: identificatore interno dell'utente. Aggiornamento e paginazione L'azione di aggiornamento ricarica l'elenco. La tabella è paginata (10/25/50 elementi per pagina). Azioni utente Crea nuovo utente Usa Crea nuovo utente per aprire la finestra di creazione dell'utente. Questa azione è disattivata quando la tua licenza è scaduta. Sincronizza da Google Workspace Se la sincronizzazione della directory di Google Workspace è disponibile per il tuo account, la pagina mostra Sincronizza da Google Workspace. Quando avvii una sincronizzazione, viene mostrato un indicatore di avanzamento mentre la richiesta è in corso. Elimina un utente Puoi eliminare un utente solo quando non è associato a nessun dispositivo (la colonna Dispositivi deve essere 0). L'azione di eliminazione è disattivata quando la tua licenza è scaduta o terminata. Selezione multipla ed eliminazione in blocco Dalla barra delle azioni sotto la tabella puoi attivare la selezione multipla. In questa modalità puoi selezionare più utenti ed eliminarli in blocco. Idoneità: solo gli utenti con Dispositivi = 0 possono essere selezionati per l'eliminazione. Seleziona tutto: la casella di controllo Tutti seleziona tutte le righe idonee nella pagina corrente. Eliminazione in blocco: Elimina utenti selezionati è disattivato quando non è selezionata alcuna riga o quando la tua licenza è scaduta o terminata. Certificati Wi‑Fi ed EAP La colonna Certificato WiFi mostra il nome del certificato attualmente assegnato a un utente. I certificati utente sono in genere usati per le configurazioni Wi‑Fi EAP (ad esempio EAP‑TLS). Per l'assegnazione e la gestione dei certificati, vedi Gestione certificati. Editor utente L'editor utente è disponibile da Dashboard → Utenti facendo clic su una riga utente. Ti consente di modificare i dettagli dell'utente, configurare le credenziali Wi‑Fi EAP per singolo utente e visualizzare i dispositivi associati all'utente. Dettagli utente La sezione superiore contiene i campi principali dell'utente. Alcuni campi sono obbligatori e l'editor mostra errori di convalida quando mancano o non sono validi. Id: identificatore in sola lettura. Nome: obbligatorio. Cognome: obbligatorio. Nome utente: obbligatorio. Email: obbligatoria e deve essere un indirizzo email valido. Numero di telefono: facoltativo. Account Google: facoltativo e, se fornito, deve essere un indirizzo email valido. Apps and Books (sola lettura, mostrato sotto il campo Managed Apple Account dopo che l'utente ha registrato un iPhone o iPad personale con User Enrollment): lo stato dell'utente Apps and Books che Cerberus ha creato per il Managed Apple Account per assegnare le licenze delle app ai dispositivi personali dell'utente: associato, registrato, in attesa di Apple, in creazione, non riuscito o ritirato. Un utente che resta registrato può comunque ricevere licenze; non riuscito di solito significa che l'account non appartiene alla stessa organizzazione Apple Business del token Apps and Books. Policy predefinita di autenticazione Google Negli ambienti Google Workspace con l'autenticazione Google attivata, l'editor può mostrare Policy predefinita di autenticazione Google. È la policy applicata ai dispositivi registrati tramite l'autenticazione Google da questo utente. Cambia policy: apre la finestra di selezione della policy. Apri policy: apre la policy selezionata nell'editor delle policy (quando è impostata una policy). Dopo aver selezionato una nuova policy predefinita, devi salvare l'utente per applicare la modifica. L'editor mostra una notifica che ti ricorda di salvare. Credenziali Wi‑Fi EAP La sezione Credenziali Wi‑Fi EAP serve a configurare le credenziali per singolo utente che vengono installate automaticamente sui dispositivi dell'utente quando la policy assegnata contiene una configurazione Wi‑Fi EAP che le richiede. La configurazione Wi‑Fi EAP fa parte della configurazione di rete della policy Android. Certificato client Puoi assegnare facoltativamente un certificato client a un utente. Quando un certificato è assegnato, viene mostrato nel campo Certificato client e un menu fornisce le azioni. Quando non è assegnato alcun certificato, il campo mostra Nessun certificato assegnato e puoi assegnarne uno. Assegna certificato: apre la finestra di selezione del certificato. Apri certificato: apre l'editor dei certificati. Cambia certificato: seleziona un altro certificato client. Dissocia certificato: rimuove il certificato dall'utente. Il sistema rimuove il certificato anche da tutti i dispositivi associati a questo utente. Per l'importazione e la gestione dei certificati, vedi Gestione certificati. Identità, identità anonima e password Identità: identità dell'utente. Per i protocolli esterni di tunneling (PEAP, EAP‑TTLS) viene usata all'interno del tunnel. Identità anonima: usata per i protocolli esterni di tunneling come identità presentata all'esterno del tunnel. Se non specificata, per impostazione predefinita è una stringa vuota. Password: la password dell'utente