Руководство пользователя

Cerberus Enterprise — это комплексное решение EMM, предназначенное помочь вам защищать и управлять устройствами Android и Apple. В нём есть все нужные функции для эффективного управления устройствами BYOD и корпоративными устройствами в чистой и удобной панели управления, а начать работу можно за считанные минуты.

Чтобы эффективно использовать Cerberus Enterprise, вам нужно понять некоторые ключевые концепции работы системы.

Система поддерживает управление устройствами как Android, так и Apple:

На Android Cerberus Enterprise использует официальный Android Management API от Google для управления устройствами через приложение Android Device Policy (ADP). Большинство параметров применяется непосредственно ADP. Некоторые дополнительные функции могут также требовать приложения-компаньона Cerberus Enterprise, которое расширяет возможности за пределы одного ADP.

На устройствах Apple (iPhone, iPad и Mac) Cerberus Enterprise управляет устройствами через Apple MDM (Mobile Device Management). Управление Apple требует сертификата APNs и может дополнительно интегрироваться с Apple Business для автоматической регистрации и лицензирования приложений. На iPhone и iPad с iOS или iPadOS 18.4 или новее Cerberus также устанавливает сопутствующее приложение Cerberus Enterprise, которое передаёт местоположение устройства и получает уведомления.

Каждое устройство можно зарегистрировать в системе с помощью токена регистрации или профиля регистрации (ручная регистрация Apple). Метод регистрации связан с политикой, которая содержит правила, применяемые к устройствам.

ИТ-администраторы могут изменить политику, связанную с устройством, после регистрации. Однако каждое устройство может быть связано только с одной политикой одновременно.

В процессе регистрации (подготовки) необходимые компоненты управления устанавливаются и настраиваются автоматически. На Android обычно это приложение Android Device Policy (а в зависимости от конфигурации — приложение-компаньон Cerberus Enterprise). На устройствах Apple управление применяется через MDM после регистрации устройства, а затем iPhone и iPad получают приложение-компаньон Cerberus Enterprise (для этого нужно бесплатное приложение в вашей библиотеке Apple Business и токен Apps and Books). В результате соответствующая политика автоматически применяется к устройству, а все связанные правила обеспечиваются системой управления платформой.

Политика может применяться ко многим устройствам. В этом случае при изменении политики все связанные устройства получат изменения.

Настройка

Настройка Android Management

Чтобы управлять устройствами Android с помощью Cerberus Enterprise, сначала необходимо подключить вашу организацию к Google Android Enterprise.

Процесс настройки обычно занимает несколько минут и требует рабочего адреса электронной почты (например, name@enterprise.com) или, в качестве альтернативы, личного адреса электронной почты Google.

Что происходит во время настройки

Вы будете перенаправлены в Google Android Enterprise.
Вы входите со своим рабочим адресом электронной почты (или личным адресом Google).
Google создаёт аккаунт Android Management для вашей организации.
Вы будете перенаправлены обратно в Cerberus Enterprise для завершения настройки.

Важная информация

Мы рекомендуем регистрироваться с рабочим адресом электронной почты, а не с личным аккаунтом Gmail. Если адрес электронной почты уже связан с аккаунтом Google Admin, этот существующий аккаунт используется повторно и привязывается к Cerberus Enterprise; в противном случае создаётся новый бесплатный аккаунт Google Admin. Аккаунт Google Admin открывает полный набор функций — например, регистрацию устройств с использованием аутентификации Google с аккаунтами, управляемыми вашим доменом Google Admin.

Нет рабочего адреса электронной почты?

Вы всё равно можете зарегистрироваться с личным адресом электронной почты Google (например, аккаунтом Gmail). В этом случае Google создаёт бесплатный управляемый аккаунт Google Play, привязанный к Cerberus Enterprise.

Дальнейшие шаги

После завершения настройки создайте токен регистрации и выберите подходящий способ подготовки устройства.

Настройка

Настройка управления Apple (APNs)

Для управления устройствами Apple Cerberus Enterprise требуется сертификат службы push-уведомлений Apple (APNs).

Используйте Apple ID, связанный с вашей организацией. Сертификат APNs действует один год, и его необходимо продлевать ежегодно, чтобы продолжать управлять устройствами.

Шаг 1: загрузите файл CSR

На панели управления запустите настройку управления Apple и загрузите файл запроса на подпись сертификата (CSR) с подписью поставщика, созданный Cerberus Enterprise.

Шаг 2: создайте сертификат push-уведомлений на портале Apple

Войдите на портал сертификатов push-уведомлений Apple со своим Apple ID.
Нажмите "Создать сертификат".
Загрузите файл CSR из шага 1.
Загрузите созданный сертификат push-уведомлений.

Ссылка на портал: https://identity.apple.com/

Шаг 3: загрузите сертификат push-уведомлений

Загрузите сертификат push-уведомлений, скачанный с Apple, обратно в Cerberus Enterprise, чтобы завершить настройку.

Если срок действия сертификата APNs истечёт, управление устройствами Apple перестанет работать, пока сертификат не будет продлён.

Начиная за 30 дней до истечения срока действия на панели управления отображается баннер с действием Как продлить. Всегда продлевайте существующий сертификат на портале сертификатов push-уведомлений Apple с тем же Apple ID: у нового сертификата другая тема, и уже зарегистрированные устройства потребуется зарегистрировать заново.

Дальнейшие шаги

После настройки APNs вы можете перейти к регистрации устройств Apple. Продолжите с раздела Обзор подготовки Apple.

Обзор подготовки устройств

Cerberus Enterprise поддерживает управление устройствами для платформ Android и Apple. Вы можете настроить любую платформу независимо, в зависимости от устройств, которые нужно зарегистрировать.

1. Завершите настройку платформы в панели управления

Перед регистрацией устройств завершите настройку платформы в панели управления Cerberus Enterprise. Если ваш аккаунт ещё не настроен, панель управления проведёт вас через необходимые шаги.

Настройка Android (Google Android Enterprise)

Полную процедуру настройки Android см. в разделе Настройка управления Android.

Перейдите в поток регистрации панели управления и выберите Настроить управление Android.
Вы будете перенаправлены в Google, чтобы войти с рабочим аккаунтом и авторизовать Android Enterprise.
После авторизации вы будете перенаправлены обратно в Cerberus Enterprise для завершения настройки.

Настройка Apple (сертификат push-уведомлений APNs)

Полную процедуру настройки Apple см. в разделе Настройка управления Apple (APNs).

Перейдите в поток регистрации панели управления и выберите Настроить управление Apple.
Скачайте файл CSR из Cerberus Enterprise.
Создайте сертификат APNs на портале сертификатов Apple Push и скачайте полученный сертификат.
Загрузите скачанный сертификат обратно в Cerberus Enterprise, чтобы включить управление устройствами Apple.

2. Зарегистрируйте устройства

После завершения настройки платформы выберите способ регистрации, соответствующий модели владения устройствами и ОС.

Регистрация Android

Для Android регистрация управляется токенами регистрации. Выберите подходящий способ в зависимости от того, является ли устройство личным или корпоративным.

Личные (BYOD / рабочий профиль): следуйте этому руководству.
Корпоративные (работа и личное использование / рабочий профиль): следуйте этому руководству.
Корпоративные (только работа / полное управление или выделенное устройство): следуйте этому руководству.
Zero-touch: следуйте этому руководству.

Регистрация Apple

Для Apple начните с завершения описанной выше настройки APNs, затем следуйте руководствам по подготовке Apple: Обзор подготовки устройств Apple.

Подготовка устройств - Android

Поддерживаемые устройства

Как правило, любое устройство под управлением Android 6 или новее с Google Play Services совместимо с Cerberus Enterprise.

Для лучшего пользовательского опыта мы рекомендуем использовать устройства, соответствующие требованиям Android Enterprise Recommended.

Некоторые функции ограничены определёнными версиями Android или могут работать по-разному в разных версиях ОС. Подробнее о конкретной функции см. в разделе Политики документации.

Cerberus Enterprise поддерживает как корпоративные, так и личные устройства, а также два режима управления: владелец устройства и владелец профиля.

Личные устройства можно управлять с помощью рабочего профиля. Это обеспечивает решение BYOD, сохраняя рабочие данные и приложения сотрудников отдельно от личных данных и приложений, что повышает как безопасность, так и конфиденциальность. Этот вариант подходит для устройств, уже принадлежащих сотрудникам, которые вы хотите зарегистрировать в своей организации для рабочего использования.

Корпоративные устройства также можно управлять с помощью рабочего профиля, но вы также можете выбрать вариант полного управления, который обеспечивает более строгий контроль над устройством. Корпоративные устройства с рабочим профилем подходят, когда вы предоставляете сотрудникам корпоративные устройства для работы, но при этом разрешаете личное использование. Полностью управляемые устройства лучше подходят для устройств, которые должны использоваться только для работы, или для выделенных устройств (COSU, корпоративные устройства однократного использования), таких как киоски.

Подробнее о подготовке устройств см. на странице Обзор подготовки устройств.

Подготовка устройств - Android

Токены регистрации

Cerberus Enterprise использует токены регистрации для запуска процесса регистрации (подготовки) устройств Android. Выбранный токен определяет начальную политику, применяемую к зарегистрированным устройствам, и влияет на то, какие режимы подготовки разрешены.

Вкладка токенов регистрации Android доступна только после выполнения настройки управления Android.

Где найти токены регистрации

В панели управления откройте Токены регистрации. В зависимости от конфигурации аккаунта страница может показывать несколько вкладок (токены Android, регистрация через вход Google, ручная регистрация Apple и автоматическая регистрация устройств Apple).

Если ваше предприятие Android поддерживается управляемым доменом Google (Google Workspace), панель управления также может показывать вкладку Аутентификация с помощью регистрации Google. Подробнее о включении и использовании см. Аутентификация с помощью регистрации Google.

Список токенов регистрации (Android)

На вкладке токенов Android отображается таблица всех токенов. При нажатии на строку открывается страница сведений о токене.

Столбцы

Статус: Активен (устройства могут регистрироваться с токеном), Срок истёк (дата истечения прошла) или Использован (одноразовый токен, который уже использовали).
Политика: политика, назначенная токену (в подсказке показан идентификатор политики). Удалённая политика означает, что политика была удалена после создания токена.
Пользователь: необязательный пользователь, заранее назначенный устройствам, зарегистрированным с помощью токена. Удалённый пользователь означает, что пользователь был удалён после создания токена.
Регистрации: сколько устройств зарегистрировалось с токеном; для одноразового токена показывается как n / 1.
Личное использование: Разрешено / Запрещено / Выделенное устройство.
Создан: когда был создан токен. В таблице сначала показываются самые новые токены.
Срок действия: дата и время истечения срока действия или Никогда.
Код регистрации: код токена, который вы вводите на устройстве при регистрации без QR-кода.

Действия

Каждая строка имеет действие удаления (Удалить токен регистрации). Удаление недоступно, если срок действия лицензии истёк.
Таблица поддерживает выбор нескольких строк: можно включить режим выбора, выбрать несколько токенов и удалить их с помощью Удалить выбранные токены.
Используйте действие обновления, чтобы перезагрузить список. Таблица разбита на страницы (10/25/50 элементов на странице).

Создание нового токена регистрации

На вкладке токенов Android нажмите Новый токен регистрации, чтобы открыть страницу создания токена. Если срок действия лицензии истёк, кнопка создания недоступна.

Параметры токена

1. Политика

Обязательно. Политика, автоматически применяемая ко всем устройствам, зарегистрированным с помощью этого токена. Выберите одну из ваших политик Android. Если у вас ещё нет политики, сначала создайте её.

2. Пользователь

Необязательно. Если задано, вновь зарегистрированные устройства автоматически связываются с этим пользователем.

3. Личное использование

Управляет тем, разрешено ли личное использование на устройстве, подготовленном с помощью этого токена регистрации:

Разрешено: подходит для личных устройств (рабочий профиль) и корпоративных устройств для работы и личного использования.
Запрещено: подходит для корпоративных устройств только для работы (полностью управляемые).
Выделенное устройство: подходит для киосковых/выделенных устройств (устройство не связано с одним пользователем).

4. Допустимые использования

Выберите, может ли токен использоваться многократно (Многократно) или только один раз (Только один раз).

5. Срок действия

Выберите единицу срока действия (Минуты, Часы, Дни или Никогда). Если выбрано не «Никогда», введите значение срока действия. Допустимый диапазон зависит от выбранной единицы и может достигать 10 000 дней.

6. Аутентификация Google

Управляет тем, должен ли пользователь аутентифицироваться с помощью аккаунта Google во время регистрации устройства:

Не указано: используется настройка аутентификации Google на уровне предприятия, чтобы определить, нужно ли пользователю аутентифицироваться с помощью Google во время регистрации.
Необязательно: пользователь может пропустить аутентификацию Google во время регистрации.
Обязательно: пользователь должен аутентифицироваться с помощью аккаунта Google, чтобы продолжить регистрацию.

Если выбрано Обязательно, появляется необязательное поле Эл. почта обязательного аккаунта. Если оно задано, пользователь должен аутентифицироваться с помощью этого конкретного аккаунта Google во время регистрации.

Параметры подготовки (только QR-код)

Эти дополнительные параметры встраиваются в QR-код и применяются при подготовке полностью управляемых устройств, зарегистрированных сканированием QR-кода. Они не применяются к рабочим профилям или устройствам, зарегистрированным с помощью URL регистрации или токена.

Настройка Wi‑Fi

Используйте это, чтобы устройство автоматически подключалось к Wi‑Fi во время подготовки и могло скачать и инициализировать приложение управления. Доступные поля: SSID, Скрытый SSID, Безопасность и (при необходимости) Парольная фраза.

Вы также можете настроить HTTP-прокси (Прокси) и в зависимости от режима указать Хост/Порт, URI PAC и Хост в обход прокси.

Другие параметры

Дополнительные параметры: Локаль, Часовой пояс и Пропустить шифрование.

Сведения о токене регистрации

Когда вы открываете токен, страница сведений показывает конфигурацию токена и информацию об использовании:

Статус, Срок действия, Использование, Личное использование, Допустимые использования и (если задано) Аутентификация Google с необязательным Эл. почта обязательного аккаунта.
Токен: необработанное значение токена регистрации (можно скопировать).
URL регистрации: URL регистрации Google Android Enterprise (можно скопировать и отправить по электронной почте).
QR-код: отображается в правой части страницы и используется для регистрации полностью управляемых устройств.

Пошаговые процедуры подготовки см. в руководствах по регистрации Android: Личные устройства, Корпоративные устройства для работы и личного использования, Корпоративные устройства только для работы и Zero-touch.

Подготовка устройств - Android

Личные устройства

Устройства, принадлежащие сотрудникам, можно настроить с рабочим профилем. Рабочий профиль предоставляет изолированное пространство для рабочих приложений и данных, отдельное от личных приложений и данных. Большинство политик приложений, данных и других политик управления применяются только к рабочему профилю, а личные приложения и данные сотрудников остаются конфиденциальными.

Чтобы настроить рабочий профиль на личном устройстве, используйте один из следующих способов подготовки (убедитесь, что для токена регистрации параметр Личное использование имеет значение Разрешено):

Ссылка на токен регистрации

Версия Android

6.0+

Вы можете предоставить URL регистрации конечным пользователям. Когда конечный пользователь откроет ссылку на своём устройстве, он будет проведён через настройку рабочего профиля.

Добавить рабочий профиль из «Настроек»

Версия Android

6.0+

Чтобы настроить рабочий профиль на своём устройстве, пользователь может открыть приложение Настройки устройства, затем с помощью строки поиска найти и коснуться параметра Настройка рабочего профиля.

Если поиск не дал результатов, расположение этого параметра может отличаться. Вот несколько вариантов:

Настройки -> Сервисы и настройки Google -> Все сервисы -> Настройка рабочего профиля.
Настройки -> Google -> Настройка и восстановление -> Настройка рабочего профиля.

Эти шаги запускают мастер настройки, который скачивает Android Device Policy на устройство. Затем пользователю будет предложено отсканировать QR-код или вручную ввести токен регистрации, чтобы завершить настройку рабочего профиля.

Скачать Android Device Policy

Версия Android

6.0+

Чтобы настроить рабочий профиль на своём устройстве, пользователь может скачать Android Device Policy из Google Play Store. После установки приложения пользователю будет предложено отсканировать QR-код или вручную ввести токен регистрации, чтобы завершить настройку рабочего профиля.

Личные iPhone и iPad

Личные iPhone и iPad (а также Mac) регистрируются с помощью Apple Регистрация пользователя: пользователь входит со своим управляемым аккаунтом Apple в настройках устройства, и управляются только рабочие приложения, аккаунты и данные. На iPhone и iPad приложения App Store из политики и приложение Cerberus Enterprise устанавливаются с пользовательской лицензией этого аккаунта. Местоположение личных устройств собирается, только если в их политике включён параметр Местоположение и геозоны на личных устройствах и пользователь это разрешает. См. Регистрация Apple по аккаунту.

Подготовка устройств - Android

Корпоративные устройства для работы и личного использования

Настройка корпоративного устройства с рабочим профилем делает устройство пригодным как для работы, так и для личного использования. На корпоративных устройствах с рабочим профилем:

Большинство политик приложений, данных и других политик управления применяются только к рабочему профилю.
Личные профили сотрудников остаются конфиденциальными. Однако предприятия могут применять определённые политики для всего устройства и политики личного использования.
Предприятия могут использовать Область блокировки, чтобы применять действия по обеспечению соответствия ко всему устройству или только к его рабочему профилю.
Отмена регистрации устройства и команды устройства применяются ко всему устройству.

Чтобы настроить корпоративное устройство с рабочим профилем, используйте один из следующих способов подготовки (убедитесь, что для токена регистрации параметр Личное использование имеет значение Разрешено):

Способ QR-кода

Версия Android

8.0+

На новом или сброшенном к заводским настройкам устройстве пользователь (обычно ИТ-администратор) шесть раз касается одного и того же места на экране. Это вызывает на устройстве запрос на сканирование QR-кода.

Подготовка устройств - Android

Корпоративные устройства только для работы

Полное управление устройством подходит для корпоративных устройств, предназначенных исключительно для рабочих целей. Предприятия могут управлять всеми приложениями на устройстве и применять весь спектр политик и команд Android Management API.

Также можно заблокировать устройство (с помощью политики) на одном приложении или небольшом наборе приложений для определённой цели или сценария использования. Это подмножество полностью управляемых устройств называется выделенными устройствами.

Чтобы настроить полное управление на корпоративном устройстве, используйте один из следующих способов подготовки (убедитесь, что для токена регистрации параметр Личное использование имеет значение Запрещено):

Способ QR-кода

Версия Android

7.0+

Способ идентификатора DPC

Версия Android

5.1+

Если Android Device Policy невозможно добавить с помощью QR-кода, пользователь или ИТ-администратор может выполнить следующие шаги, чтобы подготовить полностью управляемое или выделенное устройство:

1. Пройдите мастер настройки на новом устройстве или устройстве, сброшенном к заводским настройкам.

2. Введите данные для входа в Wi-Fi, чтобы подключить устройство к интернету.

3. Когда появится запрос на вход, введите afw#setup, после чего скачается Android Device Policy.

4. Отсканируйте QR-код или вручную введите токен регистрации, чтобы подготовить устройство.

Подготовка устройств - Android

Zero-touch

ИТ-администраторы могут подготавливать корпоративные устройства методом регистрации Zero-touch, описанным в разделе Регистрация Zero-touch для ИТ-администраторов. При первом включении устройство автоматически принудительно применяет настройки, заданные ИТ-администратором.

ИТ-администраторы могут предварительно настроить устройства, приобретённые у авторизованных реселлеров, и управлять ими с помощью панели управления Cerberus Enterprise. Чтобы связать аккаунт Zero-touch, перейдите в раздел Zero-touch в панели управления и следуйте инструкциям.

Версия Android	Рабочий профиль	Полностью управляемое устройство	Выделенное устройство
8.0+ (Pixel 7.1+)	✓	✓	✓

Подготовка устройств - Android

Аутентификация с помощью регистрации Google

Аутентификация с помощью регистрации Google (также называется Аутентификация Google при регистрации) позволяет пользователям аутентифицироваться со своим аккаунтом Google Workspace во время регистрации устройства Android.

Эта функция доступна только для предприятий Android, поддерживаемых управляемым доменом Google (Google Workspace).

Где это найти

В панели управления откройте Токены регистрации и выберите вкладку Аутентификация с помощью регистрации Google. Вкладка отображается только когда настроено Android Management и для вашего предприятия доступна интеграция с Google Workspace.

Включение (или отключение) аутентификации Google

Аутентификация Google включается в консоли администратора Google. После изменения настройки вернитесь в Cerberus Enterprise и используйте Обновить статус, чтобы перезагрузить текущую конфигурацию.

Войдите в консоль администратора Google с учётной записью администратора.
Откройте Устройства.
Перейдите в Мобильные устройства и конечные точки → Настройки → Интеграции сторонних производителей.
Найдите интеграцию Android EMM для Cerberus Enterprise и откройте её.
Нажмите Управление поставщиками EMM.
Переключите Аутентификация с помощью Google, чтобы включить или отключить аутентификацию Google для регистрации.
Нажмите Сохранить.
Вернитесь в панель управления Cerberus Enterprise и нажмите Обновить статус на вкладке Аутентификация с помощью регистрации Google.

Токен регистрации с аутентификацией Google

Когда аутентификация Google включена, панель управления показывает выделенный токен регистрации, используемый для этого режима регистрации. Страница может показывать QR-код, значение Токен регистрации и URL регистрации (можно скопировать и отправить по электронной почте).

Ключевые параметры

Разрешить личное использование: управляет тем, может ли токен регистрировать устройства для работы и личного использования (сценарии рабочего профиля) или только для работы (полностью управляемые / выделенные сценарии).
Резервная политика по умолчанию: политика, применяемая, когда у регистрирующегося пользователя нет назначенной конкретной политики по умолчанию для аутентификации Google.

Взаимодействие с политикой

Настройка политики Аутентификация при настройке рабочего аккаунта (workAccountSetupConfig.authenticationType) управляет тем, как пользователи аутентифицируются во время настройки рабочего аккаунта, но настройка Аутентификация с помощью Google в консоли администратора Google и тип токена регистрации всё равно могут требовать аутентификации.

Для уже зарегистрированных устройств эта политика применяется, только если устройство управляется аккаунтом управляемого Google Play (т. е. зарегистрировано без Аутентификации с помощью регистрации Google).

Некоторые действия (например, изменение параметров токена) могут быть недоступны, если срок действия лицензии истёк.

Зарегистрировать устройство

Во время регистрации пользователю предлагается аутентифицироваться со своим аккаунтом Google Workspace. После успешной регистрации устройство связывается с аутентифицированным пользователем.

Рабочий профиль (личные устройства)

Поделитесь URL регистрации с пользователем. Когда пользователь откроет его на своём устройстве Android, он будет проведён через настройку рабочего профиля и аутентификацию Google.
Кроме того, пользователь может начать с приложения «Настройки» Android, выбрать сценарий настройки рабочего профиля, а затем отсканировать QR-код или ввести токен регистрации, когда появится запрос.

Корпоративные устройства

Способ QR-кода: на новом или сброшенном к заводским настройкам устройстве несколько раз коснитесь одного и того же места на экране, пока не появится запрос QR-кода, затем отсканируйте QR-код, показанный в панели управления.
Способ идентификатора DPC (если сканирование QR-кода недоступно): пройдите мастер настройки, подключитесь к Wi‑Fi, затем, когда появится запрос на вход, введите afw#setup и продолжите, отсканировав QR-код или введя токен регистрации. Когда появится запрос, аутентифицируйтесь с помощью аккаунта Google Workspace.

Общие процедуры подготовки Android (рабочий профиль или полное управление) описаны на стандартных страницах регистрации Android в этом руководстве.

Подготовка устройств - Apple

Обзор подготовки устройств Apple

Cerberus Enterprise поддерживает регистрацию и управление iPhone, iPad и Mac. Для подготовки Apple требуется сертификат APNs, а регистрацию можно выполнить различными способами.

Предварительное условие: настройка управления Apple (APNs)

Перед регистрацией любого устройства Apple выполните настройку управления Apple (APNs).

Выберите способ регистрации

Ручная регистрация (профиль регистрации)

Этот способ предоставляет URL регистрации и файл профиля конфигурации (mobileconfig), который вы устанавливаете на устройство. См. Ручная регистрация устройств Apple.

Автоматическая регистрация устройств (ADE)

Этот способ интегрируется с Apple Business для автоматизации регистрации корпоративных устройств. См. Автоматическая регистрация устройств Apple (ADE).

Регистрация по аккаунту (вход с рабочим аккаунтом)

Пользователи регистрируют свои iPhone, iPad или Mac, входя со своим управляемым аккаунтом Apple в настройках устройства: «Регистрация пользователя» для личных устройств, «Регистрация устройства» для корпоративных устройств, которых нет в Apple Business. См. Регистрация Apple по аккаунту.

На личных iPhone и iPad, зарегистрированных с помощью регистрации пользователя, приложения App Store из политики устанавливаются с пользовательской лицензией управляемого аккаунта Apple, которую Cerberus назначает автоматически; пользователю предлагается установить каждое приложение. Управляемые аккаунты Apple и токен Apps and Books должны принадлежать одной организации Apple Business. См. Приложения на личных устройствах.

Приложение Cerberus Enterprise на iPhone и iPad

После регистрации Cerberus устанавливает приложение Cerberus Enterprise на iPhone и iPad с iOS или iPadOS 18.4 или новее, с политикой или без неё. Приложение передаёт местоположение устройства и получает уведомления и запросы отслеживания в реальном времени; на личных устройствах (User Enrollment) оно получает сообщения и передаёт местоположение, только если в политике включено Местоположение и геозоны на личных устройствах и пользователь это разрешил. Требуется одноразовый шаг: добавьте бесплатное приложение в свою библиотеку Apple Business (Apps & Books → App Store, найдите «Cerberus Enterprise», Добавить для всех текущих и будущих организационных единиц). На устройствах под наблюдением оно устанавливается без запроса; на других устройствах пользователя просят установить его. Если пользователь уже установил его из App Store, устройство запросит разрешение вашей организации управлять приложением, и приложение сохранит свои данные и разрешения. Если пользователь откажется, используйте Повторить на странице устройства. Пользователь не может удалить приложение, и оно остаётся установленным, даже если срок действия токена Apps and Books истёк. На Mac приложение не устанавливается.

Вы можете использовать ручную регистрацию и ADE параллельно, в зависимости от парка устройств и процесса закупки.

Подготовка устройств - Apple

Ручная регистрация Apple (профиль регистрации)

Cerberus Enterprise поддерживает ручную регистрацию устройств Apple с помощью QR-кода, URL-адреса регистрации или файла профиля регистрации.

Ручная регистрация доступна, когда настроено управление Apple (APNs). Если вы ещё не завершили настройку APNs, прочитайте Настройка управления Apple (APNs).

Пользователи также могут регистрировать свои iPhone, iPad или Mac без профиля, входя со своим рабочим аккаунтом в настройках устройства. Прочитайте Регистрация Apple по аккаунту.

Токены регистрации

У токена регистрации есть собственные URL-адрес регистрации и QR-код, и он назначает следующие параметры устройствам, которые с ним регистрируются:

Политика: применяется к устройству сразу после его регистрации.
Пользователь: назначается устройству. Если в токене нет пользователя, у устройства нет пользователя.
Владение: корпоративное или личное. Если оно не задано, устройства под наблюдением считаются корпоративными, а остальные — личными. iPhone и iPad, зарегистрированные вручную, не находятся под наблюдением; Mac находятся, поэтому они считаются корпоративными.
Срок действия: после этого дня URL-адрес регистрации перестаёт работать. Ранее загруженный профиль всё ещё можно установить.
Разрешённые регистрации: сколько устройств может зарегистрироваться с помощью токена. Оставьте поле пустым, чтобы не ограничивать.

Чтобы создать токен, откройте раздел Регистрация на панели управления, выберите вкладку Ручная регистрация Apple (профиль регистрации) и нажмите Новый токен регистрации. Задайте имя и параметры, затем нажмите Создать токен: страница токена показывает его URL-адрес регистрации, QR-код и кнопку Загрузить профиль регистрации.

Таблица токенов показывает для каждого токена его Статус (Активен, Срок истёк или Использован), Срок действия, число Регистраций из разрешённых и Последнее использование — время последней регистрации устройства с ним. Затем идут Политика, Пользователь (наведите, чтобы увидеть адрес эл. почты), Принадлежность и дата Создания (наведите, чтобы увидеть, кто создал токен). Сначала показываются самые новые токены, и вы можете сортировать по любому столбцу. Сортируйте по Последнему использованию, чтобы найти активные токены, которые больше никто не использует, и удалите их, чтобы их URL-адрес регистрации перестал работать. Политика или пользователь, удалённые после сохранения токена, показываются как Удалённая политика или Удалённый пользователь со значком предупреждения: измените токен, чтобы выбрать другой.

Изменения токена применяются к последующим регистрациям: уже зарегистрированные устройства сохраняют свою политику и пользователя. Когда токен удалён, истёк или достиг разрешённого числа регистраций, его URL-адрес регистрации перестаёт работать.

Регистрация без токена

Панель Регистрация без токена на той же вкладке содержит URL-адрес регистрации вашей организации. Устройства, зарегистрированные с его помощью, не получают ни политику, ни пользователя: назначьте их на странице устройства.

Политика и пользователь устройства зависят от способа его регистрации: политика и пользователь токена при использовании токена регистрации; политика профиля ADE при автоматической регистрации устройств с сохранением пользователя, назначенного на странице устройства; без политики и пользователя при использовании URL-адреса регистрации, QR-кода или профиля без токена (даже если у устройства есть профиль ADE). Устройство, зарегистрированное повторно, не сохраняет политику и пользователя предыдущей регистрации: страница устройства показывает их, только если новая регистрация их назначает. Только устройство, стёртое с помощью Возврат в эксплуатацию, регистрируется повторно со своей текущей политикой и пользователем.

Получите URL-адрес регистрации и профиль

Откройте токен на вкладке Ручная регистрация Apple (профиль регистрации) раздела Регистрация или разверните Регистрация без токена.
Скопируйте URL-адрес регистрации или используйте действие отправки по электронной почте.
Отсканируйте QR-код, показанный рядом с URL регистрации, камерой iPhone или iPad: он откроет тот же URL регистрации на устройстве. На Mac используйте URL регистрации или файл профиля.
Загрузите Профиль регистрации (файл mobileconfig).

Как зарегистрировать iPhone или iPad

iOS/iPadOS 15.0+

Сначала скачайте профиль регистрации на устройство, используя один из следующих способов:

Способ 1: QR-код

Откройте приложение Камера на устройстве и наведите его на QR-код рядом с URL регистрации, затем коснитесь появившейся ссылки. Safari откроет URL регистрации и запросит разрешение на скачивание профиля конфигурации: коснитесь Разрешить.

Способ 2: URL регистрации

Отправьте URL регистрации пользователю (например, действием «Отправить по электронной почте») и откройте его в Safari на устройстве, затем коснитесь Разрешить, чтобы скачать профиль конфигурации.

Способ 3: файл профиля регистрации

Скачайте файл профиля регистрации (enroll.mobileconfig) и отправьте его на устройство, например как вложение в письме или через AirDrop, затем откройте его на устройстве.

Затем завершите регистрацию на устройстве:

На устройстве откройте Настройки → Профиль загружен → Установить, затем следуйте инструкциям.
После регистрации вы можете проверить статус в Настройки → Основные → VPN и управление устройством (или Профили и управление устройством).

После регистрации на iPhone и iPad с iOS или iPadOS 18.4 или новее появляется приложение Cerberus Enterprise. На устройстве, зарегистрированном вручную (не под наблюдением), пользователю предлагается установить его или разрешить вашей организации управлять им, если оно уже было установлено из App Store. Если пользователь отказывается, используйте Повторить на странице устройства. Приложение должно один раз появиться в вашей библиотеке Apple Business (см. Настройки аккаунта).

На iPhone и iPad загруженный профиль, который не установлен в течение 8 минут, удаляется устройством. В этом случае загрузите его снова.

Как зарегистрировать Mac

macOS 13.0+

QR-код работает только на iPhone и iPad. Загрузите профиль регистрации на Mac одним из следующих способов:

Способ 1: URL регистрации

Отправьте пользователю URL регистрации (например, с помощью действия «Отправить по эл. почте») и откройте его в Safari на Mac, затем разрешите загрузку, если появится запрос. Если профиль не открывается сам, откройте загруженный файл enroll.mobileconfig.

Способ 2: Файл профиля регистрации

Загрузите файл профиля регистрации (enroll.mobileconfig) и отправьте его на Mac, например как вложение в письме или через AirDrop, затем откройте его на Mac.

Открытие профиля только добавляет его в загруженные профили. Затем завершите регистрацию на Mac, войдя в систему как его основной пользователь:

Откройте Системные настройки → Основные → Управление устройством (в macOS 13 и 14: Конфиденциальность и безопасность → Профили). В разделе Загруженные дважды щёлкните Профиль регистрации, нажмите Зарегистрировать (или Установить) и следуйте инструкциям. Если появится запрос, введите имя и пароль администратора Mac.
После регистрации Профиль регистрации отображается в том же месте. В Терминале команда profiles status -type enrollment показывает MDM enrollment: Yes (User Approved).

Mac, зарегистрированные вручную, находятся под наблюдением, а пользователь, который устанавливает профиль, отображается на панели Пользователи Mac страницы устройства. На Mac приложение Cerberus Enterprise не устанавливается. Если профиль больше не находится в разделе Загруженные, загрузите его снова.

Устанавливайте только профили регистрации, полученные из вашей панели управления Cerberus Enterprise.

Подготовка устройств - Apple

Автоматическая регистрация устройств Apple (ADE)

Automated Device Enrollment (ADE) интегрируется с Apple Business (ранее Apple Business Manager), чтобы автоматически регистрировать корпоративные iPhone, iPad и Mac при первом включении (или после сброса к заводским настройкам).

Для ADE сначала необходимо настроить управление Apple (APNs). При необходимости прочитайте Настройка управления Apple (APNs).

Как регистрировать устройства автоматически

Добавьте устройства в свой аккаунт Apple Business и назначьте их службе управления устройствами Cerberus Enterprise: в Apple Business откройте Устройства → Инвентарь, выберите устройства и нажмите Назначить управление устройствами или назначайте новые устройства автоматически из Устройства → Службы управления → Назначение устройств по умолчанию. См. Управление поставщиками устройств и Добавление устройств с помощью Apple Configurator.
После добавления новых устройств в свой аккаунт Apple Business синхронизируйте их в Cerberus Enterprise из раздела Устройства с помощью действия Синхронизировать из Apple Business. Синхронизированные устройства используют лицензию только после регистрации.
Создайте профиль ADE на панели управления: Регистрация → Автоматическая регистрация устройств Apple (ADE) → Новый профиль ADE.
Назначьте профиль ADE устройству на странице сведений об устройстве с помощью поля Профиль ADE.

После регистрации iPhone и iPad с iOS или iPadOS 18.4 или новее получают приложение Cerberus Enterprise. Устройства, зарегистрированные с помощью ADE, находятся под наблюдением, поэтому приложение устанавливается без запроса к пользователю; настройка не ждёт его. Приложение должно один раз присутствовать в вашей библиотеке Apple Business (см. Настройки аккаунта). На Mac приложение не устанавливается.

Параметры профиля ADE (обзор)

Профиль ADE определяет, как регистрируется устройство и как ведёт себя помощник настройки. В Cerberus Enterprise профиль ADE включает имя, необязательную начальную политику, параметры регистрации, пропускаемые панели помощника настройки, контакты поддержки и доверенные сертификаты.

Имя профиля

Понятное для человека имя профиля (например, Профиль ADE по умолчанию).

Политика

Политика, применяемая к устройствам при их регистрации с помощью автоматической регистрации устройств (помощник настройки). Устройства профиля, зарегистрированные по URL-адресу регистрации или QR-коду, вместо этого получают политику своего токена регистрации или не получают политику при отсутствии токена. Изменение только политики не изменяет сам профиль.

Параметры регистрации

MDM можно удалить: определяет, можно ли удалить полезную нагрузку MDM с устройства.
Разрешить сопряжение: определяет, разрешено ли сопряжение (устарело в Apple начиная с iOS 13).
Автоматическое продвижение настройки: автоматически проводит Помощник настройки через его экраны (Mac с macOS 11 или новее и Apple TV).
Ждать настройки устройства: помощник настройки ждёт, пока применится политика профиля ADE, чтобы пользователи начинали работу с уже готовыми приложениями и настройками. После этого Cerberus Enterprise разрешает устройству продолжить, не позднее чем через 4 минуты после регистрации.
Обязательно: запрещает пропускать применение профиля во время настройки.
Несколько пользователей (общий iPad): настраивает устройство для общего iPad.
Под надзором: запрашивает надзор для устройства.

