Yönetim döngüsü
Markası ne olursa olsun her MDM aynı döngüyü çalıştırır:
- Kayıt. Cihaz yönetime katılır, ajan yetkilerini alır.
- Politika uygulama. Sunucu cihazın grubuna ait kuralları gönderir, ajan bunları uygular.
- Bağlı kalma. Sunucu ile cihaz arasında, komutların ve değişikliklerin iletilmesi için güvenli bir bağlantı sürdürülür.
- Raporlama. Cihaz durumunu, envanterini ve olayları sunucuya bildirir.
2’den 4’e kadarki adımlar cihaz kullanıldığı sürece tekrarlanır. Konsolda bir politika değiştiğinde döngü bu değişikliği ilgili tüm cihazlara taşır.
1. Adım: Cihaz kaydı
Kayıt, cihazın yönetime girdiği andır. Android’de kurumun ne kadar kontrol sahibi olacağını bu adım belirler; bu yüzden doğru yapılması en önemli adımdır.
Kuruma ait bir cihazda kayıt, yeni ya da fabrika ayarlarına sıfırlanmış cihazın ilk kurulum ekranında başlar. En yaygın yöntemler şunlardır:
- QR kod. Karşılama ekranına birkaç kez dokunulur, ardından MDM’in ürettiği QR kod okutulur. Kod, cihaza ajanı nereden indireceğini ve hangi sunucuya bağlanacağını söyler.
- NFC. Yeni cihaz, kurulum verisini taşıyan başka bir cihaza dokundurulur.
- Zero-touch kayıt. Programa katılan bayilerden alınan desteklenen cihazlar, teslimattan önce kuruma tanımlanır. Cihaz açılıp ağa bağlandığında teknisyen müdahalesi olmadan kurulumu tamamlar.
- DPC tanımlayıcısı. Kurulum sırasında Google hesabı yerine
afw#ile başlayan kısa bir kod yazılarak ajan indirilir.
Kişisel bir cihazda kullanıcı ajanı bir uygulama mağazasından ya da bağlantıdan kurar ve iş profilini oluşturan kısa bir sihirbazı izler.
Kayıt sırasında cihaz genellikle bir kayıt profili de alır: hangi gruba ait olduğu, hangi politikanın uygulanacağı ve gerekiyorsa hangi kullanıcıya atandığı. Her durum için yöntemler cihaz kaydı sayfasında anlatılıyor.
2. Adım: Cihazdaki yönetim yetkileri
Sıradan bir Android uygulaması sistem ayarlarını değiştiremez ya da başka uygulamaları sessizce kuramaz. MDM ajanı bunu yapabilir, çünkü Android kayıt sırasında ona özel bir rol verir. Bu roller Android Enterprise tarafından tanımlanır ve iki tanedir.
| Rol | Kapsam | Kullanım alanı |
|---|---|---|
| Device Owner | Cihazın tamamı | Kuruma ait, tam yönetilen veya tek amaçlı (kiosk) cihazlar |
| Profile Owner | Yalnızca ayrı bir iş profili | Kişisel cihazlar (BYOD) ve kişisel kullanıma açık kurum cihazları (COPE) |
Device Owner parola kurallarını zorunlu kılabilir, kamera veya USB gibi donanımları kapatabilir, uygulamaları sessizce kurup kaldırabilir, fabrika ayarlarına sıfırlamayı engelleyebilir, cihazı tek bir uygulamaya kilitleyebilir ve uzaktan silebilir.
Profile Owner benzer kontrollere sahiptir, ancak yalnızca iş profilinin içinde. Cihazın kişisel tarafı kurumun erişimi dışında kalır. Kişisel cihazlarda iş profilini çalışanlar için kabul edilebilir kılan da bu ayrımdır.
Rol, kayıt sırasında seçilir ve sonradan yükseltilemez. İş profiliyle kaydedilen bir cihaz, fabrika ayarlarına sıfırlanmadan tam yönetilen cihaza dönüştürülemez. Bu yüzden geçişten önce doğru sahiplik modelini seçmek önemlidir.
3. Adım: Politikalar
Politika, bir cihaz grubuna uygulanan kurallar bütünüdür. Tipik içeriği:
- Parola ve ekran kilidi gereksinimleri
- Donanım kısıtları: kamera, Bluetooth, USB, mikrofon
- İşletim sistemi kısıtları: ayarlara erişim, fabrika ayarlarına sıfırlama, bilinmeyen kaynaklar, ekran görüntüsü
- Ağ ayarları: Wi-Fi profilleri, APN, VPN, sertifikalar
- Kurulacak, izin verilecek veya engellenecek uygulamalar
- Kiosk yapılandırması
Politikalar “depo el terminalleri” ya da “satış tabletleri, Kuzey Bölge” gibi gruplara atanır. Bir cihaz başka bir gruba taşındığında o grubun politikasını otomatik olarak alır. Yönetici değişikliği her cihazda değil, politikada bir kez yapar. Bkz. politikalar.