per i metodi EAP che la richiedono. Se non specificata, il dispositivo può chiederla all'utente. Un'azione mostra/nascondi attiva o disattiva la visibilità della password. Dispositivi associati La sezione Dispositivi associati mostra l'elenco dei dispositivi attualmente collegati all'utente. Se l'utente ha uno o più dispositivi associati, non può essere eliminato. Salva ed elimina Salva utente: attivo solo quando il modulo è valido, ci sono modifiche in sospeso e la licenza è attiva. Durante il salvataggio viene mostrato un indicatore di avanzamento. Elimina utente: disattivato quando l'utente è associato a dispositivi o quando la licenza è scaduta/terminata. Quando l'eliminazione è consentita, viene mostrata una finestra di conferma. Se l'utente è assegnato a token di registrazione, la finestra avverte che i dispositivi registrati con quei token non saranno più assegnati a un utente. L'eliminazione dell'utente rilascia anche le licenze delle app del suo utente Apps and Books e lo ritira da Apple. Avviso modifiche non salvate Se hai modifiche non salvate e provi a lasciare la pagina, la dashboard ti chiede se vuoi eliminare le modifiche. Account Impostazioni La pagina Impostazioni (Dashboard → Impostazioni) riepiloga le informazioni sull'account e sulla licenza e offre azioni per gestire la fatturazione, la configurazione delle piattaforme (Android Management e Apple Management) e le integrazioni opzionali con directory/token. Banner della licenza (in scadenza / scaduta) Quando la tua licenza è in scadenza, scaduta o terminata, nella parte superiore della pagina viene mostrato un banner ben visibile. A seconda dello stato dell'abbonamento, offre un'azione Gestisci fatturazione (portale clienti Stripe) oppure un'azione Acquista licenza. Quando la licenza è scaduta, l'account può solo annullare la registrazione dei dispositivi. Dopo il periodo di tolleranza, l'account può essere annullato e la registrazione dei dispositivi può essere annullata automaticamente. Banner dei certificati e dei token Apple (in scadenza / scaduti) Il certificato push Apple (APNs), il token Apple Business (Automated Device Enrollment) e il token Apps and Books (ex VPP) devono essere rinnovati ogni anno. A partire da 30 giorni prima della scadenza, nella parte superiore della dashboard viene mostrato un banner per ogni certificato o token in scadenza o scaduto, con la data di scadenza o la funzione che ha smesso di funzionare. L'azione Come rinnovare apre questa pagina con le istruzioni di rinnovo corrispondenti espanse. Un banner viene mostrato anche quando il certificato MDM di alcuni dispositivi Apple scade entro 14 giorni e il rinnovo automatico non è stato completato o è scaduto: quei dispositivi devono essere registrati di nuovo. L'azione Mostra dispositivi apre l'elenco dei dispositivi con il filtro Certificato MDM in scadenza. Quando il certificato push Apple scade, i dispositivi Apple non possono ricevere comandi o aggiornamenti delle policy. Quando il token Apple Business scade, Automated Device Enrollment smette di funzionare. Quando il token Apps and Books scade, le app non possono essere distribuite. Banner dell'app Cerberus Enterprise Cerberus installa la sua app gratuita Cerberus Enterprise su iPhone e iPad (iOS e iPadOS 18.4 o versioni successive) con una licenza dispositivo Apps and Books. Un banner viene mostrato nella parte superiore della dashboard quando l'app non è nella tua libreria Apple Business, quando il token Apps and Books manca o è scaduto oppure quando alcuni iPhone e iPad sono ancora in attesa dell'app (con il loro numero). Come aggiungerla apre questa pagina alla riga App Cerberus Enterprise con i passaggi; Come configurarla (mostrato quando il token Apps and Books manca o è scaduto) apre le istruzioni del token Apps and Books. Accesso gestore enterprise La scheda Accesso gestore enterprise viene mostrata solo per le enterprise gestite da un account multi-tenancy (ad esempio un provider di servizi gestiti). Ti permette di vedere quali account gestore possono operare sulla tua enterprise e di controllarne l'accesso. La scheda mostra: Il proprietario dell'enterprise. Il proprietario ha sempre accesso e il suo accesso non può essere revocato. Ogni account gestore dell'account multi-tenancy, etichettato come Gestore principale o Sotto-account, con nome, nome utente e stato dell'accesso (Concesso, Revocato o Non concesso). Concedere e revocare l'accesso Usa Concedi per consentire a un account gestore di entrare nella tua enterprise e gestirla, e Revoca per rimuovere tale accesso. Ogni azione richiede una conferma. Un gestore il cui accesso è revocato non può più operare sull'enterprise, anche se vi sta lavorando in quel momento. Come amministratore dell'enterprise, puoi concedere o revocare l'accesso per qualsiasi account gestore elencato. Il gestore principale può concedere o revocare l'accesso ai propri sotto-account, ma solo finché il suo accesso è concesso. Non può concedere l'accesso a se stesso