Помощник настройки

Отдел, Телефон поддержки и Эл. почта поддержки (необязательно): отправляются в Apple вместе с профилем. Устройство может их не показывать.
Пропускаемые панели: Помощник настройки не показывает выбранные панели (например, Apple Account, Siri или Экранное время). Каждое устройство показывает только панели своей системы (некоторые, например FileVault или «Документы и рабочий стол» iCloud, существуют только на Mac); Пропустить все и Показать все выбирают или снимают выбор со всех.
Apple TV: язык и регион для Apple TV с автоматическим прохождением настройки.
Доверенные сертификаты: нужны только если сервер использует сертификат, которому устройства не доверяют, например из частного CA. Сначала импортируйте сертификат на странице сертификатов.

Список профилей ADE

В списке отображаются имя каждого профиля, его политика, его устройства и его Id — идентификатор, который Apple присваивает профилю. Замок после имени обозначает обязательный профиль, управление которого пользователи не могут удалить. Без политики или Политика удалена предупреждают, что устройства, зарегистрированные с этим профилем, не получат начальную политику.

Столбец Устройства считает зарегистрированные устройства профиля, а рядом с ними — ожидающие устройства: назначенные профилю в Apple Business, но ещё не зарегистрированные. Удалённые устройства не учитываются.

Изменение профиля

Apple не разрешает изменять профиль ADE. Когда вы изменяете профиль (кроме изменения только политики), Cerberus Enterprise создаёт новый профиль с тем же именем и назначает его устройствам старого профиля; старый профиль больше не отображается, когда ни одно устройство его не использует. Устройства, уже завершившие помощник настройки, используют новый профиль при следующем стирании.

Профиль, который не использует ни одно устройство — ни зарегистрированное, ни ожидающее, — можно удалить из списка профилей ADE. Apple не позволяет удалять профиль, поэтому он остаётся в Apple Business неиспользуемым.

После назначения устройству профиля ADE оно готово к автоматической регистрации.

Подготовка устройств - Apple

Регистрация Apple по аккаунту

При регистрации по аккаунту пользователи регистрируют свои iPhone, iPad или Mac, входя со своим рабочим аккаунтом (управляемым аккаунтом Apple, например name@company.com) в настройках устройства. Не нужно загружать профиль и использовать QR-код: Cerberus Enterprise сам находит пользователя, применяет политику и устанавливает владение.

Два режима

Регистрация пользователя (личные устройства): управляются только рабочие приложения, аккаунты и данные в отдельной области устройства. Cerberus не может видеть личные данные, стирать устройство, определять его местоположение или читать его серийный номер. Устройство помечается как личное. Требуется iOS и iPadOS 15 или macOS 14 и новее.
Регистрация устройства (корпоративные устройства, которых нет в Apple Business): управляется всё устройство, как при ручной регистрации. Зарегистрированный так Mac находится под надзором; iPhone или iPad — нет. Устройство помечается как корпоративное. Требуется iOS и iPadOS 17.1 или macOS 14.1 и новее.

Вы выбираете режим для iPhone и iPad, а также отдельно для Mac: например, регистрацию пользователя для личных iPhone и регистрацию устройства для Mac. Владение устройством можно изменить позже на странице устройства.

Регистрация по аккаунту доступна, когда настроено управление Apple (APNs). Если вы ещё не завершили настройку APNs, прочитайте Настройка управления Apple (APNs).

Настройка Apple Business

Пользователи входят с управляемыми аккаунтами Apple, которые создаются в Apple Business. Перед началом:

Подтвердите свой домен (например, company.com) в Apple Business, в разделе доменов вашей организации.
Создайте управляемые аккаунты Apple для своих пользователей или подключите Apple Business к Google Workspace или Microsoft Entra ID: тогда аккаунтом каждого пользователя будет его рабочий адрес электронной почты, и он будет входить со своим паролем.
Для регистрации пользователя проверьте в настройках управления доступом, что управляемые аккаунты Apple могут входить на личных устройствах: если они могут входить только на устройствах под надзором, регистрация пользователя не удастся.
Только для параметра Apple Business ниже: откройте Устройства → Службы управления → Назначение устройств по умолчанию (Изменить) и выберите службу управления устройствами Cerberus Enterprise для iPhone, iPad и Mac.

Сохраняйте службу управления устройствами Cerberus Enterprise и её токен в Apple Business, пока устройства зарегистрированы с управляемыми аккаунтами Apple: их удаление может привести к тому, что аккаунты перестанут работать на устройствах.

Настройка Cerberus Enterprise

Откройте раздел Регистрация на панели управления и выберите вкладку Вход по аккаунту Apple. Контрольный список в верхней части показывает, чего ещё не хватает. Только администраторы могут изменять настройки.

Разрешить регистрацию с помощью входа с рабочим аккаунтом: включает или отключает регистрацию по аккаунту для всей организации.
Домены: домены аккаунтов ваших пользователей (например, company.com), до 20. Регистрироваться могут только аккаунты этих доменов и только после подтверждения домена (см. ниже).
iPhone и iPad и Mac: «Выкл.», регистрация пользователя или регистрация устройства для каждого семейства устройств.
Политика для каждого режима: применяется к устройствам сразу после их регистрации. Без политики устройства регистрируются без неё. Изменённая политика применяется к последующим регистрациям.
Пользователи: Только существующие пользователи (адрес электронной почты пользователя в Cerberus Enterprise должен совпадать с аккаунтом, введённым на устройстве) или Создавать пользователя для аккаунтов доменов, у которых его нет.

Аккаунт, введённый на устройстве, сопоставляется с полем Управляемый аккаунт Apple пользователей, затем с их адресом электронной почты. Код всегда отправляется на адрес электронной почты пользователя. Управляемый аккаунт Apple, заданный для пользователя, может зарегистрироваться, даже если его домен не подтверждён в Cerberus, например аккаунт зарезервированного домена Apple Business org.appleid.com. При обнаружении службы Apple Business пользователи всегда вводят свой управляемый аккаунт Apple.

Подтверждение доменов

После сохранения настроек в разделе Подтверждение домена для каждого домена отображается запись TXT. Добавьте её в DNS домена, затем нажмите Подтвердить. Изменения DNS могут стать видимыми не сразу. Подтверждённый домен остаётся подтверждённым: запись можно удалить позже. Пользователи неподтверждённого домена не могут зарегистрироваться.

Обнаружение службы: как устройства находят Cerberus Enterprise

Когда пользователь входит, устройство запрашивает у домена аккаунта (например, https://company.com), какой сервер им управляет. Настройте хотя бы один из этих трёх вариантов. Раздел Обнаружение службы на вкладке показывает URL-адрес обнаружения вашей организации и точный текст для копирования для каждого варианта.

Вариант 1: Apple Business (рекомендуется)

Нажмите Зарегистрировать в Apple Business: Cerberus Enterprise сохраняет свой URL-адрес обнаружения в вашей организации Apple Business, и ничего не нужно публиковать в ваших доменах. Проверить в Apple Business показывает URL-адрес, который Apple Business использует сейчас, а Удалить из Apple Business удаляет его.

Требуется iOS и iPadOS 18.2 или macOS 15.2 и новее. Более старым устройствам нужен вариант 2 или 3.
Требуется Apple Business, подключённое в Cerberus Enterprise (токен службы автоматической регистрации устройств), и описанное выше назначение устройств по умолчанию.
Устройство обращается к Apple Business, только когда ваш домен не отвечает: адрес https://company.com/.well-known/com.apple.remotemanagement не должен существовать (допустима ошибка, например "not found"). Если ваш веб-сайт отвечает на него веб-страницей, устройства останавливаются на нём. Используйте Проверить конфигурацию, чтобы увидеть, что он отвечает.

Apple Business хранит один URL-адрес обнаружения на организацию: при его регистрации все управляемые аккаунты Apple организации направляются в эту организацию Cerberus Enterprise. Не регистрируйте его из двух организаций Cerberus Enterprise, использующих одну и ту же организацию Apple Business.

Вариант 2: перенаправление с вашего веб-сайта

На веб-сервере каждого домена перенаправьте /.well-known/com.apple.remotemanagement на URL-адрес обнаружения вашей организации, сохраняя строку запроса (в ней передаётся аккаунт, введённый пользователем). Это работает во всех версиях ОС, поддерживающих регистрацию по аккаунту, а режим может различаться для iPhone и Mac. Скопируйте текст для Apache или nginx со вкладки; он выглядит так, с ключом вашей организации:

Apache (.htaccess или виртуальный хост):

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx:

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

На других веб-серверах или в сервисах (IIS, Cloudflare, панели управления хостингом) создайте правило перенаправления (302) с того же пути на URL-адрес обнаружения с параметром, который сохраняет или передаёт строку запроса.

Вариант 3: статический файл на вашем веб-сайте

Если вы не можете добавить перенаправление, опубликуйте файл по адресу https://company.com/.well-known/com.apple.remotemanagement (без расширения файла), отдаваемый с Content-Type: application/json. Скопируйте его содержимое со вкладки. Статический файл не может выбирать режим для каждого устройства: он использует один и тот же режим для iPhone, iPad и Mac. Для регистрации пользователя он выглядит так:

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

а для регистрации устройства:

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

Режим в файле также должен совпадать с режимом, заданным на вкладке для семейства устройств, иначе в регистрации будет отказано.

Проверить конфигурацию

В разделе Проверить конфигурацию выберите домен и устройство (iPhone или Mac) и нажмите Проверить: Cerberus Enterprise запрашивает у домена то же, что запросило бы устройство, и показывает ответ, каждое перенаправление и результат. Домен, указывающий на Cerberus Enterprise, означает, что варианты 2 или 3 работают; ответ с ошибкой (например, "not found") подходит для варианта 1; веб-страница или файл, указывающие в другое место, останавливают устройства. Проверка также предупреждает, если перенаправление теряет строку запроса или файл отдаётся не как application/json.

Ключ регистрации

URL-адреса обнаружения и регистрации содержат ключ вашей организации. Если URL-адреса были опубликованы по ошибке, нажмите Создать новый ключ: старые URL-адреса сразу перестанут работать, поэтому обновите перенаправления и статические файлы на ваших веб-сайтах. Cerberus Enterprise сам регистрирует новый URL-адрес в Apple Business, если используется вариант 1.

Как регистрируются пользователи

iPhone и iPad: откройте Настройки → Основные → VPN и управление устройством → Вход в рабочий или учебный аккаунт. Mac: Системные настройки → Основные → Управление устройством → Войти (в macOS 14: Конфиденциальность и безопасность → Профили → Войти).
Введите управляемый аккаунт Apple или рабочий адрес электронной почты пользователя в Cerberus (например, name@company.com). Если управляемый аккаунт Apple пользователя отличается от введённого, устройство затем попросит войти с этим аккаунтом.
Откроется страница Cerberus Enterprise: коснитесь Отправить код, затем введите 6-значный код, полученный по электронной почте. Код действует 10 минут; после 5 неверных кодов пользователь должен закрыть страницу и войти снова.
Войдите с паролем управляемого аккаунта Apple (или на странице входа компании, если Apple Business подключено к Google Workspace или Microsoft Entra ID), затем разрешите управление устройством.

Аккаунты, которые не могут зарегистрироваться (домен не подтверждён, нет подходящего пользователя, когда пользователи не создаются автоматически, несколько пользователей с одинаковым адресом электронной почты), видят сообщение "Этот аккаунт не настроен для регистрации. Обратитесь к администратору ИТ." События записываются в системные журналы панели управления.

После регистрации

На странице устройства показан управляемый аккаунт Apple, использованный для регистрации, и тип регистрации (регистрация пользователя или регистрация устройства по аккаунту). В списке устройств устройства с регистрацией пользователя отображаются как "Регистрация пользователя".
На устройствах с регистрацией пользователя команды и параметры политики, которые не разрешает Apple (стирание, местоположение, режим пропажи, обновления ОС, многие ограничения), не предлагаются и не отправляются. Приложения App Store из политики используют лицензию пользователя вместо лицензии устройства (см. Приложения на личных устройствах ниже).
На устройствах с регистрацией пользователя веб-клипы появляются на экране «Домой», но не отображаются в разделе Настройки → Основные → VPN и управление устройством.
Сертификат MDM этих устройств не продлевается автоматически, а Возврат в эксплуатацию недоступен: до истечения срока действия сертификата MDM (через год после регистрации, см. страницу устройства) попросите пользователя зарегистрировать устройство заново.
Чтобы выйти из-под управления, пользователь выходит из рабочего аккаунта в том же месте настроек, или вы отменяете регистрацию устройства в Cerberus Enterprise. При регистрации пользователя удаляются только рабочие приложения, аккаунты и данные; личные данные остаются. Устройство, зарегистрированное заново, отображается как новое устройство.

Сразу после регистрации некоторые профили политики (сертификаты, сети Wi-Fi, веб-клипы) могут отображаться как не выполненные с неизвестной ошибкой, а устройство некоторое время может показываться как Не соответствует требованиям. Устройство повторяет попытки само, и через некоторое время они устанавливаются без каких-либо действий. Не сохраняйте политику повторно и не регистрируйте устройство заново из-за этого.

Приложения на личных устройствах

У iPhone и iPad, зарегистрированных с регистрацией пользователя, нет серийного номера, поэтому Apps and Books не может выдать им лицензию устройства. Вместо этого Cerberus Enterprise выдаёт приложениям App Store из их политики лицензию пользователя: лицензия привязывается к управляемому аккаунту Apple, в который выполнен вход на устройстве. В политике ничего не меняется: одна и та же политика используется для корпоративных и личных устройств, а Cerberus выбирает тип лицензии для каждого устройства.

Автоматически: при первой регистрации Cerberus регистрирует управляемый аккаунт Apple в Apps and Books, затем запрашивает у Apple лицензию для каждого приложения App Store из политики. Бесплатным приложениям тоже нужна лицензия; Apple предоставляет их в неограниченном количестве. Платное приложение использует одну лицензию на управляемый аккаунт Apple, общую для всех личных устройств этого аккаунта.
Одна организация: управляемые аккаунты Apple и токен Apps and Books для Cerberus Enterprise должны принадлежать одной организации Apple Business, а приложения должны быть в библиотеке местоположения токена.
Сначала лицензия: приложение отправляется на устройство только после того, как Apple подтвердит его лицензию, обычно в течение нескольких минут. До этого панель Приложения устройства показывает его как Ожидание лицензии пользователя с указанием причины.
Запрос на установку: личные устройства никогда не находятся под надзором, поэтому iOS спрашивает пользователя перед установкой каждого приложения, включая приложение Cerberus Enterprise, которое Cerberus также устанавливает на эти устройства (Установить или Отмена); вход в аккаунт Apple не требуется. Если пользователь отменяет, приложение показывает Ожидание одобрения установки пользователем: используйте Запросить повторно на странице устройства, чтобы снова показать запрос. Приложения, установленные как Обязательные, пользователь не может удалить.
Приложения, установленные до регистрации: Apple не позволяет организации перехватить приложение, которое пользователь установил лично на устройство с регистрацией пользователя. Попросите пользователя удалить свою копию перед регистрацией или удалите её и затем используйте Запросить повторно на странице устройства: тогда организация установит управляемую копию.
Выход из-под управления: когда регистрация устройства отменяется, iOS удаляет управляемые приложения и их данные. Лицензия освобождается, когда она больше не нужна ни одному другому зарегистрированному устройству того же управляемого аккаунта Apple, например когда приложение покидает политику или регистрация последнего устройства отменяется; лицензии, которые больше никому не нужны, освобождаются ежедневной проверкой в течение суток.

Когда Apple не может назначить лицензию, например потому что у платного приложения не осталось лицензий, приложение показывает Ошибка лицензии пользователя с сообщением Apple. Добавьте лицензии в Apple Business, затем используйте Запросить повторно на странице устройства; Cerberus также повторяет попытку самостоятельно при ежедневной проверке. Строка над списком приложений показывает управляемый аккаунт Apple и статус его пользователя Apps and Books; тот же статус есть на странице пользователя.

Лицензии пользователей используются только на iPhone и iPad: на Mac, зарегистрированных с User Enrollment, приложения App Store из политики не устанавливаются. Книги и личные аккаунты Apple не поддерживаются.

Обзор политик

Раздел Политики в панели управления (Панель управления → Политики) содержит список всех политик в вашем аккаунте и позволяет создавать, копировать, изменять и удалять их.

Список политик

Политики отображаются в таблице. Нажатие на строку открывает соответствующий редактор политики.

Столбцы

Имя: название политики.
Платформа: платформа политики (Android или Apple). Показывается, только когда настроены и Android Management, и Apple Management.
Устройства: количество зарегистрированных устройств, назначенных политике в данный момент. Устройства с отменённой регистрацией не учитываются.
Описание: описание политики. Длинное описание обрезается после двух строк; наведите на него, чтобы прочитать полный текст.
Последнее изменение: когда администратор последний раз создал, сохранил или скопировал политику. Пусто для политик, не сохранённых с момента появления этого столбца.
Id: внутренний идентификатор политики.

По умолчанию сначала показываются недавно изменённые политики; политики, не сохранённые с момента появления столбца Последнее изменение, идут следом, по имени. Нажмите на заголовок столбца, чтобы отсортировать по этому столбцу.

Фильтры и поиск

Если настроены и Android Management, и Apple Management, можно фильтровать список по Все, Android, или Apple.
Вы можете включить Поиск и искать по названию или описанию политики.

Обновление и разбивка на страницы

Используйте действие обновления, чтобы перезагрузить список.
Таблица разбита на страницы (10/25/50 элементов на странице).

Создание новой политики

В нижней части страницы «Политики» можно создать новую политику. В зависимости от того, какая платформа настроена в вашем аккаунте, вы можете увидеть одно или оба из следующих действий:

Создать новую политику Android
Создать новую политику Apple

Если срок действия лицензии истёк, создание политик (и другие действия с записью) недоступны.

Копирование и удаление политик

У каждой строки политики есть меню действий, включающее Копировать политику и Удалить политику.

Предупреждения при удалении политики

При удалении политики панель управления может показывать дополнительные предупреждения в зависимости от того, как используется политика.

Если политика назначена зарегистрированным устройствам, её удаление отменит регистрацию связанных устройств и удалит их приложения и данные.
Если политика назначена токенам регистрации, эти токены могут больше не иметь возможности завершить регистрацию.
Если политика задана как политика по умолчанию для регистрации через Google Authentication (глобально или для некоторых пользователей), её удаление может привести к сбою регистраций.

Удаление нескольких политик

Список политик поддерживает выбор нескольких строк для массового удаления. В режиме множественного выбора можно выбрать несколько политик и удалить их одним действием.

Массовое удаление доступно только в том случае, если все выбранные политики относятся к одной платформе (все Android или все Apple).

Далее: изменение настроек политики

Список политик — это точка входа. Чтобы настроить параметры политики, используйте соответствующую документацию редактора: Политики → Android и Политики → Apple.

Политики, на которые ссылаются токены регистрации, применяются автоматически во время регистрации устройства.

Политики - Android

Сводка

Политики Android — основные сущности системы: они определяют правила, применяемые и исполняемые на управляемых устройствах.

Вы можете просматривать свои политики и создавать новые в разделе Политики панели управления. Чтобы открыть политику Android, нажмите строку политики в таблице: система откроет страницу Редактор политики.

Политику можно связать с токеном регистрации, и тогда она будет автоматически применяться к устройствам в процессе подготовки. Вы также можете изменить политику, назначенную устройству, после подготовки.

Каждое устройство может быть связано только с одной политикой одновременно.

Многие параметры политики применяются только к определённым типам устройств (полностью управляемые, выделенные, рабочий профиль) и версиям Android. Неподдерживаемые параметры могут игнорироваться устройством или приводить к отчёту о несоответствии.

Структура редактора политики

Редактор политики организован в виде набора раскрывающихся разделов. В верхней части страницы всегда можно изменить:

Имя (обязательно)
Id (только для чтения)
Описание (необязательно)

Разделы ниже соответствуют панелям редактора политики (например: «Управление приложениями», «Безопасность», «Сеть», «Система», «Личное использование», «Межпрофильные политики» и другим). При открытии сохранённой политики разделы с изменёнными настройками уже открыты, а остальные остаются закрытыми. Используйте страницы глав этого руководства, чтобы подробно изучить каждую панель.

Сохранение, удаление и связанные устройства

Используйте Сохранить политику, чтобы применить изменения. Кнопка неактивна, если нет несохранённых изменений или срок действия лицензии истёк.

Если вы открыли существующую политику (у неё есть Id), в нижней части страницы отображаются действие Удалить политику и список Связанные устройства, чтобы вы могли видеть, сколько устройств сейчас используют политику.

Политики - Android

Управление приложениями

В этом разделе можно задать политики, связанные с доступностью приложений, установкой, обновлениями и управлением разрешениями.

Аккаунты управляемого Google Play создаются автоматически при подготовке устройств.

1. Режим Play Store

Этот режим определяет, какие приложения доступны пользователю в Play Store, и поведение на устройстве при удалении приложений из политики.

Белый список (по умолчанию): доступны только приложения, включённые в политику, а любое приложение, отсутствующее в политике, будет автоматически удалено с устройства. Play Store будет показывать только доступные приложения.

Чёрный список: все приложения доступны, а любое приложение, которого не должно быть на устройстве, следует явно отметить как заблокированное в политике приложений. Play Store будет показывать все приложения, кроме заблокированных.

2. Политика недоверенных приложений

Политика недоверенных приложений (приложений из неизвестных источников), применяемая на устройстве. Этот параметр управляет системной настройкой Android, которая определяет, может ли пользователь устанавливать приложения вне Play Store (боковая загрузка).

Запретить (по умолчанию): запретить установку недоверенных приложений на всём устройстве.

Только личный профиль: для устройств с рабочими профилями разрешить установку недоверенных приложений только в личном профиле устройства.

Разрешить: разрешить установку недоверенных приложений на всём устройстве.

3. Google Play Protect

Применяется ли проверка приложений Google Play Protect.

Принудительно (по умолчанию): принудительно включает проверку приложений.

Выбор пользователя: позволяет пользователю выбрать, включать ли проверку приложений.

4. Политика разрешений по умолчанию

Политика предоставления запросов разрешений приложениям во время выполнения.

Запрос (по умолчанию): запрашивать у пользователя разрешение.

Предоставить: автоматически предоставлять разрешение.

Запретить: автоматически отклонять разрешение.

5. Функции приложений

Управляет тем, разрешено ли приложениям на полностью управляемых устройствах или в рабочих профилях предоставлять функции приложений. Требуется Android 16 или новее.

Разрешено (по умолчанию): приложения на полностью управляемых устройствах или в рабочих профилях могут предоставлять функции приложений.

Запрещено: приложения на полностью управляемых устройствах или в рабочих профилях не могут предоставлять функции приложений.

6. Установка приложений отключена

Отключена ли установка приложений пользователем.

7. Удаление приложений отключено

Отключено ли удаление приложений пользователем.

8. Политики разрешений

Явные предоставления или запреты разрешений либо групп для всех приложений. Эти значения переопределяют настройку Политика разрешений по умолчанию.

Используйте Добавить политику разрешений, чтобы создать записи, и удаляйте их с помощью действия удаления.

Каждая запись включает:

Разрешение/группа Android: разрешение или группа Android (обязательно), например android.permission.READ_CALENDAR или android.permission_group.CALENDAR.

Политика: предоставить / запретить / запросить (используются те же параметры политики, что и в Политика разрешений по умолчанию).

9. Приложения

Список приложений, которые необходимо включить в политику. Поведение содержимого списка зависит от значения, заданного в Режим Play Store.

Если Режим Play Store установлен на белый список, доступны только приложения, включённые в политику, а любое приложение, отсутствующее в политике, будет автоматически удалено с устройства.

Если Режим Play Store установлен на чёрный список, все приложения доступны, а любое приложение, которого не должно быть на устройстве, следует явно отметить как заблокированное в политике приложений.

Чтобы добавить новое приложение, нажмите кнопку Добавить приложения (или значок Добавить приложения), выберите Из управляемого Google Play, затем выберите приложение в Play Store и нажмите кнопку Выбрать в карточке приложения.

Чтобы добавить приложение, которое не опубликовано в Google Play, но уже присутствует на устройстве (например, системное приложение или приложение производителя), нажмите Добавить приложения, выберите По имени пакета (предустановленные приложения), введите имя пакета приложения (например, com.example.app) и нажмите Добавить.Приложение добавляется с типом установки Принудительно установлено. Чтобы показывать приложение в пользовательской программе запуска киоска, его Тип установки должен быть Предустановлено или Принудительно установлено: при значении Доступно приложение не отображается.

Приложения, недоступные в управляемом Google Play, отмечены значком Android в списке приложений. Их нельзя установить из Google Play, поэтому они должны уже присутствовать на устройстве: устройства, на которых нет приложения, не могут его установить.

Все приложения, опубликованные в Play Store в вашей стране, по умолчанию доступны для выбора. Чтобы выбрать собственные частные приложения или веб-приложения, сначала необходимо загрузить их в систему. Дополнительные сведения см. на странице Частные приложения.

Каждое приложение можно настроить отдельно; настройки отображаются в карточке:

9.1. Тип установки

Тип установки приложения.

Доступно: приложение доступно для установки.

Предустановлено: приложение устанавливается автоматически, пользователь может его удалить.

Принудительно установлено: приложение устанавливается автоматически, пользователь не может его удалить.

Заблокировано: приложение заблокировано, и его нельзя установить. Если приложение было установлено по предыдущей политике, оно будет удалено.

Требуется для настройки: приложение устанавливается автоматически, пользователь не может его удалить, и настройка не завершится, пока не закончится установка.

Киоск: приложение автоматически устанавливается в режиме киоска: оно назначается предпочтительным домашним намерением и добавляется в белый список для режима блокировки задач. Настройка устройства не завершится, пока приложение не будет установлено. После установки пользователи не смогут удалить приложение. Этот тип установки можно задать только для одного приложения в политике. Если он присутствует в политике, строка состояния автоматически отключается. Дополнительные сведения см. на странице Режим киоска.

9.2. Ограничения установки

Определяет набор ограничений для установки приложения. При выборе нескольких ограничений для установки приложения должны выполняться все они.

Этот параметр отображается только когда Тип установки имеет значение Предустановлено или Принудительно установлено.

Неограниченная сеть: устанавливать приложение только когда устройство подключено к сети без ограничений трафика (например, Wi‑Fi).

Зарядка: устанавливать приложение только когда устройство заряжается.

Простой: устанавливать приложение только когда устройство не используется.

9.3. Режим автообновления

Управляет режимом автообновления приложения.

По умолчанию: приложение автоматически обновляется с низким приоритетом, чтобы свести к минимуму влияние на пользователя. Приложение обновляется при соблюдении всех следующих условий: (1) устройство активно не используется, (2) устройство подключено к сети без ограничений трафика, (3) устройство заряжается. Устройство получает уведомление о новом обновлении в течение 24 часов после его публикации разработчиком, после чего приложение обновляется при следующем соблюдении перечисленных условий.

Отложено: приложение не обновляется автоматически максимум 90 дней после того, как устаревает. Через 90 дней после того, как приложение устарело, последняя доступная версия устанавливается автоматически с низким приоритетом (см. режим автообновления По умолчанию режим автообновления). После обновления приложение снова не обновляется автоматически, пока не пройдёт 90 дней с момента его повторного устаревания. Пользователь по-прежнему может обновить приложение вручную из Play Store в любое время.

Высокий приоритет: приложение обновляется как можно скорее. Ограничения не применяются. Устройство немедленно получает уведомление о новом обновлении, когда оно становится доступным.

9.4. Минимальный код версии

Минимальная версия приложения, которая работает на устройстве. Если задано, устройство пытается обновить приложение как минимум до этого кода версии. Если приложение не обновлено, устройство будет содержать сведения о несоответствии с причиной несоответствия, равной APP_NOT_UPDATED. Приложение должно быть уже опубликовано в Google Play с кодом версии, большим или равным этому значению. В политике не более 20 приложений могут указывать минимальный код версии.

9.5. Делегированные области

Области, делегированные приложению от Android Device Policy. Вы можете предоставить другим приложениям набор специальных разрешений Android:

Установка сертификата: предоставляет доступ к установке и управлению сертификатами.

Управляемые конфигурации: предоставляет доступ к управлению управляемыми конфигурациями.

Блокировка удаления: предоставляет доступ к блокировке удаления.

Разрешения: предоставляет доступ к политике разрешений и состоянию предоставления разрешений.

Доступ к пакетам: предоставляет доступ к состоянию доступа к пакетам.

Системное приложение: предоставляет доступ для включения системных приложений.

9.6. Приоритетная сеть

Приоритетная сетевая служба, используемая для этого приложения. Если задано, приложение будет использовать указанный корпоративный сетевой сегмент для своих подключений, когда он доступен. Это должно соответствовать сетевому сегменту, настроенному в разделе Конфигурация сетевых сегментов 5G панели Сотовая связь.

9.7. Политика разрешений по умолчанию

Политика по умолчанию для всех разрешений, запрашиваемых приложением. Если указана, она переопределяет заданную на уровне политики настройку Политика разрешений по умолчанию, которая применяется ко всем приложениям. Она не переопределяет Политики разрешений, которые применяются ко всем приложениям.

Запрос (по умолчанию): запрашивать у пользователя разрешение.

Предоставить: автоматически предоставлять разрешение.

Запретить: автоматически отклонять разрешение.

9.8. Связанное рабочее и личное приложение

Управляет тем, может ли приложение взаимодействовать с самим собой в рабочих и личных профилях устройства при согласии пользователя (Android 11+).

Запрещено (по умолчанию): не позволяет приложению взаимодействовать между профилями.

Разрешено: позволяет приложению взаимодействовать между профилями после получения согласия пользователя.

9.9. Исключение из блокировки Always On VPN

Указывает, разрешено ли приложению сетевое взаимодействие, когда VPN не подключён и включена блокировка. Поддерживается только на устройствах под управлением Android 10 и новее.

Принудительно (по умолчанию): приложение соблюдает настройку блокировки Always On VPN.

Исключение: приложение исключено из настройки блокировки Always On VPN.

9.10. Виджеты рабочего профиля

Указывает, разрешено ли приложению, установленному в рабочем профиле, добавлять виджеты на главный экран.

Разрешено: приложение может добавлять виджеты на главный экран.

Запрещено: приложение не может добавлять виджеты на главный экран.

9.11. Настройки управления пользователем

Указывает, разрешено ли управление пользователем для данного приложения. Управление пользователем включает такие действия, как принудительная остановка и очистка данных приложения (Android 11+). Если для приложения включён extensionConfig, управление пользователем запрещено независимо от этой настройки. Для приложений киоска можно использовать Разрешено, чтобы разрешить управление пользователем.

Не указано: используется поведение приложения по умолчанию, чтобы определить, разрешено или запрещено управление пользователем.

Разрешено: управление пользователем разрешено для приложения.

Запрещено: управление пользователем запрещено для приложения.

9.12. Отключено

Отключено ли приложение. Если приложение отключено, его данные сохраняются.

9.13. Разрешить поставщика учётных данных

Разрешено ли приложению выступать в качестве поставщика учётных данных на Android 14 и новее.

9.14. Управляемая конфигурация

Чтобы настроить управляемые параметры приложения, нажмите кнопку Включить управляемую конфигурацию. Если для приложения уже задана управляемая конфигурация, её можно изменить с помощью кнопки Управляемая конфигурация или удалить с помощью кнопки Удалить конфигурацию.

Управляемая конфигурация доступен только для приложений, поддерживающих эту функцию.

9.15. Политики разрешений

Явные предоставления или запреты разрешений для приложения. Эти значения переопределяют Политика разрешений по умолчанию и Политики разрешений, которые применяются ко всем приложениям.

Используйте Добавить политику разрешений, чтобы добавить одно или несколько правил разрешений для карточки приложения, и удаляйте их с помощью действия удаления.

9.16. Идентификаторы треков

Список идентификаторов закрытых тестовых треков приложения, к которым может получить доступ устройство. Если выбрано несколько идентификаторов треков, устройства получают последнюю версию среди всех доступных треков. Если идентификаторы треков не выбраны, устройства имеют доступ только к производственному треку приложения.

Идентификаторы треков — параметр, доступный только для приложений, у которых есть хотя бы один идентификатор трека, доступный вашей организации. Подробнее о том, как добавить организацию в закрытый тестовый трек для конкретного приложения, читайте здесь.

10. Настройки приложений по умолчанию

Задайте приложения по умолчанию для поддерживаемых типов. Если приложение по умолчанию задано хотя бы для одного типа, пользователи не смогут изменять приложения по умолчанию в этом профиле.

Допускается только одна настройка приложения по умолчанию для каждого значения Тип приложения по умолчанию. Список приложений по умолчанию не должен содержать дубликатов.

10.1. Тип приложения по умолчанию

Выберите категорию приложения для настройки (например, браузер, телефон, SMS, кошелёк или помощник). Доступность зависит от версии Android и режима управления.

10.2. Области применения приложения по умолчанию

Выберите, где должно применяться приложение по умолчанию (полностью управляемое устройство, рабочий профиль или личный профиль). Можно выбрать только области, поддерживаемые выбранным типом.

Если ни одна из выбранных областей не применима к режиму управления устройства, устройство сообщает сведения о несоответствии.

10.3. Приложения по умолчанию

Список приложений, которые можно назначить по умолчанию для выбранного типа. Первое установленное и подходящее приложение назначается по умолчанию.

Если области включают Полностью управляемое устройство или Рабочий профиль, каждое приложение также должно присутствовать в списке Приложения с параметром Тип установки, не равным Заблокировано.

11. Выбор закрытого ключа

Позволяет показывать на устройстве интерфейс, в котором пользователь может выбрать псевдоним закрытого ключа, если в разделе Правила выбора закрытого ключа нет подходящих правил.

Для устройств ниже Android P эта настройка может сделать корпоративные ключи уязвимыми.

12. Правила выбора закрытого ключа

Управляет доступом приложений к закрытым ключам. Правило определяет, какой закрытый ключ, если таковой имеется, Android Device Policy предоставляет указанному приложению. Доступ предоставляется либо когда приложение вызывает KeyChain.choosePrivateKeyAlias (или любые перегрузки) для запроса псевдонима закрытого ключа для заданного URL-адреса, либо для правил, не привязанных к URL-адресу (то есть если urlPattern не задан, или задан как пустая строка или .*) на Android 11 и новее, напрямую, чтобы приложение могло вызвать KeyChain.getPrivateKey без предварительного вызова KeyChain.choosePrivateKeyAlias. Когда приложение вызывает KeyChain.choosePrivateKeyAlias и совпадает более одного choosePrivateKeyRules, последнее совпавшее правило определяет, какой псевдоним ключа вернуть.

Используйте Добавить правило закрытого ключа, чтобы создать записи, и удаляйте их с помощью действия удаления.

12.1. Псевдоним закрытого ключа

Псевдоним закрытого ключа, который нужно использовать.

12.2. Шаблон URL

Шаблон URL, с которым сопоставляется URL-адрес запроса. Если не задан или пуст, соответствует всем URL-адресам. Используется синтаксис регулярных выражений java.util.regex.Pattern.

12.3. Имена пакетов

Имена пакетов, к которым применяется это правило. Хеш сертификата подписи каждого приложения проверяется по хешу, предоставленному Play. Если имена пакетов не указаны, псевдоним предоставляется всем приложениям, которые вызывают KeyChain.choosePrivateKeyAlias или любые перегрузки (но не без вызова KeyChain.choosePrivateKeyAlias, даже на Android 11 и новее). Любое приложение с тем же Android UID, что и указанный здесь пакет, получит доступ при вызове KeyChain.choosePrivateKeyAlias.

Используйте Добавить имя пакета, чтобы добавить записи, и удаляйте их с помощью действия удаления.

Чтобы удалить приложение, нажмите на значок корзины, в нижней части карточки приложения.

Политики - Android

Режим киоска

С помощью режима киоска вы можете ограничить функциональность устройства одним приложением или несколькими приложениями. Выбор между режимом киоска для одного приложения и для нескольких приложений зависит от ваших бизнес-задач.

В режиме киоска для одного приложения устройство настраивается для одного приложения и не позволяет конечным пользователям получать доступ к другим приложениям на устройстве. Они также не могут выйти из приложения, что делает устройство выделенным для этого конкретного приложения. Чтобы включить этот режим, укажите приложение в разделе Управление приложениями с параметром Тип установки, установленным в Киоск.