Ajan politikayı Android’in kendi yönetim arayüzleri üzerinden uygular. Kuralların çoğunu ardından işletim sistemi kendisi uygulatır; bu yüzden cihaz çevrimdışıyken de geçerli kalırlar.
4. Adım: Sunucu ile cihaz arasındaki bağlantı
Bir şey değiştiğinde sunucunun cihaza ulaşması gerekir. Bunun iki yaygın yolu vardır.
- Platform servisi üzerinden bildirim. Sunucu, bir bulut mesajlaşma servisi aracılığıyla kısa bir uyandırma mesajı gönderir; cihaz da değişikliği almak için sunucuya bağlanır.
- Sürekli bağlantı. Ajan sunucuya kendi güvenli bağlantısını açık tutar; komutlar dış bir servise bağlı kalmadan saniyeler içinde ulaşır.
Sürekli bağlantı iki durumda önem kazanır: çalınan bir cihazı kilitlemek ya da uzaktan destek oturumu başlatmak gibi hemen gerçekleşmesi gereken işlemlerde ve cihazların dış mesajlaşma servislerine ulaşamadığı kapalı ağlarda.
Tüm trafik şifrelenmeli, cihaz da doğru sunucuyla konuştuğunu doğrulamalıdır. Canlı Kontrol gibi gerçek zamanlı özellikler bu kanalın üzerine kurulur.
5. Adım: Raporlama
Döngünün son parçası, cihazın kendisi hakkında sunucuya bilgi vermesidir. Tipik bir rapor şunları içerir:
- Donanım modeli, seri numarası ve tanımlayıcılar
- İşletim sistemi sürümü ve güvenlik yaması seviyesi
- Yüklü uygulamalar ve sürümleri
- Pil, depolama, ağ ve SIM bilgileri
- Politika açtıysa konum
- Politika sonuçları: hangi kuralların uygulandığı, hangilerinin başarısız olduğu
Sunucu bu raporları envanter, gösterge panelleri ve uyumluluk kontrolleri için kullanır. Bir cihaz rapor göndermeyi bırakırsa, güncellemelerin gerisinde kalırsa ya da bütünlük kontrolünden geçemezse bir uyumluluk kuralı otomatik olarak devreye girebilir. Raporlar denetimler için dışa da aktarılabilir. Bkz. raporlar.
Bulut ve kurum içi mimari
Sunucu nerede çalışırsa çalışsın döngü aynıdır. Değişen, sunucuyu kimin işlettiği ve verinin nerede durduğudur.
| Bulut (SaaS) | Kurum içi | |
|---|---|---|
| Sunucuyu kim işletir | Üretici | Kendi BT ekibiniz |
| Cihaz verisi nerede saklanır | Üreticinin veri merkezinde | Kendi altyapınızda |
| Ağ gereksinimi | Cihazlar sunucuya internet üzerinden ulaşır | Cihazlar sunucuya kendi ağınız üzerinden ulaşır; bu ağ kapalı olabilir |
| Güncellemeler | Üretici uygular | Ekibiniz planlar |
| Tipik uyum | Hızlı başlangıç, küçük BT ekipleri | Sıkı veri yerelliği, kapalı ağlar |
Artı ve eksiler bulut mu, kurum içi mi rehberinde ele alınıyor.
Baştan sona bir örnek
Bir lojistik şirketi depoları için 200 yeni el terminali alıyor.
- Teknisyen her cihazda kayıt QR kodunu okutur. Ajan kurulur, Device Owner olur ve “Depo” grubuna katılır.
- Grup politikası okuma uygulamasını kurar, depo Wi-Fi ayarını yapar ve cihazı yalnızca bu uygulamayla kiosk moduna kilitler.
- Bir hafta sonra uygulamanın yeni sürümü çıkar. Yönetici sürümü konsolda bir kez günceller, her cihaz bunu canlı bağlantısı üzerinden kurar.
- Bir cihaz rapor göndermeyi bırakır. Gösterge paneli son konumunu gösterir ve cihaz bir dağıtım kamyonunda bulunur.
Aynı döngü bir hastanenin tabletleri ya da bir okulun sınıf seti için de işler; yalnızca politikalar değişir. Bu sektör hakkında daha fazlası için bkz. ulaşım ve lojistik.
DeepManage bunu nasıl yapar
DeepManage Android’de bu döngüyü izler. Cihazlar QR kod veya NFC ile kaydolur; ajan, kayıt profiline göre Device Owner ya da Profile Owner olur. Her cihaz sunucuyla kendi gerçek zamanlı bağlantısını tutar; anlık komutları ve Canlı Kontrol özelliğini kapalı ağlarda da mümkün kılan budur. Sunucuyu bulutta ya da kurum içinde çalıştırabilirsiniz.