né revocare il proprio accesso. Revocare l'accesso al gestore principale revoca anche l'accesso a tutti i suoi sotto-account. Quando questo si applica, la finestra di conferma elenca i sotto-account che perderanno l'accesso. Informazioni sull'account La scheda Informazioni sull'account mostra campi in sola lettura: Nome utente Nome enterprise ID enterprise Cambia password Se non hai effettuato l'accesso con Google, Apple o Microsoft, la scheda mostra anche un'azione Cambia password. Questa apre una finestra per continuare con la procedura di cambio password. Puoi anche cambiare la password in qualsiasi momento dal menu utente nella barra degli strumenti in alto, usando Cambia password. È utile per gli account multi-tenancy, che possono cambiare la password senza entrare in un'enterprise. Se un amministratore ha creato il tuo account o reimpostato la tua password, accedi con una password temporanea e devi scegliere una nuova password prima di continuare. Informazioni sulla licenza La scheda Informazioni sulla licenza mostra lo stato attuale della licenza e il limite di dispositivi. Offre anche azioni per contattare il reparto commerciale e per gestire la fatturazione o acquistare una licenza. Stato della licenza: mostrato come Attiva o Scaduta (con un badge icona e un tooltip). Prova gratuita: mostrato quando l'account è attualmente in modalità di prova. Dispositivi con licenza: numero massimo di dispositivi consentiti dalla licenza. Il collegamento hai bisogno di più dispositivi? apre un messaggio per contattare l'assistenza. Contano i dispositivi registrati, qualunque sia il loro stato (ad esempio Attivo, Smarrito o Disabilitato). I dispositivi con registrazione annullata non contano, e nemmeno i dispositivi sincronizzati da Apple Business finché non vengono registrati. Quando si raggiunge il limite, un nuovo dispositivo non viene aggiunto e la sua registrazione viene rimossa: l'evento è nel registro di sistema e gli amministratori dell'account ricevono un'email. Sui dispositivi Apple la rimozione richiede circa un minuto e un dispositivo già conteggiato può registrarsi di nuovo, come uno cancellato con Return to Service. Prossimo rinnovo programmato: mostrato per gli abbonamenti attivi che si rinnovano automaticamente. In caso contrario la scheda mostra la Data di scadenza. Android Management La scheda Android Management mostra lo stato di Android Management per la tua enterprise. Se Android Management non è ancora configurato, la scheda fornisce un'azione Configura Android Management che apre la procedura di configurazione. Stato configurato Quando Android Management è configurato, la scheda può mostrare: ID gestione Tipo di associazione: indica se l'enterprise usa un account Managed Google Play o un dominio Google gestito. Sincronizzato con Google Workspace (badge mostrato quando la sincronizzazione della directory è attiva) Sincronizza con Google Workspace (mostrato quando la sincronizzazione della directory non è configurata; apre il pannello delle istruzioni in fondo alla pagina) Associazione Android enterprise Android Management può essere associato a un account Managed Google Play oppure a un dominio Google gestito. Il campo Tipo di associazione mostra quale opzione è attualmente associata alla tua enterprise. Un account Managed Google Play è un account Android Enterprise leggero. È adatto a gestire dispositivi e app Android tramite Cerberus Enterprise, ma è separato da un'organizzazione Google Workspace o Cloud Identity. Non offre l'esperienza di amministrazione centralizzata di Google disponibile con un dominio Google gestito. Un dominio Google gestito associa Android Enterprise all'identità Google della tua organizzazione. Gli amministratori IT possono gestire prodotti Google come Google Workspace, Cloud Identity e Gemini dalla Google Admin console, continuando a gestire app e policy Android in Cerberus Enterprise. Questo offre un approccio più snello e integrato alla gestione Android e abilita i flussi di registrazione e gestione utenti basati su Google Workspace. Quando l'enterprise usa un account Managed Google Play, la scheda Impostazioni fornisce Passa al dominio Google gestito e un'azione informativa. L'aggiornamento apre la procedura guidata di Google per spostare l'Android enterprise esistente in un dominio gestito. Durante l'aggiornamento, Google può associare un account Google Admin esistente collegato al tuo indirizzo email di lavoro o creare automaticamente un nuovo account Google Admin gratuito. Usa un indirizzo email di lavoro come nome@enterprise.com per continuare la configurazione guidata di Google. Apple Device Management La scheda Apple Device Management mostra lo stato della gestione dei dispositivi Apple (MDM) per la tua enterprise. Se la gestione Apple non è ancora configurata, la scheda fornisce un'azione Configura Apple Management che apre la procedura di configurazione. Stato configurato Quando la gestione Apple è configurata, la scheda può mostrare: ID Apple