В режиме киоска для нескольких приложений устройствам разрешён доступ к нескольким приложениям. Конечные пользователи могут переключаться между приложениями через настраиваемую программу запуска. Чтобы включить этот режим, включите параметр Настраиваемая программа запуска киоска.

Когда режим киоска включён, вы также можете настроить, могут ли конечные пользователи получать доступ к определённым системным функциям, например к системным настройкам и строке состояния.

Настраиваемая программа запуска киоска

Включена ли настраиваемая программа запуска киоска. Она заменяет главный экран программой запуска, которая ограничивает устройство приложениями, установленными с помощью параметра Управление приложениями. Приложения отображаются на одной странице в алфавитном порядке.

Действия кнопки питания

Задаёт поведение устройства в режиме киоска, когда пользователь нажимает и удерживает кнопку питания.

Доступно (по умолчанию): Когда пользователь нажимает и удерживает кнопку питания устройства в режиме киоска, отображается меню питания (например, «Выключить», «Перезагрузить»).

Заблокировано: Когда пользователь нажимает и удерживает кнопку питания устройства в режиме киоска, меню питания (например, «Выключить», «Перезагрузить») не отображается. Примечание. Это может помешать пользователям выключить устройство.

Системные предупреждения об ошибках

Указывает, блокируются ли в режиме киоска системные диалоги ошибок для приложений, которые зависли или перестали отвечать. В случае блокировки система принудительно остановит приложение, как если бы пользователь выбрал в интерфейсе вариант «закрыть приложение».

Заблокировано (по умолчанию): Блокируются все системные диалоги ошибок, например при сбое и приложении, не отвечающем на запросы (ANR). В случае блокировки система принудительно останавливает приложение, как если бы пользователь закрыл приложение из интерфейса.

Включено: Отображаются все системные диалоги ошибок, например при сбое и приложении, не отвечающем на запросы (ANR).

Указывает, какие функции навигации включены (например, кнопки «Главная» и «Обзор») в режиме киоска.

Отключено (по умолчанию): Кнопки «Главная» и «Обзор» недоступны.

Только «Главная»: Включена только кнопка «Главная».

Включено: Кнопки «Главная» и «Обзор» включены.

Строка состояния

Указывает, отключены ли в режиме киоска системная информация и уведомления.

Отключено (по умолчанию): В режиме киоска системная информация и уведомления отключены.

Только системные: В строке состояния отображается только системная информация.

Включено: В режиме киоска в строке состояния отображаются системная информация и уведомления. Примечание. Чтобы эта политика вступила в силу, кнопка «Главная» на устройстве должна быть включена с помощью kioskCustomization.systemNavigation.

Настройки устройства

Указывает, разрешено ли приложение «Настройки» в режиме киоска.

Разрешено (по умолчанию): В режиме киоска доступ к приложению «Настройки» разрешён.

Заблокировано: В режиме киоска доступ к приложению «Настройки» запрещён.

Политики - Android

Безопасность

В этом разделе можно настроить политики безопасности.

Действия при угрозах безопасности

Выберите, что делать, когда устройство сообщает о SecurityRisk в отчётах о состоянии.

Поддерживаемые типы SecurityRisk:

Неизвестная ОС: Play Integrity API определяет, что устройство работает под управлением неизвестной ОС (проверка basicIntegrity проходит, но ctsProfileMatch не проходит).

Скомпрометированная ОС: Play Integrity API определяет, что устройство работает под управлением скомпрометированной ОС (проверка basicIntegrity не проходит).

Ошибка оценки с аппаратной поддержкой: Play Integrity API определяет, что устройство не имеет надёжной гарантии целостности системы, если метка MEETS_STRONG_INTEGRITY не отображается в поле целостности устройства.

Доступные действия:

Стереть корпоративные данные (по умолчанию): отменить регистрацию и стереть рабочие данные (всё устройство, если оно полностью управляемое, или только рабочий профиль для устройств с профилем).

Нет действия: оставить устройство зарегистрированным и ничего не делать автоматически.

При выборе Стереть корпоративные данные можно также настроить параметры очистки:

Сохранять защиту от сброса настроек: сохранять данные Factory Reset Protection (FRP) при очистке устройства.

Стереть внешнее хранилище: дополнительно стереть внешнее хранилище устройства (например, SD-карты) при выполнении очистки.

Стереть eSIM: для корпоративных устройств при очистке устройства удаляются все eSIM. На личных устройствах при этом удаляются управляемые eSIM (eSIM, добавленные командой ADD_ESIM), а личные eSIM не удаляются.

1. Макс. время до блокировки

Максимальное время (в секундах) активности пользователя до блокировки устройства. Значение 0 означает отсутствие ограничений.

2. Не выключать при зарядке

Режимы подключения к источнику питания, при которых устройство остаётся включённым. При использовании этого параметра рекомендуется очистить Максимальное время до блокировки, чтобы устройство не блокировалось само, пока остаётся включённым.

Зарядное устройство от сети: источник питания — зарядное устройство от сети переменного тока.

Порт USB: источник питания — порт USB.

Беспроводное зарядное устройство: источник питания — беспроводной.

3. Экран блокировки отключён

Если включено, отключает экран блокировки для основного и/или дополнительного дисплея. Эта политика поддерживается только в режиме управления выделенными устройствами.

4. Требования к паролю

Политики требований к паролю.

Используйте Настроить требования к паролю, чтобы добавить один или несколько блоков требований к паролю. Используйте Очистить всё, чтобы удалить все настроенные требования к паролю.

Требования к паролю могут использовать область Авто (одно требование) или отдельные области Устройство/Рабочий профиль. Требования на основе сложности должны сочетаться с требованиями на основе качества для той же области.

4.1. Область

Область, к которой применяется требование к паролю.

Авто: область не указана. Требования к паролю применяются к рабочему профилю на устройствах с рабочим профилем и ко всему устройству на полностью управляемых или выделенных устройствах.

Устройство: требования к паролю применяются только к устройству.

Рабочий профиль: требования к паролю применяются только к рабочему профилю.

4.2. Длина истории паролей

Длина истории паролей. После установки этого поля пользователь не сможет ввести новый пароль, совпадающий с каким-либо паролем из истории. Значение 0 означает отсутствие ограничений.

4.3. Макс. неудачных паролей до очистки

Число неверных паролей разблокировки устройства, которые можно ввести до очистки устройства. Значение 0 означает отсутствие ограничений.

4.4. Срок действия пароля (дней)

Этот параметр заставляет пользователя периодически обновлять пароль по истечении указанного числа дней.

4.5. Требовать разблокировку паролем

Промежуток времени после разблокировки устройства или рабочего профиля с помощью надёжного способа аутентификации (пароль, PIN, графический ключ), в течение которого можно разблокировать их любым другим способом аутентификации (например, отпечаток пальца, доверенные агенты, лицо). По истечении указанного периода для разблокировки устройства или рабочего профиля можно использовать только надёжные способы аутентификации.

По умолчанию устройства: период ожидания устанавливается по умолчанию устройства.

Каждый день: период ожидания устанавливается равным 24 часам.

4.6. Качество пароля

Требуемое качество пароля.

Высокая сложность: определить высокую полосу сложности пароля как: на Android 12 и выше — PIN без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей, длина не менее 8; буквенный — длина не менее 6; буквенно-цифровой — длина не менее 6.

Средняя сложность: определить среднюю полосу сложности пароля как: PIN без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей, длина не менее 4; буквенный — длина не менее 4; буквенно-цифровой — длина не менее 4.

Низкая сложность: определить низкую полосу сложности пароля как: графический ключ; PIN с повторяющимися (4444) или упорядоченными (1234, 4321, 2468) последовательностями.

Нет: требования к паролю отсутствуют.

Слабый: устройство должно быть защищено как минимум биометрической технологией распознавания с низким уровнем безопасности. Сюда входят технологии, способные распознавать личность человека и примерно эквивалентные 3-значному PIN (вероятность ложного распознавания менее 1 из 1000).

Любой: пароль обязателен, но к его содержимому нет требований.

Цифровой: пароль должен содержать цифровые символы.

Цифровой сложный: пароль должен содержать цифровые символы без повторяющихся (4444) или упорядоченных (1234, 4321, 2468) последовательностей.

Буквенный: пароль должен содержать буквенные (или символьные) символы.

Буквенно-цифровой: пароль должен содержать как цифровые, так и буквенные (или символьные) символы.

Сложный: пароль должен соответствовать минимальным требованиям, указанным в passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols и т. д. Например, если passwordMinimumSymbols равно 2, пароль должен содержать как минимум два символа.

4.7. Минимальная длина

Минимальная допустимая длина пароля. Значение 0 означает отсутствие ограничений.

4.8. Минимум букв

Минимальное число букв, требуемое в пароле.

4.9. Минимум строчных букв

Минимальное число строчных букв, требуемое в пароле.

4.10. Минимум прописных букв

Минимальное число прописных букв, требуемое в пароле.

4.11. Минимум небуквенных символов

Минимальное число небуквенных символов (цифр или символов), требуемое в пароле.

4.12. Минимум цифр

Минимальное число цифр, требуемое в пароле.

4.13. Минимум символов

Минимальное число символов, требуемое в пароле.

4.14. Единая блокировка

Определяет, разрешена ли единая блокировка для устройства и рабочего профиля на устройствах с Android 9 и выше с рабочим профилем. На другие устройства это не влияет.

Разрешить единую блокировку: общая блокировка для устройства и рабочего профиля разрешена.

Требовать отдельную рабочую блокировку: требуется отдельная блокировка для рабочего профиля.

5. Сброс до заводских настроек отключён

Отключён ли сброс до заводских настроек из настроек. Применимо только к полностью управляемым устройствам.

6. Защита от сброса до заводских настроек

Адреса электронной почты администраторов устройства для защиты от сброса до заводских настроек. Если устройство подвергнется несанкционированному сбросу до заводских настроек, для разблокировки устройства потребуется, чтобы один из этих администраторов вошёл с адресом и паролем аккаунта Google. Если администраторы не указаны, устройство не будет обеспечивать защиту от сброса до заводских настроек. Применимо только к полностью управляемым устройствам.

Эл. почта администраторов: используйте Включить защиту от сброса до заводских настроек, чтобы начать настройку администраторов. Затем используйте Добавить эл. почту администратора, чтобы добавить адреса, и удаляйте их действием удаления.

7. Функции экрана блокировки

Функции экрана блокировки, которые можно отключить.

7.1. Отключить всё

Отключить все текущие и будущие настройки экрана блокировки.

7.2. Отключить камеру

Отключить камеру на защищённых экранах блокировки (например, с PIN).

7.3. Отключить уведомления

Отключить показ всех уведомлений на защищённых экранах блокировки.

7.4. Отключить неотредактированные уведомления

Отключить неотредактированные уведомления на защищённых экранах блокировки.

7.5. Игнорировать состояние доверенного агента

Игнорировать состояние доверенного агента на защищённых экранах блокировки.

7.6. Отключить отпечаток пальца

Отключить датчик отпечатка пальца на защищённых экранах блокировки.

7.7. Отключить ввод текста в уведомления

Отключить ввод текста в уведомления на защищённых экранах блокировки.

7.8. Отключить аутентификацию по лицу

Отключить аутентификацию по лицу на защищённых экранах блокировки.

7.9. Отключить аутентификацию по радужной оболочке

Отключить аутентификацию по радужной оболочке на защищённых экранах блокировки.

7.10. Отключить всю биометрическую аутентификацию

Отключить всю биометрическую аутентификацию на защищённых экранах блокировки.

7.11. Отключить все ярлыки

Отключить все ярлыки на защищённом экране блокировки на Android 14 и выше.

Политики - Android

Мультимедиа

В этом разделе вы можете настроить поведение камеры и микрофона, доступ к данным через USB, печать и ограничения, связанные с дисплеем.

1. Доступ к камере

Управляет использованием камеры и тем, может ли пользователь получить доступ к переключателю доступа к камере (Android 12+). Как правило, отключение камеры действует на всё устройство на полностью управляемых устройствах и только внутри рабочего профиля на устройствах с рабочим профилем.

Выбор пользователя (по умолчанию): Поведение устройства по умолчанию. Камеры доступны, и (Android 12+) пользователь может переключать доступ к камере.

Отключено: Все камеры отключены (полностью управляемые: на всё устройство; рабочий профиль: только для приложений рабочего профиля). Переключатель доступа к камере не действует в управляемой области.

Принудительно: Камеры доступны. На полностью управляемых устройствах под управлением Android 12+ пользователь не может переключать доступ к камере. На других устройствах и версиях это работает как «Выбор пользователя».

2. Доступ к микрофону

На полностью управляемых устройствах управляет использованием микрофона и тем, может ли пользователь получить доступ к переключателю доступа к микрофону (Android 12+). Этот параметр не действует на устройствах, которые не являются полностью управляемыми.

Выбор пользователя (по умолчанию): Поведение по умолчанию. Микрофон доступен, и (Android 12+) пользователь может переключать доступ к микрофону.

Отключено: Микрофон отключён (на всё устройство). Переключатель доступа к микрофону не действует.

Принудительно: Микрофон доступен. На Android 12+ пользователь не может переключать доступ к микрофону. На Android 11 или ниже это работает как «Выбор пользователя».

3. Доступ к данным через USB

Управляет тем, какие файлы и/или данные можно передавать через USB. Поддерживается только на устройствах, принадлежащих компании.

Запретить передачу файлов (по умолчанию): Передача файлов запрещена, но другие USB-подключения для передачи данных (например, мышь/клавиатура) разрешены.

Запретить передачу данных: Все типы передачи данных через USB запрещены (Android 12+ с USB HAL 1.3+). Если это не поддерживается, устройство переключается на режим «Запретить передачу файлов».

Разрешить передачу данных: Все типы передачи данных через USB разрешены.

4. Печать

Управляет тем, разрешена ли печать (Android 9+).

Разрешено (по умолчанию): Печать разрешена.

Запрещено: Печать запрещена (Android 9+).

5. Настройки яркости экрана

Управляет режимом яркости экрана и (необязательно) значением яркости.

Режим яркости экрана:

Выбор пользователя (по умолчанию): Пользователю разрешено настраивать яркость экрана.

Автоматически: Яркость устанавливается автоматически, и пользователь не может её изменить. Вы всё равно можете задать значение яркости, которое используется при автоматической регулировке (полностью управляемые Android 9+; рабочие профили на устройствах компании Android 15+).

Фиксированная: Яркость устанавливается в заданное значение, и пользователь не может её изменить. Значение яркости обязательно (полностью управляемые Android 9+; рабочие профили на устройствах компании Android 15+).

Яркость экрана:

Значение от 1 до 255 (1 — минимальное, 255 — максимальное). Значение 0 означает, что значение яркости не задано.

6. Настройки тайм-аута экрана

Управляет тем, может ли пользователь настраивать тайм-аут экрана и, при принудительном режиме, значение тайм-аута.

Поле Режим тайм-аута экрана выбирает между поведением, управляемым пользователем, и принудительным поведением.

Выбор пользователя (по умолчанию): Пользователю разрешено настраивать тайм-аут экрана.

Принудительно: Тайм-аут экрана устанавливается в заданное значение, и пользователь не может его изменить (полностью управляемые Android 9+; рабочие профили на устройствах компании Android 15+).

Тайм-аут экрана:

Длительность тайм-аута в секундах. Значение должно быть больше 0. Если оно больше Максимальное время до блокировки, система может ограничить его и сообщить о несоответствии.

7. Захват экрана отключён

Отключён ли захват экрана.

8. Регулировка громкости отключена

Отключена ли регулировка общей громкости.

9. Монтирование физических носителей отключено

Отключено ли монтирование физических внешних носителей.

Политики - Android

Сотовая связь

В этом разделе можно настроить политики, связанные с сотовой связью.

1. Режим полёта

Управляет тем, может ли пользователь переключать режим полёта.

Выбор пользователя (по умолчанию): пользователь может включать или отключать режим полёта.

Отключено: режим полёта отключён. Пользователь не может включить режим полёта. Поддерживается на Android 9 и новее.

2. Сотовая связь 2G

Управляет тем, может ли пользователь переключать настройку сотовой связи 2G.

Выбор пользователя (по умолчанию): пользователь может включать или отключать сотовую связь 2G.

Отключено: сотовая связь 2G отключена. Пользователь не может включить сотовую связь 2G через настройки. Поддерживается на Android 14 и новее.

3. Переопределение APNs

Управляет тем, включено или отключено переопределение APNs. Если включено, используются только настроенные переопределённые APNs, а все остальные APNs на устройстве игнорируются.

Отключено (по умолчанию): Все настроенные параметры APN сохраняются на устройстве, но они отключены и не действуют. Все остальные APN на устройстве продолжают использоваться.

Включено: Используются только переопределённые APN, все остальные APN игнорируются. Этот параметр можно настроить только на полностью управляемых устройствах с Android 10 и выше.

4. Параметры APN

Настройте одну или несколько записей APN. Используйте Добавить APN, чтобы создать запись, и Удалить APN, чтобы удалить её.

У каждой APN есть обязательные поля:

Типы APN: Выберите один или несколько типов трафика для этой APN (доступность зависит от режима управления и версии Android).

Имя APN: Идентификатор APN, предоставленный вашим оператором.

Отображаемое имя: Понятное имя, отображаемое в интерфейсе.

Необязательные поля APN:

Тип аутентификации, Имя пользователя, Пароль: Настройте аутентификацию у оператора (если требуется).

Протокол и Протокол роуминга: Настройка IP-протокола.

Типы сетей: Ограничьте сотовые технологии, которые может использовать APN (например, LTE/5G NR).

Адрес прокси и Порт прокси: HTTP-прокси для передачи данных (если применимо).

Адрес MMS-прокси, Порт MMS-прокси, MMSC (URI центра MMS): Параметры, связанные с MMS.

Числовой идентификатор оператора (MCC+MNC) и Идентификатор оператора: Поля идентификации оператора.

Настройка постоянного подключения: Должен ли сеанс PDU, активированный этой APN, оставаться постоянно активным. Поддерживается на Android 15 и выше.

Тип MVNO: Тип идентификатора виртуального мобильного оператора.

MTU IPv4 и MTU IPv6: Максимальная единица передачи для маршрутов IPv4/IPv6. Поддерживается на Android 13 и выше.

5. Настройка сотового вещания отключена

Отключена ли настройка сотового вещания.

6. Конфигурация мобильных сетей отключена

Отключена ли настройка мобильных сетей.

7. Роуминг данных отключён

Отключены ли услуги роуминга данных.

8. Исходящие вызовы отключены

Отключены ли исходящие вызовы.

9. SMS отключены

Отключены ли отправка и получение SMS-сообщений.

10. Конфигурация слайсинга сети 5G

Настройте параметры приоритетного сетевого обслуживания, чтобы включить корпоративный слайсинг сети 5G. Вы можете настроить до 5 корпоративных слайсов и назначить приложения определённым сетям для оптимизированной маршрутизации трафика.

10.1. Приоритетная сеть по умолчанию

Идентификатор приоритетной сети по умолчанию для приложений, которых нет в списке приложений, или если у приложения не задана Приоритетная сеть. Для указанного идентификатора сети должна быть конфигурация (если не выбрано Без приоритетной сети).

Примечание. Критические приложения, такие как com.google.android.apps.work.clouddpc и com.google.android.gms, исключены из этого параметра по умолчанию.

10.2. Конфигурации сетевых служб

Используйте Добавить конфигурацию сети, чтобы создать конфигурацию слайса. Вы можете добавить до 5 конфигураций. Каждая конфигурация содержит:

Идентификатор приоритетной сети (назначается автоматически): Идентификатор сети назначается автоматически, и его нельзя изменить.

Возврат к подключению по умолчанию: Разрешён ли возврат к сети по умолчанию для всего устройства. Если это запрещено, приложения не смогут получить доступ в интернет, когда слайс 5G недоступен.

Несоответствующие сети: Могут ли приложения, к которым применяется эта конфигурация, использовать сети, отличные от приоритетного сервиса. Если выбрано Запрещено, параметр Возврат к подключению по умолчанию также должен быть Запрещено. Требуется Android 14 и выше.

Политики - Android

Сеть

В этом разделе вы можете настроить политики, связанные с сетью.

Конфигурации Wi‑Fi могут предоставляться и управляться системой через Конфигурации Wi-Fi. В зависимости от значения параметра Настройка Wi‑Fi пользователи могут иметь ограниченный контроль над добавлением и изменением сетей или не иметь его вовсе.

Состояние радиомодулей устройства

1. Состояние Wi‑Fi

Управляет текущим состоянием Wi‑Fi и тем, может ли пользователь изменить его состояние.

Выбор пользователя (по умолчанию): Пользователю разрешено включать и выключать Wi‑Fi.

Включено: Wi‑Fi включён, и пользователь не может его отключить (Android 13+).

Отключено: Wi‑Fi отключён, и пользователь не может его включить (Android 13+).

2. Минимальный уровень безопасности Wi‑Fi

Минимально требуемый уровень безопасности сетей Wi‑Fi, к которым может подключаться устройство. Поддерживается на Android 13 и выше для полностью управляемых устройств и рабочих профилей на устройствах компании.

Открытая сеть (по умолчанию): Устройство может подключаться ко всем типам сетей Wi‑Fi.

Личная сеть: Запрещает открытые сети Wi‑Fi; требуется как минимум личная безопасность (например, WPA2‑PSK).

Корпоративная сеть: Требуются корпоративные сети EAP; сети Wi‑Fi ниже этого уровня безопасности запрещены.

Корпоративная сеть 192‑бит: Требуются корпоративные сети 192‑бит; самый строгий вариант.

3. Состояние сверхширокополосной связи (UWB)

Управляет состоянием настройки сверхширокополосной связи и тем, может ли пользователь включать или отключать её.

Выбор пользователя (по умолчанию): Пользователю разрешено включать или отключать UWB.

Отключено: UWB отключена, и пользователь не может включать или отключать её через настройки (Android 14+).

Управление подключениями устройства

5. Настройка Wi‑Fi

Управляет правами настройки Wi‑Fi. В зависимости от выбранного варианта пользователь имеет полный, ограниченный контроль или не имеет контроля над настройкой сетей Wi‑Fi.

Разрешить настройку Wi‑Fi (по умолчанию): Пользователю разрешено настраивать Wi‑Fi.

Запретить добавление конфигурации Wi‑Fi: Добавление новых конфигураций Wi‑Fi запрещено. Пользователь может переключаться между уже настроенными сетями (Android 13+; полностью управляемые устройства и рабочие профили на устройствах компании).

Запретить настройку Wi‑Fi: Запрещает настройку сетей Wi‑Fi. На полностью управляемых устройствах это удаляет сети, настроенные пользователем, и оставляет только сети, настроенные через Конфигурации Wi-Fi. В рабочих профилях на устройствах компании существующие сети не затрагиваются, но пользователи не могут добавлять, удалять или изменять сети Wi‑Fi.

Если настройка Wi‑Fi отключена и устройство не может подключиться во время загрузки, система может показать аварийный выход для сети, чтобы пользователь мог временно подключиться и обновить политику.

6. Настройки Wi‑Fi Direct

Управляет настройкой и использованием Wi‑Fi Direct. Поддерживается на устройствах компании под управлением Android 13 и выше.

Разрешить (по умолчанию): Пользователю разрешено использовать Wi‑Fi Direct.

Запретить: Пользователю не разрешено использовать Wi‑Fi Direct.

7. Настройки раздачи интернета

Управляет настройками раздачи интернета. В зависимости от заданного значения пользователю частично или полностью запрещается использовать различные способы раздачи интернета.

Разрешить любую раздачу интернета (по умолчанию): Разрешает настройку и использование всех способов раздачи интернета.

Запретить раздачу интернета по Wi‑Fi: Запрещает пользователю использовать раздачу интернета по Wi‑Fi (устройства компании, Android 13+).

Запретить любую раздачу интернета: Запрещает все способы раздачи интернета (полностью управляемые устройства и рабочие профили на устройствах компании).

8. Политика SSID Wi‑Fi

Ограничения на то, к каким SSID Wi‑Fi может подключаться устройство (это не влияет на то, какие сети можно настроить на устройстве). Поддерживается на устройствах компании под управлением Android 13 и выше.

Список запрещённых SSID (по умолчанию): Устройство не может подключаться к сетям Wi‑Fi, SSID которых указаны в списке, но может подключаться к другим сетям.

Список разрешённых SSID: Устройство может подключаться только к указанным SSID. Список SSID не должен быть пустым.

Используйте Добавить SSID, чтобы добавить записи. В зависимости от выбранного типа политики список интерпретируется как разрешённые или запрещённые SSID.

В интерфейсе редактора политик список SSID обозначен как Разрешённые SSID Wi‑Fi для списков разрешений и Запрещённые SSID Wi‑Fi для списков запретов.

9. Настройки роуминга Wi‑Fi

Настройте режим роуминга Wi‑Fi для каждого SSID. Используйте Добавить настройку роуминга Wi‑Fi, чтобы создать записи.

Каждая запись включает:

SSID: SSID, к которому применяется настройка роуминга (обязательно).

Режим роуминга Wi‑Fi: По умолчанию / Отключено / Агрессивный. Для «Отключено» и «Агрессивный» требуется Android 15+, и они поддерживаются только на полностью управляемых устройствах и в рабочих профилях на устройствах компании.

Сетевые ограничения

10. Bluetooth отключён

Отключён ли Bluetooth. Предпочитайте этот параметр параметру «Конфигурация Bluetooth отключена», поскольку пользователь может обойти отключение конфигурации Bluetooth.

11. Общий доступ к контактам через Bluetooth отключён

Отключён ли общий доступ к контактам через Bluetooth.

12. Конфигурация Bluetooth отключена

Отключена ли настройка Bluetooth.

13. Сброс сетевых настроек отключён

Отключён ли сброс сетевых настроек.

14. Исходящая передача через Beam отключена

Отключена ли передача данных из приложений через NFC Beam.

VPN

15. Приложение Always On VPN

Укажите имя пакета Always On VPN, чтобы данные из указанных управляемых приложений всегда проходили через настроенный VPN.

Примечание. Для этой функции требуется развернуть VPN-клиент, поддерживающий как Always On, так и VPN для отдельных приложений.

16. Блокировка VPN

Запрещает работу сети, когда VPN не подключён.

17. Конфигурация VPN отключена

Отключена ли настройка VPN.

Прокси и сетевые службы

18. Приоритетная сетевая служба

Управляет тем, включена ли приоритетная сетевая служба в рабочем профиле. Например, у организации может быть соглашение с оператором о том, что рабочие данные передаются через сетевую службу оператора, предназначенную для корпоративного использования (например, корпоративный слайс в сетях 5G). Это не влияет на полностью управляемые устройства.

Отключено: Приоритетная сетевая служба отключена в рабочем профиле.

Включено: Приоритетная сетевая служба включена в рабочем профиле.

Если вы используете корпоративный слайсинг сети, также настройте Конфигурация слайсинга сети 5G на панели политики Сотовая связь и назначьте приложения слайсу с помощью их параметра Приоритетная сеть.

19. Рекомендуемый глобальный прокси

Глобальный HTTP-прокси, не зависящий от сети. Обычно прокси следует настраивать для каждой сети в конфигурациях Wi‑Fi. Глобальный прокси может быть полезен для необычных конфигураций, например для общей внутренней фильтрации. Глобальный прокси является лишь рекомендацией, и некоторые приложения могут его игнорировать.

Отключено

Прямой прокси

Автонастройка прокси (PAC)

19.1. Хост

Хост прямого прокси.

19.2. Порт

Порт прямого прокси.

19.3. URI PAC

URI скрипта PAC, используемого для настройки прокси.

19.4. Исключённые хосты

Для прямого прокси — хосты, для которых прокси обходится. Имена хостов могут содержать подстановочные знаки, например *.example.com.

Используйте Добавить исключённый хост, чтобы добавить записи (доступно только для прямого прокси).

Конфигурации Wi‑Fi

Определите конфигурации сети Wi‑Fi, которые система будет применять на устройствах. Используйте Добавить конфигурацию Wi‑Fi, чтобы создать запись, и удалите её действием удаления.

20. Поля конфигурации Wi‑Fi

Каждая конфигурация включает:

Имя конфигурации: обязательно.

SSID: обязательно.

Автоподключение: подключаться ли к сети автоматически, когда она в зоне действия.

Быстрый переход: должен ли клиент пытаться использовать быстрый переход (IEEE 802.11r-2008) при работе с сетью.

Скрытый SSID: будет ли SSID транслироваться.

Режим рандомизации MAC: аппаратный или автоматический (Android 13+).

20.1. Безопасность

Параметры безопасности Wi‑Fi:

WEP‑PSK: WEP (общий ключ).

WPA‑PSK: WPA/WPA2/WPA3-Personal (общий ключ).

WPA‑EAP: WPA/WPA2/WPA3-Enterprise (расширяемый протокол аутентификации).

Режим WPA3 192-бит: сеть WPA‑EAP, разрешающая только режим WPA3 192-бит.

20.2. Парольная фраза (общий ключ)

Отображается, если для безопасности выбран WEP‑PSK или WPA‑PSK. Парольная фраза обязательна.

20.3. Метод EAP (Enterprise)

Отображается, если для безопасности выбран WPA‑EAP или Режим WPA3 192-бит. Выберите один внешний метод EAP:

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. Аутентификация на этапе 2

Отображается для туннелирующих внешних методов (EAP‑TTLS и PEAP).

MSCHAPv2

PAP

20.5. Учётные данные EAP от пользователей

Если включено, система автоматически применяет учётные данные EAP на устройствах для каждого пользователя. Учётные данные пользователей можно настроить в разделе Пользователи.

20.6. Клиентский сертификат

Для EAP‑TLS можно назначить клиентский сертификат, используемый для аутентификации Wi‑Fi. Дополнительные сведения см. на странице Управление сертификатами.

Если сертификат уже назначен, используйте Открыть сертификат, чтобы просмотреть его, или Изменить сертификат, чтобы выбрать другой.

Кроме того, можно указать Псевдоним пары ключей клиентского сертификата, который ссылается на клиентский сертификат, хранящийся в хранилище ключей Android и разрешённый для аутентификации Wi‑Fi.

Если заданы и Клиентский сертификат, и Псевдоним пары ключей клиентского сертификата, псевдоним пары ключей игнорируется.

20.7. Идентификатор

Идентификатор пользователя. Для туннелирующих внешних протоколов (PEAP, EAP‑TTLS) он используется для аутентификации внутри туннеля, а Анонимный идентификатор используется как идентификатор EAP вне туннеля. Для нетуннелирующих внешних протоколов он используется как идентификатор EAP.

20.8. Анонимный идентификатор

Только для туннелирующих протоколов: указывает идентификатор пользователя, предъявляемый внешнему протоколу.

20.9. Пароль

Пароль пользователя. Если не указан, по умолчанию запрашивается у пользователя.

20.10. Сертификаты CA сервера

Список сертификатов CA, используемых для проверки цепочки сертификатов хоста. Должен совпадать хотя бы один сертификат CA. Дополнительные сведения см. на странице Управление сертификатами.

Используйте Добавить сертификат CA сервера, чтобы добавить записи, и удаляйте их действием удаления.

20.11. Совпадения суффиксов домена

Список ограничений для доменного имени сервера. Записи используются как требования совпадения суффикса с DNS-именем (именами) альтернативного имени субъекта сертификата сервера аутентификации.

Политики - Android

Система

В этом разделе можно настроить политики, связанные с системой.

1. Минимальный уровень API

Минимально допустимый уровень API Android.

2. Политика шифрования

Включено ли шифрование.

По умолчанию: это значение игнорируется, то есть шифрование не требуется.

Включено без пароля: шифрование требуется, но пароль для загрузки не требуется.

Включено с паролем: шифрование требуется, и для загрузки требуется пароль.

3. Автоматические дата и время

Включены ли автоматические дата, время и часовой пояс на корпоративном устройстве.

Выбор пользователя (по умолчанию): автоматические дата, время и часовой пояс оставляются на усмотрение пользователя.

Принудительно: принудительно применять автоматические дату, время и часовой пояс на устройстве.

4. Настройки для разработчиков

Управляет доступом к настройкам для разработчиков: параметрам разработчика и безопасной загрузке.

Отключено (по умолчанию): отключает все настройки для разработчиков и запрещает пользователю доступ к ним.

Разрешено: разрешает все настройки для разработчиков. Пользователь может открывать и при необходимости настраивать их.

5. Режим Common Criteria

Управляет режимом Common Criteria — стандартами безопасности, определёнными в Common Criteria for Information Technology Security Evaluation (CC). Включение режима Common Criteria усиливает некоторые компоненты безопасности на устройстве (например: шифрование AES-GCM долговременных ключей Bluetooth, дополнительная проверка некоторых сетевых сертификатов и криптографические проверки целостности политики). Режим Common Criteria поддерживается только на устройствах, принадлежащих компании, под управлением Android 11 или выше. Внимание: режим Common Criteria применяет строгую модель безопасности, обычно требуемую только для особо чувствительных организаций. Обычное использование устройства может быть затронуто; включайте его только при необходимости.

Отключено (по умолчанию): отключает режим Common Criteria.

Включено: включает режим Common Criteria.

6. Memory Tagging Extension (MTE)

Управляет Memory Tagging Extension (MTE) на устройстве.

По выбору пользователя (по умолчанию): пользователь может включить или отключить MTE на устройстве (если устройство это поддерживает).

Принудительно: MTE включено, и пользователь не может это изменить (Android 14+; поддерживается на полностью управляемых устройствах и в рабочих профилях на устройствах, принадлежащих компании).

Отключено: MTE отключено, и пользователь не может это изменить (Android 14+; поддерживается только на полностью управляемых устройствах).

7. Защита содержимого

Управляет тем, включена ли защита содержимого (которая сканирует приложения на предмет обмана). Поддерживается на Android 15 и выше.

Отключено (по умолчанию): защита содержимого отключена, и пользователь не может это изменить.

Принудительно: защита содержимого включена, и пользователь не может это изменить (Android 15+).

По выбору пользователя: защита содержимого не контролируется политикой; пользователь может выбирать (Android 15+).

8. Содержимое ассистента

Управляет тем, разрешено ли отправлять AssistContent привилегированному приложению, такому как приложение-ассистент (например, Circle to Search). AssistContent включает снимки экрана и информацию о приложении, например имя пакета. Поддерживается на Android 15 и выше.

Разрешено (по умолчанию): содержимое ассистента разрешено отправлять привилегированному приложению (Android 15+).

Запрещено: отправка содержимого ассистента привилегированному приложению заблокирована (Android 15+).

9. Создание окон отключено

Отключено ли создание окон помимо окон приложений. Этот параметр запрещает отображение следующих системных интерфейсов: всплывающих уведомлений и снекбаров, телефонных действий (например, входящих вызовов) и приоритетных телефонных действий (например, текущих вызовов), системных предупреждений, системных ошибок и системных наложений.

10. Аварийное сетевое подключение

Включено ли аварийное сетевое подключение. Если при загрузке не удаётся установить сетевое соединение, аварийное подключение предлагает пользователю временно подключиться к сети, чтобы обновить политику устройства. После применения политики временная сеть будет забыта, и устройство продолжит загрузку. Это предотвращает ситуацию, когда подключиться к сети невозможно, если в последней политике нет подходящей сети, а устройство загружается в приложение в режиме блокировки задач, или пользователь иным образом не может открыть настройки устройства.

11. Действия по умолчанию

Список действий по умолчанию для обработки интентов, соответствующих определённому фильтру интентов. Например, эта функция позволит ИТ-администраторам выбирать, какое приложение браузера автоматически открывает веб-ссылки или какое приложение-лаунчер используется при нажатии кнопки «Домой».

Используйте Добавить действие по умолчанию, чтобы создать записи. Внутри записи используйте Добавить действие и Добавить категорию, чтобы построить фильтр интентов.

11.1. Действие-получатель

Действие, которое должно быть обработчиком интентов по умолчанию. Это должно быть имя компонента Android, например com.android.enterprise.app/.MainActivity. Кроме того, значением может быть имя пакета приложения, что заставит Android Device Policy выбрать подходящее действие из приложения для обработки интента.

11.2. Действие

Действия интентов для сопоставления в фильтре. Если в фильтр включены какие-либо действия, то действие интента должно быть одним из этих значений для совпадения. Если действия не включены, действие интента игнорируется.

11.3. Категория

Категории интентов для сопоставления в фильтре. Интент включает категории, которые ему требуются, и все они должны быть включены в фильтр для совпадения. Иными словами, добавление категории в фильтр не влияет на сопоставление, если эта категория не указана в интенте.

12. Разрешённые способы ввода

Указывает разрешённые способы ввода.

Все разрешены: ограничения не применяются. Разрешены все способы ввода.

Только системные: разрешены только встроенные системные способы ввода.

Только системные и указанные: разрешены только указанные и встроенные системные способы ввода.

12.1. Разрешённые способы ввода

Имена пакетов способов ввода, которые разрешены. Применяется только если для параметра Разрешённые способы ввода задано значение Только системные и указанные.

Используйте Добавить способ ввода, чтобы добавить записи, и удаляйте их с помощью действия удаления.

13. Разрешённые службы доступности

Указывает разрешённые службы доступности.

Все разрешены: можно использовать любую службу доступности.

Только системные: можно использовать только встроенные системные службы доступности.

Только системные и указанные: можно использовать только указанные и встроенные системные службы доступности.

13.1. Разрешённые службы доступности

Разрешённые службы доступности. Применяется только если для параметра Разрешённые службы доступности задано значение Только системные и указанные.

Используйте Добавить службу доступности, чтобы добавить записи, и удаляйте их с помощью действия удаления.

14. Политика обновления системы

Конфигурация для управления обновлениями системы.

По умолчанию: следовать стандартному поведению обновления устройства, которое обычно требует, чтобы пользователь принял обновления системы.

Автоматически: устанавливать автоматически, как только появится обновление.

В окне обслуживания: устанавливать автоматически в течение ежедневного окна обслуживания. Это также настраивает обновление приложений Play в пределах окна. Настоятельно рекомендуется для киоск-устройств, поскольку это единственный способ обновления через Play приложений, постоянно закреплённых на переднем плане.

Отложить: отложить автоматическую установку максимум на 30 дней.

14.1. Окно обслуживания (только для режима «В окне обслуживания»)

Если для параметра Политика обновления системы задано значение В окне обслуживания, вы можете определить ежедневное окно обслуживания с помощью полей с и по.

14.2. Периоды заморозки обновлений системы

Ежегодно повторяющийся период, в течение которого обновления системы по воздуху (OTA) откладываются, чтобы зафиксировать версию ОС, работающую на устройстве. Чтобы не замораживать устройство бессрочно, каждый период заморозки должен быть отделён не менее чем 60 днями. Каждый период заморозки не должен превышать 90 дней.

Используйте Добавить период заморозки обновлений системы, чтобы создать записи.

15. Провайдеры учётных данных по умолчанию

Управляет тем, каким приложениям разрешено выступать в роли провайдеров учётных данных на Android 14 и выше.

Запрещено (по умолчанию): приложениям с неуказанным credentialProviderPolicy не разрешено выступать в роли провайдера учётных данных.

Запрещено, кроме системных: приложениям с неуказанным credentialProviderPolicy не разрешено выступать в роли провайдера учётных данных, за исключением провайдеров учётных данных OEM по умолчанию.

Политики - Android

Местоположение и геозоны

Эта панель объединяет настройки политики Android, которые управляют передачей данных о местоположении устройства, принудительным применением местоположения и определениями геозон. Используйте её, если хотите, чтобы Cerberus Enterprise собирал данные о местоположении устройств или определял, когда устройства входят в настроенные зоны или покидают их.

Передача данных о местоположении

Передавать местоположение

Включает передачу геоданных устройства. Данные о местоположении, собранные с помощью этого параметра, используются на карте местоположения на панели управления, в истории местоположений обзора устройства и при обработке геозон.

История местоположений и события геозон хранятся 90 дней, а более старые данные автоматически удаляются каждую ночь. Последнее местоположение каждого зарегистрированного устройства всегда сохраняется, поэтому устройство остаётся на картах.

На устройствах, которые не находятся под полным управлением, данные о местоположении всё равно могут зависеть от наличия у приложения Cerberus Enterprise необходимых разрешений на местоположение и от включения служб геолокации на устройстве.

На личных устройствах Apple (регистрация пользователя) местоположение и геозоны по умолчанию отключены: они доступны, только если в политике Apple включён параметр Местоположение и геозоны на личных устройствах и только если пользователь разрешает определение местоположения для приложения Cerberus Enterprise.

Режим определения местоположения

Управляет настройкой местоположения на устройствах, принадлежащих компании.

Выбор пользователя: службы определения местоположения не ограничиваются политикой.
Принудительно: службы определения местоположения включены на устройстве.
Отключено: службы определения местоположения отключены на устройстве.

Общий доступ к местоположению отключён

Отключает общий доступ к местоположению для рабочих приложений. На устройствах с владельцем профиля это затрагивает рабочий профиль. На полностью управляемых устройствах это отключает определение местоположения для всего устройства и переопределяет режим определения местоположения устройства.

Автоматическое поведение при активных геозонах

Активные геозоны требуют работающей передачи данных о местоположении. Когда активна хотя бы одна геозона, Cerberus Enterprise автоматически поддерживает согласованность соответствующих настроек местоположения.

Передавать местоположение принудительно включается, пока существуют активные геозоны.
Режим определения местоположения принудительно устанавливается в Принудительно.
Общий доступ к местоположению отключён принудительно отключается.

Если вы попытаетесь отключить Передавать местоположение, пока активна одна или несколько геозон, Cerberus Enterprise покажет диалог подтверждения. Если вы продолжите, все активные геозоны в политике будут деактивированы.

Список геозон

Политика может содержать до 10 геозон. Имена геозон должны быть уникальными в пределах политики.

Используйте Добавить геозону, чтобы создать новую запись. Каждая геозона содержит следующие основные поля:

Имя: обязательное и уникальное.
Широта и Долгота: центр области.
Радиус (м): обязательный, от 200 до 10000 метров.
Описание: необязательные заметки для администраторов.
Сообщать о входе и Сообщать о выходе: выберите, какие события перехода должны создаваться.
Активна: включает или отключает геозону без её удаления.

Хотя бы один из параметров Сообщать о входе или Сообщать о выходе должен оставаться включённым для каждой геозоны.

Раньше минимальный радиус составлял 100 метров. Существующие геозоны меньше 200 метров продолжают работать и сохраняются как есть при сохранении политики, даже если вы перемещаете или переименовываете их. Если вы измените их радиус, он должен быть не менее 200 метров.

Инструменты редактирования карты

Каждая карточка геозоны содержит предварительный просмотр области на карте. Вы можете редактировать геометрию с помощью карты или числовых полей.

Нажмите на карту, чтобы переместить центр геозоны, когда редактирование области разблокировано.
Используйте кнопку Текущее местоположение, чтобы центрировать карту на текущем местоположении браузера.
Используйте кнопку Центрировать карту, чтобы восстановить предпочтительную область просмотра для этой геозоны.
Используйте кнопку блокировки, чтобы предотвратить случайные изменения геометрии геозоны.

Где отображаются данные о геозонах

Переходы геозон можно просмотреть на странице Android Обзор устройства на вкладке Геозона панели местоположения. На этой вкладке переходы отображаются на отдельной карте вместе с инструментами фильтрации и списком переходов.

Политики - Android

Управление пользователями

Добавление пользователя отключено

Отключено ли добавление новых пользователей и профилей. Для устройств, где managementMode имеет значение DEVICE_OWNER, это поле игнорируется, и пользователю никогда не разрешается добавлять или удалять пользователей.

Изменение аккаунтов отключено

Отключено ли добавление или удаление аккаунтов.

Настройка учётных данных пользователя отключена

Отключена ли настройка учётных данных пользователя.

Удаление пользователя отключено

Отключено ли удаление других пользователей.

Установка значка пользователя отключена

Отключено ли изменение значка пользователя.

Установка обоев отключена

Отключено ли изменение обоев.

Аутентификация при настройке рабочего аккаунта

Управляет тем, как пользователи проходят аутентификацию при настройке рабочего аккаунта. Этот параметр доступен только для организаций Android, поддерживаемых управляемым доменом Google (Google Workspace).

Во время настройки/регистрации устройства эта политика влияет на то, требуется ли вход в рабочий аккаунт, но параметр Google Admin Console Authenticate Using Google и тип токена регистрации всё равно могут требовать аутентификации.

Для уже зарегистрированных устройств эта политика применяется, только если устройство управляется аккаунтом управляемого Google Play (т. е. зарегистрировано без Authenticate Using Google Enrollment).

Для получения дополнительных сведений и устранения неполадок см. Authenticate Using Google enrollment.

Заблокированные типы аккаунтов

Типы аккаунтов, которыми пользователь не может управлять. Этот параметр не позволяет пользователям устройства добавлять неутверждённые аккаунты.

Используйте Добавить заблокированный тип аккаунта, чтобы добавить один или несколько типов аккаунтов.

Каждая запись содержит поле Тип аккаунта (обязательно). Введите строку, например com.google. Удалите запись с помощью действия удаления.

Политики - Android

Личное использование

При подготовке корпоративного устройства для работы и личного использования можно задать правила, ограничивающие использование устройства пользователем в личных целях вне рабочего профиля.

Этот раздел применяется только к корпоративным устройствам с рабочим профилем. Он не действует на полностью управляемых или личных устройствах.

1. Камера отключена

Отключена ли камера.

2. Захват экрана отключён

Отключён ли захват экрана.

3. Макс. дней с отключённой работой

Определяет, как долго рабочий профиль может оставаться отключённым.

5. Личное пространство

Определяет, разрешено ли личное пространство на устройстве.

6. Режим Play Store

Этот режим определяет, какие приложения разрешены или заблокированы для пользователя в Play Store личного профиля.

Список заблокированных (по умолчанию): доступны все приложения, а любое приложение, которого не должно быть на устройстве, следует явно отметить как Заблокировано в разделе Приложения.

Список разрешённых: в личном профиле разрешено устанавливать только приложения, явно указанные в разделе Приложения с параметром Тип установки, равным Доступно.

7. Приложения

Список приложений, которые должны быть разрешены или заблокированы в личном профиле. Поведение содержимого списка зависит от значения параметра Режим Play Store.

Чтобы добавить новое приложение из Play Store, нажмите значок +.

7.1. Тип установки

Типы поведения при установке, доступные для приложения личного профиля.

Заблокировано: приложение заблокировано и не может быть установлено в личном профиле.

Доступно: приложение доступно для установки в личном профиле.

8. Заблокированные типы аккаунтов

Типы аккаунтов, которыми не может управлять пользователь. Этот параметр не позволяет пользователям устройства добавлять неутверждённые аккаунты в свой личный профиль.

Политики - Android

Межпрофильные политики

Применяется только к устройствам с личным и рабочим профилями.

Копирование и вставка между профилями

Можно ли вставлять текст, скопированный в одном профиле (личном или рабочем), в другой профиль.

Запрещено (по умолчанию): Запрещает пользователям вставлять в личный профиль текст, скопированный в рабочем профиле. Текст, скопированный в личном профиле, можно вставлять в рабочий профиль.

Разрешено: Текст, скопированный в любом профиле, можно вставлять в другой профиль.

Обмен данными между профилями

Можно ли делиться данными из одного профиля (личного или рабочего) с приложениями в другом профиле. В частности, управляет простым обменом данными через intents. Управление другими каналами связи между профилями, такими как поиск контактов, копирование и вставка,
или связанные рабочие и личные приложения, настраивается отдельно.

Запрещено: Запрещает обмен данными как из личного профиля в рабочий, так и из рабочего профиля в личный.

Из рабочего в личный запрещено (по умолчанию): Запрещает пользователям передавать данные из рабочего профиля приложениям в личном профиле. Личными данными можно делиться с рабочими приложениями.

Разрешено: Данными из любого профиля можно делиться с другим профилем.

Виджеты рабочего профиля по умолчанию

Поведение виджетов рабочего профиля по умолчанию. Если для конкретного приложения не задана политика виджетов, применяется значение по умолчанию, указанное здесь.

Функции приложений между профилями

Определяет, могут ли приложения личного профиля вызывать функции приложений рабочего профиля. Требуется Android 16 или выше.

Этот параметр зависит от параметра Функции приложений на уровне политики (в разделе «Управление приложениями»). Если для параметра «Функции приложений» выбрано Запрещено, API отклонит настройку «Функции приложений между профилями», установленную в Разрешено.

Рабочие контакты в личном профиле

Могут ли контакты, хранящиеся в рабочем профиле, отображаться в поиске контактов и при входящих вызовах в личном профиле.

Разрешено (по умолчанию): Позволяет отображать контакты рабочего профиля в личном профиле.

Запрещено: Запрещает личным приложениям получать доступ к контактам рабочего профиля и искать рабочие контакты.

Запрещено, кроме системных: Запрещает большинству личных приложений доступ к контактам рабочего профиля, кроме стандартных приложений OEM «Телефон», «Сообщения» и «Контакты» (Android 14+).

Если настроен параметр «Рабочие контакты в личном профиле», вы можете дополнительно определить список записей Исключённое имя пакета. В зависимости от выбранного режима эти исключения действуют как список разрешённых или запрещённых для личных приложений.

Политики - Android

Отчёты о состоянии

В этом разделе можно настроить, какие данные следует получать с устройства. Данные о состоянии можно просмотреть на странице панели управления Состояние устройства.

Отчёты о приложениях

Включены ли отчёты о приложениях. (Сведения, передаваемые об установленном приложении.)

Этот параметр требуется системой (для интеграции с сопутствующим приложением) и всегда включён; его нельзя отключить.

Включать удалённые приложения

Включаются ли удалённые приложения в отчёты о приложениях.

Настройки устройства

Включены ли отчёты о настройках устройства. (Сведения о связанных с безопасностью настройках устройства.)

Сведения о ПО

Включены ли отчёты со сведениями о ПО. (Сведения о программном обеспечении устройства.)

Сведения о памяти

Включены ли отчёты о памяти. (Событие, связанное с измерениями памяти и хранилища.)

Сведения о сети

Включены ли отчёты со сведениями о сети. (Сведения о сети устройства.)

Сведения о дисплее

Включены ли отчёты о дисплеях. Данные отчётов недоступны для личных устройств с рабочими профилями. (Сведения о дисплее устройства.)

События управления питанием

Включены ли отчёты о событиях управления питанием. Данные отчётов недоступны для личных устройств с рабочими профилями.

Состояние оборудования

Включены ли отчёты о состоянии оборудования. Данные отчётов недоступны для личных устройств с рабочими профилями.

Свойства системы

Включены ли отчёты о свойствах системы.

Режим Common Criteria

Включены ли отчёты о режиме Common Criteria.

Политики - Android

Разное

1. Игра-пасхалка отключена

Отключена ли игра-пасхалка в приложении «Настройки».

2. Пропускать подсказки при первом использовании

Флаг для пропуска подсказок при первом использовании. Администратор предприятия может включить системную рекомендацию, чтобы приложения пропускали обучающую программу и другие вводные подсказки при первом запуске.

3. Короткое сообщение поддержки

Сообщение, отображаемое пользователю на экране настроек везде, где администратор отключил функциональность. Если сообщение длиннее 200 символов, оно может быть усечено.

4. Длинное сообщение поддержки

Сообщение, отображаемое пользователю на экране настроек администраторов устройства.

5. Информация владельца на экране блокировки

Информация о владельце устройства, отображаемая на экране блокировки.

6. Действия при настройке

Действия, выполняемые в процессе настройки. Во время регистрации вы можете потребовать от пользователя открыть одно или несколько приложений, необходимых для настройки устройства.

Используйте Добавить действие настройки, чтобы создать записи, и удаляйте их с помощью действия удаления.

6.1. Запустить приложение

Имя пакета приложения, которое нужно запустить

6.2. Заголовок

Предоставляет сообщение для пользователя, объясняющее, почему приложение необходимо запустить.

6.3. Описание

Предоставляет сообщение для пользователя, объясняющее, почему приложение необходимо запустить.

7. Видимость отображаемого имени предприятия

Управляет тем, видно ли отображаемое имя предприятия на устройстве (например, как сообщение на экране блокировки на устройствах, принадлежащих компании).

Видимо (по умолчанию): Отображаемое имя предприятия видно на устройстве (поддерживается в рабочих профилях на Android 7+ и на полностью управляемых устройствах на Android 8+).

Скрыто: Отображаемое имя предприятия скрыто на устройстве.

Политики - Android

Правила соответствия требованиям

Если устройство или рабочий профиль не соответствует каким-либо из перечисленных ниже параметров политики, Android Device Policy по умолчанию немедленно блокирует использование устройства или рабочего профиля:

Требования к паролю
Политика шифрования
Экран блокировки отключён
Разрешённые способы ввода
Разрешённые службы специальных возможностей

Если устройство или рабочий профиль остаётся несоответствующим в течение 10 дней, Android Device Policy выполнит сброс устройства до заводских настроек или удалит рабочий профиль.

В этом разделе можно переопределить правила применения соответствия по умолчанию или добавить новые.

Правила

Список правил, определяющих поведение, когда конкретная политика не может быть применена к устройству.

Используйте Добавить правило, чтобы создать новое правило. Каждую карточку правила можно удалить действием удаления.

Имя параметра

Политика верхнего уровня, которую нужно применять. Например, Приложения или Требования к паролю.

Обязательно. Значение должно совпадать с поддерживаемым именем политики верхнего уровня; в противном случае поле помечается как недопустимое.

Блокировка через дней

Число дней несоответствия политике до блокировки устройства или рабочего профиля. Чтобы заблокировать доступ немедленно, укажите 0. Значение Блокировка через дней должно быть меньше значения Очистка через дней. Применимо только к корпоративным устройствам.

Допустимый диапазон: 0–300.

Область блокировки

Задаёт область действия блокировки. Применимо только к корпоративным устройствам.

По умолчанию (новое правило): Рабочий профиль.

Рабочий профиль: блокировка применяется только к приложениям в рабочем профиле. Приложения в личном профиле не затрагиваются.

Всё устройство: блокировка применяется ко всему устройству, включая приложения в личном профиле.

Очистка через дней

Число дней несоответствия политике до очистки устройства или рабочего профиля.
Очистка через дней должна быть больше значения Блокировка через дней. Применимо только к корпоративным устройствам.

Обязательно. По умолчанию (новое правило): 1.

Допустимый диапазон: 1–300.

Сохранять защиту от сброса настроек

Сохраняются ли данные защиты от сброса до заводских настроек на устройстве. Этот параметр не применяется к рабочим профилям.

По умолчанию (новое правило): включено.

Политики - Apple

Политики Apple

Политики Apple определяют настройки управления, которые Cerberus Enterprise применяет к устройствам Apple через MDM. Эти настройки задаются в панели управления в редакторе политик Apple.

Перед началом

Для управления устройствами Apple необходимо настроить Apple Management (APNs). При необходимости прочитайте страницу Настройка Apple Management (APNs).

Открытие редактора политик Apple

В панели управления откройте Политики и нажмите Создать новую политику Apple. Чтобы изменить существующую политику Apple, нажмите на её строку в таблице политик.

Структура редактора

Редактор политик Apple состоит из набора раскрывающихся разделов. В верхней части страницы всегда можно изменить:

Имя (обязательно)
Id (только для чтения)
Описание (необязательно)

Разделы политики

Разделы ниже соответствуют панелям, доступным в редакторе политик Apple в настоящее время. При открытии сохранённой политики разделы с изменёнными настройками уже открыты, а остальные остаются закрытыми:

Управление приложениями: настройка ограничений для приложений, управляемых приложений и настроек приложения Cerberus Enterprise.
Киоск и экран «Домой»: режим одного приложения, разрешённые и заблокированные приложения, расположение на экране «Домой», веб-клипы, настройки уведомлений и сообщение на экране блокировки.
Безопасность: управление такими функциями, как автоматическая разблокировка и биометрическая разблокировка.
Настройки кода-пароля: настройка требований к коду-паролю и связанных правил.
Мультимедиа: разрешение или запрет камеры и связанных функций.
Сотовая связь: управление настройками сотовой связи (сотовые данные приложений, eSIM, смена плана) и APN сотовой сети.
Сеть: сети Wi-Fi (включая корпоративные 802.1X), VPN, сертификаты, глобальный прокси, зашифрованный DNS и фильтр веб-содержимого, а также ограничения подключения, такие как AirDrop и Bluetooth.
Система и пользовательский интерфейс: ограничение системных функций, таких как Handoff, имя устройства и экранная заставка.
Обновления ПО: требовать определённую версию ОС к сроку и управлять загрузкой и установкой обновлений.
macOS: Firewall, Gatekeeper, заставка и блокировка, внешние и сетевые накопители, «Общий экран», разрешения конфиденциальности и объекты входа на Mac.
Приложения и сервисы Apple: ограничение приложений и сервисов Apple, таких как iMessage, Game Center и «Локатор».
Siri и Apple Intelligence: ограничение Siri, диктовки и функций Apple Intelligence.
iCloud: разрешать или запрещать отдельные службы iCloud (резервное копирование, синхронизация связки ключей, частный узел и т. д.).
Местоположение и геозоны: области, о входе в которые и выходе из которых сообщают iPhone и iPad с приложением Cerberus Enterprise, для правил событий.
Аккаунты: ограничение изменения аккаунтов и настройка аккаунтов Mail, Exchange, Google, календаря, контактов и каталога.
Правила соответствия требованиям: требования (код-пароль, минимальная версия ОС, управление устройством, FileVault), при несоблюдении которых устройства считаются несоответствующими, с необязательной блокировкой.

Многие параметры в редакторе политик Apple содержат подсказку с описанием требований и поддерживаемых версий ОС.

Сохранение, удаление и связанные устройства

Используйте Сохранить политику, чтобы применить изменения. Кнопка недоступна, если нет несохранённых изменений или срок действия лицензии истёк.

При изменении существующей политики на странице также отображается действие Удалить политику. В нижней части редактора может отображаться список Связанные устройства, чтобы вы видели, сколько устройств сейчас используют политику.

Следующие страницы

Приложения и профили: настройка установленных приложений и профилей конфигурации.
Киоск и экран «Домой»: режим одного приложения, разрешённые приложения, расположение на экране «Домой» и веб-клипы.
Код-пароль: настройка требований к коду-паролю и связанных параметров безопасности.
Ограничения: определение разрешённых функций и ограничений на уровне ОС.
Сеть: сети Wi-Fi, VPN, сертификаты и ограничения подключения.
Обновления ПО: обязательные обновления ОС и настройки обновления ПО.
macOS: Firewall, Gatekeeper, блокировка экрана, накопители, разрешения конфиденциальности и объекты входа на Mac.
Местоположение и геозоны: области, о входе в которые и выходе из которых сообщают iPhone и iPad, и что нужно для их работы.
Аккаунты: аккаунты почты, Exchange, Google, календаря, контактов и каталога.
Правила соответствия требованиям: требования к устройствам и блокировка несоответствующих устройств.

Политики - Apple

Приложения и профили

В этом разделе описано, как настроить управляемые приложения и полезные нагрузки аккаунтов для устройств Apple.

Управление приложениями

Панель Управление приложениями содержит как общие ограничения, связанные с приложениями, так и список управляемых приложений.

Общие ограничения приложений

Разрешить App Clips
Разрешить установку приложений
Разрешить удаление приложений
Разрешить автоматическую загрузку приложений
Разрешить скрытие приложений
Разрешить блокировку приложений
Разрешить встроенные покупки
Разрешить изменение браузера по умолчанию
Разрешить доверие корпоративным приложениям

Управляемые приложения

Используйте Добавить приложение, чтобы добавить приложение в политику. Каждое управляемое приложение отображается в виде карточки. Вы можете развернуть карточку, чтобы изменить её настройки, и удалить приложение с помощью действия удаления.

ID в App Store: идентификатор управляемого приложения в App Store.
Bundle ID: идентификатор пакета приложения.
Поведение при установке: определяет, должно ли приложение оставаться установленным или пользователь может устанавливать и удалять его.
Назначение: тип лицензии, выбираемый Cerberus для каждого устройства: лицензия устройства на корпоративных устройствах, пользовательская лицензия управляемого аккаунта Apple на личных iPhone и iPad (регистрация пользователя). Поле изменить нельзя.
Лицензия VPP: тип лицензии VPP, используемый для установки через App Store.

Список выбора приложений показывает доступные и общие лицензии каждого приложения. Бесплатные приложения показывают Без ограничений: Apple предоставляет для них неограниченное число лицензий. Приложение можно добавить в политику только один раз: приложение с тем же ID в App Store или Bundle ID, что и приложение, уже присутствующее в политике, отклоняется, как и политика, в которой одно и то же приложение указано дважды при сохранении.

Список выбора приложений показывает приложения из вашей библиотеки Apple Business. Чтобы добавить приложение, в Apple Business откройте Apps & Services → Apps & Books → App Store, найдите приложение и нажмите View. Для бесплатного приложения нажмите Add, выберите All current and future (или подразделение вашего токена Apps and Books) в Organizational Units, нажмите Add, затем Review и подтвердите. Для платного приложения нажмите его цену, выберите Managed Licenses как License Type (коды погашения не могут использоваться Cerberus Enterprise), выберите Organizational Unit вашего токена Apps and Books, введите количество Licenses (до 1 000 за заказ), затем Review и купите. Сначала нужно настроить способ оплаты в Settings → Payments & Billing → Apps & Services → Payment Methods. После этого приложения появятся в списке выбора приложений.

Приложения на личных устройствах (регистрация пользователя)

Личные iPhone и iPad, зарегистрированные с помощью регистрации пользователя, не имеют серийного номера, поэтому они получают приложения App Store из политики с пользовательской лицензией управляемого аккаунта Apple, в который выполнен вход на устройстве. Cerberus регистрирует аккаунт в Apps and Books и сам назначает лицензии, включая бесплатные приложения. Управляемые аккаунты Apple и токен Apps and Books должны принадлежать одной организации Apple Business. Платное приложение использует одну лицензию на аккаунт, общую для всех личных устройств этого аккаунта.

Ожидание пользовательской лицензии: приложение отправляется на устройство только после того, как Apple подтвердит его лицензию, обычно в течение нескольких минут. Панель Приложения устройства показывает причину.
Не удалось получить пользовательскую лицензию: Apple не смогла назначить лицензию, например потому что у платного приложения не осталось лицензий. Добавьте лицензии в Apple Business, затем используйте Запросить снова; Cerberus также повторяет попытку самостоятельно каждый день.
Запрос на установку: iOS спрашивает пользователя перед установкой каждого приложения. Если пользователь отменяет, приложение показывает Ожидание подтверждения установки пользователем; Запросить снова снова показывает запрос.
Освобождение: удаление приложения из политики или отмена регистрации последнего личного устройства аккаунта удаляет приложение и освобождает его лицензию, если только другое зарегистрированное устройство того же аккаунта всё ещё не нуждается в ней.

Подробнее см. в разделе Регистрация Apple на основе аккаунта.

Управляемая конфигурация

Управляемая конфигурация передаёт приложению его настройки (например, адрес сервера или имя аккаунта) так, как их описывает поставщик приложения. Откройте приложение в политике и нажмите Добавить управляемую конфигурацию. Она отправляется на iPhone и iPad с iOS или iPadOS 18.4 или новее и на Mac с macOS 27 или новее; на Apple Vision Pro она пока не отправляется. Приложение должно поддерживать управляемую конфигурацию: приложение, которое её не читает, игнорирует её. Панель приложения показывает количество ключей рядом с названием приложения.

Ключи: каждая строка содержит ключ, тип и значение. Типы: текст, целое число, десятичное число, логическое значение, дата, список текста и список целых чисел. Ключи чувствительны к регистру и должны быть уникальными. Добавить ключ добавляет строку; Удалить конфигурацию удаляет все ключи.
Переменные: значения типа «текст» и «список текста» могут содержать $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$, которые заменяются значениями каждого устройства и его пользователя. Переменная без значения (например, $EMAIL$ на устройстве без пользователя) остаётся пустой, и в системных журналах это указывается. Когда данные пользователя меняются, устройства получают новые значения; для пользователей, синхронизированных из Google Directory, значения обновляются при следующем изменении политики или устройства.
Импорт конфигурации: откройте или вставьте файл, который поставщик приложения публикует для MDM, затем нажмите Читать. Спецификация AppConfig (specfile.xml) перечисляет все ключи, поддерживаемые приложением, с описанием, типом, значением по умолчанию и допустимыми значениями: выберите ключи для импорта (ключи со значением по умолчанию уже выбраны) и заполните остальные после импорта. Появляется предупреждение, если спецификация относится к другому приложению. Список свойств (весь список свойств или только его <dict>) импортируется как есть. Затем выберите, заменить текущие ключи или добавить к ним. Вложенные словари, значения данных и списки со смешанными или неизвестными типами не поддерживаются и перечисляются как пропущенные. Apple не публикует ключи конфигурации приложений, поэтому запросите файл у поставщика, если его нет в их документации. Копировать как plist копирует конфигурацию в том виде, в каком её получает устройство, до замены переменных.
Ограничения: до 200 ключей на приложение; ключи до 255 символов; текстовые значения до 4 096 символов; списки до 200 элементов по 1 024 символа каждый; даты с 1970 по 9999 год; всего 64 КБ на приложение.
Не для паролей: конфигурация отправляется только на устройство, для которого она создана, а журналы показывают только имена ключей и типы, но администраторы панели управления могут читать значения, а адрес, с которого устройство загружает конфигурацию, меняется в зависимости от значений, поэтому легко угадываемое значение (логическое или небольшое число) можно из него вывести. Не помещайте пароли и другие секреты в управляемую конфигурацию.
Состояние: когда устройство сообщает, что приложение не приняло свою конфигурацию, панель «Приложения» устройства показывает Конфигурация не принята рядом с приложением. Это не делает устройство несоответствующим требованиям. Конфигурация, которую устройство не может загрузить, делает его несоответствующим требованиям.

Параметры приложения

У каждого приложения политики (из App Store и пользовательских приложений) есть эти параметры. По умолчанию на устройстве оставляет выбор устройству. Устройства, которые не поддерживают параметр, не получают его; приложение всё равно устанавливается.

Автоматические обновления: параметр App Store, «Всегда» или «Никогда». iOS, iPadOS, macOS и visionOS 26 или новее. Для пользовательских приложений параметр App Store работает как «Никогда».
Загрузки через сотовую сеть: параметр App Store, «Всегда» или «Никогда», для автоматических установок и обновлений. Только на контролируемых iPhone и iPad с iOS или iPadOS 26 или новее.
Резервное копирование данных приложения: включаются ли данные приложения в резервные копии устройства. Не на Mac.
Пользователь может скрыть приложение и Пользователь может заблокировать приложение: iOS и iPadOS 18.1 или новее, применяется на контролируемых устройствах. Запрет блокировки также предотвращает скрытие. Ограничения Разрешить скрытие приложений и Разрешить блокировку приложений применяются ко всем приложениям.
Блокировать устройство после транзакций Tap to Pay, требующих PIN клиента: только iPhone.
Связанные домены: домены, с которыми связано приложение (например, для универсальных ссылок или автозаполнения паролей), до 50. Вводите простые имена хостов, например www.example.com, без applinks:, шаблонов и ?mode=. Не на Mac.
Проверять домены напрямую: устройство проверяет файл связи сайта доменов напрямую, а не через серверы Apple. Включайте это только для внутренних доменов, недоступных из интернета.
Удаление: приложения, установленные как Обязательные, не могут быть удалены пользователем.

Приложения Mac App Store

Список выбора приложений показывает платформы каждого приложения (iPhone/iPad, Mac, Apple TV, Vision); приложение, существующее только для Mac, показывает значок Mac. Приложение, существующее только для Mac, применяется к Mac при добавлении. Приложение App Store без версии для Mac не отправляется на Mac: политика показывает «У этого приложения нет версии для Mac: оно не отправляется на Mac» в разделе Применяется к. Mac получают приложения App Store по их ID в App Store, поэтому приложения с другим Bundle ID на Mac устанавливаются правильно.

Приложение Cerberus Enterprise

Cerberus устанавливает своё приложение Cerberus Enterprise на каждый iPhone и iPad с iOS или iPadOS 18.4 или новее, с политикой или без неё. Приложение передаёт местоположение устройства и получает уведомления и запросы отслеживания в реальном времени. Оно устанавливается как Обязательное с лицензией устройства из Apps and Books (на личных устройствах — пользовательской лицензией), поэтому пользователь не может его удалить.

One-time setup: добавьте бесплатное приложение в библиотеку один раз. В Apple Business откройте Apps & Services → Apps & Books → App Store, найдите «Cerberus Enterprise», нажмите View, затем Add, выберите All current and future в Organizational Units, нажмите Add, затем Review и подтвердите. Если приложение показывает Manage, оно уже есть в вашей библиотеке: откройте его и проверьте, что его подразделения — All current and future units. До этого панель управления показывает баннер, а на устройствах приложение отображается как не установленное. См. Account settings.
Не в политиках: приложение нельзя добавить в политику. Оно отключено в списке выбора приложений и отклоняется как пользовательское приложение (тот же Bundle ID). Политика, в которой оно уже указано, удаляет эту запись при открытии: сохраните политику для подтверждения.
Не устанавливается на: устройства с iOS или iPadOS старше 18.4. Установка на Shared iPad поддерживается, но функции приложения там не проверены.
Личные устройства: на iPhone и iPad, зарегистрированных с помощью регистрации пользователя, приложение также устанавливается — с запросом на установку и пользовательской лицензией управляемого аккаунта Apple. Оно получает сообщения от вашей организации и не получает доступ к местоположению, если в политике не включён параметр Местоположение и геозоны на личных устройствах и пользователь это не разрешит.
Остаётся установленным: если срок действия токена Apps and Books истекает или приложение покидает вашу библиотеку, приложение остаётся на устройствах, а страница устройства сообщает, что Apps and Books требует внимания. Оно удаляется, только если приложение по-прежнему отсутствует в вашей библиотеке через 24 часа.

Пользовательские приложения

Пользовательские приложения — это ваши собственные приложения для iPhone и iPad (файлы .ipa), распространяемые без App Store. В Xcode экспортируйте приложение для распространения Enterprise (Apple Developer Enterprise Program: оно устанавливается на каждое устройство) или Ad Hoc (оно устанавливается только на устройства, зарегистрированные в его профиле обеспечения). Сборки App Store загрузить нельзя.

Нажмите Добавить пользовательское приложение, чтобы открыть пользовательские приложения вашей организации. Загрузить приложение добавляет файл .ipa (до 2 ГБ). Выберите приложение и нажмите Добавить в политику. Список показывает версию, тип подписи, количество устройств в профиле ad hoc приложений и дату истечения срока действия профиля обеспечения.

Новая версия: загрузите приложение с тем же Bundle ID. Оно заменяет предыдущую версию, и устройства из политик, которые его используют, обновляют приложение.
Требования: iPhone и iPad с iOS 17.2 или новее. Устройства, которые не могут установить приложение, не получают его: приложение только для iPad на iPhone, более старая версия iOS, чем требуется приложению, устройство, которого нет в профиле ad hoc приложения, или истёкший профиль обеспечения.
Истечение срока: когда срок действия профиля обеспечения истекает, приложение больше не открывается. Загрузите версию, подписанную новым профилем, до даты истечения срока.
Зарезервированный Bundle ID: пользовательское приложение с Bundle ID приложения Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) нельзя добавить в политику, потому что Cerberus устанавливает это приложение сам.
Удаление: сначала удалите приложение из его политик; затем устройства удалят его.

Пакеты Mac

Пользовательские приложения также принимают установочные пакеты Mac (файлы .pkg). Пакет должен быть дистрибутивным пакетом, собранным с помощью productbuild (компонентный пакет, созданный только с помощью pkgbuild, отклоняется), и подписан сертификатом Developer ID Installer. Рекомендуется нотаризовать его и прикрепить билет (notarytool и stapler). Неподписанные пакеты, пакеты, изменённые после подписания, и пакеты, подписанные другими сертификатами, отклоняются.

Загрузите файл .pkg с помощью Загрузить приложение и добавьте его в политику: он появится в разделе Пакеты Mac. iPhone и iPad игнорируют его.

Mac с macOS 26 или новее (под надзором, что включает Mac, зарегистрированные вручную, но не User Enrollment) получают пакет как объявление: Mac сам скачивает, устанавливает, повторяет попытки и обновляет его и сообщает своё состояние. Более старые Mac, а также пакеты, установленные как управляемые приложения, получают его с помощью команды MDM в любой версии macOS. Mac, обновлённый до macOS 26, сам переходит на объявление; он может установить каждый пакет ещё раз. То же может произойти, когда Mac переходит в другую политику с тем же пакетом.