Scadenza del certificato push Apple: mostra la data di scadenza e un badge icona. Se il certificato è in scadenza/scaduto, il badge è cliccabile e apre le istruzioni di rinnovo. Scadenza del token Apple Business: mostra la scadenza del token Apple Business usato per Automated Device Enrollment (con un badge cliccabile quando è richiesta un'azione). Token Apps and Books: mostra il nome dell'organizzazione e la scadenza del token di contenuti Apple Apps and Books, ex Volume Purchase Program (VPP) (con un badge cliccabile quando è richiesta un'azione). App Cerberus Enterprise: nella scheda del token Apps and Books, indica se l'app è nella tua libreria Apple Business: Nella tua libreria (licenze illimitate), Non nella tua libreria oppure Non disponibile: il token Apps and Books è scaduto, e quanti iPhone e iPad la stanno aspettando. Quando l'app manca, la riga elenca i passaggi per aggiungerla (in Apple Business, apri Apps & Services → Apps & Books → App Store, cerca "Cerberus Enterprise", fai clic su View, poi su Add, seleziona All current and future in Organizational Units, fai clic su Add, quindi su Review e conferma). Controlla di nuovo legge di nuovo la libreria (al massimo ogni 5 minuti); i dispositivi in attesa dell'app la ricevono quindi. Apple Business: link al portale Apple Business, mostrato quando è presente un token Apple Business. Sincronizza con Apple Business e Sincronizza con Apple Apps and Books: mostrati quando i token mancano. La gestione Apple richiede la configurazione del certificato APNs. Se necessario, consulta Apple Management setup (APNs). Preferenze e privacy La scheda Preferenze e privacy contiene un interruttore per le preferenze di marketing e link ai Termini di servizio e all'Informativa sulla privacy. Usa Salva preferenze per applicare le modifiche (durante il salvataggio viene mostrato un indicatore di avanzamento). Invia feedback Quando gli abbonamenti sono abilitati per l'account, la pagina può mostrare una scheda Invia feedback con link a: Proponi una funzionalità e piattaforme di recensione esterne. Istruzioni di configurazione e rinnovo inline In fondo alla pagina, la dashboard può mostrare pannelli di istruzioni espandibili in base allo stato attuale (ad esempio quando un certificato/token manca o è in scadenza). Rinnova il certificato push Apple (APNs) Quando il certificato APNs è in scadenza o scaduto, la pagina mostra un pannello con i passaggi per scaricare una CSR, rinnovare il certificato sul portale Apple e caricare il nuovo certificato in Cerberus Enterprise. Finché un certificato o un token è ancora valido, il pulsante di caricamento accanto apre gli stessi passaggi. Usalo quando hai scaricato un nuovo token Apple Business o Apps and Books, perché quello vecchio smette di funzionare, oppure per rinnovare in anticipo il certificato push Apple. Rinnova sempre il certificato push Apple attuale: uno diverso viene rifiutato finché i dispositivi Apple sono registrati, perché non potrebbero più essere raggiunti. Sincronizza con Apple Business Quando il token Apple Business manca, è scaduto o in scadenza, la pagina mostra un pannello con i passaggi per scaricare un token da Apple Business e caricarlo in Cerberus Enterprise. Per una nuova connessione, genera il certificato a chiave pubblica in Cerberus Enterprise, quindi in Apple Business apri Devices → Management Services, fai clic su Add sotto Device Management Services, scegli Connect external device management e fai clic su Continue; inserisci un Service Name (ad esempio Cerberus Enterprise), carica il certificato con Upload Certificate, fai clic su Next, poi su Download Service Token e infine su Done. Per rinnovare il token, seleziona il servizio Cerberus Enterprise in Management Services, fai clic sul pulsante … (altro) in alto a destra e scegli Download Token. I dispositivi vengono registrati con Cerberus Enterprise solo quando sono assegnati al suo servizio in Apple Business: apri Devices → Management Services → Default Device Assignment per assegnare automaticamente i nuovi dispositivi (per tipo di dispositivo), oppure Devices → Inventory, seleziona i dispositivi e fai clic su Assign Device Management. Sincronizza con Apple Apps and Books (VPP) Quando il token Apps and Books manca, è scaduto o in scadenza, la pagina mostra un pannello con i passaggi per scaricare un token di contenuti da Apple Business e caricarlo in Cerberus Enterprise: in Apple Business, apri il menu dell'organizzazione in alto a destra (il nome della tua organizzazione) → Settings → Organizational Units, seleziona l'unità organizzativa (l'unità predefinita è la tua organizzazione) e fai clic su Download nella sezione Content Token. Il token scade dopo un anno, o prima se cambia la password dell'Apple Account che lo ha scaricato. L'ultimo passaggio della configurazione di Apps and Books aggiunge l'app gratuita Cerberus Enterprise alla tua libreria Apple Business, così Cerberus può installarla sui tuoi iPhone e iPad. Sincronizza con Google Workspace Quando la sincronizzazione della directory Google Workspace non è configurata, la pagina mostra un pannello che spiega l'integrazione e fornisce un pulsante di autorizzazione. Elenca anche l'ambito Google OAuth richiesto: https://www.googleapis.com/auth/admin.directory.user.readonly. Per la configurazione iniziale di Android, vedi Android Management setup. Multi-tenancy Panoramica sul multi-tenancy La sezione Multi-tenancy è disponibile per gli account MSP e gestori aziendali che gestiscono più aziende clienti da un unico accesso. Questo capitolo spiega il modello di ambito aziendale, il cambio azienda, l'amministrazione delle aziende gestite e i sotto-account. Per richiedere un account multi-tenancy, contatta enterprise@cerberusapp.com. Concetti chiave Account multi-tenancy principale: l'account gestore principale che può accedere allo spazio di lavoro globale multi-tenancy. Sotto-account: un account gestore delegato creato dall'account principale, con assegnazioni aziendali selezionabili. Contesto aziendale selezionato: l'azienda attiva attualmente aperta nella dashboard per le operazioni quotidiane. Delega: autorizzazione concessa dal proprietario di un'azienda che consente a un account gestore di accedere e gestire quell'azienda. Modello di navigazione Quando non è selezionato alcun contesto aziendale, la navigazione laterale mostra le aree multi-tenancy come Aziende e, per gli account principali, Sotto-account. Dopo aver scelto un'azienda, la dashboard passa alla navigazione standard per singola azienda (Home, Utenti, Dispositivi, Registrazione, Policy e altro). Proprietà e delega Ogni azienda gestita ha un proprietario. Il proprietario può sempre accedere a quell'azienda. Gli account gestore non proprietari possono accedere a un'azienda solo quando è stata concessa la delega. Quando un'azienda ha un proprio utente amministratore, tale amministratore è il proprietario e decide quali account gestore possono accedere all'azienda. Quando un'azienda non ha un proprio utente amministratore, il proprietario è l'account multi-tenancy principale. Per le aziende di proprietà di un amministratore cliente, l'account principale può concedere o revocare l'accesso ai propri sotto-account finché il suo accesso è concesso, ma non può concedere l'accesso a se stesso. Se l'amministratore dell'azienda revoca l'accesso all'account principale, viene revocato anche l'accesso ai suoi sotto-account. Rimuovere un'azienda dalle assegnazioni di un sotto-account rimuove anche l'accesso di quel sotto-account all'azienda. Se la assegni di nuovo in seguito, l'accesso deve essere concesso di nuovo. Gli amministratori aziendali gestiscono l'accesso dalla scheda Accesso gestore aziendale nella pagina Impostazioni. Lo stato di proprietà e delega è mostrato direttamente sulle schede azienda per rendere esplicito l'ambito di accesso prima di entrare in un'azienda. Azioni su licenze e fatturazione Le viste multi-tenancy mostrano lo stato delle licenze, i limiti dei dispositivi e le azioni di fatturazione aziendale. A seconda dello stato dell'abbonamento aziendale e delle tue autorizzazioni, la scheda può mostrare Gestisci fatturazione o Acquista licenza. Per le aziende create da un account multi-tenancy, le licenze sono gestite dagli utenti multi-tenancy. L'account principale può sempre gestire le licenze, mentre i sotto-account possono gestirle solo quando l'account principale abilita Può gestire la licenza per quel sotto-account. Pagine di questo capitolo Aziende gestite: ricerca, filtri, dettagli delle schede e creazione di aziende. Cambio azienda: comportamento del selettore superiore e transizioni di ambito. Sotto-account: operatori delegati, assegnazioni e gestione delle credenziali. Aziende gestite La pagina Aziende (Dashboard → Aziende) è il centro di controllo per l'accesso alle aziende gestite. Elenca tutte le aziende visibili al tuo account multi-tenancy e ti consente di filtrare, esaminare proprietà/delega, accedere a un contesto aziendale e creare nuove aziende gestite (solo account principali). Ricerca e filtri Cerca azienda: filtra per nome azienda o ID azienda. Delega: Tutte, Delegate o Non delegate. Stato licenza: Tutte, Valide, In scadenza, Scadute o Terminate. Schede azienda Ogni scheda azienda mostra metadati di gestione chiave: Stato licenza con badge icona e tooltip contestuale. Dispositivi con licenza (limite dispositivi dell'azienda). Prossimo rinnovo programmato o Data di scadenza, a seconda dello stato dell'abbonamento. Stato delega (Proprietario, Concesso o Non concesso). Nome visualizzato e nome utente del proprietario. Aziende selezionate di recente Le aziende a cui hai avuto accesso di recente vengono fissate in una sezione Selezionate di recente per velocizzare i cambi di contesto ripetuti. Azioni azienda Accedi all'azienda: apre il contesto dell'azienda selezionata quando la delega/proprietà consente l'accesso. Gestisci fatturazione: apre la gestione della fatturazione aziendale quando