Новая версия: загрузите пакет с тем же идентификатором пакета. Он заменяет предыдущую версию, и Mac политик, которые его используют, устанавливают новую.
Пропущенные Mac: Mac с более старой версией macOS, чем допускает пакет, и Intel Mac для пакетов, собранных только для Apple silicon. На странице устройства пакет отображается как «Пропущен» с указанием причины; ранее установленная версия остаётся на Mac.
Установка: Обязательно (по умолчанию) устанавливает пакет на Mac; Необязательно делает пакет доступным на Mac без его установки. macOS 26 не показывает необязательные пакеты пользователю в «Системных настройках» или App Store (проверено на macOS 26.3), поэтому приложение или скрипт на Mac должен их установить; выбирайте «Необязательно», только если он у вас есть. Это применяется к Mac с macOS 26 или новее; более старые Mac всегда устанавливают пакет. Выбор недоступен для пакетов, установленных как управляемые приложения.
Удалять файлы пакета при его удалении из политики (macOS 27 или новее): когда пакет удаляется из политики, Mac с macOS 27 или новее удаляют установленные им файлы. По умолчанию выключено. На более старых Mac файлы остаются. Недоступно для пакетов, установленных как управляемые приложения.
Установить как управляемое приложение: включите его для пакета политики, чтобы установить его приложение как управляемое (macOS 11 или новее, не при пользовательской регистрации). Тогда macOS сообщает о сбое установки, и MDM может удалить приложение. Приложение должно быть установлено непосредственно в папку Applications, подписано сертификатом Developer ID Application и нотаризовано; на macOS с 11 по 13 пакет должен содержать только это приложение (без других файлов или скриптов). Пользовательские приложения показывают, какие пакеты подходят. Если параметр нельзя применить на Mac, пакет устанавливается там как обычно, а на странице устройства указывается причина.
Параметры удаления управляемого приложения: Удалить приложение, когда пакет удаляется из политики (включено по умолчанию) и Удалить приложение, когда Mac выходит из управления. Удаление приложения также удаляет его данные. Если пользователь уже установил то же приложение, эта копия становится управляемой и тоже удаляется.
Удаление: команда MDM не может удалить пакет. Для пакета, установленного как управляемое приложение, удаление из политики удаляет приложение (если параметр включён); его остальные файлы и квитанция пакета остаются. Пакеты с включённым параметром Удалять файлы пакета удаляются с Mac под управлением macOS 27 или новее. Другие пакеты: удаление из политики только прекращает новые установки, файлы остаются на Mac. Mac, который пропущен (например, после новой версии, требующей более новой macOS), сохраняет приложение, пока пакет в политике; удаление пакета из политики тогда тоже удаляет его. Удалите оставшиеся файлы на Mac (например, с помощью собственного деинсталлятора пакета) и выполните sudo pkgutil --forget <identifier>, чтобы удалить квитанцию пакета.
Состояние на устройстве: панель «Приложения» на Mac показывает каждый пакет политики как «В очереди», «Принят» (Mac принял команду), «Загружен», «Установлен» (только для пакетов, содержащих приложения, когда приложения найдены на Mac) или «Сбой» (с ошибкой). macOS не сообщает об установке пакета, отправленного командой, поэтому «Загружен» — последнее состояние для пакетов без приложений. Пакет, установленный как управляемое приложение, также переходит в «Сбой», когда macOS сообщает, что приложение не удалось установить или оно было удалено с Mac. Установить снова снова отправляет пакет на Mac.
Состояние с объявлением: пакеты, доставленные как объявление, показывают метку Объявление и состояние, которое сообщает Mac: «В очереди», «Доступен» (необязательный пакет, который пользователь не установил), «Ожидание пользователя», «Загрузка», «Установка», «Установлен» или «Сбой» (с причиной, например неудачная загрузка или установка либо объявление, которое Mac отклонил). Метка Файлы удалены вместе с политикой отмечает пакеты, файлы которых Mac с macOS 27 удаляет, когда они покидают политику. Установить снова появляется только после сбоя и просит Mac повторить попытку; он не предлагается, когда Mac отклонил объявление.

Аккаунты

Панель Аккаунты позволяет настроить аккаунты, применяемые к управляемым устройствам. Она также включает переключатель ограничения на изменение аккаунтов.

Ограничение

Разрешить изменение аккаунтов: если выключено, пользователи не могут изменять такие аккаунты, как Apple Account и интернет-аккаунты.

Добавление аккаунтов

Используйте Добавить аккаунт Google или Добавить почтовый аккаунт, чтобы добавить конфигурации аккаунтов в политику. Каждый аккаунт отображается в виде карточки с полями конфигурации.

Учётные данные аккаунтов от пользователей

Карточки аккаунтов Google и Mail предоставляют переключатель Учётные данные аккаунтов от пользователей. Когда он включён, система применяет учётные данные аккаунта отдельно для каждого пользователя. Когда он выключен, вы вводите идентификатор аккаунта в политике.

Поля аккаунта Google

Отображаемое имя: имя, которое отображается пользователю для аккаунта.
Адрес электронной почты Google: адрес электронной почты пользователя.
Полное имя: полное имя пользователя.

Поля почтового аккаунта

Почтовые аккаунты включают поля идентификации, а также конфигурацию серверов входящей и исходящей почты. Имена хостов обязательны.

Отображаемое имя: имя, которое отображается пользователю для почтового аккаунта.
Адрес электронной почты: адрес электронной почты пользователя.
Полное имя: полное имя пользователя.

Сервер входящей почты

Тип сервера: почтовый протокол (например, IMAP или POP).
Метод аутентификации: метод аутентификации для сервера.
Префикс пути IMAP: отображается только когда «Тип сервера» — IMAP.
Имя хоста: обязательно.
Порт: порт сервера (1–65535).

Сервер исходящей почты

Метод аутентификации
Имя хоста: обязательно.
Порт: порт сервера (1–65535).

Параметры S/MIME

Для почтовых аккаунтов вы также можете настроить шифрование и подписывание S/MIME.

Шифрование

Шифрование S/MIME
Идентификатор переопределяется пользователем
Переключатель для каждого сообщения включён
Переопределяется пользователем

Подписывание

Подписывание S/MIME
Идентификатор переопределяется пользователем
Переопределяется пользователем

Параметры аккаунтов и ограничений включают в панели управления подсказки с описанием предварительных требований и поддерживаемых версий ОС.

Политики - Apple

Киоск и экран «Домой»

Раздел Киоск и экран «Домой» редактора политик Apple блокирует устройства на одном приложении, выбирает, какие приложения можно открывать, упорядочивает экран «Домой» и добавляет значки веб-сайтов. Каждый параметр устанавливается на устройства как профиль конфигурации.

Apple применяет большинство этих параметров только к iPhone и iPad под наблюдением (устройствам, зарегистрированным с помощью Automated Device Enrollment или подготовленным с помощью Apple Configurator). Другие устройства их не получают. Веб-клипы также работают на iPhone и iPad без наблюдения. На Mac ни один из этих параметров не применяется.

Выбор приложений

Приложения идентифицируются по их bundle ID. Введите название приложения, чтобы выбрать его из встроенных приложений Apple и приложений политики, или введите любой bundle ID, например com.example.app.

Режим одного приложения

Устройство запускает только выбранное приложение: пользователи не могут вернуться на экран «Домой» или открыть другие приложения. Сначала установите приложение с помощью политики. Устройство выходит из режима одного приложения, когда вы выключаете параметр или удаляете приложение.

Параметры: отключите сенсорный экран, поворот экрана, кнопки громкости, переключатель «Звонок/Без звука», боковую кнопку или автоблокировку и включите функции доступности, такие как VoiceOver или Zoom.
Функции доступности, которые может включить пользователь: функции, которые пользователь может включить тройным нажатием боковой кнопки.

Разрешённые и заблокированные приложения

Заблокированные приложения: устройства скрывают эти приложения и не открывают их. com.apple.webapp блокирует все веб-клипы. Настройки и, на iPhone, «Телефон» заблокировать нельзя.
Разрешить только некоторые приложения: устройства показывают только эти приложения. Оставьте список пустым, чтобы разрешить все приложения. Приложения политики добавляет приложения, установленные политикой; com.apple.webapp разрешает все веб-клипы.
Приложения, которые могут запускать режим одного приложения: приложения, которые могут блокировать устройство на себе, пока им это нужно, например во время экзамена.

При использовании параметра Разрешить только некоторые приложения каждое приложение, которого нет в списке, исчезает с устройств, включая приложения политики. «Настройки» и, на iPhone, «Телефон» всегда остаются.

Раскладка экрана «Домой»

Упорядочьте Dock и страницы экрана «Домой». Добавляйте приложения, папки приложений и веб-клипы политики, выбирая место с помощью Добавить в, и перетаскивайте значки, чтобы перемещать их между Dock и страницами. Нажмите на папку, чтобы изменить её имя и приложения.

Пользователи не могут перемещать значки или удалять приложения с экрана «Домой». Приложения, которых нет в раскладке, попадают на страницы после определённых вами. iPhone показывает четыре значка в Dock. Пользователи по-прежнему могут удалять приложения, не являющиеся обязательными, на экране хранилища в «Настройках». Чтобы этого не было, выключите Разрешить удаление приложений в разделе «Управление приложениями».

Веб-клипы

Веб-клип — это значок на экране «Домой», который открывает веб-сайт. Задайте название и URL, а также при необходимости изображение (PNG или JPEG, обрезанное до квадрата).

Пользователи могут удалить его: выключите, чтобы значок оставался на устройствах.
Полный экран: веб-сайт открывается как веб-приложение, без адресной строки Safari. Оставаться в полноэкранном режиме на других веб-сайтах также открывает ссылки на другие веб-сайты в веб-приложении.
Открывать в этом приложении: приложение, которое открывает URL вместо Safari.

Настройки уведомлений

Выберите, как устройства показывают уведомления некоторых приложений: разрешены ли они, где они появляются (экран блокировки, Центр уведомлений, CarPlay), значки, звуки, критически важные оповещения, стиль баннеров, группировку и предварительный просмотр. Пользователи не могут изменять эти настройки.

Сообщение на экране блокировки

Сообщение, отображаемое в нижней части экрана блокировки, например кому позвонить, если устройство найдено, и инвентарная метка. Оба могут содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$: переменная без значения для устройства остаётся пустой.

Политики - Apple

Код-пароль

Раздел Настройки код-пароля управляет требованиями к код-паролю устройства и связанными правилами безопасности (например, минимальной длиной и сложностью). На Mac (macOS 13 или новее, не с User Enrollment) правила применяются к паролю для входа пользователей.

Параметры

В редакторе политик Apple параметры кода доступа настраиваются с помощью переключателей и числовых полей. Многие поля содержат подсказки с указанием поддерживаемых версий ОС и требований к надзору.

Переключатели кода доступа

Изменить при следующей аутентификации: принудительно сбросить код доступа при следующей аутентификации пользователя.
Требовать буквенно-цифровой код доступа: требовать хотя бы один буквенный символ и одну цифру.
Требовать сложный код доступа: требовать «сложный» код доступа (без повторяющихся/последовательных шаблонов и хотя бы с одним небуквенно-цифровым символом).
Требовать код доступа: требовать код доступа без дополнительных требований к длине и качеству. Примечание: установка других ключей кода доступа неявно требует код доступа.

Числовые поля

Сброс неудачных попыток (минуты): минуты до сброса счётчика неудачных попыток (требуется параметр «Максимум неудачных попыток»).
Максимальное число неудачных попыток: количество неудачных попыток, разрешённых до стирания iPhone или iPad либо до блокировки Mac (диапазон: 2–11).
Максимальный льготный период (минуты): сколько времени устройство может оставаться разблокированным без запроса кода доступа (0 = нет).
Максимальное время бездействия (минуты): время бездействия до блокировки устройства (диапазон: 0–15).
Максимальный срок действия кода доступа (дни): максимальный срок действия кода доступа до принудительной смены (диапазон: 0–730).
Минимум сложных символов: минимальное количество «сложных» символов (диапазон: 0–4).
Минимальная длина: минимальная длина кода доступа (диапазон: 0–16).
Лимит повторного использования кода доступа: длина истории кодов доступа для предотвращения повторного использования старых кодов (диапазон: 1–50).

Политики - Apple

Ограничения

Разделы «Ограничения» управляют тем, какие функции ОС разрешены на управляемых устройствах Apple. В редакторе политик Apple эти параметры представлены в виде сгруппированных панелей с несколькими переключателями.

Переключатели панелей Управление приложениями и Сеть описаны на страницах Приложения и профили и Сеть политик Apple.

Многие ограничения поддерживаются только в определённых версиях ОС и могут требовать устройства под надзором. Используйте подсказки в панели управления для получения точных требований.

На устройствах User Enrollment (личных устройствах, зарегистрированных входом с рабочей учётной записью) не отправляются ограничения, которые Apple там не разрешает. Если ни одно из ограничений политики не применяется, эти устройства не получают профиль ограничений. Редактор политик показывает, сколько ограничений не применяется к устройствам User Enrollment.

Безопасность

Разрешить автоматическую разблокировку
Разрешить разблокировку по отпечатку пальца
Разрешить изменение отпечатка пальца
Разрешить стирание содержимого и настроек
Разрешить включение ограничений
Разрешить установку профилей пользователями
Разрешить сопряжение с хостом
Разрешить отправку диагностических данных
Разрешить изменение отправки диагностических данных
Разрешить персонализированную рекламу Apple
Разрешить изменение Remote Management

Мультимедиа

Разрешить камеру
Разрешить изменение общего доступа к файлам
Разрешить доступ приложения «Файлы» к USB-накопителям
Разрешить запись звонков
Разрешить AirPrint
Разрешить сохранение учётных данных AirPrint
Разрешить обнаружение iBeacon для AirPrint

Сотовая связь

Разрешить изменение сотовых данных приложений
Разрешить изменение сотового плана
Разрешить изменение eSIM
Разрешить исходящую передачу eSIM
Сохранять eSIM при стирании устройства
Разрешить фоновое обновление в роуминге

APN сотовой сети

APN сотовой сети задаёт имя точки доступа (APN), которое предоставил ваш оператор, например для частной или корпоративной мобильной сети. Задайте имя точки доступа и, если оператор требует, аутентификацию (PAP или CHAP), имя пользователя (переменные, такие как $EMAIL$, разрешены), пароль, версии IP (также при роуминге), прокси-сервер с его портом и XLAT464. Включайте Attach APN только если оператор предоставляет отдельный APN для подключения к сети.

Его получают только iPhone и iPad с сотовой связью, в том числе без надзора. Устройства, зарегистрированные с User Enrollment (личные устройства), его не получают.
Это применяется только к SIM-карте, используемой для сотовых данных. Устройство, на котором уже установлен профиль APN другим способом, не устанавливает его.
Пароль защищён так же, как другие сетевые пароли: профиль отправляется только на устройство, для которого он создан, а пароль не записывается в журналы.

Неверный APN может оставить устройства без сотовых данных: сначала опробуйте настройки на тестовом устройстве с SIM-картой оператора.

Система и пользовательский интерфейс

Разрешить Handoff
Разрешить автокоррекцию
Разрешить автоматическое затемнение
Разрешить автоматическую экранную заставку
Разрешить клавиатуру QuickPath
Разрешить поиск определений
Разрешить изменение имени устройства
Разрешить сон устройства
Разрешить iPhone Mirroring
Разрешить виджеты iPhone на Mac
Разрешить сочетания клавиш

Приложения и сервисы Apple

Разрешить iMessage
Разрешить Game Center
Разрешить добавление друзей Game Center
Разрешить функцию «Локатор» для устройства
Разрешить «Локатор» для друзей
Разрешить изменение «Локатор» для друзей
Разрешить Book Store
Разрешить эротику в Book Store
Разрешить резервное копирование корпоративных книг
Разрешить синхронизацию метаданных корпоративных книг
Разрешить iTunes Store
Разрешить контент для взрослых

Siri и Apple Intelligence

Разрешить Siri
Разрешить контент, созданный пользователями Siri
Разрешить Siri на заблокированном устройстве
Разрешить диктовку
Разрешить интеграции внешнего интеллекта
Разрешить вход во внешний интеллект
Разрешить Genmoji
Разрешить Image Playground
Разрешить Image Wand

iCloud

Разрешить адресную книгу iCloud
Разрешить резервное копирование iCloud
Разрешить закладки iCloud
Разрешить календарь iCloud
Разрешить рабочий стол и документы iCloud
Разрешить синхронизацию документов iCloud
Разрешить iCloud Freeform
Разрешить синхронизацию связки ключей iCloud
Разрешить iCloud Mail
Разрешить заметки iCloud
Разрешить медиатеку iCloud
Разрешить частный узел iCloud
Разрешить напоминания iCloud

Аккаунты (ограничение)

Панель «Аккаунты» содержит ограничение и (необязательно) конфигурацию аккаунтов. Переключатель ограничения определяет, может ли пользователь изменять системные аккаунты.

Разрешить изменение аккаунтов

Политики - Apple

Сеть

Раздел Сеть редактора политик Apple настраивает сети Wi-Fi и VPN на устройствах, устанавливает сертификаты и ограничивает функции подключения, такие как AirDrop и Bluetooth. Каждая сеть Wi-Fi, VPN и сертификат устанавливаются как отдельный профиль конфигурации, который можно увидеть на устройстве в разделе Настройки > Основные > VPN и управление устройством (Mac: Системные настройки > Основные > Управление устройством, или Конфиденциальность и безопасность > Профили в macOS 13 и 14) и на панели Профили, сертификаты и безопасность страницы устройства.

Сертификаты берутся со страницы Сертификаты: сначала импортируйте их там. Политика только ссылается на них, поэтому сертификат никогда не копируется в политику.

Ограничения

Разрешить AirDrop
Разрешить входящие запросы AirPlay
Разрешить изменение Bluetooth
Разрешить изменение общего доступа по Bluetooth
Разрешить доступ приложения «Файлы» к сетевым дискам
Разрешить изменение общего доступа к интернету
Разрешить кэширование содержимого
Разрешить общий доступ к файлам iTunes

Сети Wi-Fi

Нажмите Добавить сеть Wi-Fi и заполните:

Имя сети (SSID): имя сети, до 32 символов.
Безопасность: нет (открытая сеть), WEP, WPA или WPA2, WPA2 или WPA3, только WPA3 или любая.
Пароль: пароль личной сети.
Подключаться автоматически и Скрытая сеть (для сетей, которые не транслируют своё имя).
Прокси: нет, вручную (сервер и порт) или автоматически (URL файла PAC; пусто — чтобы найти настройки в сети с помощью WPAD).
Имя профиля (необязательно) и Применяется к, чтобы ограничить сеть определёнными типами устройств.

Корпоративные сети (802.1X)

Включите Корпоративная сеть (802.1X), когда пользователи аутентифицируются по своим учётным данным или сертификату вместо общего пароля.

Аутентификация: PEAP, TTLS (с внутренней аутентификацией, например MSCHAPv2) или TLS (только сертификат).
Учётные данные пользователя устройства: каждое устройство использует EAP-идентификатор, анонимный идентификатор и пароль своего пользователя, заданные на странице «Пользователи». Устройства без пользователя не получают сеть.
Идентификатор, Анонимный идентификатор и Пароль: одинаковые для каждого устройства. Идентификатор может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$. Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве.
Сертификат идентификации: клиентский сертификат, который представляет устройство (обязателен для TLS). См. параметры сертификатов ниже.
Доверенные сертификаты: сертификаты CA, которые выпустили сертификат вашего сервера RADIUS. Они устанавливаются вместе с сетью.
Доверенные имена серверов: имена сертификатов сервера RADIUS, которые принимают устройства, например radius.example.com или *.example.com.

VPN

Нажмите Добавить VPN, чтобы настроить VPN IKEv2 или Cisco IPSec, встроенный в iOS, iPadOS и macOS (приложение VPN не требуется).

Тип и Сервер. Для IKEv2 также Удалённый идентификатор (идентификатор сервера; пусто означает адрес сервера) и Локальный идентификатор, который может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$.
Аутентификация устройства: сертификат (со страницы «Сертификаты», сертификат пользователя устройства или запрошенный у сервера SCEP), общий секрет (с необязательным именем группы для IPSec) или ничего для серверов IKEv2, которые проверяют только имя пользователя и пароль.
Доверенные сертификаты: сертификаты CA вашего VPN-сервера, устанавливаемые вместе с VPN. Для IKEv2 вы также можете задать ожидаемые издателя и имя сертификата сервера.
Имя пользователя и пароль: пользователь также аутентифицируется по имени пользователя (переменные разрешены) и паролю (EAP для IKEv2, XAuth для IPSec). Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве.
Имя VPN (отображается в «Настройках») и Применяется к.

Подключение

Пользователь подключается в «Настройках»: VPN установлен, и пользователь включает его при необходимости.
По требованию: устройство подключает VPN автоматически. С параметром кроме доверенных сетей Wi-Fi VPN не используется в перечисленных вами сетях Wi-Fi, например в офисной сети.
Всегда включён (IKEv2, только iPhone и iPad под надзором): весь трафик проходит через VPN в сотовой сети и Wi-Fi, и пользователь не может выключить его. Другие устройства не получают этот VPN. Если в VPN используется имя пользователя, пароль должен быть задан в политике.
VPN для отдельных приложений: только некоторые приложения используют VPN. Выберите VPN для каждого приложения в разделе Управление приложениями (поле VPN приложения, недоступно на Mac) и при необходимости перечислите домены Safari, которые его используют.

Сначала протестируйте VPN «Всегда включён» или «По требованию» на тестовом устройстве: если сервер недоступен, у устройства может не быть подключения.

Глобальный прокси, шифрованный DNS и фильтр веб-содержимого

Эти параметры применяются ко всему трафику устройства. Включайте их соответствующим переключателем.

Глобальный HTTP-прокси (iPhone и iPad под надзором, Mac): весь HTTP-трафик проходит через прокси в любой сети. Задайте сервер и порт (с необязательными именем пользователя и паролем) или автоматическую конфигурацию (URL файла PAC; пусто — чтобы найти её в сети). Разрешить страницы входа Wi-Fi позволяет пользователю входить в общедоступные сети Wi-Fi без прокси.
Шифрованный DNS: устройство разрешает имена с помощью вашего DNS-сервера через DNS over HTTPS (URL сервера) или DNS over TLS (имя сервера), при необходимости только для некоторых доменов. На устройствах под надзором вы можете запретить пользователю выключать его.
Фильтр веб-содержимого (iPhone и iPad под надзором): встроенный в iOS фильтр ограничивает сайты для взрослых, используя списки всегда разрешённых или всегда заблокированных веб-сайтов, либо разрешает только список веб-сайтов, отображаемых как закладки в Safari.

Неверный прокси или DNS-сервер может оставить устройства без подключения: сначала опробуйте настройки на тестовом устройстве.

Сертификаты

Нажмите Добавить сертификат, чтобы установить сертификат отдельно: центр сертификации, которому должны доверять Safari и приложения, или идентификатор, используемый приложениями. Сертификаты сети Wi-Fi или VPN не нужно добавлять здесь.

Параметры сертификатов

Сертификат со страницы «Сертификаты»: один и тот же сертификат на каждом устройстве. Нажмите Выбрать сертификат, чтобы выбрать его.
Сертификат пользователя устройства: каждое устройство получает клиентский сертификат, привязанный к его пользователю. Устройства, пользователь которых не имеет сертификата, его не получают. Когда вы привязываете к пользователю другой сертификат, устройства обновляются.
Запрошен у сервера SCEP: каждое устройство запрашивает собственный сертификат у вашего сервера SCEP (например, Microsoft NDES), поэтому закрытый ключ никогда не покидает устройство. Задайте URL сервера, запрос, если сервер его требует, субъект (например, CN=$EMAIL$), альтернативные имена, размер ключа и назначение ключа.

Клиентские сертификаты (.p12), защищённые старым шифрованием RC2, нельзя установить на устройства Apple. Перед импортом экспортируйте их снова с шифрованием 3DES или AES.

Безопасность

Профили, содержащие пароли или закрытые ключи, отправляются только на устройство, для которого они созданы: устройство должно подписать свой запрос сертификатом управления. Пароли и сертификаты не записываются в журналы.

Политики - Apple

Обновления ПО

Раздел Обновления ПО редактора политик Apple поддерживает устройства в актуальном состоянии: он позволяет требовать определённую версию ОС к определённому сроку и управлять загрузкой и установкой обновлений на устройствах.

Обязательные обновления ОС

Нажмите Добавить обязательное обновление, чтобы задать обязательную версию ОС. Устройство загружает обновление, сообщает пользователю о сроке и устанавливает его к сроку, если пользователь не сделал этого раньше. Устройства, на которых уже установлена эта или более новая версия, игнорируют его. Требуется iOS и iPadOS 17 или macOS 14.

Применяется к (обязательно): iPhone и iPad или Mac. У каждой ОС свои номера версий, поэтому добавьте отдельное обязательное обновление для каждой.
Версия ОС: версия для установки, например 18.5 или 15.4.1.
Сборка (необязательно): конкретная сборка, например бета-версия или улучшение безопасности в фоновом режиме.
Установить до: крайний срок по местному времени каждого устройства. Если дата в прошлом, устройства установят обновление как можно скорее.
URL с подробностями (необязательно): веб-страница об обновлении, отображаемая пользователю.

Устройство сообщает о ходе обновления (загрузка, установка, сбои) на панели Состояние устройства страницы устройства.

Настройки обновления ПО

Включите Настройки обновления ПО для iPhone и iPad или Настройки обновления ПО для Mac, чтобы управлять обновлениями на этих устройствах. Если переключатель выключен, устройства сохраняют собственные настройки. Требуется iOS и iPadOS 18 или macOS 15: более старые устройства игнорируют эти настройки.

Отложить обновления: новые обновления показываются пользователю только через указанное число дней (от 1 до 90). На Mac можно задать разные периоды для основных и промежуточных обновлений, а также для других системных обновлений.
Обновления, показываемые пользователю (iPhone и iPad): если доступно несколько обновлений, показывать все, только самое старое промежуточное или только самое новое.
Стандартные пользователи могут устанавливать обновления (Mac): пользователи без прав администратора могут устанавливать обновления macOS.
Уведомлять пользователя об обязательных обновлениях: показывать уведомления об обязательных обновлениях и их сроке.
Автоматическая загрузка, автоматическая установка и автоматические обновления безопасности: позволить пользователю решать (по умолчанию в Apple) или всегда включать либо всегда отключать.
Улучшения безопасности в фоновом режиме: предлагать пользователю быстрые исправления безопасности Apple и выбирать, может ли пользователь их удалять.
Бета-программы: разрешить пользователю участвовать в бета-программах Apple или исключить устройство из них и запретить их (на iPhone и iPad — только для устройств под управлением).

Установка обновления со страницы устройства

Панель Состояние устройства устройства содержит список доступных для него обновлений. Используйте Проверить обновления, чтобы запросить у устройства список, и Установить, чтобы установить обновление сейчас или загрузить его и позволить пользователю установить. Это работает на iPhone и iPad под управлением и на Mac. Apple удаляет эти команды в iOS, iPadOS и macOS 27: в этих версиях используйте обязательные обновления политики.

Политики - Apple

macOS

Раздел macOS редактора политик Apple управляет настройками безопасности, конфиденциальности и входа на Mac: FileVault, Firewall, Gatekeeper, заставка и блокировка, внешние и сетевые накопители, Screen Sharing, разрешения конфиденциальности, объекты входа и системные расширения и расширения ядра, которым разрешено загружаться. Он также устанавливает файлы конфигурации системных служб и фоновых задач. Остальные устройства политики не получают эти параметры. Включите параметр, чтобы управлять им; пока он выключен, пользователи сохраняют свой выбор.

Большинство параметров устанавливаются на Mac как профили конфигурации, видимые в разделе «Системные настройки» > «Основные» > «Управление устройством». FileVault, разрешения конфиденциальности, объекты входа и параметры расширений требуют MDM, одобренного пользователем: на Mac, зарегистрированном с помощью URL регистрации или QR-кода, пользователь одобряет профиль регистрации в «Системных настройках». Страница устройства показывает это в поле MDM, одобренный пользователем. Когда пользователь одобряет его позже, Mac автоматически получает эти параметры.

FileVault

FileVault шифрует диск Mac. Если этот параметр включён, пользователям предлагается включить FileVault с помощью своего пароля, и Mac отправляет свой личный ключ восстановления в Cerberus Enterprise, зашифрованный ключом, который принадлежит только вашей организации. Ключ отображается и изменяется в поле FileVault на странице устройства (см. «Команды устройства»). Параметр требует macOS 13 или новее и MDM, одобренного пользователем; без MDM, одобренного пользователем, Mac не получает запрос на включение FileVault, но если пользователь включает его, его ключ сохраняется.

Требовать при входе: при следующем входе, после нескольких пропусков (пользователю снова предлагается при каждом входе и при выходе) или только когда пользователь выходит из системы.
Не спрашивать при выходе: пользователю предлагается только при входе. Это нельзя сочетать с «Только при выходе».
Показывать ключ восстановления пользователю: по умолчанию выключено, поэтому ключ знают только администраторы — со страницы устройства.
Запретить выключение FileVault: включено по умолчанию.
Удалять ключ из памяти в режиме ожидания: пользователь снова вводит пароль, когда Mac выходит из режима ожидания.
Где хранится ключ: текст, отображаемый пользователю в окне входа, например кому позвонить для восстановления Mac (по умолчанию «Cerberus Enterprise»).

Mac, который уже был зашифрован при получении параметра, сохраняет свой текущий ключ, который Cerberus Enterprise не получает: ключ сохраняется только после того, как пользователь выключит и снова включит FileVault (при выключенном параметре «Запретить выключение FileVault»). Выключение параметра или удаление Mac из управления не выключает FileVault, и сохранённый ключ продолжает работать. Параметр нельзя сохранить, если сервер не настроен для хранения ключей восстановления.

Firewall

Включить Firewall: когда он выключен, Firewall остаётся выключенным, и пользователи не могут включить его.
Блокировать все входящие соединения: только базовые сетевые службы (DHCP, Bonjour, IPSec) могут принимать соединения.
Скрытый режим: Mac не отвечает на ping-запросы и подключения к закрытым портам.
Разрешить встроенное ПО и Разрешить загруженные подписанные приложения принимать соединения, не спрашивая пользователя (macOS 12.3 или новее).
Правила для отдельных приложений: разрешите или заблокируйте входящие соединения приложения по bundle ID.

Gatekeeper

Gatekeeper проверяет приложения перед их открытием. Выберите, открывают ли Mac только приложения App Store или также приложения известных разработчиков. Если Gatekeeper выключен, можно открыть любое приложение, в том числе неподписанное или повреждённое. В macOS 15 или новее вы также можете выбрать, предлагается ли пользователям отправлять заблокированное вредоносное ПО в Apple.

Заставка и блокировка

Запускать заставку после периода бездействия и запрашивать пароль при запуске заставки или переходе дисплея в спящий режим — сразу или с задержкой. Параметр, оставленный как Не управляется, остаётся выбором пользователя.

Внешние и сетевые накопители

Разрешайте, делайте доступным только для чтения или блокируйте внешние накопители (USB-накопители, карты SD, внешние диски) и сетевые накопители (общие файловые ресурсы) на Mac. Требуется macOS 15 или новее.

Ограничения для тех, кто подключается к этим Mac с помощью Screen Sharing: копирование файлов с Mac или на Mac, высокопроизводительные соединения и количество виртуальных дисплеев. Включение Screen Sharing остаётся выбором пользователя. Требуется macOS 14 или новее.

Разрешения конфиденциальности

Предоставляйте или запрещайте приложениям доступ, который пользователи иначе разрешали бы в разделе «Системные настройки» > «Конфиденциальность и безопасность», например «Полный доступ к диску» для приложения резервного копирования, или запретите приложению доступ к камере. Для каждого разрешения выберите:

Разрешение: «Полный доступ к диску», «Универсальный доступ», «Автоматизация», папки, контакты, календари, фото, камера, микрофон, запись экрана и другие из раздела «Конфиденциальность и безопасность».
Доступ: разрешить или запретить. Камеру, микрофон, запись экрана и мониторинг ввода нельзя разрешить профилем, только запретить; для записи экрана и мониторинга ввода вы можете позволить пользователям разрешать их и без прав администратора.
Приложение: bundle ID приложения или путь к программе (например, к инструменту командной строки).
Требование кода: идентифицирует приложение по его подписи. Получите его в Terminal с помощью codesign -dr - /Applications/Example.app и скопируйте текст после designated =>.
Автоматизация также требует управляемое приложение (например, Finder) и его требование кода.

Объекты входа и фоновые объекты

Объекты входа и фоновые объекты, соответствующие правилам, управляются: они запускаются без запроса, и пользователи не могут выключить их в разделе «Системные настройки» > «Основные» > «Объекты входа». Правило соответствует идентификатору команды разработчика приложения, его bundle ID или метке демона или агента launchd (также по их первой части). Требуется macOS 13 или новее.

Системные расширения

Системные расширения — современный способ для приложений расширять macOS: сетевые фильтры и VPN, агенты и драйверы безопасности конечных точек. Если этот параметр включён, системные расширения перечисленных команд разработчиков загружаются, не спрашивая пользователя. Требуется macOS 10.15 или новее и MDM, одобренный пользователем.

Team ID: 10-символьный идентификатор команды разработчика (например, в сведениях «Подписано» приложения или с помощью codesign -dv). Каждая команда может встречаться только один раз.
Разрешить: все расширения команды или только расширения с перечисленными bundle ID.
Типы: ограничивает команду драйверами, сетевыми расширениями или расширениями безопасности конечных точек. Если ничего не выбрано, разрешены все типы.
Удаление (только для перечисленных расширений): приложение может удалить своё расширение без администратора (macOS 12 и новее), расширение нельзя выключить или удалить, пока включена System Integrity Protection, либо его нельзя удалить в «Системных настройках» и Finder (macOS 15 и новее). Mac с более старой версией macOS по-прежнему разрешают расширение, но без параметра удаления.
Пользователи могут одобрять другие системные расширения: включено по умолчанию. Когда выключено, могут загружаться только расширения, разрешённые профилем; если какой-либо профиль на Mac выключает его, оно выключено.

В macOS 11.3 и новее удаление этого параметра выключает системные расширения, которые он разрешал, например агент безопасности или сетевой фильтр. Это происходит при выключении параметра, при удалении политики и когда Mac переходит в политику без него. Редактор запрашивает подтверждение перед выключением параметра.

Расширения ядра (устаревшие)

Расширения ядра — более старый, устаревший способ расширять macOS: предпочитайте системные расширения, когда поставщик их предлагает. Расширения ядра перечисленных команд (все расширения команды или только перечисленные bundle ID) загружаются, не спрашивая пользователя, после перезагрузки. Требуется macOS 10.13.2 или новее и MDM, одобренный пользователем.

Пользователи могут одобрять другие расширения ядра: по умолчанию выключено, поэтому только перечисленные команды могут загружать расширения ядра.
Обычные пользователи также могут одобрять их: при включённых пользовательских одобрениях пользователи без прав администратора также могут одобрять их (macOS 11 и новее).

На Mac с Apple silicon одного профиля недостаточно: кто-то должен запустить Mac в recoveryOS, выбрать «Сниженная безопасность» в Startup Security Utility и разрешить управление расширениями ядра пользователем от известных разработчиков. Mac также может нуждаться в Bootstrap Token, депонированном в Cerberus Enterprise, чтобы одобрить их (см. поле «Bootstrap Token» на странице устройства).

Файлы Mac

Файлы конфигурации служб и фоновые задачи используют файлы, которые вы загружаете в Файлы Mac вашей организации: zip-архивы и списки свойств (.plist) размером до 20 МБ. Загружайте, проверяйте, где они используются, или удаляйте их с помощью кнопки Файлы Mac в разделе macOS либо с помощью Выбрать файл в параметре. Файл, используемый политикой, нельзя удалить. Чтобы изменить файл, загрузите новую версию и выберите её в политике: Mac скачают его снова.

Файлы конфигурации служб

Устанавливает файлы конфигурации системной службы из zip-архива. Встроенные службы: SSH-сервер (sshd), sudo, PAM, печать (CUPS), веб-сервер Apache, bash, zsh, вход по смарт-карте и авторизация. Вы также можете использовать собственную службу с идентификатором обратного DNS, например com.example.service: она находит файлы с помощью библиотеки управляемых файлов конфигурации macOS. Каждая служба может иметь один параметр. Требуется macOS 14 или новее.

Встроенная служба использует только файлы архива и игнорирует собственные файлы, например /etc/ssh для sshd: поместите всю конфигурацию в архив, в папки, начинающиеся от корня диска (например, etc/ssh/sshd_config). Файлы доступны на Mac только для чтения и удаляются вместе с параметром. Сначала протестируйте архив на одном Mac: неверная конфигурация sudo или PAM может лишить пользователей возможности входить в систему или использовать права администратора.

Фоновые задачи

Программы и скрипты, которые выполняются в фоновом режиме и запускаются launchd. Пользователи не могут выключить их, и они удаляются вместе с параметром. Требуется macOS 15 или новее. Для каждой задачи выберите:

Идентификатор задачи: идентификатор обратного DNS, например com.example.task, разный для каждой задачи.
Программы и скрипты (необязательно): zip-архив, который Mac распаковывает в /var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/, после чего указывается идентификатор задачи. Сохраняйте право на выполнение файлов и не помещайте в него списки свойств.
Списки свойств launchd: задания, которые запускают программы, загружаемые как демон (для всей системы, от имени root) или как агент (в каждом сеансе пользователя). Ссылайтесь на программы по их пути в папке выше.