disponibile e consentito. Acquista licenza: apre il flusso di acquisto aziendale quando la fatturazione non è attiva. Chi può gestire le licenze Per le aziende create da un account multi-tenancy, la gestione delle licenze è controllata dagli utenti multi-tenancy. L'account principale può sempre gestire la fatturazione e le azioni sulle licenze per queste aziende. I sotto-account possono gestire la fatturazione e le azioni sulle licenze solo se l'account principale concede l'autorizzazione Può gestire la licenza nella pagina Sotto-account. Crea azienda gestita Gli account multi-tenancy principali possono espandere Crea azienda gestita dall'area azioni in basso. Il nome azienda è obbligatorio. Crea utente amministratore per azienda controlla la modalità di proprietà. Quando è abilitato, sono obbligatori il nome utente amministratore (formato email) e il nome amministratore. Prima della creazione, una finestra di conferma riassume l'operazione e, se applicabile, avvisa che le credenziali temporanee vengono inviate via email al nuovo utente amministratore. Il nuovo utente amministratore deve scegliere una nuova password la prima volta che accede con la password temporanea. Modalità di proprietà Amministratore per azienda abilitato: il nuovo utente amministratore possiede l'azienda e può delegarne la gestione al tuo account multi-tenancy. Amministratore per azienda disabilitato: l'azienda è di proprietà diretta del tuo account multi-tenancy. Quota aziende Se l'account raggiunge la quota aziende configurata, la creazione viene bloccata e il modulo mostra un messaggio di contatto per l'assistenza con il numero attuale e massimo di aziende. Quando viene raggiunta la quota aziende, non puoi creare altre aziende gestite finché il tuo limite non viene aumentato. Cambio azienda Il selettore azienda nella barra degli strumenti superiore consente agli utenti multi-tenancy di passare tra le aziende delegate senza disconnettersi. È disponibile quando è possibile selezionare almeno un contesto aziendale. Comportamento del selettore Il trigger mostra il nome dell'azienda corrente (o l'ID azienda se il nome non è disponibile). Il menu elenca le aziende delegate/accessibili e contrassegna l'azienda corrente come già selezionata. Durante il cambio, le azioni del selettore vengono temporaneamente disabilitate per evitare modifiche concorrenti all'ambito. Esci dall'azienda Il menu del selettore include Esci dall'azienda, che cancella il contesto aziendale corrente e ti riporta allo spazio di lavoro globale multi-tenancy. Regole di reimpostazione del contesto Cambiare azienda o uscire dall'azienda reimposta l'ambito della dashboard. Le pagine e i dati specifici dell'azienda si aggiornano per il contesto appena selezionato e la visibilità del menu si adatta alla presenza o meno di un'azienda selezionata. L'azienda selezionata si applica a tutte le schede del browser aperte. Se cambi o esci da un'azienda in una scheda, le altre schede ricaricano la dashboard alla loro azione successiva, così non operano mai su un'azienda diversa da quella mostrata. Usa il selettore per cambi rapidi del contesto operativo, ma verifica il nome dell'azienda selezionata prima di eseguire azioni sensibili come aggiornamenti delle policy o comandi sui dispositivi. Sotto-account La pagina Sotto-account (Dashboard → Sotto-account) è disponibile per gli account multi-tenancy principali. Ti consente di creare utenti gestori delegati, assegnare aziende gestite, controllare le autorizzazioni di fatturazione e mantenere le credenziali dei sotto-account. Elenco sotto-account Ogni scheda sotto-account mostra controlli di identità e gestione: Nome e nome utente/email. Aziende gestite: assegnazione a selezione multipla. Interruttore dell'autorizzazione Può gestire la licenza. Azioni Reimposta password ed Elimina. Assegnazione aziende gestite Le assegnazioni aziendali vengono modificate tramite il campo a selezione multipla Aziende gestite. Quando chiudi il selettore dopo le modifiche, la dashboard chiede conferma prima di salvare gli aggiornamenti. Assegnare un'azienda la rende disponibile al sotto-account, ma il sotto-account può accedervi solo dopo che l'accesso è stato concesso. Rimuovere un'azienda dalle assegnazioni rimuove anche l'accesso del sotto-account a essa. Autorizzazione alla gestione delle licenze L'interruttore Può gestire la licenza controlla se un sotto-account può accedere alle azioni di gestione di fatturazione e licenze dell'azienda. Per le aziende create dall'account multi-tenancy, l'account principale ha sempre i diritti di gestione delle licenze. I sotto-account ricevono i diritti di gestione delle licenze solo quando questo interruttore è abilitato dall'account principale. Reimpostazione password Reimposta password genera una nuova password temporanea e, dopo la conferma, la invia al sotto-account via email. Quando accede con una password temporanea, dopo una reimpostazione o per un sotto-account appena creato, l'utente deve scegliere una nuova password prima di continuare. Elimina sotto-account L'eliminazione di un sotto-account richiede conferma e rimuove definitivamente l'accesso delegato per quell'account. Crea sotto-account Usa il pannello azioni in basso Crea sotto-account per aggiungere un nuovo gestore delegato. Email: obbligatoria e convalidata nel formato email. Nome: nome visualizzato obbligatorio. Può gestire la licenza: autorizzazione di fatturazione iniziale facoltativa. Prima della creazione, una finestra di conferma avvisa che un'email con la password temporanea viene inviata all'indirizzo fornito. Approfondimenti Ecco alcuni articoli che approfondiscono come MDM può aiutare la tua attività: Che cos'è la modalità Kiosk? Una guida per bloccare i dispositivi Android e Apple per l'azienda La modalità Kiosk trasforma telefoni e tablet standard in strumenti aziendali mirati. Cerberus Enterprise aiuta le organizzazioni a bloccare i dispositivi su un'unica app o su un piccolo insieme di app approvate per casi d'uso come POS al dettaglio, check-in per gli ospiti e navigazione della flotta, mantenendo al contempo questi dispositivi specializzati più facili da proteggere, supportare e gestire su larga scala. Come scegliere la soluzione MDM giusta: una checklist in 7 punti per le piccole imprese Scegliere MDM in una fase avanzata del processo di acquisto è più facile quando il confronto resta pratico. Questa checklist aiuta le piccole imprese a valutare i fornitori in base ai sette criteri che di solito contano di più nelle implementazioni reali: sicurezza, supporto per Android e Apple, facilità d'uso per team snelli, scalabilità, limiti della privacy, costo totale di proprietà e supportabilità quotidiana. Creare un'aula digitale sicura e mirata: una guida a MDM per le scuole K-12 I dispositivi gestiti dalla scuola funzionano meglio quando restano incentrati sull'apprendimento. Cerberus Enterprise aiuta le organizzazioni K-12 a mantenere i dispositivi degli studenti focalizzati tramite app gestite, restrizioni in stile kiosk, configurazioni standardizzate per dispositivi condivisi o in prestito e azioni di ripristino remoto che riducono smarrimenti, derive e interruzioni in aula. Dotare i tuoi tecnici sul campo: come MDM aumenta l'efficienza e la sicurezza sul posto I tecnici sul campo dipendono dai dispositivi mobili per orari, note di servizio, riferimenti tecnici, cronologia dei clienti e aggiornamenti sui lavori mentre operano sul posto. Cerberus Enterprise aiuta a mantenere questi dispositivi pronti tramite app gestite, modelli di dispositivi standardizzati, comandi di supporto remoto e visibilità basata sulla posizione che può migliorare il coordinamento degli interventi rafforzando al contempo la sicurezza sul campo. Oltre la mappa: usare MDM per una gestione della flotta più intelligente e più sicurezza per i conducenti Le operazioni della flotta si affidano ai dispositivi mobili per navigazione, invio di interventi, messaggistica, registrazione e attività sul campo. Cerberus Enterprise aiuta a mantenere questi dispositivi concentrati sui flussi di lavoro approvati tramite app gestite, controlli kiosk e per dispositivi dedicati, policy di comunicazione sicura, risoluzione remota dei problemi e supervisione basata sulla posizione che può ridurre i tempi di inattività e favorire operazioni di guida più sicure. Come geofence, tracciamento in tempo reale e mappe delle posizioni migliorano le operazioni aziendali Le funzionalità basate sulla posizione di Cerberus Enterprise aiutano le organizzazioni a passare dalla semplice visibilità dei dispositivi a un controllo operativo più pratico. La segnalazione periodica della posizione, il tracciamento in tempo reale, le transizioni dei geofence e le mappe interattive possono supportare logistica, servizi sul campo, sanità, vendita al dettaglio, edilizia e altri team distribuiti che necessitano di una migliore comprensione di dove si svolge il lavoro e di quando i dispositivi entrano o escono da aree importanti. Come il multi-tenancy aiuta gli MSP a scalare i servizi MDM e creare nuovi flussi di ricavi Il multi-tenancy consente agli MSP, ai rivenditori e alle organizzazioni multi-azienda di gestire più aziende da un singolo account Cerberus Enterprise mantenendo separati ogni ambiente. Questo modello riduce gli attriti operativi, migliora la scalabilità dei servizi e supporta l'accesso delegato tramite sotto-account e un'amministrazione esplicita controllata dal cliente. Crea inoltre maggiori opportunità di business per i fornitori che vogliono combinare la licenza software con onboarding, supporto, conformità e servizi di mobilità gestita. Migliorare l'operatività aziendale con le soluzioni MDM Mobile Device Management centralizza il controllo dei dispositivi aziendali, semplificando registrazione, configurazione e manutenzione. Il provisioning automatizzato e le operazioni in blocco riducono il lavoro IT manuale e garantiscono policy coerenti su tutti i dispositivi. Funzionalità di