Задаче нужны программы или хотя бы один список свойств. Когда файлы изменяются, Mac перезапускают задачу.

Политики - Apple

Местоположение и геозоны

Раздел Местоположение и геозоны редактора политик Apple определяет области, например площадку или склад. iPhone и iPad с приложением Cerberus Enterprise сообщают о входе в одну из этих областей или выходе из неё, и правила событий могут на это реагировать: отправить письмо, заблокировать или отключить устройство либо снова включить его. На Mac геозоны не используются.

Поля геозоны

Используйте Добавить геозону, чтобы создать новую запись. Политика может содержать до 10 геозон, и их имена должны быть уникальными в пределах политики. Каждая геозона содержит следующие поля:

Имя: обязательно и уникально.
Широта и Долгота: центр области. Вы также можете нажать на карту, чтобы задать его.
Радиус (м): обязательно, от 200 до 10000 метров.
Описание: необязательные заметки для администраторов.
Сообщать о входе и Сообщать о выходе: выберите, какие события генерируются. Хотя бы одно должно оставаться включённым.
Активна: включает или выключает геозону без её удаления.

У каждой геозоны есть предварительный просмотр карты. Центр и радиус сохранённой геозоны заблокированы: используйте кнопку блокировки на карте, чтобы изменить их. Остальные кнопки центрируют карту на области или на вашем текущем местоположении.

При сохранении политики Cerberus Enterprise запрашивает у iPhone и iPad политики получение новых геозон. Обычно это занимает несколько минут, но iOS может отложить это, например в режиме энергосбережения или без подключения к сети. Страница устройства показывает, когда приложение ещё не применило последние геозоны.

Требования

Геозоны работают на iPhone и iPad с приложением Cerberus Enterprise. Mac их игнорируют. На устройстве:

приложение Cerberus Enterprise установлено (Cerberus устанавливает его), и пользователь открывал его хотя бы раз;
доступ к геопозиции для приложения установлен как Всегда;
Точная геопозиция включена для приложения;
Обновление контента включено.

Геопозиция и геозоны на личных устройствах в верхней части раздела по умолчанию выключены. Пока этот параметр выключен, Cerberus не собирает геопозицию личных устройств (User Enrollment), их события геозон не генерируются, а на их странице устройства не предлагаются «Найти» или отслеживание в реальном времени. Когда вы включаете его, личные устройства политики передают свою геопозицию и события геозон, как корпоративные устройства, но только если пользователь разрешает геопозицию для приложения Cerberus Enterprise; приложение объясняет это пользователю до запроса iOS. Ваша организация отвечает за информирование пользователей и за соблюдение местных правил о геопозиции сотрудников. Режим пропажи и запрос геопозиции MDM никогда не доступны на личных устройствах (Apple этого не разрешает).

В режиме энергосбережения геозоны продолжают работать, но iOS сообщает о выходе из области позже и с менее точной геопозицией, а также может задержать получение новых геозон после изменения политики на несколько часов, пока приложение не запустится снова (например, при следующем пересечении или когда пользователь откроет его).

Как поступают события

iOS отслеживает области для приложения и пробуждает его, когда устройство пересекает границу, в том числе когда приложение не открыто. События могут поступать через несколько минут после пересечения, а небольшая область или короткое посещение могут быть пропущены: iOS требуется, чтобы устройство переместилось на некоторое расстояние за границу и оставалось там какое-то время.

Если приложение не может работать, например после перезагрузки до разблокировки устройства, сервер также позже определяет пересечение по геопозициям, которые отправляет приложение. Каждое пересечение запускает правила событий один раз, независимо от того, обнаружило его приложение или сервер.

Когда приложение не связывалось с сервером несколько часов, сервер просит iOS разбудить его, чтобы оно могло снова проверить свои геозоны. iOS не гарантирует выполнение этих запросов.

Страница устройства

На странице устройства вкладка Геозона панели Карта местоположения показывает переходы устройства. Когда в политике есть активные геозоны, строка состояния сообщает, работает ли геозонирование на устройстве или почему оно не работает: приложение не связывалось с сервером или должно быть обновлено, доступ к геопозиции не Всегда, Точная геопозиция или Обновление контента выключены, режим энергосбережения был включён, когда приложение в последний раз сообщало свои настройки, или приложение ещё не применило последние геозоны.

Переходы геозон и местоположения хранятся 90 дней, а более старые данные автоматически удаляются каждую ночь. Последнее местоположение каждого зарегистрированного устройства всегда сохраняется, поэтому устройство остаётся на картах.

Ограничения

Копирование политики не копирует её геозоны: добавьте их снова в копии.
События геозон на iPhone и iPad выполняются по возможности: iOS решает, когда приложение может работать.

Чтобы реагировать на события геозон, создайте правило событий для Устройство входит в геозону или Устройство выходит из геозоны. См. Правила событий.

Политики - Apple

Аккаунты

Раздел Аккаунты редактора политик Apple добавляет аккаунты почты, Exchange, Google, календаря, контактов и каталога на iPhone, iPad и Mac. Нажмите Добавить аккаунт и выберите тип. Раздел также содержит ограничение Разрешить изменение аккаунта (контролируемые устройства).

На Mac (macOS 13 или новее) аккаунты устанавливаются в сеансе пользователей, зарегистрированных в управлении, обычно пользователя, который зарегистрировал Mac, когда они входят в систему. Страница устройства перечисляет этих пользователей в разделе Пользователи Mac с состоянием их аккаунтов. Аккаунты, которые берут адрес электронной почты у пользователя устройства, используют пользователя, назначенного Mac в Cerberus Enterprise.

Общие настройки

Имя и электронная почта пользователя устройства (Mail, Exchange, Google): каждое устройство использует имя и адрес электронной почты своего пользователя, заданные на странице «Пользователи» (для Google — аккаунт Google пользователя). Устройства без пользователя или с пользователем без адреса электронной почты не получают аккаунт. В противном случае задайте фиксированный адрес электронной почты и полное имя.
Название аккаунта (необязательно): название аккаунта в «Настройках» и в приложениях.
Имя пользователя и Пароль (необязательно): имя пользователя может содержать переменные $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ и $UDID$. Оставьте пароль пустым, чтобы пользователь ввёл его на устройстве, или оставьте оба поля пустыми, чтобы пользователь ввёл их.
Применяется к: ограничить аккаунт определёнными типами устройств.

Типы аккаунтов

Аккаунт почты: входящий сервер IMAP или POP и исходящий сервер с их портами и аутентификацией. Исходящий сервер может использовать те же имя пользователя и пароль, что и входящий.
Аккаунт Exchange (Exchange ActiveSync): сервер или пустое значение, чтобы найти его по адресу электронной почты. Выберите службы (почта, контакты, календари, напоминания, заметки) и может ли пользователь их менять. При современной аутентификации (OAuth) пользователь входит через страницу вашего поставщика удостоверений, например Microsoft 365. Сертификат аутентификации (iOS 17 или новее) аутентифицирует устройство с помощью сертификата.
Аккаунт Google: пользователь входит в аккаунт Google с указанным адресом электронной почты.
Аккаунт календаря (CalDAV) и Аккаунт контактов (CardDAV): сервер, порт и путь.
Каталог (LDAP): сервер и порт, а также поиски (база поиска, область и описание), используемые для поиска контактов.
Подписанный календарь: URL календаря (https, http или webcal).

S/MIME

Аккаунты Mail и Exchange могут подписывать и шифровать сообщения с помощью S/MIME (iOS 17 или новее). Для каждого из них выберите сертификат: один со страницы сертификатов, сертификат пользователя устройства или запрошенный у сервера SCEP. Вы можете разрешить пользователю отключать это, выбирать другой сертификат и, для шифрования, показывать переключатель для каждого сообщения.

Безопасность

Пароли и сертификаты не входят в настройки, отправляемые на устройства: каждое устройство загружает свои учётные данные из Cerberus Enterprise, подписывая запрос своим сертификатом управления. Они не записываются в журналы.

Политики - Apple

Правила соответствия требованиям

Раздел Правила соответствия требованиям редактора политик Apple задаёт требования к устройствам политики. Устройство, нарушившее правило, сразу становится несоответствующим: страница устройства показывает причину в разделе Почему устройство не соответствует требованиям, а список устройств отображает его как несоответствующее. Устройство также считается несоответствующим, когда какой-либо параметр политики нельзя применить на нём.

Правила

Код доступа: на устройстве установлен код доступа, и он соответствует параметрам кода доступа политики.
Минимальная версия ОС: для iPhone и iPad или для Mac. Чтобы обновить устройства, добавьте обязательное обновление в разделе «Обновления ПО».
Устройство под надзором: устройства, зарегистрированные с профилем регистрации или с User Enrollment, не находятся под надзором.
FileVault включён (Mac): диск Mac зашифрован с помощью FileVault. Другие устройства не затрагиваются.

Правило проверяется, когда устройство отправляет свой статус, при сохранении политики и каждый час. Устройство, статус которого неизвестен (например, Mac, который ещё не сообщил о FileVault), не нарушает правило.

Блокировка устройства

Включите Блокировать устройство, если оно всё ещё не соответствует требованиям и укажите, через сколько дней (0 — блокировка сразу). iPhone и iPad под надзором переходят в режим пропажи с заданным вами сообщением. Остальные устройства блокируются один раз; Mac перезагружается и запрашивает PIN-код, который показан в сведениях о команде в истории команд.

Разблокировать: когда устройство снова соответствует требованиям, режим пропажи автоматически выключается.
Самостоятельное выключение режима пропажи: устройство не блокируется снова, пока оно не станет соответствующим требованиям и снова не нарушит правило. Используйте это, чтобы дать пользователю исправить устройство.

Чтобы получать уведомления или реагировать иначе, создайте правило событий для Устройство становится несоответствующим: оно также получает причины.

Статус устройства

Обзор устройства

Откройте устройство из Панель управления → Устройства, нажав на строку устройства. В заголовке страницы отображаются Модель устройства (если доступна) и внутренний Id.

Исторические данные и текущая регистрация

Если у устройства несколько регистраций, Cerberus Enterprise может показать историческую запись только для чтения. В этом случае на странице отображается баннер Исторические данные и кнопка для возврата к данным текущей регистрации.

Верхние поля

Верхний раздел содержит сводку об идентификации устройства, его назначении и состоянии управления. Некоторые поля зависят от платформы и отображаются только для устройств Android или Apple.

Id и Модель: идентификаторы только для чтения.
Пользователь: показывает текущего назначенного пользователя (если он есть). В меню пользователя можно Открыть пользователя или Сменить пользователя, а также назначить пользователя, если он не задан.
Режим управления и Владение: отображаются с всплывающими подсказками в интерфейсе.
Состояние: текущее состояние устройства (со значком и подробностями во всплывающей подсказке). Устройство в режиме пропажи показывает Потеряно как на Android, так и на Apple, а баннер в верхней части страницы подсказывает, что делать дальше.
Профиль ADE (только Apple): показывает назначенный профиль автоматической регистрации устройств (если он есть) и позволяет открыть или изменить его.
Политика: показывает назначенную политику и позволяет открыть или изменить её либо назначить политику, если она не задана.
Статус соответствия политике (если политика назначена): указывает, соответствует ли устройство требованиям.
Версия политики (если политика назначена): указывает, применена ли на устройстве последняя версия политики.
Приложение Cerberus Enterprise (только iPhone и iPad): состояние приложения Cerberus Enterprise, которое Cerberus устанавливает на устройство. Недоступно (iOS или iPadOS старше 18.4, отсутствует серийный номер на корпоративном устройстве или нет управляемого аккаунта Apple на личном устройстве); Пока недоступно на личных устройствах; Ожидание информации об устройстве; Ожидание пользовательской лицензии управляемого аккаунта Apple (личные устройства, пока Apple подтверждает лицензию); Не установлено (приложение отсутствует в вашей библиотеке Apple Business или Apps and Books не настроено, со ссылкой на Настройки аккаунта); Установлено · Apps and Books требует внимания (срок действия токена истёк или приложение покинуло вашу библиотеку: приложение остаётся установленным); Конфигурация недоступна; Установка… (если устройство не отправляет отчёт о состоянии 30 минут, подсказка предлагает проверить, что оно в сети, и перезагрузить его, что обычно возобновляет установку); Ожидание одобрения пользователя; Пользователь отклонил и Установка не удалась (в обоих случаях доступна Повторить, которая снова запрашивает устройство); Установлено · ожидание запуска приложения (приложение ещё не открывалось); Установлено · конфигурация не принята; а после регистрации приложения — его версия, последний контакт и состояние уведомлений.
Дата регистрации и Последний отчёт о статусе: отметки времени регистрации и последнего переданного статуса.
Регистрация отменена: отображается, когда регистрация устройства была отменена.

Некоторые данные и панели доступны, только если в политике устройства включена соответствующая категория. Дополнительные сведения см. на страницах Отчёт о состоянии и Местоположение и геозоны.

Панели

Страница устройства организована в виде раскрываемых разделов. В зависимости от платформы и состояния вы можете увидеть одну или несколько из следующих панелей:

Карта местоположения: панель с вкладками, содержащая историю местоположения текущего устройства, а на устройствах Android, iPhone и iPad — вкладку Геозоны для пересечений границ геозон.
Управление SIM-картами: EID устройства, установленные SIM-карты и eSIM. На Android также команды eSIM и их история; на корпоративных iPhone и iPad с сотовой связью также роуминг данных, режим модема и Обновить тарифы сотовой связи. См. отдельную страницу Управление SIM-картами.
Команды: отправка команд на устройство и просмотр истории команд (зависит от платформы).
Состояние безопасности: состояние безопасности устройства и его риски. На Android также вердикт Play Integrity. Пока устройство не сообщит о нём, отображается Не указано или Ещё не передано на устройстве Android, которое не отправило данные о безопасности.
Почему устройство не соответствует требованиям: отображается, только когда устройство не соответствует требованиям, со значком красного предупреждения; откройте, чтобы увидеть причины. На Android перечисляются параметры политики, которые не соблюдаются; на Apple также указывается, заблокировало ли устройство правило соответствия.
Статус устройства (только Apple): версия ОС, ход обновления ПО, код-пароль, FileVault, аккумулятор и аккаунты, переданные устройством, а также доступные для него обновления ОС. См. страницу Команды.
Приложения (Android): установленные приложения и их отчёты об отзывах и ошибках.
Приложения (только Apple): приложения, установленные политикой, приложения, установленные командами, и приложения, установленные пользователем, с их состоянием установки, ошибками и действиями (повторить, удалить). На Mac также перечислены пакеты, установленные политикой, с их состоянием и Установить повторно; пакеты, установленные как управляемые приложения, имеют метку Управляемое, а примечание сообщает, когда пакет был установлен как неуправляемый и почему, либо когда его приложение не найдено через час после загрузки. На iPhone и iPad приложение Cerberus Enterprise имеет метку Установлено Cerberus; оно не отображается под фильтром Политика. Приложение, управляемую конфигурацию которого устройство не приняло, имеет метку Конфигурация не принята. На личных iPhone и iPad (регистрация пользователя) строка показывает управляемый аккаунт Apple, лицензии пользователя которого используют приложения App Store; приложения, ожидающие лицензию, показывают Ожидание лицензии пользователя или Ошибка лицензии пользователя; приложение, запрос на установку которого пользователь отменил, показывает Ожидание одобрения установки пользователем, а Запросить повторно снова запрашивает лицензию у Apple или снова показывает запрос. См. страницу Команды.
Профили, сертификаты и безопасность (только Apple): профили конфигурации, сертификаты и состояние безопасности, переданные устройством.
Изменения инвентаря (только Apple): хронология приложений, профилей и сертификатов, установленных, удалённых или обновлённых на устройстве, с поиском и фильтрами по типу и изменению. См. страницу Команды.
Пользователи Shared iPad и Пользователи Mac (только Apple): пользователи Shared iPad и пользователи Mac. См. страницу Команды.
Отчёты о статусе: дополнительные данные, переданные устройством, в виде дерева категорий и значений.
История регистраций: предыдущие регистрации этого же физического устройства в виде списка.

Вкладки панели местоположения

Панель Карта местоположений использует вкладки, чтобы история местоположения и переходы геозон отображались отдельно.

Местоположение: показывает фильтры истории, поиск по диапазону дат, маркеры местоположения, круг точности и элементы управления отслеживанием в реальном времени для текущего устройства.
Геозоны (Android, iPhone и iPad): показывает историю пересечений границ геозон на отдельной карте с фильтрами периода, необязательным переключателем архивных геозон и боковым списком пересечений. На iPhone и iPad строка состояния также сообщает, когда геозонирование не может работать на устройстве.

Полное описание работы этих вкладок см. в разделе Карта местоположения.

Действия

В нижней части страницы можно обновить данные и выполнить действия в зависимости от платформы, состояния устройства и статуса лицензии.

Обновить данные: перезагрузить запись устройства.
Отключить устройство / Включить устройство (только Android): доступно в поддерживаемых состояниях.
Отменить регистрацию устройства: снимает управление с устройства. Точное поведение зависит от платформы и владения (например, Android может стереть рабочий профиль или выполнить сброс к заводским настройкам).
Удалить устройство: доступно, когда регистрация устройства уже отменена и его запись можно удалить.

Статус устройства

Карта местоположений

Эта страница описывает инструменты местоположения для конкретного устройства, доступные в разделе Обзор устройства. Панель содержит вкладку Местоположение для истории позиций и, на устройствах Android, iPhone и iPad, вкладку Геозона для переходов геозон.

Предварительные требования

На Android данные о местоположении устройства отображаются, только если в политике устройства включена передача местоположения. Чтобы включить её, откройте политику и включите Местоположение и геозоны → Сообщать местоположение. Подробнее см. Местоположение и геозоны.

На iPhone и iPad местоположение поступает из приложения Cerberus Enterprise, после того как пользователь разрешит его, или из команды Найти устройство, пока устройство находится в режиме пропажи. Mac и другие устройства Apple не передают своё местоположение.

На личных устройствах (User Enrollment) местоположение и геозоны доступны, только если в политике Apple включён параметр Местоположение и геозоны на личных устройствах и пользователь разрешает определение местоположения для приложения Cerberus Enterprise. В противном случае на странице их устройства не отображаются действия с местоположением и отслеживание в реальном времени. Режим потерянного устройства на личных устройствах недоступен.

Глобальную карту нескольких устройств, доступную из панели управления, см. в разделе Карта местоположений панели управления.

Состояние загрузки и отсутствия данных

Пока данные о местоположении загружаются, на карте панели отображается наложение загрузки.
Если у устройства нет данных о местоположении, панель показывает сообщение Данные о местоположении недоступны. На Android добавляется напоминание включить передачу местоположения в назначенной политике, если она отключена. На Apple указывается, откуда поступает местоположение, или что этот тип устройства его не передаёт.
Если активен фильтр дат и ни один образец ему не соответствует, панель показывает Нет данных в выбранном диапазоне дат.

Вкладка «Местоположение»

Откройте вкладку Местоположение, чтобы просмотреть историю для одного устройства. Доступные фильтры включают последнее известное местоположение, диапазоны недавней истории, произвольный диапазон дат и отслеживание в реальном времени.

Последнее: показывает последнее известное местоположение.
Сегодня, Последние 7 дней и Последние 30 дней: показывают записанные местоположения за выбранный период.
Поиск: позволяет выбрать произвольный диапазон дат.
В реальном времени: запускает или останавливает отслеживание в реальном времени для текущего устройства.

Местоположения хранятся 90 дней: более старые автоматически удаляются каждую ночь. Последнее местоположение каждого зарегистрированного устройства всегда сохраняется, поэтому устройство остаётся на картах, даже если давно не передавало данные. Для удалённых устройств и прошлых регистраций все местоположения старше 90 дней удаляются. Поэтому диапазон дат в разделе Поиск не может начинаться раньше, чем 90 дней назад.

Сведения о маркере

Когда вы нажимаете на маркер местоположения, открывается информационное окно с:

Отметка времени записи местоположения.
Сообщённая точность (в метрах).
Сообщённая скорость, если устройство её передаёт.
Сообщённый курс или азимут, если устройство его передаёт.

Круг точности

Когда информационное окно открыто, вокруг маркера отображается круг точности. Радиус круга соответствует сообщённой точности (в метрах). При закрытии информационного окна круг скрывается.

Отслеживание в реальном времени

В истории устройства выбор фильтра В реальном времени запускает запрос отслеживания в реальном времени для этого конкретного устройства. Cerberus Enterprise запрашивает подтверждение перед запуском запроса.

Отслеживание в реальном времени длится до 15 минут.
Пока идёт отслеживание в реальном времени, на устройствах Android отображается уведомление, а на iPhone и iPad — индикатор местоположения.
Пока идёт отслеживание в реальном времени, панель постоянно обновляет последнее местоположение, а индикатор отслеживания остаётся видимым.
Повторный выбор фильтра «В реальном времени» позволяет остановить отслеживание до истечения времени ожидания.
На iPhone и iPad отслеживание в реальном времени работает через приложение Cerberus Enterprise, а доступ к геоданным установлен в значение Всегда. Обычно запрос пробуждает приложение, даже если оно не открыто, и затем приложение отправляет геоданные в течение всего сеанса. iOS не гарантирует выполнение таких запросов: их можно отложить или не доставить, например в режиме энергосбережения или без подключения к сети. Если местоположение не поступает в течение 2 минут, панель управления отменяет запрос: попросите пользователя один раз открыть приложение и повторите попытку.

Вкладка «Геозоны»

На устройствах Android, iPhone и iPad вторая вкладка показывает пересечения границ геозон, сгенерированные на основе геозон, заданных в назначенной политике.

На карте отображаются текущие области геозон вместе с записанными точками пересечения границ.
Список пересечений справа позволяет просматривать события входа и выхода.
Доступные фильтры: Сегодня, Последние 7 дней, Последние 30 дней и поиск по произвольному диапазону дат.
Включить архивные также показывает пересечения, связанные со старыми определениями геозон, которых больше нет в текущей политике.
Переходы геозон хранятся 90 дней, а более старые автоматически удаляются каждую ночь, поэтому поиск по произвольному диапазону дат не может начинаться раньше, чем 90 дней назад.

На iPhone и iPad, если в политике есть активные геозоны, строка состояния в верхней части вкладки показывает, работает ли геозонирование на устройстве. Она сообщает, когда оно не работает: приложение Cerberus Enterprise не связалось с сервером или требует обновления, доступ к геоданным не установлен в значение Всегда, отключены Точная геопозиция или Обновление контента, при последней передаче настроек приложением был включён Режим энергосбережения (в этом случае события геозон и изменения могут задерживаться на часы), либо приложение ещё не применило последние геозоны. Когда всё работает, она показывает, сколько геозон отслеживает приложение.

Детали пересечения границы геозоны

При выборе пересечения на карте открываются его детали, а соответствующий элемент списка выделяется. Если данные доступны, Cerberus Enterprise также показывает координаты устройства и сообщённую точность для этого пересечения.

Статус устройства

Управление SIM-картами

Страница устройства предоставляет панель Управление SIM-картами. На устройствах Android она управляет SIM-картами и профилями eSIM, установленными на устройстве, добавляет и удаляет профили eSIM и показывает историю команд eSIM, отправленных на устройство. На корпоративных iPhone и iPad с сотовой связью она показывает SIM-карты и тарифы eSIM, переданные устройством, и позволяет устройству загрузить тарифы eSIM, подготовленные оператором: см. iPhone и iPad ниже.

Сведения о SIM-картах передаются полностью управляемыми устройствами, когда в политике устройства включена передача сведений о сети (этот параметр всегда включён в Cerberus Enterprise). См. страницу Передача статуса.

EID устройства

EID (идентификатор eUICC) идентифицирует аппаратную часть eSIM устройства. Операторы используют его для привязки профилей eSIM к устройству, поэтому его получение обычно является первым шагом процесса подготовки eSIM.

Корпоративные устройства (Android 13 и выше): EID передаётся автоматически вместе со статусом устройства, и участие пользователя не требуется.
Личные устройства (Android 13 и выше): используйте кнопку Запросить EID. На устройстве пользователь увидит уведомление с запросом поделиться EID и сможет одобрить или отклонить запрос. EID отображается, только если пользователь одобрит запрос. Пока запрос ожидает обработки, кнопка остаётся недоступной.

Перед отправкой запроса EID сначала отображается диалог подтверждения, поскольку пользователь увидит уведомление на устройстве.

Установленные SIM-карты

В таблице Установленные SIM-карты перечислены SIM-карты, известные для устройства в данный момент, включая физические SIM-карты и профили eSIM. На личных устройствах профили eSIM, установленные командой Добавить eSIM, отображаются, даже если устройство не передаёт сведения о SIM-картах.

Оператор: название оператора, связанного с SIM-картой (если передаётся).
Номер телефона: номер телефона, связанный с SIM-картой (если передаётся).
ICCID: идентификатор интегральной схемы SIM-карты.
Состояние активации: активирована ли eSIM. Передаётся только для eSIM на Android 15 и выше.
Режим конфигурации: была ли eSIM настроена администратором или пользователем. Передаётся только для eSIM на Android 15 и выше.
Тип SIM-карты: показывает, передаёт ли устройство эту запись как eSIM.

Для eSIM с выполняемой или выполненной (не завершившейся ошибкой) командой удаления временно отображается состояние активации Удаление. Запись исчезает из списка, когда устройство передаёт обновлённый список SIM-карт. Пока идёт удаление, кнопка удаления недоступна, чтобы не отправить одну и ту же команду дважды.

Удалить eSIM

Используйте кнопку удаления рядом с установленной eSIM, чтобы удалить её профиль с устройства. Перед отправкой команды диалог подтверждения попросит вас подтвердить ICCID удаляемой eSIM. Удаление eSIM поддерживается на Android 15 и выше.

Добавить eSIM

Раздел Добавить eSIM устанавливает новый профиль eSIM на устройство (поддерживается на Android 15 и выше). Для этого требуется:

Срок действия: как долго команда остаётся действительной, если её нельзя выполнить сразу.
Код активации: код активации для профиля eSIM, предоставленный оператором. Вы можете ввести полный код или только адрес SM-DP+, чтобы устройство нашло профиль, который оператор уже привязал к его EID.
Состояние активации: следует ли активировать профиль eSIM автоматически после загрузки или оставить его неактивным для ручной активации пользователем.

История команд

Под разделом «Добавить eSIM» панель показывает историю команд eSIM, отправленных на устройство: Добавить eSIM, Удалить eSIM и Запросить EID. Таблицу можно сортировать, и она поддерживает разбиение на страницы. Некоторые строки можно развернуть, чтобы просмотреть параметры команды (например, код активации или ICCID) и статус выполнения, включая сведения об ошибке eSIM, если операция на устройстве завершилась ошибкой.

Дата создания
Команда
Срок действия
Статус
Ошибка: показывает состояние ошибки eSIM (например, Пользователь отказал, Неверный код активации или ICCID не найден), когда выполнение команды сообщает о ней.
Дата выполнения

Стирание eSIM при очистке и отмене регистрации

Когда вы стираете устройство на панели «Команды», флажок Стереть eSIM определяет, удаляются ли профили eSIM при очистке. На личных устройствах с рабочим профилем этот флажок включён по умолчанию (управляемые eSIM удаляются, личные eSIM не затрагиваются). Тот же флажок доступен в диалоге подтверждения Отменить регистрацию устройства.

iPhone и iPad

Панель отображается для iPhone и для iPad, передавших данные сотовой связи (у iPad только с Wi-Fi их нет), и только если устройство является корпоративным и не использует регистрацию пользователя. Сведения о сотовой связи запрашиваются у устройства вместе со сведениями об устройстве: при регистрации, каждый день, при выполнении Обновить сведения об устройстве, когда устройство становится корпоративным, а также через несколько минут после Обновить тарифы сотовой связи.

EID устройства: EID, переданный вместе с SIM-картами, с кнопкой для копирования для оператора. Если устройство его не передаёт, пользователь может найти его в разделе «Настройки» > «Основные» > «Об этом устройстве».
Передано, Роуминг данных, Режим модема и Прошивка модема: когда устройство ответило и какое состояние оно передало. Роуминг данных и режим модема можно изменить с помощью Настройки устройства на панели «Команды», где также отображается текущее состояние.
SIM-карты: одна строка на SIM-карту или тариф eSIM (у устройств с двумя SIM-картами их две), со слотом, как его передаёт устройство, его названием и типом (eSIM, если устройство передаёт вместе с ним EID, иначе SIM-карта), оператором (домашний оператор во всплывающей подсказке, если устройство находится в роуминге другой сети), номером телефона, ICCID, EID, IMEI, SIM-картой для данных и для звонков, а также роумингом. Слот eSIM без тарифа отображается серым как Нет тарифа.
Это устройство не сообщило о SIM-карте означает, что устройство ответило без SIM-карт; Сведений о сотовой связи пока нет означает, что оно ещё не ответило: используйте Обновить сведения об устройстве.

Номера телефонов, ICCID, IMEI и EID идентифицируют человека и линию: они никогда не запрашиваются у личных устройств или при регистрации пользователя. Когда устройство становится личным, эта информация сразу удаляется и скрывается в результатах старых команд получения сведений об устройстве в истории команд. Она не экспортируется и не записывается в системные журналы.

Обновить тарифы сотовой связи

iPhone и iPad не могут установить eSIM по коду активации. Оператор привязывает (резервирует) тариф eSIM к EID устройства на своём сервере eSIM (SM-DP+) и сообщает вам адрес этого сервера; затем Обновить тарифы сотовой связи просит устройство загрузить ожидающие его тарифы. Кнопка Обновить тарифы сотовой связи на панели выбирает команду на панели «Команды», где вы вводите URL-адрес сервера eSIM оператора:

Адрес https://, отправляется как есть. Адреса с http://, с именем пользователя или паролем либо с частью после # не принимаются.
Имя хоста, например smdp.carrier.example, отправляется как https://smdp.carrier.example.
Код активации LPA (LPA:1$server$code, текст QR-кода eSIM): используется только сервер, поскольку команда не может передать код. Тариф должен быть привязан оператором к EID устройства, иначе устройство не найдёт ничего для загрузки.

Устройство устанавливает и активирует тариф, не спрашивая пользователя, в том числе если оно не находится под надзором. Успех в истории команд означает, что устройство приняло запрос, а не что тариф установлен: установка может занять до трёх минут, и примерно через три минуты Cerberus Enterprise снова запрашивает у устройства сведения о SIM-картах, поэтому новый тариф появляется на панели. Ошибки 36001 (устройство не смогло связаться со своей сотовой системой), 36002 (нет поддержки eSIM) и 36003 (сотовая система занята, повторите попытку позже) описаны в системных журналах. Тариф, загруженный один раз, нельзя загрузить повторно: если установка не удалась, обратитесь к оператору. Команда также доступна сразу для нескольких устройств в меню Действия с устройствами Apple на странице «Устройства».

Что не разрешает Apple

Добавить eSIM по коду активации: невозможно, используйте Обновить тарифы сотовой связи с тарифом, привязанным к EID.
Удалить eSIM: eSIM нельзя удалить удалённо по одной. Стирание устройства с отключённым параметром Сохранить тариф eSIM для передачи данных удаляет все eSIM. Чтобы остановить отдельный тариф, попросите оператора деактивировать его: тариф остаётся на устройстве, но не может подключиться.
Запросить EID: не требуется, EID поступает вместе со сведениями о SIM-картах корпоративных устройств.
Mac не поддерживают управление сотовой связью или eSIM.

Статус устройства

Команды

Страница устройства предоставляет панель Команды для отправки удалённых команд управляемому устройству. Доступные команды зависят от платформы (Android или Apple) и состояния устройства.

Команды можно отправлять только на устройство, которое сейчас зарегистрировано. На незарегистрированном устройстве, на устройстве ADE, которое ещё не зарегистрировано, и в истории прошлой регистрации панель показывает только историю команд.

Если устройство сейчас не в сети, команда будет доставлена и выполнена, как только устройство подключится к Интернету. Для команд Android можно задать параметр Срок действия, чтобы определить, как долго недоставленная команда остаётся действительной.

Команды Android (AMAPI)

Для устройств Android панель «Команды» содержит поле Срок действия (значение + единица) и селектор Команда. Некоторые команды требуют дополнительных параметров, которые появляются динамически при выборе команды.

Общие параметры

Срок действия: как долго команда остаётся действительной, если её нельзя выполнить немедленно.
Команда: выберите действие, которое нужно отправить на устройство.

Команды без дополнительных полей

Заблокировать устройство: блокирует устройство.
Перезагрузить устройство: перезагружает устройство. Требуется Android 7.0 или новее.
Отключить режим пропажи: выводит устройство из режима пропажи.
Передать право собственности: удаляет рабочий профиль и все политики с корпоративного устройства с Android 8.0 или новее и оставляет его для личного использования. Приложения и данные личного профиля сохраняются. Устройство удаляется с сервера после того, как подтвердит команду. Это действие нельзя отменить.

Команды с дополнительными полями

Сбросить пароль: требуются Новый пароль и Подтвердите новый пароль. Дополнительные переключатели: Заблокировать сейчас, Требовать ввод и Не запрашивать учётные данные при загрузке.
Очистить данные приложения: требуется Имя пакета.
Включить режим пропажи: требуется Сообщение режима пропажи; поддерживаются необязательные контактные поля (почтовый адрес, организация, номер телефона, эл. почта). Когда устройство сообщит об этом, его состояние станет Потеряно, страница устройства покажет баннер, а эта команда будет скрыта до отключения режима пропажи.
Стереть устройство: поддерживает Сообщение о причине стирания (отображается пользователям на личных устройствах) и необязательные флаги стирания, включая Стереть eSIM.

Команды eSIM (Добавить eSIM, Удалить eSIM, Запросить EID) доступны на отдельной панели Управление SIM.

История команд

Ниже элементов управления отправкой панель управления показывает таблицу истории команд. Таблица сортируется и поддерживает разбивку на страницы. Некоторые строки можно развернуть, чтобы просмотреть дополнительные параметры или сведения о выполнении.

Столбцы истории Android

Дата создания
Команда
Срок действия
Статус
Ошибка
Дата выполнения

Команды Apple (MDM)

Для устройств Apple панель «Команды» предоставляет селектор Команда. Некоторые команды требуют дополнительных входных данных. Как и для Android, ниже отображается таблица истории команд.

Команды с дополнительными полями

Установить приложение: требуется Bundle ID приложения.
Отправить уведомление: требуется Текст уведомления (максимальная длина — 200 символов).

На iPhone и iPad команды Отправить уведомление и отслеживание в реальном времени доходят до устройства через приложение Cerberus Enterprise: они отключены, пока приложение не установлено и не зарегистрировано для получения уведомлений (см. поле Приложение Cerberus Enterprise). При запуске отслеживания в реальном времени отображается сообщение «Запрос на отслеживание в реальном времени отправлен на устройство»: отслеживание начинается, когда устройство отправляет первое местоположение. iOS может задержать запрос или не доставить его, например в режиме энергосбережения или без подключения к сети: если местоположение не поступает в течение 2 минут, попросите пользователя один раз открыть приложение. При сбое запроса в сообщении указывается причина, например приложение ещё не зарегистрировано, отсутствует ключ уведомлений сервера или токен уведомлений устройства больше не действителен.

Действия с устройством

Перечислены только команды, поддерживаемые устройством: некоторые требуют iPhone или iPad под наблюдением, другие недоступны на Mac. Для прерывающих действий требуется подтверждение.

Заблокировать устройство: блокирует экран, можно указать сообщение и номер телефона. Mac перезагружается и блокируется шестизначным PIN-кодом, который показывается один раз после отправки команды и в сведениях о команде. iPhone показывает заголовок «Потерянный iPhone» над вашим сообщением, хотя эта команда не включает режим пропажи.
Включить режим потерянного устройства (iPhone и iPad под наблюдением): блокирует устройство и показывает ваше сообщение, номер телефона и примечание на экране блокировки. Пока режим потерянного устройства включён, страница показывает баннер и команды Определить устройство (местоположение отображается на карте местоположений), Воспроизвести звук и Отключить режим потерянного устройства.
Устройство сообщает тому, кто его держит, что оно найдено: после Найти устройство на экране блокировки отображается iPhone найден со временем и именем сервера, получившего местоположение, и кнопкой Продолжить. iOS показывает это уведомление, и его нельзя отключить.
Сбросить код-пароль: удаляет код-пароль iPhone или iPad, например если пользователь его забыл. Если политика требует код-пароль, пользователю предлагается задать новый.
Обновить сведения об устройстве: запрашивает у устройства его сведения (наблюдение, версия ОС, состояние безопасности, сертификат MDM) и его инвентаризацию.
Настройки устройства: открывает окно для изменения имени устройства, имени хоста Mac, Bluetooth, роуминга данных, точки доступа, часового пояса, обоев, разрешён ли Activation Lock, а на Shared iPad — его настроек (см. ниже). Отправляются только изменённые настройки; неподдерживаемые устройством отключаются с указанием причины. Устройство может подтвердить роуминг данных или точку доступа, не применив их (например, если тарифный план SIM не поддерживает точку доступа), поэтому Cerberus Enterprise считывает их повторно примерно через 30 секунд и записывает предупреждение в системные журналы, если они не изменились.
Перезагрузить устройство и Выключить устройство: перезагружают или выключают устройство сразу, после подтверждения.
Стереть устройство: стирает всё содержимое и настройки и удаляет устройство из управления. На iPhone и iPad можно сохранить план данных eSIM и пропустить настройку по близости; Mac получает шестизначный PIN-код.
Return to Service (параметр команды Стереть устройство, iPhone и iPad с iOS 17 или новее): после стирания устройство снова настраивается само, без участия человека, и повторно регистрируется с текущей политикой, пользователем и владельцем. Для настройки выберите сеть Wi-Fi из политики устройства, если только устройство не использует Ethernet или сотовые данные: можно использовать только личные сети (с паролем, без сертификатов), поскольку у устройства ещё нет пользователя и сертификата. Activation Lock должен быть отключён.
Обновить сотовые планы (iPhone и iPad с сотовой связью, iOS 13 или новее, не User Enrollment): введите URL сервера eSIM оператора, предоставленный оператором (адрес https://, имя хоста или код активации LPA, из которого используется только сервер), и устройство загрузит планы eSIM, которые оператор привязал к его EID. EID устройства показан под полем, чтобы отправить его оператору. См. страницу Управление SIM.
Сохранить план данных eSIM в выключенном состоянии удаляет все eSIM при стирании. Ограничение политики Сохранять eSIM при стирании устройства (устройства под наблюдением, iOS 17.2 или новее) применяется к стираниям, запущенным на самом устройстве (слишком много неудачных попыток ввода код-пароля, «Стереть всё содержимое и настройки»): Apple не документирует его влияние на эту команду.
Выйти из аккаунта пользователя (Shared iPad): выполняет выход текущего пользователя и возвращает на экран входа. Данные, ещё не синхронизированные с iCloud, остаются на iPad.

Shared iPad

Shared iPad используется несколькими людьми, у каждого свой управляемый аккаунт Apple (Managed Apple Account), или гостями с временными сеансами. Он настраивается с помощью профиля ADE, который включает Shared iPad (см. страницу Apple Automated Device Enrollment), а его поле Тип регистрации показывает Shared iPad.

Пользователи Shared iPad: пользователи iPad, вошедший пользователь, используемое ими хранилище и признак того, что некоторые данные ещё не синхронизированы с iCloud. Нажмите Обновить, чтобы снова запросить у iPad список. Пользователя можно удалить вместе с его данными, кроме вошедшего пользователя (сначала выполните его выход); для Удалить всех пользователей требуется iPadOS 14 или новее. Если данные ещё не синхронизированы, подтверждение предупреждает, что они будут потеряны.
Настройки устройства: хранилище для каждого пользователя, ожидаемое число пользователей, время бездействия, после которого пользователи и гостевые сеансы выходят из системы, только гостевые сеансы, домены управляемых аккаунтов Apple (Managed Apple Account), предлагаемые на экране входа, сколько дней пользователь может входить без проверки пароля онлайн и пропуск настройки языка и региона для новых пользователей. Пустые поля сохраняют текущее значение; настройки, требующие более новой iPadOS, отключаются.

Пользователи Mac

На Mac панель Пользователи Mac перечисляет пользователей, зарегистрированных в управлении, обычно это пользователь, зарегистрировавший Mac. Аккаунты из политики устанавливаются в их сеансах. Для каждого пользователя показывается, когда он был зарегистрирован, последний отчёт его сеанса и состояние аккаунтов: Актуально, Ожидание пользователя (Mac устанавливает их, когда пользователь входит в систему), Не применено с причинами, сообщёнными Mac, или Нет аккаунтов, если в политике их нет. Нажмите Перезагрузить, чтобы снова прочитать список.

Activation Lock

Поле Activation Lock показывает, включён ли Activation Lock. Когда он включён, стёртое устройство можно снова настроить только с аккаунтом Apple пользователя или с кодом обхода устройства. Устройства под наблюдением включают Activation Lock, только если это разрешено в Настройках устройства. Cerberus Enterprise запрашивает у устройств под наблюдением их код обхода и сохраняет его: используйте Показать код обхода в меню поля, чтобы увидеть его (это могут только администраторы, и каждый просмотр записывается в системный журнал), затем введите его как пароль на экране Activation Lock устройства, оставив аккаунт Apple пустым.

Recovery Lock и пароль прошивки (Mac)

Mac с Apple silicon показывает поле Recovery Lock, Mac на базе Intel — поле Пароль прошивки. Оба защищают Mac при запуске: с Recovery Lock recoveryOS запрашивает пароль; с паролем прошивки Mac запрашивает его для запуска с другого диска или из режима восстановления. Поле показывает, сообщает ли Mac о наличии пароля, а в подсказке — когда Cerberus Enterprise его сохранил и когда он последний раз проверялся.

Задать или изменить пароль: Cerberus Enterprise создаёт пароль из 20 букв, расположенных на одних и тех же клавишах при любой раскладке клавиатуры, либо администратор вводит свой (от 8 до 64 символов без диакритики; другие роли могут только создать пароль, так как не видят сохранённые пароли). Пароль сохраняется в зашифрованном виде перед отправкой и заменяет сохранённый, только когда Mac подтвердит его. Если на Mac уже задан пароль вне Cerberus Enterprise, введите его как текущий пароль: он используется один раз и не сохраняется.
Проверить пароль: спрашивает у Mac, верен ли сохранённый пароль. Результат отображается в подсказке и в системном журнале.
Показать пароль: только администраторы могут видеть сохранённый пароль, и каждый просмотр записывается в системный журнал. Созданные пароли показываются группами по четыре буквы: вводите их без пробелов.
Очистить пароль: удаляет пароль с Mac.

Mac на базе Intel перезагружается, чтобы применить изменение пароля прошивки: до этого по-прежнему нужен прежний пароль (он указан в разделе «Показать пароль»), и отправить ещё одно изменение нельзя. Apple также принимает только одну команду пароля прошивки каждые 30 секунд. Пароли скрыты в истории команд.

Когда Mac выходит из управления (отмена регистрации, удаление пользователем или стирание), macOS сам удаляет Recovery Lock, а Cerberus Enterprise удаляет сохранённый пароль Recovery Lock; то же происходит, когда Mac сообщает, что у него нет Recovery Lock, например после повторной регистрации. При отмене регистрации Mac (или удалении его политики) сначала очищается сохранённый пароль прошивки, Mac перезагружается и затем выходит из управления. Если очистка не удалась, Mac всё равно выходит из управления, а пароль остаётся сохранённым, чтобы вы могли его увидеть. Mac, удалённый из управления пользователем или стёртый, сохраняет пароль прошивки: Cerberus Enterprise тоже его сохраняет. Удаление записи устройства удаляет сохранённый пароль, поэтому сначала запрашивается подтверждение: запишите пароль, поскольку без него удалить его может только Apple.

FileVault (Mac)

В поле FileVault отображается, зашифрован ли диск Mac, а во всплывающей подсказке — хранит ли Cerberus Enterprise его личный ключ восстановления. Mac отправляет ключ, когда FileVault включается после получения параметра FileVault своей политики (см. страницу macOS политик Apple).

Показать ключ восстановления: только администраторы могут видеть ключ, и каждый просмотр записывается в системный журнал. Используйте его на экране входа Mac, чтобы сбросить пароль пользователя, или в режиме восстановления, чтобы разблокировать диск. Он остаётся доступным после выхода Mac из управления; удаление записи устройства удаляет его.
Изменить ключ восстановления: Mac заменяет свой личный ключ восстановления и отправляет новый в зашифрованном виде; старый ключ перестаёт работать. Это возможно, только когда сохранённый ключ можно прочитать: Mac разблокирован с его помощью и пароль пользователя не требуется. Сохранённый ключ скрыт в истории команд и удаляется с сервера, как только Mac ответит (или через 7 дней без ответа).

Bootstrap Token (Mac)

Mac с macOS 10.15 или новее отправляет свой Bootstrap Token на сервер управления, когда входит пользователь с безопасным токеном. Сервер хранит его и возвращает только этому Mac, который использует его, чтобы предоставлять новым пользователям безопасный токен и, на Mac с Apple silicon, устанавливать обновления программного обеспечения и одобрять расширения ядра без запроса пароля администратора. Никто не может увидеть токен — ни в панели управления, ни где-либо ещё. Поле Bootstrap Token показывает его состояние:

Сохранён на сервере: сервер имеет токен; в подсказке указано, когда Mac его отправил.
Сохранён ранее: сохранённый токен был отправлен до последней регистрации этого Mac или продления его сертификата MDM. После продления это ожидаемо: токен сохраняется, и Mac не отправляет его снова. После новой регистрации он может быть уже недействителен: выполните sudo profiles install -type bootstraptoken в Терминале на Mac.
Не сохранён: Mac ещё не отправил токен. Чтобы отправить его сейчас, администратор Mac выполняет sudo profiles install -type bootstraptoken в Терминале (sudo profiles status -type bootstraptoken показывает, сохранён ли он).

Подсказка также сообщает, разрешает ли Mac использовать токен для аутентификации. Mac, настроенные с помощью Automated Device Enrollment, разрешают это автоматически; на других Mac с Apple silicon пользователь может разрешить это в Startup Security Utility в recoveryOS. Mac на Intel не могут использовать токен для аутентификации (Не поддерживается), но сохранённый токен всё равно даёт новым пользователям безопасный токен. Каждый раз, когда Mac отправляет, удаляет или запрашивает свой токен, это записывается в системный журнал.

Состояние устройства и обновления ОС

Панель Состояние устройства показывает, что устройство сообщает о себе: версию и сборку ОС, ход обновления программного обеспечения (ожидаемая версия, крайний срок, что его запустило, сбои), установлен ли код-пароль и соответствует ли он политике, FileVault на Mac, состояние аккумулятора и аккаунты, настроенные на устройстве.

Список Доступные обновления показывает обновления ОС, которые устройство может установить; они собираются при регистрации и еженедельно. Используйте Проверить обновления, чтобы запросить их сейчас, и Установить, чтобы сразу установить обновление (после подтверждения устройство перезагрузится) или только загрузить его и позволить пользователю установить самостоятельно. Это работает на iPhone и iPad под наблюдением и на Mac до iOS, iPadOS и macOS 26: на более поздних версиях и для обновления многих устройств используйте обязательные обновления политики (см. страницу Обновления ПО политик Apple).

Mac с Apple silicon устанавливает обновление без запроса пароля администратора, только если он разрешает использование своего Bootstrap Token для аутентификации и токен сохранён (см. Bootstrap Token выше). В противном случае в подтверждении указывается, что пользователю, возможно, придётся ввести пароль администратора перед установкой обновления.

Приложения и инвентаризация

Панель Приложения перечисляет все приложения устройства в одной таблице. Состояние установки приложений, установленных политикой или командой, передаётся устройством в реальном времени; версии, размеры и приложения, установленные пользователем, берутся из последнего списка приложений, собранного при регистрации и еженедельно. Используйте Запросить у устройства, чтобы запросить его сейчас.

Управление: Политика для приложений, установленных политикой устройства, Управляемое для приложений, установленных командой, например Установить приложение, Не управляется для установленных пользователем. У приложения Cerberus Enterprise есть метка Установлено Cerberus.
Требует внимания: приложения, которые не удалось установить, были отклонены или удалены пользователем либо ожидают пользователя. Откройте строку, чтобы увидеть ошибку; приложения политики, установка которых не удалась, можно установить снова с помощью кнопки повтора. Встроенные приложения и приложения App Store, которые устройство сообщает как непроверенные, не учитываются.
Удалить приложение: управляемые приложения можно удалить вместе с их данными. Чтобы удалить приложение, установленное политикой, удалите его из политики. Политика также сама отправляет эту команду, когда пакет Mac, установленный как управляемое приложение, удаляется из политики.

Панель Профили, сертификаты и безопасность показывает профили конфигурации, сертификаты и состояние безопасности (код-пароль, шифрование, FileVault и брандмауэр на Mac), о которых сообщает устройство.

На личных устройствах приложения, установленные пользователем, не собираются, и перечисляются только профили и сертификаты, управляемые Cerberus Enterprise.

Панель Изменения инвентаризации показывает, что изменилось между двумя списками, отправленными устройством: приложения установлены, удалены или обновлены (со старой и новой версией), профили установлены, удалены или обновлены, сертификаты добавлены или удалены. Изменение обнаруживается, когда устройство отправляет новый список — еженедельно для приложений и профилей, ежедневно для сертификатов, — или когда вы используете Запросить у устройства: показанная дата — это дата обнаружения, а изменение произошло между предыдущим списком и этим. Первый список устройства и первый после новой регистрации или смены владельца только фиксируется как отправная точка. Поиск по имени или идентификатору, фильтрация по типу и изменению. Изменения хранятся 365 дней.

Когда обновление ОС заменяет сразу много приложений Apple, они отображаются одной строкой (например, «Обновлено приложений Apple: 23»), которую можно развернуть. Продление сертификата MDM отображается как Сертификат MDM продлён. На личных устройствах показываются только изменения элементов, управляемых Cerberus Enterprise.

Столбцы истории Apple

Дата создания
Команда
Статус: Отправлено (ожидает устройство, доставляется, как только оно подключится), Успешно, Есть ответ (откройте строку, чтобы увидеть результат), Ожидание устройства (устройство не может выполнить команду прямо сейчас), Не выполнено (откройте строку, чтобы увидеть причину) или Отменено (очередь команд устройства была очищена, например при повторной регистрации).
Дата выполнения

Обновить

Используйте действие обновления на панели «Команды», чтобы перезагрузить историю команд.

Карта местоположений панели управления

Карта местоположений панели управления даёт общий обзор последнего известного местоположения устройств, передающих данные о местоположении. Откройте её из Панели управления, чтобы просмотреть несколько устройств на одной карте Google.

Предварительные требования

Устройство появляется на этой карте, только если в назначенной ему политике включена передача местоположения. Чтобы включить её, откройте политику и включите Местоположение и геозоны → Сообщать местоположение. Подробнее см. Местоположение и геозоны.

Личные устройства (User Enrollment) передают своё местоположение, только если в их политике Apple включён параметр Местоположение и геозоны на личных устройствах и пользователь разрешает определение местоположения для приложения Cerberus Enterprise. В противном случае Cerberus не собирает их местоположение, и отслеживание в реальном времени для них недоступно.

Об истории по каждому устройству и переходах геозон, доступных в редакторе устройства, см. Карта местоположений.

История местоположений хранится 90 дней, а более старые местоположения автоматически удаляются каждую ночь. Последнее местоположение каждого зарегистрированного устройства всегда сохраняется, поэтому устройства, которые давно не передавали данные, по-прежнему отображаются на карте.

Состояние загрузки и отсутствия данных

Пока данные о местоположении загружаются, на карте отображается наложение загрузки.
Если в данный момент нет устройств с доступными данными о местоположении, страница показывает сообщение Данные о местоположении недоступны.

Маркеры и кластеры

Каждое устройство с доступными данными о местоположении отображается в виде маркера. Когда много устройств находятся рядом, маркеры автоматически объединяются в кластеры, чтобы карта оставалась читаемой.

Устройства, которые в данный момент отслеживаются в реальном времени, выделяются анимированным маркером, чтобы их было легче заметить на карте.

Элементы управления картой

Когда карта содержит местоположения устройств, Cerberus Enterprise показывает кнопки действий в правом верхнем углу карты.

Текущее местоположение: использует местоположение браузера, чтобы переместить карту в вашу текущую позицию и подогнать область указанной точности.
Центрировать карту: снова подгоняет карту вокруг отображаемых в данный момент маркеров устройств.
Отслеживается — индикатор отслеживания в реальном времени: появляется, когда одно или несколько устройств отслеживаются в реальном времени, и показывает, сколько из них сейчас активно.
Остановить всё отслеживание: кнопка со значком внутри индикатора отслеживания останавливает отслеживание в реальном времени для всех отслеживаемых устройств после подтверждения.

Сведения о маркере

Нажатие на маркер открывает информационное окно с:

Модель устройства и внутренний Идентификатор.
Метка времени последнего переданного местоположения.
Переданная точность в метрах.
Переданная скорость, если доступно.
Переданный курс или азимут, если доступно.

Идентификатор устройства в информационном окне — это ссылка, открывающая соответствующую страницу Обзор устройства.

Действия в информационном окне

Каждое информационное окно также содержит кнопки действий для выбранного устройства.

Ссылка на устройство: имя и идентификатор устройства в верхней части информационного окна открывают соответствующую страницу обзора устройства.
Приблизить: центрирует карту на выбранном устройстве и точнее подгоняет круг указанной точности вокруг него.
В реальном времени: запускает отслеживание в реальном времени для этого устройства. Если отслеживание уже активно, та же кнопка останавливает его после подтверждения.
Отслеживание в реальном времени активно: если эта строка состояния отображается, выбранное устройство уже отслеживается в реальном времени.

Круг точности

Когда маркер выбран, карта отображает круг точности вокруг местоположения. Радиус круга соответствует переданной точности.

Поведение отслеживания в реальном времени

Запуск отслеживания в реальном времени из информационного окна отправляет этому устройству запрос на отслеживание в реальном времени. Затем Cerberus Enterprise автоматически обновляет карту, пока сеанс активен.

Каждый сеанс отслеживания в реальном времени длится до 15 минут.
Пока отслеживание в реальном времени активно, на устройствах Android отображается уведомление, а на iPhone и iPad — индикатор местоположения.
Отслеживание в реальном времени можно остановить либо в информационном окне выбранного устройства, либо глобальной кнопкой Остановить всё отслеживание на карте.
На iPhone и iPad отслеживание в реальном времени работает через приложение Cerberus Enterprise с доступом к местоположению Всегда. Запрос обычно пробуждает приложение, даже когда оно не открыто, после чего приложение отправляет местоположения в течение всего сеанса. iOS не гарантирует такие запросы: они могут задерживаться или не доставляться, например в режиме энергосбережения или без подключения к сети. Если местоположение не поступает в течение 2 минут, панель управления отменяет запрос: попросите пользователя один раз открыть приложение и повторите попытку.

Частные приложения

В этом разделе панели управления вы можете загружать собственные частные приложения Android или создавать веб-приложения для распространения на своих устройствах.

Единственные данные, которые нужно указать, — это название приложения и APK. Частные приложения автоматически одобряются для вашей организации и обычно готовы к распространению в течение 10 минут. Всего за день вы можете загрузить 15 частных приложений. Учтите, что веб-приложения также учитываются в этом общем количестве.

При первой публикации частного приложения вам потребуется указать адрес электронной почты для получения уведомлений из Play Console о ваших приложениях и аккаунте разработчика Google Play. Кроме того, управляемый Play автоматически создаёт аккаунт разработчика Play от имени вашей организации. Платить регистрационный сбор за этот аккаунт не нужно.

Частные приложения, опубликованные через iframe:

Не проходят те же проверки, что и другие приложения. Поэтому их нельзя преобразовать в общедоступные приложения.
Не подлежат передаче. Вы не можете передать права владения приложением другому аккаунту разработчика Play.

Для получения дополнительных сведений посетите справку управляемого Google Play

Управление сертификатами

Панель управления включает раздел Сертификаты для импорта, просмотра и удаления сертификатов. Нажатие на строку сертификата открывает редактор сертификата.

Список сертификатов

Сертификаты отображаются в сортируемой таблице с разбивкой на страницы. Список включает как клиентские сертификаты, так и центры сертификации (CA).

Фильтры

В верхней части страницы вы можете включить фильтры с помощью списка чипов. Некоторые фильтры взаимоисключающие.

Все: показать все сертификаты.
Клиентские: показать только клиентские сертификаты.
Центр сертификации (CA): показать только сертификаты CA.
Поиск: показывает текстовое поле (метка Имя или имя файла) для поиска по имени сертификата или имени импортированного файла.
Без пользователя: показать клиентские сертификаты, не связанные ни с одним пользователем.

Столбцы таблицы

Имя
Тип
Срок действия
Пользователь (отображается для клиентских сертификатов)
Имя импортированного файла
Дата импорта

Действия

Открыть сертификат: нажмите на строку, чтобы открыть редактор сертификата.
Удалить сертификат: доступно, только если сертификат не связан с пользователями или политиками и не используется устройствами. Действие также может быть отключено, если срок действия лицензии истёк.
Выбор нескольких строк: вы можете включить выбор нескольких строк, чтобы удалить несколько сертификатов одновременно. Выбирать можно только сертификаты, которые можно удалить.
Обновить: перезагрузить список сертификатов.

Импорт сертификатов

Чтобы импортировать сертификаты, нажмите Импортировать сертификат и выберите один или несколько файлов. Поддерживаемые форматы показаны в подсказке кнопки импорта.

Клиентские сертификаты

Поддерживаемый формат: PKCS#12 в кодировке Base64 (.p12 / .pfx).

Клиентские сертификаты идентифицируют пользователя или устройство в сети предприятия. Клиентские сертификаты можно связать с конкретным пользователем.

Каждый клиентский сертификат можно при необходимости назначить конкретному пользователю: это позволяет развернуть одну и ту же конфигурацию Wi‑Fi EAP на множестве устройств. Сделать это можно в разделе сетевой конфигурации политики, используя параметр Учётные данные EAP от пользователей.

Кроме того, вы можете назначить сертификат пользователю со страницы Пользователи.

На устройствах Apple сертификаты устанавливаются в разделе Сеть политики Apple, где также можно выбрать Сертификат пользователя устройства. См. страницу Сеть политик Apple.

Центры сертификации (CA)

Поддерживаемые форматы: X.509 в кодировке Base64 (.crt / .pem / .cer / .der).

Сертификаты CA идентифицируют центр сертификации и сообщают устройству, что любым сертификатам, выпущенным этим центром, следует доверять. Панель управления проверяет, что импортированный сертификат X.509 является сертификатом CA.

Редактор сертификата

Когда вы открываете сертификат, редактор показывает его основные поля и панель Информация о сертификате только для чтения.

Основные поля

Имя (обязательно)
Идентификатор (только для чтения)
Тип (только для чтения)
Срок действия (только для чтения)
Дата импорта (только для чтения)
Имя импортированного файла (только для чтения)

Связь с пользователем (клиентские сертификаты)

Для сертификатов Клиентский редактор показывает поле Пользователь. Если пользователь назначен, меню позволяет Открыть пользователя, Сменить пользователя или Отвязать пользователя. Если пользователь не назначен, вы можете назначить его с помощью кнопки действия пользователя.

Удаление сертификата

Действие удаления отключено, когда сертификат связан с пользователем или используется в политиках. Оно также может быть отключено, если срок действия лицензии истёк.

Правила событий

Правила событий позволяют автоматизировать реакции на поддерживаемые события устройства. Откройте Панель управления → Правила событий, чтобы создать правила, отслеживающие регистрацию, отмену регистрации, несоответствие требованиям и события геозон (устройства Android и Apple; события геозон поступают с устройств Android, iPhone и iPad), а затем автоматически запускать одно или несколько действий.

Что может делать правило событий

Каждое правило объединяет субъект, событие и одно или два действия. Поддерживаемые субъекты: Все устройства, Конкретное устройство и Политика.

События: устройство зарегистрировано, регистрация устройства отменена, устройство стало несоответствующим, вход в геозону, выход из геозоны.
Действия с устройством: отключить устройство, включить устройство, заблокировать устройство.
Действие эл. почты: отправить уведомление по эл. почте администраторам и, если включено, делегированным менеджерам.

Правило может содержать только действие эл. почты, только действие с устройством или одно действие с устройством плюс одно действие эл. почты. Если настроены оба действия, Cerberus Enterprise сначала выполняет действие с устройством, а затем действие эл. почты.

Правила платформы и совместимости

Доступные события и действия зависят от выбранного субъекта и платформы, применимой к этому субъекту.

Android поддерживает события регистрации, отмены регистрации, несоответствия требованиям и геозон.
Apple поддерживает события регистрации, отмены регистрации, несоответствия требованиям и геозон. События геозон поступают с iPhone и iPad с приложением Cerberus Enterprise.
Отключить устройство доступно как на Android, так и на Apple. На iPhone и iPad под наблюдением оно включает режим пропажи; другие устройства Apple вместо этого блокируются (Mac — шестизначным PIN-кодом, который отображается в истории команд устройства). Режим пропажи отключается на странице устройства.
Включить устройство предлагается только для событий геозон на Android и Apple. На iPhone и iPad оно отключает режим пропажи.
Отключить устройство и Включить устройство не применяются к устройству Android в режиме пропажи: только команда Отключить режим пропажи выводит его из режима пропажи. Остальные действия правила всё равно выполняются, а системный журнал указывает, почему действие с устройством было пропущено.
Заблокировать устройство и Отправить письмо доступны как на Android, так и на Apple, если выбранное событие их поддерживает. Mac блокируется шестизначным PIN-кодом, который отображается в истории команд устройства.
Регистрация устройства отменена: поддерживается только электронная почта.

Список правил

Список правил событий — основная страница управления этой функцией. Он включает таблицу с поиском по названию правила, субъекту, событию, действиям, платформе, состоянию включения и времени обновления.

Используйте фильтры, чтобы переключаться между всеми правилами, включёнными правилами, отключёнными правилами и текстовым поиском.
Используйте кнопку Обновить, чтобы перезагрузить текущий вид таблицы.
Используйте переключатель в каждой строке, чтобы временно включить или отключить правило.
Используйте режим выбора нескольких строк, чтобы удалить несколько правил сразу.
Используйте Создать правило события, чтобы открыть редактор нового правила.

Редактор правила

Редактор разделён на разделы Общие, Область действия, Триггер и Действия. Внизу страницы закреплённая панель действий оставляет основные кнопки видимыми при прокрутке.

Общие

Название: обязательно, до 150 символов.
Описание: необязательно, до 2000 символов.
Правило включено: сохраняет правило во включённом или отключённом состоянии.

Область действия

Область действия определяет, к каким устройствам может применяться правило. Редактор также показывает определённую платформу и, если доступен, действующий контекст политики.

Все устройства: правило может применяться ко всем поддерживаемым устройствам в организации.
Конкретное устройство: выберите одно управляемое устройство в диалоговом окне выбора.
Политика: выберите один шаблон политики в диалоговом окне выбора.

Триггер

Раздел триггера автоматически фильтрует доступные события на основе выбранной области действия и платформы.

Триггеры геозон

Правила входа в геозону и выхода из неё работают для устройств Android, iPhone и iPad, а правило для устройства или политики требует действительного контекста политики. Описания геозон см. на страницах Местоположение и геозоны (Android) и Местоположение и геозоны (Apple).

Если субъект — Все устройства, правило всегда применяется к любой геозоне.
Если субъект — устройство или политика, можно выбрать любую геозону или одну конкретную геозону.
Список конкретных геозон загружается из действующего контекста политики выбранного устройства или политики.
Правила геозон для всех устройств, сохранённые до появления геозон на iPhone и iPad, по-прежнему применяются только к устройствам Android. Откройте и сохраните их снова, чтобы они применялись и к устройствам Apple.

Действия

Раздел действий позволяет выбрать необязательное действие с устройством и необязательное уведомление по электронной почте. Интерфейс автоматически скрывает неподдерживаемые комбинации. Уведомление по электронной почте включено по умолчанию, в том числе когда вы выбираете действие с устройством: отключите его, если нужно только действие с устройством.

Если для выбранного события и области действия нет доступного действия с устройством, вы всё равно можете сохранить правило только с электронной почтой.
Если электронная почта отключена для выбранного события и платформы, переключатель электронной почты недоступен.
Правило без какого-либо действия недопустимо и не может быть сохранено.

Получатели писем

Действия с электронной почтой всегда включают пользователей организации с ролью ADMIN. Если организация управляется через мультитенантность, можно расширить список получателей, включив менеджеров MT.

Только основные менеджеры: включает администраторов организации и основные контакты менеджеров MT.
Основные менеджеры и менеджеры субаккаунтов: также добавляет назначенных менеджеров субаккаунтов.
Список предварительного просмотра показывает фактические адреса электронной почты, которые будут использоваться при срабатывании правила.
В окончательный список получателей включаются только делегированные менеджеры с предоставленным доступом к организации.

Поведение при выполнении

Правила событий срабатывают сразу, когда Cerberus Enterprise получает поддерживаемое событие от серверных интеграций. Отключённые правила автоматически пропускаются.

Успешные, пропущенные и неудачные выполнения записываются в системный журнал с понятными человеку сообщениями, включая причину, если правило или действие с устройством было пропущено.

Системный журнал хранит события состояния и местоположения устройств, а также успешные или пропущенные выполнения правил в течение 90 дней. Остальные события, такие как действия администраторов, входы в систему, предупреждения и ошибки (включая неудачные выполнения правил), хранятся 12 месяцев. Более старые записи автоматически удаляются каждую ночь.

Устройства

Раздел Устройства панели управления (Панель управления → Устройства) перечисляет все зарегистрированные устройства в вашем аккаунте. На этой странице можно фильтровать список, открывать карточку устройства и выполнять действия с устройством, такие как отключение или отмена регистрации.

Фильтры

В верхней части страницы можно включить один или несколько фильтров с помощью списка чипов. Выбранные чипы представляют активные в данный момент фильтры.

Фильтры зависят от платформ, настроенных в вашем аккаунте: фильтры для устройств Apple или Android появляются, только когда эта платформа настроена, а фильтры Android и Apple — только когда настроены обе.

Доступные фильтры

Все: показать все устройства.
Зарегистрированные: показать зарегистрированные устройства независимо от их состояния (например, активные, потерянные или отключённые). Незарегистрированные устройства и устройства ADE, которые ещё не зарегистрированы, не показываются. Этот фильтр выбран при открытии страницы: выберите «Все», чтобы увидеть незарегистрированные устройства и устройства, синхронизированные из Apple Business, которые ещё не зарегистрированы.
Несоответствующие: показать устройства, не соответствующие политике.
Незащищённые: показать устройства с незащищённым состоянием.
Ошибка приложений: показать устройства Android, приложения которых отправили сообщения об ошибках, и устройства Apple с управляемыми приложениями, требующими внимания (не удалось установить, отклонены или удалены пользователем либо ожидают пользователя).
Потерянные: показать устройства в режиме пропажи на Android и Apple. Их состояние отображается как «Потеряно».
Статус не обновлён: показать устройства, которые не сообщали статус за последние 72 часа.
Политика не обновлена: показать устройства с ожидающими изменениями политики.
Срок действия сертификата MDM истекает: показать устройства Apple, срок действия сертификата MDM которых истёк или истекает в течение 14 дней.
Android: показать только устройства Android.
Apple: показать только устройства Apple.
iPhone, iPad, Mac: показать только эти устройства Apple. Можно выбрать несколько.
Корпоративные: показать только корпоративные устройства.
Личные: показать только личные устройства.
Владелец устройства: показать только полностью управляемые устройства Android.
Владелец профиля: показать только устройства Android с рабочим профилем.
Под наблюдением / Не под наблюдением: показать устройства Apple, которые находятся под наблюдением или не находятся.
Поиск: включить поле текстового поиска.

Поиск

Когда вы включаете фильтр Поиск, появляется текстовое поле с меткой Id, модель, пользователь, серийный номер или ОС: оно ищет по идентификатору устройства, модели, имени пользователя, серийному номеру и версии ОС. Список обновляется автоматически после того, как вы перестанете вводить текст.

Таблица устройств

Устройства отображаются в сортируемой таблице с разбивкой на страницы. При нажатии на строку открывается редактор устройства.

Столбцы

Модель: модель устройства.
Пользователь: связанный пользователь (имя, эл. почта или id в зависимости от доступности).
Состояние: состояние устройства (с подробностями во всплывающей подсказке).
Соответствие: индикатор статуса соответствия.
Безопасность: состояние безопасности (с подробностями во всплывающей подсказке). На устройствах Apple: Под угрозой без код-пароля, а на Mac — при отключённом FileVault или защищённой загрузке; Потенциально скомпрометировано на Mac при отключённой защите целостности системы или отключённом подписанном системном томе. Страница устройства перечисляет риски. Apple не сообщает об iPhone и iPad с джейлбрейком системе управления устройствами.
Ошибка приложений: индикатор ошибки приложений.
Последний отчёт о статусе: отметка времени последнего отчёта о статусе (если доступна).
Политика: назначенная в данный момент политика.
ОС: операционная система и версия (например, iOS 17.7 или Android 14). При сортировке сначала учитывается система, затем версия.
Владение: корпоративное или личное (с подробностями во всплывающей подсказке).
Режим управления: режим управления (с подробностями во всплывающей подсказке).
Id: внутренний идентификатор устройства.

Обновление и разбивка на страницы

Используйте действие обновления, чтобы перезагрузить список.
Таблица разбита на страницы (10/25/50 элементов на странице).

Действия с устройствами

Каждая строка устройства может предоставлять действия в зависимости от платформы и состояния устройства. Некоторые действия недоступны, если срок действия вашей лицензии истёк или она прекращена.

Действия для отдельного устройства

Отключить устройство / Включить устройство: доступно для устройств Android в поддерживаемых состояниях.
Отменить регистрацию устройства: удаляет управление. На Android это может стереть рабочий профиль или сбросить устройство к заводским настройкам (в зависимости от владения); на Apple это удаляет настройки политики.
Удалить устройство: доступно для устройств, регистрация которых уже отменена (удаляет запись из системы). Mac, пароль прошивки которого всё ещё хранится в Cerberus Enterprise, удаляется только после подтверждения, поскольку пароль удаляется вместе с ним.

Выбор нескольких строк

Вы можете включить выбор нескольких строк на панели действий под таблицей. Когда он включён, можно выбрать несколько строк и применить массовые действия (отключить, включить, отменить регистрацию или удалить) в зависимости от выбранных устройств.

Для устройств Apple меню Действия с устройствами Apple блокирует, перезапускает, выключает, обновляет информацию или стирает все выбранные устройства. Действие доступно, когда каждое выбранное устройство является зарегистрированным устройством Apple, которое его поддерживает. PIN-коды Mac, которые блокируются или стираются, показываются один раз после отправки команды. Отмена регистрации устройств Apple удаляет их профиль регистрации и настройки политики без их стирания.

Обновить тарифы сотовой связи запрашивает у выбранных iPhone и iPad загрузку тарифов eSIM, которые оператор привязал к их EID, с одного сервера eSIM оператора, введённого в окне для всех них. В отличие от других действий, оно отправляется только выбранным устройствам, которые его поддерживают: Mac, регистрации пользователей, устройства со старыми версиями iOS и iPad, которые никогда не сообщали данные сотовой связи, пропускаются и перечисляются в результате. См. страницу Управление SIM-картами.

Синхронизация с Apple Business

Если Apple Management настроен и имеется токен Automated Device Enrollment, страница может показывать действие Синхронизировать из Apple Business для импорта устройств из Apple Business. Сообщение указывает, сколько устройств добавлено. Если некоторые были добавлены, список переключается на фильтр Все, поскольку устройства, которые ещё не зарегистрированы, не отображаются фильтром Зарегистрированные.

Зарегистрировать устройство

Используйте Зарегистрировать устройство, чтобы открыть раздел «Токены регистрации» и начать регистрацию нового устройства.

Пользователи

Раздел Пользователи панели управления (Панель управления → Пользователи) содержит список всех пользователей, настроенных в вашем аккаунте. На этой странице вы можете искать пользователей, открывать редактор пользователя, создавать новых пользователей и удалять пользователей, которые сейчас не связаны с устройствами.

Поиск

В верхней части страницы есть поле поиска с меткой Поиск и подсказкой Имя, имя пользователя или эл. почта. Список обновляется автоматически после того, как вы перестанете вводить текст.

Таблица пользователей

Пользователи отображаются в таблице с возможностью сортировки и постраничной навигации. Нажатие на строку открывает редактор пользователя.

Столбцы

Имя: имя и фамилия пользователя. По умолчанию таблица сортируется по имени.
Эл. почта: адрес электронной почты пользователя.
Имя пользователя: имя пользователя (часто имя пользователя в каталоге).
Устройства: количество устройств, связанных с пользователем в данный момент, без устройств с отменённой регистрацией. Включает устройства Apple, назначенные пользователю, которые ещё не зарегистрированы.
Последняя активность устройства: самый свежий отчёт о состоянии, отправленный любым из устройств пользователя. Пусто, если у пользователя нет устройств. Сортируйте по этому столбцу, чтобы найти неактивных пользователей.
Сертификат WiFi: имя сертификата Wi‑Fi, назначенного пользователю, со значком. Пусто, если у пользователя нет сертификата.
ID: внутренний идентификатор пользователя.