sicurezza come crittografia, monitoraggio della conformità e cancellazione remota proteggono i dati aziendali. Nel complesso, MDM migliora la produttività riducendo i costi di supporto e la complessità operativa. Sicurezza avanzata nella gestione di Android Enterprise Android Enterprise utilizza un profilo di lavoro per isolare le app e i dati aziendali dai contenuti personali sullo stesso dispositivo. Questa containerizzazione crea ambienti crittografati separati, gestiti in modo indipendente dagli amministratori IT. Le policy di sicurezza possono controllare la condivisione dei dati aziendali senza influire sulle app personali. L'architettura protegge i dati aziendali anche se le applicazioni personali vengono compromesse. MDM per Apple iPhone e registrazione automatizzata Il framework MDM di Apple consente la gestione centralizzata degli iPhone negli ambienti aziendali. In combinazione con Apple Business Manager, i dispositivi possono registrarsi e configurarsi automaticamente alla prima attivazione. Gli amministratori possono distribuire e configurare silenziosamente le app aziendali, applicare le impostazioni di sicurezza e monitorare la conformità. Questa automazione garantisce una configurazione coerente dei dispositivi e riduce gli errori di installazione. Capire Mobile Device Management Mobile Device Management fornisce una piattaforma centralizzata per monitorare, proteggere e controllare i dispositivi mobili che accedono ai sistemi aziendali. Le capacità principali includono l'applicazione delle policy di sicurezza, la gestione delle applicazioni e il blocco o la cancellazione remota dei dispositivi smarriti. MDM aiuta a proteggere i dati aziendali mantenendo la conformità dei dispositivi. Consente alle organizzazioni di qualsiasi dimensione di gestire in modo sicuro una forza lavoro mobile in crescita. Modelli di distribuzione dei dispositivi aziendali Le organizzazioni possono adottare diversi modelli di proprietà dei dispositivi, come BYOD, CYOD, COPE, COBO e COSU. Ogni modello bilancia in modo diverso costi, flessibilità per gli utenti e controllo della sicurezza. BYOD privilegia la comodità dell'utente, mentre COBO e COSU massimizzano il controllo aziendale e la sicurezza. La scelta del modello corretto dipende dai requisiti normativi, dalle esigenze della forza lavoro e dalla capacità di gestione IT. MDM vs. EMM vs. UEM MDM si concentra sulla gestione e sulla protezione dei dispositivi mobili tramite l'applicazione delle policy, il controllo della configurazione e la gestione remota. EMM amplia questo ambito includendo la gestione di applicazioni e contenuti, mentre UEM cerca di gestire tutti gli endpoint, inclusi laptop e desktop. Per molte PMI, le suite EMM o UEM complete aggiungono complessità non necessaria. In pratica, solide capacità MDM soddisfano spesso la maggior parte dei requisiti di gestione mobile. MDM sui telefoni personali e privacy dei dipendenti I moderni sistemi MDM usano la containerizzazione per separare i dati di lavoro da quelli personali sui dispositivi di proprietà dei dipendenti. I datori di lavoro possono gestire e monitorare solo l'ambiente di lavoro, incluse le app aziendali e le informazioni sulla conformità dei dispositivi. I dati personali come foto, messaggi e cronologia di navigazione restano inaccessibili all'azienda. Questa separazione tecnica consente programmi BYOD sicuri preservando la privacy dei dipendenti. ROI e valore aziendale di MDM MDM dovrebbe essere valutato come un investimento strategico anziché come una semplice spesa per la sicurezza. Genera rendimenti finanziari grazie alla riduzione della perdita di dispositivi, ai minori costi di supporto IT e a una maggiore efficienza operativa. La gestione automatizzata aumenta anche la produttività dei dipendenti e riduce i tempi di inattività. Inoltre, una sicurezza più solida riduce il rischio e l'impatto finanziario delle violazioni dei dati. Gestione dei dispositivi conforme a HIPAA Le organizzazioni sanitarie devono proteggere i dati elettronici dei pazienti in base ai requisiti di sicurezza HIPAA. MDM aiuta ad applicare crittografia, controlli di autenticazione, trasmissione sicura dei dati e log di audit dettagliati. Consente inoltre la cancellazione remota e l'applicazione centralizzata delle policy per i dispositivi che accedono ai sistemi medici. Questi controlli riducono i rischi di conformità consentendo flussi di lavoro mobili negli ambienti sanitari. MDM per le operazioni e la sicurezza nel commercio al dettaglio Le organizzazioni del commercio al dettaglio si affidano ai dispositivi mobili per sistemi POS, gestione dell'inventario e operazioni in negozio. MDM garantisce che questi dispositivi restino sicuri, aggiornati e conformi a standard come PCI-DSS. La gestione centralizzata riduce i tempi di inattività e semplifica la distribuzione dei dispositivi in più sedi. Il risultato è una maggiore efficienza operativa e un minor rischio di incidenti di sicurezza legati ai pagamenti.