Обновление и постраничная навигация

Действие обновления перезагружает список.
Таблица разбита на страницы (10/25/50 элементов на странице).

Действия с пользователем

Создать нового пользователя

Используйте Создать нового пользователя, чтобы открыть диалоговое окно создания пользователя. Это действие недоступно, если срок действия лицензии истёк.

Синхронизировать из Google Workspace

Если для вашего аккаунта доступна синхронизация каталога Google Workspace, страница показывает Синхронизировать из Google Workspace. При запуске синхронизации во время выполнения запроса отображается индикатор выполнения.

Удалить пользователя

Вы можете удалить пользователя, только если он не связан ни с одним устройством (в столбце Устройства должно быть 0). Действие удаления недоступно, если срок действия лицензии истёк или лицензия расторгнута.

Выбор нескольких строк и массовое удаление

На панели действий под таблицей можно включить выбор нескольких строк. В этом режиме вы можете выбрать нескольких пользователей и удалить их массово.

Пригодность: для удаления можно выбрать только пользователей, у которых Устройства = 0.
Выбрать все: флажок Все выбирает все подходящие строки на текущей странице.
Массовое удаление: Удалить выбранных пользователей недоступно, если не выбрано ни одной строки или если срок действия лицензии истёк или лицензия расторгнута.

Сертификаты Wi‑Fi и EAP

Столбец Сертификат WiFi показывает имя сертификата, назначенного пользователю в данный момент. Сертификаты пользователей обычно используются для конфигураций Wi‑Fi EAP (например, EAP‑TLS). Сведения о назначении сертификатов и управлении ими см. в разделе Управление сертификатами.

Пользователи

Редактор пользователя

Редактор пользователя доступен в разделе Панель управления → Пользователи при нажатии на строку пользователя. С его помощью можно редактировать сведения о пользователе, настраивать учётные данные Wi‑Fi EAP для отдельного пользователя и просматривать связанные устройства пользователя.

Сведения о пользователе

Верхний раздел содержит основные поля пользователя. Некоторые поля обязательны, и редактор показывает ошибки проверки, если они отсутствуют или недопустимы.

ID: идентификатор только для чтения.
Имя: обязательно.
Фамилия: обязательно.
Имя пользователя: обязательно.
Эл. почта: обязательно и должно быть действительным адресом электронной почты.
Номер телефона: необязательно.
Аккаунт Google: необязательно; если указан, должен быть действительным адресом электронной почты.
Apps and Books (только для чтения; отображается под полем Managed Apple Account после того, как пользователь зарегистрировал личный iPhone или iPad с помощью User Enrollment): статус пользователя Apps and Books, созданного Cerberus для Managed Apple Account, чтобы назначать лицензии на приложения личным устройствам пользователя: связан, зарегистрирован, ожидает Apple, создаётся, сбой или выведен из эксплуатации. Пользователь, остающийся зарегистрированным, всё ещё может получать лицензии; сбой обычно означает, что аккаунт находится не в той же организации Apple Business, что и токен Apps and Books.

Политика аутентификации Google по умолчанию

В средах Google Workspace с включённой аутентификацией Google редактор может отображать раздел Политика аутентификации Google по умолчанию. Это политика, применяемая к устройствам, зарегистрированным этим пользователем с помощью аутентификации Google.

Изменить политику: открывает диалоговое окно выбора политики.
Открыть политику: открывает выбранную политику в редакторе политик (если политика задана).
После выбора новой политики по умолчанию необходимо сохранить пользователя, чтобы применить изменения. Редактор показывает уведомление с напоминанием о сохранении.

Учётные данные Wi‑Fi EAP

Раздел Учётные данные WiFi EAP используется для настройки учётных данных отдельного пользователя, которые автоматически устанавливаются на устройства пользователя, если назначенная ему политика содержит конфигурацию Wi‑Fi EAP, требующую их. Конфигурация Wi‑Fi EAP является частью политики Android конфигурация сети.

Клиентский сертификат

При необходимости вы можете назначить пользователю клиентский сертификат. Если сертификат назначен, он отображается в поле Клиентский сертификат, а меню предоставляет действия. Если сертификат не назначен, в поле отображается Сертификат не назначен, и вы можете его назначить.

Назначить сертификат: открывает диалоговое окно выбора сертификата.
Открыть сертификат: открывает редактор сертификатов.
Изменить сертификат: выбирает другой клиентский сертификат.
Отменить связь с сертификатом: удаляет сертификат у пользователя. Система также удаляет сертификат со всех устройств, связанных с этим пользователем.

Сведения об импорте сертификатов и управлении ими см. в разделе Управление сертификатами.

Идентификатор, анонимный идентификатор и пароль

Идентификатор: идентификатор пользователя. Для туннелирования внешних протоколов (PEAP, EAP‑TTLS) используется внутри туннеля.
Анонимный идентификатор: используется для туннелирования внешних протоколов как идентификатор, предъявляемый вне туннеля. Если не указан, по умолчанию используется пустая строка.
Пароль: пароль пользователя для методов EAP, которые его требуют. Если он не указан, устройство может запросить его у пользователя. Действие «показать/скрыть» переключает видимость пароля.

Связанные устройства

Раздел Связанные устройства показывает список устройств, которые сейчас связаны с пользователем. Если у пользователя есть одно или несколько связанных устройств, его нельзя удалить.

Сохранение и удаление

Сохранить пользователя: доступно только если форма действительна, есть несохранённые изменения и лицензия активна. Во время сохранения отображается индикатор выполнения.
Удалить пользователя: недоступно, если пользователь связан с устройствами или если срок действия лицензии истёк/лицензия расторгнута. Когда удаление разрешено, отображается диалоговое окно подтверждения. Если пользователь назначен на токены регистрации, диалоговое окно предупреждает, что устройства, зарегистрированные с этими токенами, больше не будут назначены пользователю. Удаление пользователя также освобождает лицензии на приложения его пользователя Apps and Books и выводит его из эксплуатации в Apple.

Предупреждение о несохранённых изменениях

Если у вас есть несохранённые изменения и вы пытаетесь покинуть страницу, панель управления спрашивает, хотите ли вы отменить изменения.

Учетная запись

Настройки

Страница Настройки (Панель управления → Настройки) содержит сводные сведения об аккаунте и лицензии, а также действия для управления оплатой, настройкой платформ (Android Management и Apple Management) и дополнительными интеграциями каталогов и токенов.

Баннер лицензии (срок истекает / срок истёк)

Когда срок действия вашей лицензии скоро истекает, истёк или она прекращена, в верхней части страницы отображается заметный баннер. В зависимости от состояния подписки он предлагает действие Управление оплатой (портал клиента Stripe) или Купить лицензию.

Когда срок действия лицензии истёк, аккаунт ограничивается только отменой регистрации устройств. По окончании льготного периода аккаунт может быть отменён, а регистрация устройств — автоматически отменена.

Баннеры сертификатов и токенов Apple (срок истекает / срок истёк)

Сертификат Apple Push (APNs), токен Apple Business (Automated Device Enrollment) и токен Apps and Books (ранее VPP) необходимо продлевать ежегодно. Начиная за 30 дней до истечения срока, в верхней части панели управления отображается баннер для каждого сертификата или токена, срок действия которого скоро истекает или уже истёк, с указанием даты истечения или функции, которая перестала работать. Действие Как продлить открывает эту страницу с развёрнутыми соответствующими инструкциями по продлению.

Баннер также отображается, когда срок действия MDM-сертификата некоторых устройств Apple истекает в течение 14 дней, а автоматическое продление не завершилось или срок действия уже истёк: такие устройства необходимо зарегистрировать повторно. Действие Показать устройства открывает список устройств с фильтром Срок действия MDM-сертификата истекает.

Если срок действия сертификата Apple Push истекает, устройства Apple не могут получать команды или обновления политик. Когда истекает срок действия токена Apple Business, Automated Device Enrollment перестаёт работать. Когда истекает срок действия токена Apps and Books, приложения нельзя распространять.

Баннер приложения Cerberus Enterprise

Cerberus устанавливает своё бесплатное приложение Cerberus Enterprise на iPhone и iPad (iOS и iPadOS 18.4 или новее) с лицензией устройства Apps and Books. Баннер отображается в верхней части панели управления, если приложения нет в вашей библиотеке Apple Business, если токен Apps and Books отсутствует или его срок истёк, а также если некоторые iPhone и iPad всё ещё ожидают приложение (с указанием их количества). Как добавить открывает эту страницу на строке Приложение Cerberus Enterprise с шагами; Как настроить (отображается, когда токен Apps and Books отсутствует или его срок истёк) открывает инструкции по токену Apps and Books.

Доступ менеджеров предприятия

Карточка Доступ менеджеров предприятия отображается только для предприятий, управляемых через мультитенантный аккаунт (например, поставщиком управляемых услуг). Она позволяет увидеть, какие аккаунты менеджеров могут работать с вашим предприятием, и управлять их доступом.

В карточке отображается:

Владелец предприятия. Владелец всегда имеет доступ, и его доступ нельзя отозвать.
Каждый аккаунт менеджера мультитенантного аккаунта с меткой Главный менеджер или Субаккаунт, с его именем, именем пользователя и статусом доступа (Предоставлен, Отозван или Не предоставлен).

Предоставление и отзыв доступа

Используйте Предоставить, чтобы разрешить аккаунту менеджера входить в ваше предприятие и управлять им, и Отозвать, чтобы убрать этот доступ. Каждое действие требует подтверждения. Менеджер, доступ которого отозван, больше не может работать с предприятием, даже если в данный момент он с ним работает.

Как администратор предприятия вы можете предоставлять или отзывать доступ для любого указанного аккаунта менеджера.
Главный менеджер может предоставлять или отзывать доступ для своих субаккаунтов, но только пока его собственный доступ предоставлен. Он не может предоставить доступ самому себе и не может отозвать свой собственный доступ.

Отзыв доступа для главного менеджера также отзывает доступ для всех его субаккаунтов. В этом случае диалог подтверждения перечисляет субаккаунты, которые потеряют доступ.

Информация об аккаунте

Карточка Информация об аккаунте содержит поля только для чтения:

Имя пользователя
Название предприятия
Идентификатор предприятия

Изменение пароля

Если вы не вошли через Google, Apple или Microsoft, карточка также показывает действие Изменить пароль. Оно открывает диалог для продолжения смены пароля.

Вы также можете изменить пароль в любое время через меню пользователя на верхней панели инструментов, выбрав Изменить пароль. Это полезно для мультитенантных аккаунтов, которые могут сменить пароль, не входя в предприятие.

Если ваш аккаунт создал администратор или он сбросил ваш пароль, вы входите с временным паролем и должны выбрать новый пароль, прежде чем продолжить.

Информация о лицензии

Карточка Информация о лицензии показывает текущее состояние лицензии и лимит устройств. Она также предлагает действия для связи с отделом продаж и для управления оплатой или покупки лицензии.

Статус лицензии: отображается как Активна или Срок истёк (со значком и подсказкой).
Бесплатная пробная версия: отображается, когда аккаунт находится в пробном режиме.
Лицензированные устройства: максимальное количество устройств, разрешённое лицензией. Ссылка нужно больше устройств? открывает сообщение для обращения в поддержку. Учитываются зарегистрированные устройства независимо от их состояния (например, активные, потерянные или отключённые). Незарегистрированные устройства не учитываются, как и устройства, синхронизированные из Apple Business, до их регистрации. При достижении лимита новое устройство не добавляется, а его регистрация удаляется: событие записывается в системный журнал, а администраторы аккаунта получают письмо. На устройствах Apple удаление занимает около минуты; устройство, которое уже учитывается, может зарегистрироваться снова, как и устройство, стёртое с помощью Return to Service.
Следующее плановое продление: отображается для активных подписок, которые продлеваются автоматически. В противном случае карточка показывает Дату истечения.

Android Management

Карточка Android Management показывает состояние Android Management для вашего предприятия. Если Android Management ещё не настроен, карточка предлагает действие Настроить Android Management, которое открывает процесс настройки.

Настроенное состояние

Когда Android Management настроен, карточка может показывать:

Идентификатор управления
Тип привязки: определяет, использует ли предприятие аккаунт Managed Google Play или управляемый домен Google.
Синхронизировано с Google Workspace (значок отображается, когда синхронизация каталога активна)
Синхронизировать с Google Workspace (отображается, когда синхронизация каталога не настроена; открывает панель инструкций в нижней части страницы)

Привязка Android enterprise

Android Management можно связать либо с аккаунтом Managed Google Play, либо с управляемым доменом Google. Поле Тип привязки показывает, какой вариант сейчас связан с вашим предприятием.

Аккаунт Managed Google Play — это облегчённый аккаунт Android Enterprise. Он подходит для управления устройствами и приложениями Android через Cerberus Enterprise, но отделён от организации Google Workspace или Cloud Identity. Он не обеспечивает централизованное администрирование Google, доступное с управляемым доменом Google.

Управляемый домен Google связывает Android Enterprise с идентичностью Google вашей организации. ИТ-администраторы могут управлять продуктами Google, такими как Google Workspace, Cloud Identity и Gemini, из консоли Google Admin, продолжая управлять приложениями и политиками Android в Cerberus Enterprise. Это обеспечивает более упрощённый и интегрированный подход к управлению Android и позволяет использовать процессы регистрации и управления пользователями на основе Google Workspace.

Когда предприятие использует аккаунт Managed Google Play, карточка настроек предлагает Обновить до управляемого домена Google и информационное действие. Обновление открывает пошаговый процесс Google для перевода существующего предприятия Android в управляемый домен.

В ходе обновления Google может привязать существующий аккаунт Google Admin, связанный с вашим рабочим адресом эл. почты, или автоматически создать новый бесплатный аккаунт Google Admin. Используйте рабочий адрес эл. почты, например name@enterprise.com, чтобы продолжить пошаговую настройку Google.

Apple Device Management

Карточка Apple Device Management показывает состояние управления устройствами Apple (MDM) для вашего предприятия. Если управление Apple ещё не настроено, карточка предлагает действие Настроить управление Apple, которое открывает процесс настройки.

Настроенное состояние

Когда управление Apple настроено, карточка может показывать:

Apple ID
Срок действия сертификата Apple Push: показывает дату истечения и значок. Если срок действия сертификата истекает или истёк, значок можно нажать, чтобы открыть инструкции по продлению.
Срок действия токена Apple Business: показывает срок действия токена Apple Business, используемого для Automated Device Enrollment (со значком, нажимаемым при необходимости действий).
Токен Apps and Books: показывает название организации и срок действия токена контента Apple Apps and Books, ранее Volume Purchase Program (VPP) (со значком, нажимаемым при необходимости действий).
Приложение Cerberus Enterprise: на карточке токена Apps and Books показывает, есть ли приложение в вашей библиотеке Apple Business: В вашей библиотеке (неограниченные лицензии), Нет в вашей библиотеке или Недоступно: срок действия токена Apps and Books истёк, а также сколько iPhone и iPad его ожидают. Если приложение отсутствует, в строке перечислены шаги для его добавления (в Apple Business откройте Apps & Services → Apps & Books → App Store, найдите «Cerberus Enterprise», нажмите View, затем Add, выберите All current and future в Organizational Units, нажмите Add, затем Review и подтвердите). Проверить снова повторно читает библиотеку (не чаще раза в 5 минут); после этого ожидающие устройства получают приложение.
Apple Business: ссылка на портал Apple Business, отображается при наличии токена Apple Business.
Синхронизировать с Apple Business и Синхронизировать с Apple Apps and Books: отображается, когда токены отсутствуют.

Для управления Apple требуется настройка сертификата APNs. При необходимости см. Настройка управления Apple (APNs).

Настройки и конфиденциальность

Карточка Настройки и конфиденциальность содержит переключатель маркетинговых предпочтений и ссылки на Условия обслуживания и Политику конфиденциальности. Используйте Сохранить настройки, чтобы применить изменения (во время сохранения отображается индикатор выполнения).

Отправить отзыв

Когда для аккаунта включены подписки, страница может показывать карточку Отправить отзыв со ссылками на Предложить функцию и внешние платформы отзывов.

Встроенные инструкции по настройке и продлению

В нижней части страницы панель управления может показывать раскрывающиеся панели инструкций в зависимости от текущего состояния (например, когда сертификат или токен отсутствует или срок его действия истекает).

Продление сертификата Apple Push (APNs)

Когда срок действия сертификата APNs истекает или он истёк, страница показывает панель с шагами для скачивания CSR, продления сертификата на портале Apple и загрузки нового сертификата в Cerberus Enterprise.

Пока сертификат или токен ещё действителен, кнопка загрузки рядом с ним открывает те же шаги. Используйте её, если вы скачали новый токен Apple Business или Apps and Books, поскольку старый перестаёт работать, или чтобы заранее продлить сертификат Apple Push. Всегда продлевайте текущий сертификат Apple Push: другой отклоняется, пока устройства Apple зарегистрированы, так как связаться с ними было бы уже невозможно.

Синхронизация с Apple Business

Когда токен Apple Business отсутствует, срок его действия истёк или истекает, страница показывает панель с шагами для скачивания токена из Apple Business и его загрузки в Cerberus Enterprise. Для нового подключения создайте сертификат открытого ключа в Cerberus Enterprise, затем в Apple Business откройте Devices → Management Services, нажмите Add в разделе Device Management Services, выберите Connect external device management и нажмите Continue; введите Service Name (например, Cerberus Enterprise), загрузите сертификат с помощью Upload Certificate, нажмите Next, затем Download Service Token и Done. Чтобы продлить токен, выберите службу Cerberus Enterprise в Management Services, нажмите кнопку … (дополнительно) в правом верхнем углу и выберите Download Token.

Устройства регистрируются в Cerberus Enterprise только когда они назначены его службе в Apple Business: откройте Devices → Management Services → Default Device Assignment, чтобы назначать новые устройства автоматически (по типу устройства), или Devices → Inventory, выберите устройства и нажмите Assign Device Management.

Синхронизация с Apple Apps and Books (VPP)

Когда токен Apps and Books отсутствует, срок его действия истёк или истекает, страница показывает панель с шагами для скачивания токена контента из Apple Business и его загрузки в Cerberus Enterprise: в Apple Business откройте меню организации в правом верхнем углу (название вашей организации) → Settings → Organizational Units, выберите организационное подразделение (по умолчанию — ваша организация) и нажмите Download в разделе Content Token. Срок действия токена истекает через год или раньше, если изменится пароль аккаунта Apple, с которого он был скачан.

Последний шаг настройки Apps and Books добавляет бесплатное приложение Cerberus Enterprise в вашу библиотеку Apple Business, чтобы Cerberus мог установить его на ваши iPhone и iPad.

Синхронизация с Google Workspace

Когда синхронизация каталога Google Workspace не настроена, страница показывает панель с описанием интеграции и кнопкой авторизации. Она также перечисляет необходимую область доступа Google OAuth: https://www.googleapis.com/auth/admin.directory.user.readonly.

Для первоначальной настройки Android см. Настройка Android Management.

Мультитенантность

Обзор мультитенантности

Раздел Мультитенантность доступен аккаунтам MSP и менеджеров организаций, которые управляют несколькими клиентскими организациями из одного входа. В этой главе объясняются модель области действия организации, переключение организаций, администрирование управляемых организаций и субаккаунты.

Чтобы запросить аккаунт мультитенантности, свяжитесь с enterprise@cerberusapp.com.

Основные концепции

Основной аккаунт мультитенантности: основной аккаунт менеджера, который может получать доступ к глобальному рабочему пространству мультитенантности.
Субаккаунт: делегированный аккаунт менеджера, созданный основным аккаунтом, с выбираемыми назначениями организаций.
Выбранный контекст организации: активная организация, которая сейчас открыта в панели управления для повседневных операций.
Делегирование: разрешение, предоставленное владельцем организации, которое позволяет аккаунту менеджера входить в эту организацию и управлять ею.

Модель навигации

Когда контекст организации не выбран, боковая навигация показывает разделы мультитенантности, такие как Организации и, для основных аккаунтов, Субаккаунты. После входа в организацию панель управления переключается на стандартную навигацию одной организации (Главная, Пользователи, Устройства, Регистрация, Политики и другое).

Владение и делегирование

У каждой управляемой организации есть владелец. Владелец всегда может получить доступ к этой организации. Аккаунты менеджеров, не являющиеся владельцами, могут получить доступ к организации только при наличии делегирования.

Если у организации есть собственный пользователь-администратор, этот администратор является владельцем и решает, какие аккаунты менеджеров могут получить доступ к организации.
Если у организации нет собственного пользователя-администратора, владельцем является основной аккаунт мультитенантности.
В организациях, принадлежащих клиентскому администратору, основной аккаунт может предоставлять или отзывать доступ для своих субаккаунтов, пока его собственный доступ предоставлен, но не может предоставить доступ самому себе.
Если администратор организации отзывает доступ у основного аккаунта, доступ для его субаккаунтов также отзывается.
Удаление организации из назначений субаккаунта также лишает этот субаккаунт доступа к организации. Если вы назначите её снова позже, доступ придётся предоставить заново.

Администраторы организации управляют доступом с помощью карточки Доступ менеджеров организации на странице Настройки.

Состояние владения и делегирования отображается прямо на карточках организаций, чтобы область доступа была явной до входа в организацию.

Действия с лицензиями и оплатой

Представления мультитенантности показывают статус лицензии, лимиты устройств и действия по оплате организации. В зависимости от состояния подписки организации и ваших разрешений карточка может показывать Управление оплатой или Купить лицензию.

Для организаций, созданных аккаунтом мультитенантности, лицензированием управляют пользователи мультитенантности. Основной аккаунт всегда может управлять лицензированием, а субаккаунты могут делать это только тогда, когда основной аккаунт включает Может управлять лицензиями для этого субаккаунта.

Страницы в этой главе

Управляемые организации: поиск, фильтры, сведения на карточках и создание организаций.
Переключение организации: поведение верхнего переключателя и переходы области действия.
Субаккаунты: делегированные операторы, назначения и управление учётными данными.

Мультитенантность

Управляемые организации

Страница Организации (Панель управления → Организации) — это центр управления доступом к управляемым организациям. Она перечисляет все организации, видимые вашему аккаунту мультитенантности, и позволяет фильтровать, проверять владение и делегирование, входить в контекст организации и создавать новые управляемые организации (только для основных аккаунтов).

Поиск и фильтры

Поиск организации: фильтрует по названию организации или идентификатору организации.
Делегирование: Все, Делегированные или Неделегированные.
Статус лицензии: Все, Действительна, Срок скоро истекает, Срок действия истёк или Прекращена.

Карточки организаций

Каждая карточка организации показывает ключевые метаданные управления:

Статус лицензии со значком и контекстной подсказкой.
Лицензированные устройства (лимит устройств организации).
Следующее запланированное продление или Дата истечения в зависимости от состояния подписки.
Состояние делегирования (Владелец, Предоставлено или Не предоставлено).
Отображаемое имя владельца и имя пользователя.

Недавно выбранные организации

Организации, к которым вы недавно обращались, закрепляются в разделе Недавно выбранные, чтобы ускорить повторяющееся переключение контекста.

Действия с организацией

Войти в организацию: открывает контекст выбранной организации, если делегирование или владение разрешает доступ.
Управление оплатой: открывает управление оплатой организации, когда это доступно и разрешено.
Купить лицензию: открывает процесс покупки для организации, когда оплата не активна.

Кто может управлять лицензиями

Для организаций, созданных аккаунтом мультитенантности, управление лицензиями контролируется пользователями мультитенантности. Основной аккаунт всегда может управлять оплатой и действиями с лицензиями для таких организаций.

Субаккаунты могут управлять оплатой и действиями с лицензиями только в том случае, если основной аккаунт предоставил разрешение Может управлять лицензиями на странице Субаккаунты.

Создать управляемую организацию

Основные аккаунты мультитенантности могут развернуть Создать управляемую организацию в нижней области действий.

Название организации обязательно.
Создать администратора для каждой организации управляет режимом владения.
При включении обязательны Имя пользователя администратора (в формате электронной почты) и Имя администратора.
Перед созданием диалоговое окно подтверждения резюмирует операцию и, когда применимо, предупреждает, что новому администратору будут отправлены временные учётные данные по электронной почте.

Новый пользователь-администратор должен выбрать новый пароль при первом входе с временным паролем.

Режим владения

Администратор для каждой организации включён: новый пользователь-администратор владеет организацией и может делегировать управление вашему аккаунту мультитенантности.
Администратор для каждой организации отключён: организация принадлежит напрямую вашему аккаунту мультитенантности.

Квота организаций

Если аккаунт достигает настроенной квоты организаций, создание блокируется, и форма показывает сообщение с контактом поддержки и текущим и максимальным количеством организаций.

Когда квота организаций достигнута, вы не можете создавать дополнительные управляемые организации, пока ваш лимит не будет увеличен.

Мультитенантность

Переключение организации

Переключатель организаций на верхней панели инструментов позволяет пользователям мультитенантности переключаться между делегированными организациями без выхода из системы. Он доступен, когда можно выбрать хотя бы один контекст организации.

Поведение переключателя

Триггер показывает название текущей организации (или идентификатор организации, если название недоступно).
Меню перечисляет делегированные и доступные организации и отмечает текущую организацию как уже выбранную.
Во время переключения действия переключателя временно отключаются, чтобы предотвратить одновременные изменения области действия.

Выйти из организации

Меню переключателя включает Выйти из организации, что очищает текущий контекст организации и возвращает вас в глобальное рабочее пространство мультитенантности.

Правила сброса контекста

Переключение организации или выход из неё сбрасывает область действия панели управления. Страницы и данные, относящиеся к организации, обновляются для вновь выбранного контекста, а видимость меню адаптируется к тому, выбрана ли сейчас организация.

Выбранная организация применяется ко всем открытым вкладкам браузера. Если вы переключите или покинете организацию на одной вкладке, другие вкладки перезагрузят панель управления при следующем действии, поэтому они никогда не будут работать с другой организацией, отличной от отображаемой.

Используйте переключатель для быстрого изменения рабочего контекста, но перед выполнением чувствительных действий, таких как обновление политик или команды устройствам, проверяйте название выбранной организации.

Мультитенантность

Субаккаунты

Страница Субаккаунты (Панель управления → Субаккаунты) доступна основным аккаунтам мультитенантности. Она позволяет создавать делегированных пользователей-менеджеров, назначать управляемые организации, управлять разрешениями на оплату и поддерживать учётные данные субаккаунтов.

Список субаккаунтов

Каждая карточка субаккаунта показывает идентификационные данные и элементы управления:

Имя и имя пользователя или электронная почта.
Множественный выбор Управляемые организации для назначения.
Переключатель разрешения Может управлять лицензиями.
Действия Сбросить пароль и Удалить.

Назначение управляемых организаций

Назначения организаций редактируются через поле множественного выбора Управляемые организации. Когда вы закрываете селектор после изменений, панель управления запрашивает подтверждение перед сохранением обновлений.

Назначение организации делает её доступной для субаккаунта, но субаккаунт может войти в неё только после предоставления доступа. Удаление организации из назначений также лишает субаккаунт доступа к ней.

Разрешение на управление лицензиями

Переключатель Может управлять лицензиями определяет, может ли субаккаунт получать доступ к действиям по оплате и управлению лицензиями организации.

Для организаций, созданных аккаунтом мультитенантности, основной аккаунт всегда имеет права управления лицензиями. Субаккаунты получают права управления лицензиями только когда этот переключатель включён основным аккаунтом.

Сброс пароля

Сбросить пароль создаёт новый временный пароль и после подтверждения отправляет его субаккаунту по электронной почте.

При входе с временным паролем — после сброса или для только что созданного субаккаунта — пользователь должен выбрать новый пароль, прежде чем продолжить.

Удаление субаккаунта

Удаление субаккаунта требует подтверждения и навсегда лишает этот аккаунт делегированного доступа.

Создание субаккаунта

Используйте нижнюю панель действий Создать субаккаунт, чтобы добавить нового делегированного менеджера.

Электронная почта: обязательно и проверяется на соответствие формату электронной почты.
Имя: обязательное отображаемое имя.
Может управлять лицензиями: необязательное начальное разрешение на оплату.
Перед созданием диалоговое окно подтверждения предупреждает, что на указанный адрес будет отправлено письмо с временным паролем.

Аналитика

Вот несколько статей о том, как MDM может помочь вашему бизнесу:

Что такое режим киоска? Руководство по ограничению устройств Android & Apple для бизнеса

Режим киоска превращает обычные телефоны и планшеты в специализированные бизнес-инструменты. Cerberus Enterprise помогает организациям закреплять устройства за одним приложением или небольшим утверждённым набором приложений для таких сценариев, как розничные POS-терминалы, регистрация гостей и навигация автопарка, сохраняя при этом такие специализированные устройства более простыми в защите, поддержке и управлении в масштабе.

Как выбрать подходящее решение MDM: контрольный список из 7 пунктов для малого бизнеса

Выбирать MDM на позднем этапе покупки проще, когда сравнение остаётся практичным. Этот контрольный список помогает малому бизнесу оценивать поставщиков по семи критериям, которые обычно важнее всего в реальных внедрениях: безопасность, поддержка Android и Apple, простота использования для небольших команд, масштабируемость, границы конфиденциальности, совокупная стоимость владения и повседневная поддержка.

Создание безопасного и сосредоточенного цифрового класса: руководство по MDM для школ K-12

Устройства, управляемые школой, работают лучше всего, когда остаются сосредоточенными на обучении. Cerberus Enterprise помогает организациям K-12 сохранять сосредоточенность ученических устройств на учёбе с помощью управляемых приложений, ограничений в стиле киоска, стандартизированных настроек общих или выдаваемых устройств и удалённых действий по восстановлению, которые снижают потери, отклонения и нарушения в классе.

Оснащение выездных специалистов: как MDM повышает эффективность и безопасность на месте

Выездные специалисты зависят от мобильных устройств при работе на месте: расписание, заметки об обслуживании, технические справочники, история клиента и обновления по заданиям. Cerberus Enterprise помогает поддерживать эти устройства в готовности с помощью управляемых приложений, стандартизированных моделей устройств, команд удалённой поддержки и видимости с учётом местоположения, что улучшает координацию диспетчеризации и укрепляет безопасность в поле.

За пределами карты: использование MDM для более разумного управления автопарком и безопасности водителей

Работа автопарка зависит от мобильных устройств для навигации, диспетчеризации, обмена сообщениями, ведения журналов и выполнения задач на местах. Cerberus Enterprise помогает удерживать эти устройства в рамках утверждённых рабочих процессов с помощью управляемых приложений, элементов управления киоска и выделенных устройств, политик безопасной связи, удалённого устранения неполадок и наблюдения с учётом местоположения, что снижает простои и способствует более безопасному вождению.

Как геозоны, отслеживание в реальном времени и карты местоположения улучшают работу организации

Функции с учётом местоположения в Cerberus Enterprise помогают организациям перейти от простой видимости устройств к более практичному операционному контролю. Периодическая передача местоположения, отслеживание в реальном времени, переходы геозон и интерактивные карты могут поддерживать логистику, выездное обслуживание, здравоохранение, розничную торговлю, строительство и другие распределённые команды, которым нужно лучше понимать, где идёт работа и когда устройства входят в важные зоны или покидают их.

Как мультитенантность помогает MSP масштабировать услуги MDM и создавать новые потоки доходов

Мультитенантность позволяет MSP, реселлерам и многокомпанийным организациям управлять несколькими организациями из одного аккаунта Cerberus Enterprise, сохраняя раздельность каждой среды. Эта модель снижает операционные трения, повышает масштабируемость услуг и поддерживает делегированный доступ через субаккаунты и явное администрирование под контролем клиента. Она также создаёт более широкие деловые возможности для провайдеров, которые хотят объединить лицензирование ПО с адаптацией, поддержкой, соответствием требованиям и услугами управляемой мобильности.

Повышение операционной эффективности организации с помощью решений MDM

Mobile Device Management централизует управление корпоративными устройствами, упрощая регистрацию, настройку и обслуживание. Автоматизированная подготовка и массовые операции сокращают ручную работу ИТ и обеспечивают единообразие политик на всех устройствах. Функции безопасности, такие как шифрование, мониторинг соответствия требованиям и удалённая очистка, защищают корпоративные данные. В целом MDM повышает производительность, снижая затраты на поддержку и операционную сложность.

Расширенная безопасность в управлении Android Enterprise

Android Enterprise использует рабочий профиль для изоляции корпоративных приложений и данных от личного содержимого на одном устройстве. Эта контейнеризация создаёт отдельные зашифрованные среды, управляемые ИТ-администраторами независимо. Политики безопасности могут контролировать обмен корпоративными данными, не затрагивая личные приложения. Архитектура защищает деловые данные даже при компрометации личных приложений.

MDM для Apple iPhone и автоматическая регистрация

Платформа MDM от Apple обеспечивает централизованное управление iPhone в корпоративных средах. В сочетании с Apple Business Manager устройства могут автоматически регистрироваться и настраиваться при первом включении. Администраторы могут незаметно развёртывать и настраивать корпоративные приложения, применять параметры безопасности и отслеживать соответствие требованиям. Эта автоматизация обеспечивает единообразную настройку устройств и снижает число ошибок при настройке.

Понимание Mobile Device Management

Mobile Device Management предоставляет централизованную платформу для мониторинга, защиты и контроля мобильных устройств, обращающихся к корпоративным системам. Основные возможности включают применение политик безопасности, управление приложениями и удалённую блокировку или очистку потерянных устройств. MDM помогает защищать корпоративные данные, поддерживая соответствие устройств требованиям. Это позволяет организациям любого размера безопасно управлять растущей мобильной рабочей силой.

Модели развёртывания корпоративных устройств

Организации могут применять различные модели владения устройствами, такие как BYOD, CYOD, COPE, COBO и COSU. Каждая модель по-разному уравновешивает затраты, гибкость пользователей и контроль безопасности. BYOD отдаёт приоритет удобству пользователя, тогда как COBO и COSU максимально повышают корпоративный контроль и безопасность. Выбор правильной модели зависит от нормативных требований, потребностей персонала и возможностей ИТ-управления.

MDM, EMM и UEM: в чём разница

MDM сосредоточен на управлении мобильными устройствами и их защите посредством применения политик, контроля конфигурации и удалённого управления. EMM расширяет эту сферу, включая управление приложениями и контентом, а UEM пытается управлять всеми конечными точками, включая ноутбуки и настольные компьютеры. Для многих компаний малого и среднего бизнеса полноценные пакеты EMM или UEM добавляют ненужную сложность. На практике надёжные возможности MDM часто покрывают большинство потребностей мобильного управления.

MDM на личных телефонах и конфиденциальность сотрудников

Современные системы MDM используют контейнеризацию для разделения рабочих и личных данных на устройствах, принадлежащих сотрудникам. Работодатели могут управлять только рабочей средой и отслеживать её, включая корпоративные приложения и сведения о соответствии устройства требованиям. Личные данные, такие как фотографии, сообщения и история просмотров, остаются недоступными для компании. Такое техническое разделение позволяет безопасно внедрять программы BYOD, сохраняя конфиденциальность сотрудников.

ROI от MDM и бизнес-ценность

MDM следует оценивать как стратегическую инвестицию, а не как простую статью расходов на безопасность. Он приносит финансовую отдачу за счёт сокращения потерь устройств, снижения затрат на ИТ-поддержку и повышения операционной эффективности. Автоматизированное управление также повышает производительность сотрудников и сокращает простои. Кроме того, более надёжная защита снижает риск и финансовые последствия утечек данных.

Управление устройствами в соответствии с HIPAA

Организации здравоохранения обязаны защищать электронные данные пациентов в соответствии с требованиями безопасности HIPAA. MDM помогает обеспечивать шифрование, контроль аутентификации, безопасную передачу данных и подробные журналы аудита. Он также позволяет выполнять удалённую очистку и централизованно применять политики для устройств, обращающихся к медицинским системам. Эти меры снижают риски несоответствия, одновременно обеспечивая мобильные рабочие процессы в медицинских учреждениях.

MDM для розничных операций и безопасности

Розничные организации полагаются на мобильные устройства для POS-систем, управления запасами и операций в магазине. MDM обеспечивает безопасность, актуальность и соответствие этих устройств стандартам, таким как PCI-DSS. Централизованное управление сокращает простои и упрощает развёртывание устройств в нескольких точках. В результате повышается операционная эффективность и снижается риск инцидентов безопасности, связанных с платежами.